Datenschutzerklärung

Aetheris GmbH · für die SaaS-Lösung SynergyScope · Stand: 10.10.2026

1. Verantwortlicher

Aetheris GmbH
Zur Lay 22
54570 Schutz

Geschäftsführer: Sascha Oertlin
Telefon: +49 (0)171 940 14 78
E-Mail: kontakt@aetheris-gmbh.de
Web: www.aetheris-gmbh.de

SynergyScope ist ein Produkt der Aetheris GmbH. Diese Erklärung gilt für die Seiten unter synergy-scope.de und für die Anwendung unter app.synergy-scope.de.

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht benannt; die Voraussetzungen des § 38 BDSG liegen nicht vor. Richten Sie Anfragen bitte an den oben genannten Verantwortlichen (kontakt@aetheris-gmbh.de).

3. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags),
• Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen, insbesondere sicherer Betrieb und Missbrauchsabwehr),
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen, u. a. Aufbewahrung von Rechnungen nach §§ 147 AO, 257 HGB),
• Art. 28 DSGVO (Verarbeitung im Auftrag, soweit wir Daten für das Kunden-Unternehmen verarbeiten — siehe AVV),
• § 26 BDSG i. V. m. Art. 88 DSGVO (Beschäftigtendaten des Kunden-Unternehmens, soweit einschlägig).

4. Daten bei Nutzung von SynergyScope

SynergyScope ist ein Werkzeug für das Planaufmaß und die Bauabrechnung: aus einem hochgeladenen Bauplan werden Mengen ermittelt, gegen ein Leistungsverzeichnis gestellt und zu prüffähigen Aufmaß- und Abrechnungsunterlagen verarbeitet. Im Kern werden damit Bauvorhabensdaten verarbeitet — personenbezogen sind daran die beteiligten Personen und die Angaben zu den Vertragspartnern. Im Einzelnen:

