← Zurück zur Startseite

Datenschutzerklärung

Der Schutz Ihrer personenbezogenen Daten ist uns ein zentrales Anliegen. Diese Datenschutzerklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten im Zusammenhang mit der Nutzung unserer Websites (auftraege.io, auch unter aufträge.io, sowie publicdeals.io) sowie unserer SaaS-Plattform aufträge.io (eingeloggter Bereich unter app.auftraege.io, auch unter app.aufträge.io und app.rfxsearch.com). Grundlage ist die Datenschutz-Grundverordnung (DSGVO), das österreichische Datenschutzgesetz (DSG) sowie das Telekommunikationsgesetz 2021 (TKG 2021).

Verantwortlicher im Sinne der DSGVO ist:

RFXSearch FlexCo

Stephansplatz 8/20

1010 Wien, Österreich

Firmenbuchnummer: FN 674966 y · Firmenbuchgericht: Handelsgericht Wien

UID-Nummer: ATU83107406

E-Mail: [email protected]

Ein externer Datenschutzbeauftragter wurde nicht bestellt, da die gesetzlichen Voraussetzungen hierfür nicht erfüllt sind. Anfragen zum Datenschutz richten Sie bitte an die oben genannte E-Mail-Adresse.

Wir verarbeiten personenbezogene Daten ausschließlich im Rahmen der gesetzlichen Bestimmungen. Personenbezogene Daten werden nur erhoben, verarbeitet und genutzt, soweit dies für die Bereitstellung der Website, der SaaS-Plattform sowie der damit verbundenen Services erforderlich ist oder Sie eine entsprechende Einwilligung erteilt haben.

Eine Übermittlung an Dritte erfolgt nur in den in dieser Erklärung beschriebenen Fällen, insbesondere an sorgfältig ausgewählte Auftragsverarbeiter (§ 10). Eine Weitergabe Ihrer Daten an Dritte zu deren eigenen Werbe- oder Marketingzwecken findet nicht statt.

Beim Aufruf unserer Website werden durch unsere Hosting- und CDN-Dienstleister (Northflank Ltd., Cloudflare, Inc.) automatisch technische Daten erfasst, die Ihr Browser übermittelt:

  • IP-Adresse (im Rahmen der CDN- und Sicherheitsverarbeitung, insbesondere des DDoS-Schutzes durch Cloudflare als Reverse Proxy, vollständig; in Anwendungs-Logs gekürzt, soweit technisch möglich)
  • Datum und Uhrzeit der Anfrage
  • aufgerufene Seite / URL
  • Referrer-URL (zuvor besuchte Seite)
  • Browser-Typ und -Version, Betriebssystem
  • übertragene Datenmenge, HTTP-Statuscode

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer technisch fehlerfreien, sicheren und stabilen Bereitstellung der Website sowie an der Abwehr von Angriffen).

Speicherdauer: Server-Logs werden in der Regel nach 14 Tagen automatisch gelöscht oder anonymisiert. Beim CDN- und Sicherheitsdienstleister Cloudflare sind stichprobenartige Zugriffsprotokolle (Sampled Logs) mit vollständiger IP-Adresse für einen kurzen Zeitraum (in der Regel ein bis zwei Wochen) einsehbar. Bei sicherheitsrelevanten Vorfällen behalten wir uns eine längere Speicherung zur Beweissicherung vor.

Wir setzen auf unserer Website technisch notwendige Cookies und vergleichbare Technologien ein, die für den Betrieb der Website und die Bereitstellung der von Ihnen ausdrücklich angeforderten Funktionen (z. B. Login, Sitzungsverwaltung) erforderlich sind. Diese Cookies sind nach § 165 Abs. 3 TKG 2021 sowie Art. 6 Abs. 1 lit. f DSGVO zustimmungsfrei.

Darüber hinaus setzen wir nach Ihrer ausdrücklichen Einwilligung Analyse-Cookies zur Reichweitenmessung ein (Google Analytics 4, siehe unten). Beim ersten Besuch unserer Website wird Ihnen hierzu ein Einwilligungsbanner angezeigt. Analyse-Cookies und der Analysedienst werden erst geladen, nachdem Sie aktiv auf „Akzeptieren“ geklickt haben. Klicken Sie auf „Ablehnen“, werden keine Analyse-Cookies gesetzt und kein Analysedienst geladen. Ihre Entscheidung wird ausschließlich lokal in Ihrem Browser gespeichert, damit der Hinweis nicht bei jedem Besuch erneut erscheint.

