Datenschutzerklärung

QFINITY SOLUCOES EM TECNOLOGIA E INTELIGENCIA ARTIFICIAL LTDA („Qfinity“, „wir“) Rua Juracy Magalhães 853, Ponto Central 44075-115 Feira de Santana – BA, Brasilien CNPJ: 65.972.544/0001-60 E-Mail: support@bauleo.ai

Vertretungsberechtigte Gesellschafterin und Geschäftsführerin: Renata de Oliveira Barbosa Wisniewska.

Datenschutzanfragen richten Sie bitte unmittelbar an die oben angegebene E-Mail-Adresse.

Bauleo ist eine Unternehmenssoftware. Die datenschutzrechtliche Rolle richtet sich deshalb nach der jeweiligen Verarbeitung:

• Der Betrieb, der Bauleo einsetzt, ist grundsätzlich Verantwortlicher für die von ihm in Bauleo verarbeiteten Daten seiner Beschäftigten, Kunden, Lieferanten und sonstigen Personen. Qfinity verarbeitet diese Daten als Auftragsverarbeiter gemäß Art. 28 DSGVO nach den Weisungen des Betriebs. Betroffene Personen wenden sich hierfür vorrangig an den jeweiligen Betrieb; wir unterstützen diesen bei der Bearbeitung.
• Qfinity ist selbst Verantwortlicher für die Bereitstellung und Sicherheit der Plattform, Benutzerkonten, Vertragsverwaltung, Support, Fehlerdiagnose und – nur nach Einwilligung – Produktanalyse.
• Paddle ist für die Zahlungsabwicklung als Merchant of Record und Verkäufer der jeweiligen Transaktion grundsätzlich selbst datenschutzrechtlich verantwortlich. Für diese Verarbeitung gelten zusätzlich die Datenschutzhinweise von Paddle.

3.1 Benutzerkonto und Anmeldung

Für Registrierung, Anmeldung und Organisationsverwaltung nutzen wir Clerk, Inc. (USA). Verarbeitet werden insbesondere Name, E-Mail-Adresse, optionales Profilbild, Organisationszugehörigkeit, Rolle, Sprache, Anmeldezeitpunkte, IP-Adresse sowie Geräte- und Sicherheitsinformationen. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und lit. f DSGVO (Kontosicherheit und Missbrauchsabwehr).

3.2 Hosting, Datenbank und Auslieferung

Anwendungsdaten werden bei Supabase, Inc. in einer EU-Region gespeichert. Die Web-Anwendungen und technische Serverfunktionen werden über Vercel, Inc. (USA, globales Auslieferungsnetz) bereitgestellt. Dabei werden insbesondere IP-Adresse, Zeitpunkt, angeforderte Ressource, Browser- bzw. Geräteinformationen und technische Protokolldaten verarbeitet. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. f DSGVO.

3.3 Abrechnung über Paddle

Kostenpflichtige Tarife und Zusatzkontingente werden über Paddle abgewickelt. Paddle handelt als Merchant of Record und Verkäufer der Transaktion. Verarbeitet werden Firmenname, Rechnungsadresse, E-Mail-Adresse, UID-/USt-IdNr., gebuchter Tarif, Abonnement- und Zahlungsstatus sowie die von Paddle erhobenen Zahlungsdaten. Qfinity erhält keine vollständigen Kartendaten. Rechtsgrundlagen bei Qfinity sind Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Aufbewahrungspflichten bestehen.

3.4 E-Mail-Versand und Rechnungs-Postfach

Für den Versand von Dokumenten und Benachrichtigungen sowie für das optionale Rechnungs-Postfach nutzen wir Resend, Inc. (USA). Verarbeitet werden Absender- und Empfängeradresse, Betreff, Zustellstatus und Anhänge. Eingehende Nachrichten werden auf die für die Bearbeitung erforderlichen Metadaten und Anhänge reduziert. E-Mails, aus denen keine dauerhaft benötigte Anfrage oder Rechnung übernommen wurde, werden regelmäßig nach 90 Tagen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für Betriebssicherheit und Zustellnachweise zusätzlich Art. 6 Abs. 1 lit. f DSGVO.

