Datenschutz­erklärung.

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Vertretungsberechtigter Geschäftsführer: Oliver Diekmeier · Amtsgericht Charlottenburg (Berlin), HRB 289900 B · USt-IdNr.: DE464420390

Datenschutzbeauftragter: Ein Datenschutzbeauftragter ist derzeit nicht bestellt, da die gesetzlichen Voraussetzungen (§ 38 BDSG) nicht vorliegen. Anfragen richten Sie bitte an die oben genannte Adresse.

2. Zwei Rollen: Verantwortlicher und Auftragsverarbeiter

Bitte beachten Sie die Unterscheidung zwischen zwei Arten der Datenverarbeitung:

a) Wir sind Verantwortlicher für die Daten, die bei der Nutzung unserer Website, bei der Registrierung, der Vertragsabwicklung, der Abrechnung, dem Support und der Sicherstellung des Betriebs anfallen. Diese Verarbeitungen sind in den Abschnitten 4 bis 11 beschrieben.

b) Wir sind Auftragsverarbeiter für alle Inhalte, die unsere Kunden in ihren Arbeitsbereichen speichern, etwa Antragstexte, Projektideen, Budgetdaten, Kontaktpersonen von Partnerorganisationen, Publikationslisten und hochgeladene Dateien. Enthalten diese Inhalte personenbezogene Daten Dritter, verarbeiten wir sie ausschließlich nach Weisung des jeweiligen Kunden auf Grundlage eines Vertrages zur Auftragsverarbeitung nach Art. 28 DSGVO. Verantwortlich für diese Daten ist der Kunde, also in der Regel Ihre Hochschule, Ihr Institut oder Ihr Unternehmen.

3. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

Art. 6 Abs. 1 lit. b DSGVO

Erfüllung eines Vertrages oder Durchführung vorvertraglicher Maßnahmen (Registrierung, Bereitstellung der Anwendung, Abrechnung, Support).

Art. 6 Abs. 1 lit. c DSGVO

Erfüllung rechtlicher Verpflichtungen (insbesondere handels- und steuerrechtliche Aufbewahrungspflichten).

Art. 6 Abs. 1 lit. f DSGVO

Wahrung berechtigter Interessen (Sicherheit und Stabilität des Betriebs, Missbrauchsabwehr, Weiterentwicklung der Anwendung, Geltendmachung von Rechtsansprüchen).

Art. 6 Abs. 1 lit. a DSGVO

Einwilligung, soweit wir diese gesondert einholen (z. B. für Produktneuigkeiten per E-Mail). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Art. 28 DSGVO

Verarbeitung im Auftrag unserer Kunden (siehe Abschnitt 2 b).

4. Aufruf der Website und der Anwendung (Server-Logfiles)

Bei jedem Aufruf erhebt unser Server automatisch technische Zugriffsdaten:

• IP-Adresse des anfragenden Endgeräts,
• Datum und Uhrzeit des Zugriffs,
• aufgerufene Adresse (URL) und HTTP-Statuscode,
• übertragene Datenmenge,
• Referrer-URL,
• Browsertyp, Browserversion und Betriebssystem.

Zweck: Bereitstellung der Website, Sicherstellung der Systemstabilität, Erkennung und Abwehr von Angriffen und Missbrauch, Fehleranalyse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und störungsfreien Betrieb) sowie Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: Logfiles werden nach spätestens 30 Tagen gelöscht oder gekürzt. Bei einem konkreten Sicherheitsvorfall bewahren wir die betroffenen Einträge bis zur abschließenden Klärung auf.

5. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies. Wir setzen keine Analyse-, Tracking-, Werbe- oder Profiling-Cookies ein und binden keine Drittanbieter-Werkzeuge zur Reichweitenmessung ein.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderliche Speicherung) in Verbindung mit Art. 6 Abs. 1 lit. b und lit. f DSGVO. Da wir ausschließlich erforderliche Cookies einsetzen, ist eine Einwilligung nicht erforderlich; es wird daher kein Cookie-Banner angezeigt.

Sie können Cookies jederzeit über Ihre Browsereinstellungen löschen. Das Löschen des Sitzungs-Cookies führt zur Abmeldung.

6. Registrierung und Nutzerkonto

Für die Nutzung der Anwendung ist ein Nutzerkonto erforderlich.

