Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

[FIRMENNAME + RECHTSFORM]
[STRASSE NR]
[PLZ ORT]
E-Mail: info@mittelmatch.de

Die vollständigen Anbieterangaben finden Sie in unserem Impressum.

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Anwendung sowie unserer Inhalte und Leistungen erforderlich ist. Rechtsgrundlage der Verarbeitung ist regelmäßig Art. 6 Abs. 1 DSGVO: die Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen (lit. b), die Erfüllung rechtlicher Pflichten (lit. c), Ihre Einwilligung (lit. a) oder unser berechtigtes Interesse an einem sicheren und funktionsfähigen Angebot (lit. f).

Personenbezogene Daten werden gelöscht, sobald der Zweck der Speicherung entfällt und keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Empfänger der Daten sind ausschließlich sorgfältig ausgewählte Dienstleister, die wir als Auftragsverarbeiter nach Art. 28 DSGVO vertraglich verpflichtet haben. Eine Weitergabe an Dritte zu anderen als den hier genannten Zwecken erfolgt nicht.

Soweit die nachfolgend genannten Empfänger ihren Sitz in den USA oder einem anderen Land außerhalb der EU bzw. des EWR haben, stützen wir die Übermittlung auf einen Angemessenheitsbeschluss der EU-Kommission — insbesondere das EU-US Data Privacy Framework, sofern der jeweilige Empfänger dort zertifiziert ist — oder andernfalls auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der jeweiligen Garantien stellen wir Ihnen auf Anfrage zur Verfügung.

3. Hosting

Unsere Anwendung wird bei der Vercel Inc. (San Francisco, USA) gehostet. Beim Aufruf der Anwendung werden technisch notwendige Daten (insbesondere IP-Adresse, Zeitpunkt der Anfrage, aufgerufene Adresse, übertragene Datenmenge und Browserinformationen) in Server-Logfiles verarbeitet, um die Anwendung sicher und stabil bereitzustellen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und effizienten Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Mit Vercel besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Da eine Verarbeitung auch in den USA stattfinden kann, ist ein Drittlandbezug gegeben; die Übermittlung wird durch die Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO) abgesichert.

4. Registrierung und Anmeldung

Für die Nutzung des geschützten Bereichs können Sie sich mit Ihrer E-Mail-Adresse registrieren und anmelden. Wir verwenden ein passwortloses Verfahren („Magic Link“): Sie erhalten einen einmaligen Anmeldelink per E-Mail. Verarbeitet wird hierfür Ihre E-Mail-Adresse. Rechtsgrundlage ist die Durchführung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO). Für Authentifizierung und Datenhaltung setzen wir Supabase (Supabase Inc., USA) als Auftragsverarbeiter ein.

Zur Aufrechterhaltung Ihrer Anmeldung werden technisch notwendige Cookies (Session-Cookies) gesetzt. Diese sind für die von Ihnen ausdrücklich gewünschte Funktion (angemeldete Nutzung) unbedingt erforderlich; Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO. Für Cookies bzw. vergleichbare Technologien, die zu Analysezwecken eingesetzt werden und einer Einwilligung bedürfen, holen wir diese über ein Cookie-Banner ein; für angemeldete Kunden erfolgt die Produkt-Analyse nach Maßgabe von Abschnitt 11. Die vorstehend beschriebenen Session-Cookies bleiben davon unberührt und sind technisch notwendig.

5. Projektdaten und Datenbank

Im angemeldeten Bereich erfassen und speichern wir die von Ihnen eingegebenen Projekt- und Antragsdaten, Ihre Chat-Verläufe aus dem Interview, Beratungs-Anfragen sowie die Kommunikation mit Ihrem Berater. Diese Daten werden in einer Postgres-Datenbank bei Supabase gespeichert und dienen der Vorbereitung Ihres Antrags auf Forschungszulage. Rechtsgrundlage ist die Erfüllung des Nutzungs- bzw. Beratungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).