• Zugangs- und Kontodaten: E-Mail-Adresse, Name, Passwort (ausschließlich als bcrypt-Hash gespeichert, nie im Klartext), Rolle (Inhaber, Administrator, Mitarbeiter), Sperrkennzeichen, Anlagezeitpunkt sowie beim Zurücksetzen des Passworts ein Prüfwert des versandten Links und dessen Ablaufzeit (der Link selbst wird nicht gespeichert). Zugänge legt der Anbieter oder ein Administrator des Kunden an; bei einer Bestellung in der Anwendung entsteht das erste Konto mit der Bestellung.
• Firmenstammdaten des Kunden (Mandant): Firmen- und Markenname, Logo, Ansprechpartner mit E-Mail und Telefon, Anschrift, Umsatzsteuer-Identifikationsnummer und Steuernummer, Kennzeichen „Kleinunternehmer“ (§ 19 UStG), Bankverbindung (IBAN, BIC, Bank), Zahlungsziel sowie die Gestaltung des Briefbogens für die erzeugten Rechnungen. Dazu der Vertragsstand aus dem Aetheris Account Service (Status, Tarif, Anzahl Zugänge), der über die Freischaltung der kostenpflichtigen Funktionen entscheidet.
• Bauvorhaben und Auftraggeber: Bezeichnung, Beschreibung und Anschrift der Baustelle, freie Angaben wie Bauherr, Auftragsnummer oder Vergabestelle sowie die Daten des Auftraggebers des Kunden — Name, Anschrift, Land, Umsatzsteuer-Identifikationsnummer und, bei öffentlichen Auftraggebern, die Leitweg-ID.
• Baupläne, Leistungsverzeichnisse und weitere hochgeladene Dateien: Grundriss- und Trassenpläne als PDF, die daraus im Browser und auf dem Server erzeugten Bildausschnitte und Seitenrasterungen zur Anzeige und Bearbeitung, Leistungsverzeichnisse (GAEB-XML, GAEB 90, Excel, CSV, Word, PDF, Bild), eigene Excel-Vorlagen des Betriebs und das Firmenlogo. Zu jeder Datei werden Dateiname, Dateityp, Größe, Ablageschlüssel, Zeitpunkt und der hochladende Benutzer gespeichert. Der Inhalt dieser Dateien liegt außerhalb unserer Kenntnis — enthält ein Plankopf oder das Vorblatt eines Leistungsverzeichnisses Namen (Planverfasser, Bauleitung, Sachbearbeiter der Vergabestelle), werden diese mit der Datei gespeichert.
• Aufmaßdaten: die im Plan gesetzten Datenpunkte (Marker) mit ihren Koordinaten auf der jeweiligen Planseite, Leitungen, Trassen und Flächen, ihre Bezeichnungen und Notizen, die Kalibrierung des Plans (Maßstab), Stempel und Sichtblenden, die daraus berechneten Mengen, die Zuordnung zu Positionen des Leistungsverzeichnisses sowie der Bearbeitungsstand. Beim Finalisieren wird der Schnappschuss mit einem SHA-256-Prüfwert eingefroren; gespeichert werden dabei Zeitpunkt und der Benutzer, der finalisiert hat. Das ist der Kern der Revisionssicherheit und der Grund, warum diese Angaben nicht überschrieben werden.
• Fotonachweise: Fotos, die ein Nutzer einem Datenpunkt zuordnet. Baustellenfotos können Personen abbilden — Beschäftigte des Kunden, Nachunternehmer oder unbeteiligte Dritte. Für die Zulässigkeit solcher Aufnahmen ist das Kunden-Unternehmen verantwortlich; wir werten die Bilder nicht aus, führen keine Bilderkennung durch und übermitteln sie nicht.
• Rechnungsdaten des Kunden gegenüber seinem Auftraggeber: Rechnungsnummer und -art, Empfänger mit Name, Anschrift, Umsatzsteuer-Identifikationsnummer und Leitweg-ID, die Positionen als unveränderlicher Schnappschuss, Netto-, Steuer- und Bruttobetrag, Sicherheitseinbehalt, Fälligkeit, Zahlungsstand, Zahlungsdatum und Anzahl der Mahnungen — dazu das erzeugte PDF und die darin eingebettete elektronische Rechnung (ZUGFeRD / XRechnung). Dies sind Rechnungen des Kunden an dessen Auftraggeber, nicht unsere Rechnungen an den Kunden; letztere stellt der Aetheris Account Service.
• Schriftverkehr: E-Mails, die ein Nutzer aus SynergyScope an Bauleitung, Auftraggeber oder andere Beteiligte sendet, und Mails, die er aus seinem Mailprogramm einliest oder die als Antwort im Antwortpostfach eingehen — jeweils Absender, Empfänger und Kopieempfänger mit Namen und Adresse, Betreff, Text, Anlagen, Datum, die technischen Kennungen der Mail (Message-ID, Verweise auf vorherige Mails) und eine Prüfsumme der gespeicherten Fassung; bei gesendeten Mails zusätzlich der Zeitpunkt, zu dem der Mailserver sie angenommen hat. Diese Mails enthalten Angaben über Dritte — Beschäftigte des Auftraggebers, Bauleitung, Planer. Betreff, Adressen und Text werden verschlüsselt gespeichert; eine gesendete oder eingegangene Mail wird nicht verändert, weil sie als Beleg dient. Für Inhalt und Empfängerkreis ist das Kunden-Unternehmen verantwortlich.
• Prüflink für Auftraggeber: Ein Nutzer kann zu einem versendeten Aufmaß einen Link erzeugen, mit dem der Auftraggeber des Kunden das Aufmaß ohne eigenes Konto im Browser prüft. Über den Link sieht der Auftraggeber genau dieses Aufmaß — Firmen- bzw. Markenname des Kunden, Bezeichnung des Bauvorhabens, Aufmaßnummer, die Positionen mit Ordnungszahl, Kurztext, Menge, Einheit, Einheits- und Gesamtpreis sowie die dem Aufmaß beigefügten Nachweise —, aber keine Nutzer- oder Kontodaten und keine anderen Aufmaße. Vom Link selbst werden nur ein Prüfwert (SHA-256), die Ablaufzeit (in der Regel 60 Tage), der Zeitpunkt der Verwendung oder des Widerrufs und der Nutzer gespeichert, der ihn erzeugt hat; der Link wird nicht gespeichert. Sendet der Auftraggeber seine Prüfung ab, werden der eingetragene Name der prüfenden Person, die Entscheidung und Bemerkung je Position, ein Gesamtkommentar, der Zeitpunkt und ein mit einem geheimen Schlüssel gebildeter Prüfwert der IP-Adresse gespeichert — die IP-Adresse selbst nicht. Name, Bemerkungen und Kommentar werden verschlüsselt gespeichert; die abgesendete Prüfung wird nicht verändert, weil sie die Rückmeldung des Auftraggebers belegt. Gegen das Durchprobieren von Links werden ungültige Aufrufe je IP-Adresse höchstens 15 Minuten im Arbeitsspeicher gezählt. An wen der Link weitergegeben wird, entscheidet das Kunden-Unternehmen.
• Erzeugte Ausgabedateien: Aufmaß-Excel, Auftraggeber-Vorlagen, Aufmaßdateien nach REB 23.003 DA11 und GAEB X31, der annotierte Plan als PDF sowie Raum- und Matrixberichte. Sie enthalten dieselben Angaben wie die Quelldaten und werden wie diese gespeichert.
• Nutzungs- und Sicherheitsdaten: Anmeldezeitpunkte und Server-Logfiles (IP-Adresse, Zeitpunkt, angefragte Adresse). Für die Anmeldesperre werden fehlgeschlagene Versuche an E-Mail-Adresse und Herkunfts-IP gezählt — ausschließlich im Arbeitsspeicher, für höchstens 15 Minuten und nicht in der Datenbank.

