Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) ist:
AxosHub GmbH
Chausseestraße 22
10115 Berlin
HRB 294 617 B (Amtsgericht Berlin-Charlottenburg)
USt-IdNr. DE 358 214 907
Geschäftsführerin: Miriam Klein
Telefon: +49 30 40 88 06 22
E-Mail: support@axoshub.org

2. Datenschutzbeauftragte

Dr. Elena Weiss
E-Mail: dpo@axoshub.org
Postanschrift: AxosHub GmbH — Datenschutzbeauftragte, Chausseestraße 22, 10115 Berlin

3. Aufsichtsbehörde

Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI), Alt-Moabit 59-61, 10555 Berlin, www.datenschutz-berlin.de. Betroffene haben das Recht auf Beschwerde bei einer Aufsichtsbehörde nach Art. 77 DSGVO.

4. Betroffene Datenkategorien

• Identifikationsdaten: Workspace-E-Mail-Adresse, IP-Adresse bei Anmeldung, Browser-User-Agent, Anmelde-Zeitstempel.
• Inhaltsdaten: Notizen, Aufgaben, Kalendereinträge und Anhänge, die der Nutzer im Workspace erstellt.
• Abrechnungsdaten: Rechnungsname, Rechnungsanschrift, USt-IdNr., maskierte Zahlungsdaten (IBAN-Maske, letzte vier Ziffern der Karte).
• Sitzungsdaten: Wert des ax_ws-Sitzungscookies, Geräte-Fingerprint, IP-Adresse je aktiver Sitzung.
• Support-Daten: Freiwillig übermittelte personenbezogene Daten aus dem Schriftverkehr mit dem Support.

5. Zwecke und Rechtsgrundlagen der Verarbeitung

• Bereitstellung und Betrieb des Workspaces einschließlich Magic-Link-Anmeldung und Synchronisation — Art. 6 Abs. 1 lit. b DSGVO (Vertrag).
• Abrechnung, Rechnungsstellung, steuerrechtliche Aufbewahrung — Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung, §§140, 147 AO).
• Sicherheitsüberwachung, Missbrauchserkennung und Audit-Log — Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).
• Support-Bearbeitung — Art. 6 Abs. 1 lit. b DSGVO.
• Transaktionale E-Mails (Magic-Links, Rechnungen, Störungsmeldungen) — Art. 6 Abs. 1 lit. b DSGVO.
• Aggregierte Produktanalyse ohne Inhaltsauswertung — Art. 6 Abs. 1 lit. f DSGVO, mit Opt-out unter /account.

Eine Verarbeitung für Werbezwecke findet auf keiner Rechtsgrundlage statt.

6. Speicherdauer

• Inhaltsdaten — für die Dauer des Workspaces zzgl. einer 30-tägigen Karenzzeit nach Kündigung, zzgl. der natürlichen Rotationszyklen verschlüsselter Snapshots (bis zu 90 zusätzliche Tage auf Business-Tarifen).
• Abrechnungsdaten — 10 Jahre gemäß §147 AO.
• Sitzungsdaten — Dauer der Sitzung, danach 90 Tage im Audit-Log.
• Anmelde-Logs — 365 Tage auf Business-Tarifen (unveränderliches Audit-Log), 90 Tage auf anderen Tarifen.
• Support-Korrespondenz — 3 Jahre ab letzter Nachricht.

7. Empfänger und Auftragsverarbeiter

Personenbezogene Daten werden nur weitergegeben an: eigene, zur Verschwiegenheit verpflichtete Mitarbeiter; die unter /dpa aufgeführten Auftragsverarbeiter; zuständige Behörden bei bindender Rechtsanordnung. Die aktuelle Liste der Auftragsverarbeiter ist unter /dpa einsehbar und wird bei Änderungen aktualisiert.

8. Drittlandübermittlung

Übermittlungen personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums finden im Normalbetrieb nicht statt. Einzelne Auftragsverarbeiter für Kunden-Support-Werkzeuge betreiben Infrastruktur in den Vereinigten Staaten. Übermittlungen sind durch die Standardvertragsklauseln der Europäischen Kommission gemäß Beschluss 2021/914 vom 4. Juni 2021 sowie durch die im Security-Whitepaper dokumentierten ergänzenden Maßnahmen abgesichert.