Webanalyse mit Google Analytics 4: Sofern Sie eingewilligt haben, nutzen wir Google Analytics 4, einen Dienst der Google Ireland Ltd. (Gordon House, Barrow Street, Dublin 4, Irland). Google Analytics verwendet Cookies und ähnliche Technologien, um die Nutzung unserer Website pseudonym auszuwerten (z. B. aufgerufene Seiten, Verweildauer, Referrer, ungefähre Region, Geräte- und Browsertyp). In Google Analytics 4 werden IP-Adressen nicht protokolliert oder dauerhaft gespeichert; sie werden ausschließlich transient zur ungefähren geografischen Zuordnung (Region) genutzt und nicht mit anderen Daten von Google zusammengeführt. Dabei kann es zu einer Übermittlung von Daten an die Google LLC (USA) kommen; diese ist über den EU-U.S. Data Privacy Framework (Google LLC ist zertifiziert) sowie ergänzende EU-Standardvertragsklauseln (SCCs) abgesichert. Die in Google Analytics gespeicherten nutzerbezogenen Daten werden nach spätestens 14 Monaten automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO sowie § 165 Abs. 3 TKG 2021 (Einwilligung). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: Über den Link „Cookie-Einstellungen“ im Seitenfuß öffnen Sie das Einwilligungsbanner jederzeit erneut und können Ihre Entscheidung ändern („Ablehnen“ wählen). Daneben können Sie die in Ihrem Browser für diese Website gespeicherten Daten löschen – beim nächsten Besuch erscheint das Einwilligungsbanner erneut. Zusätzlich können Sie die Erfassung durch Google Analytics mit dem Browser-Add-on von Google unterbinden (https://tools.google.com/dlpage/gaoptout). Weitere Informationen zur Datenverarbeitung durch Google finden Sie unter https://policies.google.com/privacy. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Hinweis: Innerhalb unseres Newsletter-Versands kommen Tracking-Pixel zum Einsatz – diese sind in § 14 transparent erläutert und erfassen ausschließlich Öffnungs- und Klickverhalten auf Basis Ihrer Einwilligung.

Sie können das Setzen von Cookies in Ihrem Browser jederzeit unterbinden oder bestehende Cookies löschen. In diesem Fall stehen einzelne Funktionen der Website oder der SaaS-Plattform unter Umständen nicht im vollen Umfang zur Verfügung.

Zur Nutzung unserer SaaS-Plattform aufträge.io (eingeloggter Bereich unter app.auftraege.io, auch unter app.aufträge.io und app.rfxsearch.com) ist die Anlage eines Nutzerkontos erforderlich. Im Rahmen der Registrierung und Nutzung verarbeiten wir folgende Daten:

  • Name und E-Mail-Adresse
  • Passwort (ausschließlich verschlüsselt gespeichert) bzw. Magic-Link-Token
  • Unternehmensdaten (Firma, Branche, Rolle)
  • Login- und Nutzungsdaten (Zeitpunkte, IP, Geräte- und Browser-Informationen)
  • Inhalte, die Sie in der Plattform anlegen (z. B. Filter, Merklisten, Kommentare)

Anmeldemethoden: E-Mail/Passwort sowie Magic Links per E-Mail. Sofern aktiviert, kann zusätzlich die Anmeldung über Google OAuth angeboten werden (siehe § 7).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit, Betrugsprävention und Verbesserung des Dienstes).

Eigenverantwortliche Verarbeitungen: Nutzungs- und Protokolldaten werten wir darüber hinaus zu eigenen Zwecken aus, nämlich zur Erkennung und Abwehr missbräuchlicher Nutzung sowie zur Durchsetzung unserer Nutzungsbedingungen (§ 5 AGB) und – in pseudonymisierter Form – zur laufenden Produktverbesserung (§ 11.4 AGB). Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz der Plattform bzw. an deren Weiterentwicklung); Einzelheiten enthält Anlage A.3 zum AVV (https://www.auftraege.io/avv/).

Speicherdauer: Daten des Nutzerkontos werden für die Dauer des Vertragsverhältnisses gespeichert und nach dessen Beendigung gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten (insbesondere § 132 BAO – sieben Jahre für rechnungsrelevante Unterlagen) entgegenstehen. Login- und Nutzungsprotokolle werden davon abweichend nur kurzzeitig gespeichert (siehe § 17: in der Regel 14 Tage).

