Datenschutz

1. Geltungsbereich

Diese Datenschutzerklärung gilt für die öffentlich erreichbaren Seiten der Reconex GmbH sowie für die auf derselben Internetdomain bereitgestellten Funktionsbereiche. Hierzu gehören insbesondere die geschützte Terminbuchung, das Tiefbau-Portal, zugehörige Anmelde- und Verwaltungsseiten sowie technische Endpunkte, die ausschließlich für diese Funktionen vorgesehen sind.

Die Erklärung beschreibt die Datenverarbeitung, die bei der Nutzung dieser Internetangebote technisch oder organisatorisch stattfindet. Sie erfasst nicht automatisch jede Verarbeitung innerhalb des Unternehmens. Für Beschäftigtendaten, Lieferantenverwaltung, allgemeine Vertragsabwicklung oder andere interne Verfahren können ergänzende Informationen gelten, die den jeweils betroffenen Personen gesondert zur Verfügung gestellt werden.

Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Auch Kennungen, Projektbezüge oder technische Merkmale können personenbezogen sein, wenn sie einer Person zugeordnet werden können.

2. Verantwortlicher

Verantwortlich für die in dieser Erklärung beschriebenen Verarbeitungen ist:

Reconex GmbH
Siemensstr. 2
35325 Mücke
Deutschland

Telefon: +49 (0) 6401 22828 - 0
Fax: +49 (0) 6401 22828 - 29
E-Mail: info@reconex.de

Der Verantwortliche entscheidet im Rahmen der gesetzlichen und vertraglichen Vorgaben über Zwecke und Mittel der Verarbeitung. Bei projektbezogenen Verfahren kann zusätzlich zu prüfen sein, ob ein Auftraggeber oder ein anderer Projektbeteiligter für einzelne Datenbestände selbst verantwortlich ist und die Reconex GmbH insoweit als Auftragsverarbeiter oder eigenständig Verantwortlicher tätig wird. Die konkrete Rollenverteilung richtet sich nach dem jeweiligen Projekt und den dazu geschlossenen Vereinbarungen.

3. Begriffe und Grundsätze der Verarbeitung

Die Verarbeitung personenbezogener Daten umfasst unter anderem das Erheben, Erfassen, Ordnen, Speichern, Verändern, Auslesen, Übermitteln, Einschränken und Löschen von Angaben. Betroffene Person ist die natürliche Person, auf die sich die Daten beziehen. Empfänger ist eine Stelle, der personenbezogene Daten offengelegt werden. Ein Auftragsverarbeiter verarbeitet Daten nach dokumentierten Weisungen eines Verantwortlichen.

Die Reconex GmbH richtet die Verarbeitung an den Grundsätzen der Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit aus. Es sollen nur diejenigen Angaben verarbeitet werden, die für den jeweiligen Zweck benötigt werden. Zugriffsrechte werden nach Aufgaben und Rollen vergeben.

Die Darstellung einzelner Verarbeitungsvorgänge in dieser Erklärung bedeutet nicht, dass bei jedem Seitenaufruf sämtliche genannten Daten anfallen. Welche Angaben tatsächlich verarbeitet werden, hängt davon ab, ob lediglich eine öffentliche Informationsseite betrachtet, eine Einladung zur Terminbuchung verwendet oder ein geschützter Projektbereich mit entsprechender Berechtigung genutzt wird.

4. Allgemeine Rechtsgrundlagen

Art. 6 Abs. 1 lit. b DSGVO ist Rechtsgrundlage, soweit eine Verarbeitung zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. Dies kann insbesondere bei projektbezogener Kommunikation, Terminabstimmung, Auftragsbearbeitung und Dokumentation gelten.

Art. 6 Abs. 1 lit. c DSGVO ist einschlägig, wenn Daten zur Erfüllung einer gesetzlichen Verpflichtung verarbeitet oder aufbewahrt werden müssen. Hierzu können handels-, steuer-, arbeits-, bau- oder nachweisrechtliche Pflichten gehören.

Art. 6 Abs. 1 lit. f DSGVO dient als Rechtsgrundlage, wenn die Verarbeitung zur Wahrung berechtigter Interessen erforderlich ist und keine überwiegenden Interessen oder Rechte der betroffenen Person entgegenstehen. Zu den berücksichtigten Interessen gehören ein sicherer und stabiler Internetbetrieb, Missbrauchsabwehr, nachvollziehbare Projektabläufe, IT-Sicherheit, Fehleranalyse, Anspruchssicherung und allgemeine Unternehmenskommunikation.

Art. 6 Abs. 1 lit. a DSGVO kommt nur zur Anwendung, wenn für einen bestimmten Vorgang ausdrücklich eine Einwilligung eingeholt wird. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Verarbeitungen vor dem Widerruf bleiben hiervon unberührt.

Der Zugriff auf Informationen in einem Endgerät oder deren Speicherung richtet sich zusätzlich nach § 25 TDDDG. Eine Einwilligung ist nicht erforderlich, wenn der Vorgang unbedingt notwendig ist, um eine ausdrücklich gewünschte Funktion bereitzustellen. Die Einzelheiten zu Sitzungscookies und lokalen Entwürfen werden nachfolgend erläutert.

5. Hosting und Auftragsverarbeitung

Die Website und die auf derselben Domain bereitgestellten Funktionen werden bei der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, gehostet. Der Hostinganbieter stellt Speicherplatz, Rechenleistung, Datenbank- beziehungsweise Dateisystemfunktionen, Webserverbetrieb und technische Infrastruktur für die Auslieferung des Angebots bereit.

STRATO verarbeitet dabei technische Daten im Auftrag der Reconex GmbH, soweit keine eigene gesetzliche Verantwortlichkeit des Anbieters besteht. Die Einbindung erfolgt auf Grundlage einer Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO. Zugriffsmöglichkeiten des Hosters sind auf das zur Erbringung, Wartung, Absicherung und Fehlerbehebung Erforderliche beschränkt.

