Datenschutzerklärung

1. Verantwortlicher

2. Das Wichtigste in Kürze

SHK-Radar zeigt SHK-Betrieben öffentliche Ausschreibungen und Förderprogramme. Wir verarbeiten nur die Daten, die für Konto, Anmeldung und die passende Auswahl nötig sind. Es gibt keine fremden Tracking-, Analyse- oder Statistikdienste, keine Werbe-Cookies und keinen Verkauf von Daten. Wie das Portal genutzt wird, werten wir selbst in unserer eigenen Datenbank aus, ohne Cookies; dem können Sie in den Einstellungen jederzeit widersprechen (Abschnitt 4, „Nutzungsauswertung im Portal“). Mails mit Angeboten zu Zusatzleistungen bekommen Sie nur, wenn Sie das ausdrücklich erlaubt haben.

3. Hosting und Server-Protokolle

Die Website wird bei Vercel Inc. (USA) betrieben. Beim Aufruf jeder Seite verarbeitet Vercel technisch notwendige Zugriffsdaten: IP-Adresse, Zeitpunkt, abgerufene Seite, Statuscode und die Kennung des Browsers (User-Agent). Diese Protokolle dienen dem sicheren Betrieb und der Fehlersuche. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, funktionierenden Angebot (Art. 6 Abs. 1 lit. f DSGVO).

Vercel verarbeitet die Daten als Auftragsverarbeiter. Für Übermittlungen in die USA stützt sich Vercel auf das EU-US Data Privacy Framework und ergänzend auf die Standardvertragsklauseln der EU-Kommission.

Besucherzählung der Startseite ohne Cookies

Auf der Startseite und im Einstieg (/start) zählen wir, wie oft die Seite aufgerufen und wie oft „Kostenlos starten“ geklickt wird. Gespeichert wird nur ein Zähler je Tag, Seite und Klick sowie das Land, das Vercel aus der Verbindung ableitet (zwei Buchstaben, etwa DE). Die IP-Adresse speichern wir dafür nicht, ebenso wenig eine Kennung, ein Cookie oder einen Eintrag im Speicher Ihres Browsers; der Browser schickt bei dieser Zählung auch keine Cookies mit. Anfragen, die sich als Suchmaschine oder Programm zu erkennen geben, zählen wir nicht. Ein Rückschluss auf einzelne Besucher ist so nicht möglich. Zweck ist, zu sehen, ob die Startseite Interessierte zum Einstieg führt (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).

4. Konto, Anmeldung und Datenbank

Konto und Anmeldung laufen über Supabase (Supabase Inc.). Die Datenbank liegt in einem Rechenzentrum in der EU (Region eu-west-1, Irland). Supabase ist unser Auftragsverarbeiter; für etwaige Zugriffe aus den USA gelten die Standardvertragsklauseln der EU-Kommission.

Zu Ihrem Konto speichern wir:

• E-Mail-Adresse und Passwort (nur als verschlüsselter Hash, nie im Klartext)
• Name, Firma, Anschrift, Postleitzahl, Ort, Telefon, Mobilnummer und Webseite, soweit Sie diese angeben
• Angaben aus dem Einstieg: Gewerke, Umkreis, Betriebsgröße, Auftragsgröße und Schwerpunkte
• Ihre Merkliste und Ihre Entscheidungen zu Ausschreibungen (Angebot, später, nein, mit optionalem Grund)
• Ihre Klicks auf „Unterlagen öffnen“, „Auf der Plattform anmelden“ und „Original-Bekanntmachung“ einer Ausschreibung (welche Ausschreibung, welcher Knopf, Zeitpunkt; höchstens ein Klick je Knopf und Stunde)
• Ob Sie E-Mail-Benachrichtigungen wünschen
• Wie Sie das Portal nutzen, solange Sie nicht widersprochen haben (siehe „Nutzungsauswertung im Portal“)
• Ob Sie Angebote zu Zusatzleistungen per E-Mail erhalten möchten, mit Protokoll
• Ein Protokoll Ihrer Zustimmungen: wann Sie bei der Registrierung den AGB zugestimmt und die Datenschutzhinweise zur Kenntnis genommen haben und wann Sie die Tagesmail ein- oder ausgeschaltet haben, jeweils mit einer Kennung des Textes, der neben dem Haken stand, und dem Weg (Registrierung, Einstellungen, Abmeldelink)

