Allgemeine Geschäftsbedingungen.

— Stand: 28.06.2026 · Gültig ab Vertragsschluss

1. Anbieter, Geltungsbereich, Unternehmerstatus

1.1 Diese Allgemeinen Geschäftsbedingungen („AGB") gelten für alle Verträge über die Nutzung der SaaS-Anwendung „Vergabescanner" zwischen

Doppelklick – Agentur für "NEUE" Medien Kevin Kellermann
Wiemelhauser Straße 381
44799 Bochum
Deutschland
E-Mail: info@vergabescanner.de

– nachfolgend „Anbieter" – und dem jeweiligen Kunden.

1.2 Das Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB, also natürliche oder juristische Personen oder rechtsfähige Personengesellschaften, die bei Abschluss des Vertrags in Ausübung ihrer gewerblichen oder selbständigen beruflichen Tätigkeit handeln.

1.3 Verbraucher sind von Nutzung und Vertragsschluss ausgeschlossen. Der Anbieter ist berechtigt, einen geeigneten Nachweis der Unternehmereigenschaft zu verlangen und Registrierungen oder Bestellungen bei Zweifeln abzulehnen oder bis zur Klärung auszusetzen.

1.4 Abweichende, entgegenstehende oder ergänzende Allgemeine Geschäftsbedingungen des Kunden werden nur dann Vertragsbestandteil, wenn der Anbieter ihrer Geltung ausdrücklich in Textform zugestimmt hat.

1.5 Mit Registrierung, Bestellung oder Nutzung bestätigt der Kunde, dass er als Unternehmer im Sinne des § 14 BGB handelt. Der Anbieter stellt keine Leistungen an Verbraucher im Sinne des § 13 BGB bereit.

2. Begriffsbestimmungen und Vertragsgegenstand

2.1 „Vergabescanner" ist eine cloudbasierte Softwarelösung zur Analyse von Ausschreibungsunterlagen und zur Erstellung softwaregestützter Auswertungen, Hinweise, Checklisten und vergleichbarer Arbeitsergebnisse.

2.2 „Scan" ist jede vom Kunden aktiv ausgelöste Analyse eines einzelnen hochgeladenen PDF-Dokuments. Jede erneute Analyse desselben Dokuments gilt als neuer Scan.

2.3 „Benutzer" ist eine natürliche Person, der ein eigener, personenbezogener Zugang zur Nutzung der Software zugewiesen ist.

2.4 Vertragsgegenstand ist die zeitlich befristete Bereitstellung der jeweils gebuchten Softwarefunktionen über das Internet während der Vertragslaufzeit. Ein Anspruch auf Überlassung des Quellcodes besteht nicht.

2.5 Die Software umfasst insbesondere folgende Funktionen: Upload und KI-gestützte Analyse von Ausschreibungsunterlagen, strukturierte Extraktion von Positionen, Fristen und Kriterien, Erstellung von Vorkalkulationen mit gewerkespezifischen Preisprofilen (einschließlich konfigurierbarer Zuschlagskalkulation und Import von Preisprofilen aus Excel, CSV und DATANORM), Prüfhinweise mit Severity-Scoring, Stücklisten (BOM) sowie Export der Ergebnisse als PDF, CSV und JSON. Darüber hinaus umfasst die Software: Aggregation, Suche (einschließlich semantischer Suche und Umkreissuche) und Darstellung öffentlicher Ausschreibungen aus öffentlichen Quellen (u.a. TED, service.bund.de, NRW-Vergabeportale, Berlin Vergabeplattform, Bekanntmachungsservice); Such-Abos mit E-Mail-Benachrichtigung, Merkliste und Notizen; KI-Chat je Ausschreibung sowie den In-App-Hilfe-Assistenten „Scannie“; Bieter-Profil mit KI-Eignungsprüfung (Go/No-Go-Empfehlung); KI-gestützte Angebotserstellung; ein KI-Guthaben-System (Credits) für KI-Funktionen; Verfahrensverfolgung (Pipeline/Kanban), Kalender mit Fristen-Erinnerungen und Kalender-Abo (ICS); optionaler Newsletter mit Informationen zu Produkt-Updates und Ausschreibungsthemen (separate Einwilligung erforderlich); mandantenspezifische, verschlüsselte Datensicherung mit konfigurierbarem Intervall und 30-tägiger Standardaufbewahrung; Kontosicherheitsfunktionen (Zwei-Faktor-Authentifizierung, Passkeys) sowie optionale Single-Sign-On- und SCIM-Integration (SAML/OIDC) für Unternehmensumgebungen auf Anfrage. Der konkrete Funktionsumfang kann sich je nach gebuchtem Tarif unterscheiden.

2.6 Der Anbieter schuldet die Bereitstellung der vertraglich vereinbarten Softwarefunktionen nach Maßgabe dieser AGB und der jeweils gebuchten Tarifbeschreibung. Nicht geschuldet sind insbesondere:

• ein bestimmter wirtschaftlicher Erfolg,
• ein Vergabezuschlag oder eine Vergabezusage,
• eine bestimmte Einsparung, Trefferquote oder Vollständigkeit,
• Rechts-, Steuer-, Unternehmens- oder Vergaberechtsberatung.

2.7 Die Software dient ausschließlich als digitales Arbeits- und Analysewerkzeug. Die fachliche und rechtliche Prüfung der vom System erzeugten Ergebnisse bleibt allein Aufgabe des Kunden.

3. Registrierung, Vertragsschluss und Testkonten

3.1 Die Darstellung der Leistungen auf der Website oder in sonstigen Werbemitteln stellt kein verbindliches Angebot des Anbieters dar.

3.2 Der Kunde gibt mit Absenden der Bestellung und Abschluss des Zahlungsvorgangs ein verbindliches Angebot auf Abschluss eines Vertrags über den gewählten Tarif ab.

3.3 Der Vertrag kommt erst zustande durch

• ausdrückliche Annahme in Textform, oder
• Freischaltung des gebuchten Zugangs / Bereitstellung des Kundenkontos.

Eine automatisierte Eingangsbestätigung stellt noch keine Annahme dar.

3.4 Der Anbieter ist berechtigt, Bestellungen innerhalb angemessener Frist abzulehnen. Bereits geleistete Zahlungen werden in diesem Fall zurückerstattet.

3.5 Der Anbieter kann kostenlose Testkonten oder Freikontingente bereitstellen, etwa im Rahmen von Werbeaktionen, Gutscheinen oder QR-Code-Kampagnen. Aus der Nutzung eines Testkontos entsteht kein kostenpflichtiger Vertrag, solange der Kunde nicht aktiv ein kostenpflichtiges Angebot bucht.

3.6 Testkonten, Freikontingente und sonstige kostenlose Funktionen können vom Anbieter jederzeit geändert, eingeschränkt oder eingestellt werden. Ein Anspruch auf dauerhafte kostenlose Nutzung besteht nicht.

