Auftragsverarbeitungsvertrag (DPA)

Dieser Auftragsverarbeitungsvertrag („AVV" oder „DPA") wird zwischen Ihnen (dem „Verantwortlichen") und Airbuild FlexCo, Liechtensteinstraße 22a / 4, 1090 Wien, Österreich, FN 672857x, Handelsgericht Wien (dem „Auftragsverarbeiter" oder „Airbuild") geschlossen und ist integraler Bestandteil der Nutzungsbedingungen. Er gilt, soweit Airbuild personenbezogene Daten im Auftrag des Verantwortlichen im Zusammenhang mit dem Dienst verarbeitet. Soweit Airbuild personenbezogene Daten als Verantwortlicher verarbeitet (z.B. Account-Daten der Vertreter:innen des Verantwortlichen), gilt die Datenschutzerklärung. Begriffe, die hier nicht definiert sind, haben die Bedeutung gemäß Art. 4 DSGVO oder gemäß AGB.

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zur Erbringung des Dienstes nach Maßgabe der AGB, dieses AVV und der dokumentierten Weisungen des Verantwortlichen. Dieser AVV gilt, solange der Auftragsverarbeiter personenbezogene Daten für den Verantwortlichen verarbeitet.

2. Art, Zweck und Umfang

• Art der Verarbeitung: Erhebung, Speicherung, Übermittlung, Abruf, Strukturierung, Organisation, Hosting, Umwandlung und Löschung personenbezogener Daten über den Dienst.
• Zweck: Bereitstellung der KI-gestützten Entwicklungs-, Kollaborations-, Veröffentlichungs- und Betriebsfunktionen des Dienstes für den Verantwortlichen.
• Dauer: Laufzeit des zugrundeliegenden Abonnements zuzüglich gesetzlich vorgeschriebener Aufbewahrung.

3. Kategorien betroffener Personen und personenbezogener Daten

Die betroffenen Personen und Datenkategorien hängen von der Nutzung des Dienstes durch den Verantwortlichen ab und umfassen typischerweise:

• Betroffene Personen: Mitarbeiter:innen, Auftragnehmer:innen und Kollaborateur:innen des Verantwortlichen mit Account-Zugang; Endnutzer:innen der vom Verantwortlichen Veröffentlichten Sites oder auf dem Dienst gehosteten Anwendungen; in Nutzer-Inhalten genannte Personen.
• Personenbezogene Daten: Account-Kennungen (Name, E-Mail, Rolle, Sprache); Kollaborations-Metadaten (Projekt, Kommentar, Audit-Log); Inhalte der vom Verantwortlichen eingereichten Prompts, Codes, Konfigurationen, Dateien und AI Output; technische Daten wie IP-Adressen, Geräteidentifikatoren und Logs; sonstige personenbezogene Daten, die der Verantwortliche über den Dienst verarbeitet.

Der Verantwortliche übermittelt dem Dienst wissentlich keine besonderen Kategorien personenbezogener Daten gemäß Art. 9 DSGVO oder Daten zu strafrechtlichen Verurteilungen gemäß Art. 10 DSGVO ohne eindeutige Rechtsgrundlage und angemessene Schutzmaßnahmen.

4. Weisungen und Compliance

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in Drittländer, sofern er nicht durch Unionsrecht oder Recht eines Mitgliedstaats hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Verpflichtung vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

Die Standard-Weisungen des Verantwortlichen sind in den AGB, diesem AVV und den im Dienst vorgenommenen Konfigurationen dokumentiert. Zusätzliche oder abweichende Weisungen bedürfen der Textform und können bei wesentlicher Überschreitung des Service-Umfangs angemessen vergütet werden.

Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, falls eine Weisung seiner Auffassung nach gegen die DSGVO oder andere Datenschutzbestimmungen verstößt.

5. Vertraulichkeit der Beschäftigten

Der Auftragsverarbeiter stellt sicher, dass alle zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet sind (vertraglich oder gesetzlich) und in angemessenem Umfang zu Datenschutzpflichten geschult werden.

6. Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter setzt angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die aktuellen Maßnahmen umfassen:

