Datenschutzerklärung

Zuletzt aktualisiert: 22. Oktober 2026

Diese Erklärung beschreibt, wie avanexx GmbH personenbezogene Daten verarbeitet: auf dieser Website und in Manager, unserer KI-zentrierten Projektmanagement-Plattform, die wir als gehosteten Dienst anbieten. Manager gibt es außerdem als selbst betreibbare Server-Version und als Desktop-Version. Wer eine davon einsetzt, entscheidet selbst über die Daten darin (siehe Abschnitt 6).

Für die Inhalte, die Unternehmen und andere Organisationen in der Plattform ablegen, sind diese selbst verantwortlich; wir verarbeiten sie in deren Auftrag. Nutzen Sie Manager privat, sind wir auch für Ihre Inhalte verantwortlich und verarbeiten sie nur, um Ihnen den Dienst bereitzustellen.

1. Verantwortlicher

Je nachdem, um welche Daten es geht, handeln wir als Verantwortlicher oder als Auftragsverarbeiter:

• Als Verantwortlicher (Art. 4 Nr. 7 DSGVO) legen wir Zweck und Mittel selbst fest. Das betrifft diese Website, die Registrierung und Verwaltung von Konten, Anmeldung und Sicherheit, Betrieb und Support des Dienstes, unsere Abrechnung, unsere Kommunikation mit Ihnen sowie die Inhalte von Kunden, die Manager privat für persönliche oder familiäre Zwecke nutzen.
• Als Auftragsverarbeiter (Art. 4 Nr. 8, Art. 28 DSGVO) setzen wir ausschließlich die dokumentierten Weisungen eines Kunden um, der Manager beruflich nutzt, etwa als Unternehmen, Selbstständiger oder andere Organisation. Das betrifft alles, was ein solcher Kunde und dessen Nutzer in der Plattform anlegen und speichern: Aufgaben, Kommentare, Wiki-Seiten, Canvas, Dateien, Besprechungsnotizen, Kanal- und Themeneinträge, Nachrichten, Zeiterfassungen und Agenten-Sitzungen („Kundeninhalte“). Verantwortlich bleibt der Kunde; das Verhältnis regeln unser Auftragsverarbeitungsvertrag und die Datenschutzhinweise dieses Kunden.

Was davon für Sie gilt:

2. Diese Website

Diese Website läuft auf einem Server, den wir bei einem Hosting-Anbieter mieten. Der Anbieter ist über einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO an uns gebunden.

Was der Webserver protokolliert

Jeden Aufruf Ihres Browsers hält der Webserver in einem Protokoll fest:

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, die angeforderten Seiten auszuliefern, den Server stabil und erreichbar zu halten und Angriffe erkennen, nachvollziehen und abwehren zu können.

Diese Protokolle führen wir nicht mit anderen Daten zusammen. Wir löschen sie in der Regel nach höchstens 30 Tagen, es sei denn, wir brauchen sie zur Aufklärung eines konkreten Sicherheitsvorfalls.

Cookies und Drittanbieter

Diese Website setzt keine Cookies, speichert nichts in Ihrem Browser und nutzt keine Analyse- oder Tracking-Dienste. Schriften, Bilder und Skripte liefern wir von unserem eigenen Server aus; Inhalte von Dritten werden nicht nachgeladen.

Kontakt per E-Mail

Wenn Sie uns per E-Mail schreiben, erhalten wir Ihre E-Mail-Adresse, den Namen, den Ihr Mailprogramm mitsendet, und den Inhalt Ihrer Nachricht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag oder dessen Anbahnung geht, sonst Art. 6 Abs. 1 lit. f DSGVO (unser Interesse daran, an uns gerichtete Anfragen zu beantworten). Unsere Postfächer liegen bei einem E-Mail-Anbieter, der als Auftragsverarbeiter für uns tätig ist.

Wir bewahren den Schriftwechsel so lange auf, wie es die Sache erfordert, und löschen ihn danach. Handelt es sich um einen Handels- oder Geschäftsbrief, gelten die handels- und steuerrechtlichen Aufbewahrungsfristen; die Nachricht bleibt dann für deren Dauer gespeichert und wird anschließend gelöscht.