Firmenkonto und Team

SHK-Radar richtet sich an Betriebe. Das Konto gehört einer Firma: Wir speichern Firmenname, Rechtsform, Anschrift, freiwillig die USt-IdNr sowie den Zeitpunkt, zu dem bestätigt wurde, dass die Firma als Unternehmer handelt. Zu jeder Person im Team speichern wir ihre Rolle (Inhaber, Büro oder Kalkulation). Name, E-Mail-Adresse und Rolle sehen alle Mitglieder derselben Firma. Nachweise, Merkliste, Entscheidungen, die Haken der Angebots-Checkliste, die Zwischenstände der LV-Kalkulation und die Haken „Konto vorhanden“ bei Vergabeportalen gehören der Firma; wir vermerken, wer sie angelegt oder zuletzt geändert hat. Zugangsdaten für Vergabeportale speichern wir nie, und wir melden uns dort nicht für Sie an.

Lädt ein Inhaber jemanden ein, speichern wir dessen E-Mail-Adresse, die Rolle und das Ablaufdatum (7 Tage). Vom Einladungslink selbst speichern wir nur einen Prüfwert (Hash), nicht den Link. Wir verschicken keine Einladungsmail; den Link gibt der Inhaber selbst weiter. Rechtsgrundlage ist der Nutzungsvertrag mit der Firma (Art. 6 Abs. 1 lit. b DSGVO) und, für die E-Mail-Adresse eingeladener Personen, das berechtigte Interesse der Firma, ihr Team zu verwalten (Art. 6 Abs. 1 lit. f DSGVO).

Löscht eine Person aus dem Team ihr Konto, bleiben die Firmendaten erhalten, der Vermerk „angelegt von“ bzw. „geändert von“ wird entfernt. Löscht der letzte Inhaber sein Konto, löschen wir die Firma mit allen Nachweisen samt Dateien, der Merkliste, den Entscheidungen, den Checklisten-Haken, den LV-Entwürfen und den Haken zu den Portal-Konten. Der Datenexport enthält die Firma und Ihre eigenen Daten.

Die Klicks zählen wir nur zusammengefasst aus, um zu sehen, ob die Angaben zu den Ausschreibungen nützlich sind und wo Links fehlen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Dafür nutzen wir keinen fremden Dienst; die Klicks liegen in derselben Datenbank, sind Teil Ihres Datenexports und werden mit dem Konto gelöscht.

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Bei der Anmeldung verarbeitet Supabase zusätzlich technische Daten wie IP-Adresse und Zeitpunkt, um das Konto vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO).

Nutzungsauswertung im Portal

Wir möchten sehen, wo das Portal hakt, damit wir es verbessern und Ihnen gezielt helfen können. Dafür speichern wir, solange Sie nicht widersprochen haben, in unserer eigenen Datenbank bei Supabase (kein fremder Analysedienst):

• welche Seite des Portals Sie aufrufen (ohne Suchbegriffe und Kennungen in der Adresse)
• Ihre Entscheidung beim Sichten (Angebot, später, nein) und gegebenenfalls einen Grund aus der Vorlage
• welchen Schritt des Angebots-Assistenten Sie zu welcher Ausschreibung öffnen und wann Sie ein Angebot als abgegeben markieren
• ob Sie Benachrichtigungen aufs Handy einschalten, ein Portal-Konto als vorhanden markieren, eine Firma anlegen oder eine LV-Kalkulation speichern
• dazu Zeitpunkt, Ihre Konto-Kennung, die Kennung Ihrer Firma und einen Prüfwert Ihrer Anmeldesitzung

Der Prüfwert der Sitzung wird auf unserem Server aus der Anmeldung errechnet, die ohnehin besteht; dafür setzen wir kein Cookie und legen nichts im Speicher Ihres Browsers ab. Nach dem Abmelden entsteht ein neuer Prüfwert. Wir erfassen nicht, was Sie eintippen, keine Mausbewegungen und keine Bildschirmaufnahmen.

