Datenschutzerklärung

1. Datenschutz auf einen Blick

Diese Hinweise erklären die Verarbeitung auf dieser Website und in AVA, als Desktop-App und in der Cloud. Personenbezogene Daten sind Daten, die einer Person zugeordnet werden können.

Verantwortlich: eproX GmbH, Leopoldstr. 2-8, 32051 Herford, Deutschland, info@eprox-gmbh.de. Weitere Angaben stehen im Impressum.

2. AVA: Datenklassen und Datenflüsse

AVA arbeitet mit drei klar getrennten Datenklassen. Verschlüsselte Kontodaten bleiben pro Konto auf dem Gerät. Öffentliche Unternehmens- und Kontaktrecherche wird an das AVA-Substrat in Frankfurt/EU gesendet und mit Fundstelle und Provenienz geteilt. Für die Abrechnung werden nur Unternehmens-ID, Stufe und Zeitstempel verarbeitet.

Öffentlich zugängliche Firmendaten bereiten wir einmalig auf, aktualisieren sie fortlaufend und stellen sie allen Kunden gleichermaßen bereit. Zur Bereitstellung von Ansprechpartnern verarbeiten wir berufliche Kontaktdaten (Name, Funktion, geschäftliche E-Mail-Adresse, beruflicher Profil-Link) aus öffentlich zugänglichen Quellen, darunter Unternehmenswebsites und berufliche Netzwerke. Diese Daten werden kundenübergreifend gepflegt und auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeitet. Betroffene Personen werden gemäß Art. 14 DSGVO informiert; der Hinweistext ist in der Anwendung je Person abrufbar. Betroffene können der Verarbeitung jederzeit widersprechen. Vom Kunden selbst erzeugte Inhalte (Idealkundenprofil, Notizen, Bewertungen, Buying Center, CRM-Verknüpfungen, Alarmeinstellungen, eigene Bestandslisten) werden nicht an andere Kunden weitergegeben.

Die Organisation des Kunden bleibt für die jeweilige Verarbeitung verantwortlich. AVA stellt Daten-Herkunft, Löschmechanismen und Vorlagen bereit, ersetzt aber keine Prüfung der Rechtsgrundlage oder eine Datenschutzberatung.

Für erfasste Kontaktpersonen stellt AVA folgende Werkzeuge bereit: einen Herkunftsnachweis je Person, der zeigt, aus welcher öffentlichen Quelle, wann und durch welche Organisation die Angabe erhoben wurde, exportierbar als Text (Art. 15 DSGVO); einen vorformulierten Informationstext nach Art. 14 DSGVO je Person mit Vermerk des Datums „informiert am“; die Löschung einer Person im gesamten Bestand durch die erhebende Organisation, mit Sperre gegen erneute automatische Erfassung (bei Altbestand ohne Zuordnung darf jeder Nutzer löschen); sowie eine Aufbewahrungsfrist, nach der Personen ohne neue Beobachtung automatisch entfernt werden (Standard 180 Tage, je Organisation zwischen 30 und 3650 Tagen einstellbar, täglicher Tilgungslauf).

