Ordexis

Fassung vom 2026-10-20

Datenschutzerklärung

Stand: 20. Oktober 2026

1. Wer wir sind

Verantwortlich ist die Gatherest UG (haftungsbeschränkt), Libellenweg 3, 89257 Illertissen, E-Mail info@gatherest.com, Telefon +49 160 90316206.

Wir sind auch für die Daten in Ihrer Bauakte verantwortlich, nicht nur für Ihr Konto. Fragen zum Datenschutz richten Sie an die E-Mail-Adresse oben.

2. Was wir speichern und warum

Ihr Konto. Name, Anrede, E-Mail-Adresse und Ihr Passwort, das wir nur als nicht lesbaren Hash speichern. Richten Sie einen zweiten Faktor ein, speichern wir auch den. Wir brauchen das, damit Sie sich anmelden können. Grundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO).

Ihre Bauakte. Alles, was Sie hochladen, eintragen oder per E-Mail an Ihre Ordexis-Adresse bekommen: Dokumente, Fotos, Notizen, Termine, Kosten, Mängel, Kontakte und Nachrichten. Wir speichern es, damit Sie es nutzen können. Aus Scans und Fotos lesen wir den Text mit einer Texterkennung auf unseren eigenen Servern. Grundlage ist der Vertrag.

Daten anderer Personen in Ihrer Akte. In einer Bauakte stehen Namen, Adressen und E-Mails von Handwerkern, Planern und anderen. Wir verarbeiten sie nur, damit die Akte funktioniert. Grundlage ist unser berechtigtes Interesse, die Akte für Sie zu führen (Art. 6 Abs. 1 lit. f DSGVO). Wer von Ihnen eingeladen wird, findet in der Einladung den Link zu dieser Erklärung. Diese Personen haben dieselben Rechte wie Sie (Abschnitt 8).

Rechnung und Zahlung. Für die Rechnung brauchen wir Ihre Anschrift. Name, E-Mail-Adresse und Anschrift geben wir an einen Dienst, den wir selbst betreiben und der die Rechnung bei sevDesk anlegt. Rechnungen und Zahlungsbelege müssen wir acht Jahre aufbewahren, das Steuerrecht verlangt es. Grundlage sind der Vertrag und die gesetzliche Pflicht (Art. 6 Abs. 1 lit. b und c DSGVO).

Ihre Zustimmungen. Wir halten fest, welche Fassung der Bedingungen, der Datenschutzerklärung und der Anhänge Sie wann bestätigt haben. So können wir es nachweisen, wenn es später Streit gibt. Grundlage sind der Vertrag und unser Interesse an diesem Nachweis (Art. 6 Abs. 1 lit. b und f DSGVO).

Nachweise. Damit Sie später zeigen können, wie Ihre Akte an einem Tag aussah, bilden wir Prüfwerte, das sind Zahlencodes über den Stand der Akte, und lassen sie von Zeitstempelstellen (FreeTSA und DGN) bestätigen. Wir übermitteln nur den Prüfwert, ohne Namen und ohne Inhalt. Grundlage ist der Vertrag.

Wer was in der Akte getan hat. Wir halten fest, wer wann etwas getan hat, zum Beispiel hochgeladen, geändert oder heruntergeladen, mit Name, E-Mail-Adresse und IP-Adresse. Das gehört zur Nachweisfunktion. Grundlage ist der Vertrag. Wie lange wir das Protokoll aufheben, steht in Abschnitt 6.

Sicherheit und Betrieb. Wenn Sie Ordexis aufrufen, speichert der Server Ihre IP-Adresse und Angaben zu Ihrem Browser, kurz in der Sitzung und in Protokollen. Anmeldeversuche begrenzen wir je IP-Adresse. Wir brauchen das, um Angriffe abzuwehren und Fehler zu finden. Grundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Fehlerberichte. Tritt in der Anwendung ein Fehler auf, geht ein Bericht an Sentry, den Dienst für Fehlerberichte. Er enthält die Fehlermeldung, den Ablauf und Ihre Benutzerkennung. Inhalte aus Ihrer Akte enthält er nicht. Grundlage ist unser berechtigtes Interesse an einer fehlerfreien Anwendung. Sentry speichert in der EU. Der Anbieter gehört zu einem US-Konzern, siehe Abschnitt 5.

Meldungen an uns. Melden Sie uns ein Problem aus der Anwendung, speichern wir Ihren Text, Angaben zur Seite, auf der Sie waren, und ein Bildschirmfoto, wenn Sie es vorher gesehen und freigegeben haben. Grundlage ist der Vertrag. Wie lange wir das aufheben, steht in Abschnitt 6.

Webinare. Bei der Anmeldung speichern wir Name, E-Mail-Adresse und Wohnsitzland. Wir schicken Ihnen die Bestätigung, den Zugangslink und eine Erinnerung. Grundlage ist der Vertrag über die Teilnahme. Das Webinar findet in Microsoft Teams statt. Wenn Sie über den Link teilnehmen, verarbeitet Microsoft Ihre Angaben dort und Ihre IP-Adresse nach seinen eigenen Datenschutzhinweisen. Wir geben Ihren Namen und Ihre E-Mail-Adresse nicht an Microsoft weiter. Aufgezeichnet wird das Webinar nicht.

Einladungen. Laden wir Sie im Auftrag eines Verbands ein, speichern wir Ihre E-Mail-Adresse bis zur Annahme, höchstens 90 Tage. Laden Sie jemanden in Ihr Bauvorhaben ein, speichern wir dessen E-Mail-Adresse und Rolle in Ihrer Akte.

Wenn Sie über einen Verband kommen. Wir speichern, über welchen Link Sie eingetreten sind. Der Verband erfährt nicht, wer über seinen Link eingetreten ist, sondern nur, wie viele. Adressen, die er selbst für eine Einladung eintippt, sieht er, bis die Einladung angenommen wird oder verfällt.

3. KI-Funktionen

Ordexis kann einzelne Aufgaben von KI-Diensten erledigen lassen. Diese Funktionen sind zunächst ausgeschaltet. Sie schalten jede Funktion selbst ein, indem Sie dem dazugehörigen Anhang zustimmen. Bei Uploads eingeladener Mitglieder zählt die Entscheidung des Eigentümers des Bauvorhabens, nicht die des Mitglieds.

Was dann an die Anbieter geht, hängt von der Funktion ab:

  • Dokumente einordnen, Mängel erkennen, Räume erkennen: der Text, den wir selbst aus der Datei lesen, nie die Datei. Beim Einordnen kommen die Namen der Gewerke, die Namen Ihrer Firmen und die offenen Mängelfälle dieses Bauvorhabens (Titel und Sachverhalt) dazu, damit die Auswertung zuordnen kann.
  • Leistungsverzeichnis und Angebot abgleichen: die Positionen mit Mengen und Preisen.
  • Kontakt von einer Firmenwebseite: der Text der Seite, die Sie angeben, und ihres Impressums.
  • Visitenkarte: das Foto.
  • Sprachnotiz: die Aufnahme geht an OpenAI und wird dort in Text umgewandelt. Damit Namen richtig geschrieben werden, schicken wir Ihren Namen und bis zu 40 Namen von Firmen und Kontakten aus Ihrem Bauvorhaben mit. Den Text können wir danach an Anthropic geben, wenn Sie auch dem Anhang zur Auswertung mit Anthropic zugestimmt haben. Nehmen Sie die Notiz im Bautagebuch auf, bleibt die Aufnahme zusätzlich als Datei in Ihrer Akte. Bei einer Telefonnotiz speichern wir nur den Text.

Empfänger sind Anthropic (EU-Vertragspartner: Anthropic Ireland, Limited) und OpenAI (EU-Vertragspartner: OpenAI Ireland Ltd). Beide können die Daten außerhalb der EU verarbeiten, siehe Abschnitt 5. Wie lange der Anbieter Daten behält, richtet sich nach seinen Bedingungen. Dafür können wir nicht einstehen.

Grundlage ist Ihre Einwilligung, die Sie mit der Zustimmung zum Anhang erteilen (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit in den Einstellungen zurücknehmen. Dann ist die Funktion von diesem Tag an aus. Was vorher entstanden ist, bleibt in Ihrer Akte.

Für jede Übertragung halten wir fest, wann sie stattfand, für welches Bauvorhaben, wer die Funktion ausgelöst hat, mit welcher Funktion, an welchen Anbieter und mit welchem Modell, in welcher Fassung des Anhangs, was für ein Gegenstand es war (zum Beispiel ein Dokument oder eine Aufnahme) und wie groß er war. Inhalte stehen nicht im Protokoll. Wir bewahren es bis drei Jahre nach dem späteren von Vertragsende und Löschung des Bauvorhabens auf.

4. Wer außer uns Daten bekommt

  • netcup GmbH, Deutschland: Wir betreiben Ordexis auf Servern der netcup GmbH. Dort liegen die Datenbank, Ihre Dateien und unser Mailserver.
  • sevDesk GmbH, Offenburg: Rechnungen und Kontaktdaten für die Rechnung.
  • Anthropic und OpenAI: nur für die Funktionen aus Abschnitt 3.
  • Sentry: Fehlerberichte, siehe Abschnitt 2.

Mit den Dienstleistern, die in unserem Auftrag Daten verarbeiten, bestehen Verträge zur Auftragsverarbeitung. Weitere Empfänger gibt es nur, wenn das Gesetz es verlangt.

