Auftragsverarbeitungsvertrag

Version 1.0 · Zuletzt aktualisiert 13. September 2026 · Kanonische URL: https://airhive.ai/de/legal/dpa

1. Parteien, Zustandekommen und Einbeziehung

Dieser Auftragsverarbeitungsvertrag („AVV“) wird zwischen dem im jeweiligen Konto, Auftragsformular oder in den Nutzungsbedingungen bezeichneten Kunden („Kunde“) und der Airhive GmbH, Eckernwoort 16, 22607 Hamburg, Deutschland, eingetragen im Handelsregister des Amtsgerichts Hamburg unter HRB 199886 („Airhive“), geschlossen. Er ist Bestandteil der den Dienst regelnden Vereinbarung („Vereinbarung“).

Dieser AVV kommt mit der Annahme der Nutzungsbedingungen durch den Kunden oder mit der Nutzung des Dienstes zustande. Eine gesonderte Unterzeichnung ist nicht erforderlich. Auf Anfrage stellt Airhive dem Kunden für seine Unterlagen eine gegengezeichnete Ausfertigung dieses AVV zur Verfügung.

Dieser AVV gilt, soweit Airhive personenbezogene Daten, die in Kundeninhalten enthalten sind, im Auftrag des Kunden verarbeitet. Er soll den Anforderungen des Art. 28 DSGVO sowie gleichwertigen Anforderungen an Auftragsverarbeitungsverträge nach anwendbarem Unionsrecht oder mitgliedstaatlichem Recht genügen.

In datenschutzrechtlichen Angelegenheiten geht dieser AVV jedem anderen Bestandteil der Vereinbarung vor, einschließlich eines Auftragsformulars, es sei denn, das Auftragsformular nimmt ausdrücklich auf die Bestimmung dieses AVV Bezug, die es ersetzt, und gewährt betroffenen Personen mindestens gleichwertigen Schutz.

Ansprechstelle von Airhive für alle Angelegenheiten nach diesem AVV ist privacy@airhive.ai (Postanschrift: Airhive GmbH, Datenschutz, Eckernwoort 16, 22607 Hamburg, Deutschland).

2. Begriffsbestimmungen

• Anwendbares Datenschutzrecht: die DSGVO sowie die sie ergänzenden oder umsetzenden nationalen Vorschriften, die auf die Verarbeitung anwendbar sind, einschließlich des Bundesdatenschutzgesetzes (BDSG).
• Verantwortlicher: hat die in Art. 4 DSGVO festgelegte Bedeutung.
• Personenbezogene Kundendaten: personenbezogene Daten, die in Kundeninhalten enthalten sind und die Airhive im Auftrag des Kunden verarbeitet.
• Betroffene Person: hat die in Art. 4 DSGVO festgelegte Bedeutung.
• DSGVO: Verordnung (EU) 2016/679.

Verletzung des Schutzes personenbezogener Daten: eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Kundendaten führt.

• Verarbeiten / Verarbeitung: hat die in Art. 4 DSGVO festgelegte Bedeutung.
• Auftragsverarbeiter: hat die in Art. 4 DSGVO festgelegte Bedeutung.
• Unterauftragsverarbeiter: ein von Airhive zur Verarbeitung personenbezogener Kundendaten herangezogener Auftragsverarbeiter.

Die übrigen großgeschriebenen Begriffe haben die in den Nutzungsbedingungen festgelegte Bedeutung.

3. Rollen und Befugnis des Kunden

Der Kunde ist Verantwortlicher und Airhive ist Auftragsverarbeiter für personenbezogene Kundendaten. Verarbeitet der Kunde personenbezogene Daten im Auftrag eines anderen Verantwortlichen, handelt der Kunde als Auftragsverarbeiter und Airhive als Unterauftragsverarbeiter; der Kunde bestätigt, dass er befugt ist, Airhive zu beauftragen und die in der Vereinbarung und in diesem AVV vorgesehenen Weisungen zu erteilen.

