Datenschutz­erklärung.

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Vertretungsberechtigter Geschäftsführer: Oliver Diekmeier; Amtsgericht Charlottenburg (Berlin), HRB 289900 B; USt-IdNr.: DE464420390

Datenschutzbeauftragter: Ein Datenschutzbeauftragter ist derzeit nicht bestellt, da die gesetzlichen Voraussetzungen (§ 38 BDSG) nicht vorliegen. Anfragen richten Sie bitte an die oben genannte Adresse.

2. Zwei Rollen: Verantwortlicher und Auftragsverarbeiter

Bitte beachten Sie die Unterscheidung zwischen zwei Arten der Datenverarbeitung:

a) Wir sind Verantwortlicher für die Daten, die bei der Nutzung unserer Website, bei der Registrierung, der Vertragsabwicklung, der Abrechnung, dem Support und der Sicherstellung des Betriebs anfallen. Diese Verarbeitungen sind in den Abschnitten 4 bis 11 beschrieben.

b) Wir sind Auftragsverarbeiter für alle Inhalte, die unsere Kunden in ihren Arbeitsbereichen speichern, etwa Antragstexte, Projektideen, Budgetdaten, Kontaktpersonen von Partnerorganisationen, Publikationslisten und hochgeladene Dateien. Enthalten diese Inhalte personenbezogene Daten Dritter, verarbeiten wir sie ausschließlich nach Weisung des jeweiligen Kunden auf Grundlage eines Vertrages zur Auftragsverarbeitung nach Art. 28 DSGVO. Verantwortlich für diese Daten ist der Kunde, also in der Regel Ihre Hochschule, Ihr Institut oder Ihr Unternehmen.

3. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

Art. 6 Abs. 1 lit. b DSGVO

Erfüllung eines Vertrages oder Durchführung vorvertraglicher Maßnahmen (Registrierung, Bereitstellung der Anwendung, Abrechnung, Support).

Art. 6 Abs. 1 lit. c DSGVO

Erfüllung rechtlicher Verpflichtungen (insbesondere handels- und steuerrechtliche Aufbewahrungspflichten).

Art. 6 Abs. 1 lit. f DSGVO

Wahrung berechtigter Interessen (Sicherheit und Stabilität des Betriebs, Missbrauchsabwehr, Weiterentwicklung der Anwendung, Geltendmachung von Rechtsansprüchen).

Art. 6 Abs. 1 lit. a DSGVO

Einwilligung, soweit wir diese gesondert einholen (z. B. für Produktneuigkeiten per E-Mail). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Art. 28 DSGVO

Verarbeitung im Auftrag unserer Kunden (siehe Abschnitt 2 b).

4. Aufruf der Website und der Anwendung (Server-Logfiles)

Bei jedem Aufruf erhebt unser Server automatisch technische Zugriffsdaten:

• IP-Adresse des anfragenden Endgeräts (bei meritevo.eu vor der Speicherung gekürzt: bei IPv4-Adressen werden die letzten 8 Bit, bei IPv6-Adressen die letzten 80 Bit entfernt),
• Datum und Uhrzeit des Zugriffs,
• aufgerufene Adresse (URL) und HTTP-Statuscode,
• übertragene Datenmenge,
• Referrer-URL,
• Browsertyp, Browserversion und Betriebssystem.

Zweck: Bereitstellung der Website, Sicherstellung der Systemstabilität, Erkennung und Abwehr von Angriffen und Missbrauch, Fehleranalyse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und störungsfreien Betrieb) sowie Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: Logfiles werden nach spätestens 30 Tagen gelöscht oder gekürzt. Bei einem konkreten Sicherheitsvorfall bewahren wir die betroffenen Einträge bis zur abschließenden Klärung auf.

