1. Vertragsparteien

Dieser Auftragsverarbeitungsvertrag ("AVV") wird geschlossen zwischen:

Controller: Verantwortlicher: Der Kunde ("Sie" oder "Kunde"), der die Nutzungsbedingungen von Tender Analyzer akzeptiert hat und den Dienst zur Verarbeitung von Ausschreibungsdokumenten nutzt
Processor: Auftragsverarbeiter: Tender Analyzer ("wir", "uns" oder "Auftragsverarbeiter"), der Betreiber von https://www.tender-analyzer.com und https://app.tender-analyzer.com

Dieser AVV ergänzt die Nutzungsbedingungen und ist Bestandteil derselben. Im Falle eines Widerspruchs zwischen diesem AVV und den Nutzungsbedingungen hat dieser AVV in Bezug auf Datenverarbeitungsangelegenheiten Vorrang.

2. Begriffsbestimmungen

Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, wie in Artikel 4 Absatz 1 der DSGVO definiert
Verarbeitung: Jeder Vorgang, der an personenbezogenen Daten durchgeführt wird, einschließlich Erhebung, Erfassung, Organisation, Strukturierung, Speicherung, Anpassung, Abfrage, Konsultation, Verwendung, Offenlegung, Löschung oder Vernichtung
Betroffene Person: Eine identifizierte oder identifizierbare natürliche Person, deren personenbezogene Daten verarbeitet werden
Unterauftragsverarbeiter: Jeder Dritte, der vom Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen beauftragt wird
Aufsichtsbehörde: Eine unabhängige öffentliche Stelle, die von einem EU-Mitgliedstaat gemäß Artikel 51 der DSGVO eingerichtet wurde

3. Umfang der Verarbeitung

3.1 Zweck

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung des Tender Analyzer-Dienstes, was Folgendes umfasst:

Dokumentenanalyse hochgeladener Ausschreibungsdateien (PDF, Excel, DOCX, CAD)
Extraktion technischer Spezifikationen und strukturierter Daten aus Dokumenten
Temporäre Speicherung von Dokumenten für die Dauer der Verarbeitung
Erzeugung und Speicherung von Extraktionsergebnissen

3.2 Arten personenbezogener Daten

Verarbeitete personenbezogene Daten können Namen, Kontaktdaten und Geschäftsinformationen umfassen, die in hochgeladenen Ausschreibungsdokumenten enthalten sind. Der Auftragsverarbeiter erhebt oder extrahiert personenbezogene Daten nicht vorsätzlich aus Dokumenten; in Dokumenten vorhandene personenbezogene Daten sind der technischen Spezifikationsextraktion untergeordnet.

3.3 Betroffene Personen

Betroffene Personen können Mitarbeiter, Kunden, Partner des Verantwortlichen sowie jede in hochgeladenen Ausschreibungsdokumenten genannte natürliche Person sein.

4. Unterauftragsverarbeiter

Der Verantwortliche genehmigt dem Auftragsverarbeiter die Beauftragung der folgenden Unterauftragsverarbeiter. Der Auftragsverarbeiter wird den Verantwortlichen mindestens 30 Tage im Voraus über beabsichtigte Änderungen dieser Liste informieren.

Unterauftragsverarbeiter	Zweck	Standort
Hetzner Online GmbH	Cloud-Hosting und Infrastruktur	Deutschland (EU)
OpenRouter / Together AI	LLM-Inferenz für Dokumentenanalyse (nur API, keine Datenspeicherung)	Vereinigte Staaten
SMTP-Anbieter	Transaktionale E-Mail-Zustellung (Verifizierung, Benachrichtigungen)	EU / Vereinigte Staaten

LLM-Inferenz-Anbieter verarbeiten Dokumenteninhalte ausschließlich über API-Aufrufe. Sie speichern, behalten oder verwenden übermittelte Daten nicht für das Modelltraining. Alle API-Aufrufe werden bei der Übertragung mittels TLS verschlüsselt.

5. Datenaufbewahrung

Der Auftragsverarbeiter bewahrt personenbezogene Daten nur so lange auf, wie es für die Erbringung des Dienstes erforderlich ist:

Hochgeladene Dokumente: Löschung 90 Tage nach Abschluss der Analyse
Kontodaten: Aufbewahrung bis der Verantwortliche sein Konto löscht
Nutzungsprotokolle: 12 Monate Aufbewahrung für Sicherheitsüberwachung und Dienstverbesserung
Extraktionsergebnisse: Aufbewahrung bis zur Löschung durch den Verantwortlichen oder bei Kontoschließung

Bei Beendigung des Dienstleistungsvertrags wird der Auftragsverarbeiter alle personenbezogenen Daten innerhalb von 30 Tagen löschen oder zurückgeben, sofern die Aufbewahrung nicht durch geltendes Recht vorgeschrieben ist.

