DSGVO-konforme KI-Analyse von Vergabeunterlagen — aus Sicht des Bieters

Beim Thema Datenschutz in der Vergabe denken die meisten zuerst an die öffentlichen Auftraggeber — schließlich verarbeiten diese die Bewerber- und Bieterdaten. Doch sobald ein Bieter Vergabeunterlagen in ein KI-Tool hochlädt, um sie analysieren oder kalkulieren zu lassen, wird die DSGVO auch für ihn relevant. Vergabeunterlagen und die eigenen Angebotsdaten enthalten häufig personenbezogene Daten: Namen von Ansprechpartnern, Angaben zu Referenzprojekten, benannte Nachunternehmer, eigene Mitarbeiter in Eignungsnachweisen. Wer diese Inhalte an einen Cloud-Dienst übergibt, muss wissen, wo und wie sie verarbeitet werden. Dieser Artikel beschreibt die Frage aus der Perspektive des Bieters — und welche Antworten ein Werkzeug liefern sollte.

DSGVO-konforme KI-Analyse von Vergabeunterlagen bedeutet aus Bietersicht, dass ein KI-Werkzeug die hochgeladenen Dokumente so verarbeitet, dass die Vorgaben der Datenschutz-Grundverordnung eingehalten werden: Die Verarbeitung erfolgt auf einer belastbaren Rechtsgrundlage, es besteht ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, ein Transfer in unsichere Drittländer wird vermieden oder abgesichert, die Inhalte werden nicht zu Trainingszwecken zweckentfremdet, und es findet keine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt. Der Bieter bleibt für die von ihm hochgeladenen Inhalte mitverantwortlich — das Werkzeug muss ihm die Einhaltung ermöglichen.

Warum das Thema Bieter betrifft — nicht nur Behörden

Sobald personenbezogene Daten in ein KI-System gelangen, ist das eine Verarbeitung im Sinne der DSGVO. Beim Bieter passiert das an mehreren Stellen:

• In den Vergabeunterlagen stehen Ansprechpartner der Vergabestelle, teils Namen weiterer Beteiligter.
• In den eigenen Angebotsdaten — Referenzen, Eignungsnachweise, benannte Nachunternehmer, Qualifikationen von Mitarbeitern.
• In Fragen an die KI, wenn sie konkrete Personen oder Firmen betreffen.

Lädt ein Bieter solche Inhalte in ein KI-Tool, dessen Anbieter sie als Auftragsverarbeiter im Auftrag des Bieters verarbeitet, dann bleibt der Bieter der datenschutzrechtlich Verantwortliche für die Zulässigkeit dieser Verarbeitung. Er sollte deshalb wissen, an wen die Daten weitergegeben werden — und ein Werkzeug wählen, das ihm die nötigen Zusicherungen vertraglich gibt.

Die drei Fragen, die ein Bieter stellen sollte

1. Wo werden meine Inhalte verarbeitet — EU oder Drittland?

Viele KI-Funktionen am Markt stützen sich auf US-amerikanische Sprachmodelle (etwa von OpenAI oder über US-Cloud-Plattformen). Dann verlassen die hochgeladenen Inhalte den EU-Raum, und der Transfer muss über Mechanismen wie das EU-US Data Privacy Framework oder Standardvertragsklauseln abgesichert werden — ein zusätzliches Risiko und ein Punkt, den Sie prüfen müssen. Ein Werkzeug, das die KI-Verarbeitung ausschließlich innerhalb der EU abwickelt, vermeidet die Drittland-Frage von vornherein.

2. Gibt es einen Auftragsverarbeitungsvertrag (AVV)?

Verarbeitet ein Anbieter personenbezogene Daten in Ihrem Auftrag, verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag. Ohne AVV ist die Nutzung für personenbezogene Inhalte rechtlich angreifbar. Prüfen Sie, ob der Anbieter eine AVV bereitstellt und wie sie geschlossen wird.

3. Werden meine Inhalte zum Training verwendet?

Ein zentraler Punkt: Werden hochgeladene Vergabeunterlagen und Angebotsdaten über die reine Funktionserbringung hinaus gespeichert oder gar zum Training von KI-Modellen genutzt? Gerade bei sensiblen Kalkulationsgrundlagen und Referenzen ist die Zusicherung wichtig, dass die Inhalte ausschließlich zur Erbringung der jeweiligen Funktion verarbeitet und nicht zweckentfremdet werden.

