Datenschutzerklärung

Avora FlexCo Kohlplatz 7/303, 6600 Pflach, Österreich Firmenbuchnummer: 644584v UID: ATU81621238

Stand: 11. Oktober 2026

---

Der Schutz deiner persönlichen Daten ist für uns kein Nebenschauplatz, sondern das Fundament einer vertrauensvollen Partnerschaft mit dir. In dieser Datenschutzerklärung erklären wir dir transparent und verständlich, welche Daten wir erheben, warum wir sie verarbeiten und welche Rechte du in Bezug auf deine Daten hast. Wir verarbeiten deine Daten ausschließlich auf Grundlage der gesetzlichen Bestimmungen, insbesondere der EU-Datenschutz-Grundverordnung (DSGVO) und des österreichischen Datenschutzgesetzes (DSG).

---

§ 1 – Verantwortlicher und Datenschutzbeauftragter

1.1 Verantwortlicher

Verantwortlicher für die Datenverarbeitung im Sinne der DSGVO ist:

Avora FlexCo Kohlplatz 7/303, 6600 Pflach, Österreich FN 644584v | UID ATU81621238 E-Mail: hello@avora.digital Website: avora.digital

1.2 Datenschutzbeauftragter

Wir haben einen spezialisierten externen Datenschutzbeauftragten benannt, der uns berät und dir als unabhängiger Ansprechpartner für alle Datenschutzfragen zur Verfügung steht:

Eduard Simetzberger Okra Studio e.U. Sturzgasse 45/15, 1150 Wien, Österreich E-Mail: privacy@okra.studio

---

§ 2 – Grundlagen der Datenverarbeitung

2.1 Anwendbares Recht

Die Verarbeitung personenbezogener Daten auf der Avora Plattform erfolgt nach den Bestimmungen der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO) sowie des österreichischen Datenschutzgesetzes (DSG). Ergänzend gelten die Bestimmungen des Telekommunikationsgesetzes 2021 (TKG 2021) für elektronische Kommunikation.

2.2 Grundprinzipien

Wir verarbeiten deine Daten unter strikter Einhaltung der Grundsätze der Datenminimierung, Zweckbindung, Richtigkeit, Speicherbegrenzung und Integrität. Wir erheben nur jene Daten, die für den jeweiligen Zweck tatsächlich erforderlich sind.

2.3 Rechtsgrundlagen

Für die Verarbeitung deiner Daten stützen wir uns auf folgende Rechtsgrundlagen der DSGVO:

Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung: Die Verarbeitung ist zur Erfüllung eines Vertrags erforderlich, dessen Vertragspartei du bist (z. B. Bereitstellung deines Nutzerkontos, des Workspace, von Avora AI, der Roadmap, der Academy-Inhalte oder der Zahlungsabwicklung).

Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse: Die Verarbeitung ist zur Wahrung unserer berechtigten Interessen erforderlich, sofern nicht deine Interessen oder Grundrechte überwiegen (z. B. anonymisierte Nutzungsanalyse, Plattformsicherheit, Betrugsprävention, Fehlererkennung).

Art. 6 Abs. 1 lit. a DSGVO – Einwilligung: Du hast deine Einwilligung zur Verarbeitung für einen bestimmten Zweck gegeben (z. B. Marketing-E-Mails, Newsletter, Produktanalyse). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Art. 6 Abs. 1 lit. c DSGVO – Rechtliche Verpflichtung: Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich (z. B. Aufbewahrung von Rechnungsdaten nach der Bundesabgabenordnung).

2.4 Rollenverteilung bei Inhalten im Workspace

Diese Datenschutzerklärung beschreibt die Verarbeitungen, für die Avora Verantwortlicher ist. Für Inhalte, die Nutzer im Rahmen des Workspace in die Plattform einbringen — insbesondere Daten ihrer eigenen Kunden, Kontakte und Geschäftspartner in Kundenräumen, Dokumenten und Wissensquellen — handelt Avora als Auftragsverarbeiter nach Art. 28 DSGVO im Auftrag des jeweiligen Nutzers. Grundlage ist der Auftragsverarbeitungsvertrag, der Bestandteil der Allgemeinen Geschäftsbedingungen ist. Verantwortlicher für diese Inhalte ist der Nutzer, der sie einbringt.