2a. Registrierung, Start-Analyse und Zuordnung zur Organisation

Konto: Bei der Registrierung (auf dieser Website oder in der App) verarbeiten wir Vorname, Nachname, E-Mail-Adresse und Passwort. Das Konto liegt in unserem Anmeldedienst (Keycloak) auf unseren Servern in Frankfurt am Main; das Passwort wird nur als Hash gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Start-Analyse: Damit AVA dir gleich beim ersten Start passende Firmen zeigen kann, lesen wir unmittelbar nach der Registrierung die öffentlich zugängliche Website zur Domain deiner geschäftlichen E-Mail-Adresse oder die Website, die du angibst: die Startseite und bis zu vier Unterseiten. Daraus leiten wir einen Vorschlag für dein Idealkundenprofil ab (Angebot, Zielbranchen, Region, Merkmale) und erfassen die Firma hinter der Website. Nennt die Website Referenzkunden, suchen wir für bis zu fünf davon die Unternehmenswebsite und erstellen ein kurzes Firmenprofil (Branche, Größe, Standort, Leistungen); deren eigene Referenzen werten wir nicht aus. Adressen bei allgemeinen E-Mail-Anbietern (etwa Gmail, GMX oder Outlook) werten wir nicht aus. Für die Auswertung und die Websuche setzen wir KI-Modelle von OpenAI ein (Auftragsverarbeiter, EU-Standardvertragsklauseln); übermittelt werden nur Inhalte öffentlicher Websites und Firmennamen, nicht dein Name oder deine E-Mail-Adresse. Das Ergebnis aus öffentlichen Website-Daten speichern wir je Domain bis zu 90 Tage, damit Kollegen derselben Firma es ohne erneute Auswertung nutzen können. Der Vorschlag wird beim ersten Anmelden in der App einmalig übernommen, sofern dort noch kein Idealkundenprofil besteht, und danach an deinem Konto gelöscht; das übernommene Profil liegt auf deinem Gerät und lässt sich jederzeit ändern oder löschen. Diese Verarbeitung nehmen wir als Verantwortliche vor, um den von dir gewünschten Dienst einzurichten; sie ist keine Verarbeitung im Auftrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Auswertung der Websites von Referenzkunden Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sofort nutzbaren Einstieg). Du kannst der Start-Analyse jederzeit widersprechen; schreib uns dazu an info@eprox-gmbh.de.

Zuordnung zur Organisation deiner Firma: Gibt es in AVA bereits eine Organisation, deren Owner oder Administratoren eine E-Mail-Adresse derselben Domain wie du verwenden, stellen wir für dich automatisch eine Beitrittsanfrage an diese Organisation. Passen mehrere Organisationen, schlägt AVA sie dir zur Auswahl vor. Die Owner und Administratoren der Organisation sehen deinen Namen und deine E-Mail-Adresse und erhalten darüber eine E-Mail; aufgenommen wirst du erst nach ihrer Freigabe. Du kannst die Anfrage jederzeit zurückziehen („Organisation wechseln“) und stattdessen eine eigene Organisation anlegen oder einen Einladungslink nutzen. Organisationen können die Zuordnung über ihre E-Mail-Domain in der Web-Konsole abschalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO (berechtigtes Interesse der Organisation und der Nutzer, Kollegen einfach zusammenzuführen).

3. KI-Modelle

Für die Aufbereitung der Firmendaten (Firmenprofil, Website-Zuordnung, Ansprechpartner, E-Mail-Zuordnung, Auswertung von Jahresabschlüssen und Verflechtungen) setzen wir eigene KI-Modelle ein; der Modellanbieter ist Auftragsverarbeiter (siehe unten). Für alles, was nur dir gehört (Chat, Firmen-Radar, Recherche, Alarme, Buying Center, Workflows), gibt es drei Wege: einen eigenen API-Schlüssel bei OpenAI, Anthropic, Google, Mistral, DeepSeek, xAI oder Qwen mit Abrechnung direkt beim Anbieter; ein lokales Modell über Ollama auf dem eigenen Rechner, bei dem die Daten offline bleiben (ein selbst betriebener Modellserver ist über die Ollama-URL möglich); oder den Schlüssel der Organisation, den ein Admin zentral hinterlegt und den Mitglieder über unser AVA AI Gateway nutzen, ohne den Schlüssel zu sehen. Verbrauch und Limits werden dabei je Mitglied gezählt. Bei Cloud-APIs können Website-Texte, Registerauszüge und bei aktivierter LinkedIn-Funktion Posttexte übertragen werden; dein Vertrag mit dem jeweiligen Anbieter gilt zusätzlich.