Der Hostingbetrieb dient der Bereitstellung der Website, der Verfügbarkeit der geschützten Funktionen, der Sicherung von Datenbeständen und der Abwehr von Störungen. Rechtsgrundlagen sind je nach Nutzung Art. 6 Abs. 1 lit. b und lit. f DSGVO. Das berechtigte Interesse liegt insbesondere in einem funktionsfähigen, sicheren und wirtschaftlich vertretbaren Betrieb der technischen Infrastruktur.

Im Rahmen der technischen Administration können Sicherungskopien entstehen. Daten in Sicherungen werden nicht zu anderen Zwecken verwendet. Sie werden nach den technischen Sicherungszyklen überschrieben oder gelöscht, soweit keine Störung, gesetzliche Pflicht oder notwendige Wiederherstellung eine vorübergehende weitere Vorhaltung erfordert.

6. Server-Protokolldaten

Bei jeder Verbindung mit dem Webserver werden technisch bedingt Zugriffsdaten verarbeitet. Dazu können insbesondere die aufgerufene Adresse oder Datei, Datum und Uhrzeit, übertragene Datenmenge, Meldungen über den Abrufstatus, Referrer-Adresse, Browsertyp und Browserversion, Betriebssystem, anfragender Provider sowie die IP-Adresse gehören.

Die Protokolldaten werden benötigt, um Inhalte an das anfragende Endgerät auszuliefern, technische Fehler zu erkennen, die Stabilität des Angebots zu überwachen und Angriffe oder missbräuchliche Zugriffe untersuchen zu können. Eine Zusammenführung mit Daten zu Werbe- oder Profilingzwecken findet nicht statt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die berechtigten Interessen bestehen in der technischen Bereitstellung, Systemsicherheit, Missbrauchsabwehr und nachvollziehbaren Bearbeitung von Störungen. Empfänger ist insbesondere der Hostinganbieter im Rahmen der Auftragsverarbeitung; in einem konkreten Sicherheitsfall können außerdem befugte IT-Dienstleister, Rechtsberater oder zuständige Behörden einbezogen werden.

Nach Angaben von STRATO werden Hostnamen beziehungsweise IP-Adressen in den bereitgestellten Logdateien anonymisiert. Die Logdateien stehen beim Hostinganbieter für einen Zeitraum von sechs Wochen zur Verfügung. Soweit einzelne Sicherheitsereignisse zur Beweissicherung gesondert dokumentiert werden müssen, kann eine längere Speicherung des betreffenden Ausschnitts erfolgen, bis der Vorgang aufgeklärt oder ein daraus folgender Anspruch erledigt ist.

7. Öffentlicher Internetauftritt

Die öffentlich zugänglichen Seiten enthalten Informationen über die Reconex GmbH, ihre Geschäftsleitung, Leistungsbereiche und Kontaktdaten. Für die reine Betrachtung dieser Inhalte ist keine Registrierung erforderlich. Es werden keine Benutzerkonten angelegt und keine Formularangaben abgefragt.

Auf den öffentlichen Präsentationsseiten sind keine Dienste zur Reichweitenmessung, Verhaltensanalyse, personalisierten Werbung oder Erstellung von Nutzerprofilen eingebunden. Es werden dort insbesondere keine Analyseplattformen, Werbenetzwerke, Social-Media-Plugins, extern eingebetteten Karten oder automatisch nachgeladenen Videoplayer verwendet.

Schriftarten, Gestaltungselemente, Skripte und Bilder werden aus dem eigenen Webangebot ausgeliefert. Dadurch wird vermieden, dass bereits beim bloßen Aufruf der Präsentationsseiten eine Verbindung zu einem externen Schrift-, Karten-, Video- oder Social-Media-Anbieter aufgebaut wird.

Die Verarbeitung beschränkt sich auf die für die Webauslieferung erforderlichen Serverdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht in einer sachlichen, technisch zuverlässigen Unternehmensdarstellung.

8. Cookies, Sitzungsspeicher und lokale Speicherung

Cookies sind kleine Informationen, die ein Webserver im Browser speichern oder auslesen kann. Vergleichbare Funktionen können durch Sitzungsspeicher oder den lokalen Speicher des Browsers erfüllt werden. Ob eine solche Speicherung stattfindet, hängt vom aufgerufenen Bereich ab.

Öffentliche Präsentationsseiten

Die reinen Unternehmens- und Leistungsseiten setzen keine Analyse-, Marketing- oder Komfortcookies. Für ihre Darstellung ist kein Einwilligungsbanner erforderlich, solange die beschriebene technische Konfiguration unverändert bleibt und keine einwilligungspflichtigen Dienste ergänzt werden.

Terminbuchung und Tiefbau-Portal

Die geschützten Funktionsbereiche verwenden ein technisch notwendiges Sitzungscookie. Es ordnet aufeinanderfolgende Abrufe derselben Sitzung zu, unterstützt die Anmeldung, speichert Sicherheitsmerkmale wie CSRF-Token und ermöglicht Statusmeldungen. Das Cookie wird mit einer Sitzungsdauer angelegt, ist für Skriptzugriffe gesperrt, wird nur über eine verschlüsselte Verbindung übertragen und ist mit der SameSite-Einstellung „Lax“ versehen, soweit die eingesetzte Serverversion diese Merkmale unterstützt.

Auf dem derzeit eingesetzten Livesystem lautet der Cookie-Name PHPSESSID. Das Cookie enthält eine zufällige Sitzungskennung, nicht den Benutzernamen, das Passwort oder Inhalte eines Projekts. Es gilt für den Pfad „/“, besitzt keine feste Laufzeit über die Browsersitzung hinaus und wird mit den Attributen Secure, HttpOnly und SameSite=Lax gesetzt. Dadurch wird es nur verschlüsselt übertragen, ist nicht über clientseitiges JavaScript auslesbar und wird bei bestimmten seitenübergreifenden Anfragen eingeschränkt.

