Datenschutzerklärung

Verantwortlich für die Datenverarbeitung ist:

Luis Alfredo Godoy Alvarez
Stabiusstr. 11, 90489 Nürnberg, Deutschland
E-Mail: kontakt@vergabit.de

Beim Aufruf der Website verarbeiten unsere Hosting-Dienstleister technisch erforderliche Zugriffsdaten, insbesondere IP-Adresse, Zeitpunkt, angeforderte Ressource, Referrer sowie Browser- und Geräteinformationen. Die Verarbeitung dient der Auslieferung, Fehleranalyse, Abwehr von Missbrauch und Systemsicherheit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb. Anmeldung, Registrierung und das Zurücksetzen des Passworts schützen wir zusätzlich mit Cloudflare Turnstile der Cloudflare, Inc. (USA) vor automatisierten Zugriffen. Dafür verarbeitet Cloudflare beim Aufruf dieser Formulare technische Merkmale Ihres Browsers und Ihre IP-Adresse; ein sichtbares Prüffeld erscheint nur, wenn Cloudflare eine Interaktion verlangt. Rechtsgrundlage ist ebenfalls Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz der Konten vor Missbrauch.

Wenn Sie den öffentlichen Kontakt-Assistenten nutzen, werden Ihre Eingabe und der kurze Gesprächsverlauf zur Beantwortung an Anthropic übermittelt. Die IP-Adresse wird zusätzlich als technischer Schlüssel für ein tagesbezogenes Missbrauchslimit in unserer Datenbank verarbeitet. Bitte geben Sie dort keine personenbezogenen oder vertraulichen Daten ein. Rechtsgrundlage sind vorvertragliche Maßnahmen nach Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst anfragen, sowie Art. 6 Abs. 1 lit. f DSGVO für Missbrauchsschutz und Produktinformation.

Bei der Registrierung verarbeiten wir Name, geschäftliche E-Mail-Adresse, Firmenname und ein ausschließlich als Hash gespeichertes Passwort. Zusätzlich speichern wir den bestätigten Unternehmerstatus sowie Fassung, Pfad und serverseitigen Zeitpunkt der AGB-Zustimmung. Der Nachweis enthält einen Snapshot des Firmennamens, eine nicht im Klartext gespeicherte E-Mail-Prüfsumme, Nutzer-/Organisationskennung, Sprache und Status des Registrierungsvorgangs.

Im Firmenprofil verarbeiten wir die vom Kunden eingetragenen Angaben, etwa Zertifikate, Partnerstatus, Technologien, Referenzen, Teamgröße, Umsatz und Versicherungssumme. Hinzu kommen Kontoeinstellungen, Team-Mitgliedschaften und Einladungen, Sprache, Tarifstatus, gemerkte Ausschreibungen, Bearbeitungsstatus, Notizen, Digest-Einstellungen, gesehene Hinweise der Benachrichtigungsglocke sowie Metadaten zu MCP-Schlüsseln und verbundenen Anwendungen. Geheime MCP- Schlüssel werden nur gehasht gespeichert; ein neu erzeugter Klartextschlüssel wird nur einmal angezeigt.

Diese Daten werden zur Einrichtung und Durchführung des B2B-Nutzungsvertrags und zur Bereitstellung der Vorqualifizierung verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die betroffene Person selbst Vertragspartei ist; bei Beschäftigten und sonstigen Nutzern eines Kunden ist es Art. 6 Abs. 1 lit. f DSGVO, mit dem berechtigten Interesse an Durchführung und Verwaltung des Kundenvertrags. Soweit Vergabit personenbezogene Inhalte ausschließlich auf Weisung des Kunden verarbeitet, gilt ergänzend derAVV.

Anthropic (Claude). Für den Vergabe-Assistenten und weitere interaktive KI-Funktionen werden die Frage, relevante Ausschreibungsinhalte, der erforderliche Gesprächsverlauf und – soweit für die Antwort nötig – ausgewählte Merkmale des Firmenprofils an Anthropic PBC in den USA übermittelt. Der im Firmenprofil hinterlegte Firmenname wird nicht automatisch in den KI-Kontext aufgenommen; exakte Nennungen dieses Namens in Fragen und Gesprächsverläufen werden nach Möglichkeit vor der Übermittlung entfernt. Sonstige vom Nutzer selbst eingegebene Freitexte werden an Anthropic übermittelt und können darin enthaltene Unternehmens- oder Personendaten offenbaren. Die Datenminimierung reduziert die Zuordenbarkeit, kann eine mittelbare Identifizierung aber nicht in jedem Fall ausschließen.

