Stand 22.09.2026. Die rechtliche Abschlussprüfung durch den Betreiber steht noch aus.

Entwurf — eine rechtliche Abschlussprüfung durch den Betreiber wird vor Veröffentlichung empfohlen. Diese Seite stellt keine Rechtsberatung dar.

Datenschutzerklärung

Diese Datenschutzerklärung beschreibt, welche Daten die DATO-IT GmbH ("wir", "der Betreiber") im Rahmen der B2B-Vermittlungsplattform "Projektlotse" (https://projektlotse.org) verarbeitet. Sie basiert auf der tatsächlichen, im Produkt implementierten Datenverarbeitung.

1. Verantwortlicher

DATO-IT GmbH Zeißstr. 7, 23560 Lübeck, Deutschland E-Mail: t.waitschulies@dato-it.de

Datenschutzbeauftragte(r): [nicht bestellt — ob eine Bestellpflicht besteht, wird vor dem Start geprüft]

2. Welche Daten wir verarbeiten

2.1 Konto- und Nutzerdaten

Bei der Registrierung verarbeiten wir Name, geschäftliche E-Mail-Adresse, Passwort-Hash sowie Sitzungsdaten. Zwei-Faktor-Authentifizierung ist optional bzw. für privilegierte Konten vorgeschrieben und verarbeitet die dafür technisch notwendigen Daten.

2.2 Organisations- und Unternehmensprofil

Wer für ein Unternehmen handelt, hinterlegt ein Organisationsprofil (Firmenname, Rechtsform, Sitz, ggf. Handelsregisternummer, USt-IdNr., Unternehmensgröße). Mitgliedschaften und Rollen (Owner/Admin/Member) innerhalb der Organisation werden verwaltet.

2.3 Anfrageninhalte

Wer eine Anfrage veröffentlicht, gibt Titel, Kategorie, Problem-/Zielbeschreibung, Einsatzart, Arbeitsmodus (vor Ort/remote/hybrid), Land und ungefähre Region, Sprachanforderungen, Dringlichkeit und optional ein Budget an. Genaue Adresse und Koordinaten sowie ein privater Hintergrundtext werden erfasst, verlassen aber nie den Server unverändert: Anbietern wird nur eine bereinigte, für die Vermittlung erforderliche Fassung sowie eine grobe Region/ Distanzangabe angezeigt.

2.4 Verifizierungsnachweise

Anbieter, die sichtbar werden möchten, laden Nachweise zur Geschäftsidentität hoch (z. B. Handelsregisterauszug, Gewerbeanmeldung, vergleichbare Nachweise je nach Land und Rechtsform). Diese Dokumente werden vor Freigabe auf Schadsoftware geprüft, privat gespeichert und sind ausschließlich für zugewiesenes Verifizierungspersonal einsehbar. Anfragende Unternehmen erhalten diese Nachweise nie.

2.5 Standortabgleich (Matching)

Für die Vermittlung wird der Standort einer Anfrage mit den deklarierten Servicegebieten von Anbietern grob abgeglichen (Postleitzahlen-/Ortsebene, keine IP-basierte Standortbestimmung). Genaue Koordinaten bleiben serverseitig; angezeigt werden nur Land, grobe Region und Distanzstufen.

2.6 Nachrichten und Angebote

Konversationen zwischen einer anfragenden und einer anbietenden Organisation sowie darin enthaltene Angebote werden gespeichert. Diese Inhalte sind ausschließlich für die beiden beteiligten Organisationen einsehbar, niemals für konkurrierende Anbieter.

2.7 Private Dokumente und Schadsoftware-Prüfung

Hochgeladene Dateien (Verifizierungsnachweise, Anfrage-Anhänge, Angebots- und Nachrichtenanhänge) werden vor jeder Freigabe automatisiert auf Schadsoftware geprüft und bis zu einer erfolgreichen Prüfung unter Verschluss gehalten ("Quarantäne"). Eine nicht verfügbare Prüfung wird niemals als bestandene Prüfung behandelt.

