Datenschutzerklärung Structify-Apps

§ 1 Zweck dieser Erklärung

(1) Diese Erklärung beschreibt die Verarbeitung personenbezogener Daten in den Anwendungen der Structify Solutions UG (haftungsbeschränkt):

• Structify Web: die Anwendung im Browser, auch als Desktop-App.
• Structify Mobile: die App für iOS und Android.

Sie ergänzt die allgemeine Datenschutzerklärung. Diese deckt die Website und die vorvertragliche Kommunikation ab.

(2) Auf diese Erklärung verweisen die Einträge der App in den App Stores. Sie beschreibt deshalb auch die Berechtigungen, die Structify Mobile auf Ihrem Gerät nutzt.

§ 2 Verantwortlicher

Structify Solutions UG (haftungsbeschränkt), Gartenstraße 8, 92348 Berg, Amtsgericht Nürnberg HRB 46012, vertreten durch die Geschäftsführer Tim Rosen und Felix König.

Datenschutz-Kontakt: datenschutz@structify.solutions

Ein Datenschutzbeauftragter ist nicht bestellt; eine Pflicht zur Bestellung nach Art. 37 DSGVO und § 38 BDSG besteht nicht.

§ 3 Zwei Rollen: bitte zuerst lesen

Für die Einordnung ist entscheidend, wessen Daten betroffen sind:

Diese Erklärung informiert vollständig über die zweite Zeile. Für die erste Zeile beschreibt sie, was technisch geschieht. Die datenschutzrechtliche Verantwortung für die eingebrachten Inhalte liegt beim Kunden, der dafür die Rechtsgrundlage sicherstellt.

§ 4 Verarbeitungen im Einzelnen

4.1 Konto und Anmeldung

Daten: Name, dienstliche E-Mail-Adresse, Rolle, Passwort-Hash, Angaben zum zweiten Anmeldefaktor sowie Zeitpunkt und Umstände der Anmeldung.
Zweck: Bereitstellung des Zugangs, Zuordnung von Berechtigungen, Sicherheit.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Kunden, dessen Durchführung den Zugang erfordert), ergänzend Art. 6 Abs. 1 lit. f DSGVO für die Sicherheit der Systeme.

E-Mails zur Anmeldung, zum Zurücksetzen des Passworts und zu Sicherheitsereignissen versenden wir über einen E-Mail-Dienstleister (siehe § 5).

Bot-Schutz bei Anmeldung und Passwort-Zurücksetzen (Cloudflare Turnstile, Structify Web): Um automatisierte Anmeldeversuche, das Ausprobieren von Passwörtern und den Missbrauch der Funktion „Passwort vergessen“ abzuwehren, binden wir auf der Anmeldeseite und der Seite zum Zurücksetzen des Passworts den Dienst Turnstile der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, ein. Beim Aufruf dieser Seiten lädt Ihr Browser ein Skript von Cloudflare (challenges.cloudflare.com); dabei verarbeitet Cloudflare nach eigenen Angaben Ihre IP-Adresse, den TLS-Fingerabdruck Ihrer Verbindung, die User-Agent-Angabe Ihres Browsers sowie den Websiteschlüssel und die aufrufende Adresse, um zu unterscheiden, ob die Anfrage von einem Menschen oder einem automatisierten Programm stammt. Eine Rätselaufgabe müssen Sie in der Regel nicht lösen. Das Ergebnis ist ein einmal verwendbares Prüfzeichen, das mit der Anmeldung bzw. der Anfrage zum Zurücksetzen an unseren Authentifizierungsdienst übermittelt und dort bei Cloudflare auf Gültigkeit geprüft wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz Ihres Kontos und der Plattform vor Missbrauch und automatisierten Angriffen. Cloudflare verarbeitet diese Daten für uns als Auftragsverarbeiter; nach eigenen Angaben nutzt Cloudflare sie darüber hinaus in eigener Verantwortung zur Verbesserung seiner Bot-Erkennung (siehe die Datenschutzhinweise zu Turnstile unter https://www.cloudflare.com/turnstile-privacy-policy/). Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen (§ 8); ohne den Bot-Schutz ist eine Anmeldung über diese Seiten jedoch gegebenenfalls nicht möglich. Turnstile setzt nach Angaben des Anbieters keine Cookies. Soweit er zur Prüfung Informationen aus Ihrem Browser ausliest, geschieht dies nur auf der Anmelde- und der Passwort-Seite und ausschließlich, um die von Ihnen gewünschte sichere Anmeldung bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG). Zur Übermittlung in die USA siehe § 6.

