Datenschutzerklärung

Aetheris GmbH i. G. · für die SaaS-Lösung SynergyScope · Stand: 13.08.2026

1. Verantwortlicher

Aetheris GmbH i. G.
Zur Lay 22
54570 Schutz

Geschäftsführer: Sascha Oertlin
Telefon: +49 (0)171 940 14 78
E-Mail: kontakt@aetheris-gmbh.de
Web: www.aetheris-gmbh.de

SynergyScope ist ein Produkt der Aetheris GmbH i. G. und wird unter synergy-scope.de bereitgestellt.

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht benannt; die Voraussetzungen des § 38 BDSG liegen nicht vor. Richten Sie Anfragen bitte an den oben genannten Verantwortlichen (kontakt@aetheris-gmbh.de).

3. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags),
• Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen, insbesondere sicherer Betrieb und Missbrauchsabwehr),
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen, u. a. Aufbewahrung von Rechnungen nach §§ 147 AO, 257 HGB),
• Art. 28 DSGVO (Verarbeitung im Auftrag, soweit wir Daten für das Kunden-Unternehmen verarbeiten — siehe AVV),
• § 26 BDSG i. V. m. Art. 88 DSGVO (Beschäftigtendaten des Kunden-Unternehmens, soweit einschlägig).

4. Daten bei Nutzung von SynergyScope

SynergyScope ist ein Werkzeug für das Planaufmaß und die Bauabrechnung: aus einem hochgeladenen Plan werden Mengen ermittelt, gegen ein Leistungsverzeichnis gestellt und zu prüffähigen Aufmaß- und Abrechnungsunterlagen verarbeitet. Verarbeitet wird deshalb im Kern Bauvorhabensdaten — personenbezogen sind daran die beteiligten Personen und die Angaben zu den Vertragspartnern. Im Einzelnen:

• Zugangs- und Kontodaten: E-Mail-Adresse, Name, Passwort (ausschließlich als bcrypt-Hash gespeichert, nie im Klartext), Rolle (Inhaber, Administrator, Mitarbeiter), Sperrkennzeichen, Anlagezeitpunkt. Eine Selbstregistrierung gibt es nicht: Zugänge legt der Anbieter an.
• Firmenstammdaten des Kunden (Mandant): Firmenname und Markenname, Logo, Ansprechpartner mit E-Mail und Telefon, Anschrift, Umsatzsteuer-Identifikationsnummer und Steuernummer, Kennzeichen „Kleinunternehmer“ (§ 19 UStG), Bankverbindung (IBAN, BIC, Bank), Zahlungsziel sowie die Gestaltung des Briefbogens für die erzeugten Rechnungen. Dazu der Vertragsstand aus dem Aetheris Account Service (Status, Tarif, Anzahl Zugänge), der über die Freischaltung der kostenpflichtigen Funktionen entscheidet.
• Bauvorhaben und Auftraggeber: Bezeichnung, Beschreibung und Anschrift der Baustelle, freie Angaben wie Bauherr, Auftragsnummer oder Vergabestelle sowie die Daten des Auftraggebers des Kunden — Name, Anschrift, Land, Umsatzsteuer-Identifikationsnummer und, bei öffentlichen Auftraggebern, die Leitweg-ID.
• Pläne, Leistungsverzeichnisse und weitere hochgeladene Dateien: Grundriss- und Trassenpläne als PDF, Leistungsverzeichnisse (GAEB-XML, GAEB 90, Excel, CSV, Word, PDF, Bild), eigene Excel-Vorlagen des Betriebs und das Firmenlogo. Zu jeder Datei werden Dateiname, Dateityp, Größe, Ablageschlüssel, Zeitpunkt und der hochladende Benutzer gespeichert. Der Inhalt dieser Dateien liegt außerhalb unserer Kenntnis — enthält ein Plankopf oder das Vorblatt eines Leistungsverzeichnisses Namen (Planverfasser, Bauleitung, Sachbearbeiter der Vergabestelle), werden diese mit der Datei gespeichert.
• Aufmaßdaten: die im Plan gesetzten Datenpunkte, Leitungen, Trassen und Flächen, ihre Bezeichnungen und Notizen, die Kalibrierung des Plans (Maßstab), Stempel und Sichtblenden, die Zuordnung zu LV-Positionen sowie der Bearbeitungsstand. Beim Finalisieren wird der Schnappschuss mit einem SHA-256-Prüfwert eingefroren; gespeichert werden dabei Zeitpunkt und der Benutzer, der finalisiert hat. Das ist der Kern der Revisionssicherheit und der Grund, warum diese Angaben nicht überschrieben werden.
• Fotonachweise: Fotos, die ein Nutzer einem Datenpunkt zuordnet (fortlaufend benannt, z. B. „Fotonachweis_Datenpunkt_07.jpg“). Baustellenfotos können Personen abbilden — Beschäftigte des Kunden, Nachunternehmer oder unbeteiligte Dritte. Für die Zulässigkeit solcher Aufnahmen ist das Kunden-Unternehmen verantwortlich; wir werten die Bilder nicht aus, führen keine Bilderkennung durch und übermitteln sie nicht.
• Abrechnungsdaten des Kunden gegenüber seinem Auftraggeber: Rechnungsnummer und -art, Empfänger mit Anschrift, Umsatzsteuer-Identifikationsnummer und Leitweg-ID, die Positionen als unveränderlicher Schnappschuss, Netto-, Steuer- und Bruttobetrag, Sicherheitseinbehalt, Fälligkeit, Zahlungsstand, Zahlungsdatum und Anzahl der Mahnungen — dazu das erzeugte PDF und die darin eingebettete elektronische Rechnung (ZUGFeRD / XRechnung). Dies sind Rechnungen des Kunden an dessen Auftraggeber, nicht unsere Rechnungen an den Kunden; letztere stellt der Aetheris Account Service.
• Erzeugte Ausgabedateien: Aufmaß-Excel, Auftraggeber-Vorlagen, Aufmaßdateien nach REB 23.003 DA11 und GAEB X31, der annotierte Plan als PDF sowie Raum- und Matrixberichte. Sie enthalten dieselben Angaben wie die Quelldaten und werden wie diese gespeichert.
• Protokoll der KI-Läufe: je Bauvorhaben Dateiname, Fortschritt, Anzahl der Anfragen und verbrauchte Token. Diese Angaben dienen dem Kostennachweis und der Fehlersuche, nicht der Auswertung von Personen.
• Nutzungs- und Sicherheitsdaten: Anmeldezeitpunkte und Server-Logfiles (IP-Adresse, Zeitpunkt, angefragte Adresse). Für die Anmeldesperre werden fehlgeschlagene Versuche an E-Mail-Adresse und Herkunfts-IP gezählt — ausschließlich im Arbeitsspeicher, für höchstens 15 Minuten und nicht in der Datenbank.

Zweck ist die vertragsgemäße Bereitstellung der Software (Art. 6 Abs. 1 lit. b DSGVO). Für die Inhalte, die das Kunden-Unternehmen einstellt — Pläne, Leistungsverzeichnisse, Fotos, Auftraggeber- und Beschäftigtendaten — ist das Kunden-Unternehmen Verantwortlicher; wir handeln insoweit als Auftragsverarbeiter (Art. 28 DSGVO, AVV).

Keine Nachladung von Dritten

Die Anwendung und diese Rechtstextseiten laden nichts von fremden Servern: Schriften, PDF-Bibliotheken und Bilder werden von unserem eigenen Server ausgeliefert. Es gibt keine Einbindung von Google Fonts, kein Content-Delivery-Network, keine Analyse- oder Werbedienste, keine Zählpixel und keine Einbettung sozialer Netzwerke. Cookies werden nicht gesetzt; für die Anmeldung wird ein Zugangstoken im lokalen Speicher des Browsers gehalten, der beim Abmelden gelöscht wird. Eine Einwilligungsabfrage ist deshalb nicht erforderlich — es gibt nichts, dem zuzustimmen wäre.