3.5 KI-Funktionen („Leo“)

Wenn Sie KI-Funktionen verwenden, werden Ihre Eingaben, die von Ihnen ausgewählten Anwendungsdaten und gegebenenfalls hochgeladene Dateien zur Bearbeitung an das Vercel AI Gateway und die jeweils eingesetzten Modellanbieter übermittelt. Für personenbezogene Inhalte werden insbesondere Anthropic, PBC und OpenAI, L.L.C. eingesetzt. Sprachaufnahmen können zur Transkription an OpenAI übermittelt werden.

Personenbezogene Daten und Daten besonderer Kategorien werden nur an dafür freigegebene Anbieter und Modelle geleitet. Rein nicht personenbezogene Katalog- oder Rechercheanfragen können auch durch andere Modellanbieter verarbeitet werden; das technische Routing darf diesen Anbietern keine personenbezogenen Daten übermitteln. Inhalte aus den geschäftlichen API-Angeboten der eingesetzten KI-Anbieter werden nach den dafür geltenden Vertragsbedingungen nicht zum Training allgemein verfügbarer Modelle verwendet.

KI-Chatverläufe werden dem jeweiligen Benutzerkonto zugeordnet gespeichert und sind innerhalb der Anwendung nur für diesen Benutzer sichtbar. Sie können einzelne Verläufe löschen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Leo Bridge (Bauleo in Claude und ChatGPT). Schaltet ein Büro-Administrator die Leo Bridge für den Betrieb ein, können berechtigte Benutzer Bauleo über unseren Connector unter `mcp.bauleo.ai` mit ihrem eigenen Konto bei Claude (Anthropic) oder ChatGPT (OpenAI) verbinden. Die Anmeldung erfolgt mit dem Bauleo-Zugang; der Zugriff ist auf die Rechte des jeweiligen Benutzers beschränkt und kann jederzeit getrennt werden. Auf Anfrage aus Claude oder ChatGPT übermitteln wir die angefragten Bauleo-Daten (zum Beispiel Kunden, Projekte, Anfragen, Aufgaben und Belegentwürfe) an das verbundene Konto und übernehmen von dort angelegte Einträge und Entwürfe. Die Verarbeitung innerhalb von Claude oder ChatGPT erfolgt nicht in unserem Auftrag, sondern nach den Vertrags- und Datenschutzbedingungen, die der Betrieb bzw. Benutzer mit Anthropic oder OpenAI vereinbart hat; dafür ist der Betrieb verantwortlich, der die Verbindung nutzt. Rechtsgrundlage für die Übermittlung durch uns ist Art. 6 Abs. 1 lit. b DSGVO.

3.6 Karten, Adresssuche und Wetter

• Mapbox, Inc. (USA) liefert Karten, Routen und Entfernungsberechnungen. Dabei werden insbesondere IP-Adresse, Kartenausschnitt und angefragte Koordinaten übertragen. Die Mapbox-Nutzungstelemetrie wird vor dem Laden der Karten deaktiviert.
• Photon/komoot (Deutschland) wird für die Adress-Autovervollständigung verwendet. Übertragen werden die eingegebenen Adressfragmente und technisch bedingt die IP-Adresse.
• Open-Meteo wird für Wetterdaten verwendet. Übertragen werden Koordinaten einer Baustelle sowie der angefragte Zeitraum.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. f DSGVO. Karten-, Adress- und Wetterfunktionen werden nur aufgerufen, wenn die jeweilige Funktion verwendet wird.

3.7 Fehler- und Stabilitätsdiagnose

Soweit für die jeweilige Anwendung aktiviert, nutzen wir Sentry (Functional Software, Inc., USA) mit Datenverarbeitung in einer europäischen Region. Erfasst werden technische Fehlerberichte, Stack-Traces, Browser- und Geräteinformationen sowie pseudonyme technische Kennungen. Die Übermittlung standardmäßiger personenbezogener Profildaten ist deaktiviert; Eingabeinhalte und Sitzungsaufzeichnungen werden nicht erfasst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (stabiler und sicherer Betrieb).