Rechtsgrundlage für die personenbezogene Verarbeitung ist je nach Funktionszweck Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Die Speicherung im Endgerät ist nach § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich, weil die ausdrücklich aufgerufene Anmeldung, Buchung oder Projektfunktion ohne Sitzungszuordnung nicht sicher bereitgestellt werden kann.

Für dieses technisch notwendige Sitzungscookie wird keine Einwilligung eingeholt. Ein Auswahlbanner mit den Schaltflächen „Akzeptieren“ oder „Ablehnen“ wird daher nicht angezeigt. Die Information erfolgt in dieser Datenschutzerklärung und zusätzlich unmittelbar auf den Einstiegsseiten der Terminbuchung, Terminverwaltung und des Tiefbau-Portals. Werden künftig Analyse-, Marketing- oder sonstige nicht unbedingt erforderliche Speichertechniken ergänzt, muss die Einwilligung vor deren Aktivierung eingeholt und diese Erklärung angepasst werden.

Lokale Entwürfe im Abnahmebereich

Im geschützten Abnahmebereich kann der Browser einen projektbezogenen Entwurf lokal auf dem verwendeten Gerät speichern. Dies wird in Abschnitt 16 gesondert beschrieben. Die lokale Speicherung dient ausschließlich der Wiederherstellung eines begonnenen Entwurfs und nicht der Analyse des Nutzungsverhaltens.

9. Deaktiviertes Kontaktformular

Auf der Kontaktseite ist ein Formular lediglich als deaktiviertes Gestaltungselement dargestellt. Sämtliche Eingabefelder und die Schaltfläche sind gesperrt. Das Formular übermittelt weder Name noch E-Mail-Adresse, Telefonnummer oder Nachricht.

Auch der technische Formular-Endpunkt ist deaktiviert. Anfragen an diesen Endpunkt werden mit einer Nichtverfügbarkeitsmeldung zurückgewiesen; eingegebene Inhaltsdaten werden nicht verarbeitet, versendet oder in einer Kontaktdatenbank gespeichert. Für die Zurückweisung fallen lediglich die allgemeinen Server-Protokolldaten an, die in Abschnitt 6 beschrieben sind.

Sollte das Formular zu einem späteren Zeitpunkt wieder aktiviert oder durch eine andere Übermittlungsfunktion ersetzt werden, wird diese Datenschutzerklärung vor der Aktivierung angepasst. Je nach technischer Ausgestaltung können dann zusätzliche Angaben zur Rechtsgrundlage, Speicherdauer, Spamabwehr und zu Empfängern erforderlich werden.

10. Kommunikation per E-Mail, Telefon oder Fax

Wenn eine Person von sich aus per E-Mail, Telefon oder Fax Kontakt aufnimmt, verarbeitet die Reconex GmbH die dabei mitgeteilten Angaben. Typischerweise können dies Name, Organisation oder Unternehmen, Kontaktdaten, Zeitpunkt, Inhalt des Anliegens, Projektreferenzen und die zur Bearbeitung geführte Korrespondenz sein.

Der Zweck besteht in der Zuordnung, Bearbeitung und Dokumentation des jeweiligen Anliegens. Dient die Kommunikation einem bestehenden Vertrag oder einer auf Wunsch der betroffenen Person eingeleiteten vorvertraglichen Maßnahme, ist Art. 6 Abs. 1 lit. b DSGVO Rechtsgrundlage. Bei allgemeiner Geschäftskommunikation, organisatorischen Rückfragen oder der Abwehr missbräuchlicher Nachrichten beruht die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO.

Innerhalb der Reconex GmbH erhalten nur diejenigen Stellen Zugriff, die das Anliegen fachlich oder organisatorisch bearbeiten. Soweit eine Weiterleitung an einen Projektpartner, Auftraggeber, Nachunternehmer, IT-Dienstleister oder Berater notwendig ist, erfolgt sie nur zweckbezogen und auf einer entsprechenden Rechtsgrundlage.

Korrespondenz wird gelöscht, wenn der Vorgang abgeschlossen ist und keine gesetzlichen Aufbewahrungspflichten oder berechtigten Nachweisinteressen entgegenstehen. Vertrags- und abrechnungsrelevante Unterlagen können entsprechend den gesetzlichen Fristen länger aufbewahrt werden. Nachrichten ohne fortbestehenden Zweck werden im Rahmen der organisatorischen Löschläufe entfernt.

E-Mail-Kommunikation kann trotz Transportverschlüsselung zwischen beteiligten Mailservern nicht in jedem Fall als vollständig vertraulich garantiert werden. Besonders schutzbedürftige Angaben sollten nur über dafür vorgesehene sichere Übermittlungswege versendet werden.

11. Geschützte Terminbuchung

Die Terminbuchung ist kein allgemein offenes Werbe- oder Anfrageformular. Sie ist für projektbezogene Vorgänge vorgesehen und wird über eine individuelle Einladung, einen Direktlink oder eine Buchungskennung aufgerufen. Ohne passende Zuordnung kann kein projektbezogener Termin ausgewählt werden.

Verarbeitete Datenarten

Abhängig vom Vorgang können eine externe Buchungskennung, Projekt- und Empfängerreferenz, Zuordnung zu einer Termingruppe, verfügbare und ausgewählte Zeitfenster, Ort oder Bezeichnung des Termins, Buchungsstatus, Buchungs- und Bearbeitungszeitpunkte sowie interne Bestätigungs- und Synchronisationsmerkmale verarbeitet werden.

Zur Absicherung des Buchungsvorgangs werden außerdem die anfragende IP-Adresse und die Browserkennung erfasst. Sie helfen dabei, Mehrfach- oder Missbrauchsanfragen nachzuvollziehen und technische Fehler zu untersuchen. Für die Steuerung der Sitzung werden ein technisch notwendiges Sitzungscookie und ein zufälliges Sicherheitstoken verwendet.

