ZENTRE – Auftragsverarbeitungsvertrag (AVV / DPA)

Letzte Aktualisierung: 06. Jun 2026

1. Präambel, Parteien, Rangfolge

• Dieser Auftragsverarbeitungsvertrag („AVV“) regelt die Verarbeitung personenbezogener Daten durch EZTO TECHNOLOGIES GmbH, Mainz („Auftragsverarbeiter“) im Auftrag des Kunden („Verantwortlicher“) im Zusammenhang mit dem Service „Zentre“.
• Dieser AVV ist Bestandteil des Hauptvertrags (AGB/Order Form). Bei Widersprüchen gehen die Regelungen dieses AVV für datenschutzrechtliche Fragen vor. Im Übrigen gilt der Hauptvertrag.
• Begriffe der DSGVO gelten entsprechend.

2. Rollen und Abgrenzung (Processor vs. Controller)

• Processor-Scope: Dieser AVV gilt für Verarbeitungen, bei denen EZTO Kundendaten als Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet, insbesondere: Bereitstellung und Betrieb von Zentre (Workspace/Chat, Nutzerverwaltung, Zugriffskontrolle); Inference/Orchestrierung/Routing an KI-Provider nach Konfiguration; Support und Fehleranalyse, soweit hierfür Kundendaten verarbeitet werden; Security/Missbrauchsprävention/Incident-Handling.
• Controller-Scope: Soweit EZTO personenbezogene Daten als eigener Verantwortlicher verarbeitet (z. B. Marketing/Website, Vertragsanbahnung/-abschluss, Abrechnung/Zahlungsabwicklung, unternehmensbezogene Compliance), gilt dieser AVV nicht; hierfür gelten die Datenschutzhinweise und ggf. separate Vereinbarungen.
• Kein BYOK: Zentre unterstützt derzeit kein „Bring Your Own Key“ (BYOK). Die Auswahl/Aktivierung von KI-Providern erfolgt über Zentre-Konfigurationen.

3. Definitionen

• „Kundendaten“: alle personenbezogenen Daten, die der Verantwortliche oder dessen Nutzer in Zentre eingibt, hochlädt, erzeugt oder anderweitig bereitstellt (einschließlich Inhaltsdaten und Metadaten).
• „Inhaltsdaten“: Workspace-/Chat-Inhalte, Prompts, Uploads, Dokumente sowie Outputs (soweit in Zentre gespeichert/angezeigt).
• „Metadaten“: Nutzungs-, Abrechnungs-, Sicherheits- und technische Telemetriedaten (z. B. Zeitstempel, Request-IDs, Konfigurationsparameter, Token-/Volumenmetriken, Fehlermeldungen), soweit personenbezogen.
• „KI-Provider“: Drittanbieter, an den Zentre Workloads zur Inference/Generierung weiterleitet.
• „Subprozessor“: Unterauftragsverarbeiter i. S. d. Art. 28 Abs. 2 DSGVO.
• „Plan“: die im Order Form/Hauptvertrag benannte Seat-basierte Lizenz (ein Plan, pro Nutzer); daneben bestehen Enterprise- und Private-Cloud-Optionen nach gesonderter Vereinbarung.

4. Gegenstand, Art, Zweck, Dauer

• Gegenstand ist die Verarbeitung von Kundendaten zur Bereitstellung, zum sicheren Betrieb, zur Wartung, Support-Leistung sowie zur Weiterentwicklung von Zentre.
• Dauer: Laufzeit des Hauptvertrags; anschließend Löschung/Rückgabe gemäß Ziff. 15.
• Details zu Art/Zweck/Datenkategorien/Betroffenen: Anlage 1.

5. Weisungen und Weisungsmanagement

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO).
• Dokumentierte Weisungen umfassen: (i) Hauptvertrag/AVV, (ii) Produkt- und Account-Konfigurationen (Provider-Auswahl, Allow/Deny, Routing, Regionen, Retention, Logging), (iii) Einzelweisungen in Textform (Ticket/E-Mail).
• Offensichtlich rechtswidrige Weisungen werden nicht ausgeführt; der Verantwortliche wird informiert.
• Zusätzlicher, nicht vereinbarter Aufwand kann nach Maßgabe des Hauptvertrags vergütet werden, soweit zulässig.

