Datenschutz & Sicherheit · 2026-06-04 · 9 Min.

DSGVO und BIM-Daten: Was jeder Projektleiter wissen muss (2026)

IFC-Dateien können nach der DSGVO personenbezogene Daten enthalten. Wird ein Modell über ein Cloud-Tool an einen Nachunternehmer weitergegeben, entstehen Pflichten zur Datenverarbeitung mit echten rechtlichen Konsequenzen. Das müssen EU-Projektteams vor der nächsten BIM-Lieferung wissen.

DSGVO und BIM-Daten: Was jeder Projektleiter wissen muss (2026) — IFC Viewer Online article cover

Die DSGVO ist kein reines Thema der IT-Abteilung. Sie gilt für jedes Team, das Informationen über identifizierbare Personen verarbeitet – und auf einem Bauprojekt können das BIM-Koordinatoren, Projektleiter und Lieferteams sein.

Dieser Leitfaden behandelt drei Themen: wann IFC-Daten tatsächlich personenbezogene Daten im Sinne der DSGVO sind, was rechtlich passiert, wenn Sie sie mit einem Cloud-BIM-Tool verarbeiten, und wie Sie Tools auswählen, die den Compliance-Aufwand von vornherein vermeiden.

Wann enthält eine IFC-Datei personenbezogene Daten?

Artikel 4 der DSGVO definiert personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Die meisten IFC-Dateien enthalten im offensichtlichen Sinne keine personenbezogenen Daten – sie beschreiben Gebäude, keine Personen. Doch Grenzfälle kommen häufiger vor, als viele Teams annehmen:

IfcSpace-Elemente, die nach den Nutzern benannt sind (etwa „Dr. Smiths Büro“ oder „Johnson Suite“), können personenbezogene Daten darstellen, wenn der Name eine lebende natürliche Person identifiziert.
IfcActor- und IfcPerson-Entitäten – wenn Ihr Modell verantwortliche Personen (Projektleiter, BIM-Koordinator) mit Namen und Kontaktdaten enthält, handelt es sich dabei um personenbezogene Daten.
Als IfcDocumentInformation eingebettete Fotos – Aufnahmen von Arbeitern auf der Baustelle, die in der Planungsdokumentation enthalten sind.
Zugangskontrolldaten, die sicherheitsrelevanten Räumen zugeordnet sind – Informationen darüber, wer einen bestimmten Raum betreten darf.

Die rechtliche Struktur: Verantwortlicher, Auftragsverarbeiter und Artikel 28

Wenn Sie ein Cloud-BIM-Tool nutzen, das IFC-Dateien auf seinen Servern verarbeitet, entstehen zwei Rollen im Sinne der DSGVO. Sie (oder Ihr Unternehmen) sind der Verantwortliche – Sie legen den Zweck der Verarbeitung fest. Der Tool-Anbieter ist Auftragsverarbeiter – er handelt in Ihrem Auftrag. Artikel 28 DSGVO verlangt einen schriftlichen Auftragsverarbeitungsvertrag (AVV) zwischen Ihnen und jedem Auftragsverarbeiter, bevor Sie personenbezogene Daten mit ihm teilen.

In der Praxis bedeutet das: Enthält die Projekt-IFC personenbezogene Daten (IfcPerson-Einträge, benannte Räume, eingebettete Fotos) und laden Sie sie in einen Cloud-BIM-Viewer hoch, benötigen Sie einen AVV mit diesem Anbieter. Viele kleinere BIM-Tool-Anbieter haben keinen AVV griffbereit – das heißt, Sie verstoßen technisch gesehen bereits mit dem Hochladen gegen die DSGVO.

Wie clientseitige Verarbeitung das Problem beseitigt

Tools, die IFC-Dateien vollständig im Browser verarbeiten, erhalten die Modelldaten nie. Erreichen die Modelldaten niemals einen Server, liegt für den Modellinhalt keine Verarbeitung im Sinne der DSGVO vor – kein Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter, kein auszuhandelnder AVV, keine Entscheidung zum Speicherort der Daten, keine Meldepflicht bei Datenschutzverletzungen.

Das ist der praktische Grund, warum browserbasierte Verarbeitung für B2B-Projekte wichtig ist: Sie beseitigt eine ganze Compliance-Kategorie, noch bevor das Projekt überhaupt beginnt.

Lokale Validierung vor dem CDE-Upload

Führen Sie einen Health Check durch, bevor Sie in die CDE hochladen. Keine Datenverarbeitung durch Dritte – Sie bleiben durchgehend alleiniger Verantwortlicher.

Einen Validierungsbericht teilen

Teilen Sie eine Bericht-URL, die nur Zusammenfassungen der Befunde enthält – keine Modellgeometrie, keine personenbezogenen Daten aus der IFC.

Cloud-BIM-Viewer

Modell wird auf die Server des Anbieters hochgeladen. Enthält es personenbezogene Daten, benötigen Sie vor dem Upload einen AVV und eine Entscheidung zum Speicherort der Daten.

Koordinationsplattform (ACC, BIM 360)

Autodesk stellt im Rahmen seiner Nutzungsbedingungen einen AVV bereit – prüfen Sie, ob dieser Ihre Projektdatenkategorien und die Speicherregion abdeckt.

Sechs Fragen an jeden BIM-Tool-Anbieter

Werden Modelldaten lokal auf dem Gerät des Nutzers verarbeitet oder auf Ihre Server hochgeladen?
Falls hochgeladen: Wo befinden sich Ihre Server? (Der Speicherort in der EU ist für die DSGVO relevant.)
Steht ein Auftragsverarbeitungsvertrag (AVV) für die Einhaltung von Artikel 28 DSGVO zur Verfügung?
Welche Daten werden nach Beendigung der Sitzung durch den Nutzer aufbewahrt?
Wer sind Ihre Unterauftragsverarbeiter (Infrastruktur, Analyse, Speicherung)?
Sind Sie nach ISO 27001 oder SOC 2 Type II zertifiziert?

IFC Viewer Online: DSGVO auf einen Blick

Kein Modell-Upload

IFC-Dateien werden per WebAssembly in Ihrem Browser verarbeitet. Nichts erreicht unsere Server. Für Modelldaten ist kein AVV erforderlich.

Cookie-freie Analyse

Anonyme Nutzungsereignisse über PostHog im reinen Arbeitsspeicher-Modus – es werden keine Tracking-Cookies gesetzt. Rechtsgrundlage: berechtigtes Interesse.

E-Mail nur mit Einwilligung

Wird nur mit ausdrücklichem Opt-in erfasst. Verarbeitung über Resend. Jederzeit abbestellbar.

Geteilte Berichte sind optional (Opt-in)

Nur Zusammenfassungen der Befunde – keine Modellgeometrie, keine personenbezogenen Daten aus der IFC-Datei. Sie entscheiden, wann geteilt wird.

Browserbasierte Verarbeitung beseitigt eine ganze Kategorie von DSGVO-Pflichten: Es gibt kein Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter zu verwalten, wenn das Modell nie einen Server erreicht.

Für formale Anbieterbewertungen dokumentiert die vollständige Datenschutzerklärung jeden Datenfluss in klarer Sprache, einschließlich der Rechtsgrundlage für jede Verarbeitungstätigkeit.

DSGVO und BIM-Daten: Was jeder Projektleiter wissen muss (2026)