Auftragsverarbeitungsvertrag für TenderCopilot

Fassung customer-avv-de-v3 · Vertragspaket b2b-pack-v3 · Stand 2026-10-06

Version customer-avv-de-v3 · Stand 6. Oktober 2026 · Sprache de-DE

1. Parteien und Rollen

Verantwortlicher ist der buchende Kunde für die von ihm bestimmten Verarbeitungsvorgänge in seinem Arbeitsbereich. Auftragsverarbeiterin ist Nexa GbR, Flöschgasse 3, 78647 Trossingen, Deutschland, vertreten durch Marcel Friesen und Levi Berlinski; Kontakt: kontakt@tendercopilot.de. Dieser AVV gehört zum gemeinsam angenommenen Vertragspaket b2b-pack-v3.

Der AVV erfasst ausschließlich kundenseitig angewiesene Workspace-Verarbeitung. Nexa bleibt eigenständige Verantwortliche für eigene Konto-, Sicherheits-, Abrechnungs- und Betriebszwecke sowie die eigene Bereitstellung des gemeinsamen öffentlichen Vergabebestands. Die bloße Verwendung eines Anbieters macht ihn nicht für jede Verarbeitung zum Unterauftragsverarbeiter. Für eigene Zwecke gilt die Datenschutzerklärung. Bei Widersprüchen gehen für die Auftragsverarbeitung die Regelungen dieses AVV den Nutzungsbedingungen vor; zwingendes Datenschutzrecht bleibt maßgeblich.

2. Gegenstand, Dauer, Art und Zweck

Gegenstand ist die Bereitstellung des Kundenarbeitsbereichs mit Unternehmensprofil, vom Kunden veranlasster Recherche und Zuordnung, Analyse hochgeladener Vergabeunterlagen, gespeicherten Chancen und angeforderten Produktbenachrichtigungen. Die Verarbeitung umfasst Erheben, Speichern, Ordnen, Auslesen, Abgleichen, begrenzte KI-Auswertung, Bereitstellen, Übermitteln an erforderliche Dienste und Löschen. Sie dient ausschließlich den vereinbarten und angewiesenen Funktionen. Die Vereinbarung gilt während dieser Verarbeitung einschließlich ihrer Abwicklung nach Vertragsende.

Verarbeitet werden Unternehmensangaben, Website-Adressen, Textausschnitte und Belege, hochgeladene PDF-, DOCX- und TXT-Dokumente und extrahierte Texte, Analyse- und Zuordnungsergebnisse sowie Empfänger- und Zustellangaben für angewiesene Nachrichten, soweit diese personenbezogen sind. Betroffene sind Beschäftigte und Beauftragte des Kunden, geschäftliche Ansprechpersonen, Ansprechpersonen von Vergabestellen und weitere in eingebrachten Unterlagen genannte Personen. Besondere Kategorien nach Art. 9 DSGVO sind kein vorgesehener Produktzweck. Der Kunde ist für rechtmäßige Inhalte und Weisungen verantwortlich. Eine automatische Erkennung, Klassifizierung oder Entfernung sensibler Inhalte findet nicht statt.

3. Dokumentierte Weisungen und Vertraulichkeit

Dokumentierte Weisungen sind dieser AVV, die vereinbarte Leistung und die durch berechtigte Nutzer angeforderten Funktionen. Weitere Weisungen werden in Textform über kontakt@tendercopilot.de abgestimmt. Nexa verarbeitet Daten einschließlich Übermittlungen nur auf dokumentierte Weisung, es sei denn, Unionsrecht oder mitgliedstaatliches Recht verpflichtet dazu; in diesem Fall informiert Nexa den Kunden vor der Verarbeitung, soweit dieses Recht die Information nicht verbietet. Hält Nexa eine Weisung für datenschutzrechtswidrig, weist sie den Kunden unverzüglich darauf hin. Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Die Pflicht besteht über das Ende ihrer Tätigkeit hinaus.