Im Bereich „Arbeitsplan“ können Sie die am Vorhaben beteiligten Personen erfassen, damit Personenmonate und Personalkosten automatisch berechnet werden. Gespeichert werden dazu ein Vorname, eine Rollenbezeichnung, die Personalkategorie und ein Gehalt (Jahresgehalt oder Monatssatz) je Person sowie der Zeitanteil je Arbeitspaket. Es handelt sich um personenbezogene Daten Ihrer Beschäftigten, für deren Verarbeitung in unserem System Sie verantwortlich sind; die Angaben sind freiwillig — Sie können Personenmonate und Kosten stattdessen auch direkt eintragen. Diese Angaben werden nicht an OpenAI übermittelt. In den Antragsunterlagen, die wir daraus erzeugen (BSFZ-Ausfüllhilfe und PDF-Antrag), erscheinen keine Vornamen: Die Durchführung eines Arbeitspakets wird dort mit der Rollenbezeichnung und dem Zeitanteil ausgewiesen. Diese Unterlagen enthalten daneben die Personenmonate und Personalkosten je Arbeitspaket, aus denen sich das zugrunde liegende Gehalt einer Rolle rechnerisch ableiten lässt. Empfänger sind Ihr Berater und – über Sie – das BSFZ-Portal; an weitere Dritte geben wir die Unterlagen nicht. Rechtsgrundlage ist die Erfüllung des Nutzungs- bzw. Beratungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).

Der Zugriff ist durch Zugriffsprüfungen in der Anwendung so beschränkt, dass Sie ausschließlich Ihre eigenen Projekte sehen; ein Zugriff auf Daten anderer Kunden ist ausgeschlossen. Ergänzend greifen auf Datenbankebene Zugriffsregeln (Row Level Security) als weitere Schutzschicht. Die Berater und Administratoren des Anbieters haben demgegenüber eine übergreifende Sicht: Ihr Zugriff ist nicht auf einzelne Kunden beschränkt, sondern umfasst die Projekte aller Kunden. Das ist erforderlich, damit Anfragen auch in Vertretung, bei einem Wechsel der Zuständigkeit und zur Qualitätssicherung bearbeitet werden können. Rechtsgrundlage hierfür ist die Erfüllung des Beratungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einem verlässlichen Beratungsbetrieb (Art. 6 Abs. 1 lit. f DSGVO). Alle internen Nutzer sind zur Vertraulichkeit verpflichtet und nutzen die Daten nur zur Erbringung der vereinbarten Leistungen.

6. Transaktionale E-Mails

Für den Versand systembezogener E-Mails (z. B. Anmeldelinks und Benachrichtigungen) nutzen wir Microsoft 365 bzw. die Microsoft Graph API (Microsoft Corporation, USA). Verarbeitet werden dabei Ihre E-Mail-Adresse und der jeweilige Nachrichteninhalt. Rechtsgrundlage ist die Durchführung des Nutzungsverhältnisses sowie unser berechtigtes Interesse an einer zuverlässigen Zustellung (Art. 6 Abs. 1 lit. b und lit. f DSGVO).

7. KI-gestütztes Interview, Transkription und Dokumenten-Auswertung

Zur strukturierten Beschreibung Ihres Forschungsprojekts bieten wir ein KI-gestütztes Interview an. Die von Ihnen eingegebenen Inhalte werden zur Erzeugung von Antworten und Vorschlägen an OpenAI (OpenAI, L.L.C., USA) übermittelt und dort verarbeitet. Ihr Berater kann darüber hinaus Sprachnotizen zu Ihrem Projekt aufnehmen, die zur Transkription an OpenAI übertragen werden; die Audiodaten werden nach der Transkription serverseitig gelöscht, gespeichert wird nur der resultierende Text. Die Verarbeitung erfolgt über die Programmierschnittstelle (API) von OpenAI; nach den dortigen Bedingungen werden über die API übermittelte Inhalte nicht zum Training der Modelle verwendet. Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO). Bitte geben Sie im Interview keine personenbezogenen Daten Dritter ein, soweit dies nicht erforderlich ist.

