Datenschutz · Version 1.0 · Stand 20.10.2026

Datenschutzerklärung

app.vergabemeister.de und mcp.vergabemeister.de

1. Verantwortlicher

KI Katapult, Inhaber Tim Neunzig Alpenstraße 13 14542 Werder (Havel) Deutschland USt-IdNr. DE426067350 E-Mail: info@vergabemeister.de

Ein Datenschutzbeauftragter ist derzeit nicht benannt, weil die gesetzlichen Voraussetzungen (§ 38 Abs. 1 BDSG) nicht vorliegen.

2. Zwei Rollen: Verantwortlicher und Auftragsverarbeiter

VergabeMeister ist ein Dienst für Unternehmen. Darum müssen wir zwei Dinge unterscheiden:

Wir sind Verantwortlicher für die Daten, die wir brauchen, um den Dienst anzubieten, abzurechnen und sicher zu betreiben: Ihr Nutzerkonto, Protokolle, Zahlungsabwicklung, E-Mails, die Ausschreibungsdatenbank. Diese Verarbeitungen beschreibt diese Erklärung.

Wir sind Auftragsverarbeiter für alles, was unsere Kunden (die Unternehmen, die VergabeMeister nutzen) in den Dienst einbringen: Vergabeunterlagen, Vergabefälle, Angebotsentwürfe und die beruflichen Kontaktlisten im Netzwerkmodul. Für diese Daten ist das jeweilige Kundenunternehmen verantwortlich. Wir verarbeiten sie nur nach dessen Weisung auf Grundlage der Vereinbarung zur Auftragsverarbeitung (AVV, abrufbar unter https://app.vergabemeister.de/legal/avv). Fragen zu diesen Daten richten Sie bitte an das Unternehmen; wenn Sie nicht wissen, welches Unternehmen das ist, helfen wir Ihnen, es herauszufinden (Abschnitt 7 und 15).

3. Hosting und Server-Protokolle

Der Dienst läuft auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, im Rechenzentrum Falkenstein (Sachsen). Sicherungskopien liegen verschlüsselt auf einer Hetzner Storage Box in Deutschland. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag.

Bei jedem Aufruf speichert der Server automatisch: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse ohne Suchparameter, HTTP-Statuscode, übertragene Datenmenge, Browser- oder Client-Kennung (User-Agent), zuvor besuchte Seite (Referrer), soweit übermittelt.

• Zweck: Bereitstellung des Dienstes, Fehleranalyse, Abwehr von Angriffen, Nachweis bei Sicherheitsvorfällen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere und stabile Betrieb.
• Speicherdauer: Zugriffsprotokolle werden rollierend überschrieben, sobald sie 50 MB je Dienst erreichen; bei einem konkreten Vorfall bis zu dessen Aufklärung. Für Ratenbegrenzungen zählen wir Anfragen nur kurzzeitig im Arbeitsspeicher (höchstens eine Stunde); ein Protokoll fehlgeschlagener Anmeldungen führen wir nicht.

Inhalte von Kundendaten (zum Beispiel Namen aus dem Netzwerkmodul) werden nicht in Protokolle geschrieben; das prüfen wir mit automatisierten Tests.

4. Cookies und Speicherung auf Ihrem Endgerät

Die Anwendung verwendet ausschließlich technisch notwendige Cookies und Speichereinträge: ein Sitzungs-Cookie für die Anmeldung, einen Schutz gegen Anfragefälschung (CSRF) und Einstellungen der Oberfläche (zum Beispiel Sprache, Ansicht). Diese Einträge sind erforderlich, damit der von Ihnen ausdrücklich gewünschte Dienst funktioniert (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist dafür nicht erforderlich; deshalb zeigen wir kein Cookie-Banner.

Wir setzen keine Analyse-, Tracking- oder Werbe-Cookies ein und binden keine Inhalte von Drittanbietern (Schriftarten, Skripte, Karten, Videos) ein, die Daten an Dritte übertragen.

