Datenschutzhinweise
Stand: 14. Oktober 2026. Diese Hinweise gelten für die SiGeKo-Website, die Web-App einschließlich installierbarer Browseranwendung sowie das Firmen- und Unterweisungsportal. Native Apps sind noch nicht veröffentlicht. Auch während der kostenlosen Beta gelten die Datenschutzpflichten uneingeschränkt.
1. Verantwortlicher und Kontakt
Für die Website, eigene Kundenverwaltung und den technischen Betrieb ist lol.marketing LLC, 30 N Gould St Ste N, Sheridan, WY 82801, USA, vertreten durch Manuel Streit, verantwortlich. Datenschutzanfragen: hello@lol.marketing. Diese Kontaktstelle wird nicht als bestellter Datenschutzbeauftragter oder EU-Vertreter bezeichnet.
2. Daten Deiner Organisation und Daten Dritter
Über Zwecke und wesentliche Mittel der Verarbeitung von Baustellen-, Beschäftigten-, Firmen- und Unterweisungsdaten entscheidet grundsätzlich die jeweilige Kundenorganisation. Hierfür verarbeitet SiGeKo Daten im Auftrag nach dokumentierten Weisungen; die Bedingungen sind im gesondert abzuschließenden AV-Vertrag zu regeln. Bei Daten, die Dein Arbeitgeber, Auftraggeber oder eine einladende Firma eingetragen hat, erhältst Du ergänzende Informationen von dieser Organisation. Wir leiten Anfragen zu solchen Daten an die zuständige Organisation weiter und unterstützen deren Bearbeitung.
3. Zwecke und Rechtsgrundlagen
Für eigene Vertragsbeziehungen und vorvertragliche Anfragen verarbeiten wir erforderliche Daten nach Artikel 6 Absatz 1 Buchstabe b DSGVO. Bei beruflichen Ansprechpartnern und eingeladenen Nutzern, die nicht selbst Vertragspartner sind, stützen wir die erforderliche Kontakt- und Zugangsverwaltung auf Artikel 6 Absatz 1 Buchstabe f DSGVO; unser Interesse ist die sichere Erbringung des vereinbarten Dienstes. Gesetzliche Pflichten beruhen auf Buchstabe c, freiwilliger Newsletter und optionale Analyse auf Buchstabe a. Für die von Kunden verantworteten Inhalte legt die jeweilige Organisation die Rechtsgrundlage fest, einschließlich gegebenenfalls anwendbarer Beschäftigtendatenschutzregeln. Eine Browserberechtigung oder die Kenntnisnahme dieser Hinweise ersetzt diese Rechtsgrundlage nicht.
4. Aufruf der Website und Infrastruktur
Beim Zugriff werden insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse, Browser- und Geräteinformationen sowie technische Status- und Fehlerdaten verarbeitet, um Inhalte auszuliefern, Störungen zu erkennen und Angriffe abzuwehren. Wir nutzen Google Firebase und Google Cloud für Hosting, Datenbank, Dateispeicher und serverseitige Verarbeitung. Rechtsgrundlage für den sicheren Websitebetrieb ist Artikel 6 Absatz 1 Buchstabe f DSGVO. Technische Protokolle sind keine anonymen Statistiken; ihre Aufbewahrung richtet sich nach dem konkreten Betriebs- und Sicherheitszweck.
5. Konto, Anmeldung und persönliche Einladungen
Firebase Authentication verarbeitet Anmeldedaten, Nutzerkennung, E-Mail-Adresse und technische Sicherheitsinformationen. Bei der von Dir gewählten Google-Anmeldung erhalten wir die zur Anmeldung freigegebenen Konto- und Profildaten; Dein Google-Passwort erhalten wir nicht. Verifikations-, Passwortreset- und Einladungsnachrichten werden über Brevo versendet. Firmenzugänge verwenden persönliche E-Mail-Links. Für Teilnehmer im Unterweisungsportal sind zusätzlich zeitlich begrenzte Zugänge und Sitzungen vorgesehen. Teile persönliche Links oder Zugangscodes nur mit den berechtigten Personen.
