← Zurück

Datenschutzerklärung

KU-THERM Stuckateur-Meisterbetrieb

1. Verantwortlicher

KU-THERM Stuckateur-Meisterbetrieb
Rennpatt 6
42697 Solingen

Kontakt: Tel: 0212-2338157, E-Mail: info@kutherm.de

2. Auftragsverarbeiter (Plattform-Betreiber)

Technischer Betrieb der Diktura-Plattform: GLUECKSELIG.ORG, Inhaber Sebastian Glueckselig (Auftragsverarbeiter gemäß Art. 28 DSGVO). Kontakt: glueckselig.org/impressum.

3. Sub-Auftragsverarbeiter

Den Auftragsverarbeitungsvertrag mit dem Plattform-Betreiber (Art. 28 DSGVO) einschließlich der Liste der Unterauftragsverarbeiter erhält der Verantwortliche als Anlage zum Kundenvertrag.

4. Verarbeitungsvorgänge und Rechtsgrundlagen

4.1 Nutzerkonto / Bestandsdaten

Zur Bereitstellung und Absicherung des Login-Zugangs verarbeiten wir Benutzername und Name der zur Nutzung berechtigten Mitarbeiter sowie einen bcrypt-Passwort-Hash. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. Durchführung des Beschäftigungsverhältnisses).

4.2 Sprachnotiz, Transkript und erstellte Dokumentation

Die per Mikrofon aufgenommene Sprachnotiz wird im Arbeitsspeicher verarbeitet, zur Bestimmung der Aufnahmedauer für wenige Sekunden als temporäre Datei auf dem Server abgelegt und sofort wieder gelöscht, an Mistral zur Transkription und Textgenerierung übertragen (Punkt 3) und unmittelbar danach aus dem Speicher gelöscht. Audio, Transkript und die erzeugte Dokumentation werden nicht dauerhaft gespeichert (Ausnahme: Abnahmeprotokoll, Punkt 4.12). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung der Diktura-Dokumentation) sowie Art. 6 Abs. 1 lit. f DSGVO (Dokumentations- und Nachweispflichten). Enthält die Notiz Angaben zu dritten Personen (z. B. Bauherr), erfolgt deren Verarbeitung im Rahmen dieser Rechtsgrundlagen.

Die Sprachnotiz kann in gebrochenem Deutsch oder gemischt mit anderen Sprachen gesprochen werden; die KI schreibt den Bericht auf Deutsch. Für Tages-Dokumentation und Einsatzplanung kann der Nutzer in der App eine andere Sprache auswählen; diese Angabe wird mit der Aufnahme an Mistral übermittelt, und das Dokument enthält den Hinweis, dass die KI den Inhalt aus dieser Sprache ins Deutsche übertragen hat. Die Übertragung kann Fehler enthalten, vor allem bei Namen, Adressen, Fachwörtern und Uhrzeiten; der Nutzer prüft die Dokumentation vor dem Senden.

Hinweis zu besonderen Datenkategorien (Art. 9 DSGVO): Die Sprachaufnahme wird ausschließlich zur Umwandlung in Text (Transkription) verarbeitet; eine Identifizierung des Sprechers anhand seiner Stimme oder eine sonstige biometrische oder emotionale Stimmauswertung im Sinne des Art. 9 DSGVO findet nicht statt. Bitte in die Sprachnotiz keine sensiblen Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten aufsprechen.

4.3 Nutzungsprotokoll

Zur Abrechnung, Kostensteuerung und Missbrauchsabwehr protokollieren wir pro erstellter Dokumentation Mandanten-ID, Nutzer-ID und Zeitstempel. Diese Einträge werden nach 31 Tagen automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

4.4 Session-Cookie

Zur Aufrechterhaltung der Anmeldung wird ein technisch notwendiges Session-Cookie (doku.sid, 8 Stunden, httpOnly, Secure, SameSite=Strict) gesetzt. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (technisch notwendiger Cookie). Es findet kein Tracking, keine Reichweitenmessung und keine Werbung statt.

4.5 Server-Logfiles

Beim Aufruf werden technische Zugriffsdaten (IP-Adresse, Zeitstempel, aufgerufene Ressource) in Server- und Anwendungs-Logs vorübergehend gespeichert (Betriebs- und Fehlersicherung). Die Aufbewahrung ist auf 14 Tage begrenzt (logrotate-Rotation, danach Löschung). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Betriebssicherheit).

