Datenschutzerklärung

01 Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

Ein Datenschutzbeauftragter ist derzeit nicht gesetzlich vorgeschrieben. Ein externer Datenschutzbeauftragter wird ab Phase 2 (bei > 20 Mitarbeitenden oder besonders sensiblen Verarbeitungen) verpflichtend bestellt.

02 Arten der verarbeiteten Daten

TempTIC verarbeitet folgende Kategorien personenbezogener Daten:

• Bestandsdaten: Name, Vorname, Firmenname, Anschrift, E-Mail-Adresse, Telefonnummer, Funktion in der Firma
• Vertragsdaten: Gewählter Tarif, Add-On-Buchungen, Vertragslaufzeit, Rechnungsadresse, SEPA-Mandat (ab Phase 1)
• Nutzungsdaten: Login-Zeiten, Log-Dateien (30 Tage), IP-Adressen, Session-Cookies (technisch notwendig)
• Inhaltsdaten: Analyseanfragen, Projektbeschreibungen, hochgeladene Leistungsverzeichnisse (LV) und Angebots-Dokumente, Rückfragen und Antworten, Auftrags-Kommentare, Bewertungen
• Ergebnisdaten (ab Phase 1): Analyseergebnisse (Zertifikate, EDD-Dateien)
• Zahlungsdaten: SEPA-Mandat, Bankverbindung (nur bei Mollie hinterlegt, TempTIC speichert keine vollständigen Bankdaten)
• Kommunikationsdaten: E-Mail-Verkehr über Resend
• KI-Verarbeitungs-Metadaten: Pseudonym-Tokens (TTL 24h), Anonymisierungs-Confidence-Scores

03 Zwecke und Rechtsgrundlagen der Verarbeitung

3.1 Vertragsabwicklung (Art. 6 Abs. 1 lit. b DSGVO)

Registrierung und Kontoverwaltung · Bereitstellung der Plattformfunktionen · ausschreibungsbasierte Vermittlung zwischen Auftraggebern und Laboren · Anonymisierung von Ausschreibungen · Angebots-Verschlüsselung bis Frist · Zuschlag und Auftragsabwicklung · Abrechnung und Zahlungsabwicklung.

3.2 Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO)

IT-Sicherheit und Betrugsprävention · Anti-Manipulations-Kontrolle (Kundenfreigabe-Zähler, Angebots-Verschlüsselung) · Verbesserung der Plattform · anonyme Nutzungsanalyse.

3.3 Rechtliche Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO)

Steuerrechtliche Aufbewahrungspflichten gemäß § 147 AO und § 257 HGB (6/10 Jahre) · Vergaberechtliche Dokumentationspflichten (Vergabevermerke: 10 Jahre) · Aufbewahrung von Analyseergebnissen nach DAkkS-Vorgaben.

04 Hosting und Infrastruktur

4.1 Vercel (Frontend + Server-Rendering)

Die Plattform wird über Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA, betrieben. Serverstandort: EU-Region Frankfurt (fra1) und Paris (cdg1). Datenverarbeitung erfolgt vollständig in der EU. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Mit Vercel besteht ein Data Processing Addendum (DPA) mit EU-Standardvertragsklauseln (SCC) für Notfall-Übermittlungen in die USA. Rechtsgrundlage Drittlandtransfer: Art. 46 Abs. 2 lit. c DSGVO.

4.2 Supabase (Datenbank + Auth + Storage)

Die zentrale Datenverarbeitung erfolgt über Supabase Inc., 970 Toa Payoh N #07-04, 318992 Singapur. Für TempTIC ist ausschließlich der Serverstandort EU-Frankfurt (eu-central-1) konfiguriert. Postgres-Datenbank, Authentifizierung und initialer Storage laufen in Frankfurt. Mit Supabase besteht ein DPA mit SCC. Reine EU-Verarbeitung ist vertraglich garantiert.

4.3 Cloudflare R2 (Objekt-Storage)

Hochgeladene Dokumente (LV-PDFs, Angebots-Dokumente, Zertifikate) werden in Cloudflare R2 gespeichert. Der Bucket ist mit einer echten EU-Jurisdictional-Restriction angelegt (nicht nur ein Standort-Hinweis) — Speicherung und Verarbeitung sind dadurch vertraglich und technisch auf die EU beschränkt. Cloudflare Germany GmbH, Rosental 7, 80331 München (EU-Vertretung); Cloudflare Inc. in San Francisco als Konzernmutter. DPA + SCC vorhanden.