6. Projekte, Zusammenarbeit und Empfänger
Je nach Nutzung werden Projekt- und Kontaktdaten, Firmenzugehörigkeit, Arbeitszeiten, Begehungen, Mängel, Maßnahmen, Fristen, Standortangaben, Fotos, Dokumente, Kommentare und Unterschriften gespeichert. Interne Teammitglieder und benannte Firmenkontakte erhalten Zugriff entsprechend ihren Rollen und den erteilten Projektberechtigungen. Das Veröffentlichen einer Rückmeldung, eine Freigabe, ein Export oder die Weitergabe eines Berichts kann weitere Empfänger einbeziehen. Prüfe vor jeder Weitergabe den Inhalt und den Empfängerkreis; ein angelegter Kontakt erhält nicht allein dadurch App-Zugang.
7. Unterweisungsportal und Nachweise
Das Unterweisungsportal verarbeitet Teilnehmeridentität und Firmenzuordnung, Einladungs- und Zugangsdaten, zugewiesene Kurse, Sprachwahl, Lernfortschritt, Antworten, Prüfungsergebnisse, Zeitpunkte, Identitätsbestätigungen und ausgestellte oder hochgeladene Nachweise. Berechtigte Personen der zuständigen Organisation können diese Daten zur Durchführung und Dokumentation einsehen. Die Prüfung eines Nachweises über Link oder QR-Code erfordert zusätzlich eine berechtigte Sitzung beziehungsweise Rolle. In der begrenzten Prüfansicht werden Name, Firma, Kurs, Abschluss- und Ablaufdatum sowie Status angezeigt, nicht die einzelnen Antworten oder Unterschriften; der bloße Besitz des QR-Codes gewährt keinen öffentlichen Datenzugriff. Die verantwortliche Organisation entscheidet über Zuweisung, Verwendung und Aufbewahrung. Ein bestandener Online-Test ersetzt keine erforderliche praktische Einweisung oder fachliche Prüfung.
8. Fotos, Ton, Standort und sensible Inhalte
Kamera, Mikrofon und Gerätestandort werden für die jeweils aufgerufene Funktion und nach erforderlicher Browserfreigabe verwendet. Aufnahmen können andere Personen und vertrauliche Inhalte erfassen. Stelle vor Aufnahme und Upload eine zulässige Rechtsgrundlage sicher und beschränke die Daten auf das Erforderliche. Die Beta ist nicht für medizinische Unterlagen, Gesundheitsdaten oder andere besonders geschützte Inhalte ohne gesonderte vorherige Vereinbarung vorgesehen. Unterschriftsbilder werden als Dokumentationsinhalt verarbeitet; eine qualifizierte elektronische Signatur oder biometrische Identitätsprüfung wird dadurch nicht zugesagt.
9. KI-Funktionen und OpenAI
Bei einer KI-Anfrage werden die für den Auftrag ausgewählten Texte, Fotos, Dateien, Audiodaten und Kontextinformationen an die OpenAI-API übermittelt. Dies betrifft unter anderem SiGe-Pläne, KI-Erfassung und deren Diktattranskription, Dokumentvorprüfung, Kursentwürfe, Übersetzungen, Tutorfragen und das Auslesen von Nachweisen. Die Eingaben können personenbezogene Daten enthalten. Ergebnisse sind Vorschläge, die fachlich geprüft werden müssen. Die App trifft damit keine abschließenden Personal-, Zulassungs- oder Sicherheitsentscheidungen. Die rechtliche Zulässigkeit einer KI-Übermittlung von Kundendaten muss die verantwortliche Organisation vor Nutzung sicherstellen; manuelle Fachformulare bleiben verfügbar.
10. Audio und Medien im Unterweisungsportal
Für die Transkription hochgeladener Lernmedien nutzt die Anwendung Google Cloud Speech-to-Text über den EU-Endpunkt. Zur Erzeugung von Vorleseaudio werden die jeweiligen Kurstexte an Google Cloud Text-to-Speech über den globalen Endpunkt übermittelt. Die Kursinhalte können personenbezogene Angaben enthalten. Quelldateien, Transkripte, Untertitel, erzeugte Audiodateien und technische Auftragsdaten werden für die freigegebenen Lerninhalte verarbeitet und nach den Aufbewahrungsregeln der zuständigen Organisation gespeichert. Dies ist ein anderer Ablauf als die Diktattranskription der KI-Erfassung über OpenAI. Ein in Europa ausgeführter Medienauftrag bedeutet nicht, dass auch jeder aufgerufene Sprachdienst ausschließlich in Europa verarbeitet.