5. Registrierung, Nutzerkonto, Organisation

Zur Nutzung legen Sie ein Nutzerkonto an und gehören einer Organisation (Ihrem Unternehmen oder dem Unternehmen, für das Sie tätig sind) an. Wir verarbeiten: Name, geschäftliche E-Mail-Adresse, Passwort (nur als Hash), Rolle in der Organisation, Zeitpunkt der Registrierung und Anmeldungen, Status der E-Mail-Bestätigung, Einstellungen, Angaben zur Organisation (Unternehmensname, Rechtsform, Anschrift, USt-IdNr., Rechnungs-E-Mail-Adresse, gebuchter Plan), Bestätigungen von AGB, AVV und der Verantwortlichen-Erklärung im Netzwerkmodul (Version und Zeitpunkt).

• Zweck: Vertragsschluss und -durchführung, Zugang zum Dienst, Zuordnung zur Organisation, Rechteverwaltung, Abrechnung, Nachweis von Vertragsbestätigungen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst unser Vertragspartner sind (zum Beispiel als Einzelunternehmer). Sind Sie als Beschäftigter oder Beauftragter eines Kundenunternehmens tätig, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Erfüllung des Vertrags mit Ihrem Unternehmen, das Sie zur Nutzung berechtigt hat. Für den Nachweis von Vertragsbestätigungen: Art. 6 Abs. 1 lit. f DSGVO (Interesse an Rechtssicherheit) und Art. 7 Abs. 1 DSGVO, soweit es um Einwilligungen geht.
• Speicherdauer: für die Dauer der Mitgliedschaft in der Organisation beziehungsweise des Vertrags; nach Entfernung des Nutzers oder Löschung der Organisation 30 Tage Sperrfrist, dann Löschung. Vertragsbestätigungen bewahren wir bis zum Ablauf der Verjährungsfristen auf (drei Jahre nach Vertragsende). Rechnungsrelevante Daten unterliegen den Aufbewahrungsfristen in Abschnitt 11.

Sie können Ihre E-Mail-Benachrichtigungen (Fristen-Erinnerungen, Hinweise des Netzwerkmoduls) in den Einstellungen steuern.

6. Inhalte unserer Kunden: Vergabefälle und Dokumente

Vergabeunterlagen, Vergabefälle, Anforderungsmatrizen, Notizen und Angebotsentwürfe, die Nutzer hochladen oder erstellen, verarbeiten wir ausschließlich im Auftrag des jeweiligen Kundenunternehmens (Art. 28 DSGVO). Dazu gehören auch personenbezogene Daten in diesen Unterlagen, etwa Ansprechpartner von Vergabestellen oder Mitarbeiter in Eignungsnachweisen. Wir lesen diese Inhalte nicht aus eigenem Antrieb, werten sie nicht für eigene Zwecke aus und nutzen sie nicht zum Training von KI-Modellen.

Für Rechtsgrundlage, Zwecke und Speicherdauer dieser Daten ist das Kundenunternehmen verantwortlich. Wir speichern die Inhalte, bis der Kunde sie löscht oder die Organisation beendet wird; danach gelten die Löschfristen der AVV (30 Tage Karenz, Sicherungskopien spätestens sieben Monate nach Löschung überschrieben).

7. Netzwerkmodul (berufliche Kontaktlisten)

7.1 Verarbeitung im Auftrag des Kundenunternehmens

Mit dem Netzwerkmodul können Nutzer eines Kundenunternehmens ihre eigene, selbst exportierte Verbindungsliste aus dem Netzwerk LinkedIn hochladen, um Partner für öffentliche Ausschreibungen zu finden. Gespeichert werden je Kontaktperson: Vorname, Nachname, Unternehmen, Position, Link zum öffentlichen Profil, Monat und Jahr der Vernetzung. E-Mail-Adressen werden beim Einlesen verworfen und nicht gespeichert. Das Modul nimmt keinen Kontakt zu Kontaktpersonen auf.

Verantwortlich für diese Daten ist das Kundenunternehmen, dessen Nutzer die Liste hochgeladen hat. Wir speichern, indexieren und durchsuchen die Daten nur nach dessen Weisung. Was das für Sie als Kontaktperson bedeutet, welche Rechte Sie haben und wie Sie widersprechen können, erklären wir ausführlich auf unserer Seite Informationen für Kontaktpersonen: https://app.vergabemeister.de/kontaktpersonen.