---

§ 3 – Übersicht der Datenverarbeitung

Die nachfolgende Tabelle gibt dir einen kompakten Überblick über unsere Verarbeitungstätigkeiten. Detaillierte Erläuterungen findest du in den jeweils referenzierten Paragraphen.

---

§ 4 – Besuch der Plattform und Hosting

4.1 Server-Logfiles

Bei jedem Aufruf der Avora Plattform erfasst unser Hostinganbieter automatisiert technische Daten, die dein Browser übermittelt. Hierzu zählen insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite und Ressource, HTTP-Statuscode, übertragene Datenmenge, Browser-Typ und -Version, Betriebssystem sowie die verweisende Seite (Referrer). Diese Daten sind technisch notwendig, um die Plattform sicher, stabil und performant bereitzustellen und Angriffe auf unsere Infrastruktur zu erkennen. Eine Zusammenführung dieser Daten mit anderen Datenquellen findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren Bereitstellung der Plattform).

4.2 Hosting-Infrastruktur

Die Avora Plattform wird von Vercel Inc. (USA) gehostet. Vercel stellt die Serverinfrastruktur, Edge Functions und das Content-Delivery-Network bereit. Dabei werden HTTP-Anfragen einschließlich IP-Adressen und Request-Metadaten verarbeitet. Server-Logs werden für 3–7 Tage aufbewahrt. Vercel wird darüber hinaus als KI-Gateway für die Anbindung an die eingesetzten KI-Modelle von OpenAI und Google eingesetzt (vgl. § 6.3) und stellt eine Feature-Flag-Infrastruktur bereit, über die Plattformfunktionen kontextabhängig gesteuert werden (z. B. auf Basis von Nutzerrolle oder Plan). Hierbei werden keine zusätzlichen personenbezogenen Daten erhoben, die über die ohnehin verarbeiteten Kontodaten hinausgehen.

4.3 Datenbank

Die Speicherung der Plattform- und Nutzerdaten erfolgt in einer verwalteten Datenbank des Dienstes Convex (Convex, Inc., USA). Dort liegen die Inhalte der Plattform: Konto- und Organisationsdaten, Projekte, Roadmaps, Aufgaben, Berichte, Gesprächsdaten und die zugehörigen Berechtigungen. Convex stellt Datenbank und Serverfunktionen bereit und verarbeitet die dort gespeicherten Daten im Rahmen des Betriebs.

Diese Angabe wurde zum Marketing-Relaunch im August 2026 berichtigt: Sie beschrieb zuvor eine von uns selbst betriebene Datenbank auf Servern der Hetzner Online GmbH. Server der Hetzner Online GmbH in Deutschland setzen wir weiterhin für die interne Produktanalyse ein (§ 12.1).

4.4 Dateispeicher und Medien

Für die Speicherung von Uploads, Anhängen und Medieninhalten nutzen wir Cloudflare R2 sowie Cloudflare Images (Cloudflare Inc., USA). Cloudflare R2 speichert Dateien und zugehörige Metadaten. Cloudflare Images übernimmt die optimierte Auslieferung von Bildinhalten. Technische Zugriffsdaten (z. B. IP-Adressen) werden in Server-Logs kurzfristig verarbeitet.

Für Hintergrundverarbeitungen (z. B. PDF-Export, Transkriptions-Workflows) setzen wir Cloudflare Workers ein. Dabei werden die jeweils verarbeiteten Inhalte (z. B. Audio- oder PDF-Inhalte) sowie technische Job-Metadaten temporär verarbeitet und nach Abschluss des Jobs nicht dauerhaft auf Cloudflare-Servern gespeichert.

4.5 Caching und Hintergrundverarbeitung

Für temporäres Caching, Rate-Limiting und Stream-Resumption setzen wir Upstash Redis (EU) ein. Hierbei werden ausschließlich kurzlebige, technische Daten verarbeitet, die automatisch nach Ablauf gelöscht werden.

