§ 1 Datensicherheit als Grundprinzip

PCM Vision ist als professionelle B2B-Plattform für sensible Bau-, BIM-, IFC-, Revit-, Projekt-, Unternehmens-, Finanz-, HR-, Betriebs- und Kundendaten konzipiert. Der Schutz dieser Daten ist kein Zusatzmodul, sondern ein zentraler Bestandteil der Plattformarchitektur.

Die Plattform folgt einer Security-by-Design- und Privacy-by-Design-Ausrichtung. Sicherheitsmassnahmen werden nicht erst nachträglich ergänzt, sondern bereits in Datenmodell, Rollenlogik, Zugriffskonzept, Infrastruktur, KI-Verarbeitung und Reporting-Struktur berücksichtigt.

Das Sicherheitsmodell orientiert sich an einer CIA-Level-3-Schutzlogik. Damit werden Vertraulichkeit, Integrität und Verfügbarkeit systematisch bewertet, technisch umgesetzt und organisatorisch abgesichert.

§ 2 Schweizer DSG und Datenschutz-Grundlage

PCM Vision verarbeitet Personendaten und projektbezogene Informationen nach einem am Schweizer Datenschutzgesetz orientierten Modell. Soweit im konkreten Fall zusätzlich europäische Datenschutzvorgaben anwendbar sind, kann die Verarbeitung ergänzend an DSGVO-Grundsätzen ausgerichtet werden.

Personendaten werden nur verarbeitet, soweit dies für Plattformbetrieb, Lizenzierung, Benutzerverwaltung, Sicherheit, Support, Vertragserfüllung, Abrechnung, Nachweisführung, Missbrauchserkennung oder gesetzliche Pflichten erforderlich ist.

Zu den möglichen Personendaten gehören insbesondere Name, geschäftliche E-Mail-Adresse, Rolle, Rechte, Login-Daten, Geräteinformationen, IP-Adressen, Projektzugehörigkeit, Nutzungsdaten, Supportkommunikation, Sicherheitsereignisse und Audit-Informationen.

Betroffene Personen können je nach anwendbarem Recht Auskunft, Berichtigung, Löschung, Einschränkung, Datenherausgabe, Widerspruch oder weitere Datenschutzrechte geltend machen. Anfragen erfolgen über [email protected].

§ 3 CIA International Security Level 3

Das CIA-Modell bildet die Sicherheitslogik von PCM Vision: Confidentiality, Integrity und Availability. Auf Level 3 wird dieses Modell nicht nur organisatorisch beschrieben, sondern technisch in Rollen, Datenräume, Logs, Zugriffskontrollen, Verschlüsselung, Backup, Wiederherstellung und Betriebsprozesse übersetzt.

Level 3 bedeutet: PCM Vision ist für professionelle Unternehmensdaten, Projektinformationen, BIM-Modelle und vertrauliche Datenräume ausgelegt. Für besonders hohe Anforderungen können zusätzliche Vereinbarungen, dedizierte Instanzen, On-Premises-nahe Betriebsmodelle oder kundenspezifische Sicherheitsmassnahmen definiert werden.

§ 4 Datenhaltung in der Schweiz oder lokal beim Kunden

PCM Vision kann so ausgerichtet werden, dass Daten standardmässig in einer Schweizer Cloud- oder Rechenzentrumsumgebung verarbeitet werden. Damit bleibt die Datenhaltung für Schweizer Unternehmen, Bauherren, Planer und öffentliche Stellen besonders klar kontrollierbar.

Je nach Schutzbedarf, Lizenzmodell und technischer Vereinbarung kann PCM Vision auch als dedizierte Kundenumgebung, isolierte Firmeninstanz oder lokale Infrastruktur beim Kunden betrieben werden.

