Vertrag zur Auftragsverarbeitung (AVV)

Stand: 13. August 2026 · Version 2026-08-13

Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und der System Error MM GmbH, Lehrter Straße 49, 10557 Berlin, als Auftragsverarbeiter („FundingOS“ oder „Auftragnehmer“), soweit FundingOS personenbezogene Daten nach Weisung des Kunden verarbeitet. Er wird bei der Registrierung zusammen mit der dokumentierten Version in elektronischer Form nach Art. 28 Abs. 9 DSGVO Vertragsbestandteil.

Die nachstehenden technischen und organisatorischen Maßnahmen und die aktuelle Unterauftragsverarbeiterliste sind Bestandteil dieses Vertrags. Diese veröffentlichte Fassung bildet den elektronischen AVV; sie ist keine bloße Zusammenfassung eines anderen, nicht zugänglichen Dokuments.

§ 1 Gegenstand, Art und Zweck

Gegenstand ist die Verarbeitung personenbezogener Daten zur Bereitstellung des FundingOS-Portals. Dazu gehören Erheben, Erfassen, Speichern, Ordnen, Auslesen, Verknüpfen, Übermitteln an genehmigte Unterauftragsverarbeiter, Erzeugen editierbarer Arbeitsunterlagen sowie Löschen und Rückgabe.

Zwecke sind insbesondere die Verwaltung von Organisationen, Profilen und Fördervorhaben, das Matching mit Förderprogrammen, Merklisten, Fristenverwaltung, Aufgaben und Benachrichtigungen sowie die vom Nutzer bewusst ausgelöste Erstellung von KI-Erstentwürfen. Ein Erstentwurf wird nicht automatisch für jedes Programm erzeugt.

§ 2 Dauer

Die Verarbeitung beginnt mit dem Hauptvertrag und dauert grundsätzlich bis zu dessen Ende. Gesetzliche Nachweis- und Aufbewahrungspflichten sowie die technisch bedingte, zeitlich begrenzte Fortdauer in Sicherungskopien bleiben unberührt.

§ 3 Datenarten und betroffene Personen

Je nach Nutzung können insbesondere folgende Daten verarbeitet werden:

Konto-, Kontakt-, Rollen- und Authentifizierungsdaten
Organisations-, Profil-, Projekt- und Vorhabensdaten
Match-, Merklisten-, Frist-, Aufgaben- und Statusdaten
Texte und Metadaten von KI-Erstentwürfen
Nutzungs-, Protokoll- und Sicherheitsdaten

Betroffen sein können Nutzer und Mitarbeitende des Kunden, Ansprechpartner betreuter Organisationen sowie Personen, die der Kunde in Freitexten nennt. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht für die Nutzung vorgesehen und sollen nicht eingegeben werden.

§ 4 Weisungen und Pflichten des Auftraggebers

FundingOS verarbeitet Auftragsdaten nur auf dokumentierte Weisung. Die anfängliche Weisung ergibt sich aus Hauptvertrag, gewähltem Tarif, diesem AVV und den vom Kunden ausgelösten Funktionen. Weitere Weisungen können in Textform an contact@fundingos.app erteilt werden. FundingOS informiert den Kunden, wenn eine Weisung nach eigener Einschätzung gegen Datenschutzrecht verstößt.

Der Kunde bleibt für Rechtmäßigkeit, Transparenz, Datenminimierung und die Wahrung der Betroffenenrechte verantwortlich. Er stellt sicher, dass er die eingegebenen Daten verarbeiten und an FundingOS übermitteln darf.

§ 5 Pflichten von FundingOS

Ist FundingOS durch das Recht der Europäischen Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, die nicht auf einer dokumentierten Weisung beruht, teilt FundingOS dem Auftraggeber diese rechtliche Anforderung vor der Verarbeitung mit. Dies gilt nicht, soweit das betreffende Recht eine solche Mitteilung aus wichtigen Gründen des öffentlichen Interesses untersagt.