Hosting

• Hetzner Online GmbH, Deutschland (EU): Serverbetrieb, Datenbank, Datei- und Sicherungsspeicher (die gesamte Anwendung läuft auf dieser Infrastruktur).

Beim Betrieb fallen Server-Logfiles (IP-Adresse, Zeitpunkt, angefragte Adresse) an (Art. 6 Abs. 1 lit. f DSGVO). Die Übertragung erfolgt TLS-verschlüsselt.

SynergyScope versendet keine E-Mail: es gibt weder Selbstregistrierung noch Passwort-Zurücksetzen per Mail, und es ist kein Mailversand-Dienstleister eingebunden. Zugänge vergibt der Anbieter.

KI-gestütztes Einlesen von Leistungsverzeichnissen

SynergyScope kann ein Leistungsverzeichnis, das nicht in einem strukturierten Format (GAEB, Excel, CSV) vorliegt, mit Hilfe eines KI-Sprachmodells einlesen. Dafür werden Daten an Anthropic PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA, übermittelt. Eingesetztes Modell: claude-sonnet-4-6.

Wann. Nur auf ausdrückliche Handlung eines angemeldeten Nutzers — beim Hochladen einer LV-Datei über den KI-Weg und beim Auslösen der Positionszuordnung. Es gibt keine automatische, keine zeitgesteuerte und keine im Hintergrund laufende Übermittlung.

Was. Übermittelt wird:

• beim Einlesen einer LV-Datei (PDF, Word, Excel, CSV, Text oder Bild) der vollständige Textinhalt dieser Datei, abschnittsweise und insgesamt bis zu etwa 360.000 Zeichen (rund 120 Seiten). Das umfasst auch Angaben, die nicht zu den Leistungspositionen gehören — etwa Vergabestelle, Bauherr, Ansprechpartner oder Bauleitung, soweit sie im Vorblatt des Leistungsverzeichnisses stehen;
• bei einer eingescannten Datei ohne auslesbaren Text zusätzlich Bilder der ersten bis zu 8 Seiten zur Texterkennung;
• bei der Positionszuordnung nur Ordnungszahl und Kurztext der Positionen (Kurztext auf 160 Zeichen gekürzt) sowie die Liste der Datenpunkttypen des Katalogs.

Was nicht. Nicht übermittelt werden: Pläne, Fotonachweise, die im Plan gesetzte Aufmaßgeometrie und die daraus berechneten Mengen, Rechnungen und Rechnungsempfänger, Kunden- und Anmeldedaten. Die Mengen entstehen ausschließlich rechnerisch auf unserem Server, nicht in einem Sprachmodell.

Abschalten. Der Weg ist vollständig abschaltbar. Er hängt an einem einzigen Zugangsschlüssel (Umgebungsvariable ANTHROPIC_API_KEY). Ist dieser leer, findet kein Aufruf statt — die Prüfung erfolgt vor jeder Verarbeitung, und die Oberfläche meldet die Funktion dann ausdrücklich als abgeschaltet, statt ein leeres Ergebnis auszugeben. Wenn Sie die Funktion für Ihren Mandanten nicht wünschen, genügt eine Mitteilung an kontakt@aetheris-gmbh.de; die übrigen Wege zum Einlesen eines Leistungsverzeichnisses (GAEB, GAEB 90, Excel, CSV) arbeiten regelbasiert und ohne jede Übermittlung.

Der Zugangsschlüssel bleibt serverseitig; er wird nicht an den Browser gegeben und nicht protokolliert. Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Erbringung der beauftragten Leistung); zur Übermittlung in die USA siehe Abschnitt 6.