Reichweitenmessung

Um die Reichweite unserer Website zu verstehen, werten wir die gekürzten Protokolleinträge von meritevo.eu einmal pro Nacht direkt auf dem Webserver aus. Wir zählen, welche Seiten in welcher Sprache aufgerufen werden, aus welchem Land, mit welcher Art von Browser, Betriebssystem und Endgerät und über welche Websites, Suchmaschinen oder eigenen Kampagnenlinks Besucher zu uns kommen. Um die Seitenaufrufe eines Besuchs zusammenzufassen, nutzt die Auswertung die gekürzte IP-Adresse und die Browserkennung, nur im Arbeitsspeicher und nur innerhalb eines Kalendertags; über verschiedene Tage hinweg wird derselbe Besucher nicht wiedererkannt. Das Land wird anhand der gekürzten IP-Adresse mit einer Datenbank auf unserem Server bestimmt; Stadt, Region und Internetanbieter werden nicht ermittelt. Von der verweisenden Seite behalten wir nur die Domain, und zwar nur für Domains auf unserer eigenen Liste; andere Websites werden als „Sonstige" gezählt, Links von unseren eigenen Seiten als direkter Aufruf. Von den Parametern der Adresse behalten wir nur die Kampagnenangaben, die wir selbst vergeben haben. Den Webserver verlassen ausschließlich tägliche Summen, und zwar in unser eigenes Statistiksystem auf unseren Servern bei Hetzner in Deutschland; in jeder Aufschlüsselung werden Werte, die an einem Tag seltener als fünfmal vorkommen, unter „Sonstige" zusammengefasst. Für diese Messung werden keine Cookies gesetzt und kein Skript in Ihrem Browser ausgeführt, und dabei werden keine Daten an Dritte weitergegeben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, die Nutzung und Reichweite unserer Website zu verstehen).

Speicherdauer: Für die Auswertung wird keine gesonderte Kopie der Protokolleinträge angelegt; sie werden wie oben beschrieben gelöscht. Die täglichen Summen haben keinen Personenbezug und werden unbefristet aufbewahrt.

Widerspruch: Sie können dieser Verarbeitung jederzeit widersprechen (Abschnitt 14); wir nehmen Ihre gekürzte IP-Adresse und Browserkennung dann von künftigen Auswertungen aus.

5. Cookies und lokale Speicherung

Wir verwenden notwendige Cookies für Anmeldung und lokale Einstellungen. Unsere Serverprotokoll-Reichweitenmessung (Abschnitt 4) verwendet kein Browser-Skript und keine Statistik-Identität. Die nachfolgend beschriebene freiwillige Statistik nutzt lokale Speicherung erst nach Ihrer ausdrücklichen Einwilligung.

Unbedingt erforderliche Speicherung beruht auf § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. b und f DSGVO. Für freiwillige Statistik gilt die nachfolgend genannte gesonderte Einwilligung.

Sie können Cookies jederzeit über Ihre Browsereinstellungen löschen. Das Löschen des Sitzungs-Cookies führt zur Abmeldung.

Freiwillige Statistik

Mit Ihrer Einwilligung nutzt die Quantevo GmbH Umami, um die Website-Nutzung und die Schritte von der Registrierung zum ersten Workspace und Antrag zu verstehen. Wir verarbeiten Seitenaufrufe, Klicks auf Registrierungslinks, Kampagnenangaben sowie die Meilensteine Registrierung, E-Mail-Bestätigung, Workspace-Erstellung, erstes Öffnen eines Workspace und erster Antrag. Eine zufällige Statistik-ID verknüpft diese Ereignisse und, wenn Sie sich mit eingeschalteter Statistik registrieren, Ihr Konto. Umami wird auf unseren Servern bei Hetzner in Deutschland betrieben (Abschnitt 12).

Statistik ist freiwillig. Die Website-Erfassung läuft 90 Tage ab Ihrer Auswahl. Registrieren Sie sich in dieser Zeit mit eingeschalteter Statistik, gilt die persönliche App-Einwilligung bis zum Widerruf oder zur Kontolöschung. App-Statistik können Sie auch separat in Ihrem Konto einschalten. Frühere Einwilligungen behalten ihre 30-Tage-Fristen für Website und Rohereignisse. Frühere befristete App-Einwilligungen enden 14 Tage nach der Registrierung oder beim ersten Antrag, je nachdem, was früher eintritt.

Speicherung und Speicherdauer

Rohereignisse und zugehörige Sitzungsdaten werden bis zu 90 Tage ab ihrem Auftreten gespeichert. Minimale Einwilligungs-, Kontozuordnungs- und Meilensteindaten bleiben während der aktiven App-Einwilligung erhalten. Nach Widerruf oder Kontolöschung laufen die verbleibenden Widerrufs- und Löschdaten aus, sobald die zugehörigen Erfassungs-, Rohdaten- und Wiederherstellungsfristen beendet sind. Anonyme zusammengefasste Berichte können unbefristet aufbewahrt werden.

