Sicherheit und Datenschutz

Wo Ihre Daten liegen, wie die Anwendung sie schützt und was nach dem Vertragsende mit ihnen geschieht. Nur Tatsachen, jede mit Quelle zum Weitergeben an Ihre IT-Sicherheit und Ihren Datenschutz.

Stand: 29.10.2026

Kostenlos registrieren Ausführliche Angaben mit Quellen

Das gilt heute

Hosting in Deutschland

Anwendung und Daten liegen im Rechenzentrum der Hetzner Online GmbH in Nürnberg. Verschlüsselte Sicherungskopien liegen zusätzlich auf einem Speicher der Hetzner Online GmbH an einem anderen Standort.
Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
Zertifikat des Rechenzentrums: ISO/IEC 27001:2022, ausgestellt für die Hetzner Online GmbH (Nr. ZN-2025-35, gültig bis 26.09.2028).

Hosting mit Quelle

Auftragsverarbeitung

Mit Ihrem Haus schließen wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, als Anlage zu den AGB.
Die technischen und organisatorischen Maßnahmen stehen in Anlage 2, die Unterauftragsverarbeiter in Anlage 3.
Einen neuen Unterauftragsverarbeiter kündigen wir mindestens vier Wochen vorher an.

Vertrag zur Auftragsverarbeitung

Anmeldung mit zweitem Faktor

Zur Anmeldung gehören Passwort und ein sechsstelliger Code per E-Mail.
Passwörter speichern wir nur als bcrypt-Hash. Nach mehreren Fehlversuchen ist die Anmeldung 15 Minuten gesperrt.
Auf Wunsch Single Sign-on über OpenID Connect oder SAML 2.0, Konten und Gruppen per SCIM 2.0.

Anmeldung und Rechte

Rollen und Rechte

Gruppen wie Vergabestelle, Fachbereich, Leitung und Rechnungsprüfung bestimmen, wer welche Verfahren sieht und bearbeitet.
Die Rechnungsprüfung liest nur. Fachbereiche können Bedarf melden, ohne volle Lizenz.
Wichtige Schritte stehen im Ereignisprotokoll Ihres Hauses.

Verschlüsselung und Trennung der Häuser

Jedes Haus hat eine eigene Datenbank, verschlüsselt mit SQLCipher und eigenem Schlüssel.
Die Dateien jedes Hauses liegen in einem eigenen, verschlüsselten Verzeichnis (fscrypt, AES-256-XTS).
Die Anwendung läuft nur über HTTPS, der Server setzt HSTS.

Verschlüsselung im Einzelnen

Angebote bis zur Frist verschlossen

Angebote werden beim Hochladen verschlüsselt (AES-256-GCM, eigener Schlüssel je Datei).
Vor Ablauf der Angebotsfrist entschlüsselt der Server sie nicht, auch nicht für Ihr Haus.
Zu jeder Datei hält die Anwendung die Prüfsumme fest (SHA-256). Geöffnet wird im Vieraugenprinzip.

Angebotseingang

KI und Daten

Die Leitung Ihres Hauses wählt die KI-Anbieter oder schaltet die KI ganz aus.
Die Anbieter verwenden Eingaben nach ihren Bedingungen für API- und Geschäftskunden nicht zum Training.
Jeder KI-Aufruf zu einem Verfahren steht im KI-Verlauf der Akte. Sprachaufnahmen speichert die Anwendung nicht. Für Mistral ist die Null-Datenspeicherung eingeschaltet (Stand 29.10.2026).

KI-Anbieter und Modelle

Export, Ausstieg und Löschung

Die Leitung kann das ganze Haus exportieren: Akten, Verträge, Adressbuch und Protokoll, mit Prüfsummen, auf Wunsch auch im Format xdomea.
Nach Ende des Vertrags können Sie Ihre Daten 30 Tage lang exportieren.
Danach löschen wir alle Daten Ihres Hauses innerhalb weiterer 30 Tage, soweit keine gesetzliche Pflicht zur Speicherung besteht (AVV § 11).

Löschung und Rückgabe in der AVV

Weitere Unterlagen

Sicherheit, Hosting und KIAlle Angaben im Einzelnen, mit Quellen, Modellen je Werkzeug und Betrieb mit eigenem Modell. Vertrag zur AuftragsverarbeitungMit Maßnahmen in Anlage 2 und Unterauftragsverarbeitern in Anlage 3. DatenschutzerklärungWie wir Daten auf der Website und in der Anwendung verarbeiten. BarrierefreiheitStand der Barrierefreiheit und Selbsttest der Anwendung. AGBAllgemeine Geschäftsbedingungen für Digitale-Vergabe.DE. Fragen Ihrer IT-SicherheitSchreiben Sie uns, wir antworten persönlich.

Digitale-Vergabe.DE kennenlernen

In einer Online-Demo zeigen wir Ihnen die Anwendung und beantworten Ihre Fragen.

Kostenlos registrieren