Datenschutzinformation Lieferantenportal & Bewertungsservice
Diese Information richtet sich an Kunden und Partner, die das Lieferantenportal oder den Bewertungsservice von Software Technologies nutzen. Sie ergänzt die Datenschutzerklärung der Website, die nur die Website selbst betrifft.
01Überblick und Rollen
| Rolle | Wer | Aufgabe |
|---|---|---|
| Verantwortlicher | Der Kunde (Auftraggeber) | Entscheidet, welche Lieferanten bewertet werden und wofür die Ergebnisse genutzt werden |
| Auftragsverarbeiter | Software Technologies Development Service GmbH, Ehrenpreisgasse 18, 1220 Wien, FN 198374 b | Betreibt Portal und Bewertungen nach Weisung des Kunden, auf Grundlage eines Vertrags nach Art. 28 DSGVO |
| Softwarelizenzgeber | Ynhald Corp., USA | Stellt Teile der Software bereit; hat keinen Zugriff auf Kundendaten |
| Vermittelnder Partner (optional) | Berater des Kunden | Bleibt Ansprechpartner des Kunden; erhält Ergebnisse nur, wenn der Kunde das freigibt |
Arbeitet ein Partner selbst mit den Ergebnissen in eigener Software, ist er gegenüber seinem Mandanten ebenfalls Auftragsverarbeiter; das regelt er mit seinem Mandanten.
02Leistungen und verarbeitete Daten
- Lieferantenportal: Der Kunde verwaltet seine Lieferanten, Nachweise, Maßnahmen und Bewertungen in einem passwortgeschützten Portal. Lieferanten beantworten Fragebögen über einen Link ohne Anmeldung.
- Bewertungsservice ohne Portal: Kunde oder Partner nennt die Lieferanten, wir bewerten sie und übergeben je Lieferant einen Bericht (PDF) und die Ergebnisse als strukturierte Datei (Excel/CSV oder JSON) zur Übernahme in die Software des Kunden.
| Datenkategorie | Beispiele | Betroffene Personen |
|---|---|---|
| Unternehmensdaten des Lieferanten | Firma, Anschrift, Register- und Finanzdaten, Zertifikate, Scores, Maßnahmen | (keine Personen, soweit juristische Person) |
| Kontaktdaten | Name, Funktion, E-Mail, Telefon von Ansprechpartnern | Ansprechpartner bei Lieferanten und beim Kunden |
| Personenprüfung | Name, Funktion, Beteiligung, Treffer auf Sanktions- und PEP-Listen, Presseberichte zur Geschäftstätigkeit | Geschäftsführung, Prokura, wirtschaftliche Eigentümer der Lieferanten |
| Selbstauskünfte und Nachweise | Antworten auf Fragebögen, hochgeladene Dokumente | Ausfüllende Personen beim Lieferanten |
| Nutzungsdaten Portal | Benutzerkonto, Rolle, Protokoll der Änderungen | Benutzer des Kunden und der Betreuung |
Besondere Kategorien nach Art. 9 DSGVO und Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO werden nicht gezielt erhoben. Treffer aus Sanktionslisten und Berichte über Geschäftsverhalten werden nur so weit dokumentiert, wie es für die Risikobewertung nötig ist.
03Zwecke und Rechtsgrundlagen
Die Rechtsgrundlage legt der Kunde als Verantwortlicher fest. Typisch sind:
| Zweck beim Kunden | Rechtsgrundlage |
|---|---|
| Sicherheit der Lieferkette nach NIS2 (Art. 21) bzw. NISG / BSIG | Art. 6 Abs. 1 lit. c DSGVO (rechtliche Pflicht) |
| Risikoanalyse nach LkSG / CSDDD | Art. 6 Abs. 1 lit. c DSGVO |
| Lieferantenbewertung für IFS HPC, ISO 22716, ISO 9001 | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an zuverlässigen Lieferanten) |
| Prüfung auf Sanktionen und Integrität | Art. 6 Abs. 1 lit. c oder f DSGVO |
| Kommunikation mit Ansprechpartnern | Art. 6 Abs. 1 lit. b oder f DSGVO |
Software Technologies verarbeitet die Daten ausschließlich für diese Zwecke des Kunden und nicht für eigene Zwecke. Ausnahme: anonymisierte Kennzahlen zur Verbesserung des Dienstes ohne Bezug zu Personen oder Kunden.
04Herkunft der Daten
- Vom Kunden: Lieferantenliste, Kategorie, Ansprechpartner, vorhandene Nachweise.
- Vom Lieferanten: Selbstauskünfte und Dokumente über den Fragebogen-Link.