7.2 Was wir dabei als eigener Verantwortlicher tun

Eines erledigen wir in eigener Verantwortung:

Weiterleitung von Anfragen. Wenden Sie sich als Kontaktperson an uns (Auskunft, Löschung, Widerspruch), prüfen wir, ob Ihr Profil-Link in einem Kundenkonto gespeichert ist, leiten Ihre Anfrage innerhalb von zwei Werktagen an das betreffende Kundenunternehmen weiter und informieren Sie darüber. Dazu verarbeiten wir Ihre Nachricht, Ihre Kontaktdaten und den von Ihnen genannten Profil-Link. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 28 Abs. 3 lit. e DSGVO (unsere Pflicht, den Verantwortlichen zu unterstützen) und Art. 6 Abs. 1 lit. f DSGVO (Interesse an ordnungsgemäßer Bearbeitung von Betroffenenanfragen). Speicherdauer: drei Jahre nach Abschluss der Anfrage zum Nachweis.

8. MCP-Schnittstelle und Ihr KI-Assistent

Über mcp.vergabemeister.de können Nutzer einen eigenen KI-Assistenten (zum Beispiel Claude oder ChatGPT) mit VergabeMeister verbinden. Der KI-Assistent ruft dann in Ihrem Namen Funktionen von VergabeMeister auf, zum Beispiel "zeige die Anforderungen dieser Ausschreibung" oder "suche in meinen Kontakten nach Unternehmen mit ISO-27001-Erfahrung".

Was wir verarbeiten: Bei der Verbindung erteilen Sie dem KI-Assistenten über ein OAuth-Verfahren einen Zugriffstoken mit einem begrenzten Berechtigungsumfang (zum Beispiel "Lesen Netzwerk"). Wir speichern den Token nur als Hash, den Berechtigungsumfang, den Namen der verbindenden Anwendung, Zeitpunkt der Erteilung und der letzten Nutzung sowie die IP-Adresse der Aufrufe. Jeden Aufruf protokollieren wir mit Funktionsname, Zeitpunkt, Nutzer und Trefferzahl, nicht mit den Inhalten (Abschnitt 9). Die Anfrage selbst (zum Beispiel Ihr Suchbegriff) verarbeiten wir nur zur Beantwortung und speichern sie nicht. Gespeichert werden Suchbegriffe nur, wenn Sie eine Suche ausdrücklich als gespeicherte Suche anlegen; diese können Sie jederzeit löschen.

• Zweck: Bereitstellung der Schnittstelle, Zugriffskontrolle, Missbrauchserkennung, Nachvollziehbarkeit für Sie und Ihre Organisation.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO beziehungsweise lit. f DSGVO wie in Abschnitt 5; für die Sicherheitsprotokolle Art. 6 Abs. 1 lit. f DSGVO.
• Speicherdauer: Token bis zum Widerruf durch Sie oder Ablauf; Protokolle 90 Tage.

Was wir nicht steuern: Die Antworten, die VergabeMeister an Ihren KI-Assistenten liefert, verarbeitet der Anbieter dieses KI-Assistenten nach seinen eigenen Bedingungen, gegebenenfalls außerhalb der EU. Der KI-Anbieter ist dabei Auftragsverarbeiter oder Empfänger Ihres Unternehmens, nicht unser Dienstleister. Wir begrenzen die ausgegebenen Daten auf das Erforderliche (im Netzwerkmodul: Name, Unternehmen, Position, Beziehungsangabe; Profil-Links nur auf gezielte Einzelabfrage; keine Gesamtausgabe). Welche Einstellungen bei Ihrem KI-Anbieter sinnvoll sind (Auftragsverarbeitungsvertrag, Ausschluss des Trainings, Datenstandort), beschreiben unsere Hinweise unter https://app.vergabemeister.de/legal/vorlagen (Abschnitt B.1).

9. Nutzungs-, Änderungs- und Prüfprotokolle

Der Dienst führt ein Änderungsjournal (welcher Nutzer hat wann welches Objekt geändert, mit Rückgängig-Funktion) und ein Prüfprotokoll der MCP-Nutzung (Funktionsname, Zeitpunkt, Nutzer, Trefferzahl). Beide sind für Organisations-Administratoren des Kundenunternehmens einsehbar.