Zur Vorbereitung von Analysen und zur Erstellung eines ersten Such- und Leistungsprofils können wir öffentlich zugängliche Inhalte der Unternehmenswebsite automatisiert auswerten. Die auszuwertende Website ergibt sich in der Regel aus der von Ihnen im Onboarding ausdrücklich angegebenen Unternehmens-URL. Sofern keine URL angegeben wurde oder diese technisch nicht übermittelt werden konnte, kann die Website ersatzweise aus der von Ihnen angegebenen geschäftlichen E-Mail-Domain abgeleitet werden (z. B. [email protected] → ihrunternehmen.at).

Verarbeitet werden dabei insbesondere Leistungsbeschreibungen, Branchenangaben, Keywords sowie Produkt- und Referenzinformationen.

Diese Verarbeitung erfolgt ausschließlich zur Unterstützung bei der Profilerstellung sowie zur Verbesserung der Such- und Matching-Qualität auf unserer Plattform. Das erzeugte Profil können Sie jederzeit einsehen, anpassen oder löschen.

Die Auswertung erfolgt ausschließlich auf Grundlage öffentlich zugänglicher Informationen und dient nicht der Bewertung einzelner Personen. Soweit dabei personenbezogene Daten nicht bei der betroffenen Person selbst erhoben werden (z. B. Angaben zu Ansprechpartnerinnen auf der Unternehmenswebsite), gilt ergänzend die Information nach Art. 14 DSGVO in § 8.

Soweit im Rahmen dieser Auswertung technische Dienstleister (insbesondere Google Cloud EMEA Ltd. und Weaviate B.V.) eingesetzt werden, gelten die Angaben in § 10 und § 13 entsprechend.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und Leistungserbringung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten und nutzerfreundlichen Profilerstellung).

Sofern wir die Anmeldeoption „Mit Google anmelden“ aktivieren, agiert Google Ireland Ltd. (Gordon House, Barrow Street, Dublin 4, Irland) als eigenständiger Verantwortlicher (Controller-to-Controller).

Übermittelte Daten: Name, E-Mail-Adresse und ggf. Profilbild des Google-Kontos. Es wird kein Passwort an uns übermittelt; die Authentifizierung erfolgt vollständig bei Google.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Auswahl des Login-Wegs).

Hinweise zur Datenverarbeitung durch Google finden Sie unter: https://policies.google.com/privacy

Im Rahmen unserer Plattform aggregieren wir öffentlich zugängliche Daten aus über 100 Vergabeportalen im DACH-Raum (Bekanntmachungen, Vergabeentscheidungen, Auftragnehmer-Informationen). Diese Daten enthalten in geringem Umfang personenbezogene Angaben (z. B. Ansprechpartner in Auftraggeber- oder Auftragnehmer-Organisationen), soweit diese durch die jeweilige Vergabestelle veröffentlicht wurden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer marktüblichen, nachvollziehbaren Vergabe-Transparenz und an der Bereitstellung einer Recherche- und Marktbeobachtungslösung für unsere Nutzer).

Hinweis zur Datenqualität: Die Daten werden aus öffentlichen Quellen automatisiert übernommen. Eine Vollständigkeit oder Aktualität wird nicht garantiert; verbindliche Informationen entnehmen Sie bitte stets dem jeweiligen Originalportal.

Eine eigenständige Bewertung oder ein Profiling einzelner Personen findet dabei nicht statt; wir werten Vergabeprozesse und Marktstrukturen aus, nicht Personen.

Information nach Art. 14 DSGVO: Die hier beschriebenen Daten erheben wir nicht bei der betroffenen Person selbst, sondern aus öffentlich zugänglichen Quellen. Quellenkategorien sind insbesondere öffentliche Vergabe- und Bekanntmachungsportale, öffentliche Register und Amtsblätter, öffentlich zugängliche Unternehmenswebsites (§ 6) sowie berufliche Netzwerke (z. B. LinkedIn). Eine individuelle Information jeder betroffenen Person wäre angesichts der Vielzahl der Datensätze und fehlender direkter Kontaktdaten unmöglich oder mit unverhältnismäßigem Aufwand verbunden (Art. 14 Abs. 5 lit. b DSGVO); die Information erfolgt daher öffentlich durch diese Datenschutzerklärung.

