Stand: 19.08.2026
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Max Deppmeyer, DeppFlow (Einzelunternehmen)
Steinbergstraße 16, 30559 Hannover, Deutschland
Telefon: 0176 62360840 · E-Mail: info@deppflow.de
Ein Datenschutzbeauftragter ist nicht bestellt, da keine gesetzliche Pflicht hierzu besteht.
BidFlow ist eine Software zur Unterstützung von Unternehmen bei der Teilnahme an öffentlichen Ausschreibungen. Das Angebot richtet sich ausschließlich an Unternehmer (§ 14 BGB). Verarbeitet werden personenbezogene Daten der Nutzerinnen und Nutzer sowie Daten, die in hochgeladenen Vergabeunterlagen, Firmenprofilen und Nachweisdokumenten enthalten sind.
a) Konto und Anmeldung. Bei der Registrierung verarbeiten wir E-Mail-Adresse und Passwort (gehasht) sowie Anmeldezeitpunkte. Zweck: Bereitstellung des Dienstes, Zugangsverwaltung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
b) Firmenprofil und Nachweisdokumente. Angaben zum Unternehmen (Firma, Anschrift, Umsatzsteuer-Identifikationsnummer, Umsätze, Versicherungen, Referenzen, Unterschriftsbild) sowie hochgeladene Nachweise. Diese Daten füllen automatisiert Vergabeformulare aus. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
c) Vergabeunterlagen. Hochgeladene Ausschreibungsdokumente werden gespeichert, in Text umgewandelt und automatisiert analysiert (siehe Ziffer 5). Soweit darin personenbezogene Daten Dritter enthalten sind (z. B. Ansprechpersonen der Vergabestelle), verarbeiten wir diese im Auftrag des Kunden zur Vertragserfüllung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
d) E-Mail-Postfach des Kunden. Hinterlegt der Kunde die Zugangsdaten seines eigenen E-Mail-Postfachs (SMTP/IMAP), nutzen wir diese ausschließlich, um in seinem Auftrag Preisanfragen an Lieferanten zu versenden und Antworten abzurufen. Die Passwörter werden mit AES-256-GCM verschlüsselt gespeichert und nur serverseitig zum Zeitpunkt des Versands bzw. Abrufs entschlüsselt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
e) Server-Protokolle. Beim Aufruf der Anwendung fallen technisch bedingt Protokolldaten an (IP-Adresse, Zeitpunkt, aufgerufene Ressource, User-Agent). Zweck: Betriebssicherheit, Fehleranalyse, Missbrauchsabwehr; auf die öffentliche Lieferanten-Antwortseite wird zusätzlich eine IP-basierte Zugriffsbegrenzung angewandt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).
f) Zahlungsdaten. Bei Buchung eines kostenpflichtigen Plans erfolgt die Zahlungsabwicklung über die Stripe Payments Europe, Ltd. (Irland). Wir erhalten keine vollständigen Zahlungskartendaten, sondern nur Bestätigungen und Abrechnungsstatus. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
BidFlow verwendet ausschließlich technisch notwendige Cookies zur Sitzungsverwaltung (Anmeldestatus). Es werden keine Tracking-, Analyse- oder Marketing-Cookies gesetzt. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO.
Zur automatisierten Analyse werden hochgeladene Vergabeunterlagen und daraus abgeleitete Inhalte an KI-Dienstleister übermittelt. Für die Web-Produktsuche werden ausschließlich Produktbezeichnungen und technische Kriterien aus Leistungsverzeichnissen übermittelt, keine personenbezogenen Daten. Wir setzen folgende Auftragsverarbeiter (Art. 28 DSGVO) bzw. Dienstleister ein:
Zusätzlich wird auf der Seite „Ausschreibungssuche“ eine Landkarte angezeigt. Die Kartenausschnitte werden dabei unmittelbar aus dem Browser der Nutzerin oder des Nutzers von der OpenStreetMap Foundation (Vereinigtes Königreich) geladen; dabei wird die IP-Adresse an diesen Anbieter übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Darstellung des Suchumkreises).
Soweit Anbieter außerhalb der Europäischen Union sitzen, stützen wir die Übermittlung auf einen Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO) oder auf EU-Standardvertragsklauseln nebst ergänzenden Schutzmaßnahmen (Art. 46 DSGVO).
Nach den Nutzungsbedingungen der von uns eingesetzten API-Schnittstellen von Anthropic und OpenAI werden übermittelte Inhalte nicht zum Training der Modelle verwendet.
Hinweis zur Qualität: Die KI-Analyse erstellt automatisierte Auswertungen, die fehlerhaft oder unvollständig sein können. Es findet keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt; alle rechtlich erheblichen Entscheidungen (insbesondere die Abgabe eines Angebots) trifft der Kunde selbst.
Konto- und Vertragsdaten speichern wir für die Dauer des Vertragsverhältnisses und darüber hinaus, soweit gesetzliche Aufbewahrungspflichten bestehen (§ 147 AO, § 257 HGB: bis zu zehn Jahre für Abrechnungsunterlagen). Firmenstammdaten, hinterlegte Nachweise, Referenzen, Preislisten und Lieferantenangaben kann der Kunde jederzeit selbst im Dienst löschen. Die Löschung einzelner Ausschreibungsvorgänge und der dazu hochgeladenen Vergabeunterlagen nehmen wir auf Anforderung des Kunden vor. Nach Vertragsende werden alle Kundendaten innerhalb von 90 Tagen gelöscht, soweit keine Aufbewahrungspflicht entgegensteht. Server-Protokolle werden durch die Hosting-Dienstleister nach deren Standardfristen automatisch gelöscht.
Sie haben gegenüber uns das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage des Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Wenden Sie sich dazu an info@deppflow.de.
Ihnen steht außerdem ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Die für uns zuständige Aufsichtsbehörde ist die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.
Die Übertragung aller Daten erfolgt verschlüsselt über TLS. Hochgeladene Dateien liegen in einem nicht öffentlich zugänglichen Speicher und sind je Organisation getrennt abgelegt; der Zugriff darauf wird durch die Anwendung geprüft. Für die Datenbank sind zusätzlich Zugriffsregeln auf Datenbankebene eingerichtet, die den Zugriff auf die jeweils eigene Organisation beschränken. Hinterlegte Postfach-Zugangsdaten werden mit AES-256-GCM verschlüsselt.
Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitungen oder die Rechtslage ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.