4.6 Foto-Anhang (Beweisfotos)

Zur Ergänzung der Dokumentation können optional bis zu vier Fotos (JPG oder PNG, je max. 5 MB) mitgesendet werden. Die Fotos werden ausschließlich im Arbeitsspeicher verarbeitet, in das erstellte PDF eingebettet und gemeinsam mit der Dokumentation per E-Mail an das Büro des Verantwortlichen versendet. Fotos werden nicht dauerhaft gespeichert (Ausnahme: Punkt 4.12) und nach Erstellung des PDF umgehend aus dem Speicher gelöscht — wie die Sprachnotiz. Ein serverseitiger Upload auf Datenträger findet nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) sowie Art. 6 Abs. 1 lit. f DSGVO (Dokumentations- und Nachweispflichten).

Hinweis zu Bild-Metadaten (EXIF): Fotos können technische Metadaten (z. B. Aufnahmezeitpunkt, Gerät, gegebenenfalls GPS-Koordinaten) enthalten. Diese Metadaten werden serverseitig vor der PDF-Einbettung entfernt (Art. 25 DSGVO — Privacy by Design), sodass GPS-Koordinaten und Gerätedaten nicht in das versendete PDF gelangen. Die Fotos werden ausschließlich im Arbeitsspeicher verarbeitet, nicht auf Festplatte gespeichert, und gemeinsam mit der Dokumentation per E-Mail an das Büro des Verantwortlichen versendet.

4.7 Nutzerverwaltung und Audit-Logging

Mandanten-Administratoren verwalten die berechtigten Mitarbeiter (Einladung, Deaktivierung, Reaktivierung, Rollenwechsel, Passwort-Reset, Widerruf offener Einladungen). Diese Verwaltungsvorgänge werden in einem PII-sicheren Audit-Log protokolliert: erfasst werden Zeitpunkt, Aktion, Mandant sowie der handelnde und der betroffene Nutzername. Es werden keine Passwörter oder Tokens protokolliert. Das Audit-Log wird in die Anwendungs-/ Server-Logs geschrieben und über eine Protokollrotation (logrotate) nach 14 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Nachvollziehbarkeit und Sicherheit der Nutzerverwaltung).

4.8 Brute-Force-Schutz (Login-Rate-Limiting)

Zur Abwehr automatisierter Angriffe auf Nutzerkonten wird beim Login vorübergehend die IP-Adresse zusammen mit Mandant und eingegebenem Benutzernamen im Arbeitsspeicher verarbeitet: nach fünf Fehlversuchen innerhalb von 15 Minuten wird der Anmeldeversuch für 15 Minuten gesperrt. Diese Daten werden nicht auf Festplatte gespeichert und beim Prozess-Neustart verworfen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, IT-Sicherheit und Missbrauchsabwehr).

4.9 Magic-Link-Einladungen und Passwort-Reset

Einladungen neuer Mitarbeiter und das Zurücksetzen vergessener Passwörter erfolgen über einen per E-Mail zugestellten Einmal-Link (Magic-Link). Die E-Mail-Adresse des Empfängers wird verarbeitet, um den Link über das Hostinger-SMTP-Relay (siehe Punkt 3) zuzustellen. In der Datenbank wird nur der SHA-256-Hash des Tokens gespeichert; der Klartext-Token befindet sich ausschließlich im E-Mail-Link und wird nicht gespeichert. Offene Einladungs- und Reset-Tokens werden nach Annahme, Widerruf oder Ablauf ihrer Gültigkeit gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung / Kontoführung) sowie Art. 6 Abs. 1 lit. f DSGVO (Sicherheit der Zugangskontrolle).

4.10 Versand-Protokoll (Zustellnachweis)

Zur Nachweisführung der Zustellung, zur Fehlerdiagnose bei misslungenem Versand und zur Missbrauchsabwehr protokollieren wir pro versendeter Dokumentation: die Empfänger-E-Mail-Adressen (Büro, ggf. Vertragspartner, Auftraggeber oder ausgewählte Mitarbeiter), technische Zustellmetadaten (Mail-Status, Message-ID, SMTP-Antwort) sowie einen gekürzten Auszug der durchgeführten Arbeiten (max. 200 Zeichen) zur Zuordnung des Vorgangs. Audio, Transkript, das vollständige Dokument und die Fotos werden hierbei nicht gespeichert. Diese Protokoll-Einträge werden nach 90 Tagen automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Zustellnachweis, Betriebssicherheit und Missbrauchsabwehr).