Verarbeitete Daten: Name bzw. Anzeigename, E-Mail-Adresse, verschlüsselt gespeichertes Passwort (Hash-Verfahren), Zeitpunkt der Registrierung und der E-Mail-Bestätigung, Zeitpunkte von An- und Abmeldungen, Zugehörigkeit zu Organisationen und Arbeitsbereichen, Rolle und Berechtigungen, optional Angaben zur Zwei-Faktor-Authentifizierung sowie zum eigenen Forschungsprofil (z. B. Themenschwerpunkte, ORCID-Kennung).

Zwecke: Bereitstellung des Zugangs, Authentifizierung, Rechteverwaltung, Bestätigung der E-Mail-Adresse, Passwort-Zurücksetzung, Einladung von Teammitgliedern, Missbrauchsabwehr.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Sicherheitsmaßnahmen zusätzlich Art. 6 Abs. 1 lit. f DSGVO.

Missbrauchsabwehr bei der Registrierung: Zum Schutz vor automatisierten Massenregistrierungen begrenzen wir die Anzahl der Registrierungs-, Anmelde- und Passwortanfragen je IP-Adresse innerhalb eines Zeitfensters. Hierzu speichern wir kurzzeitig Zählerstände zu IP-Adressen (Speicherdauer je nach Maßnahme zwischen 5 Minuten und 60 Minuten). Außerdem gleichen wir die angegebene E-Mail-Domain gegen eine lokal vorgehaltene Liste von Wegwerf-E-Mail-Anbietern ab; hierbei findet keine Übermittlung an Dritte statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: bis zur Löschung des Kontos. Nach Vertragsende löschen wir Kontodaten nach Maßgabe von Abschnitt 13.

7. Nutzung der Anwendung (Kundeninhalte)

Inhalte, die Sie in Ihrem Arbeitsbereich anlegen oder hochladen, insbesondere Projektideen, Antragstexte und deren Versionen, Kommentare, Chatnachrichten, Budgetpläne, Partner- und Kontaktdaten, Publikationsangaben sowie Dateianlagen, verarbeiten wir als Auftragsverarbeiter für den jeweiligen Kunden (Abschnitt 2 b).

Zusätzlich protokollieren wir sicherheits- und nachweisrelevante Vorgänge innerhalb eines Arbeitsbereichs (z. B. wer wann welche Freigabe erteilt oder welchen Datensatz geändert hat). Diese Protokolle dienen der Nachvollziehbarkeit und der Missbrauchsabwehr.

8. KI-gestützte Funktionen

Unsere Anwendung enthält Funktionen, die auf großen Sprachmodellen und Bildgenerierungsmodellen beruhen, etwa die Bewertung von Ausschreibungen, das Erstellen von Textentwürfen, die kritische Durchsicht von Abschnitten, das Erstellen von Budgetentwürfen sowie das Erzeugen von Bildern.

Was übermittelt wird: Für die Ausführung einer KI-Funktion werden die dafür erforderlichen Inhalte, beispielsweise der betreffende Abschnitt, der Ausschreibungstext oder die zugehörigen Belegdaten, an den jeweiligen Modellanbieter übermittelt. Diese Inhalte können personenbezogene Daten enthalten, sofern Sie solche in Ihre Dokumente aufgenommen haben.

Eingesetzte Anbieter: Standard-Inferenzanbieter ist der Vermittlungsdienst OpenRouter, Inc. (USA), über den die Anfragen an die jeweiligen Modellanbieter weitergeleitet werden. Alternativ können Arbeitsbereiche auf einen Anbieter mit Verarbeitung ausschließlich in der EU umgestellt werden, derzeit Nebius und TensorX. Die konkret eingesetzten Modelle können sich im Zuge der technischen Weiterentwicklung ändern; die aktuelle Zusammenstellung der Empfänger finden Sie in Abschnitt 12.

Semantische Suche: Für die semantische Suche berechnen wir Einbettungen (Vektoren) mit einem in der EU gehosteten Modell von Nebius. Das gilt für alle Arbeitsbereiche und ist nicht umstellbar; eine Übermittlung an einen Anbieter außerhalb der EU findet dabei nicht statt.

Der Verarbeitungsort richtet sich nach der Konfiguration Ihres Arbeitsbereichs. Eine Verarbeitung ausschließlich innerhalb der EU können wir nicht generell zusichern. Server, Datenbank und Sicherungskopien der Anwendung liegen in Deutschland; für die KI-Verarbeitung wird bei der Erstellung des Arbeitsbereichs festgelegt, welcher Inferenzanbieter genutzt wird und ob ausschließlich Anbieter mit Zero-Retention-Zusage zulässig sind. Diese Festlegung ist nachträglich nur über unseren Support änderbar, nicht in der Anwendung selbst.