Für die asynchrone Job-Orchestrierung (z. B. zeitgesteuerte Aufgaben, Webhook-Verarbeitung) nutzen wir Upstash QStash (EU). QStash verarbeitet Job-Payloads und technische Metadaten; die Daten werden nach Ausführung des Jobs gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

---

§ 5 – Registrierung und Nutzerkonto

5.1 Erhobene Daten

Um die personalisierten Funktionen der Avora Plattform nutzen zu können, ist ein Nutzerkonto erforderlich. Bei der Registrierung werden folgende Daten erhoben: Name (zur Anzeige auf der Plattform), E-Mail-Adresse (als eindeutige Kennung und für die Kommunikation) sowie ein Passwort (das ausschließlich in sicher gehashter Form gespeichert wird). Optional kannst du ein Profilbild und weitere Profilangaben hinzufügen.

5.2 Authentifizierungsmethoden

Avora bietet dir mehrere Möglichkeiten zur Authentifizierung an. Die Authentifizierung wird über Better Auth verwaltet, eine auf unserer eigenen Infrastruktur betriebene Authentifizierungslösung:

E-Mail und Passwort: Klassische Registrierung mit sicher gehashtem Passwort.

Magic Link: Passwortlose Anmeldung über einen per E-Mail zugesandten Einmal-Link.

Google Sign-In: Optional kannst du dich mit deinem Google-Konto anmelden. Dabei werden die von Google für den gewählten Anmeldeumfang bereitgestellten Profilinformationen, in der Regel Name, E-Mail-Adresse und Profilbild, an Avora übermittelt. Die Verarbeitung im Google-Konto unterliegt zusätzlich der Datenschutzerklärung von Google.

Passkeys: Biometrische oder gerätebasierte Authentifizierung ohne Passwortübertragung. Die Passkey-Credentials werden lokal auf deinem Gerät gespeichert; Avora erhält lediglich den öffentlichen Schlüssel.

5.3 Standort- und Adresssuche im Onboarding

Im Rahmen des Onboarding-Prozesses bieten wir eine Adress- und Standortsuche an, um dein Unternehmensprofil zu vervollständigen. Hierfür nutzen wir den Dienst Mapbox Inc. (USA). Dabei werden deine Suchanfragen sowie ggf. Standort- und Geo-Informationen an Mapbox übermittelt. Die Nutzung dieser Funktion ist freiwillig.

5.4 Session-Daten

Zur Sicherung deiner Anmeldesitzung werden Session-Tokens erstellt und gespeichert. Zusätzlich werden bei jeder Anmeldung die IP-Adresse und der User-Agent deines Browsers protokolliert, um unberechtigte Zugriffe auf dein Konto erkennen zu können.

5.5 Kostenlose Testphase (Free Trial)

Wenn du eine kostenlose Testphase für ein kostenpflichtiges Abonnement nutzt, ist die Hinterlegung einer gültigen Zahlungsmethode erforderlich. Die Zahlungsmethode wird ausschließlich beim Zahlungsdienstleister Stripe gespeichert und erst bei einer tatsächlichen Umwandlung in ein kostenpflichtiges Abonnement belastet. Während der Testphase werden dieselben Daten wie bei einem regulären Abonnement verarbeitet (vgl. § 10). Wird die Testphase nicht in ein kostenpflichtiges Abonnement umgewandelt, werden die beim Zahlungsdienstleister hinterlegten Zahlungsdaten gemäß dessen Löschrichtlinien entfernt.

5.6 Speicherung und Löschung

Deine Kontodaten werden in der unter § 4.3 beschriebenen Plattformdatenbank gespeichert und dort bis zu deiner Löschanfrage aufbewahrt. Nach einer Löschanfrage werden deine personenbezogenen Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungsfristen entgegenstehen (vgl. § 15).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Adresssuche im Onboarding).