Airhive handelt als eigenständig Verantwortlicher für Konto-, Abrechnungs-, Support-, Sicherheits- und sonstige Daten, die zu eigenen Zwecken von Airhive verarbeitet werden, wie in der Datenschutzrichtlinie beschrieben. Auf diese eigenverantwortliche Verarbeitung findet dieser AVV keine Anwendung.

4. Einzelheiten und Dauer der Verarbeitung

Gegenstand, Art, Zweck, Dauer, Kategorien betroffener Personen und Arten personenbezogener Daten sind in Anlage 1 beschrieben. Die Verarbeitung dauert für die Laufzeit der Vereinbarung sowie für etwaige Lösch-, Sicherungs-, Übergangs- oder gesetzlich vorgeschriebene Aufbewahrungszeiträume an.

5. Dokumentierte Weisungen

Airhive verarbeitet personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung des Kunden, einschließlich Weisungen zu internationalen Übermittlungen, es sei denn, Unionsrecht oder mitgliedstaatliches Recht bestimmt etwas anderes. Soweit rechtlich zulässig, unterrichtet Airhive den Kunden vor einer gesetzlich vorgeschriebenen Verarbeitung.

Zu den dokumentierten Weisungen zählen die Vereinbarung, dieser AVV, Konto- und Workspace-Einstellungen, Berechtigungen, Uploads, Freigaben, Exporte, Löschungen, Einstellungen der KI-Funktionen, Konnektoreinstellungen, über den Dienst übermittelte Anweisungen sowie von Airhive angenommene schriftliche Weisungen.

Airhive unterrichtet den Kunden unverzüglich, wenn eine Weisung nach Auffassung von Airhive gegen anwendbares Datenschutzrecht verstößt. Airhive kann die betroffene Verarbeitung aussetzen, bis sich die Parteien auf eine rechtmäßige Weisung verständigt haben. Airhive ist nicht verpflichtet, den Kunden rechtlich zu beraten.

Weisungen, die über die gewöhnliche Funktionalität des Dienstes hinausgehen, können einer angemessenen Vergütung, einer Machbarkeitsprüfung und ergänzenden Bedingungen unterliegen.

6. Pflichten des Kunden

Der Kunde ist verantwortlich für:

• die Sicherstellung, dass seine Weisungen und die Verarbeitung anwendbarem Datenschutzrecht entsprechen;
• die Bereitstellung von Datenschutzhinweisen und die Schaffung einer Rechtsgrundlage für personenbezogene Kundendaten;
• die Feststellung, ob eine Einwilligung, eine Datenschutz-Folgenabschätzung oder eine vorherige Konsultation erforderlich ist;
• die angemessene Konfiguration von Berechtigungen, Freigaben, KI-Reichweite, Konnektoren, Aufbewahrung und Löschung;
• die Sicherstellung, dass personenbezogene Daten richtig, erheblich und auf das notwendige Maß beschränkt sind;
• die Beantwortung von Anträgen betroffener Personen und behördlicher Anfragen als Verantwortlicher;
• die Mitteilung von Beschränkungen, Widersprüchen oder besonderen Behandlungsanforderungen, deren Unterstützung Airhive zugesagt hat.

Nutzt der Kunde den Dienst für Daten besonderer Kategorien, Daten über Straftaten, Daten von Kindern, Gesundheitsakten, Beschäftigtendaten, behördliche Verschlusssachen oder andere hochriskante Daten, ist er für die Eignungsprüfung und die Umsetzung angemessener rechtlicher, vertraglicher und technischer Garantien verantwortlich, einschließlich der im Dienst verfügbaren Workspace-Berechtigungen und Einstellungen zur KI-Reichweite.

7. Vertraulichkeit und befugtes Personal

Airhive stellt sicher, dass die zur Verarbeitung personenbezogener Kundendaten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und Zugang nur erhalten, soweit dies für Betrieb, Support, Sicherheit, Wartung, Reaktion auf Vorfälle, Rechtsbefolgung oder einen anderen zulässigen Zweck erforderlich ist.