Eine lokale Kundenumgebung kann sinnvoll sein, wenn besonders schützenswerte Projektdaten, kritische Infrastruktur, öffentliche Auftraggeber, Geheimhaltungsanforderungen, Bauwerksdaten, interne Firmenprozesse oder regulatorische Vorgaben dies verlangen.

§ 5 Datenräume, Mandantentrennung und Projektkapseln

PCM Vision arbeitet mit einer strukturierten Datenraumlogik. Projekte, Unternehmen, Rollen, Modelle, Dokumente, Reports, Zeitdaten, Kosteninformationen, Coaching-Inhalte und KI-Kontexte werden logisch getrennt und über Rechte gesteuert.

Projektkapseln ermöglichen, dass Projektdaten nicht ungeordnet im System liegen, sondern rollenbasiert, versioniert und kontextbezogen verarbeitet werden. Dies reduziert unkontrollierte Datenverteilung und schafft eine nachvollziehbare Informationsarchitektur.

Eine physische Isolation, separate Instanz, dedizierte Datenbank, eigene Infrastruktur oder lokale Installation wird nur geschuldet, wenn dies ausdrücklich vertraglich vereinbart wird.

§ 6 Zugriff, Rollen, Rechte und Zero-Trust-Logik

Der Zugriff auf PCM Vision erfolgt über ein rollen- und rechtebasiertes Modell. Nutzer erhalten nur Zugriff auf jene Daten, Funktionen, Projekte, Module und Auswertungen, die für ihre Rolle vorgesehen sind.

Das Modell folgt einer Zero-Trust-Ausrichtung: Kein Nutzer, Gerät, Dienst oder Prozess gilt automatisch als vertrauenswürdig. Rechte werden geprüft, protokolliert und können eingeschränkt, widerrufen oder angepasst werden.

Je nach Paket oder Enterprise-Konfiguration können zusätzliche Schutzmechanismen eingesetzt werden, darunter Multi-Faktor-Authentifizierung, IP-Restriktionen, Single Sign-On, Gerätebindung, Token-Management, Admin-Freigaben oder abgestufte Rechteprofile.

§ 7 Phinix KI und sichere Datenverarbeitung

Phinix KI ist als Assistenz-, Analyse- und Orchestrierungsschicht konzipiert. Die KI kann Projektdaten, BIM-Modelle, IFC-Informationen, Dokumente, Reports, Regeln, Normhinweise und Prozessdaten auswerten, sofern dies innerhalb der jeweiligen Daten- und Rechtefreigabe erfolgt.

Kundendaten werden nicht bewusst zum Training allgemeiner KI-Modelle verwendet, sofern keine ausdrückliche separate Freigabe oder vertragliche Regelung besteht. Die Verarbeitung dient primär der Bereitstellung der konkreten Plattformfunktion im jeweiligen Kunden- oder Projektkontext.

KI-Ausgaben sind Assistenzresultate und müssen fachlich geprüft werden. Phinix ersetzt keine Ingenieure, Juristen, Datenschutzberater, Sicherheitsverantwortlichen, BIM-Manager, Bauleiter oder Behörden.

§ 8 Audit Logs, Nachvollziehbarkeit und Sicherheitsereignisse

PCM Vision kann sicherheitsrelevante Vorgänge protokollieren. Dazu gehören insbesondere Login, Logout, Token-Nutzung, Projektzugriff, Rechteänderungen, Datenexporte, Uploads, API-Zugriffe, administrative Aktionen, verdächtige Nutzungsmuster und sicherheitskritische Systemmeldungen.

Audit Logs dienen dem Schutz der Plattform, der Nachvollziehbarkeit von Zugriffen, der Missbrauchserkennung, der Fehleranalyse, der Vertragserfüllung und der Erfüllung gesetzlicher oder organisatorischer Nachweispflichten.

Security-Logs können länger gespeichert werden als normale Nutzungsdaten, sofern dies für Sicherheit, Compliance, Nachweis oder Angriffserkennung erforderlich ist.