Im Bereich „Arbeitsplan“ können Sie zur Erleichterung der Erfassung Zeiterfassungslisten (z. B. als CSV-, XLSX- oder PDF-Datei) hochladen. Solche Listen enthalten typischerweise personenbezogene Daten Ihrer Beschäftigten, insbesondere Namen sowie Arbeits- bzw. Projektzeiten. Zur automatischen Auswertung wird das hochgeladene Dokument an OpenAI übermittelt (API, keine Nutzung zu Trainingszwecken). Gespeichert wird anschließend nur das strukturierte Auswertungsergebnis (die Ist-Personenmonate je Arbeitspaket und Person); das hochgeladene Ausgangsdokument wird nach der Auswertung wieder gelöscht. Rechtsgrundlage ist die Erfüllung des Nutzungs- bzw. Beratungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO). Für die Zulässigkeit der Weitergabe der in solchen Listen enthaltenen Beschäftigtendaten sind Sie verantwortlich; bitte laden Sie nur die für die Auswertung erforderlichen Daten hoch und schwärzen oder anonymisieren Sie nicht benötigte personenbezogene Angaben nach Möglichkeit.

8. Firmen-Import und Wettbewerbsrecherche

Um Ihnen Eingaben zu erleichtern und Ihr Vorhaben einzuordnen, führen wir auf Grundlage der von Ihnen angegebenen Firmen- bzw. Website-Daten eine automatisierte Websuche durch. Hierfür nutzen wir den Suchdienst Tavily (Tavily, USA). Übermittelt werden dabei die von Ihnen angegebenen Such- bzw. Firmenangaben. Verarbeitet werden öffentlich verfügbare Informationen zu den angegebenen Unternehmen und Websites. Rechtsgrundlage ist unser berechtigtes Interesse an einer fundierten Aufbereitung Ihres Anliegens sowie die Durchführung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. f und lit. b DSGVO).

9. Terminbuchung

Sofern wir Ihnen die Möglichkeit anbieten, einen Beratungstermin zu buchen, erfolgt dies über einen externen Link zum Dienst Cal.com (Cal.com, Inc., USA). Eine Datenverarbeitung durch diesen Anbieter findet erst statt, wenn Sie den Link aktiv aufrufen und dort Daten eingeben. Es gelten dann die Datenschutzbestimmungen von Cal.com.

10. Förder-Check

Unser öffentlicher Förder-Check hilft Ihnen, die grundsätzliche Förderfähigkeit Ihres Vorhabens einzuschätzen. Ihre Angaben werden zunächst ausschließlich lokal in Ihrem Browser verarbeitet und nicht automatisch an uns übertragen. Erst wenn Sie sich anmelden und eine Beratung anfragen, werden die für die Anfrage relevanten Angaben in unserer Datenbank gespeichert (siehe Abschnitt 5). Rechtsgrundlage ist dann die Durchführung vorvertraglicher Maßnahmen bzw. des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).

11. Webanalyse mit PostHog (Produkt-Analytics)

Um unsere Anwendung zu verstehen, zu verbessern und weiterzuentwickeln, setzen wir das Produkt-Analyse-Werkzeug PostHog ein. Erfasst werden dabei Nutzungsdaten wie aufgerufene Seiten, Klicks und Interaktionen mit Bedienelementen.

Bei der automatischen Erfassung von Klicks sind Textinhalte und Element-Attribute anwendungsweit abgeschaltet: Übertragen werden nur technische Merkmale des bedienten Elements — Elementtyp, Position im Seitenaufbau und, bei einem Link, dessen Zieladresse —, nicht dessen sichtbarer Text. Firmen- und Projektnamen, Klarnamen und E-Mail-Adressen, die in der Oberfläche angezeigt werden, gelangen dadurch nicht als Klick-Merkmal in die Analysedaten — unabhängig davon, welche der nachfolgenden Nutzergruppen die Anwendung bedient.

