Auftragsverarbeitungsvertrag

Diese deutsche Fassung ist eine zur Information bereitgestellte Übersetzung. Bei Abweichungen ist die türkische Fassung maßgeblich. Die rechtliche Prüfung dieses Dokuments steht noch aus.

Dieser Auftragsverarbeitungsvertrag (der „Vertrag“) regelt die Rechte und Pflichten der Organisation, die den Dienst EnaTTO nutzt (der Kunde im Sinne von Abschnitt 1.1), und von ENA Innovation in Bezug auf personenbezogene Daten, die im Auftrag des Kunden verarbeitet werden. Er beruht auf dem türkischen Gesetz Nr. 6698 über den Schutz personenbezogener Daten („KVKK“) und den dazu erlassenen untergesetzlichen Vorschriften. Findet auf den Kunden die Verordnung (EU) 2016/679 („DSGVO“), die Datenschutz-Grundverordnung des Vereinigten Königreichs („UK-DSGVO“) oder das Schweizer Bundesgesetz über den Datenschutz („DSG“) Anwendung, gilt zusätzlich Abschnitt 17.

1. Parteien und AnwendungsbereichLink kopieren

1.1. Die Parteien sind:

1.2. Dieser Vertrag gilt zusammen mit dem vom Kunden angenommenen Angebot oder Bestellformular, den Nutzungsbedingungen und sonstigen von den Parteien schriftlich vereinbarten Bedingungen (zusammen der „Hauptvertrag“).

1.3. In Angelegenheiten des Schutzes personenbezogener Daten hat dieser Vertrag bei Widersprüchen Vorrang vor dem Hauptvertrag. Vereinbaren die Parteien schriftlich, den eigenen Auftragsverarbeitungsvertrag des Kunden zu verwenden, tritt dieser an die Stelle des vorliegenden Vertrags.

2. BegriffsbestimmungenLink kopieren

Die Begriffe „personenbezogene Daten“, „besondere Kategorien personenbezogener Daten“, „betroffene Person“, „Verantwortlicher“, „Auftragsverarbeiter“, „Verarbeitung“ und „Datenschutzrat“ (Kişisel Verileri Koruma Kurulu, „Kurul“) haben die ihnen im KVKK zugewiesene Bedeutung. Darüber hinaus gilt:

• Dienst: die Bereitstellung der Software EnaTTO über ihre Web-Verwaltungsoberfläche, öffentlichen Seiten und API sowie die zugehörigen ENA-Cloud-Dienste (Organisationserkennung, Benachrichtigungs-Gateway, KI-Gateway und Benchmarking-Dienst).
• Kundendaten: personenbezogene Daten, die vom Kunden oder seinen Nutzern in den Dienst eingegeben, über die öffentlichen Seiten des Kunden erhoben oder über den Dienst im Auftrag des Kunden erzeugt werden. Erfindungsmeldungen, Forschungsergebnisse und Dokumente sind Kundendaten, soweit sie personenbezogene Daten enthalten; die Vertraulichkeitspflichten in Abschnitt 7 gelten für sie insgesamt.
• Vertraulichkeitsklasse: die einem Datensatz im Dienst zugewiesene Klasse: Öffentlich, Intern, Vertraulich oder Streng vertraulich.
• Unterauftragsverarbeiter: ein von ENA Innovation zur Verarbeitung von Kundendaten beauftragter Dritter.
• Datenschutzverletzung: die rechtswidrige Erlangung von Kundendaten durch Dritte oder ein Sicherheitsvorfall, der hierzu führt.
• Kundenumgebung: die dem Kunden zugewiesene Anwendungs- und Datenumgebung unter organisationscode.enatto.com: ein separater Server mit eigenem Anwendungsstack, eigenem Dateispeicher, eigener Datenbank und eigenem Datenbanknutzer.

3. RollenLink kopieren

3.1. Für Kundendaten ist der Kunde Verantwortlicher und ENA Innovation Auftragsverarbeiter. Der Kunde bestimmt die Zwecke und Mittel der Verarbeitung.

3.2. ENA Innovation ist nur für Verarbeitungen zu eigenen Zwecken Verantwortlicher, etwa für Vertragsverwaltung, Rechnungsstellung, Kommunikation mit Vertretern des Kunden und die Sicherheit ihrer eigenen zentralen Dienste. Diese Verarbeitung richtet sich nach der Datenschutzerklärung von EnaTTO.

