Dieser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO gilt ausschließlich für den Managed-Betrieb, bei dem evanto CompanyWizard im Auftrag des Kunden betreibt und dabei personenbezogene Daten verarbeitet, die der Kunde in der Software nutzt (Chats, Dokumente, Wissensbasis), und für Managed AI, bei dem evanto Eingaben des Kunden an KI-Modelle weiterleitet. Für die self-hosted-Nutzung ohne Managed AI verarbeitet evanto keine Inhaltsdaten; dann ist dieser AVV gegenstandslos. Die Verarbeitung von Registrierungs- und Lizenzdaten regelt die gesonderte Datenschutzerklärung.
Stand: 25.09.2026
1. Vertragsparteien
Verantwortlicher (Auftraggeber): der Kunde gemäß Bestellung/Vertrag.
Auftragsverarbeiter (Auftragnehmer): evanto media GmbH, Brunnstraße 25, 93053 Regensburg · E-Mail: datenschutz@evanto.de · Registergericht Regensburg, HRB 18746; USt-IdNr. DE209538293; Geschäftsführer: Dipl.-Ing. Ralf Manschewski, Dr. Sven von Känel.
2. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten durch evanto ausschließlich zur Bereitstellung und zum Betrieb von CompanyWizard im Managed-Betrieb sowie zur Bereitstellung von Managed AI. Die Dauer entspricht der Laufzeit des Hauptvertrags (Managed-Entitlement); dieser AVV endet mit dessen Beendigung.
3. Art, Umfang und Zweck der Verarbeitung
evanto verarbeitet die Daten ausschließlich zum Zweck des Hostings, der Bereitstellung, Wartung und Absicherung der Software für den Kunden sowie, bei Managed AI, der Weiterleitung von Eingaben an KI-Modelle — weisungsgebunden und nicht für eigene Zwecke. Eine Nutzung der Inhaltsdaten zum Training von KI-Modellen findet nicht statt.
Managed AI: evanto übermittelt die Eingaben des Kunden (Prompts einschließlich des aus der Wissensbasis beigefügten Kontexts sowie Texte für Einbettungen und die Neubewertung von Suchtreffern) an den Aggregator Cortecs GmbH und gibt die Antworten an den Kunden zurück. Eine Speicherung der Eingaben und Antworten zu anderen Zwecken als der Beantwortung der jeweiligen Anfrage findet weder bei evanto noch beim Aggregator statt; evanto speichert nur Verbrauchsmetriken ohne Inhalte zur Budgetsteuerung und Abrechnung. Der Aggregator leitet Anfragen ausschließlich an Modellanbieter mit einer Speicherfrist von null Tagen (Zero Data Retention), die die Daten nicht zum Training verwenden. Managed AI umfasst keinen Betrieb der Instanz: Läuft sie beim Kunden, bleiben die darin gespeicherten Inhalte in dessen Verantwortungsbereich.
4. Art der Daten und Kategorien betroffener Personen
- Datenarten: in der Software verarbeitete Inhalte (Chat-Verläufe, hochgeladene Dokumente, Wissensbasis-Inhalte, Prompt-/Skill-Konfigurationen), Nutzungs- und Protokolldaten, Konto-/Anmeldedaten der Endnutzer.
- Betroffene Personen: Beschäftigte und Berechtigte des Kunden (Nutzer der Software) sowie Personen, deren Daten in den vom Kunden eingebrachten Inhalten enthalten sind.
5. Weisungen
evanto verarbeitet die Daten ausschließlich im Rahmen der dokumentierten Weisungen des Kunden. Hält evanto eine Weisung für rechtswidrig, informiert evanto den Kunden unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.
6. Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)
evanto unterhält angemessene TOM, insbesondere: Verschlüsselung gespeicherter API-Schlüssel und der Übertragung (TLS), rollenbasierte Zugriffskontrolle (Admin/Nutzer), Mandantentrennung je Managed-Instanz (eigene Datenbank/Isolation), automatische PII-Redaktion in der Verarbeitungspipeline, Protokollierung sicherheitsrelevanter Vorgänge, regelmäßige Datensicherung sowie Wiederherstellungs- und Verfügbarkeitsmaßnahmen. Die Maßnahmen werden dem Stand der Technik folgend fortgeschrieben.
7. Unterauftragsverarbeiter
Der Kunde stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
| Dienstleister | Leistung | Ort |
|---|---|---|
| R-KOM GmbH | Rechenzentrum / Hosting der Managed-Instanz | Regensburg, EU |
| Sentry (EU-Region) | Fehler- und Verfügbarkeits-Monitoring | EU |
| Brevo | E-Mail-Versand (Systembenachrichtigungen) | EU |
| Cortecs GmbH, Wien (nur Managed AI) | Vermittlung von KI-Inferenz (Aggregator); setzt seinerseits Modellanbieter als weitere Unterauftragsverarbeiter ein | EU/EWR |
Die aktuelle Liste der über Cortecs eingesetzten Modellanbieter mit Region stellt evanto auf Anfrage bereit. Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. evanto informiert den Kunden über beabsichtigte Änderungen; der Kunde kann einer Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen.
8. Drittlandübermittlung
Die Verarbeitung findet grundsätzlich in der EU/dem EWR statt. Eine Drittlandübermittlung erfolgt nur auf Grundlage der Art. 44 ff. DSGVO (Angemessenheitsbeschluss oder geeignete Garantien).
9. Unterstützung des Verantwortlichen
evanto unterstützt den Kunden im Rahmen des Zumutbaren bei der Erfüllung von Betroffenenrechten (Art. 12–22), bei Meldepflichten und Datenschutz-Folgenabschätzungen (Art. 32–36) und leitet an evanto gerichtete Betroffenenanfragen unverzüglich an den Kunden weiter.
10. Meldung von Datenschutzverletzungen
evanto meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen, damit der Kunde seine Meldepflichten fristgerecht erfüllen kann.
11. Vertraulichkeit
evanto verpflichtet die mit der Verarbeitung befassten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO), soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
12. Nachweise und Kontrollen
evanto stellt dem Kunden die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen — auch durch beauftragte Prüfer — mit angemessener Vorankündigung und unter Wahrung des Betriebsablaufs und der Sicherheit anderer Mandanten.
13. Löschung und Rückgabe (Offboarding)
Nach Beendigung des Managed-Betriebs löscht evanto die verarbeiteten Inhaltsdaten oder gibt sie nach Wahl des Kunden zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung erfolgt innerhalb der im Hauptvertrag vereinbarten Frist; auf Wunsch wird die Löschung bestätigt. Bei Managed AI werden Eingaben und Antworten nicht dauerhaft gespeichert; der Aggregator verarbeitet sie ausschließlich im flüchtigen Speicher und löscht sie nach Abschluss der jeweiligen Anfrage. Verbrauchsmetriken ohne Inhalte unterliegen den handels- und steuerrechtlichen Aufbewahrungsfristen.
14. Haftung und Schlussbestimmungen
Es gilt das Recht der Bundesrepublik Deutschland. Im Verhältnis zu den Regelungen des Hauptvertrags geht dieser AVV für die Auftragsverarbeitung vor. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.
Dieses Dokument ist die in der Anwendung hinterlegte Standardfassung des evanto-AVV für den Managed-Betrieb und Managed AI. Die rechtsverbindliche, unterzeichnete Fassung ist Bestandteil des jeweiligen Managed-Vertrags.