Mit jedem erfassten Vorgang — Seitenaufruf wie Klick — wird zusätzlich die aufgerufene Adresse übertragen. Adressen enthalten im Regelfall nur technische Kennungen, etwa eine Projekt-Nummer. Zusätzliche Angaben im Adressteil hinter dem Fragezeichen — etwa ein in ein Suchfeld eingegebener Begriff — werden dabei vor der Übertragung entfernt; ausgenommen sind ausschließlich Kennungen zur Herkunft eines Seitenaufrufs (Kampagnen- und Empfehlungsparameter). Wir unterscheiden vier Nutzergruppen mit unterschiedlichen Rechtsgrundlagen:

• Nicht angemeldete Besucher (Startseite, Förder-Check): PostHog ist zunächst deaktiviert. Eine Erfassung anonymer Nutzungsdaten (Seitenaufrufe, Klicks) findet erst statt, nachdem Sie über unser Cookie-Banner aktiv eingewilligt haben („Alle akzeptieren“). Lehnen Sie ab, findet keine Analyse statt. Ihre Entscheidung wird lokal in Ihrem Browser gespeichert (siehe Cookie-Übersicht unten). Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können.
• Angemeldete Kunden, die unseren Allgemeinen Geschäftsbedingungen zugestimmt haben: Zur Verbesserung des Produkts erfassen wir die Nutzung der angemeldeten Anwendung inklusive einer pseudonymen Wiedererkennung anhand einer internen Nutzerkennung. Es werden dabei keine Klarnamen oder E-Mail-Adressen als Analyse-Merkmal verwendet. Zusätzlich können maskierte Sitzungsaufzeichnungen (Session Replay) erstellt werden, bei denen sämtliche Eingaben und Textinhalte automatisch unkenntlich gemacht werden. Rechtsgrundlage ist die Durchführung des Vertragsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an der Verbesserung unseres Produkts (Art. 6 Abs. 1 lit. f DSGVO). Auf die Analyse wird in unseren Allgemeinen Geschäftsbedingungen transparent hingewiesen; die Zustimmung wird beim Login oder über die Zustimmungs-Abfrage in der Anwendung (siehe nächster Punkt) mit Zeitstempel und Fassung der Bedingungen erfasst.
• Angemeldete Kunden ohne Zustimmung zur aktuellen Fassung unserer Allgemeinen Geschäftsbedingungen: Dieser Zustand entsteht, wenn wir die Bedingungen überarbeitet haben und Sie seitdem angemeldet geblieben sind. Solange er besteht, findet keine Wiedererkennung anhand Ihrer Nutzerkennung statt und es werden keine Sitzungsaufzeichnungen erstellt. Haben Sie zuvor als nicht angemeldeter Besucher über das Cookie-Banner in die anonyme Erfassung eingewilligt, wirkt diese Einwilligung fort — dann gilt insoweit der erste Punkt; Sie können sie jederzeit über „Cookie-Einstellungen“ in der Fußzeile widerrufen. Von sich aus zeigt Ihnen die Anwendung in diesem Zustand keine Cookie-Abfrage, sondern eine Abfrage zur neuen Fassung der Bedingungen. Bis zu Ihrer Entscheidung bleiben die Rechtstexte, die Abmeldung und die nicht angemeldeten Bereiche erreichbar; Ihr Dashboard und Ihre Projekte sind pausiert, und auch eine Beratungs-Anfrage, deren Bezahlung, das Anlegen und Speichern eines Projekts, das Interview-Gespräch, Bewertungen darin, der Import einer Zeiterfassungsliste und die Übergabe an Ihren Berater lassen sich in diesem Zustand nicht auslösen. Erreichbar bleibt in einem Browser-Tab, der schon vor der Änderung geöffnet war, der Chat mit Ihrem Berater — damit Sie uns auch in diesem Zustand erreichen können. Stimmen Sie zu, gilt der vorstehende Punkt; melden Sie sich ab, gelten Sie wieder als nicht angemeldeter Besucher.
• Berater und Administratoren (interne Nutzer des Anbieters): Auch die Nutzung des internen Bereichs (Backoffice) wird erfasst, um Fehler und Bedienhürden zu erkennen. Die Erfassung erfolgt pseudonym anhand einer internen Nutzerkennung und wird technisch als intern gekennzeichnet, damit interne Klicks nicht in die Kundenauswertung einfließen. Sitzungsaufzeichnungen werden hier nicht erstellt. Da im internen Bereich Daten von Kunden angezeigt werden, ist die vorstehend beschriebene Abschaltung von Textinhalten und Element-Attributen hier besonders wichtig: Die im Backoffice angezeigten Kundennamen und E-Mail-Adressen werden nicht als Klick-Merkmal übertragen; Gleiches gilt für Angaben, die Berater in ein Suchfeld eingeben — sie werden aus der Adresse der Suchergebnis-Seite entfernt (siehe oben in diesem Abschnitt). Rechtsgrundlage ist unser berechtigtes Interesse am sicheren, fehlerfreien und weiterentwickelten Betrieb der Anwendung (Art. 6 Abs. 1 lit. f DSGVO) sowie die Durchführung des internen Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).