Wie Vergabescanner diese Fragen beantwortet

Die folgenden Angaben entsprechen unserer Datenschutzerklärung und sind dort im Detail nachlesbar:

• KI-Verarbeitung ausschließlich in der EU. Sämtliche KI-Funktionen — die Analyse hochgeladener Dokumente und Positionsextraktion, die Anreicherung öffentlicher Ausschreibungen, die semantische Suche, die KI-Eignungsprüfung, die Chat-Funktionen und die Angebotserstellung — laufen über die KI-Inferenz-Dienste (AI Endpoints) von OVHcloud (OVH SAS, Roubaix, Frankreich) auf Infrastruktur ausschließlich innerhalb der Europäischen Union. Ein Drittlandtransfer findet nicht statt; eine Übermittlung an OpenAI oder andere Anbieter außerhalb der EU erfolgt nicht.
• Auftragsverarbeitung inklusive. Für die hochgeladenen Inhaltsdaten handelt Vergabescanner als Auftragsverarbeiter. Die AVV nach Art. 28 DSGVO ist als Anlage Bestandteil der AGB und wird mit deren Annahme bei der Registrierung geschlossen — ohne gesonderten Extra-Schritt. Mit OVHcloud als KI-Dienstleister besteht ebenfalls ein Vertrag zur Auftragsverarbeitung.
• Kein Training auf Ihren Daten. Die übermittelten Inhalte werden ausschließlich zur Erbringung der jeweiligen Funktion verarbeitet, nicht über die Verarbeitung hinaus gespeichert und nicht zu Trainingszwecken verwendet.
• Hosting in Deutschland. Serverbetrieb, Datenbank und E-Mail-Infrastruktur laufen bei IONOS SE (Deutschland).
• Keine automatisierte Entscheidung (Art. 22 DSGVO). KI-gestützte Analyse-, Scoring-, Preis- und Eignungs- bzw. Go/No-Go-Ergebnisse sind unverbindliche Arbeitsvorschläge. Die Entscheidung über Teilnahme, Kalkulation und Angebotsabgabe treffen stets Sie.
• Transparenz nach der KI-Verordnung. Beim Hilfe-Assistenten Scannie wird offengelegt, dass es sich um ein KI-System handelt (Art. 50 EU-KI-Verordnung).

Was die DSGVO-Konformität nicht ersetzt

Ehrlich bleibt festzuhalten: Datenschutz ist ein Zusammenspiel. Weil Vergabescanner die hochgeladenen Inhalte als Auftragsverarbeiter im Auftrag des Kunden verarbeitet, bleibt der Kunde für die datenschutzrechtliche Zulässigkeit der von ihm hochgeladenen Daten verantwortlich — etwa dafür, dass er die Unterlagen überhaupt verarbeiten darf. Das Werkzeug stellt die technischen und vertraglichen Voraussetzungen bereit (EU-Verarbeitung, AVV, keine Zweckentfremdung); die Sorgfalt beim Umgang mit den eigenen Inhalten bleibt beim Betrieb. Separat davon werden für die Zahlungsabwicklung über Stripe Zahlungsdaten verarbeitet, wobei innerhalb der Stripe-Gruppe eine Übermittlung in die USA stattfinden kann (abgesichert über das EU-US Data Privacy Framework) — das betrifft Rechnungsdaten, nicht Ihre hochgeladenen Vergabeunterlagen.

Checkliste für Bieter

Bevor Sie Vergabeunterlagen in ein KI-Tool laden, klären Sie:

1. Werden die Inhalte innerhalb der EU verarbeitet, oder findet ein Drittlandtransfer statt?
2. Stellt der Anbieter eine AVV nach Art. 28 DSGVO bereit, und wie wird sie geschlossen?
3. Ist zugesichert, dass Ihre Inhalte nicht zu Trainingszwecken verwendet werden?
4. Wo liegt das Hosting, und wie lange werden Daten gespeichert?
5. Trifft die KI verbindliche Entscheidungen oder liefert sie prüfbare Vorschläge?

Fazit

DSGVO-Konformität bei der KI-Analyse von Vergabeunterlagen ist kein reines Behördenthema — Bieter tragen Mitverantwortung, sobald sie personenbezogene Inhalte hochladen. Die entscheidenden Hebel sind der Verarbeitungsort, ein Auftragsverarbeitungsvertrag und die Zusicherung, dass Inhalte nicht zum Training zweckentfremdet werden. Vergabescanner verarbeitet die KI-Funktionen ausschließlich in der EU (OVHcloud, Frankreich), schließt die AVV automatisch mit den AGB, nutzt Inhalte nicht zum Training und hostet in Deutschland — nachlesbar in der Datenschutzerklärung. So bleibt die KI ein Werkzeug, das Sie einsetzen können, ohne die Datenschutz-Frage bei jedem Upload neu aufzumachen.