Wird geladen …
Wird geladen …
VergabeChecker · Vertrag zur Auftragsverarbeitung
Fassung vom 13. Oktober 2026 · gedruckt am · vergabechecker.de/avv
Vitalij Nagel, VergabeChecker, Am Flughafen 13, 12529 Schönefeld
Vertrag zur Auftragsverarbeitung · Fassung vom 13. Oktober 2026
Fassung vom 13. Oktober 2026.
Legt Ihr Unternehmen in VergabeChecker Unterlagen oder Einträge mit Daten anderer Personen ab – etwa Namen von Beschäftigten in Zertifikaten oder Ansprechpartner in Referenzen –, bleibt Ihr Unternehmen dafür verantwortlich. Wir verarbeiten diese Daten nur für Sie und nach Ihren Vorgaben. Dieser Vertrag regelt, wie. Er gilt in der kostenlosen Testphase und im Abo gleichermaßen.
zwischen dem Kunden nach den Nutzungsbedingungen – Verantwortlicher, „Kunde“ –
und Vitalij Nagel, handelnd unter der Bezeichnung VergabeChecker, Am Flughafen 13, 12529 Schönefeld, kontakt@vergabechecker.de – Auftragsverarbeiter, „wir“.
(1) Wir erbringen für den Kunden den Dienst nach den Nutzungsbedingungen („Hauptvertrag“). Alle Inhalte, die Nutzer in VergabeChecker eingeben oder hochladen, einschließlich Vergabeunterlagen zur Analyse, verarbeiten wir im Auftrag des Kunden. Gegenstand, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen stehen in Anlage 1.
(2) Nicht Gegenstand dieses Vertrags sind Daten, die wir als eigener Verantwortlicher verarbeiten; dafür gilt die Datenschutzerklärung:
(3) Dieser Vertrag gilt, solange wir Daten des Kunden im Auftrag verarbeiten, also bis zur vollständigen Löschung nach § 11.
(1) Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in ein Drittland oder an eine internationale Organisation (Art. 28 Abs. 3 Unterabs. 1 Satz 2 lit. a DSGVO). Die in Anlage 3 genannten Übermittlungen gelten mit diesem Vertrag als angewiesen. Verpflichtet uns das Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung, teilen wir das dem Kunden vorher mit, soweit das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Die Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag und den Handlungen der Nutzer im Dienst – etwa Hochladen, Löschen, Anstoßen einer KI-Hilfe, Einstellungen. Die in Anlage 1 genannten Löschfristen gelten als angewiesen. Ergänzende Weisungen erteilt der Inhaber-Zugang in Textform (zum Beispiel per E-Mail) an kontakt@vergabechecker.de. Weisungen außerhalb des vereinbarten Leistungsumfangs dürfen wir ablehnen; der Kunde kann dann kündigen.
(3) Sind wir der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informieren wir den Kunden unverzüglich (Art. 28 Abs. 3 Unterabs. 2 DSGVO) und dürfen die Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.
Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und die Information der betroffenen Personen verantwortlich (Art. 13, 14 DSGVO). Er meldet uns Fehler, die ihm bei der Verarbeitung auffallen, unverzüglich und hält die E-Mail-Adresse des Inhaber-Zugangs aktuell.
Lädt der Kunde Personen in sein Unternehmenskonto ein, informiert er sie vorher darüber, dass ihr Name, ihre E-Mail-Adresse und ihre Rolle im Team sichtbar sind und dass ihr Name an Einträgen steht, die sie bearbeitet, auch nach ihrem Ausscheiden als „ehemaliges Mitglied“ für die in Anlage 1 genannte Dauer. Grundlage dafür auf Seiten des Kunden ist in der Regel sein berechtigtes Interesse an geordneter Zusammenarbeit (Art. 6 Abs. 1 lit. f DSGVO). Hat der Kunde einen Betriebs- oder Personalrat, klärt er dessen Beteiligung, bevor er die Teamfunktionen nutzt.
Wir setzen für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Heute ist das allein der Betreiber. Kommen Beschäftigte oder freie Mitarbeitende hinzu, werden sie vor dem ersten Zugriff in Textform verpflichtet.
(1) Wir treffen die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie sind in Anlage 2 beschrieben.