---

§ 6 – Avora AI und Roadmap

6.1 Zweck und Funktionsweise

Ein Kernbestandteil der Avora Plattform ist Avora AI, der KI-gestützte Assistent, der dich im jeweiligen Arbeitskontext unterstützt — insbesondere bei der Erstellung und laufenden Aktualisierung deiner Roadmap sowie bei Zusammenfassungen, Berichten und Vorschlägen im Workspace. Avora AI analysiert deine individuellen Angaben, um personalisierte strategische Empfehlungen und Handlungsvorschläge zu erstellen.

6.2 Verarbeitete Daten

Im Rahmen der Nutzung von Avora AI werden insbesondere folgende Daten verarbeitet: deine Antworten aus dem Onboarding-Fragebogen (Discovery-Daten zu Branche, Zielen, Ressourcen und aktuellem Digitalisierungsstand), Chat-Nachrichten zwischen dir und Avora AI, Roadmap-Daten (Ziele, Aufgaben, Fortschritt, Check-ins, Versionen) sowie Audit-Logs der KI-Interaktionen (Zeitstempel, ausgeführte Aktionen, Ein- und Ausgaben).

Die Beantwortung des Onboarding-Fragebogens ist freiwillig. Für die Erstellung einer sinnvollen Roadmap sind jedoch die grundlegenden Angaben erforderlich.

6.3 KI-Dienstleister und Datenfluss

Für die KI-gestützten Funktionen nutzen wir spezialisierte Dienstleister. Sämtliche KI-Anfragen – Chat, Auswertungen, Audio-Transkriptionen und die Berechnung von Embeddings (Vektordarstellungen für die Suche) – leiten wir über das KI-Gateway von Vercel Inc. an das jeweils eingesetzte Modell weiter. Vercel verarbeitet dabei die für die Weiterleitung erforderlichen Inhalte und technischen Metadaten.

Verarbeitung in der EU: Für jede KI-Anfrage legen wir fest, dass die Verarbeitung durch das Modell (Inferenz) in Rechenzentren in der Europäischen Union erfolgt. Es kommen nur Anbieter zum Einsatz, die diese EU-Verarbeitung anbieten; steht sie für eine Anfrage nicht zur Verfügung, wird die Anfrage nicht ausgeführt. Die Weiterleitung durch das Gateway selbst kann außerhalb der EU erfolgen.

Keine Speicherung beim Modellanbieter: Für Sprach- und Transkriptionsmodelle ist bei jeder Anfrage die Speicherung von Ein- und Ausgaben beim Modellanbieter ausgeschlossen (Zero Data Retention). Für die Berechnung von Embeddings gilt die EU-Verarbeitung; eine solche Zusage zum Ausschluss der Speicherung liegt dafür nicht vor.

OpenAI Ireland Limited (Irland): Bereitstellung der Sprachmodelle für Avora AI, die Roadmap-Generierung und weitere KI-Funktionen sowie Berechnung von Embeddings für Suche und Wissensquellen. Die Anbindung erfolgt über Vercel.

Google Cloud EMEA Limited (Irland): Bereitstellung von Gemini-Modellen über Google Cloud Vertex AI, insbesondere für die Audio-Transkription von Gesprächen und Lernvideos sowie für die Auswertung von Gesprächen. Die Anbindung erfolgt über Vercel.

6.4 KI-Memory und Wissensquellen (Personalisierung)

Zur Verbesserung der Personalisierung von Avora AI speichern wir strukturierte Memory-Fakten (z. B. deine Präferenzen, wiederkehrende Themen, Projektkontexte) pro Nutzer bzw. Projekt, um kontextbezogene und konsistente KI-Antworten über mehrere Sitzungen hinweg zu ermöglichen. Diese Memory-Fakten werden in der unter § 4.3 beschriebenen Plattformdatenbank gespeichert. Für ihre Extraktion aus dem Gesprächsverlauf und die Berechnung der Embeddings setzen wir – wie bei Avora AI generell – unsere oben genannten KI-Dienstleister ein. Ein separater externer Memory-Dienst kommt nicht zum Einsatz.

