Datenschutzerklärung

Stand: 1. November 2026

1. Verantwortlicher

Robert Beisteiner, Mühlweg 2/232, 1210 Wien, Österreich. E-Mail: info@baunormal.at.

2. Verarbeitungszwecke & Rechtsgrundlagen

• Bereitstellung der Anwendung & Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Registrierung, Konto- und Organisationsverwaltung (lit. b).
• Zahlungsabwicklung über unseren Dienstleister (lit. b und lit. c – steuer-/handelsrechtliche Pflichten).
• Sicherheit, Protokollierung, Missbrauchsabwehr (berechtigtes Interesse, lit. f).
• Kontaktanfragen (lit. b bzw. lit. f).
• Reichweitenmessung und Werbeerfolgsmessung auf dieser Website — nur mit Ihrer Einwilligung(Art. 6 Abs. 1 lit. a DSGVO), zusätzlich § 165 Abs. 3 TKG 2021 für das Speichern und Auslesen von Informationen auf Ihrem Endgerät. Ohne Ihre Einwilligung findet keine solche Messung statt: die betreffenden Skripte werden gar nicht geladen. Sie können Ihre Einwilligung jederzeit über „Cookie-Einstellungen“ am Seitenende widerrufen (siehe Punkt 8).

3. Datenkategorien

• Konto- & Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer sowie die Zugehörigkeit zu einer Organisation.
• Zugangs- & Authentifizierungsdaten: Passwort (verschlüsselt gespeichert) bzw. der verwendete Login-Anbieter sowie Rolle/Berechtigungen.
• Organisations- & Unternehmensdaten: Firmenname, Anschrift, Geschäftsführer, Firmenbuch- und UID-Nummer, Telefon/Fax, E-Mail sowie Bankverbindung (IBAN/BIC).
• Inhaltsdaten: von Ihnen eingestellte Projekt-, Ausschreibungs-, Aufmaß- und Abrechnungsdaten – einschließlich darin enthaltener Kontakt- und Adressdaten von Vergabestellen, Bietern und beteiligten Personen.
• Nutzungs- & Protokolldaten: Zugriffs- und Aktivitätsprotokolle sowie technische Verbindungsdaten.
• Abrechnungs- & Zahlungsdaten: Tarif, Abo-Status und Sitzanzahl sowie die bei unserem Zahlungsdienstleister geführte Kundenkennung.
• Werbe- und Reichweitendaten (nur mit Einwilligung): Klick-Kennungen der Werbenetze (etwa gclid, fbclid), Kampagnenparameter (utm_*), die zuerst aufgerufene Seite, der verweisende Host, Zeitpunkt, IP-Adresse, Browser- und Gerätekennung sowie die aufgerufenen Seiten und ausgelösten Ereignisse (etwa der Klick auf „Kostenlos testen“).

4. Empfänger / Auftragsverarbeiter

• Hosting/Infrastruktur (Anwendungsserver, Anwendungsdatenbank, Datei-Uploads): Hetzner | Deutschland.
• E-Mail-Versand: Neue Medien Münnich GmbH (ALL-INKL.com), Deutschland. Der transaktionale E-Mail-Versand (Anmeldebestätigungen, Benachrichtigungen) wird hier betrieben.
• Anmeldung via Google: Wählen Sie „Mit Google anmelden", wird eine Verbindung zu Google LLC (USA) hergestellt. Die Übermittlung erfolgt auf Basis der EU-Standardvertragsklauseln (Art. 46 DSGVO). Es gelten die Datenschutzhinweise von Google (policies.google.com/privacy).
• Zahlungsabwicklung: per SEPA-Lastschrift bzw. Überweisung über das kontoführende Kreditinstitut des Anbieters; dabei werden die für den Zahlungsverkehr erforderlichen Daten (Kontoinhaber, IBAN/BIC, Betrag, Mandatsreferenz) verarbeitet.
• E-Rechnung an die öffentliche Hand: Nutzen Sie die E-Rechnungs-Funktion, werden die Rechnungsdaten auf Ihre Veranlassung an den Rechnungsempfänger übermittelt – bei Bundesstellen über den Webservice der Republik Österreich (e-rechnung.gv.at) bzw. über das Peppol-Netzwerk. Diese Empfänger sind eigene Verantwortliche.
• Mit Auftragsverarbeitern bestehen Verträge gemäß Art. 28 DSGVO (siehe AVV); eine aktuelle Übersicht finden Sie in der Liste der Unterauftragsverarbeiter.