Ausgewertet wird zusammengefasst (wie viele Betriebe welchen Schritt erreichen, wo sie aufhören, welche Gründe für „nicht für uns“ häufig sind, welche Seiten genutzt werden) und je Firma nach festen Regeln, um Ihnen bei Bedarf eine passende Unterstützung anbieten zu können, etwa bei häufig zu großen Aufträgen eine Bietergemeinschaft, Hilfe beim Ausfüllen, wenn ein Angebot bei den Formularen stehen bleibt, oder Hilfe, wenn Nachweise ablaufen. Dafür ziehen wir auch Angaben heran, die ohnehin bei uns liegen: Entscheidungen, Gültigkeitsdaten von Nachweisen, ob LV-Entwürfe gespeichert und Portal-Konten als vorhanden markiert sind. Es gibt keine automatisierte Entscheidung mit rechtlicher Wirkung; die Hinweise sieht nur der Betreiber.

Rechtsgrundlage ist unser berechtigtes Interesse, das Portal zu verbessern und unseren Kunden passende Unterstützung anzubieten (Art. 6 Abs. 1 lit. f DSGVO). Sie nutzen SHK-Radar als Betrieb; erfasst wird nur, was Sie im Portal tun, nicht auf anderen Seiten.

Widerspruch: In den Einstellungen unter „Nutzung und Angebote“ können Sie „Nutzung zur Verbesserung erfassen“ jederzeit ausschalten (Art. 21 DSGVO). Ab dann speichern wir nichts mehr; die bisherigen Einträge lösen wir sofort von Ihrer Person, Ihrer Firma und Ihrer Sitzung, und Sie zählen in keiner Auswertung mehr mit. Eine formlose Nachricht an mika@thomeemedia.de genügt ebenso.

Speicherdauer: Nach 12 Monaten werden die Einträge automatisch anonymisiert. Übrig bleibt nur, welche Seite oder welcher Schritt an welchem Tag genutzt wurde, ohne Bezug zu Person, Firma oder Sitzung. Ihre eigenen Einträge sind Teil Ihres Datenexports und werden mit dem Konto gelöscht.

Angebote zu Zusatzleistungen per E-Mail

Bei der Registrierung und in den Einstellungen können Sie freiwillig einen eigenen Haken setzen, damit wir Ihnen per E-Mail passende Zusatzleistungen anbieten dürfen (zum Beispiel Hilfe beim Ausfüllen, bei Nachweisen oder beim Einrichten von Portal-Konten). Der Haken ist nicht vorausgewählt, und ohne ihn können Sie SHK-Radar ganz normal nutzen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Wir speichern sie wie die Zustimmung zur Tagesmail mit Zeitpunkt, der Kennung des Wortlauts und dem Weg (Registrierung, Einstellungen). Sie können sie jederzeit in den Einstellungen widerrufen; das wirkt sofort (Art. 7 Abs. 3 und Art. 21 Abs. 2 DSGVO). Solche Mails schreiben wir einzeln; einen automatischen Versand gibt es dafür nicht. Das Protokoll ist Teil Ihres Datenexports und wird mit dem Konto gelöscht.

E-Mails

Die Mail zur Bestätigung Ihrer Adresse und die Mail zum Zurücksetzen des Passworts versendet Supabase Auth. Ihre Zustimmung zu E-Mail-Benachrichtigungen speichern wir (Art. 6 Abs. 1 lit. a DSGVO); Sie können sie in den Einstellungen jederzeit widerrufen.