3.3. Externe Datenquellen, die ein Nutzer über den Dienst abfragt (ORCID, OpenAlex, Crossref und die Open Patent Services des Europäischen Patentamts), sind öffentliche Dienste, die ENA Innovation nicht mit der Verarbeitung von Kundendaten in ihrem Auftrag beauftragt; an sie werden nur Kennungen (ORCID iD, DOI, Veröffentlichungsnummer) übermittelt, und der Zugriff auf das EPA erfolgt mit den eigenen Zugangsdaten des Kunden. Diese Dienste gelten daher nicht als Unterauftragsverarbeiter und sind nicht in Anlage 3 aufgeführt. Ein Identitätsanbieter, den der Kunde für Single Sign-on anbindet, ist der eigene Anbieter des Kunden und kein Unterauftragsverarbeiter.

4. Gegenstand, Art und DauerLink kopieren

4.1. Gegenstand und Zweck der Verarbeitung, die Kategorien betroffener Personen und die Datenkategorien sind in Anlage 1 festgelegt.

4.2. ENA Innovation verarbeitet Kundendaten für die Laufzeit des Hauptvertrags und bis zum Ablauf der Lösch- bzw. Rückgabefrist nach Abschnitt 14.

5. Weisungen des KundenLink kopieren

5.1. ENA Innovation verarbeitet Kundendaten ausschließlich auf dokumentierte Weisung des Kunden. Weisungen umfassen den Hauptvertrag, diesen Vertrag, Einstellungen, die der Kunde im Dienst vornimmt (einschließlich Nutzer, Rollen, Zugehörigkeiten zu Datensätzen, Vertraulichkeitsklassen, Workflows, öffentlicher Seiten, Single Sign-on sowie des Einschaltens von KI-Unterstützung, Benchmarking oder externen Datenquellen), und schriftliche Anforderungen einer berechtigten Vertreterin bzw. eines berechtigten Vertreters des Kunden.

5.2. Ist ENA Innovation der Auffassung, dass eine Weisung gegen das KVKK oder andere Rechtsvorschriften verstößt, informiert sie den Kunden unverzüglich und kann die betreffende Verarbeitung aussetzen, bis die Weisung geklärt ist.

5.3. Ist ENA Innovation gesetzlich verpflichtet, Kundendaten zu einem anderen Zweck zu verarbeiten, informiert sie den Kunden vor der Verarbeitung, sofern das Gesetz dies nicht verbietet.

5.4. ENA Innovation verwendet Kundendaten nicht für eigene Zwecke; verwendet sie nicht für Werbung, Marketing oder Profiling; verkauft sie nicht und gibt sie nicht an Datenhändler weiter; und verwendet sie nicht zum Training von KI-Modellen.

6. Pflichten des KundenLink kopieren

Als Verantwortlicher ist der Kunde insbesondere verantwortlich für:

• die Bestimmung der Rechtsgrundlage jeder Verarbeitungstätigkeit, einschließlich der über seine öffentlichen Seiten von externen Personen erhobenen Daten und der ohne Nutzerkonto erfassten Daten von Erfinderinnen und Erfindern, Partnern und Ansprechpersonen von Unternehmen;
• die Information der betroffenen Personen nach Art. 10 KVKK und sonstigem anwendbarem Recht, einschließlich über die Einwilligungs- und Informationstexte auf seinen öffentlichen Seiten;
• die Zuweisung von dem Inhalt jedes Datensatzes angemessenen Vertraulichkeitsklassen und die Gewährung von Zugriff nach dem Need-to-know-Prinzip; der Dienst setzt die Klassen durch, legt sie aber nicht fest;
• die Unterlassung der Eingabe besonderer Kategorien personenbezogener Daten (zum Beispiel Gesundheitsdaten) in den Dienst, es sei denn, dies ist erforderlich und der Kunde verfügt über eine Rechtsgrundlage; der Dienst ist für solche Daten nicht ausgelegt;
• die Entscheidung, ob KI-Unterstützung und Benchmarking eingeschaltet und ob externe Datenquellen genutzt werden, im Einklang mit seinen eigenen Richtlinien;
• die Erfüllung seiner Pflichten als Verantwortlicher, etwa gegebenenfalls Registrierungen (zum Beispiel VERBİS in der Türkei, Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO), eine Richtlinie zur Speicherung und Vernichtung sowie die Beantwortung von Anfragen betroffener Personen;
• die Entfernung des Zugriffs ausscheidender Nutzer und die Festlegung von Ablaufdaten für externe Experten.

7. VertraulichkeitLink kopieren

7.1. ENA Innovation stellt sicher, dass ihre Beschäftigten und sonstigen in ihrem Auftrag tätigen Personen, die auf Kundendaten zugreifen, schriftlich zur Vertraulichkeit verpflichtet sind. Nach Art. 12 Abs. 4 KVKK gelten diese Pflichten auch nach dem Ausscheiden aus ihrer Funktion fort.