Gemeinsame Verantwortlichkeit (Art. 26 DSGVO)

Für die Reichweiten- und Werbeerfolgsmessung auf dieser Website sind wir mit den folgenden Anbietern gemeinsam verantwortlich — das ist etwas anderes als eine Auftragsverarbeitung: die Anbieter verarbeiten die Daten auch für eigene Zwecke. Beide Verarbeitungen finden ausschließlich nach Ihrer Einwilligung statt.

• Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) — Google Ads und Google Analytics. Übermittlung in die USA an Google LLC auf Grundlage des EU-US Data Privacy Framework sowie der Standarddatenschutzklauseln.
• Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Irland) — Facebook- und Instagram-Werbung. Übermittlung in die USA an Meta Platforms, Inc. auf derselben Grundlage.

Nicht zu verwechseln mit der Liste der Subprozessoren: unsere Subprozessoren-Liste ist Anlage 2 zum Auftragsverarbeitungsvertrag und betrifft die Daten, die unsere Kunden in der Anwendung verarbeiten. Google und Meta stehen dort bewusst nicht: beim Website-Pixel geht es um Besucherdaten dieser Website, nicht um Kundendaten.

Nutzungsstatistik in der Anwendung (app.baunormal.at)

Auch in der Anwendung messen wir mit Google Analytics, welche Bereiche genutzt werden — ausschließlich nach Ihrer Einwilligung(Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021), die Sie beim ersten Aufruf geben oder ablehnen und im Konto unter „Cookie-Einstellungen“ jederzeit widerrufen. Ohne Einwilligung lädt die Anwendung nichts von Google.

An Google geht dabei nur die Art der Seite— etwa „Projekte – Abrechnung“ — mit einer bereinigten Adresse, in der jede Kennung durch einen Platzhalter ersetzt ist. Projekt-, Firmen- und Personennamen, Inhalte von Leistungsverzeichnissen, Preise, Suchbegriffe und Ihre Benutzerkennung werden nicht übermittelt; Google-Signale und Werbe-Personalisierung sind abgeschaltet. Weil damit keine Kundendaten an Google gehen, ist Google für die Anwendung kein Unterauftragsverarbeiter; für die Statistik selbst sind wir mit Google gemeinsam verantwortlich wie oben beschrieben.

4a. Anleitungsmails zum Einstieg

Nach der Registrierung senden wir Ihnen in den ersten Wochen einige E-Mails zum Einstieg in BauNormal: Hinweise zum nächsten Schritt und Rückfragen, wie die Nutzung läuft und welche Funktionen Ihnen fehlen. Rechtsgrundlage ist § 107 Abs. 3 TKG (Direktwerbung für eigene, ähnliche Leistungen an Kunden); auf die Zusendung und das Widerspruchsrecht weisen wir bei der Registrierung hin. Sie können jederzeit widersprechen — über den Abmeldelink in jeder Mail oder unter „Konto → Benachrichtigungen". Die Mails enthalten kein Zählpixel; wir speichern nur, welche Mail wann versandt wurde und welche Antwort Sie angeklickt haben. Antworten mit Anliegen werden als Support-Anfrage gespeichert.

4b. Eigene Leistungsbücher: Lizenznachweis

Spielt ein Administrator eine eigene Leistungsbeschreibung ein, speichern wir Name und E-Mail-Adresse der bestätigenden Person, Zeitpunkt, IP-Adresse, Browserkennung, eine Prüfsumme der Datei und den Wortlaut der Lizenzbestätigung. Zweck ist der Nachweis, dass die Inhalte vom Kunden stammen und nicht von uns bereitgestellt wurden (Rechtsgrundlage: berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO, zur Abwehr von Rechtsansprüchen). Wir bewahren diese Angaben auch nach dem Entfernen der Leistungsbeschreibung und nach Auflösung der Organisation auf, solange Ansprüche daraus geltend gemacht werden können.

