1. Verantwortlicher

Rene Hering, nullroutine | TGA Planung & Beratung, Gutenbergplatz 3, 04103 Leipzig
E-Mail: null@nullroutine.de

2. Erhobene Daten

Diese Anwendung verarbeitet personenbezogene Daten ausschließlich zum Zweck der Baustellen-Zugangskontrolle. Es werden folgende Daten erhoben:

• Vor- und Nachname, Firma, Funktion
• Ausweis-Nummer (Personalausweis / Reisepass)
• Nationalität (für SÜG-Prüfung relevant)
• Zugangsdaten (Datum, Uhrzeit, Zone)
• Mitgebrachte Geräte und Materialien
• Check-in / Check-out Zeitstempel + auslösender Mitarbeiter
• Lichtbild des Besuchers (optional, mit Einwilligung)
• Sicherheitsbelehrung-Akzeptanz + digitale Unterschrift
• NFC-Tag-UID des ausgegebenen Besucher-Ausweises
• Mitarbeiter-StaffCards: Foto, Rolle, Gültigkeit, NFC-UID
• Patrouillen-Logs: Wachgang-Zeitstempel pro Checkpoint, Wach-Mitarbeiter-ID
• Server-Logs: IP, User-Agent, 14 Tage Aufbewahrung im Caddy-Reverse-Proxy

2.1 Foto-Verarbeitung

Besucher-Lichtbilder und StaffCard-Fotos werden nur mit ausdrücklicher Einwilligung verarbeitet (Art. 6 Abs. 1 lit. a DSGVO). EXIF-Metadaten (GPS, Kamera-Serial, Aufnahmedatum) werden beim Upload entfernt — nur das Bild selbst bleibt erhalten. Fotos können jederzeit beim Verantwortlichen gelöscht werden.

2.2 Empfänger / Auftragsverarbeiter

• Hetzner Online GmbH (Falkenstein/Nürnberg, DE) — Server-Hosting, AVV nach Art. 28 DSGVO geschlossen.
• id.sloppyuniverse.com (gleicher Verantwortlicher) — Single-Sign-On / Identitätsdaten.

Keine Drittanbieter-CDNs (Google Fonts, jsDelivr) — alle Schriften und JavaScript-Bibliotheken werden self-hosted ausgeliefert.

3. Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO (Erfüllung rechtlicher Verpflichtungen, u.a. Sicherheitsüberprüfungsgesetz SÜG) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen des Betreibers im Bereich Zugangs- und Gebäudesicherheit).

4. Speicherdauer

Personenbezogene Daten werden konkret wie folgt aufbewahrt:

• Besucher-Datensätze (inkl. Ausweis-Nr., Check-in/-out): 6 Monate nach letzter Aktivität, dann Löschung.
• Besucher-Lichtbilder: 6 Monate nach letztem Besuch, auf Wunsch auch früher.
• StaffCard-Fotos / Mitarbeiter-Ausweise: bis zur Rücknahme der Karte + 30 Tage Audit-Trail.
• Patrouillen-Scan-Logs: 12 Monate (Audit-tauglich); aggregierte Statistiken ohne Personenbezug zeitlich unbegrenzt.
• NFC-Tag-Bindungen: bis zur Entkopplung + 30 Tage.
• Server-Logs (IP, User-Agent in Caddy): 14 Tage rollierend.
• Backups: max. 10 Versionen, max. 30 Tage Aufbewahrung — DSGVO-Hard-Delete schlägt spätestens nach 30 Tagen ins Backup-Archiv durch.

5. Betroffenenrechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO). Wenden Sie sich hierzu an den oben genannten Verantwortlichen.

6. Beschwerderecht

Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständig ist der Sächsische Datenschutzbeauftragte.

← Zurück