3.8 Produktanalyse – nur nach Einwilligung

In der Büro-Anwendung nutzen wir PostHog in der EU-Cloud nur nach Ihrer ausdrücklichen Einwilligung. Die Analyse arbeitet ohne Cookies mit flüchtiger Speicherung im Arbeitsspeicher; automatische Vollerfassung ist deaktiviert. Soweit Sie gesondert in Sitzungsaufzeichnungen einwilligen, werden Texte und Eingaben maskiert und Aufzeichnungen nur stichprobenartig erstellt. In der mobilen Baustellenanwendung ist diese Produktanalyse nicht eingebunden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 TDDDG (Deutschland) bzw. § 165 TKG 2021 (Österreich). Sie können Ihre Einwilligung jederzeit über die Datenschutz-Einstellungen widerrufen.

3.9 Öffentliche Freigabe-Seiten

Empfänger eines Freigabe-Links können die ausdrücklich freigegebenen Inhalte ohne Benutzerkonto abrufen. Dabei verarbeiten wir IP-Adresse, Zeitpunkt und technische Zugriffsdaten zur Auslieferung und Missbrauchsabwehr. Bei digitalen Erklärungen oder Unterschriften werden zusätzlich Name, Erklärung und Zeitpunkt gespeichert und dem freigebenden Betrieb zugeordnet. Qfinity handelt hierbei hinsichtlich der freigegebenen Kundendaten als Auftragsverarbeiter des Betriebs. Freigabe-Links sind zufällig erzeugt, können zeitlich begrenzt werden und sind für Suchmaschinen gesperrt. Rechtsgrundlagen des jeweiligen Betriebs sind regelmäßig Art. 6 Abs. 1 lit. b und lit. f DSGVO.

3.10 Support und Kommunikation

Wenn Sie uns kontaktieren, verarbeiten wir Ihre Kontaktdaten und den Inhalt der Anfrage zur Bearbeitung und Dokumentation. Ein Support-Zugriff auf eine Kundenorganisation erfolgt nur zur Fehleranalyse oder auf Anforderung und wird mit handelnder Person, Zeitpunkt und Zweck protokolliert. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. f DSGVO.

3.11 Anonymisierte Statistik- und Branchendaten

Aus den in der Software verarbeiteten Geschäftsdaten (etwa Positionen, Preisen und Regionsangaben fertiggestellter Belege) erzeugen wir anonymisierte, aggregierte Datensätze, die weder einen Rückschluss auf einen Betrieb noch auf eine natürliche Person erlauben. Personenbezogene Angaben wie Namen, Kontaktdaten oder genaue Adressen werden dabei nicht übernommen; regionale Angaben verarbeiten wir höchstens auf Ebene des Bundeslands. Diese Datensätze verwenden wir für Sicherheit, Statistik, die Verbesserung der Software einschließlich ihrer KI-Funktionen sowie für branchenbezogene Kennzahlen wie regionale Preisspannen. Aggregierte Werte werden nur bereitgestellt oder veröffentlicht, wenn sie auf Daten von mindestens fünf verschiedenen Kundenorganisationen beruhen. Rechtsgrundlage des Anonymisierungsvorgangs ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktverbesserung und Branchenstatistik); die anonymisierten Datensätze selbst enthalten keine personenbezogenen Daten mehr.

3.12 Anfragen über das Bauverzeichnis

Über das öffentliche Bauverzeichnis können Interessenten ein Bauvorhaben beschreiben und an passende Betriebe vermitteln lassen. Dabei verarbeiten wir die Angaben zum Vorhaben (Postleitzahl, Beschreibung sowie optional hochgeladene Fotos oder Unterlagen) und die Kontaktdaten der anfragenden Person (E-Mail-Adresse, optional Name und Telefonnummer). Die E-Mail-Adresse wird vor jeder Weitergabe über einen einmaligen Bestätigungslink verifiziert; ohne Bestätigung erfolgt keine Weitergabe. Zur Missbrauchsabwehr speichern wir zusätzlich einen gesalzenen Hashwert der IP-Adresse, nicht die IP-Adresse selbst.