Verarbeitung nur im vereinbarten Umfang und nach dokumentierter Weisung
Vertraulichkeitsverpflichtung für zugriffsberechtigte Personen
Unterstützung bei Betroffenenrechten und den Pflichten aus Art. 32 bis 36 DSGVO
Information über bekannt gewordene Datenschutzverletzungen ohne unangemessene Verzögerung
Nachweise und angemessene Mitwirkung an erforderlichen Kontrollen
Löschung oder Rückgabe nach Maßgabe von § 9

§ 6 Technische und organisatorische Maßnahmen

Die Maßnahmen werden risikoorientiert weiterentwickelt. Änderungen sind zulässig, solange das Schutzniveau nicht wesentlich abgesenkt wird. Der aktuell belegte technische Stand umfasst:

Datenbank und Authentifizierung bei Supabase in AWS eu-central-1 sowie Vercel Functions in fra1; die Vercel-Auslieferung selbst ist global.
Transportverschlüsselung über HTTPS/TLS und verschlüsselte Datenträger der Plattformanbieter.
Rollen- und Rechtekonzept, serverseitige Authentifizierungsprüfung und Row-Level Security für alle Tabellen im öffentlichen Anwendungsschema.
Serverseitige Geheimnisse sowie getrennte öffentliche und privilegierte Schlüssel; direkte Zugriffe mit privilegierten Schlüsseln oder Rollen sind für Server- und Operator-Aufgaben vorgesehen.
Cloudflare Turnstile auf Registrierung, Anmeldung, Kontakt und Beratung.
Versionierte Codeänderungen und nachvollziehbare Deployments.
Ein Operator-Hilfswerkzeug für einfache Kontolöschungsfälle; eine vollständige automatisierte oder selbst bedienbare Kontolöschung besteht derzeit nicht.

Row-Level Security ist eine Schutzschicht, aber kein Beleg für absolute Fehlerfreiheit. Der Live-Audit vom 13. August 2026 hat 16 über die öffentliche Daten-API ausführbare privilegierte Datenbankfunktionen festgestellt. 15 davon sind derzeit mandantengebunden; eine weitere kann den nicht ausgeschlossenen Förderprogrammkatalog außerhalb der Tabellen-RLS bereitstellen. Ein Zugriff auf fremde Kunden-, Profil- oder Projektdaten wurde dabei nicht belegt. Die Rechte sind ein offener Härtungspunkt und werden nicht als bereits behoben dargestellt.

§ 7 Unterauftragsverarbeiter

Der Auftraggeber genehmigt die nachfolgend einzeln benannten Unterauftragsverarbeiter. Vor dem Einsatz eines neuen oder dem Ersatz eines benannten Unterauftragsverarbeiters holt FundingOS eine vorherige Genehmigung des Auftraggebers in Textform ein.

Supabase, Inc.: PostgreSQL-Datenbank und Authentifizierung; Projektregion AWS eu-central-1, Frankfurt. Anbieterbezogene Support- und Unterauftragsverarbeiterzugriffe können Drittlandbezüge auslösen.
Vercel Inc.: Hosting, serverseitige Funktionen in fra1 und globale Auslieferung. Das Vercel-DPA nennt primäre Verarbeitung in den USA und mögliche weltweite Verarbeitung; es bindet die EU-SCC ein.
Cloudflare, Inc.: Turnstile und Missbrauchsschutz. Cloudflare verarbeitet gegebenenfalls außerhalb des EWR und bindet dafür unter anderem EU-SCC und Data Privacy Framework ein.
Hetzner Online GmbH: eigene Server-, Scoring- und SMTP-Infrastruktur in Deutschland. Die Scoring-Pipeline verarbeitet vorrangig Förderprogramm- und Matchdaten.
Requesty Ltd., Vereinigtes Königreich: Gateway für vom Nutzer ausgelöste KI-Erstentwürfe. Requesty nennt AWS Frankfurt als Gateway-Infrastruktur, speichert nach eigener Angabe keine Anfrage- oder Antworttexte und veröffentlicht seine Unterauftragsverarbeiter.
Mistral AI SAS, Frankreich: Modell-Inferenz für den derzeit konfigurierten KI-Erstentwurf. Requesty weist Mistral-Inferenz als EU-Verarbeitung ohne anbieterseitige Aufbewahrung aus.

FundingOS ist verpflichtet, jeden Unterauftragsverarbeiter vor der Verarbeitung von Auftragsdaten vertraglich mindestens denselben Datenschutzpflichten zu unterwerfen, die sich aus diesem AVV ergeben. FundingOS bleibt dem Auftraggeber gegenüber für die Erfüllung dieser Pflichten durch den Unterauftragsverarbeiter voll verantwortlich.