In Ihrem Browser merkt sich mv-consent Ihre Auswahl, bis Sie den Eintrag löschen. mv-stats enthält während des Website-Zeitraums den Erfassungsbeleg und die Fristen. mv-stats-pending koordiniert eine Anfrage für höchstens vier Sekunden. Der Widerrufsbeleg in mv-stats-rights bleibt bis zu 194 Tage ab der Website-Auswahl erhalten. Frühere Einwilligungen behalten ihre kürzeren Fristen.

Rechtsgrundlage und Widerruf

Rechtsgrundlage für freiwillige Statistik und die zugehörige lokale Speicherung ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Sie können nach Art. 7 Abs. 3 DSGVO jederzeit widerrufen, ohne dass die Rechtmäßigkeit der Verarbeitung vor dem Widerruf berührt wird.

Zum Widerruf nutzen Sie Statistik-Einstellungen unten auf der Website, solange der Browser-Beleg verfügbar ist, oder Einstellungen → Konto in der App. Ein Website-Widerruf umfasst auch die mit dieser Auswahl verknüpfte App-Einwilligung; eine separate Auswahl nur für die App verwalten Sie dort. Ihre Konto-Auswahl gilt für Sie persönlich über alle Workspaces hinweg. Eine Kontolöschung fordert auch die Löschung verknüpfter Statistikdaten an. Weitere Datenschutzrechte und Kontaktdaten finden Sie nachfolgend.

6. Registrierung und Nutzerkonto

Für die Nutzung der Anwendung ist ein Nutzerkonto erforderlich.

Verarbeitete Daten: Name bzw. Anzeigename, E-Mail-Adresse, verschlüsselt gespeichertes Passwort (Hash-Verfahren), Zeitpunkt der Registrierung und der E-Mail-Bestätigung, Zeitpunkte von An- und Abmeldungen, Zugehörigkeit zu Organisationen und Arbeitsbereichen, Rolle und Berechtigungen, optional Angaben zur Zwei-Faktor-Authentifizierung sowie zum eigenen Forschungsprofil (z. B. Themenschwerpunkte, ORCID-Kennung).

Zwecke: Bereitstellung des Zugangs, Authentifizierung, Rechteverwaltung, Bestätigung der E-Mail-Adresse, Passwort-Zurücksetzung, Einladung von Teammitgliedern, Missbrauchsabwehr.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Sicherheitsmaßnahmen zusätzlich Art. 6 Abs. 1 lit. f DSGVO.

Missbrauchsabwehr bei der Registrierung: Zum Schutz vor automatisierten Massenregistrierungen begrenzen wir die Anzahl der Registrierungs-, Anmelde- und Passwortanfragen je IP-Adresse innerhalb eines Zeitfensters. Hierzu speichern wir kurzzeitig Zählerstände zu IP-Adressen (Speicherdauer je nach Maßnahme zwischen 5 Minuten und 60 Minuten). Außerdem gleichen wir die angegebene E-Mail-Domain gegen eine lokal vorgehaltene Liste von Wegwerf-E-Mail-Anbietern ab; hierbei findet keine Übermittlung an Dritte statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: bis zur Löschung des Kontos. Nach Vertragsende löschen wir Kontodaten nach Maßgabe von Abschnitt 13.

7. Nutzung der Anwendung (Kundeninhalte)

Inhalte, die Sie in Ihrem Arbeitsbereich anlegen oder hochladen, insbesondere Projektideen, Antragstexte und deren Versionen, Kommentare, Chatnachrichten, Budgetpläne, Partner- und Kontaktdaten, Publikationsangaben sowie Dateianlagen, verarbeiten wir als Auftragsverarbeiter für den jeweiligen Kunden (Abschnitt 2 b).

Zusätzlich protokollieren wir sicherheits- und nachweisrelevante Vorgänge innerhalb eines Arbeitsbereichs (z. B. wer wann welche Freigabe erteilt oder welchen Datensatz geändert hat). Diese Protokolle dienen der Nachvollziehbarkeit und der Missbrauchsabwehr.

8. KI-gestützte Funktionen

Unsere Anwendung enthält Funktionen, die auf großen Sprachmodellen und Bildgenerierungsmodellen beruhen, etwa die Bewertung von Ausschreibungen, das Erstellen von Textentwürfen, die kritische Durchsicht von Abschnitten, das Erstellen von Budgetentwürfen sowie das Erzeugen von Bildern.

Was übermittelt wird: Für die Ausführung einer KI-Funktion werden die dafür erforderlichen Inhalte, beispielsweise der betreffende Abschnitt, der Ausschreibungstext oder die zugehörigen Belegdaten, an den jeweiligen Modellanbieter übermittelt. Diese Inhalte können personenbezogene Daten enthalten, sofern Sie solche in Ihre Dokumente aufgenommen haben.

