Datenschutz

Diese Seite informiert über die wesentlichen technischen, organisatorischen und datenschutzbezogenen Maßnahmen beim Betrieb der NETZdigital-Plattform. Die vollständigen Pflichtangaben nach Art. 13 DSGVO – insbesondere Rechtsgrundlagen, Empfänger, Speicherdauer, Betroffenenrechte und Beschwerderecht – stellen wir auf Anfrage und im Rahmen der vertraglichen Unterlagen zur Verfügung. Vertraglich relevante Details zur Auftragsverarbeitung ergeben sich aus dem jeweiligen AV-Vertrag und den TOM-Anlagen.

1. Einleitung

NETZdigital ist ein webbasiertes GIS-Dashboard zur Darstellung und Auswertung von Bau-, Infrastruktur- und Netzausbauprojekten. Über die Plattform werden unter anderem Projektflächen, Trassenverläufe, Scanbereiche, Orthofotos, Geodaten und Fortschrittsinformationen verarbeitet und visualisiert.

Der Schutz von Projekt-, Nutzer- und Zugriffsdaten ist zentraler Bestandteil unseres Plattformbetriebs. NETZdigital wird in nach ISO/IEC 27001:2022 zertifizierten Rechenzentren in Deutschland betrieben. Diese Seite gibt einen Überblick über die getroffenen technischen, organisatorischen und vertraglichen Maßnahmen. Die vertraglichen Einzelheiten zur Datenverarbeitung – insbesondere zur Auftragsverarbeitung – ergeben sich aus dem jeweiligen Vertrag, dem Vertrag zur Auftragsverarbeitung (AV-Vertrag) und den dazugehörigen Anlagen (TOM).

2. Verantwortlichkeit und Rollen

Werner & Schlei Ingenieure GmbH tritt im Zusammenhang mit NETZdigital in zwei datenschutzrechtlichen Rollen auf.

2.1 Auftragsverarbeiter – Projektdaten der Kunden

Soweit NETZdigital für Kundenprojekte eingesetzt wird, verarbeiten wir die im System abgelegten Projekt- und Geodaten im Auftrag des jeweiligen Kunden. Der Kunde ist in diesem Fall Verantwortlicher im Sinne der DSGVO. Die Verarbeitung erfolgt ausschließlich nach Maßgabe der vertraglichen Vereinbarungen und dokumentierten Weisungen des Kunden. Die Einzelheiten regeln wir in einem Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

2.2 Verantwortlicher – Account-, Zugriffs- und Logdaten

Für die Verarbeitung der Account-, Login-, Berechtigungs- und Protokolldaten der Plattformnutzer (einschließlich IP-Adressen beim Aufruf der Anwendung) ist Werner & Schlei Ingenieure GmbH selbst Verantwortlicher. Rechtsgrundlage ist insbesondere Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrieb, Sicherheit und Nachvollziehbarkeit der Plattform).

3. Hosting und Speicherort

Die von Werner & Schlei betriebene NETZdigital-Plattform wird nach aktuellem Systemstand auf Servern in Deutschland betrieben. Web-Anwendung, Backend/API, Datenbank, GeoServer, Dateispeicher und Backups befinden sich nach den vorliegenden technischen Angaben in deutschen Rechenzentren der Hetzner Online GmbH (Nürnberg und/oder Falkenstein/Vogtland). Soweit externe Dienste eingebunden sind, können dort je nach Dienst technisch erforderliche Daten verarbeitet werden; die Einzelheiten sind in Abschnitt 11 beschrieben.

Die produktive Umgebung ist von Entwicklungs- und Testumgebungen organisatorisch und technisch getrennt.

Hetzner Online GmbH ist für die im Geltungsbereich genannten Hosting-Dienstleistungen nach ISO/IEC 27001:2022 zertifiziert (Zertifikatsnummer ZN-2025-35, gültig 27.09.2025 – 26.09.2028, ausgestellt durch SOCOTEC Certification Deutschland GmbH). Die physische Sicherheit der Rechenzentren – elektronisches Zutrittskontrollsystem mit Protokollierung, flächendeckende Videoüberwachung, Besuchermanagement und Hochsicherheitszaun – wird durch den Hosting-Anbieter sichergestellt.

An den Unternehmensstandorten von Werner & Schlei werden keine Server mit Kundendaten betrieben. Die Softwareentwicklung erfolgt am Standort Würzburg in abschließbaren Büroräumen mit elektronischer Schließanlage, Eingangskontrolle und Videoüberwachung des Zutrittsbereichs.

4. Verarbeitete Datenkategorien

Je nach Nutzung und Projektkonfiguration können in NETZdigital insbesondere folgende Datenkategorien verarbeitet werden.

4.1 Nutzerdaten

• Name
• E-Mail-Adresse
• Unternehmen
• Rolle bzw. Berechtigungsstufe
• Login-Daten
• IP-Adresse

4.2 Projektdaten und Geodaten

• Projektname
• Trassen- und Planungsdaten
• GeoJSON-, SHP- und GeoTIFF-Daten
• Orthofotos und Orthomosaike
• Scanbereiche und GPS-Positionen von Scanvorgängen
• Technische Metadaten aus Pix4D
• Projektbezogene Fortschritts- und Auswertungsdaten

4.3 Protokoll- und Zugriffsdaten

Zur Sicherheit, Nachvollziehbarkeit und Systemadministration werden bestimmte Ereignisse protokolliert. Dazu gehören insbesondere:

• Login und Logout
• Mandantenwechsel
• Änderungen an Mandanteninformationen
• Änderungen an Pix4D-Zugangsdaten
• Einladungen weiterer Personen
• Rollenwechsel
• Vergabe und Nutzung von WMS-Zugängen

Die Protokolle können Nutzer-ID, E-Mail-Adresse und IP-Adresse enthalten. Die Speicherdauer der Protokolldaten beträgt nach aktuellem Systemstand 90 Tage.

5. Zwecke der Verarbeitung

Die Datenverarbeitung erfolgt insbesondere zu folgenden Zwecken:

• Bereitstellung des GIS-Dashboards
• Verwaltung von Nutzern, Rollen und Projektzugriffen
• Darstellung von Projekt-, Trassen- und Geodaten
• Auswertung von Bau- und Projektfortschritt
• Technische Qualitätssicherung von Scan- und Geodaten
• Bereitstellung von WMS-Zugängen
• Import und Verarbeitung von Daten aus angebundenen Systemen
• Fehleranalyse, Wartung und Support
• Gewährleistung von Sicherheit, Stabilität und Nachvollziehbarkeit des Systems

NETZdigital ist nicht darauf ausgelegt, eine personenbezogene Leistungs- oder Verhaltenskontrolle einzelner Mitarbeiter durchzuführen. Die Auswertungen erfolgen projektbezogen. Soweit technische Metadaten Personenbezug aufweisen können, werden sie nur zu den beschriebenen Zwecken verarbeitet. RTK-Qualitätsdaten werden auf Projekt- bzw. Team-Ebene ausgewertet, nicht auf Personenebene.

Beim Abruf externer Kartendienste können technisch erforderliche Zugriffsdaten, insbesondere IP-Adresse, Browser-/Geräteinformationen sowie Kartenkachelabrufe, an den jeweiligen Kartendienst übertragen werden. Die Einzelheiten ergeben sich aus den Datenschutzinformationen des jeweiligen Dienstes.

Soweit aus Pix4D Erstellerinformationen oder technische Metadaten übernommen werden, erfolgt dies zur Projektverarbeitung, Qualitätssicherung und Aktualisierung der Projektdaten.

6. Mandantentrennung und Berechtigungen

NETZdigital ist mandantenfähig aufgebaut. Kundendaten werden mandantenbezogen verarbeitet und logisch voneinander getrennt. Jeder Mandant erhält eine eigene Zuordnung im System; sämtliche Datenbankabfragen erfolgen mandantenbezogen. Zusätzlich werden je Mandant separate Download-, Verarbeitungs- und Protokoll-Verzeichnisse sowie separate GeoServer-Arbeitsbereiche geführt.

Das System nutzt ein rollenbasiertes Berechtigungskonzept mit den Rollen Admin, Manager, Mitglied und Gast. Projektzugriffe werden rollen- und projektbezogen gesteuert; Mitglieder und Gäste müssen durch einen Admin für Projekte freigegeben werden. WMS-Zugänge werden individuell vergeben. Gäste erhalten keinen WMS-Zugang.

Interne Mitarbeitende von Werner & Schlei erhalten keinen allgemeinen Zugriff über die Plattform. Ein Zugriff über das Dashboard erfolgt nur dann, wenn sie vom zuständigen Admin des Kunden ausdrücklich als Nutzer eingeladen werden.

7. Zugriff durch Entwicklung, Wartung und Support

Ein Zugriff auf produktive Kundendaten durch Entwicklung, Wartung oder Support erfolgt nur, soweit dies für Betrieb, Fehleranalyse, Wartung oder Support erforderlich ist und eine entsprechende Freigabe des Kunden vorliegt. Zugriffe erfolgen zweckgebunden und werden intern nachvollziehbar dokumentiert.

Die technische Entwicklung und Betreuung kann durch vertraglich eingebundene Unterauftragnehmer unterstützt werden. Der Einsatz von Unterauftragnehmern erfolgt auf Grundlage der vertraglichen Regelungen zur Auftragsverarbeitung. Weitere Unterauftragnehmer werden nur auf Grundlage der vertraglichen Regelungen und mit Zustimmung des Verantwortlichen eingesetzt.

In Entwicklungs- und Testumgebungen werden Kundendaten nur verwendet, soweit dies für Entwicklung, Fehleranalyse oder Qualitätssicherung erforderlich ist und keine gleich geeigneten anonymisierten oder synthetischen Testdaten zur Verfügung stehen. Der Zugriff ist auf berechtigte Personen beschränkt, zweckgebunden und zeitlich begrenzt; eine Nutzung erfolgt mit Zustimmung des Kunden.

8. Technische und organisatorische Maßnahmen

Die Sicherheit der Verarbeitung richtet sich nach Art. 32 DSGVO. Für NETZdigital sind insbesondere folgende Maßnahmen umgesetzt:

• Verschlüsselte Kommunikation über HTTPS/TLS 1.2 oder höher
• Passwortrichtlinie für Plattform-Nutzer: Mindestlänge 12 Zeichen sowie Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen
• Sichere Passwörter für administrative Systemzugänge (PostgreSQL, GeoServer)
• Verwaltung von Zugangsdaten ausschließlich über Konfigurationsdateien – nie im Quellcode
• Verschlüsselte Speicherung mandantenbezogener Pix4D-API-Keys
• Einsatz von AES-256-GCM für bestimmte verschlüsselte Mandanten-Zugangsdaten
• Separate Verschlüsselungsschlüssel je Mandant
• Zugriffsbeschränkung: interne Dienste sind nur lokal erreichbar, kein direkter Internet-Zugang
• Isoliertes Container-Netzwerk für die interne Kommunikation
• Mandantenbezogene Daten- und Verzeichnisstrukturen mit Mandanten-ID in allen relevanten Tabellen
• Protokollierung relevanter Systemaktivitäten mit Zeitstempeln
• Strukturierte Löschprozesse mit dokumentierten Aufbewahrungsfristen
• Getrennte Umgebungen für Entwicklung, Test und Produktion
• Eine optionale Zwei-Faktor-Authentifizierung (2FA) für Plattform-Nutzer ist für eine kommende Version vorgesehen

Eine ausführliche Darstellung enthält die Anlage „Technisch-Organisatorische Maßnahmen" zum AV-Vertrag. Die Maßnahmen werden mit dem Projektfortschritt und steigenden Anforderungen fortgeschrieben.

9. Backups und Wiederherstellung

Zur Sicherstellung der Verfügbarkeit werden nach aktuellem Systemstand nächtliche, automatisierte Backups der einzelnen Instanzen erstellt. Dabei werden sowohl Konfigurationen als auch Nutzdaten gesichert. Die Backups werden im selben Hetzner-Rechenzentrum wie die jeweilige Produktivinstanz vorgehalten (Nürnberg bzw. Falkenstein). Eine geografisch getrennte Backup-Speicherung kann projektbezogen ergänzt werden.

Es werden sieben Backup-Stände vorgehalten. Sobald ein weiteres Backup erstellt wird, wird das älteste Backup dauerhaft gelöscht. Backups werden somit nach sieben Tagen automatisch überschrieben bzw. gelöscht.

Daten, die im Live-System gelöscht werden, werden nicht nachträglich aus bereits bestehenden Backup-Dateien entfernt. Die Backup-Dateien sind festgeschrieben und werden ausschließlich nach Ablauf der Backup-Vorhaltefrist automatisch gelöscht.

10. Löschung und Datenexport

Kundendaten können auf Weisung des Kunden gelöscht und exportiert werden.

Nach Vertragsende oder auf entsprechende Weisung des Kunden wird eine Löschung der Kundendaten vorgenommen, soweit keine gesetzlichen, vertraglichen oder technischen Gründe entgegenstehen. Für Daten in Backups gilt die jeweilige Backup-Vorhaltefrist von sieben Tagen, nach der die Daten automatisch gelöscht werden.