Wissensquellen: Experts können eigene Wissensquellen (z. B. Berichte, Protokolle, Vorlagen, Projektarchive) einbinden, die Avora AI für sie auswertet. Inhalte eines Kundenraums werden dabei nicht in anderen Kundenräumen offengelegt; projektübergreifende Vorschläge erfolgen ausschließlich in abstrahierter Form, ohne vertrauliche Inhalte oder personenbezogene Daten des ursprünglichen Zusammenhangs offenzulegen.

Du kannst die Löschung deiner KI-Memory-Daten jederzeit anfordern.

6.5 Datenschutzhinweise zur KI-Verarbeitung

Deine Daten werden nicht zum Training allgemeiner KI-Modelle verwendet. Weder OpenAI noch Google nutzen deine personenbezogenen Daten oder vertraulichen Unternehmenseingaben zum Training ihrer öffentlich verfügbaren Modelle. Die Datenübermittlung erfolgt ausschließlich zur Verarbeitung deiner konkreten Anfrage, in der EU und – für Sprach- und Transkriptionsmodelle – ohne Speicherung beim Modellanbieter (vgl. § 6.3).

Sämtliche KI-Tool-Ausführungen werden in einem Audit-Log mit Zeitstempel, Aktionstyp und Ergebnis protokolliert. Dies dient der Nachvollziehbarkeit und Qualitätssicherung.

6.6 Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt. Sämtliche KI-Empfehlungen sind Vorschläge; die endgültige Entscheidung triffst stets du.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

---

§ 7 – Video-Streaming, Academy und Videogespräche (Avora Meet)

7.1 Video-Bereitstellung

Für die Auslieferung von Spotlights, Basiskursen und Masterclasses nutzen wir den Video-Streaming-Dienst Mux, Inc. (USA). Mux übernimmt das Video-Hosting, die Wiedergabe, die Thumbnail-Generierung sowie die Bereitstellung von Transkripten. Beim Abspielen eines Videos werden technische Daten (IP-Adresse, Gerätetyp, User-Agent, Zeitstempel) an Mux übertragen, die für die zuverlässige Wiedergabe und Qualitätsoptimierung erforderlich sind.

7.2 Viewtime-Tracking

Zur Bereitstellung der Lernfortschrittsfunktionen erfassen wir Viewtime-Daten auf mehreren Ebenen: pro Video (Abspieldauer und Fortschritt), pro Kurs (Gesamtlernzeit), pro Themenbereich und plattformweit. Diese Daten sind für die Anzeige deines individuellen Lernfortschritts und für die Feststellung der Abschlussvoraussetzungen von Zertifikaten (§ 7.3) erforderlich.

7.3 Quiz und Zertifikate

Wenn du ein Quiz absolvierst oder dir ein Zertifikat ausgestellt wird, speichern wir die zugehörigen Ergebnisdaten (Abschlussstatus, Datum, erreichtes Ergebnis). Zertifikate werden als PDF generiert (über Cloudflare Workers, vgl. § 4.4) und enthalten deinen Namen, den Kurstitel, das Abschlussdatum und eine eindeutige Kennung.

7.4 Kein Profiling

Die erfassten Viewtime- und Lernfortschrittsdaten dienen ausschließlich betrieblichen Zwecken (Fortschrittsanzeige, Abschlussvoraussetzungen) und werden nicht zur Erstellung von Nutzerprofilen oder für Verhaltensanalysen verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Qualitätssicherung der Videowiedergabe).

---

7.5 Videogespräche (Avora Meet)

Avora Meet ist die Termin- und Gesprächsfunktion der Plattform. Für die Übertragung von Ton und Bild setzen wir die Videokonferenz-Software LiveKit ein. Wir betreiben die dafür eingesetzte Instanz selbst; ein Cloud-Dienst des Software-Anbieters wird nicht genutzt. LiveKit, Inc. ist daher kein Empfänger deiner Daten. Während eines Gesprächs werden die Audio- und Videoströme der Teilnehmenden sowie technische Verbindungsdaten (IP-Adresse, Gerätetyp, Zeitstempel, Verbindungsqualität) verarbeitet, soweit dies für die Übertragung erforderlich ist.