Betroffene Personen können die Berichtigung oder Löschung ihrer Daten jederzeit unter [email protected] verlangen.

Bei einer Kontaktaufnahme per E-Mail oder über die Demo-Buchung verarbeiten wir die von Ihnen mitgeteilten Daten (Name, E-Mail-Adresse, Unternehmen, Anliegen, Wunschtermin) zur Bearbeitung Ihrer Anfrage.

Demo-Buchungen erfolgen über die EU-Instanz cal.eu von Cal.com, Inc. (EU-Hosting; siehe § 10). Dabei werden Name, E-Mail-Adresse und der gewählte Termin verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertragsverhältnisses) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Kommunikation mit Interessenten).

B2B-Interessenten-Ansprache: Zur Anbahnung von Geschäftsbeziehungen verarbeiten wir in begrenztem Umfang geschäftliche Kontaktdaten potenzieller Kundenunternehmen (Name, Funktion, Unternehmen, geschäftliche Kontaktdaten), die wir aus öffentlich zugänglichen Quellen und beruflichen Netzwerken erheben, insbesondere über LinkedIn bzw. LinkedIn Sales Navigator (LinkedIn Ireland Unlimited Company, Dublin, Irland). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Direktansprache im Unternehmensverkehr, vgl. Erwägungsgrund 47 DSGVO). Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO, § 18). Die Information nach Art. 14 DSGVO erfolgt durch diese Datenschutzerklärung sowie spätestens im Rahmen der ersten Kontaktaufnahme.

Speicherdauer: Anfragen werden gelöscht, sobald sie abschließend bearbeitet wurden, spätestens jedoch nach drei Jahren, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Eingesetzte Dienstleister gem. Art. 28 DSGVO – mit allen genannten Auftragsverarbeitern bestehen Auftragsverarbeitungsverträge (AVVs).

Zur Bereitstellung der Website, der SaaS-Plattform, des Newsletter-Versands sowie für Zahlungsabwicklung, Fehler-Monitoring und KI-gestützte Analysefunktionen setzen wir externe Dienstleister ein. Wir unterscheiden dabei zwei Kategorien: (a) Auftragsverarbeiter der SaaS-Plattform – diese sind zugleich die genehmigten Sub-Verarbeiter gemäß Anlage A.2 zum AVV – und (b) Dienste, die wir ausschließlich in eigener Verantwortlichkeit für unsere Websites und unsere eigene Geschäftstätigkeit einsetzen und die keine Sub-Verarbeiter der Plattform sind.

a) Auftragsverarbeiter der Plattform (zugleich Sub-Verarbeiter gemäß Anlage A.2 zum AVV):