5. Übermittlung außerhalb der EU

Anthropic, OpenAI und Sentry gehören zu US-Konzernen. Daten, die an sie gehen, können in den USA verarbeitet werden. Bei Anthropic stützt sich die Übermittlung auf die Standardvertragsklauseln der EU-Kommission, bei OpenAI auf Standardvertragsklauseln oder einen Angemessenheitsbeschluss. Beide Klauseln sind Teil der Verträge zur Auftragsverarbeitung. Sentry ist nach dem EU-US Data Privacy Framework zertifiziert; ersatzweise gelten auch dort die Standardvertragsklauseln.

6. Wie lange wir Daten aufbewahren

  • Konto: solange Sie es haben.
  • Bauakte: solange der Vertrag läuft, danach zwölf Monate im Archivjahr, dann löschen wir sie. Verlangen Sie die Löschung früher, löschen wir nach der Bedenkzeit von bis zu 30 Tagen.
  • Rechnungen und Zahlungsbelege: acht Jahre.
  • Belege über Ihre Zustimmungen: sechs Jahre nach dem Ende des Jahres, in dem der Vertrag endet.
  • Prüfwerte und Zeitstempel: Sie enthalten keine Namen und keine Inhalte. Wir heben sie bis zu 30 Jahre auf, weil Ansprüche so lange bestehen können.
  • Protokoll der Übertragungen an KI-Anbieter: bis drei Jahre nach dem späteren von Vertragsende und Löschung.
  • Zugriffsprotokoll der Akte: drei Jahre nach dem Ende des Vertrags. Dann entfernen wir E-Mail-Adresse und IP-Adresse aus den Einträgen.
  • Protokolle des Servers (IP-Adressen): 30 Tage.
  • Sitzung: zwei Stunden nach der letzten Aktion.
  • Links zum Passwort und zur Bestätigung der Adresse: Der Link zum Passwort gilt eine Stunde, der Link zur Adressbestätigung 24 Stunden. Abgelaufene oder benutzte Links löschen wir nach einem Tag.
  • Meldungen an uns mit Bildschirmfoto: ein Jahr nach Abschluss der Meldung.
  • Webinar-Anmeldungen: Bei kostenlosen Plätzen ohne Konto löschen wir Name, E-Mail-Adresse und Land 90 Tage nach dem Webinar. Hat der Platz ein Konto, bleibt er bei Ihrem Konto. Bezahlte Plätze haben immer ein Konto.
  • Einladungen: bis zur Annahme, höchstens 90 Tage.

7. Cookies und Browserspeicher

Wir setzen nur, was die Anwendung zum Laufen braucht. Werbung und Statistik gibt es nicht.

Auf ordexis.de:

  • ordexis_session hält Sie angemeldet, zwei Stunden.
  • XSRF-TOKEN schützt vor gefälschten Anfragen, zwei Stunden.
  • remember_… setzen wir nur, wenn Sie „angemeldet bleiben“ wählen, bis zu 400 Tage.
  • ordexis_hinweis und ordexis_einstellungen merken sich, dass Sie den Hinweis gesehen haben, und Ihre Darstellung. Ein Jahr.

In der Anwendung speichert Ihr Browser Ihren Anmelde-Token bis zur Abmeldung, bei einem eingeladenen Experten den Zugang bis zu dessen Ende, einen Zwischenspeicher für Uploads, die noch nicht gesendet sind, und den Speicher der Offline-Nutzung. Auf Wunsch speichert er außerdem Ihre Einstellungen (Darstellung, Sprache, zuletzt besuchte Vorhaben, ob Fehler automatisch gemeldet werden), Hinweise, die Sie weggeklickt haben, und, wenn Sie Benachrichtigungen einschalten, die Anmeldung beim Push-Dienst Ihres Browsers.

Grundlage ist § 25 Abs. 2 TDDDG, weil das alles für den Dienst nötig ist, und unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

8. Ihre Rechte

Sie haben das Recht auf:

  • Auskunft über Ihre Daten (Art. 15 DSGVO),
  • Berichtigung (Art. 16),
  • Löschung (Art. 17),
  • Einschränkung der Verarbeitung (Art. 18),
  • Herausgabe Ihrer Daten in einem gängigen Format (Art. 20),
  • Widerspruch gegen Verarbeitungen, die wir auf unser berechtigtes Interesse stützen (Art. 21),
  • Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Den Datenexport finden Sie in den Einstellungen. Alles andere erledigen wir, wenn Sie uns schreiben. Wir antworten binnen eines Monats.

Beschweren können Sie sich bei der Aufsichtsbehörde (Art. 77 DSGVO). Für uns ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Postfach 1349, 91504 Ansbach, lda.bayern.de.

9. Müssen Sie uns Daten geben?

Name, E-Mail-Adresse und Anschrift brauchen wir für den Vertrag und die Rechnung. Ohne sie können wir Ihnen Ordexis nicht überlassen. Alles andere entscheiden Sie.