§ 9 Backup, Wiederherstellung und Verfügbarkeit

PCM Vision kann Backup-, Snapshot-, Replikations- oder Wiederherstellungsmechanismen einsetzen, um Datenverlust, technische Störungen und Betriebsunterbrüche zu reduzieren.

Das konkrete Backup- und Recovery-Modell hängt vom gewählten Betriebsmodell ab: Standard-SaaS, Schweizer Cloud, dedizierte Enterprise-Instanz oder lokale Kundenumgebung.

Der Kunde bleibt verpflichtet, geschäftskritische Originaldaten zusätzlich ausserhalb von PCM Vision zu sichern, sofern PCM Vision nicht ausdrücklich als rechtsverbindliches Archiv- oder Backup-System vereinbart wurde.

§ 10 Verantwortung des Kunden

Der Kunde ist verantwortlich für korrekte Benutzerverwaltung, sichere Passwörter, Rechtevergabe, interne Freigaben, Datenqualität, rechtmässige Datenbereitstellung, fachliche Prüfung, Mitarbeiterinstruktion und Einhaltung eigener Compliance-Vorgaben.

Der Kunde darf nur Daten hochladen, für die er über Rechte, Berechtigungen und Freigaben verfügt. Dies gilt insbesondere für BIM-Modelle, IFC-Dateien, Revit-Dateien, Kundendaten, Personendaten, Vertragsunterlagen, Normauszüge, Herstellerdaten und vertrauliche Projektinformationen.

Ergebnisse aus PCM Vision, Phinix KI, Modellprüfungen, Reports, Kostenprognosen, Zeitdaten, Kollisionshinweisen oder Security-Auswertungen müssen vor externer Verwendung fachlich geprüft werden.

§ 11 Haftung, Recht und Grenzen der Plattform

PCM Vision ist ein digitales Assistenz-, Management- und Analyse-System. Es ersetzt keine fachliche Planung, keine Rechtsberatung, keine Datenschutzberatung, keine Sicherheitsberatung, keine statische Prüfung, keine Bauleitung und keine behördliche Freigabe.

Die Plattform wird im gesetzlich zulässigen Umfang als professionelle B2B-Software bereitgestellt. Eine absolute Fehlerfreiheit, durchgehende Verfügbarkeit, vollständige Sicherheit oder Eignung für jeden Spezialfall kann nicht garantiert werden.

Soweit rechtlich zulässig, haftet PCM Vision nicht für indirekte Schäden, Folgeschäden, Projektverzögerungen, Fehlentscheidungen, Baukostenüberschreitungen, Datenverlust, Betriebsunterbruch, entgangenen Gewinn oder Schäden aus ungeprüfter Nutzung von KI- oder Analyseergebnissen.

Es gilt materielles Schweizer Recht, soweit keine zwingenden gesetzlichen Vorschriften etwas anderes bestimmen.

§ 13 Community-Warteliste und Store-Interesse

Bei einer Registrierung verarbeitet PCM VISION die E-Mail-Adresse, den optionalen Namen, ausgewählte Plattforminteressen, den Anmeldestatus, Einwilligungs- und Dokumentversionen sowie Anmelde-, Änderungs- und Abmeldezeitpunkte. Die Verarbeitung dient der Führung der Store-Warteliste, der transaktionalen Bestätigung und, nur bei separater freiwilliger Einwilligung, dem Versand von PCM Community-News.

Die optionale Einwilligung zu Community-News ist nicht vorausgewählt und kann jederzeit kostenlos ohne Login über einen individuellen Abmeldelink oder per E-Mail an [email protected] widerrufen werden. Abmeldetoken werden kryptografisch erzeugt und ausschliesslich als SHA-256-Hash gespeichert.