Kontaktformular

Über das Kontaktformular erhalten wir Ihren Namen, falls Sie ihn angeben, Ihre E-Mail-Adresse, Ihre Nachricht und die Sprache der Seite, von der Sie sie abgeschickt haben. Das alles kommt als E-Mail in unserem Postfach an, mit Ihrer Adresse als der, an die unsere Antwort geht. Das Formular schickt weder Ihnen noch sonst jemandem etwas.

Bevor das Formular sendet, löst Ihr Browser eine kleine Rechenaufgabe von unserem eigenen Server (ein Proof of Work). Sie hält automatisierten Spam fern, ohne Cookie, ohne etwas in Ihrem Browser zu speichern und ohne Drittanbieter, und beginnt, sobald Sie zum ersten Mal ins Formular klicken.

Wie jeder Aufruf erscheint das Absenden im oben beschriebenen Protokoll des Webservers. Der Server des Formulars selbst hält Ihre IP-Adresse nur in seinem Arbeitsspeicher, höchstens eine Stunde lang, um zu begrenzen, wie viele Nachrichten von einem Anschluss aus gesendet werden können; er protokolliert und speichert sie nicht. Ihre Nachricht bleibt nicht auf dem Webserver.

Rechtsgrundlage: für Ihre Nachricht wie bei einer E-Mail Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag oder dessen Anbahnung geht, sonst Art. 6 Abs. 1 lit. f DSGVO (unser Interesse daran, an uns gerichtete Anfragen zu beantworten). Für den Spamschutz und die Begrenzung je Anschluss Art. 6 Abs. 1 lit. f DSGVO: unser Interesse daran, dass das Formular nutzbar und unser Postfach frei von automatisierten Nachrichten bleibt.

Ihre Nachricht bewahren wir wie jede E-Mail an uns auf, wie oben beschrieben.

3. Der gehostete Manager-Dienst

Dieser Abschnitt beschreibt den Dienst, den wir für Kunden betreiben. Er gilt, sobald Sie ein Konto im gehosteten Dienst haben.

3.1 Was die Plattform speichert

Nutzt ein Kunde Manager privat, sind wir auch für seine Inhaltsdaten, Dateien, Agenten- und KI-Sitzungsdaten sowie den Suchindex Verantwortlicher.

Im Produkt nutzen wir weder Reichweitenmessung noch Werbung noch Verhaltens-Tracking.

3.2 Zwecke und Rechtsgrundlagen

Stützen wir uns auf berechtigte Interessen, können Sie nach Art. 21 DSGVO widersprechen (Abschnitt 8). Beruht eine Verarbeitung auf Ihrer Einwilligung, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen; was bis dahin geschehen ist, bleibt rechtmäßig.

3.3 Cookies und Browserspeicher in der Anwendung

Damit Sie angemeldet bleiben, nutzt die Anwendung ein einziges, unbedingt erforderliches Sitzungscookie. Skripte können es nicht auslesen, es wird nur über verschlüsselte Verbindungen übertragen, läuft nach einer festgelegten Dauer ab (standardmäßig nach 30 Tagen) und wird beim Abmelden gelöscht. Eine Sitzung können Sie jederzeit selbst in den Kontoeinstellungen beenden.

Den lokalen Speicher Ihres Browsers nutzt die Anwendung ausschließlich funktional, etwa um sich Ihr Theme, Ihre Sprache und Ihre Layout-Entscheidungen zu merken.

3.4 Woher die Daten stammen und was Sie angeben müssen

Die meisten Daten stammen von Ihnen. Hat Ihr Arbeitgeber oder Auftraggeber das Konto eingerichtet, kommen die Kontodaten von dort, und Inhalte über Sie können Kolleginnen und Kollegen eintragen. Von Dritten erreichen uns Daten nur über Verbindungen, die ein Kunde selbst einrichtet: einen Identitätsanbieter bei der SSO-Anmeldung, ein angebundenes Speichersystem oder einen Kanal, der E-Mails oder Webhook-Nachrichten in ein Projekt einspeist.

Eine E-Mail-Adresse und die zur Anmeldung nötigen Daten brauchen wir, um ein Konto einzurichten und zu betreiben; ohne sie können wir den Dienst nicht erbringen. Alles Weitere, etwa Profilbild, Sprache, Theme und Benachrichtigungen, ist freiwillig; fehlt es, ist lediglich die jeweilige Funktion eingeschränkt.