Die Beschreibung des Vorhabens wird automatisiert durch ein KI-Modell ausgewertet, um das passende Gewerk zu bestimmen. Das Modell schlägt ausschließlich Gewerke vor; welche Betriebe eine Anfrage erhalten, entscheidet ausnahmslos eine feste Regelprüfung und nicht das Modell. Hochgeladene Dateien werden dem Modell nicht übergeben.

Die Weitergabe erfolgt zweistufig: In den ersten zwölf Stunden kann genau ein passender Betrieb die Anfrage exklusiv übernehmen. Wird sie nicht übernommen, übermitteln wir die Anfrage und die Kontaktdaten an mehrere passende Betriebe, höchstens jedoch an 25. Betriebe erhalten Dateien nicht als Anhang, sondern über eine kurzlebige, zugriffsbeschränkte Verknüpfung.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für die Bearbeitung der Anfrage auf Veranlassung der anfragenden Person sowie Art. 6 Abs. 1 lit. a DSGVO für die Übermittlung der Kontaktdaten an die ermittelten Betriebe. Die Einwilligung können Sie jederzeit mit Wirkung für die Zukunft unter support@bauleo.ai widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

3.13 Besuch der Website bauleo.ai

Beim Aufruf der Website werden technisch bedingt IP-Adresse, Zeitpunkt, aufgerufene Seite, Verweisquelle sowie Browser- und Geräteinformationen verarbeitet, um die Seiten auszuliefern und Angriffe abzuwehren. Die Website wird über Vercel, Inc. (USA, globales Auslieferungsnetz) bereitgestellt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sichere und stabile Bereitstellung der Website).

Schriftarten werden von unserem eigenen Server ausgeliefert; beim Seitenaufruf wird keine Verbindung zu Google Fonts oder anderen Schriftanbietern aufgebaut.

3.14 Reichweitenmessung mit Plausible Analytics

Um zu verstehen, wie die Website genutzt wird, setzen wir das datenschutzfreundliche Analysewerkzeug Plausible Analytics (Community Edition) ein. Es wird von uns selbst auf einem Server in der EU (Litauen, Anbieter: Hostinger International Ltd.) betrieben; Daten werden nicht an Dritte oder in Drittländer übermittelt. Plausible setzt keine Cookies und greift nicht auf Ihr Endgerät zu. Ihre IP-Adresse wird nur kurzzeitig zur Bildung einer anonymen, täglich wechselnden Kennung verwendet und nicht gespeichert. Erfasst werden ausschließlich zusammengefasste Werte wie aufgerufene Seiten, Verweisquelle, Land sowie Browser- und Gerätetyp, außerdem Klicks auf externe Links und Datei-Downloads. Eine Wiedererkennung über mehrere Tage oder Websites hinweg ist nicht möglich.

Rechtsgrundlage ist unser berechtigtes Interesse an einer anonymen Auswertung der Nutzung zur Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Werbe- oder Marketing-Tracking (etwa Google Ads, Google Analytics oder Meta Pixel) setzen wir auf der Website nicht ein.

3.15 Demo-, Kontakt- und Rechner-Anfragen über die Website

Wenn Sie über die Website eine Demo anfragen, uns kontaktieren oder den Angebots-Check bzw. KI-Rechner nutzen, verarbeiten wir die von Ihnen eingegebenen Angaben (etwa Name, E-Mail-Adresse, Firma, Telefonnummer, Nachricht bzw. hochgeladene Unterlagen) zur Bearbeitung Ihrer Anfrage. Die Daten werden bei Supabase, Inc. in einer EU-Region gespeichert; KI-gestützte Auswertungen erfolgen wie unter 3.5 beschrieben. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags auf Ihre Anfrage) und lit. f DSGVO (Beantwortung allgemeiner Anfragen).

Wir verwenden technisch notwendige Cookies und lokale Browser-Speicherungen insbesondere für Anmeldung und Sitzung (Clerk), Sicherheit, Oberflächeneinstellungen, lokale Entwürfe, die gewählte Datenschutz-Einstellung und den Nachweis der AGB-Annahme. Diese Speicherungen sind für die ausdrücklich gewünschte Funktion erforderlich (§ 25 Abs. 2 TDDDG bzw. § 165 Abs. 3 TKG 2021).