7.6 Teilnahme als Gast ohne Konto

An einem Gespräch kann auch teilnehmen, wer kein Avora-Konto hat. Die Einladung erfolgt über einen personalisierten Link. Verarbeitet werden dabei der Name und die E-Mail-Adresse, die die einladende Person angegeben hat, sowie die Angaben, die der Gast vor dem Beitritt selbst macht.

7.7 Transkription und weitere Nutzung — nur mit Einwilligung

Ein Gespräch wird nur dann transkribiert, wenn die Teilnehmenden zuvor ausdrücklich zugestimmt haben. Die Zustimmung wird pro Person und pro Gespräch erfasst und kann die Zustände „ausstehend”, „erteilt”, „abgelehnt” und „widerrufen” annehmen; als Nachweis der Erteilung speichern wir Zeitpunkt, IP-Adresse und User-Agent. Gäste ohne Konto treffen diese Entscheidung im Beitrittsdialog, bevor sie dem Gespräch beitreten.

Getrennt davon wird abgefragt, ob das Gespräch dauerhaft als Wissen im zugehörigen Projekt genutzt werden darf, also in den Kontext einfließen darf, aus dem Avora AI antwortet. Auch diese Zustimmung ist eigenständig und kann abgelehnt werden, ohne dass die Teilnahme am Gespräch entfällt.

Für die Umwandlung der Audioaufnahme in Text setzen wir die in § 6.3 genannten Dienstleister ein; die technische Hintergrundverarbeitung erfolgt wie in § 4.4 beschrieben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Durchführung des Gesprächs; Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für Transkription und die dauerhafte Nutzung als Projektwissen.

Aufbewahrung: Aufzeichnungen und Transkripte werden im Dateispeicher nach § 4.4 abgelegt. Der Inhaber des zugehörigen Kundenraums kann sie jederzeit löschen. Unabhängig davon werden sie spätestens 12 Monate nach der Aufzeichnung automatisch gelöscht, bei Beendigung des zugehörigen Mandats spätestens 90 Tage nach dessen Ende (vgl. § 15.2).

---

§ 8 – Organisationen, Teams und Kundenräume

8.1 Organisationsdaten

Wenn du als Owner eine Organisation erstellst, verarbeiten wir den Organisationsnamen, deine Kontakt- und Abrechnungsdaten sowie die Verwaltung der zugewiesenen Seats. Bei der Einladung von Teammitgliedern wird deren E-Mail-Adresse verarbeitet und eine Einladungs-E-Mail versendet.

8.2 Datenschutz innerhalb der Organisation

Der Schutz individueller Nutzerdaten innerhalb einer Organisation ist uns besonders wichtig:

Individuelle Avora-AI-Chats: Deine Chat-Verläufe mit Avora AI sind privat und können weder vom Owner noch von anderen Teammitgliedern eingesehen werden.

Persönliche Roadmap: Deine persönliche Roadmap ist ausschließlich für dich sichtbar. Die Unternehmens-Roadmap der Organisation ist davon getrennt und wird vom Owner verwaltet.

Lernfortschritt: Dein individueller Lernfortschritt ist nur für dich sichtbar. Der Owner erhält lediglich aggregierte Nutzungsstatistiken (z. B. letzter Anmeldezeitpunkt, Anzahl gestarteter Kurse).

8.3 Kundenräume und Gastzugang

Experts können für die Zusammenarbeit mit ihren Kunden Kundenräume anlegen und Personen per E-Mail-Einladung oder Einladungslink hinzufügen. Dabei verarbeiten wir die vom Einladenden angegebene E-Mail-Adresse und den Namen der eingeladenen Person sowie nach deren Beitritt die Aktivitäten im Kundenraum (z. B. Kommentare, aufgerufene Inhalte, Freigaben). Für die Inhalte des Kundenraums gilt die Rollenverteilung nach § 2.4: Verantwortlich ist der Nutzer, der die Inhalte einbringt; Avora verarbeitet sie in dessen Auftrag.