2.8 Transaktionale E-Mails

Wir versenden funktionale E-Mails (Bestätigungen, Benachrichtigungen über neue Vermittlungsmöglichkeiten, Nachrichten, Angebote, Statusänderungen). Diese E-Mails enthalten Links, aber keine vertraulichen Inhalte im Vorschautext.

2.9 Protokolle mit IP-Adresse und User-Agent (Login-Audit)

Zur Erkennung von Missbrauch und aus Sicherheitsgründen protokollieren wir An- und Abmeldeversuche einschließlich IP-Adresse und User-Agent. Zu jeder aktiven Sitzung speichern wir außerdem die IP-Adresse (bei IPv6 gekürzt auf das /64-Netz) und den User-Agent; die Anmeldeversuche je IP-Adresse werden für eine Minute gezählt, um automatisierte Angriffe zu begrenzen. Diese Daten dienen ausschließlich der Konto- und Plattformsicherheit, nicht der Erstellung von Nutzungsprofilen für Marketingzwecke.

2.10 Analyse und Fehlerüberwachung ohne Marketing-Tracking

Es findet kein Tracking zu Werbe- oder Marketingzwecken statt: keine Marketing-Cookies, kein Profiling für Werbung und keine Weitergabe von Nutzungsdaten an Dritte zu Werbezwecken. Zur Messung von Seitenaufrufen und einzelnen Schritten im Anfrage- und Angebotsprozess ("Funnel") setzen wir, sofern vom Betreiber aktiviert, ein cookieloses Analyse-Werkzeug ein (PostHog, EU-Cloud, Rechenzentrum Frankfurt; die Daten werden über unsere eigene Domain an PostHog weitergeleitet). Dabei werden keine Cookies gesetzt und keine Sitzungsaufzeichnungen (Session Recording) erstellt. Nach einer Anmeldung werden Ereignisse der pseudonymen Nutzerkennung zugeordnet, damit der Betreiber erkennen kann, an welcher Stelle Nutzer im Prozess Schwierigkeiten haben; eine Zuordnung zum Klarnamen erfolgt dadurch nicht automatisch. Rechtsgrundlage ist das berechtigte Interesse an der Verbesserung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Es findet kein Profiling zu Werbezwecken statt, und die Daten verbleiben in der EU. Die Aufbewahrungsdauer dieser Analysedaten legt der Betreiber fest; ein entsprechender Beschluss wird vor dem Start getroffen und hier veröffentlicht.

Für die technische Fehlerüberwachung setzen wir, sofern aktiviert, Sentry (EU-Region) ein. Anfrageinhalte, Query-Parameter, Cookies und Header werden vor dem Verlassen des Systems entfernt; Nutzer werden in Fehlerberichten nur über eine interne Kennung referenziert, nie über Klarname oder Anfrageinhalte.

Das oben beschriebene "kein Tracking zu Werbe- oder Marketingzwecken" bezieht sich auf Tracking über mehrere Websites oder Sitzungen hinweg (keine Werbe-Cookies, kein Profiling für Dritte, keine Weitergabe an Werbenetzwerke). Es schließt nicht aus, dass wir bei der Registrierung selbst die in Abschnitt 2.11 beschriebenen, eng begrenzten Angaben serverseitig speichern, um zu verstehen, wie Personen zu Projektlotse finden — ohne Cookies und ohne Tracking durch Dritte.