Mit dieser Zustimmung und bestätigter Adresse bekommen Sie morgens höchstens eine Mail (Tagesmail) mit den Ausschreibungen, die seit der letzten Mail neu dazugekommen sind und zu Ihren Gewerken und Ihrem Umkreis passen. Ohne neue Treffer gibt es keine Mail. Dafür verwenden wir Ihre Anmelde-E-Mail-Adresse, Ihre Gewerke und Ihren Umkreis sowie die Entscheidungen Ihrer Firma, damit bereits gesichtete Ausschreibungen nicht noch einmal kommen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Damit wir Ihre Einwilligung nachweisen können (Art. 7 Abs. 1 DSGVO), speichern wir jede Zustimmung und jeden Widerruf mit Zeitpunkt, der Kennung des Wortlauts, dem Sie zugestimmt haben, und dem Weg. Ebenso halten wir fest, wann Sie bei der Registrierung den AGB zugestimmt haben (Art. 6 Abs. 1 lit. b und c DSGVO). Die Einträge lassen sich nicht nachträglich ändern. Für Zustimmungen, die vor dem 14.10.2026 erteilt wurden, ist weder Zeitpunkt noch Wortlaut bekannt; dort steht ein entsprechend gekennzeichneter Nachtrag. Das Protokoll ist Teil Ihres Datenexports und wird mit dem Konto gelöscht.

Abmelden können Sie sich jederzeit ohne Anmeldung über den Link in jeder Mail oder in den Einstellungen. Der Link enthält Ihre Konto-Kennung und eine Prüfsumme, damit niemand andere abmelden kann; nach dem Klick auf „Tagesmail abbestellen“ ist Ihre Einwilligung widerrufen.

Damit niemand eine Mail doppelt bekommt, führen wir ein Versandprotokoll: Konto-Kennung, Tag und Zeitpunkt des Versands, Zahl und Kennungen der gemailten Ausschreibungen. Die E-Mail-Adresse steht nicht im Protokoll. Das Protokoll ist Teil Ihres Datenexports und wird mit dem Konto gelöscht.

Versendet werden die Mails über Resend (Resend, Inc., USA) als Auftragsverarbeiter. Resend erhält dafür Empfängeradresse, Betreff und Inhalt der Mail und speichert sie für Zustellung und Fehlersuche für kurze Zeit. Für Übermittlungen in die USA gelten die Standardvertragsklauseln der EU-Kommission aus dem Auftragsverarbeitungsvertrag von Resend (Art. 46 Abs. 2 lit. c DSGVO).

Benachrichtigungen aufs Handy (Push)

Wenn Sie in den Einstellungen „Benachrichtigungen einschalten“ wählen und Ihr Gerät es erlaubt, bekommen Sie morgens höchstens eine kurze Nachricht zu neuen passenden Ausschreibungen und eine Erinnerung 3 Tage und 1 Tag vor der Abgabefrist Ihrer Angebote. Dafür speichern wir je Gerät die Adresse beim Push-Dienst Ihres Browsers, zwei Schlüssel zum Verschlüsseln der Nachricht, einen Gerätenamen wie „iPhone“, wann das Gerät angemeldet wurde und ob die letzte Nachricht ankam, außerdem welche Anlässe Sie gewählt haben und ein Versandprotokoll (Tag, Anlass, Kennungen der gemeldeten Ausschreibungen), damit nichts doppelt kommt. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die Sie jederzeit mit „Auf diesem Gerät ausschalten“ oder in den Einstellungen Ihres Geräts widerrufen können.

Zugestellt werden die Nachrichten über den Push-Dienst, den Ihr Browser vorgibt: bei Chrome und Android Google (Firebase Cloud Messaging), bei Safari und iPhone Apple (Apple Push Notification Service), bei Firefox Mozilla, bei Edge Microsoft. Dieser Dienst erhält die Nachricht verschlüsselt, dazu die Geräteadresse und technische Angaben wie den Zeitpunkt; den Inhalt kann er nicht lesen. Diese Anbieter sitzen teils in den USA; die Übermittlung beruht auf dem EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist. Meldet der Push-Dienst ein Gerät als abgemeldet, schicken wir dorthin nichts mehr. Geräte, Einstellungen und Protokoll sind Teil Ihres Datenexports und werden mit dem Konto gelöscht.