8.4 Austritt aus einer Organisation

Wenn du aus einer Organisation entfernt wirst oder selbst austrittst, wird dein Konto auf das kostenlose Konto herabgestuft. Deine individuellen Daten (persönliche Roadmap, Avora-AI-Verlauf, Lernfortschritt) verbleiben bei deinem Nutzerkonto. Der Zugang zur Unternehmens-Roadmap wird entzogen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

---

§ 9 – Expertennetzwerk

9.1 Expert-Profile

Experts, die sich über die Plattform listen, erstellen ein öffentlich sichtbares Profil mit Angaben zu Name, Fachgebieten, Qualifikationen und Kontaktinformationen. Die Sichtbarkeit und Bearbeitung des Profils liegt in der Verantwortung des jeweiligen Experts.

9.2 NDA-System

Wenn du deine Roadmap mit einem Expert teilst, muss dieser zuvor eine Vertraulichkeitsvereinbarung (NDA) akzeptieren. Zur rechtlichen Absicherung protokollieren wir bei der NDA-Akzeptanz: Zeitstempel, IP-Adresse, User-Agent, akzeptierte NDA-Version und ggf. das Fälligkeitsdatum für eine Erneuerung. Diese Daten werden aus berechtigtem rechtlichem Interesse unbefristet aufbewahrt.

9.3 Roadmap-Sharing

Du entscheidest selbst, welche Teile deiner Roadmap du mit einem Expert teilst. Der Zugang für den Expert ist zeitlich begrenzt: standardmäßig 30 Tage, bei erhöhter Vertraulichkeit 14 Tage. Nach Ablauf dieser Frist wird der Zugriff des Expert automatisch entzogen.

9.4 Kommunikationsverläufe

Nachrichten zwischen dir und Experts werden auf der Plattform gespeichert, um die Nachvollziehbarkeit der Beratung sicherzustellen. Diese Kommunikation unterliegt der NDA-Verpflichtung des Expert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der rechtlichen Absicherung der NDA-Dokumentation).

---

§ 10 – Zahlung und Abrechnung

10.1 Billing- und Zahlungsdienstleister

Für die Tarif-, Nutzungs- und Berechtigungsverwaltung nutzen wir Autumn von Rebase, Inc. (USA). Autumn verwaltet Kundendaten, Nutzungsmetriken und den Bezug zu den jeweiligen Abonnementplänen.

Die eigentliche Zahlungsabwicklung erfolgt über Stripe Payments Europe, Limited (Irland), eingebunden über Autumn. Stripe verarbeitet Kreditkarten-, SEPA- und weitere Zahlungsdaten.

10.2 Verarbeitete Daten

Im Rahmen der Zahlungsabwicklung werden verarbeitet: Rechnungsadresse, Zahlungsmethode (Kreditkarte, SEPA, etc.), Transaktions-IDs und Zeitstempel, Abonnementverlauf und Rechnungen, Nutzungsmetriken (für nutzungsbasierte Abrechnung) sowie Erstattungs- und Rückbuchungsdaten.

10.3 Sicherheit der Zahlungsdaten

Avora speichert keine vollständigen Kreditkartendaten. Die Speicherung und Verarbeitung sensibler Zahlungsinformationen erfolgt ausschließlich auf den PCI-DSS-zertifizierten Servern von Stripe. Avora speichert lediglich die letzten vier Ziffern der Kartennummer, den Kartentyp und das Ablaufdatum zur Anzeige in deinem Konto. Für wiederkehrende Zahlungen wird ein sicheres Token (kein vollständiger Kartendatensatz) verwendet.

10.4 Speicherdauer

Zahlungs- und Rechnungsdaten werden gemäß den Bestimmungen der österreichischen Bundesabgabenordnung (BAO) für sieben Jahre aufbewahrt. Diese gesetzliche Aufbewahrungspflicht besteht unabhängig von einer Kontolöschung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung zur Aufbewahrung steuerrelevanter Unterlagen).