Soweit die Einladung mit einem vorhandenen Projekt- oder Empfängerdatensatz verknüpft ist, können Name, E-Mail-Adresse, Straße, Postleitzahl und Ort aus dem dafür vorgesehenen Projektbestand zur eindeutigen Zuordnung und Benachrichtigung verwendet werden. Diese Stammdaten werden nicht durch das öffentliche Buchungsformular neu abgefragt, sondern stammen aus der projektbezogenen Vorbelegung oder einer dafür vorgesehenen internen Datenquelle.

Zwecke und Rechtsgrundlagen

Die Daten werden verarbeitet, um Einladungen zuzuordnen, verfügbare Zeitfenster anzuzeigen, Terminwünsche entgegenzunehmen, Kapazitäten zu verwalten, Bestätigungen vorzubereiten und den Bearbeitungsstatus nachvollziehbar zu dokumentieren. Soweit der Termin der Durchführung eines Projekts oder Vertrags dient, beruht die Verarbeitung auf Art. 6 Abs. 1 lit. b DSGVO.

Die Erfassung technischer Merkmale, Begrenzung wiederholter Abrufe, Statusprotokollierung und Fehleranalyse beruhen auf Art. 6 Abs. 1 lit. f DSGVO. Die berechtigten Interessen liegen in Betriebssicherheit, Missbrauchsschutz, verlässlicher Terminorganisation und der Nachweisbarkeit projektbezogener Abläufe.

Speicherung und Archivierung

Buchungsdaten werden während der Terminabstimmung und der zugehörigen Projektbearbeitung vorgehalten. Wird eine Buchung archiviert, werden Empfängerreferenz, IP-Adresse und Browserkennung aus dem archivierten Datensatz entfernt. Die verbleibenden Termin- und Statusinformationen können erhalten bleiben, soweit sie für Projektchronologie, Nachweis oder die Behandlung nachträglicher Rückfragen erforderlich sind.

Eine weitere Speicherung endet, wenn der Termin- und Projektzweck entfallen ist und keine gesetzlichen oder vertraglichen Nachweisfristen, offenen Ansprüche oder Sicherheitsvorgänge entgegenstehen. Gesperrte oder abgelaufene Einladungen werden nicht mehr zur Buchung verwendet.

12. Terminbezogene Benachrichtigungen

Im Zusammenhang mit einer Terminbuchung können interne Benachrichtigungen und projektbezogene Mitteilungen versendet werden. Dabei können Buchungskennung, Projekt- und Empfängerreferenz, Termin, Status sowie die zur Zustellung benötigte E-Mail-Adresse verarbeitet werden.

Benachrichtigungen an interne Stellen dienen der Prüfung und weiteren Bearbeitung einer eingegangenen Terminauswahl. Eine Nachricht an die betroffene Person kann insbesondere eine Bestätigung, Statusinformation oder organisatorische Ergänzung enthalten. Der Versand erfolgt nur, wenn für den zugeordneten Datensatz eine E-Mail-Adresse vorhanden ist und die betreffende Mitteilung im Vorgang vorgesehen ist.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Nachricht zur Termin- oder Vertragsdurchführung erforderlich ist. Interne Status- und Sicherheitsmeldungen können zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO beruhen. Versand- und Bestätigungszeitpunkte können dokumentiert werden, damit nachvollziehbar bleibt, ob und wann eine vorgesehene Mitteilung ausgelöst wurde.

13. Geschütztes Tiefbau-Portal

Das Tiefbau-Portal ist ein nicht öffentliches Arbeits-, Koordinations- und Dokumentationssystem. Der Zugriff setzt eine Berechtigung voraus. Öffentliche Suchmaschinen sollen diese Bereiche nicht indexieren; dies ersetzt jedoch nicht die technische Zugangskontrolle.

Benutzer- und Berechtigungsdaten

Für Benutzerkonten können Benutzername, Vor- und Nachname, Anzeigename, Unternehmenszuordnung, interne Benutzerkennung, Rolle, Berechtigungsstatus, Passwortprüfwert sowie Erstellungs- und Änderungszeitpunkte verarbeitet werden. Kennwörter werden nicht im Klartext für die Anmeldung benötigt, sondern anhand eines kryptografischen Prüfwerts kontrolliert.

Bei der Anmeldung wird eine serverseitige Sitzung aufgebaut. Sie ordnet die nachfolgenden Zugriffe dem angemeldeten Konto zu und ermöglicht rollenbezogene Entscheidungen. Fehlgeschlagene Anmeldeversuche können zeitlich begrenzt berücksichtigt werden, um automatisierte oder wiederholte Angriffe zu erschweren.

Zwecke und Rechtsgrundlagen

Die Kontodaten dienen der Authentifizierung, Berechtigungssteuerung, Zuordnung von Bearbeitungen, internen Administration und Absicherung des Portals. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit der Portalzugriff zur Durchführung eines Vertrags- oder Projektverhältnisses gehört. Sicherheits-, Rollen- und Protokollfunktionen beruhen zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO.

Konten werden deaktiviert oder gelöscht, wenn ihre Nutzung nicht mehr erforderlich ist. Angaben, die bereits Bestandteil einer notwendigen Projekt- oder Bearbeitungsdokumentation geworden sind, können in dieser Dokumentation erhalten bleiben, damit frühere Arbeitsschritte weiterhin einer berechtigten Stelle zugeordnet werden können.

14. Projekt-, Auftrags- und Adressdaten

Im Tiefbau-Portal werden projektbezogene Aufträge und Arbeitsschritte verwaltet. Abhängig vom jeweiligen Verfahren können hierzu Projektkennung, Auftragskennung, KLS-ID, NVT- oder Netzbezug, Anschrift des Ausführungsorts, Ortsangaben, Auftragsstatus, Termin- und Fristangaben, zugeordnetes Unternehmen, zuständige Benutzer, technische Merkmale, Bearbeitungsnotizen und Zeitstempel gehören.

