Datenschutzerklärung

1. Verantwortlicher

Mag. (FH) Florian Neuhuber (EPU), Obere Höllstraße 20d, 4451 Garsten, Österreich — E-Mail: office@beschafft.at.

2. Welche Daten wir verarbeiten

Kundenkonto: Firmenname, E-Mail-Adresse, Passwort (als Hash), Vertrags- und Abrechnungsdaten. Nutzungsdaten: Server-Logs (IP-Adresse, Zeitpunkt, aufgerufene Seite) zur Betriebssicherheit. Inhaltsdaten: die vom Kunden angelegten Ausschreibungen, Lieferanten und empfangenen Angebote. Es werden keine Tracking-Cookies von Drittanbietern gesetzt; die Plattform verwendet ausschließlich technisch notwendige Session-Cookies. Zur Verbesserung des Angebots setzen wir eine cookielose Reichweitenmessung ein (selbst gehostetes Plausible Analytics auf eigenen EU-Servern): erfasst werden aggregierte Seitenaufrufe und Aktionen ohne Cookies, ohne geräteübergreifende Profile und ohne Weitergabe an Dritte; IP-Adressen werden nicht gespeichert. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Sitzungsanalyse: Auf den öffentlichen Informationsseiten (nicht im Kundenbereich, nicht im Lieferantenportal) zeichnen wir mit dem selbst gehosteten Dienst OpenReplay auf eigenen Servern in der EU pseudonymisiert auf, wie Besucher die Seite bedienen (Mausbewegungen, Klicks, Scrollen, technische Fehler), um Bedienprobleme zu finden. Eingaben in Formularfeldern, E-Mail-Adressen und Zahlen werden bereits im Browser unkenntlich gemacht und nie übertragen. Dafür wird eine zufällige Sitzungskennung im Speicher des Browsers abgelegt; es werden keine Cookies gesetzt und keine Daten an Dritte weitergegeben. Rechtsgrundlage ist unser berechtigtes Interesse an einer funktionierenden Website (Art. 6 Abs. 1 lit. f DSGVO); Sie können dem jederzeit formlos per E-Mail widersprechen.

3. Zwecke und Rechtsgrundlagen

Vertragserfüllung und Kontoverwaltung (Art. 6 Abs. 1 lit. b DSGVO), Abrechnung und gesetzliche Pflichten (lit. c), Betriebssicherheit, Missbrauchs- und Spamschutz als berechtigtes Interesse (lit. f).

4. Empfänger und Auftragsverarbeiter

Wir setzen die folgenden Auftragsverarbeiter ein. Die Liste nennt Zweck, Anbieter und Verarbeitungsort, damit Sie sie für Ihre eigene Dokumentation übernehmen können.

Zur KI-gestützten Strukturierung werden hochgeladene Leistungsverzeichnisse und Angebotsdokumente einmalig an den genannten Anbieter übermittelt und dort verarbeitet. Nach dessen Geschäftsbedingungen für die Programmierschnittstelle werden übermittelte Inhalte nicht zum Training von Modellen verwendet. Auch wir verwenden Kundendaten nicht zum Training.

Zahlungsdaten werden direkt bei Stripe erhoben; wir speichern keine vollständigen Zahlungsdaten. Die Übermittlung an den KI-Anbieter in den Vereinigten Staaten erfolgt auf Grundlage eines Auftragsverarbeitungsvertrags mit den Standardvertragsklauseln der Europäischen Kommission.

Bei der Lieferantenrecherche wird ausschließlich der Suchbegriff übermittelt, den Sie selbst eingeben — keine Ausschreibungsinhalte, keine Angebote und keine sonstigen Daten aus der Plattform. Die Funktion ist optional.

Zur Prüfung von Lieferanten fragen wir auf Ihre Veranlassung öffentliche Register ab — das österreichische Firmenbuch, das Gewerbeinformationssystem GISA und die Mehrwertsteuer-Prüfung der Europäischen Kommission. Übermittelt werden dabei nur Firmenname, Firmenbuchnummer oder Umsatzsteuer-Identifikationsnummer des betreffenden Lieferanten. Diese Stellen sind Behörden, keine Auftragsverarbeiter.