7.2. Der Zugriff auf Kundendaten ist auf die Personen und den Umfang beschränkt, die für die Bereitstellung, den Support, die Wartung und die Sicherheit des Dienstes erforderlich sind. ENA Innovation behandelt Erfindungsmeldungen, unveröffentlichte Forschungsergebnisse und als vertraulich oder streng vertraulich eingestufte Datensätze als vertrauliche Informationen des Kunden, auch wenn sie keine personenbezogenen Daten enthalten.

7.3. ENA Innovation legt Kundendaten Dritten gegenüber nur offen, soweit dieser Vertrag dies gestattet. Verlangt eine zuständige Behörde Kundendaten, informiert ENA Innovation den Kunden, sofern das Gesetz dies nicht verbietet, und beschränkt die Offenlegung auf das gesetzlich Erforderliche.

7.4. Als vertraulich oder streng vertraulich eingestufte Datensätze werden niemals an den KI-Anbieter oder den Benchmarking-Dienst übermittelt. Der Dienst lehnt solche Anfragen serverseitig ab.

8. DatensicherheitLink kopieren

8.1. Nach Art. 12 KVKK trifft ENA Innovation technische und organisatorische Maßnahmen, die ein angemessenes Sicherheitsniveau gewährleisten, um eine rechtswidrige Verarbeitung personenbezogener Daten und den rechtswidrigen Zugriff darauf zu verhindern und die Daten zu sichern. Diese Maßnahmen sind in Anlage 2 festgelegt.

8.2. Die Maßnahmen können entsprechend der technischen Entwicklung angepasst werden. Anpassungen dürfen das in Anlage 2 beschriebene Gesamtschutzniveau nicht absenken.

8.3. Nach Art. 12 Abs. 2 KVKK erkennen die Parteien an, dass sie gemeinsam für die Ergreifung von Datensicherheitsmaßnahmen verantwortlich sind. Einstellungen innerhalb des Dienstes, Nutzerkonten, Rollen, Vertraulichkeitsklassen, der eigene Identitätsanbieter des Kunden sowie Dateien, die der Kunde aus dem Dienst exportiert oder herunterlädt, liegen in der Verantwortung des Kunden.

9. UnterauftragsverarbeiterLink kopieren

9.1. Der Kunde erteilt eine allgemeine schriftliche Genehmigung für die Beauftragung der in Anlage 3 aufgeführten Unterauftragsverarbeiter.

9.2. ENA Innovation informiert den Kunden per E-Mail oder im Dienst mindestens 30 Tage, bevor ein Unterauftragsverarbeiter hinzugezogen oder ersetzt wird. Die Mitteilung nennt den Namen des Unterauftragsverarbeiters, die Verarbeitungstätigkeit und den Ort der Verarbeitung.

9.3. Der Kunde kann innerhalb von 15 Tagen nach der Mitteilung aus berechtigten Gründen schriftlich Einspruch erheben. Die Parteien werden in gutem Glauben eine angemessene Lösung erörtern. Wird keine Lösung gefunden, kann der Kunde den Hauptvertrag für den betroffenen Teil des Dienstes vor Wirksamwerden der Änderung ohne Vertragsstrafe kündigen.

9.4. Ist aus Gründen der Sicherheit oder der Kontinuität des Dienstes eine dringende Änderung erforderlich, nimmt ENA Innovation die Änderung vor und informiert den Kunden unverzüglich. Abschnitt 9.3 bleibt anwendbar.

9.5. ENA Innovation erlegt jedem Unterauftragsverarbeiter schriftlich Datenschutzpflichten auf, die nicht weniger schützend sind als die dieses Vertrags. ENA Innovation haftet gegenüber dem Kunden weiterhin dafür, wenn ein Unterauftragsverarbeiter seine Pflichten nicht erfüllt.

10. Grenzüberschreitende ÜbermittlungenLink kopieren

10.1. Die Region, in der die Kundenumgebung gehostet wird, wird im Bestellformular oder im Hauptvertrag entsprechend der Wahl des Kunden festgelegt. Die Nutzung von Diensten, die in Anlage 3 als „grenzüberschreitende Übermittlung“ gekennzeichnet sind, kann erfordern, dass ein Teil der Kundendaten außerhalb dieser Region übermittelt wird.