4. Tarife, Limits und Leistungsumfang

4.1 Es gelten die jeweils zum Zeitpunkt des Vertragsschlusses veröffentlichten oder individuell vereinbarten Tarife.

4.2 Derzeit gelten folgende Standardtarife:

Free · 0 EUR
Standard-Tarif ohne Entgelt. Leistungsumfang: 1 Analyse pro Kalendermonat, max. 500 Seiten pro Dokument, eingeschränkte Funktionen, 1 Benutzer, 1 Mandant. Der Anbieter kann den Free-Tarif jederzeit mit einer Ankündigungsfrist von 4 Wochen ändern oder einstellen (vgl. Ziffer 3.6). Es besteht kein Anspruch auf dauerhaften Fortbestand.

Starter · 79 EUR pro Monat (oder 790 EUR pro Jahr)
Leistungsumfang: 10 Analysen pro Abrechnungsmonat, max. 500 Seiten pro Dokument, alle Gewerke, Vorkalkulation & Preisprofile, 1 Benutzer, 1 Mandant. Wahlweise jährliche Abrechnung (790 EUR pro Jahr, entspricht 2 Monaten gratis) mit automatischer Verlängerung um jeweils 12 Monate. Bei technisch bedingtem Fehlschlag einer Analyse wird das verbrauchte Analysekontingent automatisch zurückgebucht.

Professional · 179 EUR pro Monat (oder 1.790 EUR pro Jahr)
Leistungsumfang: 30 Analysen pro Abrechnungsmonat, max. 500 Seiten pro Dokument, alle Gewerke, 3 Benutzer, 1 Mandant, Export & Übergabe. Wahlweise jährliche Abrechnung (1.790 EUR pro Jahr, entspricht 2 Monaten gratis) mit automatischer Verlängerung um jeweils 12 Monate. Bei technisch bedingtem Fehlschlag einer Analyse wird das verbrauchte Analysekontingent automatisch zurückgebucht.

Team · 349 EUR pro Monat (oder 3.490 EUR pro Jahr)
Leistungsumfang: unbegrenzte Analysen pro Abrechnungsmonat, max. 500 Seiten pro Dokument, alle Gewerke, unbegrenzte Benutzer, bis zu 3 Mandanten, Priority Support (bevorzugte Bearbeitung mit Reaktionszeit von 24 Stunden an Werktagen). Wahlweise jährliche Abrechnung (3.490 EUR pro Jahr, entspricht 2 Monaten gratis) mit automatischer Verlängerung um jeweils 12 Monate. Bei technisch bedingtem Fehlschlag einer Analyse wird das verbrauchte Analysekontingent automatisch zurückgebucht.

4.3 Maßgeblich ist jeweils der gebuchte Tarif. Die Nutzung ist nur im Rahmen der tarifbezogenen Limits zulässig.

4.4 Soweit ein Tarif ein monatliches Kontingent vorsieht, bezieht sich dieses auf den jeweiligen Abrechnungsmonat. Nicht genutzte Kontingente verfallen mit Ablauf des jeweiligen Abrechnungsmonats. Eine Übertragung in Folgemonate findet nicht statt.

4.5 Unabhängig vom gebuchten Tarif können Einzelanalysen zum jeweils gültigen Stückpreis (derzeit 14,99 EUR) zugebucht werden. Einzelanalysen sind sofort nach Zahlungseingang nutzbar, nicht übertragbar und können 12 Monate nach Erwerb verfallen, sofern sie nicht vorher genutzt wurden.

4.6 Überschreitet ein hochgeladenes Dokument das tarifliche Seitenlimit oder überschreitet der Kunde sonstige Nutzungsgrenzen, ist der Anbieter berechtigt,

• die Verarbeitung abzulehnen,
• die Verarbeitung technisch zu unterbrechen oder zu begrenzen, oder
• ein Upgrade auf einen passenden Tarif zu verlangen.

4.7 Benutzerplätze sind personenbezogen. Die gemeinsame Nutzung eines Benutzerzugangs durch mehrere Personen ist unzulässig.

4.8 Eine Umgehung von Limits, technischen Schutzmaßnahmen oder tariflichen Beschränkungen ist untersagt.

5. Preise, Zahlungsbedingungen, Verzug

5.1 Alle Preise verstehen sich in EUR und sind Endpreise. Gemäß § 19 UStG (Kleinunternehmerregelung) wird keine Umsatzsteuer erhoben und daher auch nicht ausgewiesen. Die angegebenen Preise enthalten somit keine Umsatzsteuer.

5.2 Die Zahlung erfolgt ausschließlich über Stripe oder einen vom Anbieter im Bestellprozess freigegebenen Zahlungsweg.

5.3 Die Vergütung ist im Voraus für den jeweils gewählten Abrechnungszeitraum fällig.

5.4 Schlägt eine Zahlung fehl oder wird sie zurückbelastet, ist der Anbieter berechtigt, den Kunden zur erneuten Zahlung aufzufordern und bis zur vollständigen Klärung den Zugang ganz oder teilweise zu sperren.

5.5 Kommt der Kunde in Zahlungsverzug, gelten die gesetzlichen Verzugsregelungen. Der Anbieter ist berechtigt, nach vorheriger Mahnung oder sonstiger Fälligkeitsmitteilung seine Leistung bis zur vollständigen Zahlung auszusetzen und weitergehenden gesetzlichen Verzugsschaden geltend zu machen.

5.6 Ein Zurückbehaltungsrecht oder eine Minderung wegen nur unerheblicher Beeinträchtigungen besteht nicht, soweit gesetzlich zulässig.

6. Laufzeit, Verlängerung, ordentliche Kündigung

6.1 Die Vertragslaufzeit entspricht dem gewählten Abrechnungszeitraum (monatlich oder jährlich, je nach Buchung).

6.2 Der Vertrag verlängert sich jeweils automatisch um den ursprünglich gebuchten Abrechnungszeitraum, sofern er nicht vor Ablauf der laufenden Vertragsperiode gekündigt wird.

6.3 Die ordentliche Kündigung ist jederzeit mit Wirkung zum Ende der laufenden Vertragsperiode möglich.

6.4 Bereits gezahlte Entgelte werden nicht anteilig erstattet, sofern nicht zwingende gesetzliche Vorschriften etwas anderes verlangen.

6.5 Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt für beide Parteien unberührt.

7. Bereitstellung, Verfügbarkeit, Wartung und Support

7.1 Der Anbieter stellt die Software in der jeweils aktuellen Version bis zur Schnittstelle des vom Anbieter genutzten Rechenzentrums bzw. Hosting-Providers bereit.

7.2 Die Zielverfügbarkeit beträgt 99 % im Jahresmittel.

7.3 Bei der Berechnung der Verfügbarkeit bleiben insbesondere außer Betracht:

• angekündigte Wartungsfenster,
• technisch notwendige Notfallwartungen,
• Störungen außerhalb des Einflussbereichs des Anbieters, insbesondere Ausfälle von Telekommunikationsnetzen, Hosting-, KI- oder Zahlungsdienstleistern,
• Ausfälle, die auf Systemen, Leitungen, Software oder Einstellungen des Kunden beruhen,
• Zeiten einer berechtigten Sperrung nach diesen AGB.

