Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Version 2026-11. Er ist Bestandteil der Nutzungsbedingungen von AIR-Core und wird mit ihnen akzeptiert. Kunden, die eine unterzeichnete Fassung benötigen, können sie anfordern unter info@air-institute.com (öffnet Ihr E-Mail-Programm).

Parteien

• Verantwortlicher („Kunde“): die natürliche oder juristische Person, der die Organisation in AIR-Core gehört und die in ihrem Konto angegeben ist.
• Auftragsverarbeiter („AIR Institute“): INSTITUTO INTERNACIONAL DE INVESTIGACIÓN EN INTELIGENCIA ARTIFICIAL Y CIENCIAS DE LA COMPUTACIÓN, NIF G37571627, Av. Santiago Madrigal, 39, 37003 Salamanca. DSB: contacto@delegado-lopd.es (öffnet Ihr E-Mail-Programm).

1. Gegenstand

Das AIR Institute verarbeitet im Auftrag des Kunden die personenbezogenen Daten, die der Kunde oder seine Nutzer in AIR-Core einbringen („personenbezogene Kundendaten“), ausschließlich zur Erbringung des in den Nutzungsbedingungen beschriebenen Dienstes. Anhang I beschreibt die Verarbeitung.

2. Laufzeit

Dieser Vertrag gilt für die Laufzeit des Hauptvertrags und danach bis zur Löschung oder Rückgabe der Daten gemäß Klausel 12.

3. Weisungen

3.1. Das AIR Institute verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Als Weisungen gelten:

• die Nutzungsbedingungen und dieser Vertrag;
• die Einstellungen und Aktionen, die der Kunde und seine Nutzer in AIR-Core vornehmen: Daten hochladen oder verbinden, Modelle trainieren, Dashboards teilen, Benachrichtigungen und Webhooks einrichten, KI-Funktionen aufrufen, BYOK einrichten, externe MCP-Anwendungen autorisieren;
• jede andere von beiden Parteien akzeptierte schriftliche Weisung.

3.2. Ist das AIR Institute der Auffassung, dass eine Weisung gegen die DSGVO oder eine andere Vorschrift verstößt, teilt es dies dem Kunden unverzüglich mit und kann ihre Ausführung aussetzen.

3.3. Verpflichtet das Recht der EU oder eines Mitgliedstaats das AIR Institute zu einer anderen Verarbeitung, informiert es den Kunden vorab, sofern das Gesetz dies nicht verbietet.

4. Vertraulichkeit und Zugriff des Personals

4.1. Die vom AIR Institute zur Verarbeitung der Daten befugten Personen unterliegen einer vertraglichen oder gesetzlichen Vertraulichkeitspflicht und werden in Datenschutz und Sicherheit geschult.

4.2. Das Personal greift nicht auf den Inhalt der personenbezogenen Kundendaten zu, außer in folgenden Fällen:

• (a) wenn der Zugriff für den automatisierten Betrieb des Dienstes erforderlich ist;
• (b) zur Bearbeitung einer Supportanfrage mit ausdrücklicher Genehmigung des Kunden, begrenzt in Umfang und Dauer;
• (c) aus Sicherheitsgründen;
• (d) aufgrund gesetzlicher Verpflichtung.

Zugriffe in den Fällen (b) bis (d) werden protokolliert.

5. Sicherheit

Das AIR Institute wendet die Maßnahmen aus Anhang II an, die dem Risiko angemessen sind (Art. 32 DSGVO), und kann sie aktualisieren, sofern das Schutzniveau nicht sinkt. Der Kunde ist für das verantwortlich, was von ihm abhängt:

• die Berechtigungen seiner Nutzer festlegen;
• gegebenenfalls die Verschlüsselung von Quellen aktivieren;
• seine Zugangsdaten und Tokens schützen;
• entscheiden, was er in Dashboards und öffentlichen Links veröffentlicht.

6. Unterstützung des Kunden

Unter Berücksichtigung der Art der Verarbeitung unterstützt das AIR Institute den Kunden bei der Einhaltung:

• (a) der Rechte der betroffenen Personen. AIR-Core ermöglicht es, Daten einzusehen, zu berichtigen, zu exportieren und zu löschen. Wendet sich eine betroffene Person an das AIR Institute, wird die Anfrage innerhalb von höchstens 5 Werktagen an den Kunden weitergeleitet und ohne Weisung nicht direkt beantwortet;
• (b) der Sicherheit, der Meldung von Verletzungen, der Datenschutz-Folgenabschätzungen (DSFA) und der vorherigen Konsultationen, indem es die ihm vorliegenden Informationen bereitstellt.