Alternativ meldet sich der Nutzer mit seinem ChatGPT-Konto (Plus oder Pro) an; dann laufen Chat, Radar, Recherche, Alarme und Workflows über dieses Konto bei OpenAI, das Modell wählt der Nutzer. Deep Research und der Sprachmodus sind davon ausgenommen. Deep Research (Ausschreibungen und Expansion, Stellenanzeigen) läuft ausschließlich über OpenAI, nur wenn der Nutzer es ausdrücklich einschaltet, und kann über den Organisationsschlüssel laufen. Organisationen können Funktionen vorgeben, Anbieter sperren, Modelle vorgeben und Limits setzen.

Für Registerauszüge sind lokale Modelle oft ausreichend. Für Situation Reports und Bewertungen empfehlen wir leistungsfähigere Cloud-Modelle.

Workflows nutzen dieselben Datenwege wie der Chat: lokal beziehungsweise über die vom Nutzer gewählten Modellzugänge. Freigaben und Läufe stehen im lokalen Audit-Protokoll.

Für die Aufbereitung nutzen wir Dienstleister für Suchergebnisse (Traject Data, valueserp), für Daten aus beruflichen Netzwerken (Apify) und für KI-Modelle (OpenAI), jeweils mit Vertrag zur Auftragsverarbeitung und, soweit ein Drittland betroffen ist, auf Grundlage der EU-Standardvertragsklauseln.

4. LinkedIn

Das LinkedIn-Modul liest nach ausdrücklicher, zeitgestempelter Zustimmung. Es führt keine automatischen Likes, Kommentare oder Nachrichten aus. Das Konto bleibt pro Account schaltbar. LinkedIn kann automatisierte Nutzung erkennen und einschränken; prüfe deshalb Regeln, Arbeitgebervorgaben und Rechtsgrundlage. Cloud-Bildanalyse erfolgt nur nach Opt-in.

5. Betriebsmodelle und Aufbewahrung

Live ist der AVA-Service mit App und Teilen der Verarbeitung auf Nutzergeräten sowie einem Substrat in Frankfurt/EU. Auf gesonderte Vereinbarung betreiben wir AVA für einzelne Kunden zusätzlich in der Cloud (Abschnitt 6).

Multi-User-Tenants, gemeinsame Firmenbestände, lokale Datentrennung beim Kontowechsel sowie das Teilen von Recherchen und Radar-Firmen innerhalb der Organisation sind live. Geteilte Recherchen werden von Kollegen lesend gesehen und können in den eigenen Bestand übernommen werden; dabei wird der Verarbeitungsfortschritt kopiert, die Firmen werden nicht neu verarbeitet. Speicher- und Löschfristen hängen vom Modul und der Konfiguration ab. Kontaktpersonen ohne neue Beobachtung werden nach 180 Tagen automatisch entfernt; Organisationen können die Frist zwischen 30 und 3650 Tagen festlegen. Der Tilgungslauf läuft täglich.

6. AVA in der Cloud

Auf gesonderte Vereinbarung betreiben wir AVA für einen Kunden als Cloud-Instanz: dieselbe Software ohne Benutzeroberfläche, in einer Cloud-Umgebung in einem Rechenzentrum in Frankfurt am Main, die ausschließlich diesem Kunden zugeordnet ist. Auf der Cloud-Instanz liegt, was AVA sonst auf dem Gerät des Nutzers speichert: Firmenbestand und Recherchen, Kontaktpersonen, Chats, Gedächtnis, Workflows, Idealkundenprofil, Radar und Alarme sowie die Zugangsdaten zu KI-Anbietern, Telegram und E-Mail. Zugangsdaten werden verschlüsselt gespeichert.

Für diese Verarbeitung ist der Kunde Verantwortlicher. Wir verarbeiten die Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage einer Vereinbarung zur Auftragsverarbeitung. Für Rechenzentrum und Betrieb setzen wir Hosting-Dienstleister als Unterauftragsverarbeiter ein; sie sind in dieser Vereinbarung benannt. Technische Protokolle der Cloud-Instanz nutzen wir nur für Betrieb, Sicherheit und Fehleranalyse.