7.4 Der Anbieter ist berechtigt, Wartungen, Updates, Patches, Sicherheitsmaßnahmen sowie technische Umstellungen vorzunehmen, soweit dies unter Berücksichtigung der Interessen des Kunden zumutbar ist.

7.5 Support erfolgt per E-Mail an info@vergabescanner.de oder über das Kontaktformular im Impressum.

7.6 Der Anbieter bemüht sich, Supportanfragen innerhalb von 48 Stunden an Werktagen (Free- und Starter-Tarif) bzw. innerhalb von 24 Stunden an Werktagen (Professional- und Team-Tarif) zu beantworten. Dies ist keine garantierte Behebungsfrist, sondern eine Reaktionszeit.

7.7 Ein Anspruch auf telefonischen Support, 24/7-Support, Vor-Ort-Leistungen oder bestimmte Lösungszeiten besteht nur, wenn dies ausdrücklich schriftlich vereinbart wurde.

8. Nutzerkonten, Administratoren und Zugriffssicherheit

8.1 Der Kunde ist verpflichtet, bei Registrierung und Nutzung vollständige und zutreffende Angaben zu machen und diese bei Änderungen unverzüglich zu aktualisieren.

8.2 Der Kunde ist für die sichere Verwahrung seiner Zugangsdaten verantwortlich und hat diese vor unbefugtem Zugriff zu schützen.

8.3 Der Kunde hat sicherzustellen, dass nur die von ihm autorisierten Benutzer auf das Konto zugreifen. Handlungen, die unter Verwendung seiner Zugangsdaten vorgenommen werden, werden dem Kunden zugerechnet, sofern er nicht nachweist, dass er die missbräuchliche Nutzung nicht zu vertreten hat.

8.4 Soweit der Kunde Administratoren benennt, sind diese berechtigt, Benutzer anzulegen, zu verwalten, zu löschen und tarifbezogene Einstellungen im Kundenkonto vorzunehmen. Der Kunde ist für Handlungen seiner Administratoren verantwortlich.

8.5 Der Anbieter kann aus Sicherheitsgründen angemessene Anforderungen an Passwörter, Authentifizierung und Zugriffskontrollen vorgeben.

8.6 Der Anbieter ist berechtigt, im Rahmen der Qualitätssicherung, Fehlerbehebung und des technischen Supports Einsicht in die vom Kunden verarbeiteten Daten zu nehmen, insbesondere in hochgeladene Dokumente, extrahierte Positionen und Kalkulationsergebnisse. Der Anbieter kann diese Daten zu den genannten Zwecken auch bearbeiten, etwa um fehlerhafte Kalkulationswerte zu korrigieren. Die Einsichtnahme erfolgt ausschließlich zweckgebunden und durch autorisierte Administratoren. Der Anbieter verpflichtet sich, die eingesehenen Daten vertraulich zu behandeln und nicht für eigene geschäftliche Zwecke jenseits der genannten Zwecke zu verwenden.

9. Pflichten des Kunden und verbotene Nutzung

9.1 Der Kunde darf die Software nur im Rahmen der vertraglich vorgesehenen Zwecke und nur rechtmäßig nutzen.

9.2 Der Kunde ist allein dafür verantwortlich, dass er zur Nutzung, Verarbeitung und zum Upload der von ihm eingestellten Inhalte, Dokumente und Daten berechtigt ist. Dies gilt insbesondere im Hinblick auf Urheberrechte, Geschäftsgeheimnisse, Datenschutz, Vergabeunterlagen, Markenrechte, Persönlichkeitsrechte und sonstige Schutzrechte Dritter.

9.3 Der Kunde ist verpflichtet, die von der Software erzeugten Ergebnisse vor ihrer Verwendung eigenverantwortlich fachlich und rechtlich zu prüfen. Die Ergebnisse dürfen nicht ungeprüft als alleinige Grundlage für Angebots-, Kalkulations-, Vergabe-, Rechts- oder sonstige wesentliche Geschäftsentscheidungen verwendet werden.

9.4 Dem Kunden ist insbesondere untersagt,

• rechtswidrige, schädliche, täuschende oder sittenwidrige Inhalte hochzuladen oder verarbeiten zu lassen,
• Schadsoftware, Skripte, Manipulationen oder sonstige technische Eingriffe vorzunehmen,
• die Software missbräuchlich zu belasten, etwa durch Lasttests, Scraping, automatisierte Massennutzung oder Umgehung technischer Beschränkungen,
• Reverse Engineering, Dekompilierung oder sonstige Versuche zur Ableitung des Quellcodes, von Modellen, Prompts, Workflows oder Sicherheitsmechanismen vorzunehmen, soweit dies nicht zwingend gesetzlich zulässig ist,
• die Software oder Teile hiervon zur Entwicklung, zum Training oder zur Verbesserung konkurrierender Produkte oder für Wettbewerbsanalyse- und Kopierzwecke zu verwenden,
• Benutzerzugänge unbefugt weiterzugeben oder tarifwidrig zu teilen.

9.5 Der Kunde hat erkannte Fehlfunktionen, Sicherheitsvorfälle, unbefugte Zugriffe oder missbräuchliche Nutzungen dem Anbieter unverzüglich mitzuteilen.

10. Nutzungsrechte, geistiges Eigentum, Ergebnisse

10.1 Der Anbieter räumt dem Kunden für die Dauer der Vertragslaufzeit ein einfaches, nicht ausschließliches, nicht übertragbares und nicht unterlizenzierbares Recht ein, die Software im vertraglich vereinbarten Umfang für eigene interne geschäftliche Zwecke zu nutzen.

10.2 Alle Rechte an der Software, ihrer Struktur, den Benutzeroberflächen, Datenbanken, Konzepten, Kennzeichen, Dokumentationen, Modellen, Prompts, Workflows und sonstigen Schutzgegenständen verbleiben ausschließlich beim Anbieter bzw. den jeweiligen Rechteinhabern.

10.3 Der Kunde behält sämtliche Rechte an den von ihm hochgeladenen Inhalten, Dokumenten und Daten.

10.4 Soweit dem Anbieter an vertragsgemäß für den Kunden erzeugten Ergebnissen eigene Rechte zustehen sollten, räumt der Anbieter dem Kunden das einfache Recht ein, diese Ergebnisse für eigene interne geschäftliche Zwecke zu nutzen, zu speichern und zu exportieren. Eine Nutzung außerhalb des vertraglich vorgesehenen Zwecks, insbesondere als Grundlage für ein konkurrierendes Produkt, ist unzulässig.

10.5 Der Kunde räumt dem Anbieter die für die Durchführung des Vertrags erforderlichen Rechte an den vom Kunden eingestellten Inhalten und Daten ein, insbesondere das Recht, diese zu speichern, zu vervielfältigen, zu verarbeiten, zu analysieren und technisch an Unterauftragsverarbeiter weiterzugeben, soweit dies zur Vertragserfüllung erforderlich ist.

10.6 Freiwillig übermittelte Verbesserungsvorschläge, Ideen, Hinweise oder Feedback darf der Anbieter unentgeltlich für Produktentwicklung, Optimierung und Dokumentation verwenden.