• Vertraulichkeit. Verschlüsselter Transport (TLS 1.2+), verschlüsselte Speicherung (AES-256 oder gleichwertig), rollenbasierte Zugriffskontrolle, Need-to-know-Prinzip, Multi-Faktor-Authentifizierung für administrativen Zugriff, Mandantentrennung.
• Integrität. Eingabevalidierung, Code-Review, automatisierte Abhängigkeits- und Schwachstellen-Scans, Audit-Logging sicherheitsrelevanter Aktionen.
• Verfügbarkeit und Belastbarkeit. Redundante Infrastruktur innerhalb der EU (eu-central-1, Frankfurt), automatisierte Backups, Monitoring und Alarmierung, Incident-Response-Prozesse.
• Wiederherstellbarkeit. Point-in-Time-Recovery aus automatisierten Backups sowie als Code definierte Infrastruktur, aus der eine Umgebung neu aufgebaut werden kann. Ein vollständiger End-to-End-Wiederherstellungstest mit gemessenen Wiederherstellungszielen ist geplant und bislang nicht durchgeführt.
• Pseudonymisierung. Soweit angemessen umsetzbar, Pseudonymisierung von Kennungen in Logs.
• Lieferantenmanagement. Sorgfaltsprüfung der Sub-Prozessoren und vertragliche Weitergabe der Datenschutzpflichten.
• Personal. Vertraulichkeitsverpflichtungen nach österreichischem Arbeitsrecht und aus dem Schutz von Geschäftsgeheimnissen nach dem österreichischen Gesetz gegen den unlauteren Wettbewerb (UWG). Der Zugriff auf die Produktion ist nach dem Need-to-know-Prinzip auf eine kleine, namentlich benannte Gruppe beschränkt und wird beim Ende einer Rolle entzogen; eine Produktfunktion, über die Mitarbeitende Kundeninhalte durchsehen, existiert nicht. Ein zeitlich befristeter, genehmigungsbasierter Support-Zugriffs-Workflow mit Aktivitätsprotokollierung ist in der Plattform implementiert, aber noch nicht aktiviert.
• Sicherer Entwicklungslebenszyklus. Von Menschen vorgenommene Änderungen gelangen über Pull Requests auf geschützten Branches in den Standard-Branch, mit vor dem Merge verpflichtend zu bestehenden Statusprüfungen. Der Umfang der Prüfungen ist je Repository konfiguriert: Linting und Formatprüfung sowie eine automatisierte Testsuite in jedem Repository, Typprüfungen dort, wo die jeweilige Sprach-Toolchain sie bereitstellt, und Security-Scans in den Repositories, die sie konfigurieren — statische Sicherheitsanalyse, Secret-Scanning, Abhängigkeits-Audit sowie Container- und Dateisystem-Scans. Ausgenommen ist eine kleine Zahl automatisierter Commits: Die Deployment-Pipeline schreibt Versionsangaben und Base-Image-Tags ohne Pull Request unter eigenen Automatisierungs-Identitäten in den Standard-Branch; diese Commits werden in der Branch-Historie festgehalten. Wo ein Security-Workflow konfiguriert ist, läuft er zusätzlich wöchentlich, Abhängigkeitsversionen sind gepinnt, und ein Release-Gate blockiert ein Produktions-Deployment, solange der exakt zu deployende Commit seine erforderlichen Workflows nicht bestanden hat; ein dokumentierter Notfall-Override wird bei Verwendung protokolliert.

Eine aktuelle, detailliertere Beschreibung der TOM ist auf Anfrage unter security@airbuild.ai erhältlich. Der Auftragsverarbeiter kann die Maßnahmen anpassen, sofern das Schutzniveau nicht abgesenkt wird.

7. Sub-Prozessoren

Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit eine allgemeine schriftliche Genehmigung zur Beauftragung von Sub-Prozessoren. Eine aktuelle Liste wird unter /sub-processors veröffentlicht.

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus über eine beabsichtigte Aufnahme oder einen Wechsel von Sub-Prozessoren und ermöglicht es dem Verantwortlichen, aus berechtigten datenschutzrechtlichen Gründen Einspruch zu erheben. Erhebt der Verantwortliche innerhalb der Frist schriftlich Einspruch und können sich die Parteien nicht innerhalb einer angemessenen Zeit auf eine Lösung einigen, kann der Verantwortliche den betroffenen Teil des Dienstes aus wichtigem Grund kündigen; bereits gezahlte Entgelte für den ungenutzten Restzeitraum werden anteilig rückerstattet.

Der Auftragsverarbeiter schließt mit jedem Sub-Prozessor eine schriftliche Vereinbarung, die Datenschutzpflichten auferlegt, die diesem AVV im Wesentlichen entsprechen, insbesondere hinreichende Garantien zur Umsetzung angemessener TOM.

8. Internationale Datenübermittlung

Der primäre Verarbeitungsort liegt in der Europäischen Union (Frankfurt, Deutschland). Soweit Sub-Prozessoren personenbezogene Daten außerhalb des EWR verarbeiten (z.B. KI-Modellanbieter in den USA), stellt der Auftragsverarbeiter ein angemessenes Übermittlungsinstrument nach Kapitel V DSGVO sicher, etwa: (a) Verarbeitung über eine EU-Niederlassung, die unter das EU–US Data Privacy Framework oder einen Nachfolger fällt; (b) EU-Standardvertragsklauseln (Durchführungsbeschluss 2021/914) einschließlich Modul 3 (Processor-to-Processor) gegebenenfalls mit ergänzenden Maßnahmen; (c) andere zulässige Übermittlungsinstrumente.

Der Auftragsverarbeiter stellt dem Verantwortlichen die einschlägigen Übermittlungsdokumente auf Anfrage zur Verfügung.

9. Unterstützung des Verantwortlichen

Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen in angemessener Zeit bei:

• der Beantwortung von Anträgen Betroffener nach Art. 12 bis 22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, automatisierte Entscheidungsfindung);
• der Einhaltung der Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation);
• der Zusammenarbeit mit Aufsichtsbehörden auf begründete Anfrage.