4.11 Mängelmanagement-Modul (Mängelanzeige an Vertragspartner)

Im optionalen Mängelmanagement-Modul erstellt die Plattform aus einer Sprachnotiz eine Mängelanzeige und versendet diese direkt an den Vertragspartner (Auftragnehmer) des Bauvorhabens — nicht an das Büro des Verantwortlichen. Hierzu verarbeitet der Verantwortliche die vom Nutzer im Stammdaten-Formular eingegebenen Empfänger-Kontaktdaten eines Dritten: Name, Anschrift und E-Mail-Adresse des Vertragspartners sowie das Empfänger-Gewerk. Diese Daten werden ausschließlich im Arbeitsspeicher verarbeitet, in das erstellte PDF eingebettet und zur Versandadresse der E-Mail; eine dauerhafte Speicherung erfolgt nicht (wie bei Sprachnotiz und Fotos). Das Büro des Verantwortlichen erhält eine sichtbare Kopie (cc) der Mängelanzeige, die Agentur ggf. eine Blindkopie (BCC) zur Zustellkontrolle. Die Empfänger-E-Mail-Adresse des Vertragspartners wird im Versand-Protokoll (Punkt 4.10) für 90 Tage zweckgebunden gespeichert. Rechtsgrundlage für die Verarbeitung der Empfänger-Kontaktdaten: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Bauvertragsverhältnisses / Geltendmachung von Mängelrechten) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der rechtsgeschäftlichen Rüge und Nachweispflicht). Verantwortlich für die Rechtmäßigkeit der Erfassung und Verarbeitung dieser Drittdaten ist der Verantwortliche (Mandant); er hat sicherzustellen, dass eine Übermittlung der Mängelanzeige an den Vertragspartner auf einer gültigen Rechtsgrundlage beruht (z. B. bestehendes Vertragsverhältnis, § 640 BGB / § 4 VOB/B). Hinweis: Die rechtlichen Folgetexte der Mängelanzeige (Nachbesserungsaufforderung, Ersatzvornahme, ggf. Kündigungsandrohung) sind feste, nicht KI-generierte Bausteine; die KI strukturiert lediglich die Mangelbeschreibung und sachlichen Fakten.

4.12 Abnahmeprotokoll-Modul

Beim Abnahmetermin halten Betrieb und Auftraggeber Leistung, Mängel, Vorbehalte und Ergebnis in einem Protokoll fest und unterschreiben es auf dem Gerät des Betriebs. Das PDF erhalten das Büro des Verantwortlichen und der Auftraggeber. Betroffen sind der Auftraggeber, die Unterzeichnenden und im Protokoll genannte Personen; Angaben zu ihnen stammen von den Beteiligten des Termins.

Aufnahme: Das Gespräch wird nur aufgenommen, wenn der Auftraggeber in der App zustimmt; sonst spricht der Nutzer die Abnahme allein ein. Die Aufnahme (höchstens drei Minuten) wird wie in Punkt 4.2 in Text umgewandelt und zu einem Entwurf verarbeitet; Aufnahme und Abschrift werden nicht dauerhaft gespeichert. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit widerrufen, auch während der Aufnahme; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Ihre Antwort wird mit Uhrzeit zum Nachweis gespeichert (Art. 6 Abs. 1 lit. f DSGVO).

Gespeicherte Daten: die Angaben im Protokoll (insbesondere Namen der Beteiligten, Mail-Adresse des Auftraggebers, Mängel, Vorbehalte, Ergebnis), Zeitpunkt und Prüfsummen der Unterschriften, die Antwort zur Aufnahme, ein Prüfwert über den Inhalt und ein Ereignisprotokoll (Zeitpunkte, Namen, Empfängeradresse sowie gekürzte IP-Adresse und Browser des sendenden Geräts). Das PDF selbst speichert die Plattform nur für den Versand oder, wenn der Verantwortliche sie aktiviert hat, zur Aufbewahrung.

Angaben: Die Mail-Adresse ist freiwillig; ohne sie erhalten Sie Ihre Kopie des Protokolls vom Betrieb. Unterschreiben Sie nicht, wird das im Protokoll vermerkt.

