Impressum

stabas-Dash ist die Bestandsplattform der stabas Statik und Bauprojekt GmbH („wir“). Wir stellen dir hier die Aufzugs- und Projektdaten zu den Bauvorhaben bereit, an denen du beteiligt bist. Die Nutzung ist für dich kostenlos.

Diese Bedingungen gelten zwischen uns und dir als der Person, die den Zugang nutzt. Sie regeln, wie du den Zugang und die Daten nutzen darfst — sie sind kein Vertrag über unsere Leistungen.

Nutzt du den Zugang für dein Unternehmen, gilt zusätzlich der Vertrag, den wir mit deinem Unternehmen geschlossen haben. Bei einem Widerspruch geht dieser Vertrag diesen Bedingungen vor; Rechte und Pflichten deines Unternehmens werden hier weder erweitert noch eingeschränkt, und du sagst uns nichts für dein Unternehmen zu.

Hat dein Unternehmen eigene Regeln für den Umgang mit Projektdaten, gelten sie für dich zusätzlich.

In diesen Bedingungen meint Projekt ein einzelnes Bauvorhaben mit seinen Bestandsdaten, Bauvorhaben eine Gruppe zusammengehörender Projekte, Gruppe die Firma oder Organisation, der dein Zugang zugeordnet ist.

Dein Zugang ist persönlich. Benutzername und Passwort sind nicht zur Weitergabe gedacht — auch nicht an Kolleginnen und Kollegen im selben Haus. Braucht jemand Zugriff, bekommt er einen eigenen Zugang; frag uns einfach.

Gleichzeitig angemeldet sein kannst du auf höchstens zwei Geräten; meldest du dich auf einem dritten an, wird das am längsten nicht genutzte Gerät automatisch abgemeldet. Deine Sitzung endet nach 48 Stunden ohne Aktivität, spätestens nach 96 Stunden.

Damit dein Zugang sicher bleibt, bist du mit dran: Wähle ein Passwort, das du nirgendwo sonst verwendest, und gib es niemandem — auch uns nicht; wir fragen dich nie danach. Schalte die Zwei-Faktor-Anmeldung in deinem Profil ein, wenn du unterwegs oder von einem geteilten Gerät arbeitest. Melde dich auf fremden Geräten wieder ab. Halte die E-Mail-Adresse in deinem Konto aktuell, damit wir dich erreichen. Und wenn du den Verdacht hast, dass jemand anderes deine Zugangsdaten kennt oder in deinem Namen gearbeitet hat: sag uns unverzüglich Bescheid.

Die Projektdaten stellen wir dir für die Zusammenarbeit an dem jeweiligen Bauvorhaben zur Verfügung. Innerhalb dieses Zwecks darfst du sie ansehen, im Dash herunterladen, für deine eigene Projektarbeit auswerten und an Personen in deinem Unternehmen weitergeben, die am selben Bauvorhaben arbeiten. Dieses Recht ist einfach, nicht übertragbar und nicht unterlizenzierbar.

Soll jemand etwas sehen, der nicht am Projekt beteiligt ist — ein Eigentümer, ein Verwalter, ein Fachplaner —, dann geht das über einen öffentlichen Link der Plattform (Abschnitt 6). Nur so bleibt nachvollziehbar, was herausgegeben wurde, nur so läuft die Freigabe nach einer festen Zeit wieder ab, und nur so lässt sie sich widerrufen. Erzeugen können solche Links Projektleiter und das stabas-Team; hast du die Rolle nicht, frag kurz nach.

Ohne unsere vorherige Zustimmung in Textform nicht erlaubt ist:

• die Nutzung für ein anderes Vorhaben oder einen anderen Zweck als das Projekt, zu dem du den Zugang bekommen hast;
• die Weitergabe an Projektfremde auf einem anderen Weg als über einen öffentlichen Link — also keine eigenen Kopien, Exporte, Ausdrucke oder Bildschirmfotos an Unbeteiligte, auch nicht auszugsweise und auch nicht in Angeboten, Präsentationen oder Veröffentlichungen;
• die Weitergabe deiner Zugangsdaten — niemals und an niemanden, auch nicht kurz und auch nicht „nur zum Anschauen“; wer dauerhaft Zugriff braucht, bekommt einen eigenen Zugang;
• das automatisierte Auslesen (Crawler, Skripte, Massen-Download) und der Aufbau einer eigenen, dauerhaften Kopie des Datenbestands;
• die Bearbeitung von Scans, 3D-Modellen und Auswertungen zu einem neuen, eigenständigen Produkt.

Die Rechte an den Inhalten — Scans, 3D-Modelle, Dokumente, Fotos, Bewertungen und Auswertungen — stehen uns beziehungsweise den jeweiligen Projektpartnern zu; der Datenbestand als solcher ist zusätzlich als Datenbank geschützt. Du bekommst ein Nutzungsrecht im Rahmen des Projekts, kein weitergehendes Recht.