Unterstützung, die über das Zumutbare hinausgeht oder auf vom Kunden zu vertretende Ursachen zurückgeht, kann nach vorherigem Kostenvoranschlag berechnet werden.

7. Unterauftragsverarbeiter

7.1. Der Kunde erteilt eine allgemeine Genehmigung für den Einsatz der Unterauftragsverarbeiter aus Anhang III.

7.2. Das AIR Institute informiert die Administratoren per E-Mail mindestens 30 Tage im Voraus über die Hinzuziehung oder den Austausch von Unterauftragsverarbeitern. Die aktuelle Liste ist unter [URL] verfügbar. Der Kunde kann innerhalb dieser Frist aus vernünftigen datenschutzbezogenen Gründen widersprechen. Gibt es keine praktikable Alternative, kann der Kunde den Vertrag ohne Vertragsstrafe und mit Erstattung des nicht genutzten Anteils kündigen.

7.3. Das AIR Institute erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die denen dieses Vertrags gleichwertig sind, und haftet gegenüber dem Kunden für deren Einhaltung.

8. Vom Kunden gewählte Dienste (keine Unterauftragsverarbeiter)

Die folgenden Empfänger sind keine Unterauftragsverarbeiter des AIR Institute. Die Daten werden ihnen übermittelt auf ausdrückliche Weisung des Kunden oder seiner Nutzer:

• (a) Externe KI-Anbieter im BYOK-Modus (OpenAI, Anthropic, Groq, Google Gemini oder andere kompatible Endpunkte).
• (b) Externe MCP-Anwendungen – von einem Nutzer autorisiert (zum Beispiel Claude oder ChatGPT).
• (c) Webhook-Ziele, externe Quellen und Verbindungen sowie Empfänger von E-Mail-Benachrichtigungen – vom Kunden eingerichtet.
• (d) Analysetools – vom Kunden auf öffentlichen Dashboards eingerichtet.

Der Kunde entscheidet, diese Empfänger zu nutzen. Deshalb obliegt es ihm:

• mit ihnen das erforderliche Rechtsverhältnis zu haben (zum Beispiel einen eigenen Auftragsverarbeitungsvertrag);
• die Rechtmäßigkeit der Übermittlung zu prüfen;
• sofern sie außerhalb des EWR liegen, über eine Garantie für die Übermittlung zu verfügen (Art. 44 ff. DSGVO).

Das AIR Institute übermittelt nur das für jede Anfrage Erforderliche und haftet nicht für die Verarbeitung durch diese Dritten.

9. Internationale Übermittlungen

9.1. Die personenbezogenen Kundendaten werden gehostet und verarbeitet in der Europäischen Union:

• AWS eu-central-1 (Frankfurt);
• Amazon Bedrock mit EU-Inferenzprofil, das ausschließlich EU-Regionen nutzt.

9.2. Das AIR Institute übermittelt die Daten nicht außerhalb des EWR, außer mit einer der folgenden Garantien:

• (a) Angemessenheitsbeschluss, einschließlich des EU-US-Datenschutzrahmens für zertifizierte Stellen;
• (b) Standardvertragsklauseln der Kommission (Beschluss (EU) 2021/914) mit den gegebenenfalls erforderlichen ergänzenden Maßnahmen.

Dies gilt auch für einen möglichen Fernzugriff des Unterauftragsverarbeiters zu Supportzwecken. Die Übermittlungen nach Klausel 8 richten sich nach den dortigen Bestimmungen.

9.3. Fordert eine Behörde eines Drittlandes Daten an, handelt das AIR Institute gemäß Klausel 5 der Datenschutzerklärung und informiert den Kunden, sofern dies nicht gesetzlich verboten ist.

10. Sicherheitsverletzungen

10.1. Das AIR Institute meldet dem Kunden jede Verletzung der Sicherheit, die personenbezogene Kundendaten betrifft, unverzüglich und in jedem Fall innerhalb von höchstens 48 Stunden nach Kenntniserlangung. Die Meldung wird an die E-Mail-Adressen der Administratoren und des Inhabers der Organisation gesendet und enthält, soweit bekannt:

• die Art der Verletzung;
• die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze;
• die Kontaktdaten des DSB;
• die wahrscheinlichen Folgen;
• die ergriffenen oder vorgeschlagenen Maßnahmen.

Liegen nicht alle Informationen vor, werden sie schrittweise bereitgestellt.