Die Cloud-Instanz nutzt für KI-Aufrufe den eigenen Zugang des Kunden bei einem KI-Anbieter oder sein ChatGPT-Konto; Abschnitt 3 gilt entsprechend. Textabschnitte für die interne Suche werden auf einem Modellserver im selben Rechenzentrum verarbeitet. Lokale Modelle auf dem Rechner des Nutzers, der Sprachmodus und das LinkedIn-Modul mit Anmeldung laufen auf der Cloud-Instanz nicht. Bedient wird die Cloud-Instanz über die AVA-App (Abschnitt 8), über KI-Agenten (Abschnitt 7) und über einen Telegram-Bot des Kunden; Nachrichten an diesen Bot verarbeitet auch Telegram.

Daten lassen sich zwischen Desktop-App und Cloud-Instanz in beide Richtungen umziehen. Die Übertragung läuft Ende-zu-Ende verschlüsselt über unsere Server in Frankfurt; wir sehen dabei nur verschlüsselte Daten. Anmeldungen, die Telegram-Verbindung, Abo-Anmeldungen bei KI-Anbietern, Daten des LinkedIn-Moduls, Bildschirmfotos und Protokolle ziehen nicht mit um. Nach Vertragsende kann der Kunde seine Daten 30 Tage lang auf eine Desktop-App übertragen; danach löschen wir die Cloud-Instanz einschließlich ihrer Daten, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Unter besonderen Voraussetzungen und mit gesonderter Vereinbarung kann ein Kunde AVA statt in der Cloud in seiner eigenen Umgebung betreiben. Die Daten dieser Instanz verarbeiten wir dann nicht; für Betrieb und Datenschutz der Instanz ist allein der Kunde verantwortlich. Konto, öffentliche Recherche, Abrechnung und die Anbindung von KI-Agenten laufen weiterhin über unsere Server (Abschnitte 2 und 7).

7. KI-Agenten über MCP

Nutzer können KI-Agenten wie Claude oder ChatGPT über unsere MCP-Schnittstelle mit AVA verbinden. Der Agent meldet sich mit dem AVA-Konto des Nutzers an und erhält nur Daten dieses Nutzers. Die Organisation schaltet den Zugang frei und kann einzelne Bereiche wie Kontaktpersonen ausnehmen. Was der Agent aus AVA liest, wird an den Anbieter des Agenten übertragen, etwa Anthropic oder OpenAI; dafür gilt der Vertrag des Nutzers mit diesem Anbieter. Aufträge aus dem Agenten, etwa Importe und Recherchen, führt die AVA des Nutzers aus, als Desktop-App oder als Cloud-Instanz; bis dahin warten sie höchstens 14 Tage. Jeder Aufruf wird mit Zeitpunkt, Client und Werkzeug protokolliert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für Daten Dritter in AVA bleibt der Kunde nach Abschnitt 2 verantwortlich.

8. AVA-App und Web-Konsole

Die AVA-App (app.ava.bi) und die Web-Konsole (admin.ava.bi) sind Webanwendungen, die wir bei Vercel Inc. mit Serverfunktionen in Frankfurt am Main betreiben. Du meldest dich mit deinem AVA-Konto an; die Sitzung liegt in einem verschlüsselten Cookie, Zugangstoken bleiben auf dem Server der Anwendung. Beide Anwendungen leiten deine Anfragen an den AVA-Server weiter und speichern selbst keine Inhalte.

Die AVA-App ist eine Oberfläche für die AVA, die für dich läuft (Desktop-App oder Cloud-Instanz): Nachrichten, Rückfragen, Dateien und Fotos gehen über den AVA-Server an deine AVA und werden dort wie im Desktop-Chat verarbeitet. Firmenprofile liest die App direkt vom AVA-Server. Diktate transkribiert deine AVA lokal; ohne lokale Spracherkennung übernimmt OpenAI die Transkription. Der Sprachmodus verbindet deinen Browser direkt mit OpenAI, der Zugang bleibt bei deiner AVA. Push-Nachrichten versendet deine AVA über den Push-Dienst deines Geräteherstellers (Apple, Google oder Mozilla); die Abos liegen in deiner AVA.