Zweck ist die vertragsgemäße Bereitstellung der Software (Art. 6 Abs. 1 lit. b DSGVO). Für die Inhalte, die das Kunden-Unternehmen einstellt — Pläne, Leistungsverzeichnisse, Fotos, Schriftverkehr, Auftraggeber- und Beschäftigtendaten — ist das Kunden-Unternehmen Verantwortlicher; wir handeln insoweit als Auftragsverarbeiter (Art. 28 DSGVO, AVV).

Keine Nachladung von Dritten

Die Anwendung und diese Rechtstextseiten laden nichts von fremden Servern: Schriften, PDF-Bibliotheken und Bilder werden von unserem eigenen Server ausgeliefert. Es gibt keine Einbindung von Google Fonts, kein Content-Delivery-Network, keine Analyse- oder Werbedienste, keine Zählpixel und keine Einbettung sozialer Netzwerke. Cookies werden nicht gesetzt; für die Anmeldung wird ein Zugangstoken im lokalen Speicher des Browsers gehalten, der beim Abmelden gelöscht wird. Eine Einwilligungsabfrage ist deshalb nicht erforderlich — es gibt nichts, dem zuzustimmen wäre.

Hosting

• Hetzner Online GmbH, Deutschland (EU): Serverbetrieb, Datenbank, Datei- und Sicherungsspeicher (die gesamte Anwendung läuft auf dieser Infrastruktur).
• IONOS SE, Deutschland: Verwahrung der ausgelagerten Sicherungen auf einem zweiten, räumlich getrennten Server: Datenbank- und Dateisicherungen ausschließlich mit OpenPGP verschlüsselt, dazu der für eine Wiederherstellung nötige geheime Schlüssel, zusätzlich durch ein Kennwort geschützt, das nur der Anbieter kennt.
• netcup GmbH, Deutschland (EU): E-Mail-Versand über das Postfach noreply@synergy-scope.de (Link zum Zurücksetzen des Passworts, Einladungen, vom Nutzer gesendete Mails aus dem Schriftverkehr) und Empfang von Antworten im Antwortpostfach.

Beim Betrieb fallen Server-Logfiles (IP-Adresse, Zeitpunkt, angefragte Adresse) an (Art. 6 Abs. 1 lit. f DSGVO). Die Übertragung erfolgt TLS-verschlüsselt.

SynergyScope versendet E-Mails in drei Fällen: zum Zurücksetzen des Passworts (ein Link an die Adresse des Kontos, gültig eine Stunde und nur einmal verwendbar), als Einladung eines neuen Zugangs durch einen Administrator des Kunden, und im Schriftverkehr, wenn ein Nutzer eine Mail an Bauleitung, Auftraggeber oder andere Beteiligte schreibt und ausdrücklich absendet. Absender ist jeweils noreply@synergy-scope.de; der Versand läuft über den oben genannten Postfachanbieter. Antworten auf Mails aus dem Schriftverkehr gehen an die Adresse des Nutzers und, sofern eingerichtet, an ein Antwortpostfach desselben Anbieters, aus dem SynergyScope sie abruft und dem Vorgang zuordnet. Werbe- oder Hinweis-E-Mails versendet SynergyScope nicht.

KI-gestütztes Einlesen von Leistungsverzeichnissen — derzeit nicht aktiviert

Die Software enthält eine Zusatzfunktion, mit der ein Leistungsverzeichnis, das nicht in einem strukturierten Format (GAEB, GAEB 90, Excel, CSV) vorliegt, mit Hilfe eines KI-Sprachmodells eingelesen werden kann. Dabei würden der Textinhalt der hochgeladenen Datei und, bei eingescannten Vorlagen ohne auslesbaren Text, Bilder der ersten Seiten an einen Anbieter außerhalb der EU übermittelt.

Diese Funktion ist derzeit nicht aktiviert. Sie hängt an einem einzigen Zugangsschlüssel; solange dieser nicht gesetzt ist, findet kein Aufruf statt — die Prüfung erfolgt vor jeder Verarbeitung, und die Oberfläche meldet die Funktion ausdrücklich als abgeschaltet, statt ein leeres Ergebnis auszugeben. Es wird deshalb gegenwärtig kein KI-Dienstleister als Auftragsverarbeiter eingesetzt und aus diesem Anlass kein Datum in ein Drittland übermittelt.