6. Pflichten des Verantwortlichen

• Verantwortlich für Rechtsgrundlagen/Transparenzpflichten, Inhalte der Kundendaten, Konfiguration (Provider/Region/Retention/Logging) sowie die Bewertung der Eignung/Zulässigkeit von Outputs für eigene Zwecke.
• Datenminimierung: Der Verantwortliche stellt sicher, dass nur erforderliche personenbezogene Daten verarbeitet werden. Besondere Kategorien (Art. 9 DSGVO) nur, wenn rechtlich abgesichert und für den Use-Case erforderlich.
• Kirchliche Einrichtungen (optional): Unterliegt der Verantwortliche dem kirchlichen Datenschutzrecht (Gesetz über den Kirchlichen Datenschutz – KDG (katholisch) bzw. Datenschutzgesetz der EKD – DSG-EKD (evangelisch)), so gelten dessen Bestimmungen ergänzend bzw. vorrangig. Die Parteien stellen die Verarbeitung entsprechend sicher, insbesondere hinsichtlich Meldewegen und der Zuständigkeit der jeweiligen kirchlichen Datenschutzaufsicht; Verweise auf die DSGVO gelten insoweit entsprechend für KDG/DSG-EKD.

7. Vertraulichkeit

• EZTO stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO).
• Need-to-know, rollenbasierte Zugriffe, angemessene Protokollierung.
• Für Berufsgeheimnisträger gilt ergänzend Ziff. 20.

8. Sicherheit der Verarbeitung (Art. 32 DSGVO)

• Angemessene TOMs gemäß Anlage 2 (u. a. Transportverschlüsselung TLS 1.3, Verschlüsselung ruhender Daten/Artefakte mit AES-256-GCM, RBAC/Least Privilege, Mandantentrennung, Secure SDLC, Monitoring/Incident Response). EZTO betreibt ein an ISO/IEC 27001 ausgerichtetes ISMS und befindet sich derzeit im Zertifizierungsprozess.
• TOMs dürfen weiterentwickelt werden, sofern das Sicherheitsniveau insgesamt nicht unterschritten wird.

9. Hosting und Datenstandort (Default)

• Standard-Hostingpfad: EU-Hosting bei Scaleway (Scaleway SAS, Frankreich), Region Paris (fr-par), soweit im jeweiligen Service/Plan technisch vorgesehen. Die produktive Verarbeitung von Kundendaten erfolgt innerhalb der EU/des EWR.
• Abweichende Enterprise-Optionen können per Order Form vereinbart werden.

10. Unterstützung bei Betroffenenrechten

• EZTO unterstützt den Verantwortlichen – soweit möglich und unter Berücksichtigung der Art der Verarbeitung – bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO), insbesondere durch bereitgestellte Funktionen (Export/Löschung) und angemessene Mitwirkung.
• Direkte Betroffenenanfragen an EZTO werden – soweit zulässig – an den Verantwortlichen weitergeleitet; keine eigenständige Beantwortung ohne Weisung.

11. Unterstützung bei Compliance (Art. 28 Abs. 3 lit. f DSGVO)

EZTO unterstützt den Verantwortlichen angemessen bei Art. 32–34, 35, 36 DSGVO. Zusätzlicher Aufwand kann nach Maßgabe des Hauptvertrags vergütet werden, soweit zulässig.

12. Subprozessoren

• Allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO).
• Aktuelle Liste: Anlage 3 sowie /legal/subprocessors.
• Änderungen werden mindestens 30 Tage vor Wirksamwerden angekündigt, sofern nicht zwingende Sicherheitsgründe eine schnellere Änderung erfordern.
• Einwände in Textform an legal@ezto.io.
• Bei berechtigten Einwänden: zumutbare Alternative oder Sonderkündigungsrecht für den betroffenen Service-Teil.
• Flow-down: EZTO verpflichtet Subprozessoren mindestens gleichwertig (Art. 28 Abs. 4 DSGVO).
• EZTO bleibt verantwortlich für die Einhaltung der Subprozessor-Pflichten im Rahmen der DSGVO, soweit gesetzlich zwingend.