Airhive unterhält Verfahren zur Erteilung, Überprüfung und Entziehung von Zugriffsrechten des Personals und wendet den Grundsatz der geringsten Rechte an. Der Zugang zu Produktivsystemen, die personenbezogene Kundendaten enthalten, wird nur namentlich benannten Beschäftigten mit Sitz in der EU/im EWR gewährt, wird protokolliert und mindestens vierteljährlich überprüft.

8. Sicherheit der Verarbeitung

Airhive setzt die in Anlage 2 aufgeführten technischen und organisatorischen Maßnahmen um und erhält sie aufrecht; sie sind darauf ausgelegt, personenbezogene Kundendaten vor unbeabsichtigter oder unrechtmäßiger Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugang zu schützen, unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung und der Risiken für Personen.

Airhive kann die Maßnahmen aktualisieren, um dem technischen Fortschritt und veränderten Risiken Rechnung zu tragen, sofern das Gesamtschutzniveau nicht verringert wird. Airhive unterrichtet Kunden über wesentliche Änderungen der Anlage 2 über den Dienst oder per E-Mail.

Der Kunde nimmt zur Kenntnis, dass der Dienst eine Umgebung geteilter Verantwortung ist. Zu den Sicherheitspflichten des Kunden zählen der Schutz von Zugangsdaten, die Konfiguration von Rollen, der ordnungsgemäße Entzug von Zugängen beim Ausscheiden, die Überprüfung von Konnektoren, die angemessene Auswahl von Daten und die Meldung des Verdachts einer Kompromittierung.

9. KI-Verarbeitung nach diesem AVV

Aktiviert der Kunde KI-Funktionen, verarbeitet Airhive personenbezogene Kundendaten, um OCR, Klassifizierung, Benennung, Metadaten- und Entitätsextraktion, semantische Suche, Dokument-Chat, Zusammenfassungen, Vorschläge, Lebenszyklusanalysen und verwandte Funktionen bereitzustellen.

Ein KI-Anbieter, der personenbezogene Kundendaten im Auftrag von Airhive verarbeitet, wird als Unterauftragsverarbeiter beauftragt, ist in der Liste der Unterauftragsverarbeiter aufgeführt und durch Pflichten gebunden, die mit diesem AVV im Einklang stehen. Sämtliche KI-Verarbeitung findet innerhalb der EU/des EWR statt.

Kein Training mit Kundeninhalten. Airhive nutzt Kundeninhalte nicht, um Modelle künstlicher Intelligenz oder maschinellen Lernens – eigene oder solche Dritter – zu trainieren, nachzutrainieren, zu bewerten oder in sonstiger Weise zu verbessern, und untersagt dies ihren Unterauftragsverarbeitern vertraglich. Einzige Ausnahme ist eine gesonderte, ausdrückliche Opt-in-Vereinbarung des Kunden für einen konkret beschriebenen Zweck, die der Kunde jederzeit mit Wirkung für die Zukunft widerrufen kann.

Airhive wendet vor der KI-Verarbeitung Minimierung, Umfangsbegrenzung und Zugriffsbeschränkungen auf Dateiebene an sowie, soweit die Funktion dies unterstützt, Schwärzung oder Pseudonymisierung. Der Kunde nimmt zur Kenntnis, dass solche Verfahren nicht jede Kennung und jede Rückschlussmöglichkeit aus jeder Datei entfernen und die Pflicht des Kunden zur angemessenen Datenauswahl nicht ersetzen.

Der Kunde ist für die menschliche Prüfung verantwortlich sowie für die Feststellung, ob seine Nutzung Pflichten zu automatisierten Entscheidungen, zu Hochrisiko-KI, zu Transparenz, zu Folgenabschätzungen oder aus branchenspezifischen Vorschriften auslöst. Die eigenen Pflichten von Airhive als Anbieter eines KI-Systems sind in Ziffer 9 der Nutzungsbedingungen und im KI-Transparenzhinweis beschrieben.

