Datenschutzerklärung von EasyTender

1. Verantwortlicher

Verantwortlich für die Datenbearbeitung ist:

N. Haas Consulting
Unterrotenweg 9b
4208 Nunningen
Schweiz

E-Mail: info@easytender.ch
Website: https://easytender.ch

2. Anwendungsbereich und Rollen

EasyTender ist eine zentral gehostete SaaS-Plattform für privatwirtschaftliche Beschaffungen. Unternehmen können Ausschreibungen erstellen, Lieferanten einladen, Offerten entgegennehmen, Angebote vergleichen, Bewertungen dokumentieren und Zuschlagsentscheide festhalten.

Soweit N. Haas Consulting über Zwecke und Mittel einer Datenbearbeitung entscheidet – beispielsweise beim Betrieb der Website, der Benutzerverwaltung, Abrechnung oder eigenen Sicherheitsprotokollierung –, ist N. Haas Consulting datenschutzrechtlich verantwortlich.

Soweit Kunden im Rahmen ihrer Ausschreibungen Personendaten, Dokumente oder Offerten in EasyTender bearbeiten, handelt N. Haas Consulting grundsätzlich als Auftragsbearbeiter nach den Weisungen des jeweiligen Kunden. Der Kunde bleibt für die Rechtmässigkeit der von ihm erfassten oder hochgeladenen Inhalte verantwortlich.

3. Welche Daten wir bearbeiten

Je nach Nutzung bearbeiten wir insbesondere:

• Stamm- und Kontaktdaten wie Name, geschäftliche E-Mail-Adresse, Telefonnummer, Funktion und Organisation;
• Konto- und Zugangsdaten wie Benutzerkonto, Passwort-Hash, Rollen, Berechtigungen, Sitzungs- und Sicherheitsinformationen;
• Unternehmensdaten wie Firma, Anschrift, UID, Website, Lieferantenprofil und Interessenbereiche;
• Beschaffungsdaten wie Ausschreibungen, Kriterien, Fristen, Fragen, Antworten, Teilnehmerlisten, Bewertungen, Berichtigungen, Zuschläge und Begründungen;
• Angebotsdaten wie Offerten, Preise, Leistungsbeschreibungen, Anhänge und Angebotsversionen;
• hochgeladene Dateien, insbesondere PDF-, Word- und Excel-Dokumente sowie die daraus extrahierten Inhalte;
• Kommunikationsdaten wie Einladungen, Benachrichtigungen, Supportanfragen und E-Mail-Metadaten;
• Zahlungs- und Abonnementdaten, wobei vollständige Zahlungsdaten grundsätzlich direkt durch den Zahlungsanbieter bearbeitet werden;
• technische Daten wie IP-Adresse, Zeitstempel, Browser- und Geräteinformationen, aufgerufene Seiten, Logdateien und Fehlerdaten;
• Nutzungs- und Auditdaten zu sicherheitsrelevanten oder geschäftskritischen Aktionen;
• Eingaben und Ergebnisse der KI-Funktionen sowie technische Metadaten zur jeweiligen KI-Verarbeitung.

Bitte laden Sie keine besonders schützenswerten Personendaten oder gesetzlich geschützten Geheimnisse hoch, sofern dies für die jeweilige Beschaffung nicht erforderlich und rechtlich zulässig ist.

4. Zwecke der Datenbearbeitung

Wir bearbeiten Personendaten insbesondere, um:

• EasyTender bereitzustellen, zu betreiben und abzusichern;
• Konten und Organisationen einzurichten und Benutzer zu authentifizieren;
• Ausschreibungen, Offerten, Bewertungen und Zuschläge abzuwickeln;
• Einladungen, Benachrichtigungen und transaktionale E-Mails zu versenden;
• Abonnemente, Zahlungen und Rechnungsinformationen zu verwalten;
• KI-gestützte Funktionen auf ausdrückliche Veranlassung der Benutzer auszuführen;
• Support zu leisten, Störungen zu beheben und Missbrauch zu verhindern;
• gesetzliche Pflichten zu erfüllen und Rechtsansprüche durchzusetzen oder abzuwehren;
• die öffentliche Website zu analysieren und unser Angebot zu verbessern, soweit die erforderliche Einwilligung vorliegt.

Wir verwenden EasyTender nicht für eine vollautomatische Zuschlags- oder Vergabeentscheidung. KI-Ergebnisse dienen als Unterstützung. Entscheidungen mit rechtlicher oder erheblicher geschäftlicher Wirkung müssen durch berechtigte Personen geprüft und bestätigt werden.