13. KI-Provider / KI-Routing

• Zentre fungiert als Infrastruktur-, Orchestrierungs- und Governance-Schicht. Je nach Konfiguration werden Inhaltsdaten an KI-Provider zur Inference/Generierung weitergeleitet.
• KI-Gateway Cortecs: Das Routing zu KI-Providern erfolgt standardmäßig über das EU-basierte KI-Gateway Cortecs (Cortecs GmbH, Wien), das Daten innerhalb der EU verarbeitet (Zero Data Retention, soweit verfügbar) und die KI-Provider als eigene Unterauftragsverarbeiter einbindet; maßgeblich ist insoweit die Unterauftragsverarbeiterliste von Cortecs (Anlage 3 / /legal/subprocessors).
• Web-Suche (Linkup): Sofern die Websuche-Funktion aktiviert ist, werden Suchanfragen an den Such-Provider Linkup (Linkup Technologies SAS, Frankreich) übermittelt; die Aktivierung gilt als dokumentierte Weisung; eine dauerhafte Speicherung der Anfragen durch EZTO erfolgt nicht. Für die Verarbeitung geschützter Geheimnisse (§ 203 StGB) gilt Ziff. 20: Im § 203-Modus ist die Websuche standardmäßig deaktiviert.
• Speicherung/Retention in Zentre (Chat/Workspace): Chat-/Workspace-Inhaltsdaten werden standardmäßig 90 Tage aufbewahrt; abweichende Konfigurationen (z. B. Enterprise/Private Cloud) gelten als dokumentierte Weisung. Nach Ablauf der Retention werden die Inhaltsdaten gelöscht oder – soweit technisch vorgesehen – irreversibel entfernt.
• Klarstellung: Eine zusätzliche dauerhafte Inhalts-„Log“-Speicherung erfolgt standardmäßig nicht, außer in den nachfolgenden Ausnahmefällen.
• Ausnahmen (Logging/Support/Security): Inhaltsdaten können vorübergehend verarbeitet/gespeichert werden, soweit erforderlich für aktivierte Debug-/Logging-Optionen, Supportfälle auf dokumentierte Weisung oder sicherheitsrelevante Ereignisse – jeweils nach Maßgabe der Retention-Konfiguration und des Erforderlichkeitsgrundsatzes.
• Kein Training: EZTO nutzt Inhaltsdaten nicht zum Training eigener oder generischer Modelle. Eine Nutzung zu Trainingszwecken ist – soweit vertraglich vereinbart und technisch verfügbar (z. B. Zero Data Retention) – auch gegenüber den eingebundenen KI-Providern ausgeschlossen.
• Provider-abhängige Verarbeitung: Die Verarbeitung durch KI-Provider ist providerabhängig; Auswahl/Aktivierung eines KI-Providers gilt als dokumentierte Weisung.
• Berufsgeheimnis: Für die Verarbeitung geschützter Geheimnisse i. S. d. § 203 StGB ist die Modellauswahl im § 203-Modus auf zugelassene EU-Endpunkte beschränkt (Ziff. 20; Stufe A „EU-kontrolliert“ / Stufe B „EU-gehostet“).
• Keine darüberhinausgehenden Garantien über Provider: EZTO schuldet hinsichtlich KI-Providern keine darüberhinausgehenden Garantien als (i) deren vertragliche Einbindung als Subprozessor, soweit vom jeweiligen Provider angeboten/ermöglicht, sowie (ii) die Weitergabe der vom Provider zugesagten Bedingungen/Erklärungen. Eine Verantwortung für Abweichungen des KI-Providers von dessen eigenen Zusagen besteht nur im Rahmen zwingender gesetzlicher Regelungen und im Übrigen nach Maßgabe der Haftungsregelungen des Hauptvertrags.
• Kenntnis von Provider-Abweichungen: Erlangt EZTO Kenntnis von einer wesentlichen Abweichung eines KI-Providers von dessen Zusagen, ergreift EZTO angemessene Maßnahmen (z. B. Information des Verantwortlichen, Empfehlung/Umsetzung von Deaktivierung oder Routing-Blockierung), soweit technisch möglich und wirtschaftlich zumutbar.

14. Drittlandübermittlungen

• Im Standard-Setup (Scaleway/Paris, Cortecs/EU, ggf. Linkup/EU) finden regelmäßig keine Drittlandübermittlungen statt. Soweit Übermittlungen außerhalb EU/EWR erforderlich sind (z. B. bei Auswahl von Nicht-EU-Modellen), erfolgen sie unter Einhaltung Art. 44 ff. DSGVO (z. B. Angemessenheitsbeschluss, SCC).
• EZTO stellt dem Verantwortlichen auf Anfrage angemessene Informationen zu Transfer-Mechanismen und – soweit verfügbar – ergänzenden Maßnahmen bereit.