4. KI-Funktionen, Agenten und Modellanbieter

In Manager sind KI-Agenten Beteiligte: Sie haben eigene Konten, können Aufgaben übernehmen und lesen und schreiben Projektinhalte im Rahmen der Rechte, die man ihnen gibt.

Wann Inhalte an einen Modellanbieter gehen. Nur dann, wenn eine KI-Funktion tatsächlich genutzt wird: wenn jemand eine Agenten-Sitzung startet oder fortsetzt, eine KI-Aktion auslöst oder eine vom Kunden eingerichtete Automatisierung läuft, etwa ein Auslöser oder ein zeitgesteuerter Agent. Ohne einen solchen Anlass übermitteln wir keine Inhalte an Modellanbieter.

Was übermittelt wird. Die Anweisung oder Nachricht, der bisherige Verlauf dieser Sitzung, die Beschreibungen der Werkzeuge, die der Agent aufrufen darf, und die Projektinhalte, die der Agent bei der Bearbeitung tatsächlich liest: die Aufgaben, Kommentare, Wiki-Seiten, Suchtreffer, Kanaleinträge oder Dateien, die er öffnet, sowie die Ergebnisse seiner Werkzeugaufrufe. Personenbezogene Daten, die in diesen Inhalten stecken, gehen mit.

Auf wessen Weisung. Bei beruflicher Nutzung ist das Verarbeitung auf dokumentierte Weisung des Kunden, bei privater Nutzung Teil des Dienstes, den Sie mit uns vereinbart haben. In beiden Fällen entscheidet der Kunde, ob KI-Funktionen aktiv sind, welche Agenten es gibt, was sie tun sollen und welche Projekte sie erreichen. Kundeninhalte nutzen wir nicht, um Modelle zu trainieren, weder eigene noch fremde.

Welche Anbieter. Ein Kunde kann KI-Funktionen auf zwei Wegen nutzen:

• Über Modelle, die wir bereitstellen und nach Verbrauch abrechnen. Die Modellanbieter sind dann unsere Auftragsverarbeiter, bei beruflicher Nutzung unsere Unterauftragsverarbeiter, und uns gegenüber vertraglich gebunden, übermittelte Inhalte nicht zum Training zu verwenden. Die aktuelle Liste samt Verarbeitungsland enthält Anlage C zu unserem Auftragsverarbeitungsvertrag. Über Änderungen informieren wir Kunden wie dort geregelt; Kunden können widersprechen.
• Mit einem eigenen Zugang (Bring Your Own Key) zu einem Anbieter seiner Wahl oder zu einem Modell auf eigener Infrastruktur. Den Anbieter wählt dann der Kunde selbst, und für dessen Verarbeitung gilt der Vertrag des Kunden mit diesem Anbieter.

Verarbeitet ein Anbieter außerhalb des EWR, gilt Abschnitt 6.

Suche und Index bleiben im Dienst. Die semantische Suche arbeitet mit Vektor-Embeddings. Im gehosteten Dienst berechnet sie ein Modell, das im Dienst selbst läuft; für Aufbau und Abfrage des Suchindex verlassen keine Inhalte den Dienst.

Keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO. Agenten führen aus, was die Mitglieder eines Projekts ihnen auftragen. Sie treffen keine Entscheidungen über Sie, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen. Was dabei entsteht, ist Projektarbeit wie Entwürfe, Vorschläge und Änderungen an Einträgen, die die Menschen im Projekt prüfen und zurücknehmen können.

5. Empfänger und Unterauftragsverarbeiter

Personenbezogene Daten geben wir nur an die folgenden Empfängerkategorien weiter. Jeder Auftragsverarbeiter arbeitet für uns auf Grundlage eines Vertrags mit den Garantien des Art. 28 DSGVO und ist zur Vertraulichkeit verpflichtet.

Die aktuelle, namentliche Liste der Unterauftragsverarbeiter des gehosteten Dienstes, einschließlich Hosting, E-Mail-Versand und Modellanbieter, enthält Anlage C zu unserem Auftragsverarbeitungsvertrag. Kunden mit Auftragsverarbeitungsvertrag erhalten sie mit diesem, alle anderen auf Anfrage.