5. Website, Serverprotokolle und Cookies

Beim Aufruf unserer Website oder Anwendung können der verwendete Browser, Betriebssystem, Referrer, Zeitpunkt, aufgerufene Adresse, IP-Adresse und weitere technische Angaben in Server- und Sicherheitsprotokollen verarbeitet werden. Dies dient dem sicheren und stabilen Betrieb, der Fehleranalyse und der Abwehr von Missbrauch.

Wir verwenden technisch notwendige Cookies und ähnliche Speichertechnologien, beispielsweise für Anmeldung, Sitzung, Spracheinstellungen und Schutz vor missbräuchlichen Anfragen.

Google Analytics

Wir setzen Google Analytics 4 von Google zur Messung und Verbesserung der Nutzung unserer Website ein. Dabei können insbesondere eine zufällige Geräte- beziehungsweise Browserkennung, technische Geräteinformationen, ungefähre Standortinformationen, aufgerufene Seiten, Interaktionen und Zeitstempel an Google übermittelt werden. Nach Angaben von Google werden IP-Adressen von Nutzern aus der Schweiz und Europa zur Standortbestimmung verwendet und vor der Speicherung verworfen.

Google Analytics wird ausschliesslich auf der öffentlichen Website und erst aktiviert, nachdem Sie über den Cookie-Banner eingewilligt haben. Im angemeldeten Bereich wird Google Analytics nicht eingesetzt. Sie können eine erteilte Einwilligung mit Wirkung für die Zukunft widerrufen, indem Sie die Website-Daten für easytender.ch in Ihrem Browser löschen und beim nächsten Besuch im Cookie-Banner «Ablehnen» auswählen.

Wir übermitteln Google Analytics nicht bewusst Namen, E-Mail-Adressen, Ausschreibungsinhalte, Offerten oder hochgeladene Dokumente. URL-Parameter und Seitentitel sind so konfiguriert, dass sie keine Personendaten enthalten. Google Signals und Werbepersonalisierung sind deaktiviert. Ereignisbezogene Nutzerdaten werden in Google Analytics während zwei Monaten aufbewahrt.

6. Benutzerkonten und Organisationen

Bei der Registrierung und Kontonutzung bearbeiten wir die für das Konto, die Organisation, Rollen und Berechtigungen erforderlichen Angaben. Passwörter werden nicht im Klartext gespeichert, sondern als kryptografische Hashwerte. Sitzungs- und Sicherheitsinformationen werden verwendet, um Zugriffe zu authentifizieren und unberechtigte Nutzung zu erkennen.

Administratoren einer Kundenorganisation können im Rahmen ihrer Berechtigungen Konten ihrer Organisation verwalten und auf organisationsbezogene Inhalte zugreifen. Kunden sind dafür verantwortlich, Berechtigungen angemessen zu vergeben und bei Rollenwechseln oder Austritten anzupassen.

7. Ausschreibungen, Offerten und Dokumente

Auftraggeber bestimmen, welche Informationen sie in einer Ausschreibung verlangen. Lieferanten entscheiden, welche Angaben und Dokumente sie im Rahmen einer Offerte einreichen. Diese Inhalte können für andere berechtigte Mitglieder der beteiligten Organisation sowie für ausdrücklich eingeladene oder zugelassene Teilnehmer sichtbar sein.

Dokumente werden gespeichert, verarbeitet und – soweit eine Funktion dies verlangt – technisch ausgelesen. Dazu gehören beispielsweise die Extraktion von Text und Tabellen aus Word-, PDF- und Excel-Dateien und die Übernahme strukturierter Inhalte in Ausschreibungsfelder.

Nutzer dürfen nur Daten und Dokumente hochladen, zu deren Bearbeitung und Weitergabe sie berechtigt sind. Dateiinhalte können fehlerhaft, manipuliert oder unvollständig sein. Automatisch extrahierte Inhalte und Vorschauen müssen deshalb vor der Verwendung geprüft werden.

8. KI-gestützte Funktionen

EasyTender bietet KI-gestützte Funktionen, beispielsweise zur Unterstützung bei der Erstellung oder Strukturierung von Ausschreibungen, beim Import von Dokumenten, beim Vergleich von Offerten, bei der Prüfung von Angaben und bei der Erstellung von Vorschlägen oder Zusammenfassungen.

Wenn ein Benutzer eine solche Funktion auslöst, können folgende Daten an den eingesetzten KI-Dienst übermittelt werden:

• die konkrete Eingabe oder Aufgabenstellung;
• ausgewählte Ausschreibungs-, Kriterien- oder Angebotsinhalte;
• Inhalte hochgeladener Dokumente oder daraus extrahierte Textabschnitte;
• für die Antwort erforderliche Kontext- und Konfigurationsdaten;
• technische Metadaten wie Modell, Zeitpunkt, Vorgangskennung und Nutzungsumfang.

