Hinweis zur Auftragsverarbeitung
1. Was dieser Hinweis ist
Dieser Hinweis erklärt, wann für die Nutzung von AERAVIA ein Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO (AVV) nötig ist und wie Sie ihn erhalten. Er ist selbst kein solcher Vertrag und keine Rechtsberatung. Verantwortlich für AERAVIA ist Livius Despang, Am Seegraben 22, 01139 Dresden, E-Mail: team@aeravia.de.
2. Für unsere eigenen Kundendaten brauchen Sie keinen AVV
Für die Daten, die bei Ihrer Anmeldung und Nutzung anfallen — E-Mail-Adresse, Firmenangabe, Anmeldevorgänge, Nutzungs- und Kontingentdaten sowie die Angaben aus Warteliste und Live-Demo — ist der Anbieter selbst Verantwortlicher im Sinne der DSGVO und nicht Ihr Auftragsverarbeiter. Ein AVV ist dafür weder nötig noch möglich. Was dabei zu welchem Zweck verarbeitet wird, steht in der Datenschutzerklärung.
3. Wann Auftragsverarbeitung entsteht
Auftragsverarbeitung kommt in zwei Fällen in Betracht: (1) Sie geben in die Freitextfelder zu Unternehmen und Vorhaben personenbezogene Daten Dritter ein — etwa Namen von Mitarbeitenden, Gesellschaftern oder Ansprechpartnern — und diese Angaben landen im erzeugten Antragsentwurf oder Prüfbericht, den Sie in Ihrem Konto speichern. (2) Sie laden im Antrags-Cockpit Unterlagen hoch, die personenbezogene Daten Dritter enthalten (z. B. Lebensläufe, Gesellschafterlisten, Lohnnachweise). Insoweit speichert der Anbieter diese Daten in Ihrem Auftrag. Nur in diesen Fällen verarbeitet der Anbieter personenbezogene Daten in Ihrem Auftrag, und nur dann ist ein AVV erforderlich.
4. Empfehlung für die Testphase
Während der geschlossenen Beta bitten wir darum, auf solche Angaben zu verzichten: Beschreiben Sie Unternehmen und Vorhaben ohne Namen, Kontaktdaten oder sonstige Angaben zu identifizierbaren Personen, und verwenden Sie bei Bedarf Platzhalter wie „Geschäftsführung“ oder „Projektleitung“. Enthalten hochzuladende Unterlagen solche Angaben, schwärzen Sie sie, soweit der Fördergeber sie nicht verlangt. Soweit Sie so verfahren, entsteht keine Auftragsverarbeitung; vom Fördergeber verlangte Angaben Dritter verarbeitet der Anbieter nach Abschnitt 3 in Ihrem Auftrag. Dieselbe Bitte steht in der Datenschutzerklärung und in den Nutzungsbedingungen.
5. AVV auf Anfrage
Müssen Sie personenbezogene Daten Dritter einbringen, fordern Sie den AVV bitte vorher per E-Mail an team@aeravia.de an und schließen Sie ihn ab, bevor Sie solche Daten eingeben. Der Vertrag wird in Textform geschlossen und umfasst Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen, Ihre Weisungsrechte, unsere Unterstützungs-, Melde- und Löschpflichten sowie die unten genannten Unterauftragsverarbeiter.
6. Unterauftragsverarbeiter
Eingesetzt werden derzeit: Vercel Inc. (USA) für Hosting und Auslieferung der Anwendung; Supabase Inc. für Datenbank, Anmeldung und Dateispeicher (Antrags-Dokumente), Speicherung in der EU; Anthropic (Vertragspartner Anthropic Ireland, Limited, Verarbeitung durch die Anthropic PBC, USA) für die Sprachmodell-Verarbeitung beim Matching, beim Antragsentwurf und beim Prüfbericht — über die API übermittelte Eingaben nutzt Anthropic standardmäßig nicht zum Training seiner Modelle, hochgeladene Dokumente erhält Anthropic nicht; Resend (USA) für Versand der Anmeldelinks, Bestätigungsmails der Warteliste und der Fristen-Alerts sowie der Einladungen zum Beta-Zugang. Für die Zahlungsabwicklung kostenpflichtiger Angebote ist Stripe vorgesehen (Stripe Payments Europe, Ltd., Irland, unter Einbindung der Stripe, Inc., USA), wie in der Datenschutzerklärung beschrieben; während der kostenlosen Beta sind die Bezahlfunktionen abgeschaltet, sodass keine Zahlungsabwicklung stattfindet. Über den Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters informieren wir vorab, solange ein AVV besteht.
7. Übermittlung in Drittländer
Vercel Inc., Anthropic PBC, Resend Inc. und Supabase Inc. haben ihren Sitz in den USA, bei einer späteren Zahlungsabwicklung zusätzlich die Stripe, Inc.; insoweit werden Daten in ein Drittland übermittelt (Art. 44 ff. DSGVO). Vercel Inc. ist nach dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten die EU-Standardvertragsklauseln; Resend Inc. ist nach dem EU-US Data Privacy Framework zertifiziert; für Anthropic PBC, Supabase Inc. und Stripe, Inc. gelten die EU-Standardvertragsklauseln. Trotz dieser Garantien lässt sich ein Zugriff durch US-Behörden nicht vollständig ausschließen.
8. Technische und organisatorische Maßnahmen
Die Übertragung erfolgt ausschließlich verschlüsselt (TLS). Gespeicherte Antragsentwürfe und Prüfberichte sind je Konto abgeschottet: die Datenbank erzwingt den Zugriff auf die eigenen Datensätze über Row Level Security, ein Zugriff quer über Konten ist damit nicht möglich. Dokumente liegen in einem privaten Speicher; Zugriff nur für das eigene Konto (Storage-RLS), Download über signierte, 60 Sekunden gültige Links. API-Schlüssel werden nur als SHA-256-Hashwert gespeichert, nie im Klartext. Für die Missbrauchszähler der Anwendung speichern wir von der IP-Adresse nur einen Hashwert, nie die Adresse selbst; unabhängig davon fallen in den technisch notwendigen Server-Logfiles IP-Adressen an, wie in der Datenschutzerklärung beschrieben. Die vollständige Beschreibung der Maßnahmen ist Anlage des AVV.
9. Löschung
Gespeicherte Antragsentwürfe, Prüfberichte und hochgeladene Dokumente können Sie jederzeit selbst in Ihrem Konto löschen; mit dem Konto werden sie vollständig entfernt. Nach Ende der Testphase oder nach Beendigung eines AVV löschen wir die im Auftrag verarbeiteten Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
10. Stand
Dieser Hinweis hat den Stand vom 15. Oktober 2026.