10.2. Bei jeder grenzüberschreitenden Übermittlung, an der ENA Innovation beteiligt ist, beachtet ENA Innovation Art. 9 KVKK in der Fassung des Gesetzes Nr. 7499 sowie die Verordnung über die Verfahren und Grundsätze der Übermittlung personenbezogener Daten ins Ausland. Jede Übermittlung beruht auf einem Angemessenheitsbeschluss oder, falls ein solcher fehlt, auf einer der geeigneten Garantien, in erster Linie dem vom Datenschutzrat veröffentlichten Standardvertrag.

10.3. Unterzeichnet ENA Innovation einen Standardvertrag als Datenexporteur, teilt ENA Innovation dies dem Datenschutzrat innerhalb von 5 Werktagen nach Unterzeichnung mit. Ist der Kunde Datenexporteur, obliegt die Mitteilung dem Kunden; ENA Innovation stellt die dafür erforderlichen Informationen bereit.

10.4. Lassen die Standardbedingungen eines Unterauftragsverarbeiters die Einrichtung der erforderlichen Garantie nicht zu, informiert ENA Innovation den Kunden. Die Parteien prüfen dann gemeinsam Optionen wie einen alternativen Anbieter oder eine andere Rechtsgrundlage.

11. Unterstützung bei Anfragen betroffener PersonenLink kopieren

11.1. Erreicht eine Anfrage einer betroffenen Person ENA Innovation direkt, beantwortet ENA Innovation sie nicht. ENA Innovation leitet die Anfrage innerhalb von 5 Werktagen an den Kunden weiter und teilt der anfragenden Person mit, dass die Anfrage an den Kunden weitergegeben wurde.

11.2. Der Kunde bearbeitet Anfragen betroffener Personen in erster Linie mit den eigenen Werkzeugen des Dienstes (Einsehen und Berichtigen von Verzeichnis- und Datensatzeinträgen, Exporte als Excel oder CSV, Archivieren von Datensätzen, Entfernen von Zugriffen). Reichen diese nicht aus, leistet ENA Innovation auf schriftliche Anforderung des Kunden angemessene technische Unterstützung. Um den Kunden bei der Einhaltung der gesetzlichen Antwortfristen zu unterstützen, schließt ENA Innovation eine solche Unterstützung in der Regel innerhalb von 10 Werktagen ab.

11.3. Müssen Daten einer bestimmten betroffenen Person endgültig gelöscht oder anonymisiert werden, nimmt ENA Innovation dies auf Verlangen des Kunden vor oder zeigt dem Kunden, wie dies erfolgt. Ausnahmen, die zur Wahrung der Integrität der Prüfprotokolleinträge erforderlich sind (die nur ergänzt werden können und in denen Namen und E-Mail-Adressen maskiert sind), werden mit dem Kunden abgestimmt.

12. Meldung von DatenschutzverletzungenLink kopieren

12.1. Erlangt ENA Innovation Kenntnis von einer Datenschutzverletzung, die Kundendaten betrifft, benachrichtigt ENA Innovation den Kunden ohne unangemessene Verzögerung und in jedem Fall innerhalb von 48 Stunden nach Kenntniserlangung. Diese Frist soll es dem Kunden ermöglichen, die Aufsichtsbehörde rechtzeitig zu benachrichtigen (nach Art. 12 Abs. 5 KVKK und dem Beschluss des Datenschutzrats über die 72-Stunden-Meldefrist sowie gegebenenfalls nach Art. 33 DSGVO).

12.2. Soweit zum jeweiligen Zeitpunkt bekannt, enthält die Benachrichtigung:

• die Art der Verletzung sowie das Datum ihres Beginns und ihrer Entdeckung
• die betroffenen Kategorien von Daten und Datensätzen (einschließlich ihrer Vertraulichkeitsklassen) und die ungefähre Zahl der betroffenen Personen
• die wahrscheinlichen Folgen
• die ergriffenen und vorgeschlagenen Maßnahmen
• eine Ansprechperson bei ENA Innovation

Liegen Informationen noch nicht vor, verzögert ENA Innovation die erste Benachrichtigung nicht; sie ergänzt die Informationen, sobald sie bekannt werden.

12.3. ENA Innovation ergreift die erforderlichen Maßnahmen, um die Auswirkungen der Verletzung zu begrenzen, und unterstützt den Kunden in angemessenem Umfang bei der Benachrichtigung der Aufsichtsbehörde und der betroffenen Personen. Die Pflicht zur Vornahme dieser Benachrichtigungen liegt beim Kunden als Verantwortlichem. ENA Innovation gibt die Verletzung ohne vorherige schriftliche Zustimmung des Kunden nicht im Namen des Kunden gegenüber Dritten bekannt, sofern dies nicht gesetzlich vorgeschrieben ist.