Sofern für die Projektabwicklung erforderlich, können außerdem Name oder Bezeichnung einer betroffenen Person, ein projektbezogener Kundenname, Angaben zum Grundstück oder Hausanschluss und weitere Informationen verarbeitet werden, die der eindeutigen Zuordnung des Bau- oder Montagevorgangs dienen.

Die Verarbeitung dient der Planung, Zuweisung, Ausführung, Fortschrittskontrolle, Qualitätssicherung, Abnahme, Dokumentation und Nachweisführung. Rechtsgrundlage ist regelmäßig Art. 6 Abs. 1 lit. b DSGVO. Soweit Angaben zur Erfüllung gesetzlicher Nachweis-, Verkehrs- oder Aufbewahrungspflichten benötigt werden, kommt Art. 6 Abs. 1 lit. c DSGVO hinzu. Die Sicherung nachvollziehbarer Projektstände und die Abwehr oder Durchsetzung von Ansprüchen können auf Art. 6 Abs. 1 lit. f DSGVO beruhen.

Projektangaben können aus Unterlagen eines Auftraggebers, aus dafür vorgesehenen Importdateien, aus einer technischen Schnittstelle, aus einer internen Erfassung oder aus der Dokumentation vor Ort stammen. Nicht jede Datenquelle wird in jedem Projekt genutzt.

Zugriff erhalten nur Benutzer, deren Rolle, Unternehmenszuordnung oder konkrete Projektaufgabe dies vorsieht. Eine Verwendung zu Werbe- oder Profilingzwecken findet nicht statt.

15. Fotos, Dokumente, Berichte und Abnahmen

Zur technischen und baulichen Dokumentation können Fotos, Bilddateien, PDFs, Mess- und Prüfunterlagen, Berichte, Abnahmeunterlagen und sonstige projektbezogene Dateien gespeichert werden. Zu einer Datei werden je nach Vorgang Dateiname, ursprünglicher Dateiname, Dateityp, Größe, Kategorie, Uploadzeitpunkt, Projekt- oder Auftragsbezug und die zuordnende Benutzerkennung verarbeitet.

Fotos können Grundstücke, Baugruben, Leitungswege, Oberflächen, technische Einrichtungen, Arbeitsstände oder Mängel zeigen. Personen sollen nur abgebildet werden, soweit dies für die Dokumentation erforderlich oder nicht vermeidbar ist. Unnötige Personenbezüge sind bei der Aufnahme und weiteren Verwendung zu vermeiden.

Berichte können Adress- und Auftragsangaben, Arbeitsschritte, Feststellungen, ausführende Unternehmen, verantwortliche oder bearbeitende Personen, Kundenbezeichnungen, Abnahmevermerke und Zeitpunkte enthalten. Abnahmeunterlagen können zusätzlich einen Namen, Hinweise, Sprachauswahl und eine Unterschrift oder Signaturdarstellung enthalten.

Die Verarbeitung dient der Projektsteuerung, technischen Dokumentation, Qualitätskontrolle, Abnahme, Beweissicherung und Erfüllung vertraglicher oder gesetzlicher Nachweispflichten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b, lit. c und – insbesondere für Nachweis- und Anspruchssicherungszwecke – lit. f DSGVO.

Dateien dürfen nur durch berechtigte Benutzer abgerufen werden. Download- und Vorschaumöglichkeiten sind in den geschützten Bereich eingebunden. Dateien werden nicht für öffentliche Galerien oder Werbezwecke verwendet.

16. Abnahmeentwürfe und Speicherung im Browser

Im geschützten Abnahmebereich wird ein begonnener Entwurf automatisch gespeichert, um Datenverluste während der Bearbeitung zu vermeiden. Ein Entwurf kann Kundenname, Abnahmenotizen, gewählte Sprache, Signaturdarstellung und Aktualisierungszeitpunkt enthalten.

Der Entwurf wird einerseits serverseitig dem betreffenden Auftrag zugeordnet und andererseits im lokalen Speicher des verwendeten Browsers abgelegt. Der lokale Schlüssel enthält einen Bezug zur Auftragskennung. Die Speicherung im Browser ermöglicht es, einen begonnenen Entwurf nach einer Unterbrechung auf demselben Gerät wiederherzustellen.

Die lokale Speicherung ist nur für die ausdrücklich genutzte Entwurfsfunktion vorgesehen. Sie wird nicht zum Tracking verwendet. Rechtsgrundlage der personenbezogenen Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO; soweit die Funktion der Datenintegrität und Vermeidung versehentlicher Verluste dient, zusätzlich Art. 6 Abs. 1 lit. f DSGVO. Der Zugriff auf den lokalen Speicher ist nach § 25 Abs. 2 Nr. 2 TDDDG erforderlich, um die gewünschte Entwurfsfunktion bereitzustellen.

Wird eine Abnahme finalisiert und ist der lokale Entwurf nicht neuer als der abgeschlossene Vorgang, entfernt die Anwendung den betreffenden lokalen Entwurf. Benutzer können lokale Websitedaten außerdem über die Einstellungen ihres Browsers löschen. Bei gemeinsam genutzten Geräten ist darauf zu achten, die Sitzung zu beenden und lokale Daten nicht unbefugt zugänglich zu lassen.

17. Bearbeitungsnachweise, Archivierung und Löschvorgänge

Damit Projektstände nachvollziehbar bleiben, können Erstellungs-, Änderungs-, Übermittlungs-, Bestätigungs-, Archivierungs- und Löschzeitpunkte dokumentiert werden. Je nach Funktion kann zusätzlich gespeichert werden, welcher berechtigte Benutzer eine Bearbeitung vorgenommen hat.