Wir verkaufen personenbezogene Daten nicht, vermieten sie nicht und geben sie nicht zu Werbezwecken weiter.

6. Speicherort, Drittlandübermittlung und Selbstbetrieb

Wo der gehostete Dienst Daten speichert. Der gehostete Dienst läuft auf Infrastruktur in der Europäischen Union, in der Regel in Deutschland. Die Anwendungsdatenbank und hochgeladene Dateien bleiben dort. Auf Wunsch eines Kunden betreiben wir dessen Instanz auch in einer anderen Region, etwa in den USA.

Übermittlung außerhalb des EWR. Dazu kommt es in drei Fällen: wenn ein von uns beauftragter Modellanbieter außerhalb des EWR verarbeitet (Abschnitt 4), wenn ein Kunde seine Instanz auf eigenen Wunsch außerhalb des EWR betreiben lässt, und wenn ein Kunde ein eigenes System oder einen eigenen Modellzugang außerhalb des EWR anbindet. In den ersten beiden Fällen sichern wir die Übermittlung nach Art. 44 ff. DSGVO ab, über einen Angemessenheitsbeschluss der Europäischen Kommission, soweit der Empfänger davon erfasst ist, sonst über die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) samt Transfer-Folgenabschätzung und den darin ermittelten zusätzlichen technischen und organisatorischen Maßnahmen. Im dritten Fall entscheidet der Kunde über die Übermittlung und verantwortet deren Grundlage. Kopien der Garantien stellen wir auf Anfrage bereit.

Selbstbetrieb und Desktop-Version. Manager lässt sich auf eigener Infrastruktur betreiben, und die Desktop-Version hält Datenbank und Dateien auf dem Gerät, auf dem sie läuft. Verantwortlich ist dann, wer die Installation betreibt; diese Erklärung gilt dafür nicht. Daten verlassen eine solche Installation nur über die Anbindungen, die ihr Betreiber einrichtet, etwa einen externen KI-Anbieter. Mehr zu den Möglichkeiten steht auf unserer Seite zur Datensouveränität.

7. Speicherdauer und Löschung

Kontolöschung. Wird ein Konto gelöscht, löschen wir das Konto selbst sowie seine Sitzungen, API- und MCP-Schlüssel, SSO-Verbindungen, bekannten Geräte und das Profilbild. Angaben zur Urheberschaft bei Inhalten, die im Projekt bleiben, etwa Kommentaren, Aufgaben und Zeiterfassungen, anonymisieren wir; die Inhalte selbst bleiben im Projekt des Kunden.

Sicherungskopien. Wir sichern Daten, damit sie sich nach einem Ausfall wiederherstellen lassen. Sicherungen bewahren wir begrenzte Zeit auf und überschreiben sie rollierend. Aus dem Livesystem gelöschte Daten stecken deshalb noch so lange in Sicherungen, bis die betreffende Sicherung abläuft; eingespielt werden sie nur im echten Wiederherstellungsfall. Holt eine Wiederherstellung bereits gelöschte Daten zurück, löschen wir sie erneut.

Über die genannten Fristen hinaus bewahren wir Daten nur auf, wenn eine gesetzliche Pflicht das verlangt oder wir sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen.

8. Ihre Rechte

Nach Maßgabe der DSGVO haben Sie das Recht auf:

• Auskunft über die zu Ihnen verarbeiteten Daten und auf eine Kopie davon (Art. 15);
• Berichtigung unrichtiger und Vervollständigung unvollständiger Daten (Art. 16);
• Löschung (Art. 17);
• Einschränkung der Verarbeitung (Art. 18);
• Datenübertragbarkeit, also die von Ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten (Art. 20);
• Widerspruch gegen Verarbeitungen, die auf berechtigten Interessen beruhen (Art. 21); und
• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft, soweit die Verarbeitung darauf beruht (Art. 7 Abs. 3).

Widerspruchsrecht (Art. 21 DSGVO). Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, können Sie dem jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Wir stellen die Verarbeitung dann ein, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient dazu, Rechtsansprüche geltend zu machen, auszuüben oder zu verteidigen. Widersprechen Sie der Verarbeitung zu Zwecken der Direktwerbung, verarbeiten wir Ihre Daten dafür nicht mehr.