9. Betroffenenrechte

Ihnen stehen als betroffene Person die folgenden Rechte gemäß DSGVO zu:

• Auskunftsrecht (Art. 15 DSGVO)
• Berichtigungsrecht (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO) — abrufbar auch als Selbstbedienung unter /workspace-deletion
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO) — abrufbar auch als Selbstbedienung über die Export-Funktion unter /account
• Widerspruchsrecht gegen die Verarbeitung auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden (Art. 22 DSGVO)
• Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an dpo@axoshub.org.

10. Cookies

Der Dienst verwendet ausschließlich technisch notwendige Erstanbieter-Cookies gemäß §25 Abs. 2 TTDSG. Die vollständige Cookie-Liste finden Sie unter /cookies. Es werden keine Analyse-, Tracking- oder Werbecookies gesetzt.

11. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

12. Sicherheit der Verarbeitung

Wir setzen die im Security-Whitepaper unter /security-whitepaper beschriebenen technischen und organisatorischen Maßnahmen um, insbesondere Ende-zu-Ende-Verschlüsselung nach Workspace-Schlüsseln, TLS 1.3 im Transport, rollenbasierte Zugriffskontrolle nach ISO 27001-Prinzipien und ein koordiniertes Vulnerability-Disclosure-Programm. Der Dienst ist SOC 2 Type II-zertifiziert.

13. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen. Wesentliche Änderungen werden mindestens 30 Tage vor Inkrafttreten per E-Mail an die Workspace-E-Mail-Adresse angekündigt.

14. Verarbeitung im Rahmen der passwortlosen Anmeldung

Der passwortlose Magic-Link-Anmeldeprozess verarbeitet einen eng definierten Satz personenbezogener Daten auf einer eng definierten Rechtsgrundlage. Bei Eingabe einer Workspace-E-Mail-Adresse auf /login wird die Adresse mittels argon2id gehasht und der Hash gegen die Workspace-Datenbank abgeglichen. Wenn ein Workspace existiert, wird ein signierter Magic-Link-Token erzeugt, mit einer 15-minütigen Gültigkeit und einer Einmal-Verwendungs-Markierung versehen und über unseren E-Mail-Subauftragsverarbeiter an die genannte Adresse versendet. Wenn kein Workspace existiert, wird weder ein Token erzeugt noch eine E-Mail versendet, jedoch dieselbe visuelle Rückmeldung gegeben, um die Existenz oder Nicht-Existenz eines Workspaces gegenüber einem anonymen Anfragenden nicht offenzulegen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

15. Verarbeitung im Rahmen der Abrechnung

Abrechnungs-Daten (Rechnungsname, Rechnungsanschrift, USt-IdNr., maskierte Zahlungsdaten) werden zum Zweck der Rechnungserstellung und der Zahlungseinziehung verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für den Vertrag selbst und Art. 6 Abs. 1 lit. c DSGVO für die Aufbewahrungspflicht nach §147 AO. Vollständige Zahlungsdaten (Kartennummer, SEPA-Mandatsunterschrift) werden ausschließlich vom PCI-DSS-zertifizierten Zahlungsdienstleister Stripe Payments Europe Ltd. verarbeitet.

16. Verarbeitung im Rahmen des Kundensupports

Bei Kontaktaufnahme mit unserem Support verarbeiten wir die freiwillig übermittelten personenbezogenen Daten aus der Nachricht und dem nachfolgenden Schriftwechsel zum Zweck der Klärung und Bearbeitung des Anliegens. Support-Korrespondenz wird drei Jahre nach der letzten Nachricht im Thread gelöscht. Betrifft ein Support-Gespräch sensible Sachverhalte (etwa den Verdacht eines unbefugten Workspace-Zugriffs), kann das Gespräch an die Datenschutzbeauftragte eskaliert und für die Dauer der entsprechenden Untersuchung zzgl. eines weiteren Jahres zu Prüfzwecken aufbewahrt werden.