• Zweck: Nachvollziehbarkeit für das Kundenunternehmen (im Auftrag), Rückgängig-Funktion, Sicherheit und Missbrauchserkennung (eigene Verantwortung).
• Rechtsgrundlage: soweit im Auftrag des Kunden: dessen Weisung (Art. 28 DSGVO); soweit für unsere Sicherheit: Art. 6 Abs. 1 lit. f DSGVO.
• Speicherdauer: Änderungsjournal für die Dauer der Organisation; MCP-Prüfprotokoll 90 Tage.

Protokolle enthalten keine Inhalte aus dem Netzwerkmodul.

10. Ausschreibungsdatenbank (öffentliche Bekanntmachungen)

VergabeMeister enthält eine Datenbank öffentlicher Vergabebekanntmachungen und Zuschlagsinformationen, die wir aus öffentlichen Vergabeplattformen und Amtsblättern erfassen. Diese Veröffentlichungen enthalten personenbezogene Daten, in der Regel Name, dienstliche Telefonnummer und dienstliche E-Mail-Adresse von Ansprechpartnern der Vergabestellen, gelegentlich Namen von Vertretern bezuschlagter Unternehmen.

• Zweck: Bereitstellung der Ausschreibungssuche und der Zuschlagsinformationen für unsere Kunden.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse und das unserer Kunden liegt darin, öffentlich bekanntgemachte Vergabeinformationen auffindbar zu machen; die Veröffentlichung ist gesetzlich vorgeschrieben (§ 40 VgV, § 12 VOB/A und vergleichbare Vorschriften), und die Angaben betreffen die dienstliche Funktion.
• Quelle: öffentlich zugängliche Vergabeplattformen und Veröffentlichungsorgane, insbesondere TED (Amtsblatt der Europäischen Union), oeffentlichevergabe.de, service.bund.de, evergabe-online.de, DTVP und die Vergabeplattformen der Länder. Eine individuelle Information der Ansprechpartner wäre mit unverhältnismäßigem Aufwand verbunden (Art. 14 Abs. 5 lit. b DSGVO); wir stellen die Informationen stattdessen hier öffentlich bereit.
• Speicherdauer: Kontaktangaben der Ansprechpartner werden drei Jahre nach Ablauf der jeweiligen Angebotsfrist bzw. Verfahrensabschluss gelöscht; reine Verfahrensdaten ohne Personenbezug werden dauerhaft gespeichert.

Ansprechpartner von Vergabestellen können der Verarbeitung ihrer dienstlichen Kontaktdaten in unserer Datenbank widersprechen (Abschnitt 15).

11. Zahlung über Stripe

Kostenpflichtige Pläne rechnen wir über Stripe ab. Anbieter ist Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, zusammen mit verbundenen Unternehmen der Stripe-Gruppe.

Beim Bezahlvorgang geben Sie Ihre Zahlungsdaten direkt bei Stripe ein; wir erhalten sie nicht. Stripe übermittelt uns: Kundenkennung, Zahlungsstatus, Zahlungsart, bei Karten die letzten vier Ziffern und die Kartenmarke, Rechnungsanschrift, Rechnungs-E-Mail-Adresse, Rechnungsbeträge, Steuerangaben. Wir übermitteln an Stripe: Name und Anschrift der Organisation, Rechnungs-E-Mail-Adresse, gebuchter Plan, Beträge, USt-IdNr.

• Zweck: Zahlungsabwicklung, Rechnungsstellung, Betrugsprävention, Buchhaltung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) und Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Pflichten).
• Rolle von Stripe: Stripe verarbeitet Zahlungsdaten je nach Verarbeitungsschritt als Auftragsverarbeiter oder – insbesondere zur Betrugsprävention und Erfüllung gesetzlicher Pflichten – als eigener Verantwortlicher. Informationen: https://stripe.com/de/privacy. Stripe kann Daten an Stripe, Inc. in den USA übermitteln; Stripe stützt dies auf das EU-US Data Privacy Framework und Standardvertragsklauseln (Stand: Oktober 2026, laut Datenschutzerklärung von Stripe).
• Speicherdauer: Rechnungen und Buchungsbelege acht Jahre, Bücher und Aufzeichnungen zehn Jahre (§ 147 AO, § 14b UStG), jeweils ab Ende des Kalenderjahres der Entstehung.