15. Löschung und Rückgabe

• Während der Vertragslaufzeit erfolgt Löschung nach konfigurierter Retention (vgl. Ziff. 13 und Anlage 4).
• Nach Vertragsende: Auf Wahl des Verantwortlichen (i) Rückgabe (Export in gängigen maschinenlesbaren Formaten, soweit verfügbar) oder (ii) Löschung.
• Produktionssysteme: Löschung bzw. Bereitstellung des Exports erfolgt grundsätzlich innerhalb von 30 Tagen nach Vertragsende bzw. nach Eingang einer entsprechenden Anforderung, soweit kein berechtigter Grund entgegensteht.
• Backups: Daten können bis zum Ablauf technischer Lösch-/Überschreibzyklen in Backups enthalten sein; Backups werden nicht produktiv genutzt. Backup-Zyklen betragen typischerweise bis zu 90 Tage.

16. Datenschutzverletzungen

• EZTO informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme über Verletzungen des Schutzes personenbezogener Daten.
• Die Meldung enthält – soweit verfügbar – Art des Vorfalls, betroffene Datenkategorien, ungefähre Anzahl, wahrscheinliche Folgen, ergriffene/geplante Abhilfemaßnahmen und Kontaktstelle; Updates erfolgen, sobald neue Informationen vorliegen.

17. Behördenanfragen / Offenlegung

• Soweit rechtlich zulässig, informiert EZTO den Verantwortlichen unverzüglich über rechtlich bindende Anfragen von Behörden zur Offenlegung von Kundendaten.
• Offenlegungen werden – soweit möglich – auf das erforderliche Minimum beschränkt; EZTO wirkt an angemessenen Schutzmaßnahmen mit.

18. Nachweise und Audits

• EZTO stellt auf Anfrage angemessene Informationen zur Nachweisführung bereit (Art. 28 Abs. 3 lit. h DSGVO), z. B. TOM-Übersichten/Policies/Reports soweit vorhanden.
• Audits sind nach vorheriger Ankündigung (mind. 60 Tage) und unter angemessenen Bedingungen zulässig; „remote-first“. Vor-Ort-Audits nur bei begründetem Bedarf.
• Häufigkeit: max. 1 Audit pro Vertragsjahr, sofern kein Sicherheitsvorfall oder berechtigter Anlass vorliegt.
• Keine (automatisierten) Schwachstellen-/Penetrationstests gegen EZTO-Systeme ohne vorherige schriftliche Zustimmung.
• Audits unterliegen strenger Vertraulichkeit; keine Offenlegung von Betriebs-/Geschäftsgeheimnissen über das erforderliche Maß hinaus.
• Kosten: Der Verantwortliche trägt seine Auditkosten; angemessener Aufwand von EZTO kann nach Maßgabe des Hauptvertrags berechnet werden, soweit zulässig.

19. Dokumentation

EZTO führt – soweit erforderlich – ein Verzeichnis von Verarbeitungstätigkeiten als Auftragsverarbeiter (Art. 30 Abs. 2 DSGVO) und stellt dem Verantwortlichen auf Anfrage angemessene Informationen/Auszüge daraus zur Verfügung, soweit zur Erfüllung der Rechenschaftspflicht erforderlich und keine berechtigten Geheimhaltungsinteressen oder Geschäftsgeheimnisse Dritter entgegenstehen.