10. Vom Kunden veranlasste externe Konnektoren

Verbindet der Kunde unter seinem eigenen Konto einen externen KI-, Speicher- oder Workflow-Anbieter und weist er Airhive an, ausgewählte personenbezogene Kundendaten zu übermitteln, handelt Airhive hinsichtlich der Übermittlung auf Weisung des Kunden. Der Dritte ist kein Unterauftragsverarbeiter von Airhive, es sei denn, Airhive hat ihn gesondert mit der Erbringung eines Teils des Dienstes beauftragt.

Der Kunde ist dafür verantwortlich, die Rolle, die Bedingungen, die Rechtsgrundlage, die Sicherheit, internationale Übermittlungen, die Aufbewahrung und die Praktiken des Modelltrainings des Dritten zu bewerten. Ein Widerruf über Airhive beendet künftige Übermittlungen, hat jedoch keinen Einfluss auf bereits beim Dritten vorhandene Daten.

11. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine schriftliche Genehmigung, dass Airhive die in der jeweils aktuellen Liste der Unterauftragsverarbeiter unter https://airhive.ai/de/legal/subprocessors (Anlage 3) benannten Unterauftragsverarbeiter heranzieht. Airhive erlegt jedem Unterauftragsverarbeiter durch schriftlichen Vertrag Datenschutzpflichten auf, die den Pflichten dieses AVV im Wesentlichen gleichwertig sind, einschließlich Pflichten zu Vertraulichkeit, Sicherheit, Unterstützung, Löschung, Weiterverarbeitung und Übermittlung.

Airhive bleibt dem Kunden gegenüber gemäß Art. 28 Abs. 4 DSGVO für die Erfüllung der Pflichten eines Unterauftragsverarbeiters in vollem Umfang verantwortlich.

Airhive wird mindestens 30 Tage im Voraus per E-Mail an die Konto-E-Mail-Adresse der Administratoren des Kunden sowie über den Dienst informieren, bevor ein Unterauftragsverarbeiter, der personenbezogene Kundendaten verarbeitet, hinzugefügt oder ersetzt wird; ausgenommen sind dringende Änderungen, die zum Schutz der Sicherheit oder zur Einhaltung rechtlicher Vorgaben erforderlich sind – in diesem Fall unterrichtet Airhive den Kunden so bald wie möglich. Der Kunde kann innerhalb der Mitteilungsfrist aus sachlich begründeten Datenschutzgründen widersprechen.

Die Parteien werden eine angemessene Lösung für einen Widerspruch suchen. Ist innerhalb von 30 Tagen nach dem Widerspruch keine Lösung oder Alternative zumutbar verfügbar, kann der Kunde den betroffenen Teil des Dienstes mit Wirkung zu dem Zeitpunkt kündigen, zu dem der neue Unterauftragsverarbeiter herangezogen wird; er erhält eine anteilige Erstattung im Voraus gezahlter Entgelte für den gekündigten Teil. Ein Widerspruch befreit den Kunden nicht von Zahlungspflichten für nicht betroffene Leistungen.

12. Verarbeitungsort und internationale Übermittlungen

Airhive hostet und verarbeitet personenbezogene Kundendaten ausschließlich auf Servern in der EU/im EWR. Zum Datum des Inkrafttretens dieses AVV ist jeder Unterauftragsverarbeiter in der EU/im EWR niedergelassen und verarbeitet personenbezogene Kundendaten ausschließlich innerhalb der EU/des EWR; Beschäftigte außerhalb der EU/des EWR haben keinen Zugang zu personenbezogenen Kundendaten. Eine Übermittlung personenbezogener Kundendaten in ein Drittland im Sinne des Kapitels V DSGVO findet nicht statt.

Sollte künftig eine Übermittlung personenbezogener Kundendaten in ein Drittland erforderlich werden, wird Airhive (a) den Kunden nach Ziffer 11 unterrichten, (b) einen rechtmäßigen Übermittlungsmechanismus sicherstellen – einen Angemessenheitsbeschluss oder die Standardvertragsklauseln der Europäischen Kommission (Beschluss (EU) 2021/914) in dem für die Rollen der Parteien einschlägigen Modul, mit auf Grundlage der Anlagen 1 und 2 dieses AVV und der Liste der Unterauftragsverarbeiter ausgefüllten Anhängen I bis III – nebst einer Übermittlungs-Folgenabschätzung und erforderlichenfalls ergänzenden Maßnahmen, und (c) dem Kunden die ausgefüllten Klauseln auf Anfrage zur Verfügung stellen. Soweit Standardvertragsklauseln gelten, gehen sie diesem AVV für die betreffende Übermittlung vor.