Checkliste und LV-Kalkulation im Team

Hakt jemand aus Ihrem Team einen Punkt der Angebots-Checkliste ab, speichern wir in der Datenbank, welcher Punkt zu welcher Ausschreibung erledigt ist, wer ihn zuletzt umgeschaltet hat und wann. Bei „LV kalkulieren“ speichern wir je GAEB-Datei eine Prüfsumme der Datei (SHA-256), den Dateinamen, die eingetragenen Einheitspreise und Kalkulationswerte (Stundensatz, Zuschlag, Zeit und Einkaufspreis je Position) sowie wer sie wann zuletzt geändert hat. Das Leistungsverzeichnis selbst (die GAEB-Datei) wird weiterhin nur in Ihrem Browser gelesen und nicht übertragen. Diese Angaben sehen alle Mitglieder Ihrer Firma, damit Büro und Kalkulation am selben Stand arbeiten; ändern zwei Personen gleichzeitig, gilt der zuletzt gespeicherte Stand. Je Entwurf speichern wir höchstens 500 KB und je Firma höchstens 200 Entwürfe; darüber hinaus ersetzt ein neuer Entwurf den am längsten nicht geänderten. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Hochgeladene Nachweise

Im Bereich „Nachweise“ können Sie Unterlagen Ihres Betriebs hochladen, die Vergabestellen bei Ausschreibungen verlangen, etwa Gewerbeanmeldung, Unbedenklichkeitsbescheinigungen oder Versicherungsnachweise. Wir speichern die Datei, die Art des Nachweises und die Daten zu Ausstellung und Gültigkeit, damit Sie die Nachweise griffbereit haben und vor dem Ablauf gewarnt werden (Art. 6 Abs. 1 lit. b DSGVO). Die Dateien liegen in einem privaten Speicher von Supabase in derselben EU-Region wie die Datenbank. Nur die Mitglieder Ihrer Firma können sie öffnen; ein Öffnen-Link gilt 60 Sekunden. Einzelne Nachweise lassen sich jederzeit löschen; mit der Firma werden alle Nachweise samt Dateien gelöscht. Wir werten die Inhalte nicht aus und geben sie nicht weiter.

5. Abo und Bezahlung (Stripe)

Das Abo für SHK-Radar bezahlen Sie über den Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland). Wenn der Inhaber Ihrer Firma in den Einstellungen unter „Abo & Rechnungen“ ein Abo startet, legen wir bei Stripe einen Kunden für die Firma an und übermitteln dafür Firmenname, Anschrift, die Anmelde-E-Mail des Inhabers, die USt-IdNr. (falls angegeben) und eine interne Kennung der Firma. Die Zahlungsdaten (Kartennummer oder IBAN samt SEPA-Mandat) geben Sie direkt auf der Bezahlseite von Stripe ein; sie erreichen unsere Server nicht. Von Stripe erhalten wir nur den Stand des Abos (zum Beispiel Testphase, aktiv, gekündigt) und das Ende der laufenden Abrechnungsperiode. Über das Kundenportal von Stripe ändern Sie die Zahlart, laden Rechnungen herunter oder kündigen.

Zweck ist die Abwicklung des Abos: Zahlung, Rechnungen, Mahnungen und die Freischaltung des Portals. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) und, für Rechnungen und Buchungsbelege, unsere gesetzlichen Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO, § 147 AO, § 257 HGB, in der Regel 10 Jahre). Zur Betrugsvorbeugung verarbeitet Stripe außerdem technische Daten wie IP-Adresse und Gerätedaten (Art. 6 Abs. 1 lit. f DSGVO).

Stripe kann Daten auch an Stripe, Inc. in den USA übermitteln (Drittland). Stripe ist dafür nach dem EU-US Data Privacy Framework zertifiziert und nutzt ergänzend die Standardvertragsklauseln der EU-Kommission. Für die Zahlungsabwicklung selbst ist Stripe eigenständig verantwortlich; die Datenschutzerklärung von Stripe finden Sie unter stripe.com/de/privacy (öffnet in neuem Tab). Wird die Firma gelöscht, beenden wir ein laufendes Abo sofort; Rechnungen bleiben für die gesetzlichen Fristen bei Stripe und bei uns gespeichert.