5. Empfänger / Auftragsverarbeiter

Eine Weitergabe erfolgt nur an sorgfältig ausgewählte Auftragsverarbeiter (Art. 28 DSGVO): Hetzner Online GmbH, Deutschland (EU); Anthropic PBC, USA (Drittland). Zweck und Umfang stehen in den Abschnitten „Hosting“ und „KI-gestütztes Einlesen von Leistungsverzeichnissen“ sowie in Anlage 3 des AVV. Eine Weitergabe zu Werbezwecken Dritter findet nicht statt. Ein Zahlungsdienstleister ist nicht eingebunden — Verträge und Rechnungen führt der Aetheris Account Service, ein eigener Dienst auf derselben Infrastruktur. Ein Mailversand-Dienstleister ist nicht eingebunden, weil dieser Dienst keine E-Mail versendet.

6. Übermittlung in Drittländer

Betrieb, Datenbank, Dateiablage und Sicherungen werden ausschließlich in Deutschland betrieben. Die Aufmaßdaten, Pläne, Fotos, Leistungsverzeichnisse und Rechnungen liegen dort und nirgendwo sonst.

Eine Ausnahme gibt es, und sie ist keine Formalie: wird das KI-gestützte Einlesen eines Leistungsverzeichnisses benutzt, werden die Inhalte der hochgeladenen Datei an Anthropic PBC in die USA übermittelt. Das ist eine Übermittlung in ein Drittland ohne Angemessenheitsbeschluss für den Empfänger; Grundlage sind die Standarddatenschutzklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Umfang, Zeitpunkt und Abschaltung sind im Abschnitt „KI-gestütztes Einlesen von Leistungsverzeichnissen“ beschrieben. Ohne Nutzung dieser Funktion verlässt kein Datum die EU.

Klarstellung zum Hoster: Die Unterauftragnehmer-Liste von Hetzner Online GmbH nennt auch Stellen in den USA und in Singapur. Diese betreffen ausschließlich Kunden mit dortigem Serverstandort. Die Server für SynergyScope stehen in Deutschland; Daten aus SynergyScope erreichen diese Stellen nicht.

7. Speicherdauer

8. Keine automatisierte Entscheidungsfindung

Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung (Art. 22 DSGVO) findet nicht statt. Das gilt ausdrücklich auch für den KI-gestützten Einlesevorgang: sein Ergebnis ist ein Vorschlag, der als Leistungsverzeichnis in der Oberfläche erscheint und dort geprüft und geändert werden kann. Die abgerechneten Mengen werden nicht von einem Sprachmodell erzeugt, sondern rechnerisch aus der im Plan gesetzten Geometrie ermittelt.

9. Daten von Minderjährigen

Das Angebot richtet sich an Unternehmen (B2B), nicht an Minderjährige. Soweit Auszubildende als Nutzer angelegt oder auf Fotonachweisen abgebildet werden, ist das Kunden-Unternehmen hierfür verantwortlich.

10. Ihre Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie Widerruf von Einwilligungen (Art. 7 Abs. 3). Kontakt: kontakt@aetheris-gmbh.de.

Sind Sie Beschäftigter eines Kunden-Unternehmens oder auf einem Fotonachweis abgebildet, richten Sie Ihr Anliegen bitte an dieses Unternehmen: dort liegt die Verantwortlichkeit. Erreicht uns eine Anfrage direkt, leiten wir sie weiter und unterstützen bei der Beantwortung.

11. Beschwerderecht bei der Aufsichtsbehörde

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz
Hintere Bleiche 34, 55116 Mainz
poststelle@datenschutz.rlp.de · www.datenschutz.rlp.de

12. Datensicherheit

Angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO: TLS-Transportverschlüsselung, Passwörter nur als bcrypt-Hash, Zugangstoken mit begrenzter Gültigkeit und sofortiger Entwertung bei Passwortwechsel, rollenbasierte Berechtigungen, strikte Mandantentrennung auf jeder Abfrage, Sperre nach mehrfach fehlgeschlagener Anmeldung, Obergrenzen für Dateigrößen, Prüfung fremder XML-Dateien mit einem gegen XML-Angriffe gehärteten Parser sowie zwei Riegel gegen das Ausbrechen aus dem Ablageverzeichnis. Einzelheiten: AVV, Anlage 2.

13. Änderungen

Es gilt die jeweils hier veröffentlichte Fassung.