Datenschutzerklärung

Zuletzt aktualisiert: September 2026

1. Verantwortlicher

qune UG (haftungsbeschränkt)
Herrenweg 96
26135 Oldenburg
E-Mail: kontakt@qune.de

2. Übersicht der Verarbeitungen

qune ist ein Dienst zur semantischen Suche und zum Abgleich öffentlicher Ausschreibungsdaten. Wir verarbeiten personenbezogene Daten ausschließlich im Rahmen der Bereitstellung dieses Dienstes.

3. Erhobene Daten und Rechtsgrundlagen

3.1 Registrierung und Konto

Bei der Registrierung erfassen wir:

• Name, E-Mail-Adresse — zur Kontoerstellung und Kommunikation. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
• Passwort — wird ausschließlich als kryptografischer Hash (Argon2) gespeichert. Das Klartext-Passwort wird nicht gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.2 Firmenprofile

Nutzer können Firmenprofile mit folgenden Daten erstellen:

• Profilname, Beschreibung, CPV-Codes, Kategorien, Standort

Diese Daten werden zur Erbringung des Abgleich-Dienstes (Tender Matching) verarbeitet. Aus der Beschreibung wird ein mathematischer Embedding-Vektor (384 Dimensionen) berechnet. Dieser Vektor erlaubt keine Rückführung auf den Originaltext. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

3.3 API-Schlüssel

API-Schlüssel werden als SHA-256-Hash gespeichert. Der Klartext-Schlüssel wird nur einmalig bei der Erstellung angezeigt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.4 Nutzungsdaten

Wir erfassen Nutzungszähler (Anzahl der Suchen, Abgleiche, Abrufe pro Tag) zur Durchsetzung der Tarifgrenzen. Es werden keine Suchinhalte oder Suchergebnisse gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.5 Zahlungsdaten

Die Zahlungsabwicklung erfolgt über Stripe, Inc. Wir speichern lediglich die Stripe-Kunden-ID. Kreditkartendaten oder Bankverbindungen werden ausschließlich von Stripe verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.6 Server-Logdaten

Bei jedem Zugriff werden automatisch folgende Daten protokolliert:

• IP-Adresse
• Datum und Uhrzeit der Anfrage
• Angeforderte URL
• HTTP-Statuscode

Diese Daten dienen der Sicherstellung des Betriebs und der Erkennung von Missbrauch. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Server-Logs werden nach 30 Tagen gelöscht.

3.7 Cookies

qune verwendet ausschließlich einen Session-Cookie zur Authentifizierung. Dieser Cookie ist technisch notwendig für den Betrieb des Dienstes und erfordert keine Einwilligung. Es werden keine Analyse-, Tracking- oder Werbe-Cookies eingesetzt.

3.8 MCP-Anbindung (KI-Assistenten) und API

Der Dienst kann über das Model Context Protocol (MCP) an KI-Assistenten angebunden werden — über einen gehosteten Connector.

• Gehosteter MCP-Connector: Suchanfragen und Profiltexte, die über den gehosteten Connector übermittelt werden, werden auf unseren Servern in Deutschland verarbeitet, um die Suche bzw. den Abgleich auszuführen. Suchanfragen und Suchergebnisse werden nicht gespeichert (vgl. 3.4). Firmenprofile, die über den Connector angelegt werden, werden wie unter 3.2 beschrieben unter dem Nutzerkonto gespeichert. Die Anmeldung erfolgt per OAuth mit dem bestehenden Nutzerkonto. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
• API- und API-Key-Zugriffe: Bei Zugriffen über die API oder mit API-Schlüssel verarbeiten wir den Schlüssel-Hash zur Authentifizierung (vgl. 3.3) sowie Nutzungszähler zur Durchsetzung der Tarifgrenzen (vgl. 3.4). Server-Logdaten fallen wie unter 3.6 beschrieben an. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4. Integrationen in Drittplattformen

Der Dienst kann über Integrationen in Plattformen Dritter genutzt werden. Für jede dieser Integrationen beschreibt der folgende Abschnitt, welche Daten dabei verarbeitet werden.