Kopien, die du erlaubterweise herunterlädst, darfst du in deiner eigenen Projektablage behalten, solange du sie für das Projekt brauchst, und für deine eigene Nachweisdokumentation verwenden (Abschnitt 11). An Projektfremde gehen sie nicht — dafür ist der öffentliche Link da. Für sie gelten die Zweckbindung aus diesem Abschnitt und die Vertraulichkeit aus Abschnitt 4 unverändert weiter.

Alles, was du im Dash siehst und herunterlädst, ist vertraulich: Bestandsaufnahmen, Kenndaten, Fotos, 3D-Modelle, Dokumente, Bewertungen und die Beiträge der anderen Beteiligten. Behandle es so, wie du eigene vertrauliche Unterlagen behandelst — mindestens aber mit der Sorgfalt, die im Geschäftsverkehr üblich ist.

Gib diese Inhalte nur an Personen weiter, die sie für das Projekt brauchen und die ihrerseits zur Vertraulichkeit verpflichtet sind. Wer nicht am Projekt beteiligt ist, bekommt sie über einen öffentlichen Link (Abschnitt 6) — nicht als Datei und nie über deine Zugangsdaten. Für eigene oder fremde Wettbewerbszwecke verwendest du sie nicht.

Diese Pflicht gilt weiter, auch wenn dein Zugang endet — bis die Inhalte allgemein bekannt sind, ohne dass jemand gegen diese Bedingungen verstoßen hat.

Nicht betroffen ist, was du aufgrund eines Gesetzes, einer behördlichen Anordnung oder einer gerichtlichen Entscheidung offenlegen musst. Sag uns in diesem Fall vorher Bescheid, soweit du das darfst.

Anmerkungen, Kommentare und Notizen, die du schreibst, sind Teil der Projektdokumentation. Sie sind für die übrigen Projektbeteiligten sichtbar. Innerhalb von vier Stunden kannst du eigene Beiträge selbst ändern oder löschen; danach übernimmt das auf Anfrage das stabas-Team.

Bitte schreib nichts hinein, was dort nicht hingehört — insbesondere keine personenbezogenen Daten Dritter, die für das Projekt nicht gebraucht werden.

Du stehst dafür ein, dass du Inhalte, die du hochlädst oder schreibst, auch einstellen darfst — dass also keine Rechte Dritter und keine Geheimhaltungspflichten entgegenstehen. Macht ein Dritter uns gegenüber Ansprüche geltend, weil du das schuldhaft nicht beachtet hast, stellst du uns von diesen Ansprüchen und den notwendigen Kosten der Rechtsverteidigung frei. Bevor wir etwas anerkennen oder uns vergleichen, sagen wir dir Bescheid.

Projektleiter und das stabas-Team können zu einem Projekt oder einem Bauvorhaben einen Link erzeugen, den jede Person ohne Anmeldung öffnen kann. Das ist der vorgesehene Weg, um Projektfremden etwas zu zeigen (Abschnitt 3): der Link ist durch einen Zugangscode geschützt, zeigt einen eingefrorenen Stand, läuft nach einer festen Laufzeit ab und lässt sich jederzeit widerrufen. Wer so einen Link erstellt, entscheidet damit bewusst, einen Projektstand aus dem geschützten Bereich herauszugeben, und ist für die Weitergabe verantwortlich — was das konkret heißt, steht im Abschnitt „Für dich als Projektleiter“.

Ohne diese Rolle kannst du keine Links erzeugen — brauchst du einen, frag den Projektleiter oder das stabas-Team. Bekommst du selbst einen solchen Link, behandle ihn wie ein Passwort: nicht weiterleiten, nicht in offene Verteiler, nicht in Ablagen, auf die Unbeteiligte zugreifen können.

Was du im Dash siehst, ist der Stand unserer Aufnahme zu dem Zeitpunkt, zu dem wir sie gemacht und eingepflegt haben. Anlagen ändern sich, Unterlagen kommen nach, Angaben werden korrigiert. Wir arbeiten sorgfältig, können aber nicht zusichern, dass jede Angabe zu jedem Zeitpunkt richtig, vollständig und aktuell ist.

Bewertungen, Einstufungen und Auswertungen im Dash sind fachliche Einschätzungen zur Orientierung. Sie ersetzen keine Prüfung durch eine zugelassene Überwachungsstelle, kein Sachverständigengutachten und keine Herstellerangabe. Verbindlich ist immer das, was wir dir vertraglich schulden und in den dazugehörigen Berichten und Unterlagen übergeben haben — nicht die Darstellung in der Oberfläche.

Welche Projekte und welche Bereiche eines Projekts du siehst, steuern wir: wir können Projekte vorbereiten, bevor sie für dich sichtbar werden, einzelne Bereiche ausblenden und Inhalte ergänzen oder korrigieren. Einen Anspruch auf einen bestimmten Funktions- oder Inhaltsumfang begründen diese Bedingungen nicht.

