Datenschutz, Sicherheit und DSGVO-Konformität in BauOffice
Kundendaten, Baupläne und Projektunterlagen in Deutschland gespeichert, DSGVO-konform verwaltet und durch Mehr-Faktor-Authentifizierung, Verschlüsselung und Löschkonzept geschützt.
Hosting in Deutschland – Kundendaten verlassen die EU nicht
Viele SaaS-Lösungen für Bau und Handwerk speichern Daten auf US-amerikanischen Cloud-Diensten. Das ist für Betriebe, die nach DSGVO arbeiten müssen, rechtlich heikel. BauOffice betreibt seine Infrastruktur ausschließlich auf Servern in Deutschland (IONOS, Standort Deutschland).
Ihre Kundendaten, Baupläne, Fotos und Projektunterlagen verlassen damit zu keinem Zeitpunkt den europäischen Rechtsraum. Das ist kein Marketingversprechen, sondern eine prüfbare Tatsache.
DSGVO-konforme Datenverwaltung: Auskunft, Export und Löschung
Das Datenschutzrecht gibt betroffenen Personen konkrete Rechte: auf Auskunft über gespeicherte Daten (Art. 15 DSGVO), auf Herausgabe in maschinenlesbarer Form (Art. 20) und auf Löschung (Art. 17). BauOffice implementiert all diese Rechte direkt in der Anwendung.
Als Inhaber oder Datenschutzbeauftragter können Sie jederzeit einen vollständigen DSGVO-Export aller Daten zu einer Person erzeugen und den Löschlauf auslösen. Das funktioniert ohne Umweg über den Support und ist vollständig dokumentiert.
Mehr-Faktor-Authentifizierung (MFA/TOTP) – Zwei-Faktor-Schutz
Passwörter allein sind kein ausreichender Schutz. Mit der Mehr-Faktor-Authentifizierung (MFA, auch Zwei-Faktor-Authentifizierung / 2FA) in BauOffice sichern Nutzer ihren Account mit einer Standard-Authenticator-App (z. B. Google Authenticator, Bitwarden Authenticator oder jede andere TOTP-App) ab. Beim Login wird zusätzlich zum Passwort ein zeitbasierter 6-stelliger Code abgefragt.
MFA ist optional und kann je Nutzer selbst aktiviert werden – inklusive Recovery-Codes für den Notfall. Für Betriebe mit erhöhten Sicherheitsanforderungen empfiehlt sich die Aktivierung für alle Mitarbeiter mit Zugriff auf Kundendaten.
Biometrie-App-Lock auf dem Mobilgerät
Das Mobilgerät auf der Baustelle ist ein häufiger Schwachpunkt: Liegt es unbeaufsichtigt, kann jeder die App öffnen. BauOffice bietet einen optionalen Biometrie-App-Lock (Face ID, Touch ID), der beim Öffnen der App eine biometrische Bestätigung anfordert.
Der App-Lock ist opt-in und greift auf die Biometrie-Funktionen des Betriebssystems zurück – biometrische Daten werden dabei nie an BauOffice oder Server übertragen. Das Betriebssystem bestätigt lediglich, ob die Authentifizierung erfolgreich war.
Push-Benachrichtigungen: informiert ohne ständiges Nachschauen
Wenn ein Ticket zugewiesen wird, ein Status sich ändert oder eine Frist näher rückt, sendet BauOffice optional eine Push-Benachrichtigung – auf dem Smartphone (iOS/Android) und im Browser. Mitarbeiter müssen die App nicht ständig offen halten, um auf dem Laufenden zu bleiben.
Push-Benachrichtigungen sind datenschutzrechtlich personenbezogen: Die Geräte-Token, über die Benachrichtigungen zugestellt werden, sind in die DSGVO-Löschpfade eingebunden. Beim Löschen eines Nutzer-Accounts werden auch seine Push-Token entfernt. Push kann je Nutzer und Gerät aktiviert oder deaktiviert werden.
Mandanten-Isolation, Rollen und Verschlüsselung
In BauOffice sind Daten verschiedener Betriebe technisch strikt voneinander getrennt: Jede Zeile in der Datenbank trägt eine Mandanten-ID und ist durch eine serverseitige Richtlinie (Row Level Security) gegen mandantenübergreifenden Zugriff gesichert.
Innerhalb eines Betriebs steuert das Rollenmodell (RBAC), welcher Mitarbeiter welche Daten lesen und bearbeiten darf. Dateiübertragungen sind TLS-verschlüsselt, Zugangsdaten werden nie im Klartext gespeichert und Sitzungs-Tokens auf dem Mobilgerät in der sicheren Systemablage gespeichert.
Häufige Fragen
Wo werden meine Daten gespeichert?
Alle Daten – Kundenstamm, Projekte, Baupläne, Fotos, Protokolle – werden auf Servern von IONOS mit Standort Deutschland gespeichert. Es gibt keinen Datentransfer in Länder außerhalb der EU.
Ist BauOffice DSGVO-konform?
Ja. BauOffice implementiert die zentralen DSGVO-Pflichten direkt in der Anwendung: Auskunft und Datenübertragbarkeit je Kunde und Mitarbeiter (Art. 15/20), Löschlauf (Art. 17), Mandantentrennung per Row Level Security sowie dokumentierte technisch-organisatorische Maßnahmen (TOM) und eine Datenschutz-Folgenabschätzung (DSFA). Den Auftragsverarbeitungsvertrag nach Art. 28 schließen wir beim Vertragsschluss. Details finden Sie in der Datenschutzerklärung.
Was ist MFA (Zwei-Faktor-Authentifizierung) und wie aktiviere ich sie?
MFA (Mehr-Faktor-Authentifizierung, auch 2FA) ergänzt das Passwort um einen zweiten Faktor – einen zeitbasierten 6-stelligen Code aus einer Authenticator-App. Sie aktivieren MFA in Ihren Kontoeinstellungen: QR-Code scannen, App einrichten, Recovery-Codes sichern, fertig. Beim nächsten Login wird der Code abgefragt.
Wie funktionieren Push-Benachrichtigungen und sind sie DSGVO-konform?
Push-Benachrichtigungen informieren Sie auf dem Smartphone oder im Browser über neue Ticket-Zuweisungen, Statusänderungen oder ablaufende Fristen. Die dafür nötigen Geräte-Token sind personenbezogen und in die DSGVO-Löschpfade eingebunden – beim Löschen eines Nutzer-Accounts werden auch seine Push-Token entfernt. Push ist opt-in und kann je Gerät deaktiviert werden.
Können wir als Betrieb einen Auftragsverarbeitungsvertrag (AVV) abschließen?
Ja. Da wir in Ihrem Auftrag personenbezogene Daten verarbeiten, wird ein AVV nach Art. 28 DSGVO beim Vertragsschluss Bestandteil des Vertrags (siehe AGB § 6). Die Fassung ist derzeit in anwaltlicher Prüfung und noch nicht in der Anwendung hinterlegt — das Muster erhalten Sie auf Anfrage über das Kontaktformular.
Passend dazu
Bereit, Büro und Baustelle zu vereinen?
Kunden, Angebote, Projekte, Baustellen und Abrechnung an einem Ort – wir richten Ihren Zugang in der Pilotphase persönlich ein.
Keine Kreditkarte · Persönliche Einrichtung · Hosting in Deutschland