4. Sicherheit und Supportzugriff

Die Anlage „Technische und organisatorische Maßnahmen“ in Abschnitt 10 beschreibt Maßnahmen und Grenzen der aktuellen Dienstbereitstellung. Nexa berücksichtigt Art, Umfang, Umstände, Zwecke und Risiken der Verarbeitung bei der Umsetzung und Weiterentwicklung der Maßnahmen nach Art. 32 DSGVO. Änderungen dürfen das erforderliche Schutzniveau nicht unterschreiten.

Ein manueller Einblick erfolgt nur im erforderlichen Umfang für angefragten Support, konkrete Sicherheitsvorfälle oder technische Störungen. Fallreferenz, Operator, Anlass, Scope und Ergebnis sind im beschränkten Supportregister zu dokumentieren. Ein durchgängiges automatisches technisches Zugriffsprotokoll für manuelle Inhaltsansichten besteht derzeit nicht. Kundeninhalte gehören nicht in öffentliche Issues oder das Quellcode-Repository.

5. Unterauftragsverarbeitung und Dienste

Der Kunde erteilt eine allgemeine Genehmigung für die nachstehend beschriebenen Dienste, soweit sie für die angewiesene Workspace-Verarbeitung eingesetzt werden. Nexa informiert ihn vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters in Textform und ermöglicht einen begründeten datenschutzbezogenen Widerspruch vor dessen Einsatz. Nexa und Kunde klären dann eine geeignete Alternative; ist eine datenschutzgerechte Fortsetzung nicht möglich, kann der betroffene Leistungsanteil beendet werden. Gesetzliche Rechte bleiben unberührt.

Supabase: Datenbank und Dateispeicher für Workspace-Inhalte; Projektregion EU-West/Irland. Authentifizierung für eigene Kontoführung ist nach ihrem Zweck gesondert einzuordnen.
Vercel: Hosting und serverseitige Bereitstellung; Funktionen derzeit Frankfurt. Eigene Plattformdaten und einwilligungsabhängige Reichweitenmessung sind separate Zwecke.
Cloudflare: Workers AI für begrenzte Textauswertung und Embeddings; R2 für technische Recovery-Journal-Metadaten, nicht für die Bytes hochgeladener Dokumente.
Resend: Versand angewiesener Produktnachrichten mit erforderlichen Empfänger- und Inhaltsdaten. Eigene Authentifizierungs- und Betriebsnachrichten sind nach ihrem Zweck gesondert einzuordnen.

Stripe verarbeitet bei aktivierter Zahlung Vertrags- und Zahlungsdaten für eigene Abrechnungszwecke von Nexa und je Prozess in eigener Verantwortlichkeit oder als Auftragsverarbeiter. Stripe ist kein Unterauftragsverarbeiter für die hier angewiesene Dokumentanalyse.

Nexa vereinbart mit Unterauftragsverarbeitern die erforderlichen Datenschutzpflichten nach Art. 28 DSGVO und bleibt gegenüber dem Kunden für deren Erfüllung verantwortlich. Online einbezogene Anbieter-DPAs sind keine Aussage über individuell ausgehandelte oder separat unterzeichnete Verträge. Auf Anfrage stellt Nexa Informationen zu den anwendbaren Anbieterbedingungen und Unterauftragsketten zur Verfügung. Anbieterlisten und deren Änderungen sind bei der jeweiligen Verarbeitung zu beachten.

6. Internationale Verarbeitung und KI

Verarbeitung außerhalb des EWR, insbesondere in den USA, ist bei Anbietern und deren Unterauftragsverarbeitern möglich. Projekt- und Funktionsregionen begrenzen nicht sämtliche Verarbeitung, Support, Protokolle oder Sicherungskopien. Resend nennt US-Speicherung; die EU-Senderegion ändert dies nicht. R2 nutzt EU-Jurisdiction/EEUR; dies lokalisiert keine Workers-AI-Inferenz. Ein ausschließlich europäischer Inferenzort ist nicht belegt. Cloudflares Customer Metadata Boundary ist für das aktuelle Konto nicht eingerichtet.