6. Sicherheitsmaßnahmen

Der Auftragsverarbeiter implementiert angemessene technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, einschließlich:

Verschlüsselung bei der Übertragung: Alle Daten werden mittels TLS 1.3 übertragen
Verschlüsselung im Ruhezustand: AES-256-Verschlüsselung für gespeicherte Dokumente und Daten
Zugriffskontrolle: Row-Level-Security (RLS)-Datenbankrichtlinien zur strikten Mandantentrennung
Authentifizierung: JWT-basierte Zugriffskontrolle mit kurzlebigen Token
Ratenlimitierung: Schutz vor Missbrauch und Denial-of-Service-Angriffen über alle Endpunkte
Infrastrukturisolierung: Dedizierte Serverumgebung mit containerisierten Diensten
Automatisierte Sicherungen: Tägliche verschlüsselte Datenbanksicherungen

7. Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Verpflichtungen zur Beantwortung von Anfragen betroffener Personen gemäß Kapitel III der DSGVO, einschließlich:

Recht auf Auskunft (Artikel 15) — Erhalt einer Kopie der verarbeiteten personenbezogenen Daten
Recht auf Berichtigung (Artikel 16) — Korrektur unrichtiger personenbezogener Daten
Recht auf Löschung (Artikel 17) — Beantragung der Löschung personenbezogener Daten
Recht auf Einschränkung (Artikel 18) — Einschränkung der Verarbeitung personenbezogener Daten
Recht auf Datenübertragbarkeit (Artikel 20) — Erhalt personenbezogener Daten in einem strukturierten, maschinenlesbaren Format
Widerspruchsrecht (Artikel 21) — Widerspruch gegen die Verarbeitung personenbezogener Daten

Der Auftragsverarbeiter beantwortet vom Verantwortlichen weitergeleitete Anfragen betroffener Personen unverzüglich und spätestens innerhalb von 30 Tagen.

8. Meldung von Datenschutzverletzungen

Im Falle einer Verletzung des Schutzes personenbezogener Daten wird der Auftragsverarbeiter:

Den Verantwortlichen unverzüglich und spätestens 72 Stunden nach Bekanntwerden der Verletzung benachrichtigen, gemäß Artikel 33 der DSGVO
Dem Verantwortlichen ausreichende Informationen zur Verfügung stellen, um seiner Meldepflicht gegenüber der zuständigen Aufsichtsbehörde nachzukommen
Mit dem Verantwortlichen zusammenarbeiten und angemessene Schritte zur Unterstützung bei der Untersuchung, Eindämmung und Behebung der Verletzung unternehmen
Alle Verletzungen dokumentieren, einschließlich der Fakten bezüglich der Verletzung, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen

9. Internationale Datenübermittlungen

Der Auftragsverarbeiter speichert alle primären Daten innerhalb der Europäischen Union (Hetzner, Deutschland).

Soweit Dokumenteninhalte an LLM-Inferenz-Anbieter außerhalb der EU übermittelt werden (OpenRouter, Together AI), erfolgen solche Übermittlungen über verschlüsselte API-Aufrufe. Diese Anbieter verarbeiten Daten in Echtzeit und speichern übermittelte Inhalte nicht. Der Auftragsverarbeiter stellt sicher, dass geeignete Garantien bestehen, einschließlich Standardvertragsklauseln (SVK), soweit nach Kapitel V der DSGVO erforderlich.

Der Verantwortliche nimmt zur Kenntnis, dass Dokumenteninhalte ausschließlich zum Zweck der KI-gestützten Extraktion an LLM-Anbieter übermittelt werden und dass keine personenbezogenen Daten vorsätzlich in diese Übermittlungen einbezogen werden.

10. Prüfungsrechte

Der Verantwortliche oder ein vom Verantwortlichen beauftragter unabhängiger Prüfer kann die Einhaltung dieses AVV durch den Auftragsverarbeiter prüfen, vorbehaltlich folgender Bedingungen:

Der Verantwortliche muss mindestens 30 Tage vor einer Prüfung schriftlich ankündigen
Prüfungen sind während der üblichen Geschäftszeiten durchzuführen und dürfen den Betrieb des Auftragsverarbeiters nicht unangemessen stören
Die Kosten der Prüfung trägt der Verantwortliche, es sei denn, die Prüfung ergibt einen wesentlichen Verstoß des Auftragsverarbeiters
Der Auftragsverarbeiter stellt alle erforderlichen Informationen zur Verfügung, um die Einhaltung der in diesem AVV festgelegten Verpflichtungen nachzuweisen

11. Anwendbares Recht

Dieser AVV unterliegt dem Recht der Europäischen Union und dem anwendbaren Recht des Mitgliedstaates, in dem der Verantwortliche niedergelassen ist, und ist danach auszulegen. Streitigkeiten aus diesem AVV unterliegen der ausschließlichen Zuständigkeit der zuständigen Gerichte dieses Mitgliedstaates.

12. Kontakt

Für Fragen zu diesem Auftragsverarbeitungsvertrag oder zur Ausübung von Rechten aus diesem Vertrag kontaktieren Sie uns unter:

Legal: [email protected]
Privacy: [email protected]
Website: https://www.tender-analyzer.com