Fällt dir etwas auf, das nicht stimmt: schreib eine Anmerkung oder melde dich. Korrekturen nehmen wir vor.

stabas-Dash befindet sich im Beta-Betrieb. Einzelne Funktionen, Darstellungen und auch diese Bedingungen können sich noch ändern. Wir geben uns Mühe, dass alles läuft, können aber keine bestimmte Verfügbarkeit zusichern. Für Wartungen kann die Plattform kurzzeitig nicht erreichbar sein.

stabas-Dash ist keine Sicherungskopie und kein Archiv. Auch wenn du Daten herunterladen kannst: die verbindliche Ablage deiner eigenen Unterlagen liegt bei dir. Verlass dich für Nachweise, Fristen oder Abrechnungen nicht darauf, dass ein Inhalt im Dash dauerhaft abrufbar bleibt.

Unbeschränkt haften wir für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, bei Vorsatz und grober Fahrlässigkeit, bei arglistig verschwiegenen Mängeln, soweit wir eine Garantie übernommen haben, und nach dem Produkthaftungsgesetz.

Bei einfacher Fahrlässigkeit haften wir nur, wenn wir eine Pflicht verletzen, auf deren Erfüllung du vertrauen darfst und die für die Nutzung von stabas-Dash wesentlich ist. In diesem Fall ist unsere Haftung auf den Schaden begrenzt, mit dem bei dieser Art von Nutzung typischerweise zu rechnen ist.

Darüber hinaus haften wir bei einfacher Fahrlässigkeit nicht — insbesondere nicht für entgangenen Gewinn, nicht für ausgebliebene Einsparungen und nicht für Schäden daraus, dass du dich auf die Verfügbarkeit der Plattform oder auf die Vollständigkeit einer Darstellung verlassen hast, ohne die verbindlichen Unterlagen heranzuziehen (Abschnitt 7).

Für den Verlust von Daten haften wir bei einfacher Fahrlässigkeit nur bis zu dem Aufwand, der bei ordnungsgemäßer eigener Sicherung für die Wiederherstellung angefallen wäre. stabas-Dash ist keine Sicherungskopie und kein Archiv (Abschnitt 8).

Ansprüche, die dein Unternehmen aus seinem Vertrag mit uns hat, bleiben davon unberührt (Abschnitt 1).

Bei Missbrauch, bei einem Verstoß gegen diese Bedingungen oder bei einem begründeten Sicherheitsverdacht können wir einen Zugang jederzeit einfrieren oder sperren.

Eine Sperre ist zunächst eine Schutzmaßnahme, keine Unterstellung. Wir melden uns bei dir und klären es; ergibt die Klärung, dass nichts vorlag, öffnen wir den Zugang wieder. Aus einer berechtigten Sperre stehen dir keine Ansprüche zu. Bei schwerwiegenden oder wiederholten Verstößen können wir den Zugang dauerhaft schließen und dein Unternehmen darüber informieren.

Dein Zugang ist an deine Mitarbeit am Projekt gebunden. Er endet, wenn das Projekt abgeschlossen ist und wir den Zugang schließen, wenn du oder dein Unternehmen uns darum bittet, wenn du dein Konto selbst löschst oder wenn wir ihn nach Abschnitt 10 sperren. Eine Mindestlaufzeit gibt es nicht; einen dauerhaften Zugriff schulden wir dir nicht.

Bevor wir einen Zugang wegen Projektende schließen, geben wir dir in der Regel Gelegenheit, die Unterlagen zu sichern, die du für deine eigene Dokumentation brauchst. Verlass dich aber nicht darauf: was du dauerhaft brauchst, sicherst du rechtzeitig selbst (Abschnitt 8).

Nach dem Ende deines Zugangs darfst du Kopien, die du erlaubterweise heruntergeladen hast, weiter für deine eigene Projekt- und Nachweisdokumentation aufbewahren und verwenden. Eine darüber hinausgehende Nutzung — insbesondere für neue Vorhaben oder für Dritte — ist nicht mehr gedeckt. Vertraulichkeit (Abschnitt 4) und Zweckbindung (Abschnitt 3) gelten weiter.

Wie du dein Konto selbst löschst und was dabei mit deinen Daten passiert, steht in der Datenschutzerklärung.

Für die Anmeldung setzen wir die dafür notwendigen Cookies (Anmelde-Sitzung und Schutz vor fremden Aktionen in deinem Namen). Wir verwenden kein Werbe- oder Analyse-Tracking. Was wir im Einzelnen verarbeiten, steht in der Datenschutzerklärung.

Maßgeblich für alles, was die Verarbeitung deiner Daten betrifft, ist die Datenschutzerklärung in ihrer jeweils geltenden Fassung; dieser Abschnitt fasst sie nur zusammen.

Diese Bedingungen tragen eine Version und ein Datum (Version 1.0 · Stand 22.09.2026). Wir können sie ändern, wenn sich die Plattform, unsere Leistungen oder die Rechtslage ändern — nicht aber so, dass sich das Verhältnis von Leistung und Gegenleistung verschiebt.

Eine neue Fassung bekommt eine neue Version. Du siehst sie in deinem Profil unter „Einstellungen → Datenschutz & Konto“; steht dort eine neue Fassung, weist dich dein Profil darauf hin. Bei wesentlichen Änderungen informieren wir dich zusätzlich, sagen dir, was sich ändert, und tun das mindestens vier Wochen bevor die neue Fassung gilt.