Microsoft Azure OpenAI

Für den produktiven Betrieb wird ausschliesslich Microsoft Azure OpenAI verwendet. Die Azure-Ressource befindet sich in der Region Switzerland North und nutzt den Deployment-Typ Standard. Derzeit wird das Deployment gpt-4.1-mini verwendet. Das eingesetzte Modell kann später durch ein neueres, für denselben Zweck geeignetes Modell ersetzt werden. Prompts und Antworten werden durch Azure nicht dauerhaft gespeichert und nicht zum Training öffentlich verfügbarer Basismodelle von Microsoft oder OpenAI verwendet.

Nach den für Azure OpenAI geltenden Produktbedingungen werden Eingaben und Ausgaben nicht zum Training öffentlich verfügbarer Basismodelle von Microsoft oder OpenAI verwendet. Kundendaten werden von EasyTender ebenfalls nicht für ein eigenes Modelltraining verwendet, sofern dies nicht später ausdrücklich und auf einer separaten Rechtsgrundlage vereinbart wird.

Direkte OpenAI-Anbindung

Die Anwendung enthält als technischen Entwicklungs-Fallback eine direkte Anbindung an OpenAI mit dem standardmässig konfigurierten Modell gpt-4o-mini. Der Anwendungscode verhindert diese Anbindung in der Produktionsumgebung durch einen Hard-Fail, wenn nicht Azure als Anbieter konfiguriert ist. Für die Softwareentwicklung wird Claude verwendet. Claude erhält Zugriff auf den Programmcode, jedoch nicht auf Kundendaten, produktive Datenbankauszüge, Offerten oder hochgeladene Kundendokumente. Entwicklungs- und Testwerkzeuge werden nur mit synthetischen oder anonymisierten Daten verwendet.

Speicherung und Prüfung von KI-Ergebnissen

Vollständige KI-Eingaben und -Ausgaben können bei deterministischen Aufrufen für gewöhnlich bis zu 24 Stunden im Anwendungscache gespeichert werden. Einzelne fachliche Ergebnisse, insbesondere KI-gestützte Offertprüfungen, werden in der Datenbank dauerhaft zusammen mit Befunden und Zusammenfassung gespeichert. Dabei werden Modellbezeichnung, Prompt- beziehungsweise Prüfprofilversion, Eingabe-Fingerabdruck, ausführender Benutzer und Zeitpunkt festgehalten. Ein separates KI-Nutzungsprotokoll speichert Anbieter, Modell, Funktion, Benutzer, Organisation, Tokenverbrauch und geschätzte Kosten, jedoch nicht den vollständigen Prompt. Eine automatische Löschfrist und eine eigene Löschfunktion für diese Daten bestehen derzeit nicht.

KI-Ausgaben können unvollständig oder falsch sein. Benutzer müssen die Ergebnisse fachlich prüfen. EasyTender trifft keine automatische Vergabeentscheidung und veröffentlicht, berichtigt oder vergibt eine Ausschreibung nicht allein aufgrund eines KI-Ergebnisses.

9. Lieferantensuche, Google Places und öffentliche Websites

EasyTender kann Auftraggeber bei der Suche nach potenziellen Lieferanten unterstützen. Hierfür kann die Google Places API verwendet werden. An Google können dabei Suchbegriffe, Branche, Ortsangaben und weitere Suchparameter übermittelt werden. Google liefert öffentlich verfügbare Unternehmens- und Standortinformationen zurück.

Zusätzlich kann EasyTender öffentlich zugängliche Unternehmenswebsites abrufen, um dort veröffentlichte geschäftliche Kontaktinformationen zu finden. Dabei werden insbesondere die aufgerufene Internetadresse und öffentlich publizierte Firmen- oder Funktionsadressen verarbeitet. Diese Funktion darf nicht zur Erhebung privater oder nicht öffentlich bestimmter Kontaktdaten verwendet werden.

Gefundene Kontaktdaten sind vor einer Verwendung zu prüfen. Betroffene Unternehmen oder Personen können der weiteren Verwendung ihrer Kontaktdaten widersprechen, soweit keine überwiegenden Gründe oder gesetzlichen Pflichten entgegenstehen.

10. E-Mail-Versand

EasyTender versendet transaktionale E-Mails, beispielsweise zur Kontobestätigung, Passwortzurücksetzung, Einladung, Frist, Berichtigung oder Benachrichtigung über Vorgänge in einer Ausschreibung. Hierfür werden Empfängeradresse, Name, Betreff, Nachrichteninhalt, Zustellstatus und technische Versanddaten verarbeitet.