Auf der Website bauleo.ai werden ausschließlich technisch notwendige Speicherungen verwendet: die gewählte Hell-/Dunkel-Darstellung und das gewählte Land (lokaler Speicher bzw. Cookie „bauleo-country“), die Anmeldung zum Verzeichnis-Konto sowie ein nur für die aktuelle Sitzung gültiger Eintrag zur Bestätigung einer Verzeichnis-Anfrage. Tracking- oder Marketing-Cookies setzt die Website nicht; ein Cookie-Banner ist daher nicht erforderlich.

PostHog wird erst nach Einwilligung geladen und in der derzeitigen Konfiguration ohne Cookies betrieben. Eine Verweigerung oder ein Widerruf der Analyse-Einwilligung schränkt die Kernfunktionen von Bauleo nicht ein.

Wir geben Daten nur weiter, soweit dies zur Bereitstellung der genannten Funktionen, zur Vertragserfüllung, aufgrund einer gesetzlichen Pflicht oder mit Ihrer Einwilligung erforderlich ist.

• Brasilien: Zugriffe durch Qfinity in Brasilien sind durch den Angemessenheitsbeschluss der Europäischen Kommission, Durchführungsbeschluss (EU) 2026/179, gemäß Art. 45 DSGVO abgedeckt, solange der Beschluss anwendbar und in Kraft ist. Die produktive Datenhaltung verbleibt grundsätzlich in der EU.
• USA und andere Drittländer: Bei Dienstleistern außerhalb des EWR stützen wir die Übermittlung – je nach Anbieter und Verarbeitung – auf einen Angemessenheitsbeschluss, insbesondere das EU-US Data Privacy Framework, oder auf Standardvertragsklauseln nach Art. 46 DSGVO mit erforderlichen ergänzenden Maßnahmen.
• Globales Auslieferungsnetz: Bei der technischen Auslieferung können Verbindungsdaten über Server außerhalb des EWR verarbeitet werden.

Rein nicht personenbezogene KI-Kataloganfragen können an weitere Modellanbieter geleitet werden; sie dürfen keine personenbezogenen Daten enthalten.

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Pflichten bestehen. Es gelten insbesondere folgende Kriterien und Fristen:

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Richten Sie Anfragen an support@bauleo.ai. Betrifft die Anfrage Daten, die ein Betrieb als Verantwortlicher in Bauleo verarbeitet, wenden Sie sich bitte vorrangig an diesen Betrieb. Wir leiten eine bei uns eingegangene Anfrage erforderlichenfalls weiter und unterstützen den Betrieb.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere bei der Behörde Ihres gewöhnlichen Aufenthaltsorts oder Arbeitsplatzes oder am Ort des vermuteten Verstoßes. In Österreich ist dies die Österreichische Datenschutzbehörde; in Deutschland finden Sie die zuständigen Behörden beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit.

Konto-, Organisations- und Abrechnungsdaten sind für Registrierung und Vertragserfüllung erforderlich. Ohne diese Angaben kann Bauleo nicht oder nicht kostenpflichtig bereitgestellt werden. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne des Art. 22 DSGVO findet nicht statt. KI-Ausgaben sind Vorschläge und müssen vor einer fachlichen Verwendung durch einen Menschen geprüft und freigegeben werden.

Wir setzen risikoadäquate technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein. Dazu gehören insbesondere Transport- und Speicherverschlüsselung, Datenbankzugriffe mit Mandantentrennung und Row-Level-Security, rollenbasierte Berechtigungen, kurzlebige signierte Zugriffe auf Dateien, protokollierte Administrationszugriffe, Sicherungen sowie automatische Löschroutinen. Einzelheiten enthält der Auftragsverarbeitungsvertrag für Unternehmenskunden.

Wir aktualisieren diese Erklärung, wenn sich Verarbeitungen oder die Rechtslage ändern. Über wesentliche Änderungen informieren wir in der Software. Die jeweils aktuelle Fassung ist in den Bauleo-Anwendungen und unter https://bauleo.ai abrufbar.