11. Vertraulichkeit

11.1 Beide Parteien verpflichten sich, alle ihnen im Zusammenhang mit dem Vertragsverhältnis bekannt werdenden vertraulichen Informationen der jeweils anderen Partei vertraulich zu behandeln, nur für Zwecke dieses Vertrags zu verwenden und Dritten nicht unbefugt offenzulegen.

11.2 Als vertraulich gelten insbesondere nicht öffentlich bekannte technische, geschäftliche, organisatorische und inhaltliche Informationen, Zugangsdaten, Preise, Ausschreibungsunterlagen, Analysen, interne Vermerke, Arbeitsergebnisse sowie Betriebs- und Geschäftsgeheimnisse.

11.3 Nicht als vertraulich gelten Informationen, die

• der empfangenden Partei bereits rechtmäßig bekannt waren,
• ohne Verstoß gegen diese AGB öffentlich bekannt sind oder werden,
• von einem berechtigten Dritten rechtmäßig erlangt wurden, oder
• aufgrund gesetzlicher Vorschriften, behördlicher Anordnung oder gerichtlicher Entscheidung offengelegt werden müssen.

11.4 Die Parteien werden ihre Mitarbeiter, freien Mitarbeiter und Unterauftragnehmer entsprechend zur Vertraulichkeit verpflichten.

11.5 Die Vertraulichkeitsverpflichtung gilt auch nach Vertragsende fort.

12. KI-Funktionen, Drittanbieter, Weiterentwicklung der Software

12.1 Die Software kann KI-gestützte Funktionen enthalten. KI-generierte Ergebnisse können unvollständig, fehlerhaft, missverständlich oder veraltet sein und ersetzen keine fachliche Prüfung durch den Kunden.

12.2 Der Anbieter ist berechtigt, zur Leistungserbringung Drittanbieter, Hosting-Provider, Zahlungsdienstleister, KI-Dienstleister und sonstige Unterauftragnehmer einzusetzen.

12.3 Soweit sich technische, rechtliche oder wirtschaftliche Rahmenbedingungen ändern, insbesondere durch Änderungen bei Drittanbietern, Schnittstellen, Hosting-Umgebungen, Sicherheitsanforderungen oder gesetzlichen Vorgaben, ist der Anbieter berechtigt, die Software angemessen anzupassen, weiterzuentwickeln oder technisch umzustellen, sofern der wesentliche Vertragszweck erhalten bleibt.

12.4 Der Anbieter ist ferner berechtigt, einzelne Funktionen zu ändern, zu erweitern, zu ersetzen oder einzustellen, wenn

• dies aus technischen, sicherheitsbezogenen oder rechtlichen Gründen erforderlich ist,
• die Änderung für den Kunden objektiv zumutbar ist, und
• der Kern der vertraglichen geschuldeten Hauptleistung nicht entfallen lässt.

12.5 Der Anbieter darf anonymisierte oder aggregierte Nutzungsdaten zur Analyse, Sicherheit, Missbrauchserkennung, Statistik und Produktverbesserung verwenden, sofern hieraus keine Rückschlüsse auf den Kunden oder einzelne betroffene Personen gezogen werden können. Nutzungsdaten werden nicht zur Entwicklung oder zum Training von KI-Modellen Dritter verwendet.

12.6 Die KI-gestützten Funktionen der Software – einschließlich der Analyse hochgeladener Dokumente, der Zusammenfassung und Anreicherung öffentlicher Ausschreibungen, der semantischen Suche, der KI-Eignungsprüfung, der Chat-Funktionen zu Ausschreibungen, der Angebotserstellung sowie des integrierten Hilfe-Assistenten „Scannie" – werden über die KI-Inferenz-Dienste (AI Endpoints) des EU-Auftragsverarbeiters OVHcloud (OVH SAS, Frankreich) auf Infrastruktur ausschließlich innerhalb der Europäischen Union verarbeitet. Mit OVHcloud besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO; die Inhalte werden nicht zu Trainingszwecken verwendet. Eine Übermittlung von Nutzereingaben oder Inhalten an Anbieter außerhalb der EU findet nicht statt; insoweit findet kein Drittlandtransfer statt.

13. Datenschutz, Auftragsverarbeitung (AVV) und Unterauftragsverarbeiter

13.1 Soweit der Anbieter im Rahmen der Leistungserbringung personenbezogene Daten im Auftrag des Kunden verarbeitet (insbesondere Inhalte hochgeladener Ausschreibungsunterlagen), gilt die als Anlage 1 diesen AGB beigefügte Auftragsverarbeitungsvereinbarung (AVV) nach Art. 28 DSGVO. Mit Annahme dieser AGB schließen die Parteien zugleich diese AVV in der jeweils aktuellen Fassung; ein gesonderter Vertragsschluss oder ein separater Annahmeschritt für die AVV ist nicht erforderlich.

13.2 Die AVV umfasst auch die technischen und organisatorischen Maßnahmen (TOM; Anlage 2 der AVV) sowie die Liste der eingesetzten Unterauftragsverarbeiter (Anlage 3 der AVV). Die jeweils aktuelle Fassung der AVV einschließlich TOM und Unterauftragsverarbeiter-Liste kann der Kunde in seinem Kundenkonto einsehen und als Dokument herunterladen.

13.3 Der Anbieter ist berechtigt, Unterauftragsverarbeiter einzusetzen, soweit dies zur Vertragserfüllung erforderlich ist und die datenschutzrechtlichen Voraussetzungen eingehalten werden. Beabsichtigte Änderungen bei den Unterauftragsverarbeitern teilt der Anbieter dem Kunden gemäß Art. 28 Abs. 2 DSGVO in Textform mit; der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb der in der AVV genannten Frist widersprechen.

13.4 Die KI-gestützte Verarbeitung erfolgt über den EU-Auftragsverarbeiter OVHcloud (OVH SAS, Frankreich) auf Infrastruktur ausschließlich innerhalb der Europäischen Union; ein Drittlandtransfer findet insoweit nicht statt (vgl. Ziffer 12.6). Eine etwaige Verarbeitung personenbezogener Daten in Staaten außerhalb der EU bzw. des EWR ist nur zulässig, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

13.5 Nähere Einzelheiten zur Datenverarbeitung ergeben sich aus der Datenschutzerklärung und aus der AVV (Anlage 1).

14. Mängelrechte, Haftung

14.1 Der Kunde hat dem Anbieter auftretende Mängel, Störungen oder Beeinträchtigungen der Software unverzüglich in nachvollziehbarer Form mitzuteilen und den Anbieter bei der Analyse und Eingrenzung in zumutbarem Umfang zu unterstützen.

14.2 Der Anbieter leistet nach den gesetzlichen Vorschriften Gewähr für die vereinbarte Beschaffenheit der Software. Unerhebliche Abweichungen oder Beeinträchtigungen begründen keine Mängelrechte.

14.3 Der Anbieter haftet unbeschränkt

• bei Vorsatz und grober Fahrlässigkeit,
• bei Verletzung von Leben, Körper oder Gesundheit,
• nach dem Produkthaftungsgesetz,
• soweit der Anbieter ausdrücklich eine Garantie übernommen hat.

