Vertrag zur Auftragsverarbeitung

Dieser Vertrag nach Art. 28 DSGVO gilt zwischen dem Unternehmen, für das ein Team in Antragsradar angelegt ist („Auftraggeber“), und der Zeitmaker GmbH („Auftragnehmer“). Er ergänzt die AGB und geht ihnen in Fragen des Datenschutzes vor.

1. Gegenstand und Dauer

Der Auftragnehmer verarbeitet die Daten, die die Antragsradar-Erweiterung aus dem Portal der Bescheinigungsstelle Forschungszulage (BSFZ) liest, um sie dem Team des Auftraggebers als Tabelle bereitzustellen. Der Vertrag gilt, solange der Auftraggeber Antragsradar nutzt.

2. Art der Daten und betroffene Personen

• Portal-Login: Kennung, Name und E-Mail-Adresse der im Portal angemeldeten Person.
• Unternehmen, für die dieser Login handelt: Kennung und Name.
• Anträge und Nachforderungen: Aktenzeichen, Status, Fristen, Datumsangaben, Titel und Referenznummern der Vorhaben.
• Archiv der Anträge: Volltexte der Anträge und Vorhaben (eingereichte Fassung oder aktueller Stand), Arbeitspläne, personeller und finanzieller Rahmen, Stammdaten der Antragsteller (darunter Steuernummer, Finanzamt, Handelsregister), Angaben zu den Wirtschaftsjahren (Mitarbeitende, Umsatz, FuE-Aufwendungen), Ansprechpartner und gesetzliche Vertreter, Nachforderungen der BSFZ mit den Antworten darauf, sowie die Dokumente: Bescheide, die im Portal bereits abgeholt wurden, eingereichte Anträge als PDF, Anlagen und Anlagen zu Antworten.
• Protokolle der Syncs: Zeitpunkt, Umfang, Ergebnis und Fehlermeldungen, dazu ein technisches Ablaufprotokoll ohne Inhalte (abgefragte Adressen mit Kennungen, Statuscodes, Dauer, Größen), das nach 30 Tagen gelöscht wird.

Betroffen sind Mitarbeitende des Auftraggebers sowie seine Mandanten, deren Ansprechpartner, gesetzliche Vertreter und Mitarbeitende, soweit sie in diesen Daten vorkommen. Zugangsdaten und TAN liest die Erweiterung nicht. Nachrichten im Postfach des Portals liest sie nicht, und Bescheide, die noch nicht abgeholt wurden, ruft sie nie ab.

3. Nur auf Weisung

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Weisungen sind die Einrichtung und Bedienung von Antragsradar (zum Beispiel wann synchronisiert wird und wer zum Team gehört) sowie Weisungen in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, sagt er das unverzüglich.

4. Keine Nutzung für eigene Zwecke

Der Auftragnehmer berät selbst zur Forschungszulage. Er nutzt die Daten des Auftraggebers deshalb ausdrücklich nicht für eigene Zwecke: nicht für seine Beratung, nicht zur Akquise oder Ansprache von Mandanten des Auftraggebers, nicht für Auswertungen über einzelne Teams hinweg und nicht zum Training von KI-Modellen. Er gibt die Daten an niemanden weiter außer an die unten genannten Unterauftragnehmer.

Auf die Daten greifen nur die Personen zu, die Antragsradar technisch betreiben, und nur, soweit es für Betrieb und Sicherheit oder eine vom Auftraggeber erbetene Fehlerbehebung nötig ist. Sie sind zur Vertraulichkeit verpflichtet.

5. Technische und organisatorische Maßnahmen

• Jede Zeile in der Datenbank gehört genau einem Team; jede Abfrage prüft, dass sie nur Daten des eigenen Teams liefert.
• Zugriff nur mit Anmeldung bei Antragsradar; Teammitglieder verwaltet der Auftraggeber selbst.
• Übertragung ausschließlich verschlüsselt (TLS), Speicherung verschlüsselt.
• Die Erweiterung fragt im Portal nur lesend ab und speichert keine Zugangsdaten.
• Antworten des Portals werden Feld für Feld übernommen und vorher auf ihre erwartete Form geprüft; Dokumente werden auf Größe und Prüfsumme geprüft.
• Dokumente werden nur an angemeldete Mitglieder des Teams ausgeliefert, nicht über öffentliche Links.
• Protokolle enthalten Kennungen, Zähler und Statuscodes, keine Inhalte.

6. Unterauftragnehmer

• Convex, Inc.: Datenbank, Standort Irland (EU). Hier liegen die Antragsdaten.
• Vercel Inc.: Betrieb der Web-App, Serverfunktionen in Frankfurt am Main.
• Clerk, Inc.: Anmeldung der Teammitglieder (Name, E-Mail-Adresse, Teamzugehörigkeit), Standort USA. Antragsdaten erhält Clerk nicht.

Mit allen bestehen Verträge zur Auftragsverarbeitung; für Übermittlungen in die USA gelten das EU-U.S. Data Privacy Framework oder die Standardvertragsklauseln der EU-Kommission. Neue oder geänderte Unterauftragnehmer kündigt der Auftragnehmer mindestens vier Wochen vorher an. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag dann kündigen.

7. Unterstützung und Meldungen

Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen betroffener Personen und bei seinen Pflichten nach Art. 32 bis 36 DSGVO. Verletzungen des Schutzes der Daten meldet er unverzüglich, spätestens innerhalb von 48 Stunden, nachdem er sie bemerkt hat.

8. Löschung

Auf Weisung löscht der Auftragnehmer die Daten des Teams jederzeit, spätestens 30 Tage nach Vertragsende, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Das Archiv eines Antrags, der im Portal nicht mehr erscheint, löscht er 30 Tage nachdem er verschwunden ist. Die Zustimmung zu AGB und AVV bewahrt er als Nachweis auf.

9. Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen bereit, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind, und ermöglicht Überprüfungen nach Absprache. Kontakt: Angabe fehlt: E-Mail.