4.2 Nutzung der App-Funktionen

Daten: Inhalte, die Sie in den Anwendungen erzeugen. Dazu gehören Tickets, Mängel, Kommentare, Abnahmen, Aufmaße, Fotos, Sprachaufnahmen und deren Transkripte, hochgeladene Dokumente, Positionsangaben zu Fotos und Projektzuordnungen.
Zweck: Erbringung der vertraglich vereinbarten Funktionen.
Rolle: Auftragsverarbeitung. Die Rechtsgrundlage im Verhältnis zu den betroffenen Personen stellt der Kunde sicher.

Hinweis zu Fotos und Sprachaufnahmen. Aufnahmen von Baustellen und Anlagen können Personen erfassen, die nicht Beschäftigte des Kunden sind. Sie können auch unbeabsichtigt Angaben enthalten, die den besonderen Kategorien nach Art. 9 DSGVO angehören. Die Anwendungen fordern zur Datenminimierung auf; die Verantwortung für Zulässigkeit und Rechtsgrundlage liegt beim Kunden.

Metadaten von Fotos. Fotos können Metadaten enthalten, die das Gerät gespeichert hat, etwa Aufnahmezeitpunkt, Gerätemodell oder Aufnahmeort. Structify Mobile entfernt diese Metadaten, bevor ein Foto oder Bild das Gerät verlässt. Erhalten bleiben nur Angaben, die für die richtige Darstellung nötig sind, etwa die Ausrichtung des Bildes. Bilder, bei denen sich die Metadaten nicht sicher entfernen lassen, etwa im Format HEIC, lädt die App nicht hoch. Bei Fotos einer Begehung speichert die App die Position des Geräts zu dem Zeitpunkt, an dem Sie das Foto aufnehmen oder hinzufügen, als Begehungskoordinate, sofern Sie den Standortzugriff erlaubt haben (§ 4.3). In Structify Web können die Metadaten derzeit mit dem Foto übertragen und gespeichert werden.

4.3 Geräteberechtigungen (nur Structify Mobile)

Die Berechtigungen werden erst angefordert, wenn Sie die jeweilige Funktion nutzen. Sie können sie im Betriebssystem jederzeit widerrufen. Eine Standortermittlung im Hintergrund findet nicht statt. Ohne Standortfreigabe werden Fotos ohne Positionsangabe gespeichert.

Das Mikrofon nutzt die App nur während einer Aufnahme, die Sie selbst gestartet haben. Unter Android läuft währenddessen ein Vordergrunddienst mit der Benachrichtigung „Structify – Aufnahme läuft“; ohne diesen Dienst würde Android das Mikrofon stummschalten, sobald die App in den Hintergrund wechselt. Der Dienst endet mit der Aufnahme. Die Erlaubnis für Benachrichtigungen erfragt die App beim Start einer Aufnahme. Lehnen Sie sie ab, läuft die Aufnahme trotzdem weiter; die Benachrichtigung wird dann nicht in der Benachrichtigungsleiste angezeigt.

4.4 Lokale Speicherung auf dem Endgerät (nur Structify Mobile)

Erfassungen ohne Netzverbindung hält die App bis zur Übertragung lokal auf dem Endgerät vor. Nach der erfolgreichen Übertragung werden sie auf dem Gerät gelöscht. Noch nicht übertragene Erfassungen bleiben auch nach einer Abmeldung erhalten, damit keine Arbeit verloren geht. Übertragen werden sie erst, wenn sich dieselbe Person wieder anmeldet. Zwischengespeicherte Projektangaben wie Projektnamen oder Mitarbeiterlisten werden bei der Abmeldung gelöscht. Mit der Deinstallation der App werden alle lokalen Daten entfernt. Lokale Daten unterliegen dem Schutzniveau des Geräts; Structify erstellt von ihnen keine Sicherung.