Die neue Fassung gilt für deine Nutzung ab dem genannten Zeitpunkt. Bist du nicht einverstanden, nutze den Zugang ab da nicht weiter und sag uns Bescheid — wir schließen ihn dann. Für die Zeit davor bleibt es bei der alten Fassung.

Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Zwingende Schutzvorschriften des Staates, in dem du deinen gewöhnlichen Aufenthalt hast, bleiben unberührt.

Bist du Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Gerichtsstand für alle Streitigkeiten aus diesen Bedingungen Celle. Wir dürfen dich auch an deinem allgemeinen Gerichtsstand verklagen.

Mitteilungen zwischen uns genügen in Textform — zum Beispiel per E-Mail oder über die Nachrichtenfunktion im Dash.

Sollte eine Regelung dieser Bedingungen unwirksam sein oder werden, bleiben die übrigen Regelungen wirksam. An die Stelle der unwirksamen Regelung tritt die gesetzliche Regelung.

Diese Bedingungen sind in deutscher Sprache verfasst; die deutsche Fassung ist maßgeblich.

Verantwortlicher

stabas Statik und Bauprojekt GmbH

Anschrift

Fritzenwiese 42, 29221 Celle, Deutschland

Sitz der Gesellschaft

Wienhausen

Registereintrag

Amtsgericht Lüneburg, HRB 213297

USt-IdNr.

DE295634819

Vertretungsberechtigt

Dipl.-Ing. Silke Stürtz, Dipl.-Ing. Till Stürtz

Verantwortlicher i. S. d. DSGVO

Dipl.-Ing. Till Stürtz, Anschrift wie oben

Kontakt in Datenschutzfragen

office@stabas.de · Telefon 05141 30 164 00

Einen Datenschutzbeauftragten haben wir nicht bestellt; wir sind dazu nicht verpflichtet. Wende dich mit allen Anliegen an die Adresse oben — oder, wenn du angemeldet bist, über „Nachricht an stabas“ direkt aus dem Dash heraus.

Diese Erklärung gilt für die Plattform stabas-Dash unter dash.stabas.de. Für die Unternehmens-Website gilt eine eigene Erklärung (Link am Ende). Die dort beschriebenen Dienste — Analyse-Werkzeuge, externe Schriftarten, Consent-Werkzeug, soziale Netzwerke — kommen im Dash nicht zum Einsatz.

Wir halten die Verarbeitung bewusst klein. Es gibt kein Werbe- oder Marketing-Tracking, keine Werbung, keine Profilbildung zu Werbezwecken, keinen Verkauf und keine Weitergabe an Dritte außerhalb dessen, was unten unter „Empfänger“ steht. Was wir verarbeiten, brauchen wir, damit der Zugang funktioniert, damit die Zusammenarbeit im Projekt funktioniert und damit die Plattform sicher bleibt.

3.1 Dein Konto — Benutzername, Anzeigename beziehungsweise Synonym, E-Mail-Adresse (bei Einladungen erforderlich, sonst optional), Rang, Gruppenzugehörigkeit, Kontostatus, Zeitpunkt der Kontoanlage sowie interne Notizen, die das stabas-Team zu deinem Konto führt. Zweck: Bereitstellung deines Zugangs und Zuordnung deiner Projekte. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags- beziehungsweise Projektverhältnisses), bei Beschäftigten der stabas Statik und Bauprojekt GmbH zusätzlich das Beschäftigungsverhältnis (Art. 88 DSGVO in Verbindung mit § 26 BDSG, soweit anwendbar).

Woher wir diese Daten haben: Deinen Zugang legt in der Regel das stabas-Team an; deinen Namen und deine E-Mail-Adresse erhalten wir dabei von dir selbst oder von deinem Unternehmen im Rahmen des gemeinsamen Projekts.

3.2 Anmeldung und Sicherheit — Passwort ausschließlich als nicht rückrechenbarer Hash (Argon2id); niemand bei uns kann dein Passwort lesen. Optional ein Zwei-Faktor-Geheimnis, verschlüsselt gespeichert. Dazu: Zeitpunkt und Zähler deiner Anmeldungen, IP-Adresse und Browser-Kennung (User-Agent) der letzten Anmeldung, die Liste deiner aktiven Sitzungen (IP, Browser-Kennung, Beginn, letzte Aktivität, Ablauf) sowie ein Protokoll der Anmeldeversuche (Erfolg oder Fehlergrund, IP-Adresse, Browser-Kennung, grob aus der IP ermitteltes Herkunftsland, Kennzeichnung automatisierter Zugriffe). Zweck: Anmeldung, Schutz vor Brute-Force-Angriffen, Missbrauch und automatisierten Zugriffen; Nachvollziehbarkeit bei einem Sicherheitsvorfall. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).