Der Versand erfolgt über den SMTP-Dienst von Hostfactory beziehungsweise OPTIMANET SCHWEIZ AG in der Schweiz. E-Mail-Inhalte werden nicht zusätzlich in EasyTender-Protokollen gespeichert. Hostfactory kann technische Versandinformationen so lange bearbeiten, wie dies für Zustellung, Sicherheit, Fehlerbehebung und die Erfüllung gesetzlicher Pflichten erforderlich ist.

11. Zahlungen mit Stripe

Für kostenpflichtige Abonnemente und Zusatzleistungen verwenden wir Stripe. Anbieter ist – abhängig von der vertraglichen Zuordnung – eine Gesellschaft der Stripe-Unternehmensgruppe. Bei einer Zahlung oder Abonnementverwaltung werden insbesondere Name, E-Mail-Adresse, Rechnungsangaben, Betrag, Währung, Abonnementstatus, Zahlungsreferenzen und technische Transaktionsdaten an Stripe übermittelt.

Vollständige Karten- oder andere Zahlungsdaten werden grundsätzlich direkt von Stripe erhoben und nicht auf EasyTender-Servern gespeichert. Über Stripe können Kreditkarten, Debitkarten und – soweit im Checkout angeboten – Klarna verwendet werden. Stripe kann Daten in der Schweiz, im Europäischen Wirtschaftsraum, in den USA und weiteren Staaten bearbeiten. Dabei kommen die vertraglich vorgesehenen Schutzmechanismen für internationale Datenübermittlungen zur Anwendung.

12. Hosting und Datenspeicherung

EasyTender wird bei Hostfactory, einem Angebot der OPTIMANET SCHWEIZ AG, Stationsstrasse 56, 8472 Seuzach, Schweiz, betrieben. Webserver, Datenbank, hochgeladene Dateien und Backups werden nach Auskunft des Betreibers in der Schweiz gespeichert. Backups werden während eines Monats aufbewahrt.

Die Entwicklungsumgebung unter dev.easytender.ch ist von der Produktionsumgebung unter easytender.ch getrennt. Produktive Daten werden nach Auskunft des Betreibers nicht in die Entwicklungsumgebung kopiert. Entwicklung und Tests sollen mit synthetischen oder anonymisierten Daten erfolgen.

13. Fehleranalyse, Monitoring und Protokolle

EasyTender führt Anwendungs-, Sicherheits- und Auditprotokolle. Darin können Benutzerkennung, Organisation, IP-Adresse, Zeitpunkt, Aktion, technische Anfrageinformationen und Fehlerdetails enthalten sein. Protokolle dienen der Sicherheit, Nachvollziehbarkeit, Fehlerbehebung und Missbrauchsprävention.

EasyTender verwendet lokale Laravel-Anwendungslogs. Diese werden grundsätzlich während 30 Tagen aufbewahrt. In Ausnahmefällen können API-Fehlerantworten oder gekürzte fehlerhafte KI-Ausgaben und damit vertrauliche Inhaltsfragmente in Logs gelangen. Der Zugriff ist auf berechtigte Personen beschränkt. Sentry wird derzeit nicht produktiv eingesetzt. Vor der Einführung eines externen Monitoringdienstes wird diese Datenschutzerklärung um Anbieter, Region, Aufbewahrungsdauer und Datenkategorien ergänzt.

14. Empfänger und Unterauftragsbearbeiter

Wir geben Personendaten nur weiter, wenn dies für den Betrieb, die Vertragserfüllung, die Sicherheit, die Erfüllung gesetzlicher Pflichten oder die Wahrung berechtigter Interessen erforderlich ist. Dazu können insbesondere folgende Kategorien und Anbieter gehören:

Wir verpflichten Auftragsbearbeiter vertraglich zu angemessenem Datenschutz und angemessener Datensicherheit. Die Liste der wesentlichen Unterauftragsbearbeiter ist Bestandteil dieser Datenschutzerklärung. Eine vorgängige individuelle Benachrichtigung bei Änderungen der Unterauftragsbearbeiter ist derzeit nicht vorgesehen.

15. Datenübermittlung ins Ausland

Einzelne Anbieter können Daten ausserhalb der Schweiz bearbeiten. Befindet sich der Empfängerstaat nicht auf der schweizerischen Liste der Staaten mit angemessenem Datenschutz, stützen wir die Übermittlung insbesondere auf anerkannte Standarddatenschutzklauseln und erforderliche zusätzliche Schutzmassnahmen oder auf eine andere gesetzlich zulässige Grundlage.