Wird eine Datei oder ein Datensatz aus der aktiven Ansicht entfernt, kann zunächst eine technisch getrennte oder als gelöscht gekennzeichnete Ablage entstehen. Dies ermöglicht die Wiederherstellung irrtümlich entfernter Projektunterlagen, die Nachvollziehbarkeit eines Löschvorgangs und die Einhaltung projektspezifischer Nachweispflichten. Eine solche Vorhaltung ist keine dauerhafte unbegrenzte Speicherung.

Für gelöschte Uploads können insbesondere frühere Projekt- und Dateizuordnung, Kategorie, ursprünglicher Dateiname, Löschzeitpunkt und die Kennung des löschenden Benutzers erhalten bleiben. Der Zugriff ist auf administrative oder ausdrücklich berechtigte Funktionen beschränkt.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für die geordnete Projektabwicklung, Art. 6 Abs. 1 lit. c DSGVO bei gesetzlichen Nachweispflichten und Art. 6 Abs. 1 lit. f DSGVO für Datenintegrität, Fehlbedienungsschutz, Revisionsfähigkeit und Anspruchssicherung. Die Löschung erfolgt, wenn Wiederherstellungs-, Nachweis- und Sicherungszwecke entfallen und keine Pflicht zur weiteren Aufbewahrung besteht.

18. Technische Schnittstellen und Datenaustausch

Für Termin- und Projektabläufe können geschützte technische Schnittstellen verwendet werden. Sie dienen beispielsweise dazu, Projekt- oder Empfängerreferenzen zu übernehmen, Terminstatus abzugleichen, Auftragsinformationen bereitzustellen oder Dokumentationsdaten einem berechtigten Projektsystem zuzuordnen.

Je nach Schnittstellenfunktion können Projektkennungen, Adressen, Statusdaten, Zeitpunkte, Benutzer- oder Unternehmenszuordnungen, Buchungsdaten und technische Sicherheitsmerkmale verarbeitet werden. Schnittstellen sind nicht für den freien öffentlichen Abruf vorgesehen und werden durch Authentifizierungs- oder Berechtigungsmerkmale geschützt.

Die Verarbeitung erfolgt nur, wenn sie im betreffenden Projekt vorgesehen und für Durchführung, Synchronisation oder Dokumentation erforderlich ist. Rechtsgrundlage ist regelmäßig Art. 6 Abs. 1 lit. b DSGVO; die Absicherung, Fehleranalyse und Begrenzung missbräuchlicher Zugriffe beruhen auf Art. 6 Abs. 1 lit. f DSGVO.

Ob die Reconex GmbH bei einem konkreten Datenaustausch Verantwortlicher, gemeinsam Verantwortlicher oder Auftragsverarbeiter ist, richtet sich nach Zweckbestimmung, Weisungsbefugnis und den vertraglichen Vereinbarungen des jeweiligen Projekts.

19. Empfänger und Kategorien von Empfängern

Personenbezogene Daten werden nicht allgemein veröffentlicht. Innerhalb der Reconex GmbH erhalten nur diejenigen Personen Zugriff, die die Angaben für ihre Aufgaben in Verwaltung, Projektleitung, Planung, Ausführung, Dokumentation, IT-Betrieb oder Geschäftsführung benötigen.

Je nach Verarbeitung können folgende Kategorien von Empfängern einbezogen werden:

• Hosting-, IT-, Wartungs- und Sicherheitsdienstleister im Rahmen vertraglicher und gesetzlicher Vorgaben,
• Auftraggeber, Projektpartner, ausführende Unternehmen oder Nachunternehmer, soweit der konkrete Projektablauf dies erfordert,
• E-Mail- und Kommunikationsdienstleister für die technische Übermittlung vorgesehener Nachrichten,
• Steuer-, Rechts- oder sonstige fachliche Berater bei einem entsprechenden Beratungs- oder Nachweisbedarf,
• Versicherungen, Prüfer oder Sachverständige, soweit dies zur Prüfung, Abnahme oder Bearbeitung eines Schadens- beziehungsweise Anspruchsfalls erforderlich ist,
• Behörden, Gerichte oder sonstige öffentliche Stellen, wenn eine gesetzliche Verpflichtung besteht oder die Offenlegung zur Rechtsverfolgung zulässig und erforderlich ist.

Dienstleister, die personenbezogene Daten weisungsgebunden verarbeiten, werden auf Grundlage eines Vertrags nach Art. 28 DSGVO eingesetzt. Eigenständig Verantwortliche erhalten Daten nur, wenn eine Rechtsgrundlage für die Übermittlung besteht. Der Umfang wird auf die für den jeweiligen Zweck erforderlichen Angaben begrenzt.

20. Übermittlungen in Drittländer

Die öffentlichen Präsentationsseiten binden keine Dienste ein, die bereits beim bloßen Seitenaufruf Daten an Anbieter in Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums übermitteln. Insbesondere werden keine externen Analyse-, Werbe-, Karten-, Video- oder Social-Media-Inhalte automatisch geladen.

Bei einer selbst veranlassten Kommunikation oder in einem konkreten Projekt kann eine Übermittlung außerhalb des Europäischen Wirtschaftsraums nur dann stattfinden, wenn sie für den Vorgang erforderlich ist und die gesetzlichen Voraussetzungen erfüllt sind. In Betracht kommen insbesondere ein Angemessenheitsbeschluss der Europäischen Kommission, geeignete Garantien wie Standardvertragsklauseln oder eine gesetzliche Ausnahme für den Einzelfall.

Ob bei der Übermittlung einer E-Mail einzelne technische Kommunikationsanbieter außerhalb des Europäischen Wirtschaftsraums beteiligt sind, kann auch von den durch Absender und Empfänger eingesetzten Diensten abhängen. Die Reconex GmbH veranlasst über die öffentliche Website keine darüber hinausgehende routinemäßige Drittlandübermittlung.

21. Technische und organisatorische Sicherheit

Die Reconex GmbH setzt angemessene technische und organisatorische Maßnahmen ein, um personenbezogene Daten gegen Verlust, Veränderung, unbefugte Offenlegung und unbefugten Zugriff zu schützen. Die Maßnahmen werden unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere möglicher Risiken ausgewählt.

