Datenschutzerklärung

1. Verantwortlicher

L-Team X-Tools GmbH & Co. KG
Auf den Stammäckern 1, 63695 Glauburg-Stockheim
Telefon: +49 6041 909901-0 · E-Mail: info@x-tools-team.de

Weitere Angaben finden Sie im Impressum. Ein Datenschutzbeauftragter ist [[nicht bestellt / bestellt: Name und Kontakt ergänzen]].

2. Der Dienst Borepilot

Borepilot ist eine Web-Anwendung zur Planung und Dokumentation von HDD-Bohrungen (Horizontal-Spülbohrverfahren). Sie wird Kundenunternehmen zur Verfügung gestellt. Ein Zugang besteht ausschließlich auf Einladung durch das jeweilige Kundenunternehmen oder durch X-Tools; eine freie Registrierung gibt es nicht.

Die Daten eines Kundenunternehmens (Projekte, Bohrungen, Fotos, Nutzer) sind technisch von denen anderer Kundenunternehmen getrennt. Innerhalb eines Kundenunternehmens sieht der Kundenadmin alle Daten des Unternehmens; die übrigen Nutzer sehen nur die Projekte, denen sie zugeordnet sind. X-Tools (Plattform-Administration) verwaltet Zugänge und Kundenunternehmen; Projekt-, Bohr- und Fotodaten sind für X-Tools nur einsehbar, wenn das Kundenunternehmen das jeweilige Projekt ausdrücklich für X-Tools freigegeben hat.

3. Welche Daten verarbeitet werden

• Konto-Daten: E-Mail-Adresse, vollständiger Name, optional eine Telefonnummer (für Kollegen im selben Unternehmen sichtbar), Rolle im Unternehmen (Kundenadmin, Bauleiter, Bohrer), Zeitpunkt der Registrierung und der letzten Anmeldung, technische Sitzungsdaten.
• Unternehmensdaten: Name und Anschrift des Kundenunternehmens, optional Telefonnummer und Kontakt-E-Mail, optional Logo/Briefkopf für Berichte. Das Logo wird in einem öffentlich abrufbaren Speicherbereich abgelegt, damit es in Berichten angezeigt werden kann.
• Projekt- und Bohrdaten: Projektbezeichnungen, Auftraggeber- und Baustellenangaben, Planungs- und Ist-Daten der Bohrung (Geometrie, Tiefen, Maschinendaten), Koordinaten von Ein- und Austrittspunkten sowie Hindernissen, importierte CAD-/CSV-Dateien, Namen und ggf. Telefonnummern der beteiligten Personen (z. B. Projektleiter, Ansprechpartner des Auftraggebers, Bohrer, Bohrmannschaft) sowie Freigabevermerke.
• Baustellenfotos: von Nutzern hochgeladene Fotos mit Beschreibung und Zeitpunkt. Sie werden in einem nicht öffentlichen Speicherbereich abgelegt und nur an berechtigte Nutzer ausgeliefert. Fotos können Personen zeigen; die Nutzer sind angehalten, keine Aufnahmen von Personen ohne Anlass hochzuladen.
• Einladungen: E-Mail-Adresse und Rolle der eingeladenen Person, einladender Nutzer, Zeitpunkt.
• Server-Protokolle: IP-Adresse, Zeitpunkt, aufgerufener Pfad, Browser-Kennung — in den Protokollen der Hosting- und Datenbankanbieter (Abschnitt 6).

4. Zwecke und Rechtsgrundlagen

• Bereitstellung des Dienstes, Nutzerverwaltung, Bohrplanung und -dokumentation (einschließlich Bohrprotokollen): Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags mit dem Kundenunternehmen) bzw. Art. 6 Abs. 1 lit. f DSGVO gegenüber den einzelnen Nutzern, deren Arbeitgeber den Dienst einsetzt.
• Sicherheit und Stabilität des Dienstes (Anmeldung, Zugriffskontrolle, Server-Protokolle, Fehleranalyse): Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einem sicheren, nachvollziehbaren Betrieb.
• Aufbewahrung von Bohrdokumentationen, soweit gesetzliche oder vertragliche Nachweispflichten bestehen: Art. 6 Abs. 1 lit. c bzw. lit. b DSGVO.

5. Anmeldung, Cookies und lokale Speicherung

Die Anmeldung erfolgt mit E-Mail-Adresse und Passwort. Für die Sitzung setzt Borepilot ausschließlich technisch notwendige Authentifizierungs-Cookies, die den angemeldeten Nutzer wiedererkennen und die Sitzung verlängern. Diese Cookies sind für den Betrieb erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und werden beim Abmelden bzw. nach Ablauf der Sitzung ungültig.

Zusätzlich merkt sich der Browser lokal (Local Storage) das zuletzt gewählte Unternehmen, wenn ein Nutzer mehreren Unternehmen zugeordnet ist. Diese Angabe verlässt den Browser nicht.

Borepilot setzt keine Analyse-, Tracking- oder Werbe-Tools ein und bindet keine Social-Media-Plugins ein. Schriftarten werden vom eigenen Server ausgeliefert, ohne Verbindung zu Drittanbietern.