  • Supabase, Inc. (USA) – Datenbank, Authentifizierung, Backend. Hosting erfolgt über Amazon Web Services (AWS), Region eu-central-1 (Frankfurt, Deutschland). Sub-Processor: Supabase Pte. Ltd., Singapur. Transfergarantie: SCCs (EU 2021/914) Modul 2 + 3.
  • Cloudflare, Inc. (USA, globales CDN) – CDN, DNS, Hosting (Pages, Workers), DDoS-Schutz. Verarbeitete Daten: IP-Adressen, Request-Metadaten sowie technische Verbindungs- und Zugriffsdaten. Transfergarantie: EU-U.S. Data Privacy Framework + SCCs Modul 2 + 3 + Global PRP.
  • Northflank Ltd. (Vereinigtes Königreich, London) – Container-Hosting des Backends. Verarbeitete Daten: Nutzer-Requests, Session-Metadaten, Log-Daten (IP). Transfergarantie: UK-Angemessenheitsbeschluss der EU-Kommission (gültig bis 27.12.2031).
  • Hetzner Online GmbH (Gunzenhausen, Deutschland) – Server- und Infrastruktur-Hosting für Backend-Dienste. Verarbeitete Daten: technische Verbindungs- und Log-Daten sowie Daten der Backend-Verarbeitung. Verarbeitung in Rechenzentren in der EU (Deutschland/Finnland) – kein Drittlandtransfer.
  • Weaviate B.V. (Niederlande, Amsterdam) – Vektordatenbank für KI-Matching. Verarbeitete Daten: öffentliche Ausschreibungs- und Vergabedaten, Embeddings. Suchabfragen werden transient verarbeitet und nicht gespeichert; Kunden- und Nutzerdaten werden nicht gespeichert. Sitz im EWR – kein Drittlandtransfer.
  • Stripe Payments Europe Ltd. (Irland, Dublin) – Zahlungsabwicklung für Abonnements und Rechnungsstellung. Verarbeitete Daten: Zahlungsdaten, Rechnungsadresse, Transaktionsdaten. Transfergarantie für etwaige US-Übermittlungen: DPF + SCCs Modul 1 + 2. Hinweis zur Doppelrolle siehe § 11.
  • Brevo GmbH, Köpenicker Straße 126, 10179 Berlin, Deutschland (USt-ID DE276534027) – Newsletter- und Transaktionsmail-Versand. Verarbeitete Daten: E-Mail-Adresse, Name, Öffnungs- und Klickverhalten im Newsletter. Verarbeitung in der EU.
  • Functional Software, Inc. (Sentry, USA, EU-Region eu.sentry.io) – Fehler-Monitoring und Performance-Erfassung. Verarbeitete Daten: Error-Logs, Session-Daten inkl. visueller Session-Replays bei Fehlern, Browser-/OS-Informationen, IP-Adresse. Transfergarantie: DPF + SCCs Modul 2 + 3. Hinweis zu Session Replay und PII-Scrubbing siehe § 12.
  • Google Cloud EMEA Ltd. (Irland, EU-Region europe-west3 Frankfurt) – KI-gestütztes Matching über Gemini / Vertex AI. Verarbeitete Daten: Ausschreibungs- und Unternehmensdaten (API-Anfragen). Transfergarantie: DPF + SCCs Modul 1–3. Hinweis zur KI-Verarbeitung siehe § 13.
  • OpenAI Ireland Ltd. (Irland, Dublin) – KI-gestützte Analyse- und Aufbereitungsfunktionen über die OpenAI-API. Verarbeitete Daten: Ausschreibungs- und Unternehmensdaten (API-Anfragen). Etwaige US-Übermittlung an OpenAI, L.L.C.: EU-U.S. Data Privacy Framework (zertifiziert) + SCCs. Kein Training mit übermittelten Daten gemäß OpenAI Data Processing Addendum. Hinweis zur KI-Verarbeitung siehe § 13.
  • Anthropic Ireland, Limited (Irland, Dublin) – KI-gestützte Analyse- und Aufbereitungsfunktionen über die Anthropic-API (Claude-Modelle). Verarbeitete Daten: Ausschreibungs- und Unternehmensdaten (API-Anfragen). Etwaige US-Übermittlung: EU-Standardvertragsklauseln (SCCs) gemäß Anthropic Data Processing Addendum. Kein Training mit übermittelten Daten. Hinweis zur KI-Verarbeitung siehe § 13.

b) Dienste in eigener Verantwortlichkeit (Website und Vertrieb – keine Sub-Verarbeiter der Plattform):

  • Cal.com, Inc. (USA) – Terminbuchung für Demo-Termine über die EU-Instanz cal.eu (EU-Hosting). Verarbeitete Daten: Name, E-Mail, Termin. Transfergarantie: SCCs Modul 2. Hinweis siehe § 9.
  • Google Ireland Ltd. (Irland, Dublin) – Reichweitenanalyse via Google Analytics 4, ausschließlich nach Einwilligung. Verarbeitete Daten: Geräte- und Browserinformationen, Nutzungs- und Interaktionsdaten, pseudonyme Cookie-IDs; IP-Adressen werden nicht protokolliert oder dauerhaft gespeichert (§ 4). Datenübermittlung an Google LLC (USA). Transfergarantie: EU-U.S. Data Privacy Framework + SCCs Modul 2. Hinweis zur Einwilligung siehe § 4.

Drittlandtransfer: Soweit personenbezogene Daten in Drittländer (insbesondere USA, UK, Singapur) übermittelt werden, erfolgt dies ausschließlich auf Grundlage geeigneter Garantien gem. Art. 44 ff. DSGVO – konkret: Angemessenheitsbeschlüsse (EU-U.S. Data Privacy Framework, UK Adequacy Decision) sowie EU-Standardvertragsklauseln (SCCs gem. Durchführungsbeschluss EU 2021/914) als zusätzliche Absicherung.

Stripe Payments Europe Ltd. agiert in einer Doppelrolle: Einerseits als Auftragsverarbeiter für die Zahlungsabwicklung in unserem Auftrag (Art. 28 DSGVO), andererseits als eigenständiger Verantwortlicher für gesetzlich vorgeschriebene Prüfungen wie Betrugsprävention, Anti-Geldwäsche (AML) und Know-Your-Customer (KYC).