Wird die Funktion künftig aktiviert, werden der eingesetzte Anbieter, der Umfang der Übermittlung und die Rechtsgrundlage vorher an dieser Stelle und im AVV, Anlage 3 benannt; Bestandskunden werden nach § 6 Abs. 2 des AVV mit 30 Tagen Vorlauf informiert.

Die regelbasierten Einlesewege (GAEB, GAEB 90, Excel, CSV) arbeiten ohne jede Übermittlung an Dritte und sind von alldem nicht berührt.

5. Empfänger / Auftragsverarbeiter

Eine Weitergabe erfolgt nur an sorgfältig ausgewählte Auftragsverarbeiter (Art. 28 DSGVO): Hetzner Online GmbH, Deutschland (EU); IONOS SE, Deutschland; netcup GmbH, Deutschland (EU). Zweck und Umfang stehen in den Abschnitten „Hosting“ und „KI-gestütztes Einlesen von Leistungsverzeichnissen“ sowie in Anlage 3 des AVV. Eine Weitergabe zu Werbezwecken Dritter findet nicht statt.

Verträge, Rechnungen und Zahlungen führt der Aetheris Account Service, ein eigener Dienst der Aetheris GmbH auf derselben Infrastruktur. Bestellen Sie SynergyScope in der Anwendung, übermitteln wir dorthin Firma, Name, E-Mail-Adresse, Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer und die gewählte Zahl der Lizenzen; dort entstehen Kundenkonto und Vertrag (Art. 6 Abs. 1 lit. b DSGVO), und Rechnungen werden nach § 147 AO und § 257 HGB aufbewahrt — auch über das Ende der Nutzung von SynergyScope hinaus (Art. 6 Abs. 1 lit. c DSGVO). Die Zahlung erfolgt auf der Zahlseite des Account Service; den dort eingesetzten Zahlungsdienstleister nennt dessen Datenschutzerklärung. SynergyScope selbst erhält keine Zahlungsdaten und ist an keinen Zahlungsdienstleister angebunden. Zurück an SynergyScope meldet der Account Service nur, ob und in welchem Umfang ein Zugang freigeschaltet ist.

6. Übermittlung in Drittländer

Betrieb, Datenbank, Dateiablage und Sicherungen werden ausschließlich in Deutschland betrieben. Die Aufmaßdaten, Pläne, Fotos, Leistungsverzeichnisse und Rechnungen liegen dort und nirgendwo sonst.

Eine Übermittlung in ein Drittland findet nicht statt.

7. Speicherdauer

8. Keine automatisierte Entscheidungsfindung

Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung (Art. 22 DSGVO) findet nicht statt. Die abgerechneten Mengen werden nicht von einem Sprachmodell erzeugt, sondern rechnerisch auf dem Server aus der im Plan gesetzten Geometrie ermittelt und sind vom Kunden zu prüfen.

9. Daten von Minderjährigen

Das Angebot richtet sich an Unternehmen (B2B), nicht an Minderjährige. Soweit Auszubildende als Nutzer angelegt oder auf Fotonachweisen abgebildet werden, ist das Kunden-Unternehmen hierfür verantwortlich.

10. Ihre Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie Widerruf von Einwilligungen (Art. 7 Abs. 3). Kontakt: kontakt@aetheris-gmbh.de.

Sind Sie Beschäftigter eines Kunden-Unternehmens, auf einem Fotonachweis abgebildet oder in einem hochgeladenen Plan oder Leistungsverzeichnis benannt, richten Sie Ihr Anliegen bitte an dieses Unternehmen: dort liegt die Verantwortlichkeit. Erreicht uns eine Anfrage direkt, leiten wir sie weiter und unterstützen bei der Beantwortung.

11. Beschwerderecht bei der Aufsichtsbehörde

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz
Hintere Bleiche 34, 55116 Mainz
poststelle@datenschutz.rlp.de · www.datenschutz.rlp.de

12. Datensicherheit

Angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO: TLS-Transportverschlüsselung, Passwörter nur als bcrypt-Hash, Zugangstoken mit begrenzter Gültigkeit und sofortiger Entwertung bei Passwortwechsel, rollenbasierte Berechtigungen, strikte Mandantentrennung auf jeder Abfrage, Sperre nach mehrfach fehlgeschlagener Anmeldung, Obergrenzen für Dateigrößen, Prüfung fremder XML-Dateien mit einem gegen XML-Angriffe gehärteten Parser sowie zwei Riegel gegen das Ausbrechen aus dem Ablageverzeichnis. Einzelheiten: AVV, Anlage 2.

13. Änderungen

Es gilt die jeweils hier veröffentlichte Fassung.