12. E-Mails und Support

Wir versenden Systemnachrichten (Registrierungsbestätigung, Passwort zurücksetzen, Rechnungen, Fristen-Erinnerungen, Hinweise des Netzwerkmoduls wie die Warnung vor dem Verfall eines Imports, Mitteilungen an Organisations-Administratoren zu Vertrag und AVV) über den E-Mail-Dienst der hosting.de GmbH, Franzstraße 51, 52064 Aachen, per SMTP von info@vergabemeister.de. Mit hosting.de besteht ein Auftragsverarbeitungsvertrag. Die Mails enthalten keine Namen von Kontaktpersonen aus dem Netzwerkmodul.

• Rechtsgrundlage für Systemnachrichten: Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO wie in Abschnitt 5. Werbliche Nachrichten versenden wir nicht.

Schreiben Sie uns an info@vergabemeister.de, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b oder lit. f DSGVO). Supportanfragen löschen wir zwölf Monate nach Abschluss, sofern keine Aufbewahrungspflicht besteht. Benötigen wir für den Support Einblick in Inhalte Ihrer Organisation, holen wir vorher Ihre Zustimmung ein.

13. Empfänger und Übermittlung in Drittländer

Unsere Auftragsverarbeiter: Hetzner Online GmbH (Hosting, Sicherungen, Deutschland) und hosting.de GmbH (E-Mail-Versand, Deutschland). Eigenständige Verantwortliche: Stripe (Zahlung, siehe Abschnitt 11), Ihr KI-Anbieter (von Ihnen ausgewählt). Behörden erhalten Daten nur, wenn wir gesetzlich dazu verpflichtet sind.

Wir selbst übermitteln keine personenbezogenen Daten in Länder außerhalb der EU oder des EWR. Übermittlungen können durch Stripe (Abschnitt 11) und durch den von Ihnen gewählten KI-Anbieter (Abschnitt 8) stattfinden; dafür gelten deren Garantien und, beim KI-Anbieter, die Prüfung durch Ihr Unternehmen.

14. Speicherdauer im Überblick

15. Ihre Rechte

Sie haben gegenüber uns, soweit wir Verantwortlicher sind, folgende Rechte:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit, soweit die Verarbeitung auf Vertrag oder Einwilligung beruht und automatisiert erfolgt (Art. 20 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Einer Verarbeitung zu Zwecken der Direktwerbung können Sie jederzeit ohne Begründung widersprechen.

Für Daten, die wir im Auftrag eines Kundenunternehmens verarbeiten (Abschnitte 6 und 7), richten Sie Ihre Anfrage bitte an dieses Unternehmen. Wissen Sie nicht, welches Unternehmen das ist, schreiben Sie an info@vergabemeister.de; wir leiten Ihre Anfrage innerhalb von zwei Werktagen weiter und informieren Sie darüber. Kontaktpersonen des Netzwerkmoduls finden den Ablauf unter https://app.vergabemeister.de/kontaktpersonen.

Zur Ausübung Ihrer Rechte genügt eine E-Mail an info@vergabemeister.de. Wir antworten innerhalb eines Monats.

Beschwerderecht: Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg, Stahnsdorfer Damm 77, 14532 Kleinmachnow, poststelle@lda.brandenburg.de. Sie können sich auch an die Behörde Ihres Wohn- oder Arbeitsorts wenden.

16. Keine automatisierte Entscheidungsfindung

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Ausgaben eines von Ihnen angebundenen KI-Assistenten sind Vorschläge an Sie; die Entscheidung trifft Ihr Unternehmen.

17. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Die jeweils aktuelle Fassung finden Sie unter https://app.vergabemeister.de/legal/datenschutz; frühere Fassungen stellen wir unter https://app.vergabemeister.de/legal/archiv bereit. Über wesentliche Änderungen informieren wir angemeldete Nutzer im Dienst.