Anbieter ist die PostHog, Inc. Die Verarbeitung erfolgt über die EU-Infrastruktur von PostHog mit Serverstandort in Frankfurt am Main (PostHog Cloud EU); wir haben mit PostHog einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) geschlossen. Soweit die US-amerikanische Muttergesellschaft eingebunden ist, wird ein Drittlandbezug durch das EU-US Data Privacy Framework bzw. die Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO) abgesichert (vgl. Abschnitt 2). Die Auslieferung erfolgt über einen First-Party-Proxy unter unserer eigenen Domain (Pfad /ingest). IP-Adressen werden von PostHog nicht dauerhaft gespeichert (Erfassung der IP-Adresse ist deaktiviert). Eine Weitergabe der Analysedaten zu Werbezwecken findet nicht statt.

Übersicht über die eingesetzten Cookies und vergleichbaren Speichertechnologien:

• Supabase-Anmelde-Cookies (Session-Cookies): technisch notwendig zur Aufrechterhaltung Ihrer Anmeldung; Speicherdauer für die Dauer der Sitzung (siehe Abschnitt 4).
• mm_analytics_consent (lokaler Speicher / localStorage): speichert Ihre Entscheidung im Cookie-Banner; technisch notwendig zur Umsetzung Ihrer Wahl; Speicherdauer bis zu 12 Monate bzw. bis zur Löschung durch Sie.
• ph_* (First-Party-Cookie bzw. localStorage von PostHog): dient der Wiedererkennung für die Analyse; wird nur nach Ihrer Einwilligung bzw. bei angemeldeten Kunden und bei internen Nutzern (Berater und Administratoren) gemäß den vorstehenden Absätzen gesetzt; Speicherdauer bis zu 12 Monate.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen bzw. Ihre Auswahl ändern — über den Link „Cookie-Einstellungen“ in der Fußzeile. Angemeldete Kunden sowie interne Nutzer können der Verarbeitung zu Analysezwecken durch eine formlose Mitteilung an [E-MAIL] widersprechen.

12. Ihre Rechte als betroffene Person

Sie haben nach der DSGVO folgende Rechte im Hinblick auf die Sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Haben Sie uns eine Einwilligung erteilt, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an info@mittelmatch.de.

Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

13. Stand und Änderungen dieser Erklärung

Diese Datenschutzerklärung hat den Stand September 2026. Durch die Weiterentwicklung unserer Anwendung oder aufgrund geänderter gesetzlicher bzw. behördlicher Vorgaben kann es notwendig werden, diese Datenschutzerklärung anzupassen. Die jeweils aktuelle Fassung können Sie jederzeit auf dieser Seite abrufen.