In der Web-Konsole verwalten Administratoren Mitglieder, Vorgaben, Schlüssel, Limits, Verbrauch und Abrechnung ihrer Organisation. Organisationsschlüssel werden gespeichert, aber nie wieder angezeigt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

9. Website, Hosting und Kontakt

Diese Website wird bei Vercel Inc. gehostet. Beim Besuch können Browser und Server technische Logdaten übermitteln. Wenn du uns über das Kontaktformular eine Demo-, Cloud- oder Eigenbetriebs-Anfrage schickst, verarbeiten wir deine Angaben (Name, Firmen-E-Mail, Unternehmen, gewünschter Betrieb, Teamgröße, CRM, Anliegen, Nachricht) zur Bearbeitung und für Anschlussfragen. Die Anfrage wird per E-Mail über unser Postfach info@eprox-gmbh.de bei der IONOS SE, Montabaur, versandt; du erhältst eine Eingangsbestätigung an die angegebene Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags) beziehungsweise lit. f (Beantwortung deiner Anfrage).

Wir setzen derzeit keine Analyse-Tools oder Tracking-Dienste ein, die personenbezogene Daten für Werbezwecke erfassen. Technisch notwendige Cookies können verwendet werden.

9a. Problemmeldungen aus der App

Du kannst aus AVA ein Problem an uns melden. Dabei übermittelt die App deine Beschreibung, freiwillig angehängte Dateien und technische Protokolle zur Fehlerbehebung: App-Version, Betriebssystem, Protokolle der App und ihrer Verarbeitungsschritte, der gewählte Modellanbieter ohne Zugangsdaten, Plan und Verbrauch, laufende Hintergrundaufgaben, der Stand der zuletzt verarbeiteten Firmen sowie, wenn du es auswählst, ein Bildschirmfoto des AVA-Fensters und ein Auszug der letzten Schritte deines aktuellen Gesprächs. Zugangsdaten, Schlüssel und Passwörter werden vor der Übermittlung maskiert. Wir nutzen diese Daten ausschließlich zur Bearbeitung der Meldung und zur Behebung des Fehlers (Art. 6 Abs. 1 lit. b und f DSGVO). Die Daten liegen auf unseren Servern in Frankfurt am Main; Anhänge löschen wir 90 Tage nach Abschluss der Meldung, die Meldung selbst bleibt als Nachweis. Unsere Antwort erhältst du in der App. Alternativ kannst du die Meldung als E-Mail an info@eprox-gmbh.de senden; dann gilt Abschnitt 9 zur E-Mail-Kommunikation.

9b. E-Mails von AVA

Wir versenden E-Mails an die Adresse, mit der du dich registriert hast, über den Versanddienst Mailgun (Sinch Mailgun Technologies, Inc.) aus dessen EU-Region; Mailgun ist Auftragsverarbeiter, für eine etwaige Übermittlung in die USA gelten die EU-Standardvertragsklauseln. Absender ist hallo@mail.ava.bi. Wir messen weder das Öffnen der Mails noch Klicks auf Links.