Für die Tätigkeit als eigenständiger Verantwortlicher gelten die Datenschutzhinweise von Stripe: https://stripe.com/at/privacy

Unser Fehler-Monitoring über Sentry ist datenschutzfreundlich konfiguriert: Die Option send_default_pii ist deaktiviert, das Data-Scrubbing ist aktiv und die Verarbeitung erfolgt in der EU-Region (eu.sentry.io). Personenbezogene Daten werden – soweit technisch möglich – minimiert bzw. entfernt, bevor Fehlerberichte gespeichert werden.

Fehlerberichte können dennoch technische Daten wie Browser-Typ, Betriebssystem und IP-Adressen enthalten.

Zusätzlich nutzen wir die Funktion Sentry Session Replay. Tritt in der Anwendung ein Fehler auf, wird der visuelle Ablauf der betroffenen Browser-Sitzung als Aufzeichnung (Replay) an Sentry übermittelt, um den Fehler nachvollziehen und beheben zu können. Aufgezeichnet werden ausschließlich Sitzungen, in denen ein Fehler auftritt. Eingaben in Formularfelder sowie angezeigte Texte werden durch die Maskierungsfunktion von Sentry unkenntlich gemacht, Medieninhalte werden blockiert. Erfasst werden jedoch die aufgerufenen URLs sowie technische Metadaten der Sitzung (z. B. Browser-Ereignisse sowie Konsolen- und Netzwerk-Metadaten ohne Anfrage- und Antwortinhalte).

Rechtsgrundlage und Zuordnung: Soweit das Fehler-Monitoring einschließlich Session Replay den eingeloggten Plattform-Bereich betrifft, erfolgt die Verarbeitung als Teil der Auftragsverarbeitung für den jeweiligen Kunden (Art. 28 DSGVO; Sentry ist Sub-Verarbeiter gemäß Anlage A.2 zum AVV) und dient der Erfüllung unserer Pflichten aus Art. 32 DSGVO. Im Übrigen ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Stabilität, Sicherheit sowie der Analyse und Behebung von Fehlern).

Wir nutzen Google Gemini über Vertex AI (Paid Tier) zur KI-gestützten Sortierung, Relevanzbewertung und semantischen Suche von Ausschreibungen sowie zur Anreicherung von Unternehmensprofilen. Die Verarbeitung erfolgt in der EU-Region europe-west3 (Frankfurt).

Daneben setzen wir für einzelne KI-gestützte Analyse- und Aufbereitungsschritte die Programmierschnittstellen (APIs) von OpenAI (OpenAI Ireland Ltd., Dublin, Irland) und Anthropic (Anthropic Ireland, Limited, Dublin, Irland; Claude-Modelle) ein. Die Verarbeitung kann dabei auch in den USA erfolgen; sie ist durch die in § 10 genannten Garantien abgesichert.

An diese Anbieter werden ausschließlich Ausschreibungs- und Unternehmensdaten übermittelt. Eine Verarbeitung von Kontakt- oder Kontodaten unserer Nutzer zu KI-Zwecken findet nicht statt. Soweit in öffentlichen Unternehmensdaten vereinzelt personenbezogene Angaben (z. B. Geschäftsführer-Namen aus Firmenbuchauszügen) enthalten sind, werden diese nicht zu einer Bewertung oder Einstufung einzelner Personen verwendet.

Nach den jeweiligen Datenverarbeitungsvereinbarungen (Google Cloud Data Processing Addendum, OpenAI Data Processing Addendum, Anthropic Data Processing Addendum) werden Ihre Daten nicht zum Training der zugrundeliegenden KI-Modelle verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten, präzisen Marktrecherche für unsere Nutzer). Zusätzlich informieren wir gemäß Art. 13 Abs. 2 lit. f DSGVO transparent über den Einsatz automatisierter Verarbeitung.

Sofern Sie sich für unseren Newsletter anmelden, verarbeiten wir Ihre E-Mail-Adresse sowie optional Ihren Namen zum Versand redaktioneller und produktbezogener Informationen. Der Versand erfolgt über Brevo GmbH (Berlin).

Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Nach Eintragung Ihrer E-Mail-Adresse erhalten Sie eine Bestätigungs-E-Mail. Erst nach Klick auf den darin enthaltenen Bestätigungslink wird Ihre Adresse in den Verteiler aufgenommen.