4c. Anfragen über den Hinweis „Nicht gefunden, wonach Sie suchen?“

Schreiben Sie uns über diesen Hinweis auf der Website, verarbeiten wir Ihre Nachricht, Ihre E-Mail-Adresse und die Seite, auf der Sie die Nachricht geschrieben haben, um Ihnen zu antworten (Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Anfrage vor einem möglichen Vertrag, sonst lit. f — Ihre Frage beantworten). Die Nachricht wird nicht in der Anwendung gespeichert, sondern als E-Mail an uns zugestellt; wir bewahren sie auf, bis Ihre Anfrage erledigt ist. Zum Schutz vor massenhaften Einsendungen zählen wir kurzzeitig (eine Stunde), wie oft von Ihrer IP-Adresse geschrieben wurde. Wann Ihnen der Hinweis zuletzt gezeigt wurde, speichert nur Ihr Browser (siehe Abschnitt 7), damit er höchstens alle 30 Tage erscheint.

5. Speicherdauer & Datensicherung

• Konto- & Kontaktdaten: Bis zur Löschung des Kontos. Ein Konto ohne Organisation löschen Sie selbst unter „Konto“; Mitglieder werden von ihrem Administrator entfernt. Name, E-Mail und Anmeldedaten werden dabei sofort entfernt (Anonymisierung); Einträge in Protokollen und Historien bleiben ohne Personenbezug als „Ehemaliger Benutzer“ erhalten, soweit die Nachvollziehbarkeit von Vergabe- und Bauvorgängen das verlangt.
• Organisations- und Inhaltsdaten (Projekte, Ausschreibungen, Angebote, Aufmaße): Bis zur Auflösung der Organisation durch ihren letzten Administrator. Nach dem Antrag läuft eine Karenz von 14 Tagen mit Widerrufsmöglichkeit; danach werden die Daten gelöscht und alle Konten der Organisation anonymisiert. Unterlagen, die andere Unternehmen betreffen (deren Angebote, Rechnungen, Aufmaße in Ihren Projekten), werden diesen vorher als Dateien übergeben. Endet der Zugang der Organisation (Testphase ohne Freischaltung abgelaufen oder Vertrag beendet), werden die Daten drei Monate danach auf dieselbe Weise gelöscht; die Administratoren erhalten 30 und 7 Tage vorher eine E-Mail (Punkt 8b der AGB, Art. 5 Abs. 1 lit. c und e DSGVO).
• Abrechnungsdaten (Rechnungen der Software-Nutzung, SEPA-Mandat): sieben Jahre nach Auflösung der Organisation (§ 132 BAO), danach endgültige Löschung.
• Rechnungs- & Zahlungsdaten: 7 Jahre nach Ausstellung der Rechnung (§ 132 BAO, § 212 UGB).
• Server- und Zugangsprotokolle: Maximal 90 Tage, danach automatische Überschreibung.
• Backups: Laufende Datensicherungen werden nach 30 Tagen überschrieben.

Sie können Ihre Daten jederzeit selbst über die vorgesehenen Export-Funktionen abrufen (Details siehe Punkt 8 der AGB sowie der AVV).

6. Ihre Rechte

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Beschwerderecht bei der österreichischen Datenschutzbehörde ( dsb.gv.at).

7. Cookies und Speicherung auf Ihrem Endgerät

Notwendige Speicherung nutzen wir immer — ohne sie könnten wir Ihre Entscheidung über diese Einwilligung nicht festhalten. Alles Weitere setzen wir erst ein, nachdem Sie zugestimmt haben; die Skripte werden bis dahin nicht geladen.

bn_attr steht in der Zeile Marketing, obwohl wir es selbst setzen und niemandem übermitteln: es existiert ausschließlich zur Werbeerfolgsmessung. Danach richtet sich die Einwilligungspflicht — nicht danach, wer den Namen setzt.

8. Einwilligung widerrufen

Über „Cookie-Einstellungen“ am Ende jeder Seite können Sie Ihre Auswahl jederzeit ändern oder die Einwilligung vollständig widerrufen. Beim Widerruf löschen wir den Einwilligungs-Datensatz und die genannten Werbe-Cookies und laden die Seite neu. Das Neuladen ist notwendig und nicht Kosmetik: ein bereits geladenes Skript lässt sich im Browser nicht mehr entfernen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt (Art. 7 Abs. 3 DSGVO).