05 Eingesetzte Auftragsverarbeiter

5.1 Mollie (Zahlungsabwicklung)

Für SEPA-Lastschriften setzen wir Mollie B.V., Keizersgracht 313, 1016 EE Amsterdam, Niederlande, ein. Erteilt ein Labor im Labor-Profil ein SEPA-Lastschriftmandat, übergeben wir Mollie den Namen des Labors, die Kontakt-E-Mail-Adresse, den Kontoinhaber, die IBAN und die Mandatsreferenz. Mollie verarbeitet Mandate, Bankverbindungen und Transaktionsdaten als Auftragsverarbeiter gemäß Art. 28 DSGVO. TempTIC speichert keine vollständigen Bankdaten, sondern nur Kontoinhaber, die letzten vier Stellen der IBAN, die BIC und die Mandatsreferenz. In der Beta-Phase wird nichts eingezogen. Mollie ist EU-Anbieter (Niederlande), keine Drittland-Übermittlung. Datenschutzinformationen: mollie.com/privacy.

5.2 Resend (E-Mail-Versand)

Für den transaktionalen E-Mail-Versand (Benachrichtigungen, Rechnungen, Passwort-Reset) nutzen wir Resend, Inc., 2261 Market Street #4979, San Francisco, CA 94114, USA. E-Mail-Adressen und Inhalte werden zur Zustellung verarbeitet. Mit Resend besteht ein DPA mit SCC. EU-Region-Konfiguration ist aktiv. Datenschutzinformationen: resend.com/legal/privacy-policy.

5.3 Anthropic (KI-Funktionen)

Für automatisierte Strukturierung und Anonymisierung von Anfragen und Angeboten nutzt TempTIC die Claude-API von Anthropic PBC, 548 Market Street PMB 90375, San Francisco, CA 94104, USA.

Besondere Schutzmaßnahmen:

• Zero-Retention-Modus aktiviert: Anthropic speichert weder Prompts noch Responses. Keine Nutzung für Modell-Training.
• Vier-Stufen-Anonymisierung vor jedem API-Call:Regel-basierte Regex-Extraktion identifizierender Daten · lokale Named-Entity-Recognition mit deutschem NER-Modell (spaCy) · Ersetzung durch Pseudonym-Tokens mit TTL 24h · manuelle Kuration durch unser Team vor Veröffentlichung. Anthropic erhält nur bereits anonymisierten Text.
• DPA mit SCC: Auftragsverarbeitungsvertrag mit Standardvertragsklauseln nach Art. 46 DSGVO.
• Kein automatisiertes Entscheiden mit Rechtswirkung:KI-Ergebnisse sind unterstützend, nicht bindend. Die Endentscheidung liegt stets beim Nutzer (siehe Abschnitt 10).

Datenschutzinformationen: anthropic.com/legal/privacy.

06 Web-Analytics

Wir setzen für interne Nutzungsanalyse ausschließlich Vercel Analytics ein. Dieses erhebt aggregierte, anonyme Nutzungsstatistiken (Seitenaufrufe, Herkunftsland auf Landesebene, verwendeter Browser, Betriebssystem) ohne Cookies. Eine Einwilligung nach § 25 TTDSG ist aufgrund des Fehlens von Cookies und persönlichen Daten nicht erforderlich. Alternativ ist Plausible Analytics (Plausible Insights OÜ, Tallinn, Estland) als EU-basierte Option evaluiert. Bei Wechsel wird die Datenschutzerklärung entsprechend aktualisiert.