(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Wir dürfen sie durch gleichwertige oder bessere ersetzen; das Schutzniveau darf dabei nicht sinken. Wesentliche Änderungen dokumentieren wir und teilen sie auf Anfrage mit.
(1) Der Kunde genehmigt allgemein den Einsatz weiterer Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Bei Vertragsschluss eingesetzt sind die in Anlage 3 genannten.
(2) Wollen wir einen weiteren Auftragsverarbeiter hinzuziehen oder ersetzen, teilen wir das mindestens vier Wochen vorher per E-Mail an den Inhaber-Zugang mit. Der Kunde kann in Textform widersprechen. Bis zu einer Einigung übermitteln wir seine Daten nicht an den neuen Auftragsverarbeiter, soweit das technisch möglich ist; sonst kann der Kunde vor dem Wechsel fristlos kündigen. Muss ein Auftragsverarbeiter kurzfristig ersetzt werden, um Betrieb oder Sicherheit zu erhalten, informieren wir unverzüglich; Widerspruch und Kündigung sind dann nachträglich möglich. Dasselbe gilt, wenn einer unserer Auftragsverarbeiter uns einen neuen Unterauftragnehmer kürzer als vier Wochen vorher mitteilt: Dann informieren wir den Kunden unverzüglich nach unserer eigenen Kenntnis.
(3) Wir legen jedem weiteren Auftragsverarbeiter vertraglich Pflichten auf, die Art. 28 Abs. 3 DSGVO entsprechen und ein gleichwertiges Schutzniveau bieten (Art. 28 Abs. 4 DSGVO), und haften gegenüber dem Kunden für deren Einhaltung.
(4) Keine weiteren Auftragsverarbeiter im Sinne dieses Vertrags sind Anbieter von Telekommunikationsleistungen und vergleichbaren Nebenleistungen, die keinen Zugriff auf die Daten erhalten, sowie Stripe (§ 1 Abs. 2 lit. g).
(1) Die Verarbeitung findet in der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt.
(2) Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Setzt ein weiterer Auftragsverarbeiter seinerseits Stellen außerhalb der EU und des EWR ein, ist das mit der jeweiligen Garantie in Anlage 3 genannt.
(1) Wir unterstützen den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen zu beantworten. Dafür stehen im Dienst zur Verfügung: Einsehen, Berichtigen und Löschen einzelner Einträge und Unternehmensdokumente sowie ein vollständiger Datenexport für Inhaber und Administratoren. Das Löschen eines Unternehmensdokuments entfernt Datei und Angaben sofort (Titel, Dateiname, Gültigkeit, erkannte und bestätigte Angaben); übrig bleibt nur ein Vermerk ohne Inhalt, der mit dem Unternehmenskonto verschwindet. Inhaber und Administratoren können außerdem den Namen eines ehemaligen Mitglieds an allen Einträgen entfernen; danach steht dort nur noch „ehemaliges Mitglied“.
(2) Wendet sich eine betroffene Person direkt an uns, leiten wir den Antrag unverzüglich an den Kunden weiter und antworten nicht selbst in der Sache, soweit der Kunde nichts anderes anweist.
(3) Im Dienst kann jeder Nutzer eine Anfrage zu seinen Datenschutzrechten an die Inhaber und Administratoren seines Unternehmenskontos richten. Diese Anfragen, die Antwort und den Bearbeitungsvermerk verarbeiten wir im Auftrag des Kunden. Abgeschlossene Anfragen löschen wir zum Ende des dritten Kalenderjahres nach ihrem Abschluss, spätestens mit dem Unternehmenskonto; offene Anfragen bleiben bis zu ihrem Abschluss. Wird der Zugang der anfragenden Person gelöscht, bleibt die Anfrage bis zum Ablauf dieser Frist ohne Bezug zu dieser Person beim Unternehmenskonto.
Wir unterstützen den Kunden unter Berücksichtigung der Art der Verarbeitung und der uns verfügbaren Informationen bei den Pflichten aus Art. 32 bis 36 DSGVO, insbesondere mit Angaben für eine Datenschutz-Folgenabschätzung und eine vorherige Konsultation der Aufsichtsbehörde.