Zu den auf der Website erkennbaren Schutzmaßnahmen gehören insbesondere:

• verschlüsselte Übertragung über HTTPS,
• Weiterleitung unverschlüsselter Abrufe auf die verschlüsselte Verbindung,
• Sicherheitsattribute für technisch notwendige Sitzungscookies,
• Schutz vor unbefugter Einbettung und vor fehlerhafter Inhaltstyp-Erkennung durch HTTP-Sicherheitskopfzeilen,
• rollen- und kontobezogene Zugangskontrollen für geschützte Bereiche,
• zufällige Sicherheitstoken gegen unbefugte Formularübermittlung,
• Begrenzung wiederholter Zugriffs- oder Anmeldeversuche,
• Trennung öffentlich erreichbarer Inhalte von internen Daten- und Konfigurationsbereichen,
• Protokollierung und nachvollziehbare Zuordnung sicherheitsrelevanter Bearbeitungen,
• Sicherungs- und Wiederherstellungsverfahren im Rahmen des technischen Betriebs.

Die Maßnahmen werden entsprechend technischer Entwicklung und festgestellter Risiken überprüft. Ein absoluter Schutz kann bei elektronischer Datenverarbeitung dennoch nicht garantiert werden. Benutzer geschützter Bereiche sind verpflichtet, Zugangsdaten vertraulich zu behandeln, Sitzungen auf gemeinsam genutzten Geräten zu beenden und erkennbare Sicherheitsvorfälle unverzüglich zu melden.

22. Speicherdauer und Kriterien ihrer Festlegung

Personenbezogene Daten werden nicht länger gespeichert, als es für den jeweiligen Zweck erforderlich ist. Da die Website unterschiedliche öffentliche, kommunikative und projektbezogene Verfahren umfasst, besteht keine einheitliche Frist für sämtliche Daten.

Für die Festlegung der Dauer werden insbesondere folgende Kriterien berücksichtigt:

• Dauer der technischen Sitzung oder des konkreten Seitenabrufs,
• Dauer einer Terminabstimmung, Einladung oder Buchungsbearbeitung,
• Laufzeit und Abwicklung des jeweiligen Vertrags oder Projekts,
• Notwendigkeit einer Bau-, Montage-, Mess-, Prüf- oder Abnahmedokumentation,
• handels-, steuer-, bau-, arbeits- oder sonstige gesetzliche Aufbewahrungspflichten,
• vertraglich vereinbarte Dokumentations- und Nachweiszeiträume,
• Verjährungsfristen und ein berechtigter Bedarf zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen,
• Dauer einer Sicherheitsanalyse oder Störungsbearbeitung,
• technische Sicherungs-, Wiederherstellungs- und Löschzyklen.

Serverprotokolle stehen nach Angabe des Hosters grundsätzlich sechs Wochen zur Verfügung. Sitzungscookies enden regelmäßig mit der Browsersitzung. Lokale Abnahmeentwürfe werden nach Finalisierung entfernt, wenn sie nicht neuer als der abgeschlossene Stand sind, oder können im Browser gelöscht werden. Projekt- und Dokumentationsdaten werden bis zum Ende des fachlichen Zwecks und anschließender Pflichten beziehungsweise Nachweisinteressen vorgehalten.

Ist eine Löschung wegen einer Aufbewahrungspflicht oder eines laufenden Anspruchs nicht möglich, wird die weitere Verarbeitung soweit erforderlich eingeschränkt. Nach Wegfall des Hinderungsgrunds werden die Daten im Rahmen der vorgesehenen Löschverfahren entfernt oder anonymisiert.

23. Pflicht zur Bereitstellung und mögliche Folgen

Für die bloße Betrachtung der öffentlichen Präsentationsseiten müssen keine Angaben aktiv bereitgestellt werden. Die bei der technischen Verbindung entstehenden Serverdaten sind jedoch erforderlich, damit der Webserver die angefragten Inhalte an das Endgerät übertragen kann.

Bei einer selbst veranlassten Kommunikation entscheidet die betroffene Person grundsätzlich selbst, welche Angaben sie mitteilt. Ohne ausreichende Kontakt- oder Zuordnungsinformationen kann ein Anliegen möglicherweise nicht beantwortet oder einem Vorgang zugeordnet werden.

Für die Terminbuchung sind eine gültige Einladung oder Kennung und die Auswahl eines verfügbaren Zeitfensters erforderlich. Ohne diese Angaben kann die Funktion keinen Termin zuordnen. Projekt- und Empfängerreferenzen können notwendig sein, um Fehlzuordnungen zu vermeiden.

Im Tiefbau-Portal sind die jeweils als erforderlich vorgesehenen Projekt-, Auftrags-, Adress-, Status- oder Dokumentationsdaten für die Bearbeitung des betreffenden Vorgangs notwendig. Ohne diese Angaben können Arbeitsschritte, Nachweise, Berichte oder Abnahmen möglicherweise nicht durchgeführt oder abgeschlossen werden.

Ob eine Bereitstellung gesetzlich, vertraglich oder lediglich praktisch erforderlich ist, hängt vom einzelnen Projekt und der Rolle der betroffenen Person ab. Eine ausschließlich automatisierte Entscheidung über den Abschluss eines Vertrags findet über diese Website nicht statt.

24. Rechte betroffener Personen

Betroffene Personen können ihre Rechte gegenüber der Reconex GmbH über die in Abschnitt 2 genannten Kontaktdaten geltend machen. Zur Vermeidung einer unbefugten Offenlegung kann ein geeigneter Nachweis der Identität oder eine genauere Bezeichnung des betreffenden Vorgangs erforderlich sein.