Eingesetzte Anbieter: Standard-Inferenzanbieter ist der Vermittlungsdienst OpenRouter, Inc. (USA), über den die Anfragen an die jeweiligen Modellanbieter weitergeleitet werden. Für die Textinferenz können Arbeitsbereiche stattdessen Anbieter mit Verarbeitung innerhalb der EU nutzen, derzeit Nebius und TensorX. Die konkret eingesetzten Modelle können sich im Zuge der technischen Weiterentwicklung ändern; die aktuelle Zusammenstellung der Empfänger finden Sie in Abschnitt 12.

EU-Bilderzeugung: Black Forest Labs (BFL GmbH, Freiburg) verarbeitet Prompts, Eingabebilder für Überarbeitungen und erzeugte Bilder über api.eu.bfl.ai. Dies ist eine Ausnahme von den hier beschriebenen Zusagen zu Zero Retention und zum vertraglichen Trainingsausschluss, auch bei aktivierter Zero Retention. Wir nutzen BFL zu dessen Standardbedingungen; ein Auftragsverarbeitungsvertrag (AVV) steht aus. Diese Bedingungen erlauben Training mit Ein- und Ausgaben. Wir haben der Nutzung zum Training widersprochen; die schriftliche Bestätigung von BFL und eine festgelegte Speicherdauer stehen noch aus. BFL dokumentiert EU-Routing für diesen Endpunkt, hat eine ausschließlich europäische Verarbeitung aber nicht vertraglich zugesagt.

Semantische Suche: Für die semantische Suche berechnen wir Einbettungen (Vektoren) mit einem in der EU gehosteten Modell von Nebius. Das gilt für alle Arbeitsbereiche und ist nicht umstellbar; eine Übermittlung an einen Anbieter außerhalb der EU findet dabei nicht statt.

Der Verarbeitungsort richtet sich nach der Konfiguration Ihres Arbeitsbereichs. Eine Verarbeitung ausschließlich innerhalb der EU können wir nicht generell zusichern. Server, Datenbank und Sicherungskopien der Anwendung liegen in Deutschland; für die KI-Verarbeitung wird bei der Erstellung des Arbeitsbereichs festgelegt, welcher Inferenzanbieter genutzt wird und ob ausschließlich Anbieter mit Zero-Retention-Zusage zulässig sind. Diese Festlegung ist nachträglich nur über unseren Support änderbar, nicht in der Anwendung selbst.

Sandbox und kostenlose Testphase: In Sandbox-Arbeitsbereichen und während der kostenlosen Testphase sind diese Einstellungen nicht konfigurierbar. Die KI-Verarbeitung erfolgt dort über OpenRouter und damit über einen Anbieter mit Sitz in den USA, der vertraglich Zero Retention zusichert. Verwenden Sie in diesen Arbeitsbereichen bitte keine vertraulichen oder personenbezogenen Inhalte, die die EU nicht verlassen dürfen.

Training: Wir selbst verwenden Ihre Inhalte in keinem Fall zum Training eigener oder fremder Modelle. Ob dies auch für den jeweiligen Modellanbieter gilt, hängt von der Zero-Retention-Einstellung ab, die standardmäßig aktiv ist: In diesem Fall sind eine Speicherung im Rahmen der Zero-Retention-Bedingungen der Anbieter und eine Nutzung zu Trainingszwecken vertraglich ausgeschlossen, mit Ausnahme der oben beschriebenen EU-Bilderzeugung mit BFL. Deaktiviert die Inhaberin oder der Inhaber des Arbeitsbereichs die Option ausdrücklich, können eine Zwischenspeicherung und, je nach Bedingungen des Anbieters, eine Nutzung zum Training seiner Modelle nicht ausgeschlossen werden.

Auslösung von KI-Funktionen: KI-Funktionen, die Credits verbrauchen, werden nur durch Ihre ausdrückliche Handlung ausgelöst (z. B. Klick auf „Entwurf erstellen"). Ausschreibungen werden außerdem automatisch vorgeprüft, ohne Credits zu verbrauchen; Inhaberinnen und Inhaber sowie Administratorinnen und Administratoren des Arbeitsbereichs können diese Vorprüfung abschalten. Hintergrundprozesse zur Beobachtung und Vorprüfung von Ausschreibungen verarbeiten keine Antragsinhalte.

Keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO: Bewertungen und Empfehlungen der Anwendung sind Entscheidungshilfen. Sie entfalten keine rechtliche Wirkung und werden stets von Menschen geprüft und verantwortet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vertraglich geschuldete Funktion). Soweit die Inhalte personenbezogene Daten Dritter enthalten, erfolgt die Verarbeitung im Auftrag des Kunden nach Art. 28 DSGVO.

9. Zahlungsabwicklung

Für kostenpflichtige Tarife setzen wir Stripe Payments Europe, Ltd. (Dublin, Irland) ein.

Verarbeitete Daten: Name, E-Mail-Adresse, Rechnungsanschrift, ggf. USt-IdNr., gewählter Tarif, Zahlungsbetrag, Zahlungsstatus. Zahlungsmitteldaten (Kartennummern, Bankverbindungen) werden ausschließlich von Stripe verarbeitet; wir erhalten und speichern diese nicht.

Zweck: Abwicklung der Zahlung, Rechnungsstellung, Erkennung betrügerischer Transaktionen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Betrugsprävention Art. 6 Abs. 1 lit. f DSGVO; für die Aufbewahrung der Rechnungsdaten Art. 6 Abs. 1 lit. c DSGVO.

Speicherdauer: Rechnungs- und Buchungsbelege werden gemäß §§ 147 AO, 257 HGB zehn Jahre aufbewahrt.

Stripe ist teilweise eigenständig Verantwortlicher; es gelten ergänzend die Datenschutzhinweise von Stripe.

10. E-Mail-Versand

Wir versenden betriebsnotwendige E-Mails, insbesondere zur Bestätigung der E-Mail-Adresse, zur Passwort-Zurücksetzung, für Einladungen in Arbeitsbereiche sowie Hinweise zu Ihrem Vertrag. Für den Versand nutzen wir den Dienst Brevo (Brevo GmbH, Berlin / Sendinblue SAS, Frankreich).

Verarbeitete Daten: E-Mail-Adresse, Anzeigename, Inhalt und Zeitpunkt der Nachricht sowie technische Zustellinformationen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (betriebsnotwendige Nachrichten); für Produktinformationen ohne unmittelbaren Vertragsbezug Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), jederzeit widerruflich.

Produktneuigkeiten: Nachrichten über neue Funktionen und Produktänderungen versenden wir ausschließlich nach ausdrücklicher Einwilligung (Opt-in). Sie erteilen und widerrufen diese Einwilligung jederzeit selbst in den Einstellungen Ihres Kontos in der Anwendung; die Abmeldung wirkt für die Zukunft und lässt betriebsnotwendige Nachrichten unberührt. Ohne Einwilligung erhalten Sie keine Produktneuigkeiten.

11. Kontaktaufnahme

Wenn Sie uns über das Kontaktformular oder per E-Mail kontaktieren, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, optional Ihre Organisation sowie Ihre Nachricht, um Ihre Anfrage zu beantworten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung).

Speicherdauer: Wir löschen Anfragen, sobald sie abschließend bearbeitet sind und keine Aufbewahrungspflichten entgegenstehen, spätestens nach 24 Monaten.

Buchung einer Demo

Wenn Sie auf unserer Website eine Live-Demo buchen, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, optional Ihre Organisation und Ihre Anmerkung sowie den gewählten Termin, um die Demo zu vereinbaren und durchzuführen. Die Buchung wird in unseren Kalender in Google Workspace eingetragen; Google versendet Ihnen die Einladung und stellt die Videokonferenz über Google Meet bereit. Um freie Termine anzuzeigen, liest unser Server aus unseren Kalendern ausschließlich die belegten Zeiträume, nie die Inhalte anderer Termine.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage).

Speicherdauer: Wir löschen den Kalendereintrag, sobald die Demo stattgefunden hat und nichts mehr nachzubereiten ist, spätestens nach 24 Monaten. Eine Übermittlung in die USA ist nicht ausgeschlossen (Abschnitt 12, Übermittlungen in Drittländer).

12. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, soweit dies zur Leistungserbringung erforderlich ist, wir gesetzlich dazu verpflichtet sind oder Sie eingewilligt haben. Mit Dienstleistern, die für uns personenbezogene Daten verarbeiten, bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO, mit Ausnahme von BFL für die EU-Bilderzeugung: Dessen AVV steht aus (Abschnitt 8).