20. Mitwirkung an Berufsgeheimnissen (§ 203 StGB; berufsrechtliche Vorgaben)

• Anwendungsbereich: Soweit der Verantwortliche einer strafbewehrten Verschwiegenheitspflicht nach § 203 StGB (bzw. § 121 öStGB, Art. 321 CH-StGB) unterliegt und Zentre zur Verarbeitung geschützter Geheimnisse einsetzt, wird EZTO als „sonstige mitwirkende Person“ i. S. d. § 203 Abs. 3 StGB tätig. Ergänzend gelten die einschlägigen berufsrechtlichen Vorgaben, insbesondere § 43e BRAO i. V. m. § 2 BORA (Rechtsanwälte) und § 62a StBerG (Steuerberater).
• Verschwiegenheit & Belehrung: EZTO und die zur Verarbeitung befugten Personen werden in Textform zur Geheimhaltung verpflichtet und über die strafrechtlichen Folgen (§ 203 Abs. 4 StGB) belehrt; die Verpflichtung gilt nach Vertragsende fort.
• Flow-down: EZTO verpflichtet Subprozessoren und KI-Provider, die auf geschützte Geheimnisse zugreifen können, in Textform gleichwertig zur Verschwiegenheit, soweit für die Leistung erforderlich und vom jeweiligen Dienstleister angeboten/ermöglicht.
• § 203-Modus (Stufen A/B): Die Verarbeitung geschützter Geheimnisse ist nur in einer hierfür geeigneten Konfiguration zulässig (EU-Hosting, EU-Routing, Zero Data Retention, deaktivierte Websuche, ausschließlich zugelassene Modellanbieter). Der Verantwortliche wählt die Stufe: A „EU-kontrolliert“ (nur EU-kontrollierte/EU-selbstgehostete Modelle) oder B „EU-gehostet“ (zusätzlich EU-gehostete Endpunkte); in beiden Stufen gelten Zero Data Retention und deaktivierte Websuche.
• Web-Suche im § 203-Modus: Die Websuche ist im § 203-Modus in beiden Stufen (EU-kontrolliert und EU-gehostet) deaktiviert.
• Mandatstrennung (separater Tenant): Geschützte Geheimnisse werden in einem vom Normalbetrieb physisch getrennten Tenant mit eigener, isolierter Wissensbasis/Index verarbeitet. Es besteht keine gemeinsame Wissensbasis und kein tenantübergreifender Datentransfer/keine tenantübergreifende Suche; ein Tenant-Wechsel ist ein reiner Identitäts-/Navigationswechsel (z. B. via SSO) ohne Inhaltsübertragung. Die Zuordnung von Daten zum § 203-Tenant obliegt dem Verantwortlichen (im Zweifel § 203-Tenant); mandatsfreie/interne Vorgänge können im Normal-Tenant verarbeitet werden.
• Ergänzende Vereinbarung: Auf Wunsch schließt EZTO eine gesonderte, auch elektronisch abschließbare Verschwiegenheitsvereinbarung nach § 203 StGB; im Konfliktfall gehen deren Regelungen für § 203-Sachverhalte vor.

21. Schlussbestimmungen

• Recht und Gerichtsstand richten sich nach dem Hauptvertrag (deutsches Recht; Gerichtsstand Mainz, soweit zulässig).
• Sollte eine Bestimmung dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; an die Stelle der unwirksamen Regelung tritt eine wirksame, die dem Zweck am nächsten kommt und den Anforderungen der DSGVO genügt.
• Änderungen und Ergänzungen bedürfen mindestens der Textform.

Anlagen zum AVV

Anlage 1 — Beschreibung der Verarbeitung (Art. 28 Abs. 3 DSGVO)

Gegenstand der Verarbeitung: Bereitstellung und Betrieb der KI-Orchestrierungs- und Governance-Plattform „Zentre“ (Chat-Assistent, Agenten, RAG/Wissenstool) als SaaS.

Art der Verarbeitung: automatisiertes Erheben, Erfassen, Speichern, Anzeigen, Strukturieren, Übermitteln (an KI-Gateway/KI-Provider sowie – sofern aktiviert – an den Such-Provider), Einschränken und Löschen.

Zweck: Erbringung der vertraglich vereinbarten Leistungen, Nutzer-/Zugriffsverwaltung, Support/Fehleranalyse, Sicherheit/Missbrauchsprävention/Incident-Handling.

Kategorien personenbezogener Daten:

• Account-/Organisationsdaten (Name, dienstliche E-Mail, Organisation, Rollen/Berechtigungen);
• Nutzungs-, Abrechnungs-, Sicherheits- und technische Metadaten (Zeitstempel, Request-IDs, Konfiguration, Token-/Volumenmetriken, Fehlermeldungen, IP soweit erforderlich);
• Inhaltsdaten (Prompts, Uploads, Dokumente, Outputs);
• Web-Suchanfragen (nur sofern die Websuche aktiviert ist).

Kategorien betroffener Personen: Nutzer des Verantwortlichen (Beschäftigte); ggf. in Inhalts-/Suchdaten genannte Dritte (z. B. Mandanten, Patienten, Kunden, Geschäftspartner des Verantwortlichen) – abhängig von den Eingaben des Verantwortlichen.