10.2. Es obliegt dem Kunden als Verantwortlichem, gegebenenfalls die Aufsichtsbehörde und die betroffenen Personen zu benachrichtigen (Art. 33 und 34 DSGVO). Das AIR Institute tut dies nicht im Namen des Kunden, außer auf ausdrückliche Weisung.

11. Informationen und Prüfungen

11.1. Das AIR Institute stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind: Beschreibung der Maßnahmen, Zertifizierungen der Unterauftragsverarbeiter (zum Beispiel ISO 27001 oder SOC 2 von AWS) und Antworten auf angemessene Fragebögen.

11.2. Reichen diese Informationen nicht aus, kann der Kunde selbst oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer eine Prüfung unter folgenden Bedingungen durchführen:

• Ankündigung 30 Tage im Voraus;
• höchstens einmal pro Jahr, außer nach einer Verletzung oder auf Anordnung einer Behörde;
• während der Geschäftszeiten und ohne Beeinträchtigung der Sicherheit anderer Kunden;
• auf eigene Kosten, sofern kein wesentlicher Verstoß festgestellt wird.

11.3. Die Einrichtungen der Unterauftragsverarbeiter werden anhand ihrer Berichte und Zertifizierungen geprüft.

12. Ende der Verarbeitung: Rückgabe und Löschung

12.1. Bei Vertragsende gilt Klausel 18 der Nutzungsbedingungen (Datenverordnung):

• Übergangszeitraum von bis zu 30 Tagen;
• mindestens 30 Tage, um die Daten in offenen Formaten abzurufen;
• danach Löschung aller personenbezogenen Kundendaten und Bestätigung der Löschung auf Wunsch des Kunden.

12.2. Sicherungskopien werden im regulären Rotationszyklus gelöscht, spätestens nach [35] Tagen. Bis dahin bleiben sie verschlüsselt und isoliert und werden nicht verwendet.

12.3. Gesperrt aufbewahrt werden nur die Daten, zu deren Aufbewahrung das Recht der Union oder der Mitgliedstaaten verpflichtet, für die gesetzliche Dauer.

12.4. Für inaktive kostenlose Konten gilt Klausel 16 der Nutzungsbedingungen.

13. Weitere Pflichten des Auftragsverarbeiters

Das AIR Institute:

• (a) führt ein Verzeichnis der Verarbeitungstätigkeiten als Auftragsverarbeiter (Art. 30.2 DSGVO);
• (b) hat einen DSB benannt;
• (c) verwendet die personenbezogenen Kundendaten nicht für eigene Zwecke, auch nicht zum Trainieren von KI-Modellen. Es erstellt lediglich aggregierte und anonyme Statistiken über die Nutzung des Dienstes, ohne Inhalt der Daten;
• (d) verkauft die Daten nicht und gibt sie nicht weiter.

14. Pflichten des Kunden

Der Kunde:

• (a) gewährleistet die Rechtmäßigkeit der Verarbeitung und dass er die betroffenen Personen informiert und gegebenenfalls deren Einwilligung eingeholt hat;
• (b) bringt keine besonderen Kategorien von Daten oder Daten über Straftaten ohne Rechtsgrundlage und ohne Aktivierung geeigneter Maßnahmen ein (Verschlüsselung der Quellen, restriktive Berechtigungen, keine öffentlichen Dashboards);
• (c) führt gegebenenfalls die DSFA durch;
• (d) überwacht die Verarbeitung und haftet für seine Weisungen und für die Dienste nach Klausel 8.

15. Haftung

Jede Partei haftet für ihre eigenen Verstöße gemäß Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gilt die Regelung von Klausel 21 der Nutzungsbedingungen.

16. Vorrang

In Fragen des Datenschutzes hat dieser Vertrag Vorrang vor allen anderen Bestimmungen der Nutzungsbedingungen.

Anhang I. Beschreibung der Verarbeitung

Anhang II. Technische und organisatorische Maßnahmen

Anhang III. Genehmigte Unterauftragsverarbeiter

Keine Unterauftragsverarbeiter für Kundendaten:

• Stripe: verarbeitet nur Abrechnungsdaten des Kunden, als Verantwortlicher oder als Auftragsverarbeiter des AIR Institute für diesen Zweck.
• Google reCAPTCHA sowie Google oder GitHub als Anmeldemethode: verarbeiten Kontodaten, nicht Inhalte.
• Mapbox: erhält Kachelanfragen vom Browser, nicht die Daten des Kunden.
• Die Dienste nach Klausel 8.