Darüber hinaus rufen wir zur fachlichen Anreicherung öffentlich zugängliche Informationen von wissenschaftlichen Diensten ab (u. a. OpenAlex, Crossref, ORCID, CORDIS sowie Veröffentlichungen des Statistischen Bundesamtes). Dabei übermitteln wir grundsätzlich nur Suchbegriffe oder Kennungen (etwa eine DOI oder eine ORCID-Kennung) und keine Kontodaten. Wenn Sie Ihr ORCID-Profil verknüpfen, werden die dort von Ihnen veröffentlichten Angaben abgerufen.

Keine Weitergabe zu Werbezwecken. Wir verkaufen keine personenbezogenen Daten und geben sie nicht zu Werbezwecken an Dritte weiter.

Übermittlung in Drittländer

Bei den in der Tabelle genannten Anbietern mit Sitz außerhalb der EU/des EWR werden personenbezogene Daten in ein Drittland übermittelt. Die Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln der EU-Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO, ergänzt um technische und organisatorische Schutzmaßnahmen (Transportverschlüsselung, Datenminimierung, keine Übermittlung von Kontodaten an Modellanbieter), sowie, soweit einschlägig, auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework für zertifizierte Unternehmen).

Wir weisen darauf hin, dass in Drittländern unter Umständen kein dem europäischen Recht gleichwertiges Datenschutzniveau besteht und behördliche Zugriffe nicht in gleichem Maß ausgeschlossen werden können.

13. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist:

Server-Logfiles

max. 30 Tage (Abschnitt 4).

Reichweitenmessung

tägliche Summen ohne Personenbezug: unbefristet; einzelne Besuche werden nicht gesondert gespeichert (Abschnitt 4).

Freiwillige Statistik

Rohereignisse: bis zu 90 Tage ab Auftreten; Website-Erfassung: 90 Tage ab Ihrer Auswahl; App-Einwilligung: bis zum Widerruf oder zur Kontolöschung. Minimale Einwilligungs- und Meilensteindaten bleiben während der aktiven App-Einwilligung erhalten. Widerrufs- und Löschdaten laufen mit den zugehörigen Erfassungs-, Rohdaten- und Wiederherstellungsfristen aus. Frühere Einwilligungen behalten 30-Tage-Fristen für Website und Rohereignisse; frühere befristete App-Einwilligungen enden nach 14 Tagen oder beim ersten Antrag, je nachdem, was früher eintritt. Anonyme Berichte können unbefristet bleiben (Abschnitt 5).

Konto- und Nutzungsdaten

bis zur Löschung des Kontos bzw. bis zum Ende des Vertragsverhältnisses.

Kundeninhalte

Nach Vertragsende bleibt der Export für 30 Tage möglich; anschließend erfolgt die vollständige Löschung innerhalb von 90 Tagen. Für Sandbox-Arbeitsbereiche gilt die jeweils angegebene kürzere Frist.

Sicherungskopien

Löschungen wirken sich in den Sicherungskopien mit einem Versatz von bis zu 35 Tagen aus; danach sind die Daten auch dort entfernt.

Rechnungs- und Buchungsunterlagen

10 Jahre (§§ 147 AO, 257 HGB).

Handelsbriefe

6 Jahre (u. a. relevante Geschäftskorrespondenz).

14. Ihre Rechte

Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung Ihrer Rechte genügt eine Nachricht an contact@meritevo.eu. Viele Angaben können Sie zudem direkt in den Einstellungen Ihres Kontos einsehen, ändern oder exportieren.

Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist:

15. Erforderlichkeit der Bereitstellung

Die Bereitstellung von Name, E-Mail-Adresse und, bei kostenpflichtigen Tarifen, Rechnungsdaten ist für den Vertragsschluss erforderlich. Ohne diese Angaben können wir kein Konto einrichten und die Anwendung nicht bereitstellen. Alle weiteren Angaben (etwa Angaben zum Forschungsprofil) sind freiwillig; ohne sie stehen einzelne Funktionen möglicherweise nur eingeschränkt zur Verfügung.

16. Datensicherheit

Wir treffen dem Stand der Technik entsprechende technische und organisatorische Maßnahmen, um Ihre Daten zu schützen. Dazu zählen insbesondere die Transportverschlüsselung sämtlicher Verbindungen (TLS), die Speicherung von Passwörtern ausschließlich als kryptografischer Hash, eine rollenbasierte Zugriffssteuerung mit strikter Trennung der Arbeitsbereiche, eine optionale Zwei-Faktor-Authentifizierung, regelmäßige Sicherungskopien sowie die Protokollierung sicherheitsrelevanter Vorgänge.