6. Umkreissuche

Für den Umkreis verrechnen wir die Postleitzahl Ihrer Firma (ohne Firma die aus Ihrem Profil) in unserer Datenbank mit öffentlichen Geodaten (GeoNames). Ihr Gerät wird nicht geortet, und die Seite fragt keinen Standortzugriff an.

7. Ausschreibungs- und Zuschlagsdaten, KI-Prüfung

SHK-Radar liest öffentlich bekannt gemachte Ausschreibungen und Förderprogramme aus öffentlichen Quellen. Diese Bekanntmachungen können Namen und Kontaktdaten von Ansprechpersonen der Vergabestellen enthalten. Wir verarbeiten sie nur, um die Bekanntmachung im Portal anzuzeigen (Art. 6 Abs. 1 lit. f DSGVO).

Bei unklaren Fällen kann der Scanner eine zweite Einschätzung von Claude einholen, einem KI-Dienst von Anthropic PBC (USA). Übermittelt werden nur Titel, erkannte Gewerke, CPV-Codes und ein Textauszug der öffentlichen Bekanntmachung. Kundendaten, Profile oder Kontodaten werden dabei nicht übermittelt. Für die Übermittlung in die USA gelten die Standardvertragsklauseln der EU-Kommission.

Um die Qualität der Daten zu messen, lässt SHK-Radar außerdem einmal täglich eine Stichprobe offener Ausschreibungen von Claude bewerten. Übermittelt werden nur Titel, Kurzbeschreibung, Gewerke, Ort, Frist und die Links der öffentlichen Bekanntmachung; Kontaktdaten der Vergabestellen (E-Mail-Adressen und Telefonnummern werden vorher auch aus dem Text entfernt) und Daten von Nutzern werden nicht übermittelt.

Wenn Sie auf der Seite einer Ausschreibung „Checkliste erstellen“ wählen, ruft SHK-Radar die öffentlich abrufbaren Vergabeunterlagen dieser Ausschreibung ab und lässt sie von Claude (Anthropic PBC als unser Auftragsverarbeiter) zu einer Checkliste auswerten. Übermittelt werden nur der Text dieser öffentlichen Unterlagen sowie Titel und Vergabenummer der Ausschreibung; personenbezogene Daten von Ihnen als Nutzer (Name, E-Mail-Adresse, Profil, Nachweise) gehen nicht an Anthropic. Wir speichern nur die fertige Checkliste und die Namen und Adressen der gelesenen Dateien, nicht die Unterlagen selbst. Damit die Funktion nicht missbraucht wird, zählen wir je Konto und Tag, wie viele Checklisten erstellt wurden (Art. 6 Abs. 1 lit. f DSGVO); die Zählung ist Teil Ihres Datenexports. Den Abgleich mit Ihrem Nachweis-Tresor macht Ihr Browser.

Was Claude erstellt oder ergänzt hat, kennzeichnen wir direkt dort: die Checkliste mit „Von KI erstellt (Claude), bitte prüfen“, von Claude ergänzte Angaben einer Ausschreibung (Frist, Ort, Auftraggeber) mit „Von KI ergänzt, bitte prüfen“.

Zuschlagsdaten (Wettbewerb)

Unter „Wettbewerb“ und auf der Seite einer Ausschreibung zeigen wir, an wen öffentliche Aufträge vergeben wurden. Quelle sind ausschließlich Vergabebekanntmachungen, die öffentliche Auftraggeber im Bekanntmachungsservice des Bundes (oeffentlichevergabe.de) veröffentlicht haben; der Bund stellt diese Daten zur freien Weiterverwendung bereit. Übernommen werden Titel, Auftraggeber, Vergabenummer, Verfahren, Ergebnis, Name, Ort, Postleitzahl, Land und Größenklasse des Zuschlagsempfängers, Auftragswert, Zahl der Angebote, Zuschlags- und Veröffentlichungsdatum, Leistungsort und Gewerk. Ist der Zuschlagsempfänger ein Einzelunternehmen, kann sein Name ein Personenname sein; dann sind das personenbezogene Daten.