11. KI-Speicherung und Aufnahmen
Die verwendeten Responses-Anfragen deaktivieren die dauerhafte Antwortspeicherung mit store:false. Das ist keine Zusage von Zero Data Retention: OpenAI beschreibt unter anderem gesonderte Sicherheitsprotokolle, standardmäßig bis zu 30 Tagen, mit Ausnahmen sowie funktionsabhängige Zwischenspeicherung. API-Inhalte werden laut OpenAI standardmäßig nicht zum Modelltraining verwendet, sofern keine Datenfreigabe aktiviert wird. Eine besondere SiGeKo-Vereinbarung dazu ist hier nicht bestätigt. Eigene hochgeladene Rohaufnahmen der KI-Erfassung werden nach der Transkription zur Löschung vorgemerkt; fehlgeschlagene Bereinigungen werden wiederholt. Transkripte, übernommene Ergebnisse und noch lokale Entwürfe haben davon unabhängige Speicherfristen.
12. Optionale Wetterabfrage
Die optionale Wetterfunktion nutzt Daten des Deutschen Wetterdienstes (DWD). Nach Deiner Standortfreigabe werden die vom Gerät ermittelten Koordinaten über den SiGeKo-Server an Bright Sky übermittelt; alternativ können Standortangaben aus dem Projekt verwendet werden. Dein Browser kontaktiert den Wetteranbieter dabei nicht direkt. Du kannst Wetterdaten auch manuell erfassen. Die Abfrage dient der angeforderten Funktion; die Auswahl und Zulässigkeit personenbezogener Projektangaben liegt bei der verantwortlichen Organisation.
13. Kontakt, Support und Kundenverwaltung
Bei einer Anfrage verarbeiten wir Name, E-Mail-Adresse, gegebenenfalls Firma und Rolle sowie Nachricht und Bearbeitungsverlauf. Brevo wird für Übermittlung, Eingangsbestätigung und Kontaktverwaltung genutzt; dabei wird auch ein CRM-Kontakt mit Herkunft und Anfragezeitpunkt angelegt. Dies dient der Bearbeitung Deiner Anfrage und ist keine Newsletteranmeldung. Rechtsgrundlage ist bei vertragsbezogenen Anfragen Artikel 6 Absatz 1 Buchstabe b, ansonsten unser berechtigtes Interesse an der Beantwortung nach Buchstabe f. Sende keine unnötigen personenbezogenen Baustellenunterlagen über das allgemeine Kontaktformular.
14. Newsletter
Den Newsletter versenden wir nur aufgrund Deiner gesonderten Einwilligung nach Artikel 6 Absatz 1 Buchstabe a DSGVO. Brevo verarbeitet E-Mail-Adresse, Sprache, Herkunft sowie Anmelde- und Bestätigungsangaben. Die Anmeldung wird durch eine Bestätigungsnachricht geprüft (Double-Opt-in). Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft über den Abmeldelink oder hello@lol.marketing widerrufen. Die Rechtmäßigkeit bis zum Widerruf bleibt unberührt. Erforderliche Einwilligungsnachweise und Sperrvermerke zur Beachtung einer Abmeldung können getrennt vom aktiven Verteiler aufbewahrt werden.
15. Sicherheit und Missbrauchsschutz
Zum Schutz von Konten und Diensten verarbeiten wir technische Zugriffsangaben, abgeleitete Kennungen, Zähler und Zeitpunkte. Auch gehashte IP-, E-Mail- oder Nutzerkennungen können personenbezogen sein. Firebase App Check mit reCAPTCHA Enterprise kann Geräte-, Browser- und Verbindungsdaten an Google übermitteln; derzeit wird die Prüfung beobachtend betrieben. Rechtsgrundlage für erforderliche Sicherheitsverarbeitung ist Artikel 6 Absatz 1 Buchstabe f DSGVO. Eine Ausnahme von der Einwilligung für Endgerätezugriffe nach § 25 Absatz 2 TDDDG greift nur, soweit Speicherung oder Zugriff für den ausdrücklich gewünschten Dienst unbedingt erforderlich sind. Sicherheitsfunktionen sind von optionaler Analyse zu unterscheiden.