OpenAI. Für die vorgelagerte Extraktion und Strukturierung von Eignungskriterien können öffentliche Bekanntmachungen und Vergabeunterlagen an OpenAI Ireland Ltd. und verbundene OpenAI-Unternehmen übermittelt werden. Firmenprofile werden für diesen Pipeline-Schritt nicht übermittelt. Öffentliche Unterlagen können jedoch bereits veröffentlichte Kontaktdaten enthalten.

Rechtsgrundlage ist die Vertragsdurchführung nach Art. 6 Abs. 1 lit. b DSGVO beziehungsweise Art. 6 Abs. 1 lit. f DSGVO bei Nutzern eines Firmenkunden. Anbieter kommerzieller APIs verwenden Ein- und Ausgaben nach ihren geltenden Bedingungen standardmäßig nicht zum Modelltraining; Vergabit nimmt kein Training-Opt-in vor. KI-Ausgaben können fehlerhaft sein und dienen nur der Vorqualifizierung. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO statt.

Bei Buchung eines kostenpflichtigen Tarifs verarbeitet Stripe Payments Europe Limited (Irland) die im Checkout eingegebenen Identitäts-, Rechnungs-, Steuer- und Zahlungsdaten. Vollständige Kartendaten werden unmittelbar durch Stripe erhoben und nicht bei Vergabit gespeichert. Wir erhalten insbesondere Stripe- Kunden- und Abonnementkennungen, gewählten Tarif, Zahlungs- und Abonnementstatus sowie für Abrechnung und Support erforderliche Belegdaten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie für handels- und steuerrechtliche Nachweise Art. 6 Abs. 1 lit. c DSGVO. Stripe kann für einzelne Verarbeitungen, insbesondere Betrugsprävention und regulatorische Pflichten, auch in eigener Verantwortlichkeit handeln; insoweit gelten ergänzend die Datenschutzhinweise von Stripe. Buchen Inhaber oder Administratoren einen Tarif in einer Vergabit-App, wickeln Apple (App Store; Apple Distribution International Ltd., Irland) bzw. Google (Google Play) Kauf und Zahlung in eigener Verantwortung ab; insoweit gelten deren Datenschutzhinweise. Vergabit gibt dem Store dabei nur ein zufälliges Kennzeichen Ihres Firmenkontos mit, keine E-Mail-Adresse und keinen Namen. Vom Store erhalten wir die Angaben zum Kauf: Produkt, Kennungen der Transaktion, Kauf-, Verlängerungs- und Ablaufdaten, den Stand der automatischen Verlängerung, Erstattungen und ob es ein Testkauf war, aber keine Zahlungsdaten. Wir prüfen jeden Kauf beim Store, bei Google über die Google Play Developer API, und erhalten Benachrichtigungen über Verlängerungen, Kündigungen und Erstattungen, bei Google über Google Cloud Pub/Sub. Zweck ist, den Tarif Ihrer Organisation freizuschalten und zu verwalten; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO beziehungsweise Art. 6 Abs. 1 lit. f DSGVO bei Nutzern eines Firmenkunden.

Für E-Mail-Bestätigung, Passwort-Reset, sicherheitsbezogene Nachrichten und Team-Einladungen verarbeiten wir Name, E-Mail-Adresse, Sprache und den jeweiligen Nachrichtentyp. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Der wöchentliche Ausschreibungs-Digest wird nur nach Ihrer Aktivierung versandt; Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können ihn jederzeit im Konto oder über den Abmeldelink in jeder Digest-Mail deaktivieren. Öffnungs- und Klicktracking ist beim E-Mail-Versand deaktiviert.

Technisch notwendige Cookies speichern Anmelde-Sitzung, Sprache, Darstellung und Ihre Cookie-Auswahl. Sie sind für die von Ihnen angeforderte Funktion erforderlich. Rechtsgrundlage ist § 25 Abs. 2 TDDDG; die anschließende Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b oder f DSGVO.

Vercel Web Analytics erfasst technische Nutzungskennzahlen ohne eigene Analyse-Cookies und ohne seitenübergreifendes Nutzerprofil. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse liegt in einer Reichweitenmessung mit möglichst geringer Eingriffsintensität.

Microsoft Clarity wird erst nach ausdrücklicher Einwilligung geladen. Dabei können Cookie-Kennungen, IP-/Netzwerkdaten, Geräte- und Browserinformationen sowie Interaktionen mit der Website, einschließlich Sitzungsaufzeichnungen und aggregierter Nutzungsanalysen, verarbeitet werden. Rechtsgrundlage sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit über „Cookie-Einstellungen“ im Footer mit Wirkung für die Zukunft widerrufen werden.