Zweck ist es, angemeldeten SHK-Betrieben zu zeigen, welche Aufträge in ihrer Region zu welchen Preisen und an wen vergeben wurden, damit sie Preise und Chancen besser einschätzen können. Rechtsgrundlage ist unser berechtigtes Interesse und das unserer Nutzer an dieser Markttransparenz (Art. 6 Abs. 1 lit. f DSGVO). In der Abwägung berücksichtigen wir: Die Angaben werden von den Vergabestellen gerade zur Transparenz der Vergabe veröffentlicht und sind dort frei abrufbar; es geht nur um die geschäftliche Tätigkeit als Auftragnehmer, nicht um das Privatleben; wir zeigen sie nur angemeldeten Betrieben, nicht öffentlich und nicht für Suchmaschinen; wir verknüpfen sie mit keinen weiteren Daten über die Person; ältere Zuschläge zeigen wir nicht mehr an (siehe unten); und jeder Zuschlagsempfänger kann widersprechen.

Information für Zuschlagsempfänger (Art. 14 DSGVO): Verantwortlich ist der oben genannte Betreiber. Die Daten stammen aus der öffentlichen Bekanntmachung im Bekanntmachungsservice des Bundes. Empfänger sind die angemeldeten Nutzer von SHK-Radar und unsere Dienstleister für Hosting und Datenbank (Abschnitte 3 und 4). Zuschläge, deren Datum (Zuschlag, sonst Veröffentlichung) mehr als drei Jahre zurückliegt, sind für Nutzer nicht mehr abrufbar. Sie haben die Rechte aus Abschnitt 12, insbesondere das Recht auf Auskunft und auf Widerspruch (Art. 21 DSGVO).

Widerspruch: Eine formlose E-Mail an mika@thomeemedia.de mit dem Namen, wie er bei uns erscheint, genügt. Wir blenden den Namen dann aus: Name, Ort und Postleitzahl werden in allen Einträgen gelöscht, an ihrer Stelle steht „Name auf Wunsch ausgeblendet“. Damit der Name bei künftigen Bekanntmachungen nicht wieder gespeichert wird, behalten wir einen Sperrvermerk: einen Prüfwert (Hash) des Namens, aus dem sich der Name nicht zurückrechnen lässt, und das Datum des Widerspruchs.

8. Schriften

Die Schrift Geist wird beim Bau der Seite eingebunden und von unserem eigenen Server ausgeliefert. Beim Aufruf der Seite besteht keine Verbindung zu Google oder einem anderen Schriftenanbieter.

9. Cookies und lokaler Speicher

SHK-Radar setzt nur Cookies, die für die Anmeldung technisch unbedingt erforderlich sind. Dafür ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Es gibt keine Tracking-, Statistik- oder Werbe-Cookies. Im lokalen Speicher des Browsers (localStorage) liegt nur, nach dem Öffnen eines Einladungslinks, dessen Kennung, bis die Einladung angenommen ist, und Merker, dass Sie den Hinweis zu den Portal-Konten oder zu den Benachrichtigungen aufs Handy gesehen haben (siehe unten). Wer Benachrichtigungen einschaltet, meldet im Browser einen Service Worker an, der nur Nachrichten anzeigt und nichts zwischenspeichert. Den Zwischenstand der LV-Kalkulation und die Haken der Angebots-Checkliste speichern wir seit Oktober 2026 für Ihre Firma in der Datenbank (Abschnitt 4). Ältere Einträge dazu aus Ihrem Browser übernehmen wir beim nächsten Öffnen einmalig und entfernen sie danach aus dem Browser. sessionStorage verwenden wir nicht.

sb-<Projektkennung>-auth-token

Hält Ihre Anmeldung (Zugangs- und Erneuerungsschlüssel). Wird bei der Anmeldung gesetzt und beim Abmelden gelöscht, sonst nach spätestens 400 Tagen. Bei großen Sitzungen in Teile mit der Endung .0, .1 aufgeteilt.