14.4 Bei leicht fahrlässiger Verletzung wesentlicher Vertragspflichten ist die Haftung des Anbieters auf den vertragstypischen, vorhersehbaren Schaden begrenzt. Wesentliche Vertragspflichten sind solche Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf.

14.5 Im Übrigen ist die Haftung des Anbieters für leichte Fahrlässigkeit ausgeschlossen.

14.6 Der Anbieter haftet insbesondere nicht für

• Schäden, die auf unzutreffenden, unvollständigen oder rechtswidrig bereitgestellten Inhalten des Kunden beruhen,
• Schäden aufgrund einer unterlassenen fachlichen oder rechtlichen Prüfung von KI- oder Softwareergebnissen,
• Störungen oder Leistungseinschränkungen außerhalb des Einflussbereichs des Anbieters, insbesondere bei Drittanbietern, Netzbetreibern oder beim Kunden selbst,
• Datenverluste, soweit diese bei ordnungsgemäßer und regelmäßiger Datensicherung durch den Kunden vermeidbar gewesen wären.

14.7 Der Kunde ist verpflichtet, seine für ihn wesentlichen Daten und Ergebnisse in geeigneten Intervallen selbst zu sichern und zu exportieren, soweit ihm entsprechende Funktionen zur Verfügung stehen. Sofern der Anbieter ein integriertes Backup-Feature bereitstellt, obliegt dem Kunden die Konfiguration und regelmäßige Überprüfung der Sicherungsergebnisse. Der Anbieter übernimmt keine Garantie für die Vollständigkeit oder Wiederherstellbarkeit von Backups.

14.8 Die Software ist nicht für Hochrisiko-, sicherheitskritische oder besonders sensible Einsatzbereiche bestimmt, in denen fehlerhafte Ergebnisse zu erheblichen Personen-, Vermögens- oder Rechtsfolgen führen können. Der Anbieter erbringt insbesondere keine Rechts-, Steuer-, Vergabe- oder Unternehmensberatung.

15. Sperrung, Leistungsunterbrechung, außerordentliche Kündigung

15.1 Der Anbieter ist berechtigt, den Zugang des Kunden ganz oder teilweise vorübergehend zu sperren oder einzelne Nutzungen zu unterbinden, wenn

• konkrete Anhaltspunkte für missbräuchliche oder rechtswidrige Nutzung vorliegen,
• ein erheblicher Verstoß gegen diese AGB vorliegt,
• eine Gefährdung der Sicherheit, Integrität oder Verfügbarkeit der Software besteht,
• der Kunde mit fälligen Zahlungen in Verzug ist, oder
• eine Sperrung aufgrund gesetzlicher, behördlicher oder gerichtlicher Vorgaben erforderlich ist.

15.2 Soweit möglich und zumutbar, wird der Anbieter den Kunden vorab informieren. Ist eine sofortige Maßnahme aus Sicherheits- oder Rechtsgründen erforderlich, kann die Sperrung auch ohne Vorankündigung erfolgen.

15.3 Der Zugang wird wieder freigeschaltet, sobald der Sperrgrund entfallen ist und der Kunde etwaige Mitwirkungspflichten erfüllt hat.

15.4 Bei schwerwiegenden, wiederholten oder fortgesetzten Vertragsverstößen ist der Anbieter berechtigt, den Vertrag aus wichtigem Grund fristlos zu kündigen.

16. Vertragsende, Datenzugriff, Löschung

16.1 Mit Beendigung des Vertrags endet der Anspruch auf Nutzung der Software und den Zugriff auf das Kundenkonto.

16.2 Der Kunde ist selbst dafür verantwortlich, seine benötigten Inhalte, Dokumente und Ergebnisse vor Vertragsende zu exportieren oder zu sichern, soweit entsprechende Funktionen vorhanden sind.

16.3 Produktdaten des Kunden, insbesondere hochgeladene Dokumente und systemseitig erzeugte Arbeitsergebnisse, werden vorbehaltlich gesetzlicher Aufbewahrungspflichten grundsätzlich spätestens 30 Tage nach Vertragsende gelöscht oder anonymisiert.

16.4 Sicherungskopien und Backup-Bestände können erst mit zeitlicher Verzögerung im Rahmen üblicher Löschzyklen gelöscht werden.

16.5 Vertrags-, Abrechnungs- und sonstige Unterlagen, deren Aufbewahrung gesetzlich erforderlich ist oder die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind, werden für die jeweils einschlägige Dauer gespeichert und danach gelöscht.

17. Änderungen dieser AGB

17.1 Der Anbieter ist berechtigt, diese AGB mit Wirkung für die Zukunft zu ändern, soweit

• hierfür ein sachlicher Grund besteht, insbesondere Änderungen der Rechtslage, Rechtsprechung, Technik, Marktbedingungen oder Leistungsstruktur,
• die Änderung den Kunden nicht unangemessen benachteiligt, und
• der Kern der vertraglichen Hauptleistungspflichten unberührt bleibt.

17.2 Änderungen werden dem Kunden in Textform mindestens 6 Wochen vor ihrem geplanten Inkrafttreten mitgeteilt.

17.3 Widerspricht der Kunde der Änderung nicht innerhalb der mitgeteilten Frist in Textform, gelten die Änderungen mit Fristablauf als genehmigt, sofern der Anbieter den Kunden in der Änderungsmitteilung gesondert auf folgende Punkte hingewiesen hat, insbesondere:

• die Frist,
• das Widerspruchsrecht,
• die Folgen eines unterlassenen Widerspruchs.

Die Zustimmungsfiktion nach Ziffer 17.3 gilt ausdrücklich nicht für Änderungen, die wesentliche Vertragsbestandteile betreffen, insbesondere

• die Hauptleistungspflichten des Anbieters (Leistungsumfang, Funktionsumfang),
• das Entgelt für die jeweilige Hauptleistung (Preise, Vergütungsmodell),
• die Vertragslaufzeit, Kündigungsfristen und Sperrfristen,
• Regelungen zum Datenschutz einschließlich der Auftragsverarbeitungsvereinbarung (AVV), Aufbewahrungs- und Löschfristen sowie technische und organisatorische Maßnahmen (Art. 32 DSGVO),
• Haftungsregelungen, Gewährleistung und Freistellungen,
• Regelungen zur Rechtswahl und zum Gerichtsstand.

In diesen Fällen bedürfen Änderungen der ausdrücklichen Zustimmung des Kunden. Stimmt der Kunde nicht zu, bleibt der Vertrag zu den bisherigen Bedingungen bestehen; der Anbieter kann den Vertrag in diesem Fall zum Ende der laufenden Vertragsperiode ordentlich kündigen.

17.4 Widerspricht der Kunde fristgerecht, läuft der Vertrag zu den bisherigen Bedingungen fort. Der Anbieter ist in diesem Fall berechtigt, den Vertrag zum Ende der laufenden Vertragsperiode ordentlich zu kündigen, sofern ihm ein Festhalten am unveränderten Vertrag nicht zumutbar ist.

17.5 Preisänderungen während einer bereits laufenden Vertragsperiode sind ausgeschlossen, es sei denn, die Änderung ist gesetzlich zwingend vorgeschrieben.

