Datenschutzerklärung Zuständigkeits-Check

Diese Erklärung gilt für die Demo-Anwendung „Zuständigkeits-Check“ unter tenderwerk.de/zustaendigkeits-check und ihre Unterseiten. Für die übrige Website gilt die Datenschutzerklärung von tenderwerk.de.

Bitte geben Sie in der Demo keine echten personenbezogenen Daten ein. Erfundene Beispiele reichen aus, um die Anwendung zu testen.

1. Verantwortlicher

Tenderwerk UG (haftungsbeschränkt), Auf der Höh 17A, 57629 Höchstenbach, Deutschland, vertreten durch den Geschäftsführer Paul Fel. Telefon +49 176 4773 9934, E-Mail info@tenderwerk.de.

2. Was mit Ihrer Eingabe geschieht

1. Eingabe: Sie fügen einen Text ein oder laden im Pilotbetrieb einen Scan hoch und wählen eine Behörde.
2. Schwärzung auf unserem Server: Bevor ein KI-Dienst etwas erhält, ersetzt die Anwendung auf unserem Server erkennbare personenbezogene Angaben durch Platzhalter wie [PERSON-1]. Dazu gehören Namen, Anschriften, Geburtsdaten, Aktenzeichen, Kontaktdaten sowie konkrete Angaben zu Gesundheit (etwa Diagnosen), Religionszugehörigkeit, Gewerkschaftszugehörigkeit und Straftaten. Der Sachverhalt des Schreibens bleibt stehen, denn nach ihm richtet sich die Zuständigkeit; Begriffe, die das Anliegen selbst bezeichnen, etwa Beihilfe, Dienstunfall oder Pflegegrad, werden deshalb nicht ersetzt. Der Sachverhalt kann so auch Rückschlüsse auf die Gesundheit zulassen. Die Erkennung arbeitet mit Mustern und kann Angaben übersehen.
3. KI-Zuordnung: Nur der geschwärzte Text geht zusammen mit dem öffentlich veröffentlichten Organisationsplan der gewählten Behörde (ohne Personennamen und Durchwahlen) an die Google Gemini API. Je Prüfung sind es bis zu vier Übermittlungen desselben geschwärzten Textes.
4. Ergebnis: Sie erhalten die vorgeschlagene Organisationseinheit mit dem Zitat aus dem Organisationsplan.

Ihr Eingabetext, das Schwärzungsprotokoll und das Ergebnis werden nicht in einer Datenbank oder Datei gespeichert. Sie werden nur für die Dauer der Prüfung im Arbeitsspeicher verarbeitet. Hochgeladene Scans werden für die Texterkennung kurz auf dem Server zwischengespeichert und danach gelöscht. Die Texterkennung läuft auf unserem Server, ohne externe Dienste.

Zweck: Vorführung der Anwendung für interessierte Behörden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, die Anwendung vorzuführen. Weil personenbezogene Daten vor der KI-Übermittlung entfernt werden und wir um erfundene Beispiele bitten, bleibt der Eingriff gering.

3. Google Gemini API

Empfänger: Google als Anbieter der Gemini API. Für den kostenpflichtigen Tarif gelten Googles Bedingungen zur Auftragsverarbeitung.
Google nutzt die Inhalte nach den Bedingungen für den kostenpflichtigen Tarif der Gemini API nicht zum Training von Modellen. Google speichert Anfragen und Antworten für begrenzte Zeit, um Missbrauch zu erkennen.
Drittlandübermittlung: Die Verarbeitung kann in den USA und in anderen Ländern stattfinden, in denen Google oder seine Unterauftragnehmer Rechenzentren betreiben. Grundlage sind das Data Processing Addendum von Google mit den EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und, soweit der Empfänger in den USA zertifiziert ist, der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO).

4. Zugangscode

Den Zugangscode, den Sie auf Anfrage von uns erhalten, speichert die Anwendung im lokalen Speicher Ihres Browsers (localStorage), damit Sie ihn nicht erneut eingeben müssen. Er wird nur mit Ihrer Prüfanfrage an uns übertragen. Sie können ihn jederzeit über die Browsereinstellungen löschen. Das Speichern ist für den von Ihnen gewünschten Dienst erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

5. Schutz vor Missbrauch und Server-Protokolle

Um Angriffe auf den Zugangscode und Überlastung abzuwehren, zählt die Anwendung Zugriffe je Absender. Dafür wird aus der IP-Adresse ein gekürzter Hashwert gebildet und nur im Arbeitsspeicher gehalten; mit jedem Neustart der Anwendung sind die Zähler gelöscht. Das Anwendungsprotokoll enthält Zeitstempel, diesen Hashwert, Statuscode, Bearbeitungsdauer, die gewählte Behörde, den Zugangsweg und die gerundete Größe der KI-Anfrage, keine Inhalte.

Zusätzlich protokolliert der vorgeschaltete Webserver jeden Aufruf mit gekürzter IP-Adresse (bei IPv4 ohne das letzte Byte, bei IPv6 nur die ersten 48 Bit), Zeitpunkt, abgerufener Adresse, Statuscode, Referrer und Browserkennung, aber ohne den Inhalt Ihrer Eingabe und ohne einen Zugangscode in der Adresse. Das Protokoll wird in Dateien von höchstens 10 MB geschrieben; jede abgeschlossene Datei wird 14 Tage nach ihrem Abschluss automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer und missbrauchsfreier Betrieb).

6. Hosting und Nutzungszähler

Die Anwendung läuft auf einem Server unseres Hosting-Dienstleisters in einem Rechenzentrum in der EU.

Die Anwendung führt einfache Tageszähler für Aufrufe und Prüfungen, ohne Bezug zu einzelnen Personen. Analyse-, Statistik- oder Werbedienste setzen wir nicht ein, und die Anwendung lädt keine Inhalte von fremden Servern.

7. Ihre Rechte

Sie haben die Rechte aus Art. 15 bis 18, 20 und 21 DSGVO sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz.

Widerspruch (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

Weil wir Eingaben nicht speichern, können wir zu früheren Prüfungen keine Auskunft über deren Inhalt geben.

8. Keine automatisierte Entscheidung

Die Anwendung schlägt eine Zuständigkeit vor. Die Entscheidung trifft ein Mensch. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.