Bei Übermittlungen in Drittländer sind die jeweils erforderlichen Voraussetzungen des Kapitels V DSGVO einzuhalten. Anbieterunterlagen sehen unter anderem Standardvertragsklauseln vor; deren Anwendbarkeit und erforderliche ergänzende Maßnahmen sind je Übermittlung zu beurteilen. Eine DPF-Zertifizierung oder eine pauschale Angemessenheit aller Übermittlungen wird hier nicht zugesagt.

Nexa trainiert keine eigenen Modelle mit Kundendaten. Bei Dokumentanalysen werden begrenzte Textausschnitte an Workers AI übermittelt, nicht das vollständige Originaldokument. Cloudflare erklärt, Customer Content ohne ausdrückliche Zustimmung nicht für Modelltraining oder Serviceverbesserung zu verwenden. Dies ist keine Zusage über Inferenzregionen oder sämtliche Anbieterketten. Vercels projektbezogene Einstellung „Improve models with this project's data“ ist für tender-copilot derzeit aktiviert. Nach den veröffentlichten Vercel-Hinweisen kann dieses optionale Programm insbesondere Code, Vercel-/v0-Chatdaten und bestimmte Deployment-, Build- und Traffic-Telemetrie für Modelltraining bzw. die Weitergabe an Modellanbieter erfassen. Vercel erklärt, vor Training oder Weitergabe personenbezogene Informationen, Kontodaten, Umgebungsvariablen, API-Schlüssel und andere sensible Inhalte zu anonymisieren bzw. zu redigieren. Diese Einstellung wird hier als separate Anbieter-Datennutzung dokumentiert; daraus wird weder abgeleitet, dass sämtliche Workspace-Inhalte für Training verwendet werden, noch dass eine DSGVO-Anonymisierung jedes betroffenen Datensatzes unabhängig nachgewiesen ist.

7. Unterstützung, Vorfälle und Betroffenenrechte

Nexa unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei Anfragen nach Art. 15–22 DSGVO und bei Pflichten nach Art. 32–36 DSGVO, einschließlich Folgenabschätzung und vorheriger Konsultation, anhand der verfügbaren Informationen. Anfragen sind an kontakt@tendercopilot.de zu richten. Direkt eingehende Anfragen zu angewiesenen Kundendaten werden dem Kunden zugeordnet; Nexa entscheidet darüber nicht unabhängig, soweit keine eigene gesetzliche Pflicht besteht.

Nexa meldet dem Kunden eine dessen Daten betreffende Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und stellt verfügbare Informationen zu Art, betroffenen Daten, Folgen und ergriffenen Maßnahmen bereit; fehlende Informationen werden nachgereicht. Eine garantierte Supportreaktionszeit oder ein ständig besetztes Sicherheitszentrum wird nicht zugesagt. Die gesetzlichen Melde- und Unterstützungspflichten bleiben unberührt.

8. Rückgabe, Löschung und Aufbewahrungsgrenzen

Nach Abschluss der Leistungen löscht Nexa die angewiesenen personenbezogenen Daten nach Wahl des Kunden oder gibt sie zurück und löscht vorhandene Kopien, soweit keine unions- oder mitgliedstaatliche Aufbewahrungspflicht entgegensteht. Der Kunde stimmt Rückgabe und Löschung über die Kontaktadresse ab; ein vollständiger automatischer Workspace-Export wird nicht zugesagt. Nexa erläutert verbleibende rechtliche oder technische Grenzen und unterstützt eine geeignete Abwicklung.