Account-Daten der Nutzer werden gelöscht, wenn der zugehörige Mandant gelöscht wird oder der jeweilige Nutzer durch einen Admin entfernt wird. Protokolldaten werden nach 90 Tagen automatisch gelöscht.

11. Externe Dienste und Unterauftragnehmer

Für den Betrieb von NETZdigital werden die folgenden externen Dienste und Unterauftragnehmer eingesetzt:

Mit allen Unterauftragnehmern bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO. Weitere Unterauftragnehmer werden nur mit vorheriger Information bzw. Zustimmung des Verantwortlichen eingesetzt.

12. Datenübermittlungen in Drittländer

Die Verarbeitung personenbezogener Daten findet nach aktuellem Systemstand grundsätzlich in der Europäischen Union – und in den von uns eingesetzten Hauptdiensten konkret in Deutschland – statt. Hosting (Hetzner, Nürnberg/Falkenstein), Pix4Dcloud (Germany-Cluster Frankfurt) und der Versand systembezogener E-Mails (Microsoft Exchange Online, zugesicherte Datenresidenz Germany) werden ausschließlich in deutschen Rechenzentren betrieben.

MapTiler AG hat ihren Sitz in der Schweiz. Übermittlungen in die Schweiz sind durch den Angemessenheitsbeschluss der EU-Kommission für die Schweiz gemäß Art. 45 DSGVO abgedeckt; das Datenschutzniveau ist dem der EU gleichgestellt. Map- und Nutzerdaten werden nach Anbieterangaben in EU-Rechenzentren vorgehalten.

Soweit im Einzelfall doch eine Übermittlung in ein Drittland außerhalb der EU/EWR erforderlich werden sollte, erfolgt dies ausschließlich auf Grundlage geeigneter Garantien nach Art. 46 DSGVO – insbesondere EU-Standardvertragsklauseln – sowie gegebenenfalls eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework). Wir prüfen entsprechende Übermittlungen und treffen, soweit erforderlich, ergänzende technische und organisatorische Maßnahmen.

13. Datenschutzfreundliche Voreinstellungen

NETZdigital ist darauf ausgelegt, nur die für den jeweiligen Zweck erforderlichen Daten zu verarbeiten (Art. 25 Abs. 2 DSGVO). In den technischen und organisatorischen Maßnahmen sind insbesondere folgende Grundsätze umgesetzt:

• Keine Sammlung unnötiger Daten – minimale Datenverarbeitung
• Keine Nachverfolgungs- oder Analysewerkzeuge im Dashboard (kein Tracking)
• Extraktion nur erforderlicher Metadaten
• Automatische Bereinigung temporärer Dateien
• Projekt- bzw. teambezogene Auswertung technischer Qualitätsdaten
• Keine personenbezogene Auswertung von RTK-Qualitätsdaten

Personenbezogene Nutzungs-, Rollen-, Zugriffs- und Protokolldaten werden ausschließlich verarbeitet, soweit dies für Betrieb, Sicherheit und Administration der Plattform erforderlich ist.

14. Betroffenenrechte

Betroffenen Personen stehen die in den Art. 15 bis 22 DSGVO geregelten Rechte zu. Dazu gehören insbesondere:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)
• Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Soweit Werner & Schlei Ingenieure GmbH Daten als Auftragsverarbeiter im Auftrag eines Kunden verarbeitet, richten Sie Ihre Anfragen bitte primär an den jeweiligen Verantwortlichen (Ihren Vertragspartner / Auftraggeber). Wir unterstützen den Verantwortlichen bei der Wahrnehmung der Betroffenenrechte gemäß Art. 28 Abs. 3 lit. e DSGVO.

15. Ansprechpartner und Kontakt

Bei Fragen zum Datenschutz, zur Auftragsverarbeitung oder zu den technischen und organisatorischen Maßnahmen wenden Sie sich bitte an:

Werner & Schlei Ingenieure GmbH
Münchner Torweg 6
82205 Gilching

E-Mail: datenschutz@bld-it.de

Zuständige Aufsichtsbehörde
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
www.lda.bayern.de

Letzte Aktualisierung: 15. Mai 2026. Diese Informationsseite wird bei wesentlichen Änderungen des Systems oder der eingesetzten Dienste fortgeschrieben.