Der Auftragsverarbeiter kann die Unterstützung, soweit sie wesentlich über die im Dienst standardmäßig verfügbaren Self-Service-Funktionen hinausgeht, nach Mitteilung und einer angemessenen Kostenschätzung zu seinen jeweils aktuellen Beratungssätzen abrechnen.

10. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, möglichst innerhalb von 72 Stunden, nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, die die Daten des Verantwortlichen betrifft. Die Meldung beschreibt, soweit zu diesem Zeitpunkt bekannt, Art der Verletzung, Kategorien und ungefähre Zahl betroffener Personen und Datensätze, voraussichtliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen zur Behebung und Schadensbegrenzung. Weitere Informationen werden nachgereicht, sobald sie verfügbar sind.

11. Verzeichnisse und Audit

Der Auftragsverarbeiter führt die nach Art. 30 Abs. 2 DSGVO erforderlichen Verarbeitungsverzeichnisse und stellt dem Verantwortlichen alle Informationen zur Verfügung, die zur Nachweis der Einhaltung dieses AVV nach billigem Ermessen erforderlich sind.

Der Verantwortliche kann höchstens einmal pro Kalenderjahr mit einer Vorankündigungsfrist von mindestens 30 Tagen (außer im Falle einer Datenschutzverletzung oder einer aufsichtsbehördlichen Anordnung) auf eigene Kosten Audits durchführen, auch durch einen unabhängigen, einvernehmlich bestimmten und zur Vertraulichkeit verpflichteten Auditor. Audits finden während der üblichen Geschäftszeiten statt, dürfen den Geschäftsbetrieb des Auftragsverarbeiters nicht unangemessen beeinträchtigen und respektieren die Vertraulichkeit und Sicherheit anderer Kunden.

Der Auftragsverarbeiter beantwortet angemessene Audit-Anfragen durch Bereitstellung der jeweils vorgehaltenen Dokumentation; diese kann etwa den aktuellen Sicherheitsfragebogen, die TOM-Dokumentation, die Security- und Architektur-Übersicht, Zusammenfassungen der in Abschnitt 6 beschriebenen Sicherheitsprüfungen sowie — sofern dann gehalten — Dritt-Zertifizierungen (z.B. ISO 27001, SOC 2 Type II) und, sofern ein solcher Test durchgeführt wurde, eine Zusammenfassung eines externen Penetrationstests umfassen. Der Auftragsverarbeiter hält weder eine ISO 27001- noch eine SOC 2-Zertifizierung (Type I oder Type II), derzeit läuft kein SOC 2-Audit, und ein externer Penetrationstest wurde bislang nicht beauftragt; ein ISO 27001-Programm wurde gestartet, die ISMS-Dokumentation liegt im Entwurf vor. Statusänderungen werden in einer aktualisierten Fassung dieses AVV sowie in der auf Anfrage unter security@airbuild.ai erhältlichen Security- und Architektur-Übersicht nachgeführt. Der Auftragsverarbeiter beantwortet darüber hinaus nach Treu und Glauben angemessene Folgefragen, sofern nicht zwingendes Recht ein Vor-Ort-Audit verlangt.

12. Löschung oder Rückgabe bei Beendigung

Mit Beendigung des zugrundeliegenden Abonnements und nach vorab mitgeteilter Wahl des Verantwortlichen löscht oder gibt der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten zurück und löscht bestehende Kopien, sofern nicht das Unionsrecht oder das Recht eines Mitgliedstaats eine Pflicht zur weiteren Speicherung vorsieht. Erfolgt keine rechtzeitige Weisung, löscht der Auftragsverarbeiter die personenbezogenen Daten standardmäßig binnen 30 Tagen nach Vertragsende, vorbehaltlich Backup-Zyklen und gesetzlicher Aufbewahrungspflichten (insbesondere steuer- und buchhaltungsrechtliche Pflichten gemäß § 132 BAO und § 212 UGB); während dieser Zeit werden die Daten sicher isoliert und zugriffsbeschränkt aufbewahrt.

13. Haftung

Die Haftung der Parteien aus diesem AVV richtet sich nach Abschnitt 21 der AGB (Haftungsbeschränkung), unbeschadet der Rechte Betroffener nach Art. 82 DSGVO. Die Haftung der Parteien gegenüber Betroffenen wird nach Art. 82 Abs. 5 DSGVO aufgeteilt.

14. Rangfolge

Bei Widersprüchen zwischen diesem AVV und den AGB oder einem Bestellschein in Datenschutzfragen geht dieser AVV vor. Im Übrigen gilt Abschnitt 29 der AGB.

15. Anwendbares Recht

Dieser AVV unterliegt demselben Recht und derselben Gerichtsbarkeit wie die AGB (siehe Abschnitt 24 der AGB).

16. Kontakt

Datenschutz-Kontakt: privacy@airbuild.ai
Sicherheits-Kontakt: security@airbuild.ai