Datenschutzerklärung
Stand: 23. September 2026
Profectus Operations ist eine Anwendung für die Steuerung von Bauvorhaben: Einsatzplanung, Arbeitszeiten, Baustellenkommunikation, Bautagebuch, Belege. Sie wird von einem Betrieb für seine eigenen Baustellen und seine eigenen Beschäftigten genutzt.
1. Zwei Verantwortliche, zwei Rollen
Diese Erklärung trennt bewusst zwei Dinge, weil dafür zwei verschiedene Stellen einstehen:
- Betrieb der Plattform. Verantwortlich für die Bereitstellung der Anwendung, für Server, Sicherheit und Fehlersuche ist der Anbieter: Paul Bartos, Goethestraße 29, 13086 Berlin, E-Mail profectusbackup@web.de (siehe auch Impressum).
- Inhalte in der Anwendung. Für die Daten, die ein Betrieb in die Anwendung eingibt und darin verarbeitet – also Beschäftigte, Arbeitszeiten, Baustellen, Fotos, Nachrichten – ist der jeweilige Betrieb der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Der Anbieter handelt insoweit als Auftragsverarbeiter nach Art. 28 DSGVO und ausschließlich nach Weisung des Betriebs.
Beschäftigte eines Betriebs richten ihre Rechte deshalb an ihren Arbeitgeber. Die Information nach Art. 13 DSGVO dafür steht in der Information für Beschäftigte.
2. Aufruf der Seiten
Beim Abruf jeder Seite verarbeitet der Server technisch notwendige Angaben: IP-Adresse, Zeitpunkt, angefragte Adresse, Statuscode. Ein dauerhaftes Zugriffsprotokoll wird nicht geführt; protokolliert werden nur Fehler, und zwar für den Betrieb und die Sicherheit der Anwendung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Diese Anwendung bindet keine fremden Inhalte ein: keine Schriftarten von Dritten, keine Karten, keine Reichweitenmessung, keine Werbenetze, keine Schaltflächen sozialer Netzwerke.
3. Anmeldung und Sitzung
Die Anmeldung am Leitstand erfolgt mit Benutzername und Passwort, wahlweise zusätzlich mit einem zeitbasierten Einmalcode. Passwörter werden ausschließlich als Hashwert gespeichert, nie im Klartext. Nach zehn Fehlversuchen wird das Konto vorübergehend gesperrt; Zeitpunkt und Grund werden dabei festgehalten.
Die Mitarbeiter-App wird über eine einmalige Einladung eingerichtet. Dabei entsteht ein zufälliges Gerätegeheimnis im Browser des Geräts, und die Person vergibt eine vierstellige PIN. Auch die PIN wird nur als Hashwert gespeichert. Der Sitzungsschlüssel liegt im lokalen Speicher des Geräts, nicht in einem Cookie mit Wiedererkennungswert.
4. Welche Daten in der Anwendung verarbeitet werden
| Bereich | Daten |
|---|---|
| Personen | Anzeigename, vollständiger Name, Rolle, Sprache, Telefonnummer, E-Mail-Adresse (freiwillig), Stundensatz, Qualifikationen, Benutzername |
| Nachweise | Art und Nummer von Dokumenten (etwa Ausweis, Qualifikationsnachweis), Ablaufdatum, zugehöriges Foto |
| Arbeitszeit | Datum, Beginn, Ende, Pause, Baustelle, Quelle der Erfassung sowie der Standort zum Zeitpunkt des Startens |
| Abwesenheit | Zeitraum, Art (etwa krank oder Urlaub), Notiz, auf Wunsch ein Foto des Nachweises |
| Kommunikation | Nachrichten zwischen Baustelle und Büro, Ausgangssprache, Übersetzung, Lesezeitpunkt |
| Dokumentation | Bautagebuch, Fotos mit Aufnahmezeitpunkt und auf Wunsch Standort, Material, Mängel, Wetter |
| Benachrichtigung | Push-Anmeldung des Geräts (Endpunkt und Schlüssel des Browsers), sofern zugestimmt |
| Protokoll | Wer wann welche Veränderung vorgenommen hat, fortlaufend verkettet und dadurch nachträglich nicht änderbar |
Besonders schutzwürdige Angaben werden zusätzlich feldweise verschlüsselt gespeichert, darunter der vollständige Name, die Telefonnummer und Dokumentennummern. Der Schlüssel liegt getrennt von der Datenbank.
Standortdaten
Der Standort wird ausschließlich beim Starten einer Arbeitszeit und beim Aufnehmen eines Fotos erfasst, und nur dann, wenn das Gerät die Freigabe erteilt. Es gibt keine laufende Ortung, keine Bewegungsprofile und keine Verfolgung außerhalb dieser einzelnen Vorgänge. Lehnt jemand die Freigabe ab, funktioniert die Zeiterfassung unverändert weiter.
Keine automatisierte Entscheidung
Es findet keine automatisierte Entscheidung im Einzelfall und kein Profiling nach Art. 22 DSGVO statt. Die Anwendung bewertet niemanden.
5. Übersetzung
Damit eine Anweisung auf der Baustelle in der Sprache ankommt, die die Person versteht, werden Nachrichten und Aufgaben maschinell übersetzt. Der dazu genutzte Dienst ist DeepL SE, Köln. Übermittelt wird der zu übersetzende Text; er kann Namen, Adressen von Baustellen und Zugangshinweise enthalten. Bereits übersetzte Texte werden zwischengespeichert, damit derselbe Satz nicht erneut hinausgeht.
Rechtsgrundlage ist die Erfüllung des Arbeitsverhältnisses und das berechtigte Interesse an einer verständlichen und damit sicheren Unterweisung, Art. 6 Abs. 1 lit. b und f DSGVO in Verbindung mit § 26 BDSG.
6. Hosting und Auftragsverarbeitung
Die Anwendung läuft auf einem Server in Deutschland. Server und Datenbank stehen beim Hostinganbieter, der als Auftragsverarbeiter gebunden ist. Sicherungen werden verschlüsselt abgelegt.
7. Speicherdauer
- Arbeitszeiten: zwei Jahre ab dem Zeitpunkt der Aufzeichnung (§ 17 Abs. 2 MiLoG).
- Belege und steuerlich erhebliche Unterlagen: zehn Jahre (§ 147 AO, § 257 HGB).
- Das Veränderungsprotokoll bleibt erhalten, solange der Betrieb die Anwendung nutzt; es ist der Nachweis dafür, dass Aufzeichnungen nicht nachträglich verändert wurden.
- Konten werden bei Ausscheiden stillgelegt, nicht gelöscht, solange Aufbewahrungsfristen laufen. Zugriff und Anmeldung enden sofort.
- Sitzungen enden nach acht Stunden (Leitstand) beziehungsweise zwölf Stunden (App). Schlüssel zum Zurücksetzen eines Passworts verfallen nach zwei Stunden und gelten nur einmal.
8. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Die Anwendung enthält dafür eine eigene Funktion: das Büro kann zu jeder Person eine vollständige Auskunft nach Art. 15 erzeugen.
Beruht eine Verarbeitung auf einer Einwilligung, etwa die Push-Benachrichtigung, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen.
9. Beschwerderecht
Sie können sich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für den Anbieter ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit zuständig; für Ihren Arbeitgeber die Behörde an dessen Sitz.
10. Änderungen
Diese Erklärung wird angepasst, sobald sich die Anwendung oder die Rechtslage ändert. Maßgeblich ist die hier veröffentlichte Fassung mit dem oben genannten Stand.