Recht auf Auskunft

Nach Art. 15 DSGVO besteht das Recht, Auskunft darüber zu verlangen, ob personenbezogene Daten verarbeitet werden. Soweit dies der Fall ist, umfasst die Auskunft insbesondere Zwecke, Datenkategorien, Empfänger, Speicherdauer oder ihre Kriterien, Herkunft der Daten und die bestehenden Rechte. Nach Maßgabe der gesetzlichen Voraussetzungen wird eine Kopie der personenbezogenen Daten bereitgestellt.

Recht auf Berichtigung

Nach Art. 16 DSGVO können unrichtige Angaben berichtigt und unvollständige Daten unter Berücksichtigung des Verarbeitungszwecks vervollständigt werden. Bei Projekt- und Dokumentationsdaten kann es erforderlich sein, eine Berichtigung nachvollziehbar als Korrektur zu dokumentieren, statt einen früheren Stand spurlos zu überschreiben.

Recht auf Löschung

Nach Art. 17 DSGVO kann die Löschung verlangt werden, wenn insbesondere der Zweck entfallen ist, eine Einwilligung widerrufen wurde und keine andere Grundlage besteht, ein berechtigter Widerspruch durchgreift oder die Verarbeitung unrechtmäßig ist. Das Recht besteht nicht, soweit die weitere Verarbeitung beispielsweise zur Erfüllung einer rechtlichen Pflicht oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Recht auf Einschränkung

Nach Art. 18 DSGVO kann unter den gesetzlichen Voraussetzungen eine Einschränkung verlangt werden, etwa während der Prüfung bestrittener Richtigkeit, bei einem Widerspruch oder wenn Daten für den ursprünglichen Zweck nicht mehr benötigt, aber für Rechtsansprüche noch gebraucht werden.

Recht auf Datenübertragbarkeit

Nach Art. 20 DSGVO besteht bei einer automatisierten Verarbeitung auf Grundlage einer Einwilligung oder eines Vertrags das Recht, selbst bereitgestellte Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Rechte und Freiheiten anderer Personen bleiben unberührt.

Recht auf Widerspruch

Nach Art. 21 DSGVO kann einer Verarbeitung widersprochen werden, die auf Art. 6 Abs. 1 lit. e oder lit. f DSGVO beruht. Die besonderen Voraussetzungen und Folgen werden im folgenden Abschnitt erläutert.

Recht auf Beschwerde

Unabhängig von anderen Rechtsbehelfen besteht das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist insbesondere die Behörde des gewöhnlichen Aufenthaltsorts, Arbeitsplatzes oder Orts des vermuteten Verstoßes.

Die Ausübung der Rechte ist grundsätzlich unentgeltlich. Bei offenkundig unbegründeten oder exzessiven Anträgen gelten die gesetzlichen Regelungen des Art. 12 Abs. 5 DSGVO. Gesetzliche Rechte anderer Personen, Geschäftsgeheimnisse und notwendige Sicherheitsinteressen werden bei der Auskunft berücksichtigt.

25. Widerspruch und Widerruf

Da über den öffentlichen Internetauftritt keine Direktwerbung betrieben und kein Werbeprofil erstellt wird, findet dort keine Verarbeitung personenbezogener Daten für solche Zwecke statt. Sollte eine Verarbeitung auf einer Einwilligung beruhen, kann diese jederzeit mit Wirkung für die Zukunft widerrufen werden.

Widerspruch und Widerruf können formlos über die Kontaktdaten des Verantwortlichen erklärt werden. Eine möglichst genaue Bezeichnung des betroffenen Vorgangs erleichtert die Zuordnung.

26. Zuständige Datenschutz-Aufsichtsbehörde

Für die Reconex GmbH ist grundsätzlich folgende Landesaufsichtsbehörde zuständig:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Postfach 3163
65021 Wiesbaden
Deutschland

Telefon: +49 611 1408-0
E-Mail: poststelle@datenschutz.hessen.de
Internet: datenschutz.hessen.de

Betroffene Personen können sich auch an eine andere nach Art. 77 DSGVO zuständige Aufsichtsbehörde wenden. Die Kontaktaufnahme mit einer Behörde ist nicht davon abhängig, dass zuvor eine Beschwerde bei der Reconex GmbH eingereicht wurde.

27. Weitere Hinweise

Minderjährige

Der öffentliche Internetauftritt richtet sich nicht gezielt an Kinder. Die geschützten Termin- und Projektbereiche sind für Personen vorgesehen, die im Rahmen eines konkreten Projekt-, Vertrags- oder Vertretungsverhältnisses handeln. Werden im Einzelfall Daten Minderjähriger im Zusammenhang mit einem Grundstück, Hausanschluss oder sonstigen Projektbezug verarbeitet, gelten die gesetzlichen und projektbezogenen Schutzanforderungen.

Keine automatisierten Einzelentscheidungen und kein Profiling

Über diese Website finden keine ausschließlich automatisierten Entscheidungen statt, die gegenüber einer Person rechtliche Wirkung entfalten oder sie in ähnlich erheblicher Weise beeinträchtigen. Es werden keine Persönlichkeits-, Interessen- oder Werbeprofile erstellt.

Links und externe Angebote

Soweit eine Seite künftig auf ein externes Angebot verweist, wird eine Verbindung zu dessen Betreiber grundsätzlich erst aufgebaut, wenn der Link aktiv aufgerufen wird. Für die anschließende Verarbeitung ist der Betreiber des externen Angebots nach seinen eigenen Datenschutzinformationen verantwortlich.

Änderungen dieser Datenschutzerklärung

Diese Erklärung wird überprüft und angepasst, wenn technische Funktionen, Projektverfahren, Dienstleister oder rechtliche Anforderungen geändert werden. Wesentliche neue Verarbeitungsvorgänge werden nicht allein durch eine nachträgliche Textänderung legitimiert; sie müssen vor ihrem Einsatz auf eine passende Rechtsgrundlage, erforderliche Verträge, Informationspflichten und Schutzmaßnahmen geprüft werden.

Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung. Der im Kopf der Erklärung angegebene Stand erleichtert die zeitliche Zuordnung.