Abonnementende ist nicht automatisch Kontolöschung. Eine kostenlose Weiterverwendung erfordert weiterhin einen entsprechenden Verarbeitungszweck. Der Inaktivitätsprozess für kostenlose Konten warnt vor einer Einschränkung nach 24 Monaten mit mindestens 30 Tagen nach erfolgreicher Warnung; er löscht selbst keine Konten oder Dateien. Ein späterer Löschworkflow ist gesondert freizuschalten.

Gesetzlich erforderliche Abrechnungsunterlagen sind eigene Datenklassen; sie begründen keine Aufbewahrung des gesamten Arbeitsbereichs. Reduzierte Billing-Ereignisnachweise bleiben derzeit zur Replay-Sicherheit erhalten, ohne automatische Bereinigung. Gemeinsam genutzte öffentliche Vergabedaten werden nicht allein durch die Löschung eines Kundenkontos entfernt. Anbieterprotokolle und Sicherungen unterliegen eigenen Fristen und Zugriffsgrenzen; eine sofortige selektive Löschung aus jeder Sicherung wird nicht zugesagt. Nexa informiert über relevante Restbestände und Einschränkungen.

9. Informationen und Überprüfung

Nexa stellt die zur Darlegung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen beauftragten Prüfer. Umfang, Termin und vertraulicher Umgang mit Informationen werden angemessen abgestimmt; Rechte anderer Kunden und Sicherheitsbelange sind zu schützen. Anlassbezogene und gesetzlich erforderliche Prüfungen dürfen dadurch nicht ausgeschlossen werden. Eigene Zertifizierungen, unabhängige Prüfberichte oder ein durchgeführter externer Rechtsreview werden nicht behauptet.

10. Anlage: Technische und organisatorische Maßnahmen

Organisationsgebundene Datenbankzugriffe nutzen Row Level Security, Mitgliedschaften und Rollen. Sensible Änderungen erfolgen über geprüfte serverseitige Verfahren und Datenbankfunktionen.
Privilegierte Dienstzugriffe und Geheimnisse bleiben serverseitig. Browserdaten verleihen keine Berechtigung zu fremden Organisationsinhalten oder Abrechnungszuständen.
Uploads liegen in organisationsgebundenem Dateispeicher. Analysen verwenden begrenzte Textabschnitte. Externe Inhalte werden als Daten behandelt; Modellantworten werden strukturell validiert.
Begrenzte Status- und Fehlerangaben dienen dem Betrieb; vollständige Dokumente und freie Eingaben werden nicht in die Anwendungsbetriebsprotokolle übernommen.
Technische Retention unterscheidet Datenklassen: Ratenbegrenzungsfenster 25 Stunden, abgeschlossene Benachrichtigungsdiagnosen 90 Tage, abgeschlossene Löschmanifestdetails 30 Tage, technische Match-Versuche ersetzter Läufe 90 Tage. Diese Fristen gelten nicht pauschal für Anbieterprotokolle, Konten, Dokumente oder steuerliche Belege.
Ein Recovery-Journal mit Metadaten und Löschfence unterstützt Wiederherstellungsvorgänge. Es ist keine Sicherung hochgeladener Datei-Bytes. Eine verifizierte regelmäßige Production- Storage-Byte-Sicherung und deren Wiederherstellungsnachweis werden hier nicht zugesagt.
Supabase-Projektregion, Vercel-Funktionsregion und R2-Jurisdiction beschreiben begrenzte Dienstteile. Anbieteradministration, Schlüsselrotation und Anbieterprotokolle sind keine durchgehend technisch nachgewiesene eigene Auditkette. Es werden keine ISO-Zertifizierung, kein unabhängiger Penetrationstest und keine ausschließlich europäische Gesamtverarbeitung zugesagt.

Diese Anlage ersetzt keine individuelle Risikobeurteilung des Kunden. Nexa und Kunde stimmen bei wesentlichen Änderungen des Verarbeitungszwecks die erforderlichen Maßnahmen ab.