• Willkommensmail: einmal nach der Start-Analyse (Abschnitt 2a) mit dem Vorschlag für dein Idealkundenprofil und dem Link zur App. Sie gehört zur Einrichtung deines Kontos (Art. 6 Abs. 1 lit. b DSGVO).
• Beitrittsanfragen: Owner und Administratoren einer Organisation erhalten eine Mail, wenn jemand ihrer Organisation beitreten möchte (Art. 6 Abs. 1 lit. b DSGVO).
• Neuigkeiten: Die Liste deiner ersten passenden Firmen und neue Meldungen zu deinen Firmen (höchstens eine Sammelmail am Tag) schicken wir nur, wenn du das bestätigt hast: über den Link in der Willkommensmail oder in einer Bestätigungsmail, die du in der App anforderst (Double-Opt-in, Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung kannst du jederzeit über den Abmeldelink in jeder Mail oder in der App widerrufen. Für die Sammelmail übermittelt die App die Überschrift, Erläuterung und Quelle der neuen Meldungen an unseren Server; sie werden dort nicht gespeichert.

Wir speichern dafür deine E-Mail-Adresse, deinen Vornamen, ob und wann du Neuigkeiten bestätigt oder dich abgemeldet hast, sowie je Mail Art, Zeitpunkt und Versandstatus. Diese Angaben löschen wir mit deinem Konto (Abschnitt 9c).

9c. Konto löschen und deaktivieren

Du kannst dein Konto in der App unter Einstellungen → Konto oder in der AVA-App unter „Mehr“ selbst löschen. Dabei gehen wir so vor:

• Dein Konto wird gesperrt, deine Anmeldungen werden beendet, und in unserem Anmeldedienst werden Name und E-Mail-Adresse unkenntlich gemacht: Der Name wird durch Platzhalter ersetzt, die E-Mail-Adresse durch eine zufällige Kennung mit derselben Domain. Das Konto bleibt dauerhaft als gelöscht markiert; die Löschung lässt sich nicht rückgängig machen.
• Daten, die nur dir gehören, löschen wir, darunter deine Firmenliste, Fokus-Firmen, Relevanz- und Nutzungssignale, Buying Center, LinkedIn-Leads, Radar-Entscheidungen, Befunde zu deinen Fokus-Themen, die Start-Analyse, deine Mail-Einstellungen und das Versandprotokoll, Protokolle deiner KI-Anfragen sowie Freigaben für verbundene KI-Agenten. Auf deinem Gerät entfernt die App den Datenbereich deines Kontos.
• Inhalte, die du in deiner Organisation geteilt hast (etwa geteilte Recherchen, Notizen und Workflows), gehören der Organisation und bleiben dort erhalten; dein Name wird dabei nicht mehr angezeigt. Deine Mitgliedschaft endet.
• Abrechnungs- und Buchungsunterlagen bewahren wir aufgrund gesetzlicher Pflichten bis zu zehn Jahre auf (§ 257 HGB, § 147 AO, Art. 17 Abs. 3 lit. b DSGVO), in AVA nur noch unter einer pseudonymen Kennung ohne Name und E-Mail-Adresse. Rechnungen mit Rechnungsanschrift führt unser Zahlungsdienstleister Stripe. Problemmeldungen bleiben ohne deinen Namen für den Support erhalten.

Eine Organisation bleibt immer bestehen und braucht mindestens einen Owner. Bist du der einzige Owner und gibt es weitere Mitglieder, ernennst du vor dem Löschen eine weitere Person zum Owner. Bist du die einzige Person in deiner Organisation, kannst du dein Konto in der App nicht löschen, aber deaktivieren: Deine Anmeldung wird gesperrt, deine Daten bleiben unverändert gespeichert, weil die Organisation einen Ansprechpartner zu ausgestellten Rechnungen braucht; nur wir können das Konto auf deinen Wunsch wieder einschalten. Die Löschung eines solchen Kontos und von Konten mit Enterprise-Vertrag erfolgt auf Anfrage an info@eprox-gmbh.de. Rechtsgrundlage ist Art. 17 DSGVO in Verbindung mit Art. 6 Abs. 1 lit. b, c und f DSGVO.

10. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie das Recht, dich bei einer Aufsichtsbehörde zu beschweren. Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

11. Aktualität

Stand: November 2026. Wir können diese Erklärung an Weiterentwicklungen der Website, des Produkts oder gesetzliche Vorgaben anpassen.