4.5 Protokolldaten des Betriebs

Daten: Zeitpunkt, betroffene Funktion, Kennung des Kontos, technische Fehlermeldungen. Bei Anmelde- und Sicherheitsereignissen, etwa beim Koppeln eines Geräts, werden zusätzlich die IP-Adresse und die Browser- bzw. App-Kennung (User-Agent) protokolliert.
Zweck: Sicherstellung des Betriebs, Fehleranalyse, Nachvollziehbarkeit sicherheitsrelevanter Vorgänge.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und funktionsfähiger Dienst.
Speicherdauer: 12 Monate. Längere Fristen gelten nur, soweit handels- oder steuerrechtliche Aufbewahrungspflichten sie verlangen.

4.6 KI-gestützte Verarbeitung

Für einzelne Funktionen setzen wir KI-Dienstleister ein (siehe § 5):

• Transkription: Sprachaufnahmen aus Begehungen und Ticket-Diktaten werden von OpenAI (USA) in Text umgewandelt.
• Auswertung: Transkripte, Ticket-Texte, Projektangaben (etwa Projektname und Bauadresse), zum Abgleich die bestehenden Tickets eines Projekts sowie hochgeladene Dokumente (PDF und Bilder, vollständiger Inhalt zur Volltextsuche) werden von Anthropic (USA) ausgewertet. Daraus entstehen Protokoll-, Ticket- und Suchvorschläge.

Zustimmung in Structify Mobile: Vor der ersten Sprachaufnahme, dem ersten Diktat und dem ersten Dokument-Upload bittet die App Sie um Ihre Zustimmung zur Übermittlung an diese Anbieter. Ohne Zustimmung startet die App keinen dieser Vorgänge. Die Zustimmung wird auf dem Gerät gespeichert, zusammen mit Ihrer Kontokennung und dem Zeitpunkt. Sie können sie jederzeit für dieses Gerät widerrufen: in der App unter Profil → Rechtliches & KI-Transparenz. Danach fragt die App vor jeder neuen Aufnahme, jedem Diktat und jedem Dokument-Upload erneut. Begehungen, die beim Widerruf noch auf die Übertragung warten, lädt die App hoch, gibt sie aber nicht zur Transkription weiter. Ohne Transkript findet auch keine Auswertung statt. Die Transkription wird nachgeholt, sobald Sie erneut zustimmen oder in der Liste der Begehungen „Transkription starten“ wählen; fehlt Ihre Zustimmung, fragt die App zuvor danach. Auswertungen, die Ihr Unternehmen in Structify Web veranlasst, bleiben davon unberührt. Diese Zustimmung ersetzt nicht die Rechtsgrundlage, die der Kunde für die Projektinhalte sicherstellt (§ 3).

Structify Web: Dort werden KI-Funktionen wie der Assistent „KAI“ im Auftrag des Kunden serverseitig ausgeführt. Das gilt auch für organisationsweite Auswertungen, etwa Wochenberichte über die Tickets eines Unternehmens.

KI-erzeugte Inhalte sind als solche gekennzeichnet (Art. 50 der Verordnung (EU) 2024/1689). Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO findet nicht statt. Die Ergebnisse sind Vorschläge, die Sie prüfen, bevor Sie sie übernehmen.

4.7 Geräte-Kopplung per QR-Code (nur Structify Mobile)

Sie können Structify Mobile mit einer angemeldeten Sitzung von Structify Web koppeln, indem Sie den dort angezeigten QR-Code scannen. Dabei erzeugt die App eine zufällige Gerätekennung. Wir speichern davon nur einen Hashwert, zusammen mit einer Plattformbezeichnung (etwa „Structify-App (iPhone/iPad)“ oder „Structify-App (Android)“), dem Zeitpunkt der Kopplung und dem Zeitpunkt der letzten Nutzung.
Zweck: Anmeldung auf dem gekoppelten Gerät ohne erneute Eingabe des zweiten Faktors; Sicherheit des Zugangs.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
Speicherdauer: Eine Kopplung gilt 30 Tage. Nach Ablauf, nach einem Widerruf (in Structify Web unter Einstellungen → Sicherheit → Vertraute Geräte oder über „Überall abmelden“) und nach einem Passwortwechsel wird sie gelöscht.