2.11 Herkunft der Anmeldung und freiwillige Angaben zum Bedarf

Bei der Registrierung speichern wir mit Ihrem Konto, welche Kampagnenparameter (utm_source, utm_medium, utm_campaign, utm_content, utm_term), welche Einstiegsseite und welcher Button auf projektlotse.org zu Ihrer Registrierung geführt haben — also ausschließlich Bestandteile des Links, über den Sie sich registriert haben. Diese Angaben werden einmalig aus der zum Zeitpunkt der Registrierung aufgerufenen Adresse gelesen; es werden keine Cookies gesetzt, keine Daten in localStorage oder sessionStorage des Browsers abgelegt und keine verweisende Website (Referrer) ausgelesen oder gespeichert. Auf der ersten Seite nach der Kontobestätigung können Sie freiwillig zwei kurze Fragen beantworten: welche Rolle Sie nutzen möchten und wie Sie auf Projektlotse aufmerksam geworden sind (mit optionalem Freitext) sowie, was Sie mit Projektlotse erreichen möchten. Alle diese Angaben sind freiwillig, für die Kontonutzung nicht erforderlich und dienen dem berechtigten Interesse des Betreibers, Herkunft und Bedarf neuer Kundinnen und Kunden zu verstehen, um das Produkt und die Ansprache gezielt weiterzuentwickeln (Art. 6 Abs. 1 lit. f DSGVO) — keine Weitergabe an Dritte, kein Tracking über andere Websites hinweg. Wer eine Einladung in ein bestehendes Unternehmen annimmt, wird automatisch als "über Einladung" gekennzeichnet, sofern die Frage nicht bereits zuvor beantwortet wurde. Diese Angaben werden gelöscht, sobald ein von Ihnen gestellter Löschantrag bearbeitet wird (Abschnitt 7); sie sind kein Bestandteil der pseudonymisierten Kontodaten, die zur Nachvollziehbarkeit abgeschlossener Vorgänge für andere Parteien bestehen bleiben können.

Auftraggebende Unternehmen können im angemeldeten Bereich persönliche Einladungslinks erstellen, um gezielt ein bestimmtes, noch nicht auf Projektlotse registriertes Unternehmen zur Registrierung einzuladen ("Dienstleister zur Registrierung einladen"). Diese Einladung versendet ausschließlich das auftraggebende Unternehmen selbst über sein eigenes E-Mail-Programm — Projektlotse versendet keine E-Mail an die eingeladene Adresse und speichert diese Adresse zu keinem Zeitpunkt. Zu jedem erstellten Link speichern wir nur, welches Konto ihn erstellt hat, wann er erstellt wurde, wann er abläuft (30 Tage) sowie, falls jemand sich darüber registriert, welches Konto das war und wann. Wird das erstellende Konto gelöscht, bleibt der Link als Teil der Unternehmenshistorie bestehen; lediglich der Bezug zur Person wird entfernt.

Im angemeldeten Bereich steht zusätzlich ein Feedback-Dialog zur Verfügung ("Feedback geben" im Kontomenü), über den Sie freiwillig eine kurze Rückmeldung (Art: Idee, Problem oder Lob, sowie ein Freitext) senden können. Die Rückmeldung wird gespeichert und löst eine interne Benachrichtigung aus, die nur einen Link in den Staff-Bereich enthält, nicht den Inhalt Ihrer Nachricht. Rechtsgrundlage ist ebenfalls das berechtigte Interesse an der Produktverbesserung (Art. 6 Abs. 1 lit. f DSGVO). Auch diese Angaben werden gelöscht, sobald ein von Ihnen gestellter Löschantrag bearbeitet wird.

2.12 Kontaktformular

Wer das Kontaktformular auf der Kontaktseite nutzt, übermittelt Anliegen, Name, E-Mail-Adresse, optional den Unternehmensnamen und die Nachricht; die Anfrage wird bearbeitet und danach für die in den Plattformeinstellungen festgelegte Frist aufbewahrt (Voreinstellung 180 Tage nach Bearbeitung). Zusätzlich wird die IP-Adresse des Absenders erfasst, ausschließlich um Absenden in zu kurzer Folge zu erkennen (Missbrauchsschutz); sie wird spätestens 24 Stunden nach dem Absenden wieder gelöscht, unabhängig vom Bearbeitungsstand. Eine unbearbeitete Anfrage, auf die 90 Tage lang niemand reagiert hat, wird automatisch gelöscht.