6. Auftragsverarbeiter und Empfänger

Für den Betrieb setzen wir folgende Dienstleister ein, die personenbezogene Daten in unserem Auftrag verarbeiten (Art. 28 DSGVO):

• Supabase (Supabase Inc.) — Datenbank, Nutzer-Authentifizierung und Dateispeicher (Fotos, Planungsdateien, Logos). Die Daten liegen in der Region eu-north-1 (Stockholm, Schweden) auf Servern von Amazon Web Services. Es besteht ein Auftragsverarbeitungsvertrag; für Supportzugriffe des Anbieters aus Drittländern gelten die EU-Standardvertragsklauseln.
• Vercel (Vercel Inc., USA) — Hosting der Web-Anwendung und Ausführung der Serverfunktionen (z. B. CAD-Import, Kartenbild). Vercel verarbeitet dabei Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufener Pfad) sowie die in einer Serverfunktion jeweils übergebenen Inhalte. Grundlage der Übermittlung in die USA sind die EU-Standardvertragsklauseln und die Zertifizierung von Vercel unter dem EU-U.S. Data Privacy Framework. Region der Serverfunktionen: [[im Vercel-Projekt bestätigen, z. B. fra1 (Frankfurt)]].
• E-Mail-Versand — Beim Anlegen eines Kontos über einen Einladungslink versendet die Authentifizierung (Supabase Auth) ggf. eine Bestätigungs-E-Mail an die angegebene Adresse, sofern die E-Mail-Bestätigung im Authentifizierungsdienst aktiviert ist: [[Supabase Auth: E-Mail-Bestätigung aktiv ja/nein — von X-Tools bestätigen]]. Einladungslinks selbst werden vom Kundenadmin erzeugt und von ihm an die eingeladene Person weitergegeben; Borepilot versendet dafür keine E-Mails.

Kartendarstellung im Bericht

Im Bohrprotokoll wird ein Lageplan der Bohrtrasse angezeigt. Dafür werden zwei Dienste genutzt:

• OpenStreetMap-Kacheln (OpenStreetMap Foundation, Vereinigtes Königreich): Die Kartenkacheln lädt Ihr Browser direkt vom Kachelserver tile.openstreetmap.org. Dabei erhält der Kachelserver Ihre IP-Adresse, die Browser-Kennung und — über die angeforderten Kacheln — den ungefähren Kartenausschnitt der Baustelle. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Darstellung des Lageplans im Bericht). Das Vereinigte Königreich verfügt über einen Angemessenheitsbeschluss der EU-Kommission.
• Google Maps Static API (Google Ireland Limited): Nur wenn X-Tools einen Google-Maps-Schlüssel hinterlegt hat, wird zusätzlich ein Luftbild abgerufen. Der Abruf erfolgt serverseitig; Google sieht dabei nicht Ihre IP-Adresse, sondern die des Servers sowie die Koordinaten der Bohrtrasse. Ist kein Schlüssel hinterlegt, wird ausschließlich OpenStreetMap verwendet. Aktueller Stand: [[Google-Luftbild aktiv / nicht aktiv — von X-Tools bestätigen]].

Eine Weitergabe an sonstige Dritte findet nicht statt, es sei denn, wir sind gesetzlich dazu verpflichtet.

7. Speicherdauer

• Konto- und Unternehmensdaten werden für die Dauer des Nutzungsverhältnisses gespeichert. Nutzerkonten können vom Kundenadmin aus dem Unternehmen entfernt werden.
• Projekte, Bohrungen und Fotos bleiben gespeichert, bis sie von einem berechtigten Nutzer gelöscht werden oder das Nutzungsverhältnis endet. Bohrdokumentationen können darüber hinaus aufbewahrt werden, soweit Nachweispflichten des Kundenunternehmens dies erfordern.
• Gelöschte Daten sind in den Sicherungskopien des Datenbankanbieters noch für die dortige Aufbewahrungsfrist enthalten und werden danach automatisch überschrieben: [[Backup-Aufbewahrung gemäß Supabase-Plan, z. B. 7 Tage]].
• Server-Protokolle der Hosting-Anbieter werden nach deren Standardfristen gelöscht.

8. Datensicherheit

Alle Verbindungen sind per TLS verschlüsselt. Der Zugriff auf Daten wird auf Datenbankebene je Unternehmen, Rolle, Projektzuordnung und Freigabe durchgesetzt (Row Level Security), sodass Nutzer nur die Daten ihres Unternehmens sehen und X-Tools nur freigegebene Projekte. Fotos und Planungsdateien liegen in nicht öffentlichen Speicherbereichen und werden nur an angemeldete, berechtigte Nutzer ausgeliefert. Passwörter werden ausschließlich als Hash gespeichert.

9. Ihre Rechte

Sie haben gegenüber dem Verantwortlichen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Wenden Sie sich dazu an die oben genannten Kontaktdaten. Soweit Ihr Arbeitgeber als Kundenunternehmen für die Daten verantwortlich ist, leiten wir Ihr Anliegen an ihn weiter oder unterstützen ihn bei der Beantwortung.

Außerdem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig für den Verantwortlichen ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Wiesbaden, datenschutz.hessen.de.

10. Änderungen

Diese Datenschutzerklärung wird angepasst, wenn sich der Dienst oder die eingesetzten Dienstleister ändern. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar.