Zurück

Datenschutzerklärung

1. Rollen: Verantwortlicher und Auftragsverarbeiter

HexBau ist eine geschlossene B2B-Anwendung, die HexWorld Solutions GmbH für Bauunternehmen betreibt. Benutzerkonten werden ausschließlich durch den Kunden angelegt; eine öffentliche Selbstregistrierung gibt es nicht. Zugang erhalten nur Mitarbeiter des Kunden und von ihm beauftragte Nachunternehmer. Für die personenbezogenen Daten, die innerhalb der Anwendung verarbeitet werden, ist das beauftragende Unternehmen (der Kunde) der Verantwortliche; HexWorld Solutions GmbH handelt insoweit als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags (AVV) nach Art. 28 DSGVO. Anfragen betroffener Personen zu in der Anwendung verarbeiteten Daten richten Sie bitte an Ihren Arbeitgeber bzw. den Kunden als Verantwortlichen.

Für die öffentlich erreichbare Anmeldeseite und die dabei anfallenden Anmelde- und Sicherheitsprotokolle (Anmeldeversuche, Sitzungen) ist HexWorld Solutions GmbH selbst Verantwortlicher im Sinne der DSGVO.

2. Verantwortlicher (Anmeldeseite)

HexWorld Solutions GmbH
Altmarkt 10 B/D, 01067 Dresden, Deutschland
E-Mail: info@hexworld.eu
Telefon: +49 15678380048

Wir sind gesetzlich nicht verpflichtet, einen Datenschutzbeauftragten zu benennen, und haben keinen bestellt. Bei Fragen zum Datenschutz erreichen Sie uns unter info@hexworld.eu.

3. Verarbeitete Daten und Zwecke

Beim Betrieb der Anmeldeseite und zur Absicherung des Dienstes verarbeiten wir:

  • E-Mail-Adresse und Name (zur Authentifizierung)
  • IP-Adresse und User-Agent (Anmelde- und Sitzungsprotokolle)
  • Zeitpunkt und Ergebnis von Anmeldeversuchen (Sicherheit, Missbrauchsabwehr)

Innerhalb der Anwendung werden Änderungen zu Nachweis- und Sicherheitszwecken in einem Audit-Protokoll erfasst (handelnde Person, Zeitpunkt und IP-Adresse). Diese Verarbeitung erfolgt im Auftrag und unter der Verantwortung des Kunden (siehe Abschnitt 1).

4. Rechtsgrundlage

Die Verarbeitung im Rahmen der Anmeldeseite erfolgt auf Grundlage unseres berechtigten Interesses am sicheren Betrieb des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Die Verarbeitung innerhalb der Anwendung erfolgt im Auftrag des Verantwortlichen nach Art. 28 DSGVO.

5. Cookies und lokaler Speicher

Wir verwenden ausschließlich technisch notwendige Cookies, die für den Betrieb und die Sicherheit der Anwendung erforderlich sind: ein Sitzungs-Cookie zur Authentifizierung sowie ein CSRF-Token zum Schutz vor websiteübergreifenden Anfragen. Diese Cookies sind zur Bereitstellung des von Ihnen ausdrücklich angeforderten Dienstes unbedingt erforderlich; eine Einwilligung ist hierfür nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich. Es werden keine Analyse-, Tracking- oder Marketing-Cookies und keine Dienste von Drittanbietern eingesetzt.

Für Oberflächeneinstellungen (z. B. Sprachauswahl, Filter) nutzen wir zusätzlich den lokalen Speicher (Local Storage) Ihres Browsers. Diese Angaben verbleiben auf Ihrem Gerät und werden nicht an uns übertragen.

6. Auftragsverarbeiter (Sub-Unternehmer)

  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Hosting und Speicherung; Server in Falkenstein (Deutschland). Es besteht ein AVV.

Microsoft-Azure-KI-Dienste werden nur eingesetzt, wenn das optionale Dokumenten-Modul („Doku") aktiviert ist. Dieses Modul ist derzeit deaktiviert; bei Aktivierung wird diese Erklärung entsprechend ergänzt.

7. Speicherdauer

  • Anmeldeprotokolle (login_log): standardmäßig 90 Tage
  • Benachrichtigungen: für die Dauer des Projekts
  • Projekt- und Prüfprotokolle (Aktivitäten, Genehmigungen, Mengen, Audit-Log): für die Dauer des Projekts und anschließend so lange, wie dies zur Geltendmachung oder Abwehr von Rechtsansprüchen erforderlich ist – insbesondere wegen der Mängelhaftung am Bauwerk (Verjährung i. d. R. 5 Jahre ab Abnahme, § 634a BGB; bei vereinbarter VOB/B 4 Jahre, § 13 VOB/B) – sowie zur Erfüllung etwaiger gesetzlicher Aufbewahrungspflichten (Buchhaltungs-/Steuerunterlagen: 8–10 Jahre, § 257 HGB / § 147 AO). Die konkrete Aufbewahrungsdauer legt der Kunde (Verantwortlicher) fest.
  • Zugangsdaten (Passwort-Hash, SSO-Verknüpfung) werden bei Löschung eines Benutzerkontos unverzüglich entfernt; Name und Aktionsverlauf bleiben als Geschäftsunterlage erhalten.