2.13 Zugriff durch Mitarbeitende des Betreibers

Mitarbeitende mit einer zweckgebundenen Rolle (Verifizierung, Angebotsprüfung, Support, Administration) haben nur im jeweils erforderlichen Umfang Zugriff auf Daten — insbesondere Verifizierungsnachweise sind nur dem zugewiesenen Verifizierungspersonal zugänglich. Zugriffe auf Dokumente werden protokolliert. Die Kampagnenherkunft und freiwilligen Angaben aus 2.11 sind im Einzelnen nur Administratorinnen und Administratoren zugänglich; Support sieht ausschließlich zusammengefasste Zahlen ohne Namen oder Freitext. Kontaktanfragen aus 2.12 sind Administratorinnen, Administratoren und Support gleichermaßen zugänglich.

3. Zwecke und Rechtsgrundlagen

[Die Zuordnung der Rechtsgrundlagen je Zweck wird im Rahmen der rechtlichen Abschlussprüfung bestätigt.]

4. Empfänger und Auftragsverarbeiter

Wir setzen die folgenden Dienstleister als Auftragsverarbeiter ein. Die Tabelle nennt die tatsächlich eingesetzten Anbieter, ihren Unternehmenssitz, die Region, in der die Daten verarbeitet werden, sowie den Übermittlungsmechanismus, der bei einem Anbieter mit Sitz außerhalb der EU/des EWR zum Tragen kommt:

Der Abschluss und die laufende Pflege der zugehörigen Auftragsverarbeitungsverträge (Art. 28 DSGVO) und ggf. der EU-Standardvertragsklauseln mit jedem dieser Anbieter liegt in der Verantwortung des Betreibers; diese Erklärung behauptet nicht, dass diese Verträge bereits unterzeichnet vorliegen. Änderungen an dieser Liste (neuer Anbieter, Wegfall eines Anbieters) werden hier nachgeführt.

5. Übermittlung in Drittländer

Die Verarbeitung findet regional in der EU statt (siehe Tabelle in Abschnitt 4). Da alle genannten Anbieter ihren Unternehmenssitz in den USA haben, kann im Einzelfall dennoch ein Zugriff aus einem Drittland stattfinden (z. B. Support-Zugriff, technischer Betrieb). Als Übermittlungsmechanismus werden hierfür EU-Standardvertragsklauseln vorgesehen. Ob dies für jeden Anbieter im Detail ausreicht bzw. zusätzliche Maßnahmen erforderlich sind, ist rechtlich zu bestätigen.

6. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck erforderlich ist. Kurzlebige Daten (Anmeldeprotokolle, gelesene Benachrichtigungen, erledigte Versandaufträge, abgelehnte Dokumente, entschiedene Verifizierungsnachweise) werden nach festen Fristen automatisch gelöscht, die der Betreiber in den Plattformeinstellungen festlegt; Daten zu bestätigten Beauftragungen bleiben für die Dauer gesetzlicher Aufbewahrungspflichten erhalten. Die konkreten Fristen werden vor dem Start abschließend festgelegt und hier veröffentlicht.

7. Betroffenenrechte

Ihnen stehen die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch nach den anwendbaren Vorschriften (DSGVO für Nutzer aus der EU, nDSG/FADP für Nutzer aus der Schweiz) zu. Anfragen auf Auskunft oder Löschung werden über ein dokumentiertes Verfahren bearbeitet; ein Export der eigenen Daten und ein Löschantrag können direkt im Konto ausgelöst werden. Bitte wenden Sie sich hierfür an t.waitschulies@dato-it.de.

8. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig ist die Behörde am Sitz des Betreibers, das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD), oder die Behörde an Ihrem gewöhnlichen Aufenthalt.

9. Änderungen dieser Erklärung

Diese Erklärung wird angepasst, sobald sich die tatsächliche Datenverarbeitung ändert (neue Funktionen, neue Auftragsverarbeiter, geänderte Speicherfristen). Das Datum der letzten Aktualisierung: 23. September 2026.

Eine rechtliche Abschlussprüfung durch den Betreiber steht noch aus.