Zwecke und Rechtsgrundlagen: Festhalten des Abnahmetermins, Ausfertigung für beide Seiten, Nachweis und Abwehr von Ansprüchen aus dem Vertrag, Missbrauchsabwehr. Für den Auftraggeber als Vertragspartner des Verantwortlichen Art. 6 Abs. 1 lit. b DSGVO; für Vertreter, genannte Personen und Unternehmen als Auftraggeber sowie für Aufbewahrung, Prüfwert, Ereignisprotokoll und die kurze Speicherung des PDF für einen erneuten Versand Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in diesen Zwecken.

Speicherdauer: Protokolldaten und Ereignisprotokoll bis sechs Jahre nach Ende des Kalenderjahres des Termins, danach automatische Löschung; auf Weisung des Verantwortlichen früher, bei laufendem Streit später. PDF: bis zum erfolgreichen Versand, bei gescheitertem Versand höchstens 24 Stunden; bei aktivierter Aufbewahrung wie die Protokolldaten. Löschnachweis ohne Inhalt: drei Jahre.

Widerspruchsrecht: Soweit die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, können Sie ihr jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO). Im Übrigen gelten die Rechte aus Punkt 7.

4.13 Einsatzplanung-Modul (Arbeitsdokument für das Büro)

Im Einsatzplanung-Modul (Basis-Paket, immer verfügbar) plant das Büro aus einer Sprachnotiz künftige Arbeitseinsätze. Wie bei der Tages-Dokumentation sind Audio und Transkript auch hier nur vorübergehend im Arbeitsspeicher und werden nicht dauerhaft gespeichert; eine revisionssichere, GoBD-konforme Aufbewahrung erfolgt nicht und es wird keine Unterschrift erzeugt. Der Einsatzplan wird an das Büro des Verantwortlichen (hinterlegte Büro-Adresse) versendet und — wenn der Nutzer sie beim Versand auswählt — zusätzlich an Mitarbeiter des Betriebs (an die E-Mail-Adresse aus deren Nutzerkonto, als Blindkopie, sodass sie die Adressen der Kollegen nicht sehen). Er besteht aus einem PDF und, zum Import in den Kalender, aus einer Kalenderdatei (.ics, RFC 5545) mit denselben Planungsdaten. Beide laufen über dieselben E-Mail-Server (Hostinger-SMTP-Relay); eine Übermittlung an Dritte außerhalb des Betriebs erfolgt nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Beschäftigungs-/Auftragsverhältnisses) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der internen Einsatz- und Ressourcenplanung).

4.14 Arbeitszeiten in der Tages-Dokumentation

Nennt der Nutzer in der Sprachnotiz Arbeitszeiten, erstellt die Plattform daraus eine Zeitaufstellung: Beginn und Ende der Arbeitsblöcke, Pausen sowie daraus berechnete Brutto- und Nettostunden. Werden Kollegen mit ihren Zeiten genannt, enthält die Aufstellung auch deren Namen, Arbeitszeiten, Pausen und Stunden; diese Angaben stammen aus der Sprachnotiz des erstellenden Nutzers. Unter „Dokumentiert von“ steht der Name aus dem Nutzerkonto des Erstellers. Die Angaben werden wie die übrige Dokumentation (Punkt 4.2) von Mistral verarbeitet, in das PDF übernommen, an das Büro des Verantwortlichen versendet und auf der Plattform nicht gespeichert. Die KI kann Zeiten falsch zuordnen; der Nutzer prüft die Aufstellung in der Vorschau vor dem Senden.

Zweck: Aufzeichnung der Arbeitszeit, Lohnabrechnung und Nachweis der geleisteten Stunden gegenüber Auftraggebern des Betriebs. Die Plattform rechnet nur die genannten Zeiten eines Tages zusammen. Sie prüft die Zeiten nicht auf die Einhaltung arbeitszeitrechtlicher Vorgaben (das ist Aufgabe des Verantwortlichen), speichert sie nicht, führt sie nicht über mehrere Tage zusammen, vergleicht keine Personen und trifft keine Entscheidungen über Beschäftigte. Sie ist nicht dazu bestimmt, Leistung oder Verhalten von Beschäftigten zu beobachten oder zu bewerten.

Rechtsgrundlage: Für Arbeitszeiten von Beschäftigten des Verantwortlichen Art. 6 Abs. 1 lit. c DSGVO i. V. m. der Pflicht zur Arbeitszeitaufzeichnung (§ 3 Abs. 2 Nr. 1 ArbSchG, § 16 Abs. 2 ArbZG; für geringfügig Beschäftigte und in den Branchen nach § 2a SchwarzArbG, etwa im Baugewerbe, zusätzlich § 17 MiLoG). Für die Lohnabrechnung Art. 6 Abs. 1 lit. b DSGVO. Für den Nachweis gegenüber Auftraggebern und für genannte Personen, die nicht beim Verantwortlichen beschäftigt sind (z. B. Mitarbeiter von Nachunternehmern), Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der nachvollziehbaren Abrechnung und im Leistungsnachweis gegenüber dem Auftraggeber.

