Datenschutz-Folgenabschätzung (DSFA/DPIA)
Gemäß Art. 35 DSGVO — Plattform: Auftragr (auftragr.de) — Stand: April 2026
1. Verarbeitungsbeschreibung
Auftragr ist eine Markt-Intelligence-Plattform für das deutsche öffentliche Vergabewesen. Die Plattform aggregiert öffentlich zugängliche Ausschreibungsdaten aus TED, Bund.de, DTVP und deutschen Landesportalen, reichert diese mit KI-gestützter Analyse an und bietet registrierten Geschäftskunden personalisiertes Matching.
1.1 Verarbeitete personenbezogene Daten
| Kategorie | Daten | Quelle | Erforderlichkeit |
|---|---|---|---|
| Kontodaten | Name, E-Mail, Passwort (gehasht) | Nutzereingabe | Authentifizierung |
| Firmendaten | Firma, Website, Größe, Telefon | Nutzereingabe | Matching |
| Bau-DNA-Profil | Gewerk, CPV-Codes, Regionen | Nutzereingabe | Matching |
| Nutzungsdaten | Seitenaufrufe, Klicks, Suchen | Automatisiert | Verbesserung |
| Pipeline | Ausschreibungen, Notizen, Status | Nutzereingabe | Kernfunktion |
1.2 Nicht verarbeitete Daten
Keine besonderen Kategorien (Art. 9), keine biometrischen Daten, keine Gesundheitsdaten, keine Finanzdaten, kein Standort-Tracking, keine Social-Media-Profile.
2. Erforderlichkeit und Verhältnismäßigkeit
2.1 Rechtsgrundlagen
| Verarbeitung | Rechtsgrundlage | Begründung |
|---|---|---|
| Kontoregistrierung | Art. 6(1)(b) | Vertragserfüllung |
| Profil-Matching | Art. 6(1)(b) | Kernfunktionalität |
| KI-Analyse (Ausschreibungstexte) | Art. 6(1)(f) | Keine PII an KI — nur öffentliche Texte |
| Nutzungsdaten | Art. 6(1)(f) | 90 Tage Aufbewahrung |
| Session-Cookie | Art. 6(1)(b) + ePrivacy | Technisch notwendig |
2.2 Datenminimierung
- Nur Geschäftsdaten — keine persönlichen Ausweisdaten, keine Privatadressen
- Passwörter nie im Klartext gespeichert (bcrypt, 12 Runden)
- KI-Dienste erhalten ausschließlich öffentliche Ausschreibungstexte — null PII-Transfer
- Keine Drittanbieter-Analysetools (kein Google Analytics, kein Meta Pixel)
- Keine Werbe-Cookies oder Tracker
3. Risikobewertung
| Risiko | Wahrscheinlichkeit | Schwere | Maßnahme |
|---|---|---|---|
| Unbefugter Zugriff | Gering | Mittel | RLS, Auth-Middleware, JWT |
| Nutzer-übergreifender Datenzugriff | Sehr gering | Hoch | RLS FORCE auf 8 Tabellen, 16 Policies, 26 Testfälle bestanden |
| Datenschutzverletzung | Gering | Mittel | TLS 1.3, AES-256, keine sensiblen PII |
| KI-Profilierung von Personen | N/A | N/A | KI verarbeitet nur öffentliche Texte |
| Übermäßige Datenspeicherung | Gering | Gering | 90 Tage Events, Nutzer-Löschung, 30 Tage nach Kündigung |
| Kontoübernahme | Gering | Mittel | bcrypt, E-Mail-Verifizierung, Admin-Widerruf |
Restrisiko nach Maßnahmen: GERING
4. Technische und organisatorische Maßnahmen
Technisch
- PostgreSQL RLS (8 Tabellen, FORCE, 16 Policies)
- bcrypt (12 Runden) für Passwörter
- TLS 1.3 + AES-256
- NextAuth.js JWT (30 Tage Ablauf)
- Globale Auth-Middleware
- Rate Limiting (Signup, Login)
- Deutsche Geschäfts-E-Mail-Pflicht
- React Error Boundaries
Organisatorisch
- Admin-Zugangskontrolle (Genehmigen/Widerrufen)
- Datenexport in Einstellungen
- Kontolöschung in Einstellungen
- Cookie-Consent-Banner
- Plattform-spezifischer AVV
- Code-Review vor Deployment
- Event-Tracking (12 Typen) für Audit
5. Ergebnis
Die Verarbeitung durch Auftragr stellt ein geringes Risiko für die Rechte und Freiheiten der betroffenen Personen dar.
- Nur Geschäftsdaten — keine sensiblen personenbezogenen Daten
- KI verarbeitet nur öffentliche Regierungsdaten (keine PII an KI)
- Datenbankebene RLS verhindert nutzerübergreifenden Zugriff
- Nutzer haben volle Kontrolle (Export, Löschung, Opt-out)
- Keine Drittanbieter-Analysetools oder Werbe-Tracker
Entscheidung: Die Verarbeitung kann mit den dokumentierten technischen und organisatorischen Maßnahmen fortgesetzt werden.
Nächste Überprüfung: Oktober 2026 (oder bei wesentlichen Verarbeitungsänderungen)
Stand: April 2026 | Plattform: Auftragr (auftragr.de) | Betreiber: BlackSwanAI, Erlangen | info@blackswanai.de