Datenschutzerklärung

Entwurfsstand: 21.09.2026

Entwurf zur anwaltlichen Prüfung. Der Standardtext ist so weit wie möglich ausgearbeitet. [Platzhalter] = von Ihnen einzutragen (Name, Anbieter, Fristen). Am Ende steht ein Block „Für die anwaltliche Prüfung" mit den Fragen, die ein Generator nicht abdeckt (RDG, KI-Verarbeitung, Anonymisierung).

1. Verantwortlicher

[Name / Firma], [Straße, PLZ, Ort], E-Mail: [kontakt@…].
[Falls ein/e Datenschutzbeauftragte/r benannt ist: Kontaktdaten hier ergänzen — für Einzelunternehmen i. d. R. nicht verpflichtend.]

2. Grundsätze und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, soweit erforderlich (Datenminimierung). Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertrag/vorvertragliche Maßnahmen — Kernprozess der Angebotsprüfung), lit. f (berechtigtes Interesse — sicherer, störungsfreier Betrieb) und lit. c (rechtliche Pflichten, z. B. Aufbewahrung).

3. Hosting und Server-Logdaten

Diese Website wird bei Vercel Inc. gehostet. Beim Aufruf werden technisch notwendige Server-Logdaten verarbeitet (z. B. IP-Adresse, Datum/Uhrzeit, abgerufene Ressource, Referrer, Browser/OS) — Art. 6 Abs. 1 lit. f DSGVO, zur Auslieferung und Sicherheit. Die Auslieferung erfolgt aus der Serverregion Frankfurt (Deutschland, EU; Region fra1). Da Vercel Inc. ein US-Unternehmen ist, siehe zusätzlich Abschnitt 7.

4. Cookies und Reichweitenmessung

Wir setzen nur technisch notwendige Cookies/Speicher ein, die für den Betrieb erforderlich sind (keine Einwilligung nötig). [Falls später Analyse-/Marketing-Tools oder ein Consent-Banner hinzukommen: hier ergänzen und Einwilligung nach § 25 TDDDG / Art. 6 Abs. 1 lit. a DSGVO einholen.]

5. Verarbeitung im Rahmen der Angebotsprüfung

Zur Erstellung Ihres Reports verarbeiten wir die von Ihnen hochgeladenen Angebotsdokumente sowie Ihre Angaben im Gebäudeformular. Hochgeladene Angebote können personenbezogene Daten enthalten — sowohl über Sie als auch über den ausführenden Betrieb. Zweck: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Ohne diese Daten können wir die Prüfung nicht erbringen.

6. Eingesetzte Auftragsverarbeiter

Zur Leistungserbringung setzen wir Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein:

Hosting/Auslieferung: Vercel Inc. (Serverregion Frankfurt, EU)
KI-gestützte Auswertung der Dokumente: Anthropic PBC (Claude API; ausschließlich Modelle der Reihe Claude Opus)
Speicherung / Datenbank: Supabase (Region eu-west-1, EU)
Versand des Reports per E-Mail: [E-Mail-Dienstleister — wird vor Livegang festgelegt]
Zahlungsabwicklung: Stripe (Stripe Payments Europe, Ltd.) (siehe Abschnitt 11)

Mit diesen Dienstleistern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO.[Vor Livegang: AVV mit jedem Anbieter abschließen und bestätigen.]

7. Übermittlung in Drittländer

Einzelne Dienstleister — insbesondere die KI-gestützte Auswertung bei Anthropic PBC (USA) — können Daten in den USA oder anderen Drittländern verarbeiten. Grundlage sind — soweit einschlägig — ein Angemessenheitsbeschluss (EU-US Data Privacy Framework) und/oder Standardvertragsklauseln der EU-Kommission nebst ergänzenden Maßnahmen. [Je Anbieter konkret prüfen und benennen.]

8. KI-gestützte Verarbeitung

Die Auswertung der Dokumente erfolgt technisch unterstützt (u. a. durch ein KI-Modell zur Datenextraktion). Die eigentliche fachliche Bewertung beruht auf festen, nachvollziehbaren Regeln. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO ist damit nicht bezweckt. [Anwaltlich bestätigen. Zudem beim KI-Anbieter eine „No-Training“-Zusicherung einholen und hier benennen.]

9. Speicherdauer und Löschung

Hochgeladene Originaldokumente werden nur so lange gespeichert, wie es zur Erstellung und Zustellung des Reports erforderlich ist, und anschließend automatisch gelöscht (vorgesehene Frist: [z. B. 30 Tage — festzulegen]). Gesetzliche Aufbewahrungsfristen (z. B. für Rechnungen) bleiben unberührt.

10. Anonymisierte Vergleichsdatenbank

Für Preis-Einordnungen verwenden wir eine Vergleichsdatenbank, in die ausschließlich anonymisierte Werte einfließen (z. B. Positionskategorie, Preis, Leistungsklasse, Region als PLZ-Bereich, Datum) — ohne Namen, Adressen oder Betriebsnamen und ohne Rückführbarkeit auf Sie. [Anonymisierungsprozess und Rechtsgrundlage anwaltlich absichern — echte Anonymisierung, nicht nur Pseudonymisierung.]

11. Zahlungsabwicklung

Die Bezahlung erfolgt über Stripe (Stripe Payments Europe, Ltd.). Zahlungsdaten geben Sie direkt beim Zahlungsdienstleister ein; wir erhalten keine vollständigen Zahlungsmittel-Daten.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) sowie ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde. Wenden Sie sich hierzu an[Kontakt s. o.].

Für die anwaltliche Prüfung (Punkte, die ein Textgenerator nicht abdeckt):

RDG-Abgrenzung des Gesamtdienstes (ist die „Prüfung“ eine Rechtsdienstleistung?).
KI-Verarbeitung: Art. 22 DSGVO, Transparenzpflichten, EU-AI-Act; No-Training-Zusicherung.
Anonymisierung der Benchmark: echte Anonymisierung vs. Pseudonymisierung, Rechtsgrundlage.
Drittlandübermittlung je Anbieter (DPF/SCC) konkret prüfen.
AV-Verträge mit allen genannten Dienstleistern; Löschfrist final festlegen.