17.6 Preisänderungen werden dem Kunden mindestens 4 Wochen vor Beginn des nächsten Abrechnungszeitraums per E-Mail mitgeteilt. Der Kunde hat das Recht, den Vertrag zum Zeitpunkt des Wirksamwerdens der Preisänderung zu kündigen.

18. Referenznennung

18.1 Eine Nennung des Kunden als Referenz, insbesondere unter Verwendung von Firmenname, Marke oder Logo, erfolgt ausschließlich mit vorheriger ausdrücklicher Zustimmung des Kunden.

18.2 Eine erteilte Zustimmung kann vom Kunden jederzeit mit Wirkung für die Zukunft widerrufen werden.

19. Rangfolge der Vertragsunterlagen

19.1 Soweit zwischen einzelnen Vertragsunterlagen Widersprüche bestehen, gilt folgende Rangfolge:

• individuelle Vereinbarungen / Individualabreden,
• Bestell- oder Angebotsdaten des konkret gebuchten Tarifs,
• soweit einschlägig: die gesonderte AVV für datenschutzrechtliche Fragen und Verarbeitungen im Auftrag des Kunden,
• diese AGB.

19.2 Zwingende gesetzliche Vorschriften bleiben unberührt.

20. Schlussbestimmungen

20.1 Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG).

20.2 Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertragsverhältnis ist – soweit gesetzlich zulässig – Bochum.

20.3 Der Kunde kann nur mit unbestrittenen oder rechtskräftig festgestellten Forderungen aufrechnen. Entsprechendes gilt für die Geltendmachung von Zurückbehaltungsrechten, soweit diese nicht auf demselben Vertragsverhältnis beruhen.

20.4 Die Abtretung von Rechten oder Pflichten aus diesem Vertrag durch den Kunden bedarf der vorherigen Zustimmung des Anbieters.

20.5 Änderungen und Ergänzungen des Vertrags bedürfen mindestens der Textform. Dies gilt auch für die Änderung oder Aufhebung dieses Textformerfordernisses, soweit gesetzlich zulässig.

20.6 Sollten einzelne Bestimmungen dieser AGB ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

21. Kein Verbraucherwiderruf

21.1 Da sich das Angebot ausschließlich an Unternehmer im Sinne des § 14 BGB richtet (vgl. Ziffer 1.2) und Verbraucher von Nutzung und Vertragsschluss ausgeschlossen sind (vgl. Ziffer 1.3), besteht kein gesetzliches Verbraucher-Widerrufsrecht nach § 312g BGB.

21.2 Ein freiwilliges Widerrufs- oder Rücktrittsrecht wird nicht eingeräumt. Vertragslaufzeiten, Kündigungsrechte und sonstige Rechte nach diesen AGB bleiben unberührt.

Anlage 1 — Auftragsverarbeitungsvereinbarung (AVV)

Die folgende Auftragsverarbeitungsvereinbarung ist verbindlicher Bestandteil dieser AGB und wird mit deren Annahme geschlossen (vgl. Ziffer 13).

Auftragsverarbeitungsvertrag (AVV) für die Nutzung der SaaS-Anwendung „Vergabescanner“

Stand	28.06.2026
Dokumenttyp	Vertragliche Anlage / AVV nach Art. 28 DSGVO
Rolle Kunde	Verantwortlicher
Rolle Vergabescanner	Auftragsverarbeiter

Diese Auftragsverarbeitungsvereinbarung wird zwischen dem Anbieter Doppelklick – Agentur für „NEUE“ Medien Kevin Kellermann, Wiemelhauser Straße 381, 44799 Bochum, Deutschland, E-Mail: info@vergabescanner.de – nachfolgend „Auftragsverarbeiter“ – und dem jeweiligen Kunden – nachfolgend „Verantwortlicher“ – geschlossen (gemeinsam auch „Parteien“). Maßgeblich sind die im Kundenkonto hinterlegten Unternehmensdaten des Kunden; ein gesonderter Annahmeschritt oder eine Unterschrift ist nicht erforderlich, da die AVV durch Annahme dieser AGB geschlossen wird (vgl. Ziffer 13).

1. Gegenstand und Verhältnis zum Hauptvertrag

Dieser Auftragsverarbeitungsvertrag („AVV“) konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung der SaaS-Anwendung „Vergabescanner“.

Dieser AVV gilt nur, soweit und solange der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Grundlage dieses AVV ist der zwischen den Parteien geschlossene Hauptvertrag über die Nutzung von „Vergabescanner“ einschließlich AGB und Leistungsbeschreibung. Bei Widersprüchen gehen die Regelungen dieses AVV für datenschutzrechtliche Fragen vor.

Die Einzelheiten zu Gegenstand, Dauer, Art und Zweck der Verarbeitung, zu den Datenkategorien sowie zu den Kategorien betroffener Personen ergeben sich aus Anlage 1.

2. Weisungsgebundene Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit nicht eine gesetzliche Verpflichtung zur Verarbeitung besteht.

Die bei Vertragsschluss vereinbarten Leistungen sowie die vertragsgemäße Nutzung der Software durch den Verantwortlichen gelten als dokumentierte Weisung im Sinne dieses AVV.

Einzelweisungen, die über die vereinbarten Leistungen hinausgehen, bedürfen mindestens der Textform. Entsteht dadurch Mehraufwand, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen.

Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin und darf die Umsetzung bis zur Bestätigung oder Änderung aussetzen.

3. Vertraulichkeit und Zugriffsbeschränkung

Der Auftragsverarbeiter stellt sicher, dass alle mit der Verarbeitung personenbezogener Daten befassten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Personenbezogene Daten werden nur solchen Personen zugänglich gemacht, die diese zur Vertragserfüllung benötigen.

Zugriffe auf Kundendaten zu Support- oder Störungsbehebungszwecken erfolgen nur ausnahmsweise, anlassbezogen, nur soweit erforderlich und werden protokolliert.

4. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen im Sinne von Art. 32 DSGVO. Die zum Zeitpunkt dieses AVV bestehenden Maßnahmen ergeben sich aus Anlage 2.

Der Auftragsverarbeiter ist berechtigt, die Maßnahmen weiterzuentwickeln und zu ändern, sofern das vertraglich zugesicherte Schutzniveau nicht unterschritten wird.

Absolute IT-Sicherheit wird nicht geschuldet; geschuldet werden angemessene Schutzmaßnahmen nach Art, Umfang, Umständen und Zweck der Verarbeitung sowie nach dem Risiko für die Rechte und Freiheiten betroffener Personen.

5. Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei der Beantwortung von Betroffenenanfragen.

Soweit eine betroffene Person sich unmittelbar an den Auftragsverarbeiter wendet, wird dieser die Anfrage unverzüglich an den Verantwortlichen weiterleiten, sofern eine Zuordnung möglich ist.

Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und etwaigen Konsultationen mit Aufsichtsbehörden.

Soweit diese Unterstützung nicht bereits von den vertraglichen Leistungen umfasst ist und zusätzlichen Aufwand auslöst, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen.

6. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, sobald ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die im Auftrag verarbeitete Daten betrifft.