Die Verwendung globaler Dienste kann dazu führen, dass ausländische Behörden unter den dort geltenden Voraussetzungen Zugriff auf Daten verlangen. Wir begrenzen internationale Übermittlungen auf das erforderliche Mass und bevorzugen, wo möglich, schweizerische oder europäische Verarbeitungsregionen.

16. Aufbewahrung und Löschung

Wir bewahren Personendaten nur so lange auf, wie dies für die jeweiligen Zwecke, vertragliche Nachweispflichten, die Sicherheit oder gesetzliche Pflichten erforderlich ist. Danach werden sie gelöscht oder anonymisiert, soweit keine Pflicht oder ein überwiegendes Interesse an der weiteren Aufbewahrung besteht.

Für mehrere Datenkategorien besteht derzeit keine automatisierte Löschfrist. Die folgende Tabelle beschreibt den gegenwärtigen Stand:

Bei einer Kontolöschung wird das Benutzerkonto gelöscht; die Organisation und deren Beschaffungsdaten bleiben grundsätzlich bestehen. Ist die zu löschende Person der einzige Organisationsadministrator, muss zuerst eine andere berechtigte Person als Administrator bestimmt werden. Daten in Backups werden nicht sofort einzeln entfernt und verschwinden nach Ablauf des einmonatigen Backup-Zyklus.

17. Datenexport und Vertragsende

Ein vollständiger Self-Service-Datenexport ist derzeit nicht vorhanden. Kunden können während der Nutzung einzelne vorhandene Exportfunktionen verwenden. Auf Anfrage erstellt N. Haas Consulting einen manuellen betrieblichen Gesamtexport der verfügbaren kundeneigenen Daten, soweit dies technisch und rechtlich möglich ist. Umfang, Format, Aufwand, Lieferfrist und Kosten werden vor der Erstellung vereinbart. Dieser betriebliche Export ist kostenpflichtig.

Das Ende eines kostenpflichtigen Abonnements führt nicht automatisch zur Löschung. Das Konto wird auf den kostenlosen Funktionsumfang zurückgestuft und der Zugriff auf die gespeicherten Daten bleibt grundsätzlich bestehen. Eine Löschung erfolgt auf Antrag beziehungsweise über die vorhandene Kontolöschung, soweit keine gesetzlichen oder überwiegenden Gründe entgegenstehen.

18. Datensicherheit

Wir treffen angemessene technische und organisatorische Massnahmen zum Schutz der Daten. Dazu gehören je nach Schutzbedarf insbesondere verschlüsselte Übertragung, Zugriffskontrollen, Rollen und Berechtigungen, sichere Passwortspeicherung, Mandantentrennung, Protokollierung kritischer Aktionen, Sicherheitsaktualisierungen, Backups und die Beschränkung administrativer Zugriffe.

Kein System bietet absolute Sicherheit. Benutzer sind verpflichtet, ihre Zugangsdaten geheim zu halten, geeignete Passwörter zu verwenden, Endgeräte zu schützen und verdächtige Vorgänge unverzüglich zu melden.

19. Rechte betroffener Personen

Im Rahmen des anwendbaren Datenschutzrechts können betroffene Personen insbesondere Auskunft über ihre bearbeiteten Personendaten, Berichtigung unrichtiger Daten, Herausgabe oder Übertragung bestimmter Daten, Einschränkung oder Widerspruch sowie Löschung verlangen. Eine erteilte Einwilligung kann für die Zukunft widerrufen werden. Gesetzliche Datenschutzanfragen werden unabhängig vom kostenpflichtigen betrieblichen Gesamtexport nach den jeweils anwendbaren gesetzlichen Bestimmungen behandelt.

Wenn N. Haas Consulting Daten ausschliesslich im Auftrag eines Kunden bearbeitet, leiten wir Anfragen grundsätzlich an den verantwortlichen Kunden weiter oder unterstützen diesen bei der Bearbeitung. Zur Verhinderung unberechtigter Offenlegung können wir einen Identitätsnachweis verlangen. Gesetzliche Aufbewahrungspflichten und Rechte Dritter bleiben vorbehalten.

Anfragen können an info@easytender.ch gerichtet werden. Betroffene Personen können sich zudem an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden.

20. Änderungen

Wir können diese Datenschutzerklärung anpassen, wenn sich die Datenbearbeitung, eingesetzte Anbieter oder die Rechtslage ändern. Massgebend ist die auf https://easytender.ch/privacy veröffentlichte Fassung mit einem festen Versionsdatum. Wesentliche Änderungen werden angemessen kommuniziert.

Stand: 18. August 2026