8. Rechte der betroffenen Personen

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie ein Beschwerderecht bei einer Aufsichtsbehörde. Die für HexWorld Solutions GmbH zuständige Aufsichtsbehörde ist die Sächsische Datenschutz- und Transparenzbeauftragte, Maternistraße 17, 01067 Dresden (www.datenschutz.sachsen.de). Betrifft Ihre Anfrage Daten innerhalb der Anwendung, wenden Sie sich bitte an den Verantwortlichen (Ihren Arbeitgeber/den Kunden). Für die Anmeldeseite erreichen Sie uns unter info@hexworld.eu.

9. Hosting und Datensicherheit

Die Daten werden in Deutschland (Falkenstein) gehostet, ruhend verschlüsselt (LUKS) und während der Übertragung per TLS geschützt. Technische und organisatorische Maßnahmen nach Art. 32 DSGVO sind in einem gesonderten TOM-Dokument beschrieben.

10. Änderung dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald Änderungen der Verarbeitung oder der Rechtslage dies erforderlich machen. Es gilt jeweils die hier veröffentlichte aktuelle Fassung (siehe Stand unten).

Stand: Juni 2026

Privacy Policy

1. Roles: controller and processor

HexBau is a closed B2B application that HexWorld Solutions GmbH operates for construction companies. User accounts are created exclusively by the customer; there is no public self-registration. Access is granted only to the customer's employees and the subcontractors it engages. For personal data processed within the application, the commissioning company (the customer) is the controller; HexWorld Solutions GmbH acts as a processor on the basis of a data processing agreement (DPA) under Art. 28 GDPR. Requests from data subjects regarding data processed inside the application should be directed to your employer / the customer as controller.

For the publicly accessible login page and the related login and security logs (login attempts, sessions), HexWorld Solutions GmbH is itself the controller within the meaning of the GDPR.

2. Controller (login page)

HexWorld Solutions GmbH
Altmarkt 10 B/D, 01067 Dresden, Germany
Email: info@hexworld.eu
Phone: +49 15678380048

We are not legally required to appoint a data protection officer and have not designated one. For data-protection questions you can reach us at info@hexworld.eu.

3. Data processed and purposes

To operate the login page and secure the service, we process:

  • Email address and name (for authentication)
  • IP address and user agent (login and session logs)
  • Time and outcome of login attempts (security, abuse prevention)

Within the application, changes are recorded in an audit log for accountability and security purposes (acting person, time and IP address). This processing is carried out on behalf of, and under the responsibility of, the customer (see section 1).

4. Legal basis

Processing relating to the login page is based on our legitimate interest in securely operating the service (Art. 6(1)(f) GDPR). Processing inside the application is carried out on behalf of the controller under Art. 28 GDPR.

5. Cookies and local storage

We use only strictly necessary cookies required to operate and secure the application: a session cookie for authentication and a CSRF token to protect against cross-site requests. These cookies are strictly necessary to provide the service you have expressly requested; no consent is required for them under § 25 (2) no. 2 TDDDG. We use no analytics, tracking or marketing cookies and no third-party services.

For interface preferences (e.g. language selection, filters) we additionally use your browser's local storage. This information stays on your device and is not transmitted to us.

6. Processors (sub-processors)

  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germany — hosting and storage; servers in Falkenstein (Germany). A DPA is in place.

Microsoft Azure AI services are used only if the optional document module ("Doku") is enabled. This module is currently disabled; if enabled, this policy will be updated accordingly.

7. Retention periods

  • Login logs (login_log): 90 days by default
  • Notifications: for the duration of the project
  • Project and audit records (activities, permits, quantities, audit log): kept for the duration of the project and thereafter for as long as needed to establish or defend legal claims — in particular construction defect liability (generally time-barred after 5 years from acceptance, § 634a BGB; 4 years where VOB/B applies, § 13 VOB/B) — and to meet any applicable statutory retention obligations (accounting/tax records: 8–10 years, § 257 HGB / § 147 AO). The customer (controller) determines the actual retention period.
  • Credentials (password hash, SSO link) are removed immediately when a user account is deleted; the name and action history are retained as a business record.

8. Rights of data subjects

You have the right to access, rectification, erasure, restriction of processing, data portability and objection (Art. 15–21 GDPR), as well as the right to lodge a complaint with a supervisory authority. The supervisory authority responsible for HexWorld Solutions GmbH is the Saxon Data Protection and Transparency Commissioner (Sächsische Datenschutz- und Transparenzbeauftragte), Maternistraße 17, 01067 Dresden (www.datenschutz.sachsen.de). If your request concerns data inside the application, please contact the controller (your employer / the customer). For the login page, you can reach us at info@hexworld.eu.

9. Hosting and data security

Data is hosted in Germany (Falkenstein), encrypted at rest (LUKS) and protected in transit via TLS. Technical and organisational measures under Art. 32 GDPR are described in a separate TOM document.

10. Changes to this privacy policy

We update this privacy policy whenever changes to our processing or to the legal framework make it necessary. The current version published here applies (see the date below).

Last updated: June 2026