Besondere Kategorien (Art. 9 DSGVO): nur, soweit der Verantwortliche solche Daten eingibt; dies liegt in der Verantwortung und auf Weisung des Verantwortlichen (vgl. Ziff. 6).

Dauer: für die Laufzeit des Hauptvertrags; Chat-/Workspace-Inhaltsdaten 90 Tage; anschließend Löschung/Rückgabe gemäß Ziff. 15 und Anlage 4.

Ort der Verarbeitung: EU/EWR – Hosting Scaleway (Frankreich, Paris fr-par); KI-Routing über Cortecs (EU); Websuche über Linkup (EU). Drittlandübermittlung nur nach Ziff. 14.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

EZTO betreibt ein an ISO/IEC 27001 ausgerichtetes Informationssicherheits-Managementsystem (ISMS) und befindet sich derzeit im Zertifizierungsprozess nach ISO/IEC 27001. Bis zur Erteilung werden Nachweise (TOM-Dokumentation, Pentest-Berichte, Sicherheitsfragebögen) auf Anfrage bereitgestellt.

1. Vertraulichkeit

• Zutrittskontrolle: Hosting in zertifizierten EU-Rechenzentren (Scaleway); physische Sicherung durch den Infrastruktur-Anbieter.
• Zugangskontrolle: Authentifizierung mit Multi-Faktor-Authentisierung (MFA) für administrative Zugänge; rollenbasierte Rechtevergabe (RBAC) nach dem Least-Privilege-Prinzip.
• Zugriffskontrolle: Need-to-know, rollenbasierte Zugriffe, Zugriffsprotokollierung; Beschränkung administrativer Zugriffe.
• Trennungskontrolle: mandantengetrennte Verarbeitung (logische Mandantentrennung).
• Pseudonymisierung/Minimierung: soweit für den Zweck möglich.

2. Integrität

• Weitergabekontrolle: Transportverschlüsselung (TLS 1.3) für Daten in Übertragung.
• Verschlüsselung ruhender Daten/Artefakte mit AES-256-GCM.
• Eingabekontrolle: Protokollierung relevanter Aktionen.

3. Verfügbarkeit und Belastbarkeit

• Datensicherung (Backups) mit definierten Lösch-/Überschreibzyklen (bis 90 Tage);
• Monitoring, Incident-Response-Prozess; Business-Continuity-/Notfallkonzept.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• ISMS nach ISO/IEC 27001 (in Zertifizierung); regelmäßige Penetrationstests; Schwachstellenmanagement; Secure Software Development Lifecycle (Secure SDLC).
• Auftrags-/Subprozessor-Kontrolle: sorgfältige Auswahl, vertragliche Bindung mind. gleichwertig (Art. 28 Abs. 4 DSGVO), Flow-down.

5. Schlüsselverwaltung: anbieterverwaltete Schlüssel; ein „Bring Your Own Key“ (BYOK) wird derzeit nicht angeboten.

Anlage 3 — Unterauftragsverarbeiter

Maßgeblich ist die jeweils aktuelle Subprozessorenliste (/legal/subprocessors). Eingesetzt werden insbesondere:

Die KI-Modellanbieter werden über das Gateway Cortecs als dessen Unterauftragsverarbeiter eingebunden (maßgeblich: Cortecs-Unterauftragsverarbeiterliste). Änderungen werden mind. 30 Tage vorher angekündigt (Ziff. 12).

Anlage 4 — Aufbewahrung und Löschung

• Chat-/Workspace-Inhaltsdaten: standardmäßig 90 Tage (einheitlich); abweichend nur bei Enterprise/Private Cloud nach gesonderter Vereinbarung. Nach Ablauf Löschung bzw. irreversible Entfernung.
• Backups: technische Lösch-/Überschreibzyklen typischerweise bis 90 Tage; keine produktive Nutzung.
• Metadaten/Sicherheitsprotokolle: nur solange erforderlich (Sicherheit, Missbrauchsprävention, Incident-Analyse); ggf. länger bei Rechtsansprüchen/gesetzlichen Pflichten.
• Web-Suchanfragen: keine dauerhafte Speicherung durch EZTO.
• Nach Vertragsende: Export in gängigem, maschinenlesbarem Format für 30 Tage; anschließend Löschung gemäß Ziff. 15.