3.3 Technisches Zugriffsprotokoll je IP-Adresse — zur Abwehr von Angriffen und Bots führen wir eine tagesweise Auswertung je IP-Adresse: Anzahl der Zugriffe, Fehlerzahlen, fehlgeschlagene Anmeldungen, angesprochene Bereiche, Browser- und Systemfamilie sowie das aus der IP ermittelte Herkunftsland. Die Länder-Ermittlung läuft mit einer offline auf unserem Server liegenden Datenbank (MaxMind GeoLite2-Country); deine IP-Adresse wird dafür an niemanden übermittelt. Einsehbar ist diese Auswertung ausschließlich für den Administrator. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Zu den fehlgeschlagenen Anmeldungen gehört auch eine kleine Stichprobe der dabei eingegebenen, bei uns unbekannten Benutzernamen — daran erkennen wir, ob jemand systematisch Konten durchprobiert. Auch diese Angaben unterliegen der 365-Tage-Frist.

3.4 Nutzungsstatistik — Sitzungszeit und Aktivzeit. Wir führen zu jedem Konto zwei Zeitsummen: die Sitzungszeit (wie lange Sitzungen insgesamt gelaufen sind — ein offenes Browser-Fenster läuft hier bis zum Sitzungsende mit) und die Aktivzeit, die ehrlichere Zahl: nur Zeit, in der nachweislich gearbeitet wurde. Zwischen zwei tatsächlichen Aktionen wird höchstens eine gedeckelte Lücke mitgezählt; ein unbeaufsichtigter Tab trägt hier nichts bei. Dazu kommen: welche Projekte wie oft aufgerufen wurden, wie lange in welchen Bereichen eines Projekts gearbeitet wurde, und welches Projekt du zuletzt geöffnet hast.

Die Einzelaufzeichnungen dahinter löschen wir nach 60 Tagen. Die beiden Gesamtzahlen und das zuletzt geöffnete Projekt bleiben an deinem Konto, bis du es löschst — oder bis du dieser Auswertung widersprichst (Abschnitt 10).

Zweck der Nutzungsstatistik: zu erkennen, welche Bereiche genutzt werden und wo die Plattform hakt — also Produktverbesserung und Betriebsübersicht. Nicht zur Leistungs- oder Verhaltenskontrolle einzelner Personen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

3.5 Projektinhalte und deine Beiträge — die Projektdaten selbst (Stammdaten, Kenndaten, Fotos, Dokumente, 3D-Modelle, Bewertungen) sowie deine Beiträge: Anmerkungen und Antworten, bei Projektleitern zusätzlich Notizen und Entscheidungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, ergänzend Art. 6 Abs. 1 lit. f DSGVO (nachvollziehbare Projektdokumentation).

Fotos, die wir im Projekt hinterlegen, sind die Originaldateien unserer Aufnahme. In Bilddateien können Zusatzangaben eingebettet sein — Gerätemodell, Aufnahmezeitpunkt und Standortkoordinaten. Diese Angaben bleiben im geschützten Bereich erhalten und reisen mit, wenn du ein Foto herunterlädst. Entfernt werden sie nur in den Kopien für öffentliche Links (Abschnitt 8).

3.6 Rückmeldungen und Kontakt — schickst du über den Feedback-Knopf eine Rückmeldung, übermitteln wir deine Beschreibung und, nur wenn du es aktiv stehen lässt, einen Bildschirmausschnitt der aktuellen Seite sowie technische Browser-Hinweise (Konsolen- und Netzwerkfehler). Der Bildschirmausschnitt kann sichtbare Projektdaten enthalten; du kannst ihn abwählen. Im Kontakt-Modus werden nur dein Name und deine Nachricht übertragen. Diese Daten sind ausschließlich für den Administrator einsehbar. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Produktverbesserung, Fehlerbehebung), bei Anliegen zum Konto Art. 6 Abs. 1 lit. b DSGVO.

3.7 Zugangsanfrage — fragst du über die Anmeldeseite einen Zugang an, speichern wir den gewünschten Benutzernamen, deine E-Mail-Adresse, deine Nachricht sowie IP-Adresse und Browser-Kennung der Anfrage — dazu die Fassung dieser Texte, die dir dabei angezeigt wurde, soweit dein Browser sie mitteilt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme).

3.8 Bestätigung dieser Texte — nimmst du deinen Zugang über einen Einrichtungslink in Betrieb, halten wir fest: die bestätigte Fassung, den Zeitpunkt, deine IP-Adresse und deine Browser-Kennung. Dasselbe gilt, wenn du im Profil auf „Gelesen und bestätigt“ klickst. Zusätzlich wird vermerkt, wann du die Texte im Profil zum ersten Mal geöffnet hast.

Rechtsgrundlage der Bestätigungs-Spur: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, die Annahme der Nutzungsbedingungen und die Bereitstellung dieser Informationen nachweisen zu können, Art. 5 Abs. 2 DSGVO); bei der Annahme der Nutzungsbedingungen zugleich Art. 6 Abs. 1 lit. b DSGVO.

3.9 Protokoll sicherheitsrelevanter Vorgänge (Audit-Log) — Anmeldungen, Statusänderungen, Rechtevergaben, das Erstellen und Widerrufen öffentlicher Links, Kontolöschungen werden in einem fortlaufend verketteten Protokoll festgehalten, das nachträgliche Veränderungen erkennbar macht. Zur Aufbewahrung siehe Abschnitt 6. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO sowie Art. 5 Abs. 2 und Art. 32 DSGVO.

Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt, treffen wir nicht; ein Profiling zu Bewertungs- oder Werbezwecken findet nicht statt. Automatisch laufen nur Schutzmechanismen: nach fehlgeschlagenen Anmeldungen wird die nächste Eingabe verzögert, Sitzungen laufen nach Zeit ab, und auffällige Zugriffe werden als automatisiert eingestuft. Ob ein Zugang gesperrt, eingefroren oder wieder geöffnet wird, entscheidet immer ein Mensch.

Damit du es nicht raten musst — der Administrator sieht zu deinem Konto:

• Kontostammdaten, Rang, Gruppe, Status, interne Notizen;
• Anmeldeverlauf: die letzten Versuche mit Zeitpunkt, IP-Adresse, Ergebnis und Fehlergrund sowie die beteiligten IP-Adressen, aufbereitet über 7, 30 und 90 Tage;
• Sitzungs- und Aktivzeit (siehe 3.4), Projektaufrufe und Bereichsnutzung der letzten 60 Tage sowie die zuletzt geöffneten Projekte;
• deine aktiven Geräte, mit der Möglichkeit, sie abzumelden;
• wann du diese Texte geöffnet und in welcher Fassung du sie bestätigt hast.

Was er nicht sieht: dein Passwort (es liegt nur als nicht rückrechenbarer Hash vor) und keine Inhalte, die im System nicht ohnehin sichtbar sind.

• Unsere eigenen Beschäftigten — und von ihnen nur die Personen, die für Betrieb, Projektpflege und Support zuständig sind, und nur im dafür erforderlichen Umfang. Sie sind zur Vertraulichkeit verpflichtet und arbeiten nach unserer Weisung.
• Hetzner Online GmbH, Rechenzentrum Falkenstein, Deutschland — Hosting unserer Server. Dort liegen die Datenbank, die hochgeladenen Dateien und die Sicherungen. Auftragsverarbeiter nach Art. 28 DSGVO.
• IONOS SE, Deutschland — Versand von E-Mails (Zugangs- und Einrichtungslinks, Passwort-Hilfe und künftige Benachrichtigungen), sobald der E-Mail-Versand im Dash aktiviert ist. Auftragsverarbeiter nach Art. 28 DSGVO.

Darüber hinaus geben wir deine Daten nur weiter, wenn wir gesetzlich oder behördlich dazu verpflichtet sind, wenn es zur Verfolgung oder Abwehr von Rechtsansprüchen erforderlich ist — dann an unsere anwaltlichen oder steuerlichen Berater, die ihrerseits zur Verschwiegenheit verpflichtet sind — oder wenn du uns darum bittest. Insbesondere binden wir keine externen Schriftarten, kein Content-Delivery-Netzwerk, keine Analyse- oder Werbedienste und keine sozialen Netzwerke ein; verkauft werden deine Daten nicht. Die Ermittlung des Herkunftslands aus der IP-Adresse läuft offline auf unserem eigenen Server; MaxMind ist dadurch kein Empfänger deiner Daten.

Keine Übermittlung in Drittländer: Alle genannten Verarbeitungen finden in Deutschland statt. Eine Übermittlung in ein Land außerhalb der EU beziehungsweise des EWR findet nicht statt.

Kontodaten und Projektzuordnung

solange dein Konto besteht

Anmeldeversuche (Erfolg und Fehlschlag)

60 Tage, danach automatisch gelöscht

Beendete Sitzungen (IP, Browser-Kennung)

60 Tage

Nutzungs- und Aktivitätsdaten im Einzelnen (Projektaufrufe, Bereichsnutzung, Sitzungsverläufe)

60 Tage, danach automatisch gelöscht

Zwei Gesamtzahlen an deinem Konto (Sitzungszeit, Aktivzeit) und das zuletzt geöffnete Projekt

solange dein Konto besteht — sie werden fortlaufend aufsummiert und nicht nach 60 Tagen zurückgesetzt; auf Widerspruch (Abschnitt 10) löschen wir sie

Technisches Zugriffsprotokoll je IP-Adresse (siehe 3.3)

365 Tage

Profil je IP-Adresse (Land, Browser-/Systemfamilie, Einstufung)

wird entfernt, wenn die IP-Adresse 365 Tage nicht mehr gesehen wurde

Zugangsanfragen von der Anmeldeseite (siehe 3.7)

bis zur Bearbeitung deiner Anfrage; wird daraus ein Konto und löschst du es später, werden sie mitgelöscht

Rückmeldungen und Tickets

geschlossen: 30 Tage · offen: 90 Tage

Statistik zu öffentlichen Links (pseudonyme Besucherzählung)