Requesty und Mistral erhalten nur die in der Datenschutzerklärung unter „KI-Erstentwürfe“ beschriebenen Programm-, Profil- und Matchdaten. Stripe verarbeitet Zahlung und Abonnement in einer je nach Leistung eigenen Rollenverteilung; Organisations- und Vorhabenstexte werden nicht an Stripe übermittelt. Details stehen in der Datenschutzerklärung.

Die technische Nutzung von Requesty ist aktiv. Ein FundingOS-spezifisch abgeschlossener Requesty-DPA sowie der Nachweis des in Produktion verwendeten EU-Endpunkts beziehungsweise der EU-Router-Policy sind im aktuellen internen Vertragsregister noch nicht belegt. Dies ist ein offener Vertrags- und Freigabenachweis und widerspricht bis zur Klärung dem in diesem § 7 festgelegten Sollprozess. Bis die Nachweise geschlossen sind, wird diese Verarbeitung nicht als ausschließlich europäisch oder abschließend datenschutzrechtlich freigegeben dargestellt.

§ 8 Drittlandübermittlungen

Die Auswahl von Frankfurt als Datenbank- und Function-Region schließt Drittlandzugriffe nicht vollständig aus. Soweit ein Empfänger außerhalb des EWR sitzt oder von dort zugreift, nutzt der jeweilige Anbieter nach seinen Vertragsunterlagen einen anwendbaren Angemessenheitsbeschluss, das EU-US Data Privacy Framework oder EU-Standardvertragsklauseln samt ergänzenden Maßnahmen. Das Vereinigte Königreich ist derzeit Gegenstand eines EU-Angemessenheitsbeschlusses.

§ 9 Löschung und Rückgabe

Nach Ende der Verarbeitung löscht oder gibt FundingOS die Auftragsdaten nach Wahl des Auftraggebers zurück, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht. Löschanfragen werden derzeit fallbezogen durch einen Operator geprüft und ausgeführt. Das vorhandene Hilfswerkzeug deckt Konten mit allen möglichen Projekt-, Merklisten-, Kontakt-, E-Mail-, Stripe-, Protokoll- und Sicherungskopie-Bezügen noch nicht vollständig ab. Bei gemeinsam genutzten Organisationen wird nur die Mitgliedschaft entfernt, wenn andere berechtigte Nutzer die Daten weiterhin benötigen. Konkrete Anbieter- und Backup-Löschzyklen werden je Datenklasse geprüft; sie sind derzeit nicht vollständig im Betriebsregister dokumentiert.

§ 10 Betroffenenrechte und Aufsichtsbehörden

FundingOS unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Direkte Anfragen, die ausschließlich den Verantwortungsbereich des Kunden betreffen, werden an ihn weitergeleitet.

§ 11 Datenschutzverletzungen

FundingOS informiert den Auftraggeber nach Bekanntwerden einer Verletzung, die dessen Auftragsdaten betrifft, ohne unangemessene Verzögerung und stellt die verfügbaren Angaben zu Art, Umfang, möglichen Folgen und Maßnahmen bereit. Die gesetzlichen Meldeentscheidungen des Verantwortlichen bleiben unberührt.

§ 12 Nachweise und Kontrollen

FundingOS stellt die zur Beurteilung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen bereit. Kontrollen sollen vorrangig durch technische Dokumentation, Anbieterberichte und geeignete Nachweise erfolgen. Soweit dies nicht ausreicht, stimmen die Parteien eine verhältnismäßige, vertrauliche Prüfung ab, die Sicherheit und Rechte anderer Kunden wahrt.

§ 13 Schlussbestimmungen

Dieser AVV ergänzt den Hauptvertrag. Bei Widersprüchen gehen seine Datenschutzregelungen für die Auftragsverarbeitung vor. Änderungen werden versioniert in elektronischer Form bereitgestellt. Es gilt deutsches Recht, soweit zwingendes Datenschutzrecht nichts anderes bestimmt.

Fragen, Weisungen und Anfragen zu dieser Fassung richten Sie an contact@fundingos.app.