Änderungen an dieser Liste geben wir hier bekannt. Bestehende Kundinnen und Kunden informieren wir vorab, damit ein Widerspruchsrecht nach dem Auftragsverarbeitungsvertrag ausgeübt werden kann.

5. Lieferantendaten — Auftragsverarbeitung (Art. 28 DSGVO)

Kontaktdaten von Lieferanten (Name, E-Mail, Telefon), die ein Kunde in der Plattform hinterlegt, verarbeiten wir als Auftragsverarbeiter ausschließlich nach Weisung des Kunden zum Zweck der Ausschreibungsabwicklung. Es gilt folgende Vereinbarung zur Auftragsverarbeitung: Gegenstand ist der Betrieb der Plattform; Dauer ist die Laufzeit des Kundenkontos; Art der Daten sind geschäftliche Kontaktdaten und Angebotsinhalte; Kategorien betroffener Personen sind Ansprechpartner der Lieferanten des Kunden. Wir gewährleisten Vertraulichkeit, Verschlüsselung der Übertragung, Zugriffskontrolle und strikte Mandantentrennung; Unterauftragsverarbeiter (Hosting, Mailversand, KI-Verarbeitung) werden nur innerhalb der EU bzw. auf Basis gültiger Angemessenheitsbeschlüsse eingesetzt und auf Anfrage benannt. Nach Kontolöschung werden alle Auftragsdaten endgültig gelöscht. Weisungs-, Auskunfts- und Kontrollrechte des Kunden nach Art. 28 DSGVO bleiben unberührt.

Lieferanten-Stammdaten (Pro-Plan): Fordert ein Kunde über die Plattform Stammdaten an, trägt der Lieferant über einen persönlichen Link Anschrift, Ansprechpersonen und Bankverbindung (Kontoinhaber, IBAN, BIC) selbst ein. Auch diese Daten verarbeiten wir als Auftragsverarbeiter des Kunden. Die IBAN speichern wir feldweise verschlüsselt (AES-256-GCM); vollständig angezeigt wird sie nur Administratoren des Kunden, und jeder Abruf wird protokolliert. Bei einer Bestätigung speichern wir Name und Funktion der bestätigenden Person, den Zeitpunkt und einen Prüfwert der IP-Adresse, nicht die Adresse selbst. Bankdaten werden nicht an KI-Dienste übermittelt und mit dem Kundenkonto gelöscht.

5a. Anonymisierte Markt-Kennzahlen

Zur Bereitstellung eines Marktvergleichs („Wo liege ich preislich?") werden Angebotspreise aus Ausschreibungen aller Kunden ausschließlich in anonymisierter, aggregierter Form ausgewertet (statistische Kennzahlen wie Median und Quartile je Produktkategorie). Eine Kennzahl wird nur gebildet, wenn Daten von mindestens drei verschiedenen Kunden und mindestens fünf Datenpunkten einfließen — ein Rückschluss auf einzelne Kunden, Ausschreibungen, Angebote oder Lieferanten ist damit ausgeschlossen. Rechtsgrundlage ist unser berechtigtes Interesse an der Produktverbesserung (Art. 6 Abs. 1 lit. f DSGVO). Sie können die Teilnahme jederzeit unter „Abo & Rechnung" deaktivieren (Opt-out); Ihre Daten fließen dann ab der nächsten Aggregation nicht mehr ein.

6. Speicherdauer

Kontodaten werden für die Dauer des Vertragsverhältnisses gespeichert, Abrechnungsdaten für die gesetzliche Aufbewahrungsfrist (7 Jahre, § 132 BAO), Server-Logs maximal 90 Tage. Bei Kontolöschung werden alle Mandantendaten endgültig gelöscht.

7. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie das Recht auf Beschwerde bei der österreichischen Datenschutzbehörde (dsb.gv.at). Anfragen an: office@beschafft.at.