90 Tage; der reine Aufrufzähler (eine Zahl ohne Personenbezug) bleibt auch nach dem Ende des Links erhalten

Projektinhalte und Anmerkungen

solange das Projekt besteht

Löschung deines Kontos

7 Tage Frist, danach endgültige Entfernung aus dem laufenden Betrieb — mit den beiden unten genannten Ausnahmen

Protokoll sicherheitsrelevanter Vorgänge (siehe 3.9)

dauerhaft, mit Redaktion bei Kontolöschung — siehe unten

Zum Audit-Log im Klartext: Es wird nicht gelöscht, weil seine Beweiskraft gerade darauf beruht, dass niemand nachträglich Einträge entfernt. Wird dein Konto gelöscht, wird es aber redigiert: Benutzername, E-Mail-Adresse, Name und Synonym werden aus den Einträgen getilgt, und bei den Vorgängen, die du selbst ausgelöst hast, werden zusätzlich IP-Adresse und Browser-Kennung entfernt. Anschließend wird die Verkettung neu berechnet, sodass das Protokoll weiterhin prüfbar ist und den redigierten Zustand dokumentiert. Übrig bleibt, dass zu einem Zeitpunkt ein Vorgang stattgefunden hat — ohne Bezug zu deiner Person. Rechtsgrundlage: Art. 17 Abs. 3 lit. b und lit. e DSGVO.

Eine zweite, kleinere Ausnahme betrifft die technische Auswertung je IP-Adresse aus Abschnitt 3.3. Gibt jemand bei einer fehlgeschlagenen Anmeldung einen Benutzernamen ein, den es bei uns nicht gibt, kann dieser Name dort landen. Diese Auswertung hängt an der IP-Adresse, nicht an einem Konto — sie wird bei einer Kontolöschung deshalb nicht durchsucht, sondern läuft mit ihrer eigenen Frist von 365 Tagen aus.

Von unseren Systemen bestehen Sicherungskopien beim Hosting-Dienstleister in Deutschland. Gelöschte Daten können darin noch für eine begrenzte Zeit enthalten sein, bis die Sicherungen turnusmäßig überschrieben werden; sie werden aus Sicherungen nicht wieder in den Betrieb geholt und nicht anderweitig ausgewertet.

Wir setzen so wenige Cookies wie möglich und keine, die dich über Websites hinweg verfolgen.

stabas-session (auf dash.stabas.de: __Host-stabas-session)

deine Anmeldung; für JavaScript nicht lesbar (HttpOnly) · endet mit deiner Sitzung — spätestens nach 48 Stunden ohne Aktivität, in jedem Fall nach 96 Stunden

stabas-csrf (auf dash.stabas.de: __Host-stabas-csrf)

verhindert, dass eine fremde Seite in deinem Namen Aktionen auslöst · Laufzeit wie die Anmelde-Sitzung

stabas-cookie-consent

merkt sich deine Entscheidung am Hinweisbanner, damit wir nicht erneut fragen · 12 Monate

stabas-share-grant

Zugangsnachweis nach Eingabe des Zugangscodes für einen öffentlichen Link; gilt nur für diesen einen Link · 60 Minuten

Die Cookies in der Tabelle sind für den Betrieb unbedingt erforderlich: ohne sie gibt es keine Anmeldung und keinen Schutz vor fremden Aktionen in deinem Namen. Deshalb dürfen wir sie ohne Einwilligung setzen (§ 25 Abs. 2 Nr. 2 TDDDG); die dahinterliegende Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Zusätzlich merkt sich dein Browser auf Wunsch die gewählte Ansicht (hell oder dunkel). Das ist kein Cookie, sondern ein Eintrag im lokalen Speicher deines Browsers; er erreicht unseren Server nicht. Dein Browser speichert die Ansichtswahl erst, wenn du sie aktiv triffst — sie ist dann für die von dir gewünschte Darstellung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Projektleiter und das stabas-Team können zu einem Projekt oder Bauvorhaben einen Link erzeugen, der ohne Anmeldung geöffnet werden kann. Dazu gehören zwei Betroffenengruppen — die Person, die den Link erstellt, und die Personen, die ihn besuchen.

Wenn du einen Link erstellst: Wir speichern, wer ihn erstellt hat, für welches Ziel, mit welcher Laufzeit und wann er endete. Das ist Teil des Protokolls aus 3.9. Die Verantwortung für die Weitergabe liegt bei dir; die Nutzungsbedingungen sagen im Abschnitt „Für dich als Projektleiter“, was das konkret bedeutet.

Wenn du einen Link besuchst, gilt für dich als Besucher ohne Konto:

• Die Adresse enthält eine lange Zufallszeichenfolge. Bei uns liegt davon nur ein nicht rückrechenbarer Prüfwert — wer die Adresse nicht hat, kommt nicht hinein.
• In der Regel ist zusätzlich ein Zugangscode nötig. Nach korrekter Eingabe erhältst du ein technisch notwendiges Cookie, das nur für diesen Link gilt und nach rund einer Stunde verfällt. Fehleingaben werden gebremst.
• Deine IP-Adresse wird auf diesen Seiten nicht gespeichert. Für die Zählung „wie viele Besuche, wie viele unterscheidbare Besucher“ bilden wir einen Pseudonym-Wert aus deiner IP-Adresse und einer groben Browser-Kategorie. Der dafür verwendete Schlüssel gehört ausschließlich diesem einen Link: derselbe Besucher hat in jedem Link ein anderes Pseudonym, zwei Links lassen sich nicht gegeneinander abgleichen, und mit dem Ende des Links verschwindet die Zuordnung endgültig. Die ungekürzte IP-Adresse und die vollständige Browser-Kennung werden nicht abgelegt — auch nicht in Fehlerprotokollen. Mehrere Aufrufe innerhalb von 30 Minuten zählen als ein Besuch. Diese Auswertung ist nur für das stabas-Team sichtbar, nicht für den Projektleiter.
• Der Inhalt ist ein eingefrorener Stand vom Zeitpunkt der Erstellung, als verschlüsselte Kopie abgelegt. Im Fuß der Seite stehen das Datum des Einfrierens und eine Prüfsumme (SHA-256), mit der sich der Stand identifizieren lässt. Spätere Änderungen am Projekt erscheinen dort nicht.
• Fotos werden für die Kopie umgerechnet. Dabei entfallen die in Bilddateien eingebetteten Zusatzangaben — insbesondere Standortkoordinaten, Gerätemodell und Aufnahmezeitpunkt.
• Auf diesen Seiten gibt es kein Analyse-Werkzeug und keine Werbe-Cookies.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung des angeforderten Inhalts, Schutz vor Missbrauch, Übersicht über die Reichweite eines geteilten Stands).

Schreibst du eine Anmerkung oder eine Antwort, sehen alle Projektbeteiligten diesen Beitrag. Als Absender wird dabei bewusst zuerst deine Gruppe (in der Regel deine Firma) angezeigt; dein Name erscheint nur verkürzt (etwa „T. Muster“) und erst, wenn man gezielt darauf zeigt. Betroffene werden ausschließlich als Gruppen markiert, nie als einzelne Personen; eine Liste aller Nutzernamen bekommen andere Teilnehmer nicht.

In der Projektübersicht sind die beteiligten Gruppen mit Namen sichtbar sowie die verantwortliche Projektleitung mit Namen. Einzelne Nutzerinnen und Nutzer erscheinen dort nur als Anzahl. Anmerkungen erscheinen nie in öffentlich geteilten Links.

Eigene Beiträge kannst du innerhalb von vier Stunden selbst bearbeiten oder löschen; danach entfernt sie auf Anfrage das stabas-Team.

Du hast das Recht auf

• Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO).

Für alle anderen Anliegen wende dich an office@stabas.de oder an die Anschrift in Abschnitt 1. Wir antworten innerhalb eines Monats.

Löschung kannst du selbst auslösen. In deinem Profil unter „Einstellungen → Datenschutz & Konto“ findest du die Konto-Löschung. Nach dem Auslösen läuft eine Frist von 7 Tagen, in der du dich noch anmelden, aber nicht mehr arbeiten kannst; abbrechen kann in dieser Zeit nur das stabas-Team, wenn du dich meldest. Danach werden deine persönlichen Daten endgültig entfernt. Dein Name wird aus deinen Beiträgen getilgt und durch „Gelöschter Nutzer“ ersetzt — die Beiträge selbst bleiben als Teil der Projektdokumentation erhalten, weil sie die Vorgänge im Projekt belegen. Öffentliche Links, die du erstellt hast, enden dabei sofort.

Beschwerderecht: Unabhängig davon kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist:

Aufsichtsbehörde

Der Landesbeauftragte für den Datenschutz Niedersachsen

Anschrift

Prinzenstraße 5, 30159 Hannover

Postanschrift

Postfach 221, 30002 Hannover

Telefon

0511 120-4500

E-Mail

poststelle@lfd.niedersachsen.de

Web

www.lfd.niedersachsen.de

Die Verbindung ist durchgehend verschlüsselt (HTTPS). Passwörter liegen ausschließlich als Argon2id-Hash vor. Zwei-Faktor-Geheimnisse und die Zugangs-Zeichenfolgen öffentlicher Links liegen zusätzlich verschlüsselt, mit einem Schlüssel, der nicht in der Datenbank steht. Kopien für öffentliche Links sind verschlüsselt abgelegt, und ihr Schlüssel wird aus der Link-Adresse abgeleitet — eine Kopie der Datenbank allein genügt nicht, um sie zu lesen. Anmeldeversuche werden gebremst, Sitzungen laufen automatisch ab, und pro Konto sind höchstens zwei Geräte gleichzeitig angemeldet.

Diese Erklärung trägt eine Version und ein Datum (Version 1.0 · Stand 22.09.2026). Ändern wir sie, bekommt sie eine neue Version. Du siehst die geltende Fassung jederzeit in deinem Profil unter „Einstellungen → Datenschutz & Konto“; steht dort eine neue Fassung, weist dich dein Profil darauf hin. Bei wesentlichen Änderungen informieren wir dich zusätzlich.

Wollen wir deine Daten einmal zu einem anderen Zweck verarbeiten als dem, für den wir sie erhoben haben, informieren wir dich vorher darüber und nennen dir die Rechtsgrundlage (Art. 13 Abs. 3 DSGVO).