Die Mitteilung erfolgt mit den zu diesem Zeitpunkt verfügbaren Informationen, insbesondere zu Art der Verletzung, betroffenen Daten und Personengruppen, wahrscheinlichen Folgen sowie ergriffenen oder vorgeschlagenen Gegenmaßnahmen.

Der Auftragsverarbeiter trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher Nachteile.

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter für die in diesem AVV geregelten Verarbeitungsvorgänge.

Die bei Abschluss dieses AVV eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

Über beabsichtigte Änderungen bei Unterauftragsverarbeitern informiert der Auftragsverarbeiter den Verantwortlichen in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen.

Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der im Wesentlichen dieselben Datenschutzpflichten vorsieht, soweit dies für die ausgelagerte Leistung erforderlich ist.

Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters verantwortlich.

8. Drittlandübermittlungen

Eine Verarbeitung personenbezogener Daten in einem Drittland oder durch einen Unterauftragsverarbeiter mit Drittlandbezug ist nur zulässig, soweit die Voraussetzungen der DSGVO für Drittlandübermittlungen erfüllt sind.

Soweit der Auftragsverarbeiter personenbezogene Daten an Empfänger in Drittländern übermittelt oder dort verarbeiten lässt, stellt er sicher, dass hierfür eine geeignete datenschutzrechtliche Grundlage besteht.

Soweit kein Angemessenheitsbeschluss besteht, erfolgt die Übermittlung grundsätzlich auf Grundlage geeigneter Garantien, insbesondere auf Basis der von der Europäischen Kommission erlassenen Standardvertragsklauseln, soweit diese für den jeweiligen Verarbeitungsvorgang erforderlich sind.

9. Nachweise und Audits

Der Auftragsverarbeiter weist dem Verantwortlichen auf Anfrage die Einhaltung der in diesem AVV festgelegten Pflichten durch geeignete Nachweise nach.

Audits sind vorrangig anhand von Unterlagen, Selbstauskünften, Prüfberichten, TOM-Beschreibungen oder sonstigen geeigneten Nachweisen durchzuführen.

Vor-Ort-Prüfungen kommen nur bei berechtigtem Anlass in Betracht, wenn mildere Mittel nicht ausreichen, die Prüfung angemessen angekündigt wird und der Geschäftsbetrieb des Auftragsverarbeiters nicht unangemessen beeinträchtigt wird.

Die Kosten eines Audits trägt grundsätzlich der Verantwortliche. Ergibt ein Audit keinen wesentlichen datenschutzrechtlichen Verstoß, trägt der Verantwortliche auch angemessene interne Aufwände des Auftragsverarbeiters, soweit das Audit über das übliche Maß an Nachweisführung hinausgeht.

10. Rückgabe, Löschung und Aufbewahrung

Nach Beendigung des Hauptvertrags werden die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Soweit die Software Self-Service-Exportfunktionen bereitstellt, erfolgt die Rückgabe der Daten grundsätzlich durch eigenverantwortlichen Export durch den Verantwortlichen vor Vertragsende.

Produktdaten des Verantwortlichen, insbesondere hochgeladene Dokumente und systemseitig erzeugte Ergebnisse, werden vorbehaltlich gesetzlicher Aufbewahrungspflichten grundsätzlich spätestens 30 Tage nach Vertragsende gelöscht oder anonymisiert.

Sicherungskopien und Backup-Bestände können mit zeitlicher Verzögerung im Rahmen üblicher Backup- und Löschzyklen gelöscht werden.

11. Behördenanfragen und Zugriffe Dritter

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, sofern er Anfragen, Anordnungen oder sonstige Verlangen von Behörden, Gerichten oder sonstigen Dritten erhält, die sich auf personenbezogene Daten beziehen, die er im Auftrag des Verantwortlichen verarbeitet.

Dies gilt nur, soweit dem Auftragsverarbeiter eine solche Information rechtlich zulässig ist.

Ohne Weisung des Verantwortlichen werden personenbezogene Daten nicht an Dritte herausgegeben, es sei denn, eine gesetzliche Verpflichtung besteht.

12. Ansprechpartner

Datenschutzbezogene Mitteilungen im Zusammenhang mit diesem AVV sind an folgende Kontaktadresse des Auftragsverarbeiters zu richten: info@vergabescanner.de.

Der Verantwortliche benennt seinerseits auf Anfrage einen geeigneten datenschutzbezogenen Ansprechpartner.

13. Haftung

Die Haftung der Parteien richtet sich nach den gesetzlichen datenschutzrechtlichen Vorschriften sowie ergänzend nach den Haftungsregelungen des Hauptvertrags, soweit diese mit dem Datenschutzrecht vereinbar sind.

Zwingende gesetzliche Haftungsregelungen, insbesondere nach Art. 82 DSGVO, bleiben unberührt.

14. Schlussbestimmungen

Änderungen und Ergänzungen dieses AVV bedürfen mindestens der Textform, soweit keine strengere Form gesetzlich vorgeschrieben ist.

Sollten einzelne Bestimmungen dieses AVV ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Im Übrigen gelten die Regelungen des Hauptvertrags.

AVV-Anlage 1 – Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand: Bereitstellung und Betrieb der cloudbasierten SaaS-Anwendung „Vergabescanner“ zur Analyse von Ausschreibungsunterlagen einschließlich Nutzerverwaltung, Speicherung, Verarbeitung und Auswertung hochgeladener Dokumente sowie Erstellung von Auswertungen, Checklisten und vergleichbaren Arbeitsergebnissen.

Dauer: Für die Laufzeit des Hauptvertrags sowie darüber hinaus nur insoweit, wie gesetzliche Aufbewahrungspflichten, Backup-Zyklen, Nachweis- oder Verteidigungszwecke dies erfordern.

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Strukturieren, Auslesen, Verwenden, Übermitteln, Bereitstellen, Abgleichen, Analysieren, Protokollieren, Löschen und Anonymisieren personenbezogener Daten im Rahmen der SaaS-Nutzung.

Zwecke: Bereitstellung des SaaS-Dienstes; Nutzerverwaltung und Authentifizierung; Analyse hochgeladener PDF-Dokumente; Generierung von Auswertungen und Checklisten; Support und Fehlerbehebung; Sicherheits- und Missbrauchserkennung; technische Wartung, Backup und Wiederherstellung.

Datenkategorien: Login- und Kontodaten (insbesondere E-Mail-Adresse, Passwort-Hash, Account-Metadaten), Nutzungsdaten (insbesondere IP-Adresse, Zeitstempel, technische Logdaten), Supportdaten (insbesondere Ticket- und E-Mail-Inhalte) sowie Inhalte hochgeladener PDF-Dokumente einschließlich darin enthaltener personenbezogener Daten wie Namen, Kontaktdaten, Ansprechpartnerdaten, Signaturen und sonstige in Vergabeunterlagen enthaltene Personenangaben.

Betroffene Personen: Mitarbeiter des Verantwortlichen; Ansprechpartner bei Vergabestellen; Ansprechpartner bei Bietern und Nachunternehmern; sonstige in Ausschreibungs- oder Vergabeunterlagen genannte Personen.