§ 5 Empfänger

Auftragsverarbeiter sind nach Art. 28 DSGVO gebunden. Das vollständige Verzeichnis führen wir in unserem Subunternehmer-Register; für Kundenprojekte gilt zusätzlich die Anlage 2 des jeweiligen Auftragsverarbeitungsvertrags.

§ 6 Drittlandübermittlung

Die KI-Verarbeitung, der E-Mail-Versand und die Auslieferung der Webanwendung erfolgen über Dienstleister mit Sitz in den Vereinigten Staaten (Anthropic, OpenAI, Retell AI, Resend, Vercel), ebenso der Bot-Schutz bei der Anmeldung in Structify Web (Cloudflare). Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914) nebst Transfer-Folgenabschätzung. Ergänzend gilt eine Zertifizierung nach dem EU-U.S. Data Privacy Framework, soweit sie je Anbieter besteht und anwendbar ist. Für Cloudflare gelten die in dessen Auftragsverarbeitungsvertrag vereinbarten EU-Standardvertragsklauseln; Cloudflare ist zudem nach dem EU-U.S. Data Privacy Framework zertifiziert. Die Nachweise stellen wir auf Anfrage bereit.

§ 7 Speicherdauer

Kontodaten speichern wir für die Dauer des Zugangs und anschließend bis zum Ablauf gesetzlicher Aufbewahrungsfristen. Projektinhalte werden nach den Weisungen des Kunden und den Regelungen des Auftragsverarbeitungsvertrags gelöscht oder zurückgegeben. Protokolldaten löschen wir nach der Frist in § 4.5, Gerätekopplungen nach § 4.7. Lokale Daten auf dem Endgerät werden nach § 4.4 gelöscht. Prüfzeichen des Bot-Schutzes (§ 4.1) gelten nur für die jeweilige Anmeldung bzw. Anfrage, höchstens fünf Minuten, und sind nur einmal verwendbar; die Speicherdauer der von Cloudflare verarbeiteten Verbindungs- und Browserdaten richtet sich nach den Angaben des Anbieters.

Sicherungskopien: Die Datenbank wird stündlich gesichert, die Sicherungen werden gestaffelt bis zu sechs Monate vorgehalten. Gelöschte Dateien bleiben im Sicherungsspiegel 90 Tage erhalten. Einzelne Daten werden nicht aus Sicherungskopien entfernt; Löschungen wirken sich mit dem Auslaufen des jeweiligen Sicherungsstandes aus, spätestens nach sechs Monaten. Eine Wiederherstellung aus einer Sicherung bringt zuvor gelöschte Daten nicht zurück.

§ 8 Rechte der betroffenen Personen

Betroffene Personen haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Eine erteilte Einwilligung oder Zustimmung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Anfragen richten Sie bitte an datenschutz@structify.solutions.

Wichtig für die Zuordnung: Betrifft Ihr Anliegen Projektinhalte eines Kunden, ist der Kunde der richtige Adressat. Structify leitet solche Anfragen unverzüglich weiter und unterstützt den Kunden nach Art. 28 Abs. 3 lit. e DSGVO.

Sie haben ein Beschwerderecht bei einer Aufsichtsbehörde. Für Structify zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

§ 9 Keine Werbung, kein Tracking

Die Anwendungen enthalten keine Werbung, kein werbliches Tracking und keine Analysedienste zu Werbezwecken. Daten werden nicht zu Werbezwecken weitergegeben.

§ 10 Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert, insbesondere bei neuen Berechtigungen, neuen Dienstleistern oder neuen Funktionen. Maßgeblich ist die im Store beziehungsweise in der Anwendung verlinkte Fassung.

Letzte Aktualisierung: 4. Oktober 2026