16. Browser-Speicher und optionale Analyse
Die Web-App speichert unter anderem Anmeldestatus, Sprache, Darstellung, Projekte, Entwürfe und Synchronisationsaufträge lokal. Eine normale Abmeldung löscht diese Daten nicht vollständig. Firebase/Google Analytics wird erst nach Deiner Einwilligung aktiviert. Erfasst werden öffentliche Seitenaufrufe, Klicks auf Registrierung und Kontakt, Vorlagen-Downloads sowie erfolgreiche neue Konten und Testzugänge. Herkunftskanal und Einstiegsseite werden auf vorgegebene Kategorien begrenzt und bis zu 30 Minuten für die Zuordnung verwendet. Eine kurzlebige Kennung für eine erfolgreiche SiGeKo-Neuregistrierung über Google wird über eine Weiterleitung hinweg höchstens fünf Minuten ausgewertet. Formularinhalte, E-Mail-Adressen, Projektkennungen und vollständige URL-Parameter werden nicht als Analyseereignisfelder gesendet; technische Verbindungsdaten fallen bei der Übermittlung an Google dennoch an. Rechtsgrundlagen sind Artikel 6 Absatz 1 Buchstabe a DSGVO und § 25 Absatz 1 TDDDG. Werbeeinwilligungen und Google Signals werden nicht freigegeben. Ablehnung oder Widerruf über die Cookie-Einstellungen beendet weitere Sammlung und entfernt die lokalen Herkunfts-/Registrierungsmerker. Details und Speichergrenzen stehen unter Cookies und lokale Speicherung.
17. Dienstleister und Offenlegung
Für Infrastruktur und Identität nutzen wir Google Firebase/Google Cloud einschließlich Sprachverarbeitung im Unterweisungsportal, für Nachrichten und Kontaktverwaltung Brevo, für die angeforderten KI-Funktionen OpenAI und für Wetterabfragen Bright Sky. Daneben erhalten die von Deiner Organisation berechtigten Personen die für ihre Rolle freigegebenen Inhalte. Eine Offenlegung gegenüber Behörden, Gerichten oder beruflich zur Verschwiegenheit verpflichteten Beratern kommt in Betracht, soweit eine rechtliche Verpflichtung besteht oder dies zur Wahrung berechtigter Rechtsansprüche erforderlich ist. Die konkrete vertragliche Gesellschaft, Leistung und Transfergrundlage jedes Auftragsverarbeiters müssen in den Vertragsanlagen verifiziert sein; der Markenname allein belegt keinen AV-Vertrag.
18. Verarbeitungsorte und internationale Übermittlungen
Die Betreiberin ist eine US-Gesellschaft. Die Projektdatenbank ist in der EU eingerichtet; serverseitige Kernfunktionen laufen in Frankfurt. Hochgeladene Dateien liegen nach dem dokumentierten Betriebsstand weiterhin im US-Nutzspeicher. Firebase Authentication wird laut Google in US-Rechenzentren betrieben. Bei weiteren Dienstleistern, Support und KI können ebenfalls Verarbeitungen außerhalb des EWR stattfinden. Ein EU-Datenbankstandort bedeutet daher keine ausschließliche EU-Verarbeitung. Übermittlungen benötigen eine anwendbare Grundlage nach Kapitel V DSGVO, etwa einen einschlägigen Angemessenheitsbeschluss oder geeignete Garantien mit erforderlicher Risikoprüfung. Die anwendbaren Transferinstrumente und erforderlichen Nachweise sind für die konkrete Verarbeitungskette gesondert zu dokumentieren; die Veröffentlichung dieser Hinweise bestätigt keinen individuellen Vertragsabschluss. Auskünfte und Anfragen zu einschlägigen Garantien: hello@lol.marketing. Insbesondere wird keine eigene Zertifizierung der lol.marketing LLC im EU-US Data Privacy Framework behauptet.