Sandbox und kostenlose Testphase: In Sandbox-Arbeitsbereichen und während der kostenlosen Testphase sind diese Einstellungen nicht konfigurierbar. Die KI-Verarbeitung erfolgt dort über OpenRouter und damit über einen Anbieter mit Sitz in den USA, der vertraglich Zero Retention zusichert. Verwenden Sie in diesen Arbeitsbereichen bitte keine vertraulichen oder personenbezogenen Inhalte, die die EU nicht verlassen dürfen.

Training: Wir selbst verwenden Ihre Inhalte in keinem Fall zum Training eigener oder fremder Modelle. Ob dies auch für den jeweiligen Modellanbieter gilt, hängt von der Zero-Retention-Einstellung ab, die standardmäßig aktiv ist: In diesem Fall sind eine Speicherung und eine Nutzung zu Trainingszwecken beim Anbieter vertraglich ausgeschlossen. Deaktiviert die Inhaberin oder der Inhaber des Arbeitsbereichs die Option ausdrücklich, können eine Zwischenspeicherung und, je nach Bedingungen des Anbieters, eine Nutzung zum Training seiner Modelle nicht ausgeschlossen werden.

Nur bewusst ausgelöste Verarbeitung: KI-Funktionen werden ausschließlich durch eine ausdrückliche Handlung ausgelöst (z. B. Klick auf „Entwurf erstellen"). Hintergrundprozesse zur Beobachtung von Ausschreibungen verarbeiten keine Antragsinhalte.

Keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO: Bewertungen und Empfehlungen der Anwendung sind Entscheidungshilfen. Sie entfalten keine rechtliche Wirkung und werden stets von Menschen geprüft und verantwortet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vertraglich geschuldete Funktion). Soweit die Inhalte personenbezogene Daten Dritter enthalten, erfolgt die Verarbeitung im Auftrag des Kunden nach Art. 28 DSGVO.

9. Zahlungsabwicklung

Für kostenpflichtige Tarife setzen wir Stripe Payments Europe, Ltd. (Dublin, Irland) ein.

Verarbeitete Daten: Name, E-Mail-Adresse, Rechnungsanschrift, ggf. USt-IdNr., gewählter Tarif, Zahlungsbetrag, Zahlungsstatus. Zahlungsmitteldaten (Kartennummern, Bankverbindungen) werden ausschließlich von Stripe verarbeitet; wir erhalten und speichern diese nicht.

Zweck: Abwicklung der Zahlung, Rechnungsstellung, Erkennung betrügerischer Transaktionen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Betrugsprävention Art. 6 Abs. 1 lit. f DSGVO; für die Aufbewahrung der Rechnungsdaten Art. 6 Abs. 1 lit. c DSGVO.

Speicherdauer: Rechnungs- und Buchungsbelege werden gemäß §§ 147 AO, 257 HGB zehn Jahre aufbewahrt.

Stripe ist teilweise eigenständig Verantwortlicher; es gelten ergänzend die Datenschutzhinweise von Stripe.

10. E-Mail-Versand

Wir versenden betriebsnotwendige E-Mails, insbesondere zur Bestätigung der E-Mail-Adresse, zur Passwort-Zurücksetzung, für Einladungen in Arbeitsbereiche sowie Hinweise zu Ihrem Vertrag. Für den Versand nutzen wir den Dienst Brevo (Brevo GmbH, Berlin / Sendinblue SAS, Frankreich).

Verarbeitete Daten: E-Mail-Adresse, Anzeigename, Inhalt und Zeitpunkt der Nachricht sowie technische Zustellinformationen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (betriebsnotwendige Nachrichten); für Produktinformationen ohne unmittelbaren Vertragsbezug Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), jederzeit widerruflich.

Produktneuigkeiten: Nachrichten über neue Funktionen und Produktänderungen versenden wir ausschließlich nach ausdrücklicher Einwilligung (Opt-in). Sie erteilen und widerrufen diese Einwilligung jederzeit selbst in den Einstellungen Ihres Kontos in der Anwendung; die Abmeldung wirkt für die Zukunft und lässt betriebsnotwendige Nachrichten unberührt. Ohne Einwilligung erhalten Sie keine Produktneuigkeiten.