sb-<Projektkennung>-auth-token-code-verifier

Sichert den Link aus der Mail zum Zurücksetzen des Passworts oder zur Bestätigung ab. Wird nur für diesen Vorgang gesetzt und beim Einlösen des Links wieder gelöscht.

shk-lv:<Prüfsumme der Datei> (localStorage, nur noch alt)

Wird nicht mehr angelegt. Ein älterer Eintrag mit Preisen und Kalkulationswerten zu einer GAEB-Datei wird beim nächsten Öffnen derselben Datei in den Zwischenstand Ihrer Firma übernommen und dann aus dem Browser entfernt.

shk-checkliste:<Konto>:<Ausschreibung> (localStorage, nur noch alt)

Wird nicht mehr angelegt. Ältere Haken aus diesem Eintrag werden beim nächsten Öffnen der Ausschreibung für Ihre Firma übernommen (soweit dort noch nicht gesetzt) und dann aus dem Browser entfernt.

shk:portal-hinweis (localStorage, nur noch alt)

Wird nicht mehr angelegt. Früher der Wert „1“, nachdem Sie den Hinweis zu den Portal-Konten auf der Übersicht geöffnet oder ausgeblendet hatten. Ein alter Eintrag hat keine Wirkung mehr und enthält keine Angaben zu Ihnen; Sie können ihn über die Browser-Einstellungen entfernen.

shk:push-hinweis (localStorage, nur noch alt)

Wird nicht mehr angelegt. Früher der Wert „1“, nachdem Sie den Hinweis zu den Benachrichtigungen aufs Handy auf der Übersicht geöffnet oder ausgeblendet hatten. Ein alter Eintrag hat keine Wirkung mehr und enthält keine Angaben zu Ihnen; Sie können ihn über die Browser-Einstellungen entfernen.

shk:einladung (localStorage)

Nur nach dem Öffnen eines Einladungslinks: die Kennung aus dem Link, damit die Einladung nach Bestätigung der E-Mail-Adresse und Anmeldung angenommen werden kann. Wird nach dem Annehmen oder bei einem ungültigen Link gelöscht.

Rechtsgrundlage für die Verarbeitung der Sitzungsdaten ist Art. 6 Abs. 1 lit. b DSGVO.

10. Speicherdauer

Kontodaten speichern wir, solange Ihr Konto besteht. Wenn Sie Ihr Konto löschen, werden Konto, Profil und Einstellungen sofort entfernt. Merkliste, Entscheidungen, Nachweise, Checklisten-Haken, LV-Entwürfe und die Haken zu den Portal-Konten gehören der Firma und bleiben bei ihr; sind Sie der letzte Inhaber, wird die Firma mit allen Nachweisen samt Dateien sofort mit entfernt. Das Protokoll Ihrer Zustimmungen (auch zu Angebots-Mails) und Ihre Einträge der Nutzungsauswertung löschen wir mit dem Konto; Einträge der Nutzungsauswertung werden ohnehin nach 12 Monaten anonymisiert, die Zähler der Startseite haben keinen Personenbezug. Zuschläge sind drei Jahre nach ihrem Datum für Nutzer nicht mehr abrufbar (Abschnitt 7). Bereits versendete E-Mails, kurzfristige Server-Protokolle und Sicherungskopien des Dienstleisters werden dadurch nicht sofort entfernt, sondern nach deren Fristen überschrieben. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

11. Konto löschen und Datenexport

In den Einstellungen unter „Meine Daten“ können Sie jederzeit alle zu Ihrem Konto gespeicherten Daten als Datei herunterladen und Ihr Konto selbst löschen. Der Export enthält auch Ihre Einträge der Nutzungsauswertung und das Protokoll zu Angebots-Mails samt Wortlaut.

12. Ihre Rechte

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Eine formlose Nachricht an mika@thomeemedia.de genügt.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden, datenschutz.hessen.de (öffnet in neuem Tab).

13. Änderungen

Wenn sich SHK-Radar oder die eingesetzten Dienste ändern, passen wir diese Erklärung an. Es gilt die hier veröffentlichte Fassung.