Die Stammdaten werden in Cloudflare D1 mit EU-Jurisdiktion gespeichert. Cloudflare Pages Functions und Cloudflare Email Sending verarbeiten Anfragen und transaktionale E-Mails über die Cloudflare-Infrastruktur. Eine technische Verarbeitung an globalen Edge-Standorten kann stattfinden; die D1-Datenbank selbst ist auf Speicherung und Betrieb innerhalb der Europäischen Union beschränkt.

Aktive Einträge bleiben bis zur Abmeldung, Einstellung der Warteliste oder einem Löschbegehren gespeichert. Nach der Abmeldung können E-Mail-Adresse, Abmeldestatus und Einwilligungsnachweise eingeschränkt als Sperr- und Nachweisdaten aufbewahrt werden, soweit dies zur Vermeidung weiterer Zusendungen oder zur Erfüllung rechtlicher Pflichten erforderlich ist.

§ 14 IFC-Gastanalyse, PHINIX und Berichtskauf

Für die erweiterte IFC-Gastanalyse verarbeitet PCM VISION die verifizierte E-Mail-Adresse, einen optionalen Namen, Zugangs- und Sitzungsnachweise, die freiwillige Forschungs-Einwilligung, Land, Gebäudeart und Ausbaustandard, Dateiname und Dateigrösse, die lokale IFC-Basiszusammenfassung, Status- und Zeitangaben sowie die erzeugten Analysekennzahlen. Einmalcodes und Sitzungstoken werden nur als kryptografische Hashes in Cloudflare D1 gespeichert.

Das vom Gast ausgewählte IFC wird nach ausdrücklichem Start blockweise über Cloudflare an die PCM-Analyse-Infrastruktur übertragen. Dort entstehen isolierte technische Arbeitsdaten für QA-, Kosten-, Ressourcen-, CO₂- und Physikberechnungen. Der Auftrag erzeugt keinen sichtbaren Projektraum. Der Zugriff auf den Gastauftrag und seine Ergebnisansicht ist zeitlich begrenzt; technische Arbeitskopien werden nur zweckgebunden für Analyse, Fehlerbehebung, Missbrauchsschutz und gesetzlich erforderliche Nachweise verarbeitet.

PHINIX erhält die berechneten Ergebniswerte als Kontext und darf daraus eine Einordnung erstellen. Wenn PHINIX Local technisch nicht verfügbar ist, werden keine künstlichen KI-Aussagen erzeugt; die deterministischen Engine-Werte bleiben entsprechend gekennzeichnet sichtbar. IFC- und Ergebnisdaten werden nicht zum Training allgemeiner KI-Modelle verwendet.

Für den optionalen Berichtskauf werden Analyse- und Bestell-ID, Betrag, Währung, Zahlungsstatus sowie Stripe-Checkout-, Payment- und Webhook-Nachweise verarbeitet. Zahlungsdaten wie Kartennummern werden durch Stripe erfasst und nicht in Cloudflare D1 gespeichert. Der Download wird ausschließlich nach serverseitig verifizierter Zahlungsbestätigung freigegeben.

Die freiwillige Einwilligung zu einer einmaligen Kontaktaufnahme für Forschung und Produktverbesserung ist nicht vorausgewählt und keine Voraussetzung für die Analyse. Sie kann jederzeit über [email protected] widerrufen werden. Auskunft, Löschung oder Berichtigung des Gastprofils und der zuordenbaren Analyseinformationen kann über dieselbe Adresse verlangt werden, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

§ 12 Kurzfassung für Kunden

PCM Vision schützt Ihre Daten nach einem DSG-orientierten und CIA-Level-3-basierten Sicherheitsmodell. Ihre Daten können in der Schweiz verarbeitet werden oder nach Bedarf lokal bei Ihnen betrieben werden. Zugriff erfolgt rollenbasiert, protokolliert und nach dem Prinzip minimaler Rechte. Phinix KI verarbeitet Daten kontextgebunden und ersetzt keine Fachprüfung. Besonders sensible Projekte können mit dedizierten oder lokalen Betriebsmodellen abgesichert werden.