13. Anträge betroffener Personen

Unter Berücksichtigung der Art der Verarbeitung unterstützt Airhive den Kunden, soweit möglich, mit geeigneten technischen und organisatorischen Maßnahmen bei Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch sowie bei Rechten im Zusammenhang mit automatisierten Entscheidungen.

Die Unterstützung erfolgt vorrangig über die Zugriffs-, Such-, Export-, Korrektur-, Berechtigungs-, Freigabe- und Löschfunktionen des Dienstes. Zusätzliche manuelle Unterstützung kann, soweit zulässig und soweit sie Arbeiten außerhalb der Standardfunktionalität erfordert, zu angemessenen Sätzen berechnet werden.

Erhält Airhive einen Antrag, der personenbezogene Kundendaten betrifft, leitet Airhive ihn innerhalb von fünf Werktagen an den Kunden weiter, sofern der Kunde vernünftigerweise bestimmbar ist, und antwortet nicht in der Sache, sofern der Kunde dies nicht anweist oder das Gesetz es nicht verlangt.

14. Unterstützung bei der Einhaltung von Pflichten

Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen leistet Airhive angemessene Unterstützung bei den Art. 32 bis 36 DSGVO, einschließlich Sicherheit, Pflichten bei Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzungen und vorheriger Konsultation.

Der Kunde bleibt dafür verantwortlich festzustellen, ob für seine Nutzung eine Datenschutz-Folgenabschätzung oder eine vorherige Konsultation erforderlich ist, insbesondere bei sensiblen Daten, umfangreicher Überwachung, folgenreichen Entscheidungen, externen KI-Konnektoren oder regulierten Branchen.

15. Meldung von Verletzungen des Schutzes personenbezogener Daten

Airhive unterrichtet den Kunden unverzüglich, jedenfalls aber innerhalb von 48 Stunden, nachdem Airhive von einer Verletzung des Schutzes personenbezogener Kundendaten Kenntnis erlangt hat. Die Meldung erfolgt per E-Mail an die Konto-E-Mail-Adresse der Administratoren des Kunden sowie, soweit in den Workspace-Einstellungen eine Sicherheitskontaktstelle benannt ist, an diese.

Die Meldung beschreibt, soweit die Informationen zu diesem Zeitpunkt vorliegen, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Ansprechstelle. Airhive ergänzt die Informationen mit dem Fortgang der Untersuchung schrittweise und arbeitet bei den eigenen Meldepflichten des Kunden in angemessenem Umfang mit. Der Kunde ist für Meldungen an Behörden und betroffene Personen verantwortlich, sofern Airhive nicht eigenständig zur Meldung verpflichtet ist.

Die Meldung von Airhive stellt kein Anerkenntnis eines Verschuldens oder einer Haftung dar.

16. Rückgabe, Export und Löschung

Während der Laufzeit kann der Kunde personenbezogene Kundendaten über die in Ziffer 17 der Nutzungsbedingungen beschriebenen Exportfunktionen abrufen oder exportieren. Bei Beendigung löscht oder gibt Airhive personenbezogene Kundendaten nach Wahl des Kunden zurück, es sei denn, eine Aufbewahrung ist gesetzlich vorgeschrieben.

Nach Beendigung der Vereinbarung oder Löschung des betreffenden Kontos oder Workspace löscht Airhive personenbezogene Kundendaten innerhalb von 30 Tagen aus den aktiven Produktivsystemen, sofern der Kunde die Daten nicht zuvor über den Dienst exportiert oder löscht. Restkopien in verschlüsselten Sicherungen werden im Rahmen des Sicherungszyklus von Airhive innerhalb von höchstens 35 Tagen nach der Löschung in der Produktion überschrieben. Airhive kann begrenzte Daten aufbewahren, soweit dies gesetzlich vorgeschrieben, zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich oder für Sicherheits- und Betrugspräventionsaufzeichnungen geboten ist, sofern diese Daten geschützt bleiben und nicht zu anderen Zwecken verwendet werden.