19. Speicherdauer, Beta-Resets und Sicherungen
Für die erforderlichen Aufbewahrungsfristen, Löschweisungen und unabhängige Sicherungen ihrer Projekt-, Beschäftigten- und Unterweisungsunterlagen ist die verantwortliche Kundenorganisation zuständig. Die Beta ist kein Archivdienst. Vereinbarte Beta-Resets zur Erprobung, Fehlerbehebung, technischen Umstellung oder Abwehr konkreter Sicherheitsrisiken können Daten jederzeit ganz oder teilweise ohne gesonderte Vorankündigung löschen; bei personenbezogenen Auftragsdaten ausschließlich im Rahmen entsprechender dokumentierter Kundenweisungen. Mitgeteilte Aufbewahrungssperren, vereinbarte Rückgaben, gesetzliche Pflichten des Anbieters und Rechte betroffener Personen bleiben unberührt. Eigene Konto-, Vertrags-, Kontakt- und Sicherheitsdaten verarbeitet lol.marketing LLC nur so lange, wie dies für den jeweiligen Zweck, eine anwendbare gesetzliche Pflicht oder erforderliche Rechtsverteidigung notwendig ist. Eine bloße Beta-Löschregel ist hierfür keine unbegrenzte Aufbewahrungs- oder Löschbefugnis. Kontolöschung ist kein Versprechen sofortiger Entfernung aus allen Sicherungen und ist von Organisationsunterlagen sowie Kopien bei Empfängern zu unterscheiden. Cloudexport, lokale Sicherung und heruntergeladene Berichte sind getrennte Kopien. Die dokumentierte Firestore-Sicherung hat 14 Tage Laufzeit; Medienkopien und dienstleistereigene Sicherungen sind davon nicht umfasst. Löschweisungen und vereinbarte Fristen für Produktivdaten, Exporte, Versionen und Sicherungen werden im jeweiligen AV-Vertrag festgehalten.
20. Aufbewahrung im Unterweisungsportal
Für das Unterweisungsportal sind organisationsbezogene Aufbewahrungsregeln vorgesehen. Die technischen Standardwerte sind fünf Jahre für Nachweise, 90 Tage für Besuchernachweise und Detailantworten sowie 30 Tage für Tutorverläufe. Die Nachweisfrist knüpft je nach Datensatz an das Ablauf-, Besuchsende- oder Abschlussdatum an. Das sind konfigurierbare Produktwerte, keine pauschalen gesetzlichen Aufbewahrungsfristen und keine zugesagte Mindestspeicherzeit bei einem gesondert vereinbarten Beta-Reset. Abweichende Einstellungen, dokumentierte Aufbewahrungssperren oder offene Verfahren können die Verarbeitung beeinflussen. Automatische Bereinigung setzt den aktivierten und funktionsfähigen Löschprozess voraus. Die zuständige Organisation muss die für ihren Zweck erforderlichen Fristen bestimmen und Betroffene darüber informieren.
21. Deine Rechte und Beschwerdemöglichkeiten
Bei Vorliegen der gesetzlichen Voraussetzungen hast Du Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Einer Verarbeitung nach Artikel 6 Absatz 1 Buchstabe f DSGVO kannst Du aus Gründen Deiner besonderen Situation widersprechen; gegen Direktwerbung ist der Widerspruch jederzeit möglich. Einwilligungen kannst Du mit Wirkung für die Zukunft widerrufen. Anfragen sind an hello@lol.marketing oder bei Organisationsdaten an die zuständige Organisation zu richten. Wir prüfen erforderlichenfalls verhältnismäßig Deine Identität. Die Antwort erfolgt grundsätzlich innerhalb eines Monats; eine gesetzlich zulässige Verlängerung wird innerhalb dieses Monats mit Gründen mitgeteilt. Du kannst Dich insbesondere bei einer Datenschutzaufsichtsbehörde an Deinem Aufenthaltsort, Arbeitsplatz oder dem Ort des vermuteten Verstoßes beschweren.
22. Erforderliche Angaben und Änderungen
Für einen persönlichen Zugang und bestimmte Dokumentationsfunktionen sind die jeweils gekennzeichneten Angaben erforderlich; ohne sie kann die entsprechende Funktion nicht bereitgestellt werden. Newsletter, Analyse und optionale Geräteberechtigungen sind freiwillig. Diese Hinweise werden bei Änderungen der Verarbeitung aktualisiert. Eine neue Fassung ersetzt keine erforderliche neue Einwilligung und ändert nicht automatisch bestehende Verträge.