12.4. Benachrichtigungen über Datenschutzverletzungen werden an die E-Mail-Adresse und Telefonnummer der vom Kunden nach dem Hauptvertrag benannten berechtigten Person gesendet. Der Kunde hält diese Angaben aktuell.

13. Prüfungen und InformationenLink kopieren

13.1. Auf Verlangen des Kunden stellt ENA Innovation die Informationen und Unterlagen bereit, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Dazu gehören die Beantwortung von Sicherheitsfragebögen, die Aktualisierung der Anlagen zu diesem Vertrag und die Bereitstellung angemessener Informationen für die Datenschutz-Folgenabschätzung des Kunden.

13.2. Nach Art. 12 Abs. 3 KVKK kann der Kunde eine Prüfung selbst oder durch einen unabhängigen Prüfer durchführen. Eine Prüfung

• findet höchstens einmal jährlich statt, wobei zusätzliche Prüfungen nach einer Datenschutzverletzung, auf Verlangen einer Aufsichtsbehörde oder bei ernsthaftem Verdacht auf Nichteinhaltung zulässig sind
• erfordert eine schriftliche Ankündigung mit einer Frist von mindestens 30 Tagen und einen im Voraus vereinbarten Umfang
• findet während der Geschäftszeiten statt, ohne den Betrieb von ENA Innovation unangemessen zu stören
• gewährt keinen Zugang zu Daten anderer Kunden oder zu Geschäftsgeheimnissen von ENA Innovation
• erfolgt auf Grundlage einer Vertraulichkeitsverpflichtung und, sofern nichts anderes vereinbart ist, auf Kosten des Kunden

13.3. Dieser Vertrag bedeutet nicht, dass ENA Innovation oder der Dienst über eine Zertifizierung verfügt oder ein bestimmtes Gesetz einhält. Der Dienst ist darauf ausgelegt, den Kunden bei der Erfüllung seiner Pflichten zu unterstützen.

14. Laufzeit, Beendigung, Rückgabe und LöschungLink kopieren

14.1. Dieser Vertrag tritt zusammen mit dem Hauptvertrag in Kraft und bleibt in Kraft, bis ENA Innovation die Verarbeitung von Kundendaten einstellt.

14.2. Vor Beendigung des Hauptvertrags kann der Kunde seine Daten mit den Exportwerkzeugen des Dienstes (Excel und CSV) abrufen und seine Dokumente herunterladen. Verlangt der Kunde dies innerhalb von 30 Tagen nach Beendigung schriftlich, übergibt ENA Innovation eine Kopie der Kundendaten in einem gängigen maschinenlesbaren Format zusammen mit den gespeicherten Dokumenten.

14.3. Innerhalb von 30 Tagen nach Beendigung des Hauptvertrags schaltet ENA Innovation die Kundenumgebung ab und löscht die Kundendaten, einschließlich der Datenbank, des Dateispeichers und der Backups (nächtliche Datenbank-Dumps, vor Updates erstellte Dumps und Archive des Dateispeichers). Automatische Backups des verwalteten Datenbankdienstes werden mit Ablauf ihrer konfigurierten Aufbewahrungsdauer automatisch gelöscht (die konfigurierte Dauer beträgt mindestens 7 Tage und wird dem Kunden auf Anfrage mitgeteilt). Etwaige Benchmarking-Übermittlungen des Kunden werden aus dem Benchmarking-Dienst gelöscht.

14.4. Schreibt das Gesetz eine längere Aufbewahrungsfrist vor, bewahrt ENA Innovation die betreffenden Daten nur für diesen Zweck und diese Dauer auf, behandelt sie vertraulich und löscht sie mit Ablauf der Frist.

14.5. Auf Verlangen des Kunden bestätigt ENA Innovation schriftlich, dass die Löschung abgeschlossen ist.

15. HaftungLink kopieren

15.1. Jede Partei haftet für die Verletzung ihrer eigenen Pflichten aus diesem Vertrag und dem anwendbaren Datenschutzrecht.

15.2. Die Haftungsbeschränkungen des Hauptvertrags gelten für diesen Vertrag, soweit gesetzlich zulässig. Die Haftung ist bei Vorsatz, grober Fahrlässigkeit oder wenn das Gesetz eine Beschränkung nicht zulässt, nicht beschränkt.

16. Anwendbares Recht und sonstige BestimmungenLink kopieren

16.1. Sofern der Hauptvertrag nichts anderes bestimmt, unterliegt dieser Vertrag dem Recht der Republik Türkei. Für Streitigkeiten gilt die Gerichtsstandsklausel des Hauptvertrags.