(1) Wir melden dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die seine Daten betrifft, unverzüglich, nachdem sie uns bekannt geworden ist (Art. 33 Abs. 2 DSGVO), per E-Mail an den Inhaber-Zugang; ist das nicht möglich, auf anderem geeignetem Weg, zum Beispiel telefonisch oder als Hinweis nach der Anmeldung. Eine feste Stundenzahl sagen wir nicht zu; maßgeblich ist der gesetzliche Maßstab „unverzüglich“.
(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, Name und Kontaktdaten einer Anlaufstelle, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Was noch nicht bekannt ist, liefern wir unverzüglich nach.
(3) Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen obliegen dem Kunden; wir unterstützen ihn dabei.
(1) Bis zum Ende des Hauptvertrags können Inhaber und Administratoren die Daten über den Datenexport herunterladen. Ist der Export nicht möglich, etwa wegen einer Sperre, stellen wir ihn auf Anfrage bereit. Kündigen wir, bleibt der Export bis zum Ende der Kündigungsfrist möglich.
(2) Endet die Testphase ohne Abo oder endet ein Abo ohne Fortsetzung, bleibt das Unternehmenskonto nach § 11a der Nutzungsbedingungen 30 Tage nur lesbar, und der Export bleibt möglich. Bestellt der Kunde in dieser Zeit kein Abo, endet der Hauptvertrag mit Ablauf dieser 30 Tage. Das ist das Vertragsende im Sinne dieses Paragrafen.
(3) Mit Vertragsende – bei einer Kündigung durch den Kunden nach der bei der Vormerkung angezeigten Bedenkzeit von sieben Tagen, im Fall von Abs. 2 mit Ablauf der 30 Tage – löschen wir alle Daten des Kunden einschließlich der Dateien. Aus den Datensicherungen verschwinden sie spätestens nach weiteren 30 Tagen. Bei weiteren Auftragsverarbeitern gelten deren Fristen nach Anlage 3.
(4) Eine Pflicht zur Speicherung nach dem Recht der Union oder eines Mitgliedstaats bleibt unberührt. Daten nach § 1 Abs. 2 – etwa Rechnungen, die wir aufbewahren müssen – sind nicht Gegenstand dieses Vertrags; für sie gilt die Datenschutzerklärung.
(5) Auf Anfrage bestätigen wir die Löschung in Textform.
(1) Wir stellen dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglichen Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer.
(2) Überprüfungen erfolgen vorrangig durch Auskünfte und Nachweise. Eine Prüfung vor Ort findet in den Räumen statt, in denen wir die Daten verwalten, nach Ankündigung von in der Regel vier Wochen. Jede Seite trägt ihre eigenen Kosten.
(3) Für die Rechenzentren weiterer Auftragsverarbeiter genügen deren Nachweise, etwa Zertifizierungen und Prüfberichte.
Gegenüber betroffenen Personen haften wir nach Art. 82 DSGVO; dieser Vertrag schränkt das nicht ein. Zwischen dem Kunden und uns gilt, auch für den Ausgleich nach Art. 82 Abs. 5 DSGVO, § 12 Abs. 1 bis 3 der Nutzungsbedingungen.
(1) Dieser Vertrag ist Bestandteil des Hauptvertrags und endet mit ihm; § 11 gilt darüber hinaus fort.
(2) Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor.
(3) Dieser Vertrag wird in elektronischem Format geschlossen (Art. 28 Abs. 9 DSGVO). Jede Fassung bleibt unter vergabechecker.de/avv/ und dem Datum der Fassung abrufbar und speicherbar, diese Fassung unter vergabechecker.de/avv/2026-10-13. Änderungen dieses Vertrags gelten nur nach Zustimmung des Kunden nach § 14 der Nutzungsbedingungen; Anlage 3 ändert sich nach § 6, Anlage 2 nach § 5 Abs. 2.
Stand 13. Oktober 2026. Beschrieben ist, was im Code und im Betrieb belegt ist.
Nicht aufgeführt, weil keine Daten des Kunden nach Anlage 1 übermittelt werden: Stripe Payments Europe, Ltd. – erhält nur Daten nach § 1 Abs. 2 lit. g als eigener Verantwortlicher; Protomaps (build.protomaps.com) und GitHub – von dort holt unser Server vierteljährlich Kartendaten (OpenStreetMap, ODbL) sowie Schriften und Symbole der Karte; GeoNames – aus dessen Postleitzahlen-Datei (CC BY 4.0) ist unsere lokale Ortsliste erzeugt.