07 Datenweitergabe an Labore

(1) Zur Erbringung des Vermittlungsdienstes werden Anfragedaten in zwei Sichtbarkeits-Stufen an Laborpartner weitergegeben:

• Stufe 1 · Standardsicht (Ausschreibungs-Board): Nur anonymisierte Ausschreibung (Firmennamen entfernt, Standort auf PLZ-Region reduziert, Ansprechpartner-Namen entfernt). Sichtbar für alle Labs mit passendem DAkkS-Scope.
• Stufe 2 · Freigabe (Firmenname, ggf. Bieter-Fassung):Firmenname des Auftraggebers und, sofern vorhanden, eine Bieter-Fassung der hochgeladenen Unterlagen, in der Ansprechpartner, Telefonnummern und E-Mail-Adressen geschwärzt sind — nur nach ausdrücklicher Freigabe durch das Labor. Freigaben und Downloads werden protokolliert, jedes Dokument trägt ein Wasserzeichen mit dem Namen des Labors; im Basis-Tarif zählen Freigaben gegen ein monatliches Kontingent.

(2) Anschrift, Ansprechpartner und Kontaktdaten des Auftraggebers werden erst nach Zuschlagserteilung und ausschließlich dem gewinnenden Labor offengelegt.

(3) Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsabwicklung). Mit den Laborpartnern werden entsprechende Auftragsverarbeitungsverträge geschlossen. Labore sind vertraglich verpflichtet, diese Daten nur zur Angebotsabgabe und Auftragsabwicklung zu verwenden.

08 Speicherdauer

Personenbezogene Daten werden gelöscht, sobald der Zweck der Verarbeitung entfallen ist, es sei denn, gesetzliche Aufbewahrungspflichten stehen dem entgegen:

• Server-Logdateien: bis zu 30 Tage
• Nutzungsdaten der Plattform: 90 Tage
• Pseudonym-Tokens (KI-Layer): 24 Stunden
• Anfragen und Angebote: Löschung 3 Jahre nach Abschluss des Auftrags (10 Jahre bei aktiviertem Extended-Retention-Add-On)
• Rückfragen und Kommentare: 3 Jahre nach Abschluss des Auftrags
• Bewertungen: 5 Jahre (für Historische-Qualität-Score im Price Pilot)
• Vergabevermerke (ab Phase 2): 10 Jahre (Compliance-Pflicht)
• Ergebnisdaten (Zertifikate, EDD): nach DAkkS-Vorgaben (i. d. R. 10 Jahre)
• Vertragsdaten und Rechnungen: 10 Jahre (§ 147 AO, § 257 HGB)
• SEPA-Mandate: bis zum Widerruf zzgl. 14 Monate (SEPA-Rulebook)
• Kontodaten nach Kündigung: Löschung nach 30 Tagen (soweit keine gesetzliche Pflicht zur längeren Aufbewahrung besteht)

09 Rechte der betroffenen Personen

Sie haben gemäß DSGVO folgende Rechte:

• Auskunftsrecht (Art. 15 DSGVO)
• Berichtigungsrecht (Art. 16 DSGVO)
• Löschungsrecht (Art. 17 DSGVO)
• Einschränkungsrecht (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) · Export im JSON/CSV-Format binnen 30 Tagen
• Widerspruchsrecht (Art. 21 DSGVO)
• Beschwerderecht bei der zuständigen Aufsichtsbehörde: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), Ludwig-Erhard-Str. 22, 20459 Hamburg, datenschutz.hamburg.de

Zur Geltendmachung Ihrer Rechte: datenschutz@temptic.de

10 Keine automatisierte Entscheidungsfindung

TempTIC trifft keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen, die rechtliche Wirkung gegenüber Nutzern entfalten (Art. 22 DSGVO). Insbesondere:

• Die KI-gestützte Anonymisierung ist ein technischer Vorschlag, der durch eine menschliche Kuration durch unser Team vor Veröffentlichung überprüft wird.
• Die KI-basierte Parameter-Extraktion aus LVs und Angeboten dient der Vorbereitung; die finale Bestätigung liegt beim Nutzer.
• Die Price-Pilot-Empfehlung ist ein unverbindlicher Vorschlag; die Zuschlagsentscheidung trifft ausschließlich der Auftraggeber.

11 Änderungen dieser Datenschutzerklärung

TempTIC behält sich vor, diese Datenschutzerklärung bei Änderungen der Plattform, der eingesetzten Dienste oder der Rechtslage anzupassen. Die jeweils aktuelle Fassung ist unter temptic.de/datenschutz abrufbar. Wesentliche Änderungen werden registrierten Nutzern per E-Mail mitgeteilt.