16.2. Wird eine Bestimmung dieses Vertrags für unwirksam erklärt, bleiben die übrigen Bestimmungen unberührt.

16.3. ENA Innovation kann diesen Vertrag aktualisieren, um Änderungen der Rechtsvorschriften oder des Dienstes Rechnung zu tragen. Wesentliche Änderungen zum Nachteil des Kunden werden dem Kunden mindestens 30 Tage vor ihrem Inkrafttreten mitgeteilt.

16.4. Dieser Vertrag wird auf Türkisch, Englisch und Deutsch veröffentlicht. Bei Abweichungen ist die türkische Fassung maßgeblich.

17. Kunden, die der DSGVO, der UK-DSGVO oder dem DSG unterliegenLink kopieren

17.1. Findet die DSGVO, die UK-DSGVO oder das DSG auf den Kunden Anwendung, wird dieser Vertrag so angewandt, dass er die nach Art. 28 Abs. 3 DSGVO (und den entsprechenden Bestimmungen der UK-DSGVO und des DSG) erforderlichen Regelungsgegenstände abdeckt. Verweise auf das KVKK sind dann als Verweise auf die entsprechenden Bestimmungen des anwendbaren Rechts zu lesen.

17.2. ENA Innovation unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ENA Innovation zur Verfügung stehenden Informationen bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation).

17.3. Müssen Kundendaten aus dem EWR, dem Vereinigten Königreich oder der Schweiz in die Türkei oder in ein anderes Land ohne Angemessenheitsbeschluss übermittelt werden, unterzeichnen die Parteien gesondert die Standardvertragsklauseln der Europäischen Kommission (erforderlichenfalls mit den Anpassungen für das Vereinigte Königreich und die Schweiz). Das Modul richtet sich nach den Rollen der Parteien; ist der Kunde Verantwortlicher, wird in der Regel Modul 2 (Verantwortlicher an Auftragsverarbeiter) verwendet.

18. KontaktLink kopieren

Anlage 1: Einzelheiten der VerarbeitungLink kopieren

Gegenstand und Zweck. Verwaltung der Technologietransferarbeit des Kunden: ein Verzeichnis von Einrichtungen, Einheiten, Personen und Partnern im Ökosystem; Erfindungsmeldungen, Bewertungen, institutionelle Schutzrechtsentscheidungen, Schutzrechtsportfolio, Patentanmeldungen, Korrespondenz mit Ämtern, Fristen und Ausgaben; Projekte, Förderprogramme und Förderaufrufe; konfigurierbare Workflows, Freigaben, Aufgaben und Ausschüsse; Dokumente und deren Versionen; Industriekooperation (Unternehmensprofile, Anfragen, Besprechungen, Vereinbarungen, Zahlungen); Startup-Programme (Aufrufe, Bewerbungen, Bewertung, Vorhaben, Mentoring, Investitionen, Exits); Schulungen und Veranstaltungen (Anmeldungen, Anwesenheit, Zertifikate, Feedback-Umfragen); Verwertung (Technologien, Katalog, Lizenzinteressenten, Verhandlungen, Verträge, Erlöse und Erlösbeteiligung); Berichte, Kennzahlen, geplante E-Mail-Zusammenfassungen und Exporte; Entgegennahme und Bestätigung von Einsendungen über die öffentlichen Seiten des Kunden; Versand von In-App-Benachrichtigungen und E-Mails; sofern vom Kunden eingeschaltet, KI-Unterstützung, jährliches Benchmarking und Abfragen in externen Datenquellen; Support, Wartung und Sicherheit.

Art der Verarbeitung. Erhebung, Erfassung, Import (CSV oder Excel), Speicherung, Organisation, Verknüpfung von Datensätzen, Einsichtnahme, Workflow-Bearbeitung, Berechnung aggregierter Kennzahlen, Export, Übermittlung (an den E-Mail-Versanddienstleister; bei eingeschalteter KI-Unterstützung ausgewählte Felder öffentlicher und interner Datensätze an den KI-Anbieter), Archivierung und Löschung.

Betroffene Personen und Datenkategorien:

Besondere Kategorien personenbezogener Daten. Der Dienst ist nicht für besondere Kategorien personenbezogener Daten ausgelegt. Der Kunde gibt solche Daten nicht ein, es sei denn, dies ist erforderlich und rechtmäßig (Abschnitt 6).