17. Verknüpfte Integrationen

Bei Aktivierung einer Integration eines Drittanbieters (Google, Slack, Zapier, GitHub, Linear, Notion-Importer, Todoist-Importer, CalDAV) über /account kann der Drittanbieter je nach Art der ausgetauschten Daten als eigenständig Verantwortlicher oder als gemeinsam Verantwortlicher mit AxosHub agieren. Vom Drittanbieter in den Axos-Workspace übernommene Daten unterliegen ab dem Zeitpunkt ihres Eintreffens dieser Datenschutzerklärung. Vom Axos-Workspace an den Drittanbieter übermittelte Daten verlassen den Geltungsbereich dieser Datenschutzerklärung und unterliegen ab dem Zeitpunkt der Übermittlung der Datenschutzerklärung des jeweiligen Drittanbieters.

18. Historische Fassungen

Dies ist Version 3.2 der Datenschutzerklärung, gültig ab 1. August 2026. Frühere wesentliche Fassungen wurden am 15. April 2026 (v3.1), am 1. Januar 2026 (v3.0), am 1. September 2025 (v2.3) und am 1. März 2025 (v2.2) veröffentlicht. Alle historischen Fassungen sind auf Anfrage bei dpo@axoshub.org erhältlich. Redline-Vergleiche aufeinanderfolgender Fassungen werden binnen fünf Werktagen auf schriftliche Anfrage erstellt.

19. Verzeichnis der Verarbeitungstätigkeiten

Die AxosHub GmbH führt gemäß Art. 30 DSGVO ein Verzeichnis der Verarbeitungstätigkeiten. Das Verzeichnis wird der zuständigen Aufsichtsbehörde auf Anfrage vorgelegt und kann von Betroffenen in Auszügen bei berechtigtem Interesse eingesehen werden. Für Anfragen wenden Sie sich bitte an die Datenschutzbeauftragte unter dpo@axoshub.org. Die Bearbeitung solcher Anfragen erfolgt innerhalb von zehn Werktagen.

20. Datenschutz-Folgenabschätzung

Für die Verarbeitungstätigkeiten des Cloud-Produktivitäts-Workspaces AxosHub wurde eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO durchgeführt. Die Folgenabschätzung wurde durch die Datenschutzbeauftragte begleitet und identifizierte den passwortlosen Anmeldeprozess, die Cross-Zone-Replikation und den 365-tägigen Audit-Log auf Business-Tarifen als die drei Verarbeitungen mit dem höchsten Risikoprofil. Für jede der drei Verarbeitungen wurden abmildernde Maßnahmen umgesetzt, die im Security-Whitepaper unter /security-whitepaper beschrieben sind. Die Folgenabschätzung wird jährlich überprüft, spätestens jedoch bei jeder wesentlichen Änderung der zugrunde liegenden Verarbeitung. Die Ergebnisse der Überprüfung werden in einem internen Protokoll dokumentiert und der Datenschutzbeauftragten zur Kenntnis gebracht.

Zusätzliche Hinweise zu Cookies und Tracking

Wir setzen ausschließlich technisch notwendige Erstanbieter-Cookies ein, die für den Betrieb des Cloud-Produktivitäts-Workspaces zwingend erforderlich sind. Es werden keine Analyse-, Marketing- oder Werbecookies gesetzt, es werden keine Tracking-Pixel eingebunden, es werden keine sozialen Plug-ins Dritter integriert. Weiterführende Angaben zu den einzelnen Cookies finden Sie unter /cookies. Ihre Einwilligung zum Setzen der genannten Cookies ist nach §25 Abs. 2 TTDSG nicht erforderlich, da es sich ausschließlich um technisch notwendige Cookies handelt.

Hinweise zu Server-Log-Dateien

Beim Aufruf unserer Website werden folgende Log-Daten in temporärer Form auf unseren Servern verarbeitet: gekürzte IP-Adresse des Aufrufers, Zeitpunkt des Aufrufs, aufgerufene URL, HTTP-Statuscode, übertragene Datenmenge, verwendeter Browser (User-Agent). Diese Log-Daten werden zum Zweck der Fehlererkennung, der Missbrauchserkennung und der Kapazitätsplanung für maximal 30 Tage aufbewahrt und anschließend automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren und stabilen Betrieb der Website.

21. Kontakt

Bei Fragen zu dieser Datenschutzerklärung oder zur Verarbeitung Ihrer personenbezogenen Daten wenden Sie sich bitte an dpo@axoshub.org. Postanschrift: AxosHub GmbH — Datenschutzbeauftragte, Chausseestraße 22, 10115 Berlin, Bundesrepublik Deutschland.