Besondere Kategorien: Eine Verarbeitung besonderer Kategorien personenbezogener Daten ist nicht beabsichtigt. Soweit der Verantwortliche solche Daten dennoch in Dokumenten verarbeitet oder verarbeiten lässt, bleibt er für die Rechtmäßigkeit und Erforderlichkeit dieser Verarbeitung verantwortlich.

AVV-Anlage 2 – Technische und organisatorische Maßnahmen (TOMs)

1. Zutrittskontrolle

• Hosting der produktiven Systeme bei IONOS in Deutschland.
• Physische Sicherheitsmaßnahmen des Rechenzentrums werden durch den Hosting-Anbieter erbracht.
• Kein unkontrollierter physischer Zugang zu produktiven Servern durch unbefugte Dritte.

2. Zugangskontrolle

• Zugriff auf Systeme nur für berechtigte Personen.
• Authentifizierung über Benutzerkonten.
• Passwort-Hashing nach Framework-/Systemstandard.
• 2FA-/Passkey-Funktionen im Produkt vorhanden.
• Beschränkung administrativer Zugriffe auf erforderliche Personen.

3. Zugriffskontrolle

• Rollen- und Rechtekonzept innerhalb des Produkts.
• Benutzer- und Organisationsrollen.
• Zugriff auf Kundendaten nur nach Berechtigungsprinzip.
• Supportzugriffe nur ausnahmsweise, anlassbezogen und protokolliert.

4. Weitergabekontrolle

• TLS/HTTPS für Datenübertragungen in Transit.
• Vertragliche Einbindung von Unterauftragsverarbeitern.
• Übermittlungen nur im Rahmen der vertraglich vorgesehenen Zwecke und Weisungen.
• Die KI-gestützte Verarbeitung (u. a. Analyse aus PDF-Dateien extrahierter Textinhalte sowie Erstellung von Auswertungen) erfolgt über den EU-Auftragsverarbeiter OVHcloud (OVH SAS, Frankreich) auf Infrastruktur ausschließlich innerhalb der Europäischen Union. Eine Übermittlung an Anbieter außerhalb der EU findet nicht statt; ein Drittlandtransfer zu KI-Zwecken findet nicht statt.

5. Eingabekontrolle

• Logging technischer Vorgänge und Zugriffe.
• Nachvollziehbarkeit anlassbezogener Supportzugriffe.
• Protokollierung sicherheitsrelevanter Vorgänge nach Systemstandard.

6. Auftragskontrolle

• Vertragliche Regelung der Auftragsverarbeitung.
• Auswahl von Unterauftragsverarbeitern mit geeigneten Garantien.
• Allgemeine Unterauftragsgenehmigung mit Informations- und Widerspruchsmechanismus.

7. Verfügbarkeitskontrolle

• Hosting, Datenbank, E-Mail-Versand und Backups über IONOS in Deutschland.
• Backup-Konzept vorhanden.
• Restore-Tests in Intervallen von ca. 3 bis 6 Monaten mit Kurzprotokoll zu Datum, Ergebnis und Maßnahmen.
• Maßnahmen zur Störungsbehebung und Wiederherstellung vorhanden.

8. Trennungsgebot

• Logische Trennung von Kundendaten im Anwendungskontext.
• Rechte- und Rollenmodell zur Trennung von Datenzugriffen.
• Verarbeitung nur im Rahmen des jeweiligen Kundenkontos bzw. der jeweiligen Organisation.

9. Verschlüsselung

• Verschlüsselung der Übertragung per TLS/HTTPS.
• Verschlüsselung at rest für Backups und besonders sensible Felder (Single-Sign-On-Secrets, Zwei-Faktor- und Passkey-Daten); die übrigen Daten liegen auf zugangskontrollierter Infrastruktur eines ISO-27001-zertifizierten Rechenzentrums in Deutschland (IONOS).

10. Belastbarkeit und Sicherheit der Systeme

• Logging vorhanden.
• Dokumentiertes Incident-Handling vorhanden.
• Regelmäßige technische Wartung und Sicherheitsmaßnahmen.
• Die KI-Verarbeitung erfolgt über den EU-Auftragsverarbeiter OVHcloud (OVH SAS, Frankreich) auf Infrastruktur ausschließlich innerhalb der Europäischen Union; OVHcloud nutzt die Eingaben nicht zu Trainingszwecken und führt kein dauerhaftes Eingabe-Logging zu eigenen Zwecken.
• Inhalte werden ausschließlich zur Laufzeit verarbeitet; keine Speicherung durch Dritte und keine Nutzung zu Trainingszwecken.

11. Organisationsmaßnahmen

• Vertraulichkeitsverpflichtung beteiligter Personen.
• Dokumentiertes TOM-Set vorhanden.
• Überprüfung und Weiterentwicklung der Maßnahmen nach Bedarf.
• Datenschutzbezogene Kommunikation über info@vergabescanner.de.

12. KI-Verarbeitung (EU-Auftragsverarbeiter OVHcloud)

• Die KI-Verarbeitung erfolgt über den EU-Auftragsverarbeiter OVHcloud (OVH SAS, Frankreich) auf Infrastruktur ausschließlich innerhalb der Europäischen Union; eine Übermittlung an Anbieter außerhalb der EU sowie ein Drittlandtransfer finden nicht statt.
• Mit OVHcloud besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
• Die Datenübertragung an OVHcloud erfolgt verschlüsselt (TLS).
• OVHcloud nutzt die Eingaben nicht zu Trainingszwecken und führt kein dauerhaftes Eingabe-Logging zu eigenen Zwecken; Inhalte werden ausschließlich zur Erbringung der jeweiligen Funktion verarbeitet.

AVV-Anlage 3 – Unterauftragsverarbeiter

Anbieter	Leistung	Standort	Zweck / Hinweis
IONOS SE / IONOS-Gruppe	Hosting, Serverbetrieb, Datenbankbetrieb, E-Mail-Versand, Backup-Infrastruktur	Deutschland / EU	Technischer Betrieb der SaaS-Anwendung und zugehöriger Infrastruktur.
OVHcloud / OVH SAS	KI-Inferenz (AI Endpoints): Analyse, Anreicherung, Embeddings, Eignungsprüfung, Chat, Angebotserstellung, Scannie	Frankreich / EU	KI-Sprachmodell-Verarbeitung; ausschließlich in der EU, keine Nutzung zu Trainingszwecken.

Stripe wird in dieser Anlage nicht als Unterauftragsverarbeiter für die hier geregelte Auftragsverarbeitung geführt, soweit Stripe ausschließlich für die Zahlungsabwicklung der Vertragsbeziehung zwischen Anbieter und Kunde eingesetzt wird und dabei nicht personenbezogene Daten des Kunden im Rahmen dessen Weisungen verarbeitet.

Hinweis zum Vertragsschluss: Diese AVV wird durch Annahme der vorstehenden AGB bei der Registrierung geschlossen. Eine gesonderte Unterzeichnung ist nicht erforderlich; es gelten die im Kundenkonto hinterlegten Unternehmensdaten des Kunden als Verantwortlicher.