Speicherdauer. Kundendaten werden bis zur Beendigung des Hauptvertrags gespeichert, sofern der Kunde sie nicht früher archiviert oder löscht; danach gilt Abschnitt 14. Einsendungen über öffentliche Formulare, die nicht per E-Mail bestätigt werden, werden nach 48 Stunden gelöscht. Exportdateien werden nach 7 Tagen gelöscht. Importvorschauen werden 30 Minuten aufbewahrt. PDF-Zertifikate werden nicht gespeichert; sie werden bei Bedarf erzeugt. Links zu Feedback-Umfragen verfallen nach 30 Tagen. Benchmarking-Übermittlungen werden im Benchmarking-Dienst aufbewahrt, bis der Kunde seine Teilnahme beendet oder der Hauptvertrag endet; die Beendigung der Teilnahme löscht alle Übermittlungen, und bei Beendigung des Hauptvertrags gilt Abschnitt 14.3. Verschlüsselte Backups werden wie in Anlage 2 beschrieben aufbewahrt.

Anlage 2: Technische und organisatorische Maßnahmen (TOM)Link kopieren

Trennung der Umgebungen

• Jeder Kunde verfügt über eine eigene Kundenumgebung: einen separaten Server mit eigenem Anwendungsstack und Dateispeicher sowie eigener Datenbank und eigenem Datenbanknutzer auf einem verwalteten Datenbankdienst. Datenbanknutzer anderer Kunden können sich nicht mit der Datenbank des Kunden verbinden.
• Der Organisationscode wird nur für das Routing verwendet; er gewährt für sich genommen keinen Zugriff.

Transport- und Netzwerksicherheit

• Der gesamte Datenverkehr wird mit TLS verschlüsselt, sowohl zwischen Browser und Netzwerkschutzdienst als auch zwischen diesem Dienst und dem Server (vollständige, strikte Zertifikatsprüfung).
• Für die Adressbereiche des Netzwerkschutzdienstes sind nur die Ports 80 und 443 geöffnet; administrativer Zugriff ist auf Management-IP-Adressen beschränkt.
• Verbindungen zu ENA-Cloud-Diensten werden je Kundenumgebung signiert (HMAC).

Authentifizierung und Autorisierung

• Nutzer melden sich über einen Identitätsdienst an, der nur auf Einladung zugänglich ist (Logto), oder über das eigene Single Sign-on des Kunden; eine öffentliche Registrierung ist deaktiviert. Einladungen externer Experten sind befristet, und der Zugriff endet mit Ablauf automatisch.
• Jede Anfrage zu einem Datensatz durchläuft eine einzige serverseitige Zugriffsentscheidung anhand von Rolle, Zugehörigkeit zum Datensatz und Vertraulichkeitsklasse; der Zugriff ist standardmäßig verweigert, und ein Datensatz, den eine Person nicht sehen darf, wird mit „nicht gefunden“ beantwortet. Für Listen gilt dieselbe Regel.
• Vertrauliche und streng vertrauliche Datensätze sind nur Mitgliedern des Datensatzes und ausdrücklich berechtigten Beschäftigten der TTO zugänglich; die Rollen Inhaber und Administrator gewähren keinen automatischen Lesezugriff. Erweiterter Zugriff erfordert eine Begründung, ist befristet, wird im Prüfprotokoll erfasst und wird bei streng vertraulichen Datensätzen den für den Datensatz verantwortlichen Personen mitgeteilt.

Vertraulichkeit von Inhalten

• Managementberichte zeigen nur die Anzahl vertraulicher Datensätze, nicht deren Titel oder Inhalte.
• In Exporten enthalten vertrauliche und streng vertrauliche Zeilen nur Code und Status; Titel, Kurzfassungen, Personenfelder, Anmeldenummern, Daten und Beträge bleiben leer. Interne Notizen und geplante Veröffentlichungen werden niemals exportiert, erscheinen niemals in Benachrichtigungstexten oder Berichtsdetails und werden externen Nutzern niemals angezeigt.
• Benachrichtigungstexte enthalten nur einen Datensatzcode und einen Link. Formelinjektionen in Tabellenkalkulationen werden in Exporten neutralisiert.
• Dokumente werden über signierte, kurzlebige Links heruntergeladen; jeder Download eines vertraulichen oder streng vertraulichen Dokuments wird im Prüfprotokoll erfasst.