- Aus öffentlichen Quellen: Handels- und Firmenregister, Zertifizierungsdatenbanken, Sanktions- und PEP-Listen (über OpenSanctions), Website und Impressum des Lieferanten, Presseberichte.
Die Information der betroffenen Lieferanten-Ansprechpartner nach Art. 14 DSGVO obliegt dem Kunden. Ein Textbaustein dafür kann bereitgestellt werden.
05Hosting und Unterauftragsverarbeiter
Die Kundendaten (Datenbanken, Dokumente, Benutzerkonten) liegen in der EU, in Rechenzentren in Frankfurt am Main und Amsterdam.
| Dienstleister | Zweck | Ort der Verarbeitung | Grundlage bei Drittland |
|---|---|---|---|
| Supabase Inc. | Datenbank, Anmeldung, Dokumentenablage, Serverfunktionen | EU (Frankfurt) | – |
| Microsoft Ireland Operations Ltd. (Azure) | Auslieferung der Portal-Oberfläche über sw-tech.net | EU (Irland) | – |
| Railway Corporation, San Francisco | Hintergrunddienste (Fristen, Signale, Zertifikatsauslesung, Bewertungsschnittstelle) | EU (Amsterdam, Niederlande) | Dienste in der EU-Region; Konto- und Betriebsdaten USA. EU-Standardvertragsklauseln laut Railway-DPA |
| Anthropic PBC | KI-Auswertung von Texten (Teilberichte, Fragebögen, Zertifikate) | USA | EU-Standardvertragsklauseln laut Datenverarbeitungsbedingungen von Anthropic |
| Resend (Plus Five Five, Inc., San Francisco) | Versand von E-Mails (Fragebögen, Erinnerungen) | E-Mail-Versand: EU (Irland); Konto- und Verwaltungsdaten: USA | EU-Standardvertragsklauseln und EU-U.S. Data Privacy Framework |
| OpenSanctions Datenbank GmbH | Abgleich mit Sanktions- und PEP-Listen | Deutschland | – |
An die KI werden nur die für die jeweilige Auswertung nötigen Inhalte übermittelt. Nach den kommerziellen Bedingungen von Anthropic werden über die API übermittelte Daten nicht zum Training von KI-Modellen verwendet. Änderungen an der Liste der Dienstleister teilen wir dem Kunden vorab mit.
06Technische und organisatorische Maßnahmen (Kurzfassung)
- Mandantentrennung: Jeder Datensatz ist einem Kunden zugeordnet; die Datenbank erzwingt per Zeilensicherheit, dass Benutzer nur die Daten ihres eigenen Unternehmens sehen.
- Zugang: Anmeldung mit E-Mail und Passwort, Rollen für Kunde, Prüfer und Betreuung; Prüferzugänge sind zeitlich befristet.
- Verschlüsselung: Übertragung ausschließlich über HTTPS/TLS; Speicherung verschlüsselt beim Hoster.
- Protokollierung: Änderungen an Bewertungen und Maßnahmen werden mit Benutzer und Zeitpunkt festgehalten.
- Schnittstellen: Verwaltungs- und Abruffunktionen nur mit geheimem Schlüssel; Fragebogen-Links mit optionalem Zugangscode.
- Organisation: Zugriff nur für eingewiesene Mitarbeiter mit Verschwiegenheitsverpflichtung; dokumentiertes Verfahren für Datenschutzvorfälle mit Meldung an den Kunden.
Die ausführliche Beschreibung ist Teil des Vertrags zur Auftragsverarbeitung, den Kunden mit uns abschließen.
07Speicherdauer, Export, Rechte und Kontakt
- Speicherdauer: Solange der Vertrag mit dem Kunden läuft. Für die Nachweiskette nach LkSG können Bewertungsstände auf Weisung des Kunden bis zu 7 Jahre aufbewahrt werden.
- Vertragsende: Der Kunde erhält auf Wunsch einen vollständigen Export (PDF und Excel/CSV oder JSON); danach werden die Daten innerhalb von 30 Tagen gelöscht, soweit keine Aufbewahrungspflicht entgegensteht.
- Rechte der Betroffenen: Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch richten sich an den Kunden als Verantwortlichen. Software Technologies unterstützt den Kunden dabei und leitet direkt eingehende Anfragen an ihn weiter.
- Beschwerde: bei der zuständigen Aufsichtsbehörde, in Österreich der Datenschutzbehörde (dsb.gv.at).
Kontakt Datenschutz
Software Technologies Development Service GmbH
Ehrenpreisgasse 18, 1220 Wien, Österreich