4.1 Microsoft 365 (qune Vergabe Agent und qune Vergabe Connector)

• Was die Produkte sind: Ein Agent bzw. ein Connector für Microsoft 365 Copilot, die unseren MCP-Server aufrufen. Die Ausschreibungsdaten sind öffentlich (Datenservice Öffentlicher Einkauf, oeffentlichevergabe.de). Aus dem Microsoft-365-Tenant der Kundin oder des Kunden werden keine Daten gelesen.
• Anmeldung: Die Anmeldung erfolgt über Microsoft Entra ID. Verwendet werden ausschließlich die Tenant-ID und die Benutzer-Objekt-ID, um das Abonnement der Organisation zu prüfen. Einzige Graph-Berechtigung: User.Read (delegiert). Die Zustimmung der Administration wird einmalig je Organisation erteilt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Suchanfragen: Suchanfragen werden auf unseren Servern in Deutschland in Vektoren umgewandelt und nicht gespeichert. An den Suchdienst gehen ausschließlich Vektoren, Kennungen von Bekanntmachungen und Filterwerte.
• Profiltexte: Für das Profil-Matching übergibt der Agent eine Unternehmensbeschreibung an unseren Server. Sie wird auf unseren Servern in Deutschland in einen Vektor umgewandelt und an die Copilot-Sitzung zurückgegeben; weder der Text noch der Vektor wird von uns gespeichert. Firmenprofile im Sinne von Abschnitt 3.2 entstehen auf diesem Weg nicht.
• Abonnementdaten von Microsoft: Nach einem Kauf erhalten wir Tenant-ID, Abonnement-ID, Plan und die E-Mail-Adresse der käuferseitig handelnden Person (aus dem Marketplace-Token). Diese Daten werden in einer Entitlement-Tabelle (Azure Table Storage, Deutschland) für die Dauer des Abonnements gespeichert, zusammen mit der Herkunft des Eintrags (Marketplace oder manuell). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Zugriffsprotokolle der Marketplace- und Einrichtungsseiten: Protokolliert werden Pfad (ohne Query-String), Status, Sprache, Browser (User-Agent) und die erste weitergeleitete IP-Adresse. Die Aufbewahrung richtet sich nach der Log-Analytics-Retention, standardmäßig 30 Tage. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Cookies: Außer den Cookies des Anmeldevorgangs (Laufzeit 600 bzw. 1800 Sekunden, HttpOnly, Path=/marketplace) werden keine Cookies gesetzt.
• Auftragsverarbeiter und Rechte: Microsoft ist als Auftragsverarbeiter in Abschnitt 5.4 beschrieben; ergänzend gilt der Auftragsverarbeitungsvertrag (AVV). Für die Ausübung Ihrer Rechte (Abschnitt 8) erreichen Sie uns für diese Produkte unter support@qune.de.

5. Empfänger und Auftragsverarbeiter

5.1 Stripe, Inc.

Zahlungsabwicklung. Stripe verarbeitet Zahlungsdaten als eigenständiger Verantwortlicher bzw. Auftragsverarbeiter gemäß Stripe-DPA. Stripe ist ein US-Unternehmen und setzt EU-Standardvertragsklauseln ein. Stripe Datenschutzerklärung

5.2 Resend

Versand von Transaktions-E-Mails (Verifizierung, Passwort-Zurücksetzung). Es werden Name und E-Mail-Adresse übermittelt. Resend DPA

5.3 Hosting

Der Dienst wird bei Hetzner Online GmbH gehostet. Die Server befinden sich in Deutschland. Hetzner Datenschutzerklärung

5.4 Microsoft

Microsoft Ireland Operations Limited bzw. Microsoft Corporation als Betreiber von Azure (Hosting des Connectors: Azure Container Apps, Region Germany West Central), des Microsoft Marketplace (Abonnement- und Abrechnungsdaten) und von Microsoft Entra ID (Anmeldung). Microsoft Datenschutzerklärung

6. Übermittlung in Drittländer

Soweit Daten an Anbieter in den USA übermittelt werden (Stripe), erfolgt dies auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) bzw. eines Angemessenheitsbeschlusses.

Die Verarbeitung im Zusammenhang mit den Microsoft-365-Produkten findet in der EU statt (Azure, Region Germany West Central). Soweit Microsoft als US-Unternehmen Daten in die USA übermittelt, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) bzw. eines Angemessenheitsbeschlusses.

7. Speicherdauer

• Kontodaten: Bis zur Löschung des Kontos durch den Nutzer.
• Firmenprofile: Bis zur Löschung durch den Nutzer.
• Server-Logs: 30 Tage.
• Rechnungsdaten: 10 Jahre (steuerliche Aufbewahrungspflicht, § 147 AO).
• Sitzungsdaten: Bis zum Abmelden oder nach 30 Tagen Inaktivität.
• Abonnementdaten (Entitlement): Für die Dauer des Abonnements.
• Zugriffsprotokolle der Marketplace-Seiten: 30 Tage.

8. Ihre Rechte

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO) — Welche Daten wir über Sie gespeichert haben.
• Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger Daten.
• Löschung (Art. 17 DSGVO) — Löschung Ihrer Daten, sofern keine Aufbewahrungspflicht besteht.
• Einschränkung (Art. 18 DSGVO) — Einschränkung der Verarbeitung unter bestimmten Voraussetzungen.
• Datenübertragbarkeit (Art. 20 DSGVO) — Erhalt Ihrer Daten in einem maschinenlesbaren Format.
• Widerspruch (Art. 21 DSGVO) — Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen.

Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter kontakt@qune.de.

9. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständige Aufsichtsbehörde: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, www.lfd.niedersachsen.de

10. Pflicht zur Bereitstellung

Die Bereitstellung von Name, E-Mail und Passwort ist für die Nutzung des Dienstes erforderlich. Ohne diese Daten kann kein Konto erstellt werden. Die Erstellung von Firmenprofilen ist freiwillig.

11. Änderungen

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, etwa bei Änderungen unserer Datenverarbeitung oder gesetzlicher Anforderungen. Die aktuelle Fassung ist stets auf dieser Seite abrufbar.