Externe Dienste

• Die KI-Unterstützung ist standardmäßig ausgeschaltet und wird je Kunde eingeschaltet. Anfragen zu vertraulichen und streng vertraulichen Datensätzen werden serverseitig abgelehnt. Übermittelt werden nur ausgewählte Felder öffentlicher und interner Datensätze; bei Industrieanfragen werden Unternehmensname, Ansprechperson, E-Mail-Adresse, Telefon und interne Notizen niemals übermittelt, und Kandidaten für das Matching werden unter neutralen Bezeichnungen übermittelt. Jede Anfrage wird mit Ziel und Größe, jedoch ohne den Text selbst, im Prüfprotokoll erfasst. Anfragen sind je Person in ihrer Rate begrenzt. Das KI-Gateway protokolliert nur Metadaten (etwa Größe, Dauer und Status), nicht den Inhalt.
• Benchmarking erfolgt nur auf Opt-in-Basis. Übermittelt werden ausschließlich aggregierte Jahreskennzahlen, nachdem ein Nutzer mit der entsprechenden Berechtigung sie in der Vorschau geprüft und freigegeben hat; keine Datensätze, Namen, Codes oder Beträge. Vergleichsorganisationen sehen nur Quartile von Gruppen mit mindestens 5 Organisationen. Bei Beendigung der Teilnahme werden alle Übermittlungen gelöscht.
• Externe Datenquellen erhalten nur Kennungen (ORCID iD, DOI, Veröffentlichungsnummer).

Öffentliche Seiten

• Einsendungen werden erst nach E-Mail-Bestätigung angenommen; unbestätigte Einsendungen werden nach 48 Stunden gelöscht. Gespeichert werden nur Hashwerte der Bestätigungsschlüssel, und die Schlüssel werden im Fragment des Links übertragen, damit sie nicht in Serverprotokolle gelangen.
• Einsendungen sind je IP-Adresse und je E-Mail-Adresse in ihrer Rate begrenzt und durch ein Honeypot-Feld geschützt.

Protokollierung und Nachvollziehbarkeit

• Jede Änderung an einem Datensatz wird im Prüfprotokoll erfasst. Das Prüfprotokoll ist durch einen Datenbank-Trigger geschützt, sodass Einträge nur hinzugefügt, nicht aber geändert oder gelöscht werden können. Namen und E-Mail-Adressen in Protokolleinträgen sind maskiert.
• Ist der Fehlerüberwachungsdienst aktiviert, ist er so konfiguriert, dass er keine Nutzerangaben, Cookies oder Anfrage- und Antwortinhalte übermittelt.

Backup und Kontinuität

• Jede Nacht werden ein Dump der Datenbank und ein Archiv des Dateispeichers erstellt, verschlüsselt (AES-256) und 14 Tage aufbewahrt; die 10 jüngsten Dumps und das jüngste Archiv werden stets aufbewahrt, auch wenn sie älter sind.
• Vor jedem Update wird ein verschlüsselter Datenbank-Dump erstellt; für diese Dumps gilt dieselbe Aufbewahrungsregel.
• Die Wiederherstellung aus Backups wird monatlich durch eine Wiederherstellungsübung in eine leere Testdatenbank getestet.
• Die Datenbank ist zusätzlich durch die automatischen Backups des verwalteten Datenbankdienstes geschützt (einschließlich Point-in-Time-Recovery; Aufbewahrung mindestens 7 Tage).

Organisatorische Maßnahmen

• Der Zugriff auf Kundendaten ist auf Beschäftigte beschränkt, die ihn für ihre Arbeit benötigen, und die Beschäftigten sind zur Vertraulichkeit verpflichtet.
• Container-Images und Build-Abhängigkeiten sind auf feste Versionen festgelegt; Abhängigkeiten werden im Release-Prozess auf bekannte Sicherheitslücken geprüft.
• Sicherheitslücken werden über die veröffentlichte Richtlinie zur Meldung von Sicherheitslücken entgegengenommen und bewertet.
• Unterauftragsverarbeiter sind nach Abschnitt 9 schriftlich verpflichtet.

Anlage 3: UnterauftragsverarbeiterLink kopieren

Hinweise

• ENA Cloud (Organisationserkennung, Benachrichtigungs-Gateway, KI-Gateway und Benchmarking-Dienst) wird von ENA Innovation selbst betrieben und ist kein Unterauftragsverarbeiter. ENA Cloud wird auf Huawei Cloud gehostet.
• ORCID, OpenAlex, Crossref und das Europäische Patentamt sind keine Unterauftragsverarbeiter (Abschnitt 3.3).
• Die aktuelle Liste wird auch auf der Seite Unterauftragsverarbeiter veröffentlicht. Die vollständigen Firmenbezeichnungen und Verarbeitungsstandorte der Unterauftragsverarbeiter werden auf Anfrage schriftlich mitgeteilt.