Wie Sie Ihre Rechte ausüben. Schreiben Sie an datenschutz@manager-agent.de oder an die Postanschrift aus Abschnitt 1. Die Ausübung ist für Sie kostenlos. Haben wir begründete Zweifel an Ihrer Identität, können wir zusätzliche Angaben zu deren Bestätigung verlangen. Wir antworten unverzüglich, spätestens innerhalb eines Monats; bei komplexen Anliegen können wir diese Frist um bis zu zwei weitere Monate verlängern und teilen Ihnen die Gründe mit (Art. 12 Abs. 3 DSGVO).

Wenn Ihre Daten Kundeninhalte sind. Liegen Ihre Daten im Projekt eines Kunden, der Manager beruflich nutzt, typischerweise Ihres Arbeitgebers, ist dieser Kunde verantwortlich und entscheidet über Ihren Antrag. Richten Sie ihn bitte dorthin; erreicht er uns, leiten wir ihn weiter und unterstützen den Kunden als dessen Auftragsverarbeiter, wie es der AVV vorsieht.

Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Sie können sich bei einer Aufsichtsbehörde beschweren, insbesondere in dem EU- oder EWR-Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart

Die Beschwerde bei einer Aufsichtsbehörde lässt andere Rechtsbehelfe unberührt. Sie können sich jederzeit auch direkt an uns wenden.

9. Sicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO und berücksichtigen dabei den Stand der Technik, die Umsetzungskosten und das Risiko für die betroffenen Personen. Im Überblick:

• Transportverschlüsselung (TLS) für jede Verbindung zum Dienst und zu dieser Website;
• Passwörter ausschließlich als gesalzene Hashes einer modernen Passwort-Hashfunktion;
• API- und MCP-Schlüssel nur als Hash gespeichert und auf Wunsch auf einzelne Projekte beschränkt;
• Verschlüsselung gespeicherter Geheimnisse wie der Zugangsdaten angebundener Systeme und des Mailservers sowie der Signaturschlüssel von Webhooks;
• gehärtete Sitzungscookies, die Skripte nicht auslesen können und die nur über verschlüsselte Verbindungen übertragen werden;
• rollenbasierte Zugriffskontrolle: Die Projektmitgliedschaft entscheidet, was eine Person oder ein Agent sieht;
• Schutzmaßnahmen für ausgehende Anbindungen und Webhooks;
• Audit-Protokollierung sicherheits- und verwaltungsrelevanter Vorgänge sowie Hinweise auf Anmeldungen von neuen Geräten;
• regelmäßige Sicherungskopien der Dienstdaten.

Die vollständige Beschreibung unserer technischen und organisatorischen Maßnahmen enthält Anlage B zu unserem Auftragsverarbeitungsvertrag. Kunden mit Auftragsverarbeitungsvertrag erhalten sie mit diesem, im Übrigen stellen wir sie auf Anfrage bereit.

10. Kinder

Manager richtet sich an Unternehmen und Erwachsene, ob im Beruf oder privat, und nicht an Kinder. Personenbezogene Daten von Kindern verarbeiten wir nicht wissentlich.

11. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich der Dienst, unsere Auftragsverarbeiter oder die rechtlichen Anforderungen ändern. Maßgeblich ist stets die hier und im Produkt veröffentlichte Fassung; das Datum der letzten inhaltlichen Überarbeitung steht oben. Wirkt sich eine Änderung wesentlich darauf aus, wie wir Ihre Daten verarbeiten, informieren wir Kontoinhaber vorab per E-Mail oder in der Anwendung; wo eine Änderung Ihre Einwilligung erfordert, holen wir sie ein.

12. Kontakt

Bei Fragen zu dieser Erklärung, zur Verarbeitung Ihrer Daten oder zur Ausübung Ihrer Rechte schreiben Sie an datenschutz@manager-agent.de oder an die Postanschrift aus Abschnitt 1. Unsere vollständigen Unternehmensangaben stehen im Impressum; die Vereinbarung über Kundeninhalte ist der Auftragsverarbeitungsvertrag, den wir mit dem Vertrag und auf Anfrage bereitstellen.