Im Rahmen des Versands setzen wir Tracking-Pixel und individualisierte Links ein, um Öffnungs- und Klickverhalten auszuwerten. Erfasst werden dabei: IP-Adresse, Zeitpunkt des Abrufs, Geräteinformationen sowie Interaktionen mit den Inhalten. Diese Auswertung dient der Verbesserung unserer Inhalte und der Relevanz für unsere Empfänger.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können Ihre Einwilligung jederzeit widerrufen, insbesondere über den Abmeldelink am Ende jedes Newsletters oder per E-Mail an [email protected]. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO – einschließlich Profiling mit rechtlicher Wirkung oder vergleichbar erheblicher Beeinträchtigung – findet nicht statt.

Wir setzen KI-gestützte Verfahren (§ 13) zur Sortierung, Filterung und Relevanzbewertung von Ausschreibungen ein. Diese Verfahren beziehen sich ausschließlich auf Ausschreibungs- und Unternehmensdaten, nicht auf einzelne Personen. Die daraus resultierenden Bewertungen sind reine Empfehlungen und Hilfestellungen ohne rechtliche Wirkung und ohne vergleichbar erhebliche Beeinträchtigung; sie ersetzen keine Beurteilung durch den Nutzer. Es erfolgt keine vollautomatische Entscheidung; die Entscheidung darüber, ob ein Angebot abgegeben oder eine Ausschreibung verfolgt wird, trifft ausschließlich der Nutzer selbst auf Basis der Originaldaten der jeweiligen öffentlichen Vergabeportale.

Wir treffen geeignete technische und organisatorische Maßnahmen (TOMs) gem. Art. 32 DSGVO, um Ihre Daten gegen zufällige oder vorsätzliche Manipulation, Verlust, Zerstörung oder unberechtigten Zugriff zu schützen. Hierzu zählen insbesondere:

  • TLS-Verschlüsselung der Datenübertragung (HTTPS)
  • gehashte Speicherung von Passwörtern, verschlüsselte Speicherung sensibler Daten
  • Zugriffskontrollen, rollenbasierte Berechtigungen, 2-Faktor-Authentifizierung intern
  • regelmäßige Backups und Disaster-Recovery-Tests
  • laufende Sicherheits-Updates, DDoS-Schutz (Cloudflare)

Unsere Sicherheitsmaßnahmen werden regelmäßig überprüft und an den Stand der Technik angepasst. Eine strukturierte Beschreibung der technischen und organisatorischen Maßnahmen enthält Anlage A.1 zum AVV (https://www.auftraege.io/avv/).

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Verarbeitungszwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Insbesondere gelten:

  • Server- und Sicherheits-Logs: in der Regel 14 Tage
  • Nutzerkonto-Daten: für die Dauer des Vertragsverhältnisses
  • Rechnungs- und steuerrelevante Unterlagen: sieben Jahre gem. § 132 BAO
  • Newsletter-Daten: bis zum Widerruf der Einwilligung
  • Anfragen via E-Mail/Demo: maximal drei Jahre nach abschließender Bearbeitung

Ihnen stehen nach der DSGVO folgende Rechte zu:

  • Recht auf Auskunft (Art. 15 DSGVO)
  • Recht auf Berichtigung (Art. 16 DSGVO)
  • Recht auf Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO)
  • Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
  • Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO), insbesondere gegen Verarbeitungen auf Basis berechtigter Interessen
  • Recht auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine formlose E-Mail an [email protected]. Wir bearbeiten Ihre Anfrage unverzüglich, spätestens innerhalb der gesetzlichen Fristen.

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Aufsichtsbehörde zu. Zuständig ist insbesondere die

Österreichische Datenschutzbehörde (DSB)

Barichgasse 40–42, 1030 Wien, Österreich

Telefon: +43 1 52 152-0

E-Mail: [email protected]

Web: https://www.dsb.gv.at

In Deutschland und der Schweiz können Sie sich an die jeweils für Ihren Wohnsitz zuständige Datenschutzaufsichtsbehörde wenden.

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, etwa bei Weiterentwicklungen unserer Plattform, Änderungen eingesetzter Dienstleister oder geänderter Rechtslage. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar; Versionsnummer und Stand werden am Ende des Dokuments ausgewiesen.

Stand: 28. August 2026 · Version 2.13