Auf Anfrage bestätigt Airhive die Löschung schriftlich. Nach der Löschung kann Airhive einen unumkehrbaren Nachweis darüber, dass die Löschung erfolgt ist, sowie begrenzte Metadaten aufbewahren, die zur Betrugsprävention oder zur Erfüllung gesetzlicher Vorgaben erforderlich sind.

17. Prüf- und Informationsrechte

Airhive stellt die Informationen bereit, die zum Nachweis der Einhaltung des Art. 28 DSGVO vernünftigerweise erforderlich sind. Dazu zählen dieser AVV, Anlage 2, Sicherheitsübersichten, Zertifizierungen und Prüfberichte, soweit verfügbar, Zusammenfassungen von Penetrationstests, Informationen zu Unterauftragsverarbeitern sowie Antworten auf angemessene Sicherheitsfragebögen, vorbehaltlich Vertraulichkeits-, Verschwiegenheits- und Sicherheitsbeschränkungen.

Der Kunde kann höchstens einmal innerhalb von zwölf Monaten eine Prüfung verlangen, es sei denn, eine wesentliche Pflichtverletzung, ein Verlangen einer Aufsichtsbehörde oder eine Verletzung des Schutzes personenbezogener Daten erfordert vernünftigerweise eine häufigere Überprüfung. Airhive kann das Verlangen, soweit angemessen, durch unabhängige Berichte oder Dokumentation erfüllen.

Prüfungen vor Ort oder nach besonderen Vorgaben erfordern eine Ankündigung von mindestens 30 Tagen, müssen während der üblichen Geschäftszeiten stattfinden, dürfen andere Kunden oder Systeme nicht beeinträchtigen und können einer angemessenen Vergütung unterliegen. Die prüfende Person muss unabhängig und fachkundig sowie zur Vertraulichkeit verpflichtet sein.

18. Behörden- und Strafverfolgungsersuchen

Erhält Airhive ein verbindliches Ersuchen um personenbezogene Kundendaten, prüft Airhive dessen Wirksamkeit, legt nur das rechtlich Gebotene offen und unterrichtet den Kunden vor der Offenlegung, soweit dies rechtlich zulässig ist. Airhive wird unverhältnismäßige oder rechtswidrige Ersuchen angreifen, soweit dies zumutbar und rechtlich möglich ist.

19. Haftung und Kündigung

Die Haftung aus diesem AVV richtet sich nach den Haftungsbestimmungen der Vereinbarung, einschließlich der gesonderten Haftungshöchstgrenze für Datenschutzverstöße in Ziffer 24 der Nutzungsbedingungen, soweit anwendbares Datenschutzrecht nichts anderes verlangt. Rechte betroffener Personen und Befugnisse von Aufsichtsbehörden bleiben unberührt.

Eine wesentliche Verletzung dieses AVV, die nicht innerhalb von 30 Tagen nach entsprechender Mitteilung behoben wird, berechtigt die andere Partei, den betroffenen Dienst zu kündigen, vorbehaltlich zwingenden Rechts und der Vereinbarung.

20. Anlage 1 – Beschreibung der Verarbeitung

21. Anlage 2 – Technische und organisatorische Maßnahmen

22. Anlage 3 – Genehmigte Unterauftragsverarbeiter

Die genehmigten Unterauftragsverarbeiter sind in der Airhive-Liste der Unterauftragsverarbeiter unter https://airhive.ai/de/legal/subprocessors aufgeführt, die durch Verweis Bestandteil dieses AVV ist. Änderungen der Liste richten sich nach Ziffer 11.

23. Kontakt

Anfragen zum AVV und zum Datenschutz: privacy@airhive.ai | Sicherheitsvorfälle: security@airhive.ai