Clarity läuft ausschließlich auf den öffentlich zugänglichen Seiten. Im eingeloggten Bereich (Dashboard, Firmenprofil, Konto) sowie auf den Anmelde- und Registrierungsseiten wird es nicht geladen — dort werden weder Sitzungen aufgezeichnet noch Analyse-Cookies gesetzt.

Wir setzen – abhängig von der genutzten Funktion – insbesondere folgende Empfänger und Dienstleister ein:

• Vercel Inc. (USA) – Hosting und Auslieferung der Anwendung in der Ausführungsregion Frankfurt sowie Web Analytics.
• Railway Corp. (USA) – Datenbank- und Backend-Infrastruktur; die produktive Datenbank wird in der EU-Region Amsterdam betrieben.
• Microsoft Ireland Operations Ltd. / Microsoft Corporation (Irland/USA) – Microsoft Clarity, ausschließlich nach Einwilligung und nur auf den öffentlichen Seiten.
• Mailjet SAS / Sinch (Frankreich) – Versand von System-E-Mails und des aktivierten Digests; Verarbeitung in der EU.
• Stripe Payments Europe Limited und verbundene Stripe-Unternehmen (Irland/weitere Länder) – Checkout, Abonnementverwaltung, Rechnungs- und Zahlungsabwicklung.
• Anthropic PBC (USA) – interaktive KI-Funktionen und Vergabe-Assistent.
• OpenAI Ireland Ltd. und verbundene OpenAI-Unternehmen (Irland/USA) – KI-gestützte Verarbeitung öffentlicher Ausschreibungsunterlagen.

Mit Auftragsverarbeitern bestehen, soweit erforderlich, Vereinbarungen nach Art. 28 DSGVO. Auch bei Betrieb einzelner Systeme in EU-Regionen können Anbieterunternehmen oder Unterauftragsverarbeiter außerhalb des EWR Zugriff auf bestimmte Support-, Sicherheits- oder Inhaltsdaten erhalten. Übermittlungen in die USA stützen wir – je nach Empfänger – auf einen Angemessenheitsbeschluss einschließlich des EU-US Data Privacy Framework oder auf EU-Standardvertragsklauseln nach Art. 46 DSGVO und erforderliche ergänzende Maßnahmen. Die Verarbeitung durch Anthropic in den USA ist vertraglich durch EU-Standardvertragsklauseln abgesichert. Für den Bot-Schutz bei Anmeldung, Registrierung und Passwort-Zurücksetzung (Abschnitt 2) setzen wir außerdem Cloudflare, Inc. (USA) ein. Für Käufe in den Apps sind Apple Distribution International Ltd. (Irland) und Google (Google Play) jeweils eigene Verantwortliche (Abschnitt 5). Benachrichtigungen von Google Play erreichen uns über Google Cloud Pub/Sub; Google handelt dabei als unser Auftragsverarbeiter.

• Konto-, Profil-, MCP- und Nutzungsdaten werden grundsätzlich bis zur Kontolöschung beziehungsweise bis zum Wegfall des jeweiligen Zwecks gespeichert. Angaben zu Käufen in den Apps speichern wir, solange die Organisation besteht.
• Unverifizierte oder inaktive Konten können nach angemessener Vorankündigung gelöscht werden.
• AGB- und Vertragsschlussnachweise werden zur Rechtsverteidigung für die einschlägigen gesetzlichen Verjährungsfristen aufbewahrt.
• Rechnungs- und Zahlungsunterlagen werden für die gesetzlichen handels- und steuerrechtlichen Fristen gespeichert.
• IP-basierte Zähler des Kontakt-Assistenten sind tagesbezogen und werden nur so lange vorgehalten, wie dies für Missbrauchsschutz und technische Bereinigung erforderlich ist.
• Server-, Sicherheits- und Fehlerprotokolle werden nach den mit den Dienstleistern festgelegten, zweckgebundenen Löschfristen entfernt.

Nach Kontolöschung können technisch notwendige Sicherungskopien bis zu ihrer turnusmäßigen Überschreibung gesperrt fortbestehen. Gesetzliche Aufbewahrung und die Sicherung von Rechtsansprüchen bleiben unberührt.

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Zur Ausübung genügt eine Nachricht an kontakt@vergabit.de.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA). Name, geschäftliche E-Mail-Adresse, Firmenname, Unternehmerbestätigung und AGB-Zustimmung sind für die Kontoeröffnung erforderlich; ohne sie kann der B2B-Nutzungsvertrag nicht geschlossen werden. Weitere Profilangaben sind freiwillig, können aber für einen aussagekräftigen Abgleich erforderlich sein.

Die deutsche Fassung dieser Datenschutzerklärung ist maßgeblich.