11. Kontaktaufnahme

Wenn Sie uns über das Kontaktformular oder per E-Mail kontaktieren, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, optional Ihre Organisation sowie Ihre Nachricht, um Ihre Anfrage zu beantworten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung).

Speicherdauer: Wir löschen Anfragen, sobald sie abschließend bearbeitet sind und keine Aufbewahrungspflichten entgegenstehen, spätestens nach 24 Monaten.

12. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, soweit dies zur Leistungserbringung erforderlich ist, wir gesetzlich dazu verpflichtet sind oder Sie eingewilligt haben. Mit allen Dienstleistern, die für uns personenbezogene Daten verarbeiten, bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

Darüber hinaus rufen wir zur fachlichen Anreicherung öffentlich zugängliche Informationen von wissenschaftlichen Diensten ab (u. a. OpenAlex, Crossref, ORCID, CORDIS sowie Veröffentlichungen des Statistischen Bundesamtes). Dabei übermitteln wir grundsätzlich nur Suchbegriffe oder Kennungen (etwa eine DOI oder eine ORCID-Kennung) und keine Kontodaten. Wenn Sie Ihr ORCID-Profil verknüpfen, werden die dort von Ihnen veröffentlichten Angaben abgerufen.

Keine Weitergabe zu Werbezwecken. Wir verkaufen keine personenbezogenen Daten und geben sie nicht zu Werbezwecken an Dritte weiter.

Übermittlung in Drittländer

Bei den in der Tabelle genannten Anbietern mit Sitz außerhalb der EU/des EWR werden personenbezogene Daten in ein Drittland übermittelt. Die Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln der EU-Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO, ergänzt um technische und organisatorische Schutzmaßnahmen (Transportverschlüsselung, Datenminimierung, keine Übermittlung von Kontodaten an Modellanbieter), sowie, soweit einschlägig, auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework für zertifizierte Unternehmen).

Wir weisen darauf hin, dass in Drittländern unter Umständen kein dem europäischen Recht gleichwertiges Datenschutzniveau besteht und behördliche Zugriffe nicht in gleichem Maß ausgeschlossen werden können.

13. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist:

Server-Logfiles

max. 30 Tage (Abschnitt 4).

Konto- und Nutzungsdaten

bis zur Löschung des Kontos bzw. bis zum Ende des Vertragsverhältnisses.

Kundeninhalte

Nach Vertragsende bleibt der Export für 30 Tage möglich; anschließend erfolgt die vollständige Löschung innerhalb von 90 Tagen. Für Sandbox-Arbeitsbereiche gilt die jeweils angegebene kürzere Frist.

Sicherungskopien

Löschungen wirken sich in den Sicherungskopien mit einem Versatz von bis zu 35 Tagen aus; danach sind die Daten auch dort entfernt.

Rechnungs- und Buchungsunterlagen

10 Jahre (§§ 147 AO, 257 HGB).

Handelsbriefe

6 Jahre (u. a. relevante Geschäftskorrespondenz).

14. Ihre Rechte

Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung Ihrer Rechte genügt eine Nachricht an contact@meritevo.eu. Viele Angaben können Sie zudem direkt in den Einstellungen Ihres Kontos einsehen, ändern oder exportieren.

Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist:

15. Erforderlichkeit der Bereitstellung

Die Bereitstellung von Name, E-Mail-Adresse und, bei kostenpflichtigen Tarifen, Rechnungsdaten ist für den Vertragsschluss erforderlich. Ohne diese Angaben können wir kein Konto einrichten und die Anwendung nicht bereitstellen. Alle weiteren Angaben (etwa Angaben zum Forschungsprofil) sind freiwillig; ohne sie stehen einzelne Funktionen möglicherweise nur eingeschränkt zur Verfügung.

16. Datensicherheit

Wir treffen dem Stand der Technik entsprechende technische und organisatorische Maßnahmen, um Ihre Daten zu schützen. Dazu zählen insbesondere die Transportverschlüsselung sämtlicher Verbindungen (TLS), die Speicherung von Passwörtern ausschließlich als kryptografischer Hash, eine rollenbasierte Zugriffssteuerung mit strikter Trennung der Arbeitsbereiche, eine optionale Zwei-Faktor-Authentifizierung, regelmäßige Sicherungskopien sowie die Protokollierung sicherheitsrelevanter Vorgänge.