4.15 Wetterangaben in der Tages-Dokumentation

Ist die Funktion für den Betrieb eingeschaltet (Standard), ergänzt die Plattform die Tages-Dokumentation um das Wetter während der Arbeitszeit, gemessen an einer Station des Deutschen Wetterdienstes nahe der Baustelle. Dazu ermittelt sie auf dem eigenen Server aus Postleitzahl oder Ort der Baustelle – fehlen diese, aus der Postleitzahl des Betriebs – ungefähre Koordinaten (Mittelpunkt des Postleitzahlgebiets oder Orts, auf etwa 1 km gerundet) und ruft damit für das Datum Wetterdaten des Deutschen Wetterdienstes über den Dienst Bright Sky (brightsky.dev) ab. Übermittelt werden nur Koordinaten und Datum; Adresse, Namen und Inhalte der Dokumentation verlassen den Server dafür nicht. Das Ergebnis erscheint in der Vorschau und, wenn der Nutzer es nicht abwählt, im PDF; dauerhaft gespeichert wird es nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der nachvollziehbaren Dokumentation der Bedingungen bei der Arbeit.

4.16 Qualitätsprotokoll

Um die Qualität der KI-Ergebnisse zu überwachen und Fehler zu erkennen, protokollieren wir je erstellter Dokumentation (alle Module): Mandant, Modul, Zeitpunkt, welche Angaben die Plattform verworfen oder korrigiert hat (nur Feldkennungen, keine Inhalte), ob die KI-Anfrage wiederholt werden musste, die Dauer der KI-Antwort, die Zeichenzahl von Abschrift und Dokumentation sowie ob die Dokumentation leer blieb. Abschrift, Inhalte und Namen werden dabei nicht gespeichert. Die Einträge werden nach 30 Tagen automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in zuverlässigen KI-Ergebnissen.

5. Empfänger

Empfänger der Daten sind die in Punkt 3 genannten Sub-Auftragsverarbeiter (Mistral einschließlich Cloudflare, Hetzner, Contabo, Hostinger) sowie das Büro des Verantwortlichen als Empfänger der erstellten Dokumentation. Im Einsatzplanung-Modul (Punkt 4.13) erhalten zusätzlich die vom Nutzer ausgewählten Mitarbeiter des Betriebs den Einsatzplan. E-Mail-Adressen der vom Mandanten benannten Einladungs- und Reset-Empfänger (Punkt 4.9) werden über das Hostinger-SMTP-Relay zur Zustellung der Magic-Links verarbeitet. Im Mängelmanagement-Modul (Punkt 4.11) ist zusätzlicher Empfänger der Vertragspartner (Auftragnehmer), an den die Mängelanzeige direkt versendet wird; dessen Kontaktdaten werden vom Nutzer des Mandanten im Stammdaten-Formular eingegeben. Im Abnahmeprotokoll-Modul (Punkt 4.12) erhält der Auftraggeber eine Kopie des unterschriebenen Protokolls. Für Wetterangaben (Punkt 4.15) erhält der Dienst Bright Sky ungefähre Koordinaten und das Datum, keine Adresse und keine Namen. Eine Übermittlung an weitere Dritte erfolgt nicht.

6. Speicherdauer

7. Ihre Rechte (Art. 15–22 DSGVO)

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie auf Widerspruch gegen die Verarbeitung. Zudem steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO) — insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes; in der Regel ist die für den Verantwortlichen (Punkt 1) zuständige Behörde maßgeblich. Für den Auftragsverarbeiter (GLUECKSELIG.ORG, Solingen) ist dies die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestr. 2–4, 40213 Düsseldorf, poststelle@ldi.nrw.de.

8. Kontakt, Widerspruch und Beschwerde

Wenden Sie sich für Auskünfte, Korrekturen oder Löschungen an den Verantwortlichen (Kontakt siehe Punkt 1) oder an den Auftragsverarbeiter (Punkt 2).

9. Änderungen

Diese Datenschutzerklärung kann bei Anpassung der Verarbeitungsvorgänge geändert werden. Stand: 2026-10-09.