---

§ 11 – E-Mail-Kommunikation und Benachrichtigungen

11.1 E-Mail-Versand

Für den Versand sämtlicher E-Mails nutzen wir Loops von Astrodon Corporation (USA). Loops verarbeitet dabei deine E-Mail-Adresse, deinen Namen sowie Auslöser- und Ereignisdaten, die den Versandanlass bestimmen.

Transaktionale E-Mails umfassen Registrierungsbestätigungen, Passwort-Zurücksetzungen, Magic Links, Abonnementbestätigungen, Rechnungen und wichtige Kontomitteilungen (z. B. Anmeldung von einem neuen Gerät). Diese E-Mails sind für den Betrieb deines Kontos erforderlich und können nicht abbestellt werden.

Marketing-E-Mails umfassen Onboarding-Sequenzen, Feature-Updates, Lerntipps, Newsletter und Sonderangebote. Der Versand erfolgt ausschließlich auf Grundlage deiner Einwilligung. Jede Marketing-E-Mail enthält einen Abmeldelink, über den du dich jederzeit mit einem Klick abmelden kannst.

11.2 Push-Benachrichtigungen und Echtzeit-Updates

Für Echtzeit-Benachrichtigungen auf der Plattform (z. B. Roadmap-Updates, Meilenstein-Benachrichtigungen, Expertennetzwerk-Nachrichten, Upload-Status) setzen wir Ably Realtime Ltd (UK/EU) ein. Ably verarbeitet dabei Event-Payloads einschließlich IDs und Statusdaten sowie Verbindungsmetadaten (Nutzer-ID, Session-Token, Zeitstempel). Echtzeitnachrichten werden nicht persistent gespeichert.

Push-Benachrichtigungen über die Web-Push-API erfolgen nur nach deiner ausdrücklichen Zustimmung. Hierfür werden Push-Subscription-Endpunkte und kryptographische Schlüssel in deinem Browser bzw. beim Push-Service deines Browsers gespeichert. Du kannst Push-Benachrichtigungen jederzeit in den Browser- oder Plattformeinstellungen deaktivieren.

11.3 In-App-Benachrichtigungen

Benachrichtigungen innerhalb der Plattform (z. B. Erinnerungen, Hinweise von Avora AI, Statusänderungen) werden in deinem Nutzerkonto gespeichert und bei Kontolöschung gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (transaktionale E-Mails, In-App-Benachrichtigungen); Art. 6 Abs. 1 lit. a DSGVO (Marketing-E-Mails, Push-Benachrichtigungen).

---

§ 12 – Produktanalyse, Cookies und lokale Speicherung

12.1 Produktanalyse mit OpenPanel

Zur Verbesserung unserer Plattform nutzen wir OpenPanel, eine Analysesoftware, die wir selbst auf unseren Hetzner-Servern in Deutschland betreiben. OpenPanel wird dabei nicht als externer Cloud-Dienst genutzt.

OpenPanel verwendet keine Cookies und erfasst Eventdaten sowie einen Profilbezug ausschließlich auf Basis deiner Einwilligung (Consent-Steuerung im Frontend). Ohne deine Zustimmung werden keine personenbezogenen Analysedaten erhoben. OpenPanel gibt keine Daten an Dritte weiter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für personenbezogene Eventdaten; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für vollständig anonymisierte, aggregierte Auswertungen.

12.2 Cookies

Avora verwendet keine Tracking-Cookies, keine Werbe-Cookies und keine Cookies von Drittanbietern zu Marketingzwecken. Wir setzen ausschließlich technisch notwendige Cookies ein:

Session-Cookie: Speichert dein Sitzungstoken für die sichere Authentifizierung. Gültigkeitsdauer: bis zum Logout oder maximal 30 Tage.

CSRF-Schutz-Cookie: Schützt vor Cross-Site-Request-Forgery-Angriffen. Rein technisch, enthält keine personenbezogenen Daten.

Für technisch notwendige Cookies ist gemäß § 165 Abs. 3 TKG 2021 keine Einwilligung erforderlich.

12.3 Lokale Speicherung (LocalStorage)

Im LocalStorage deines Browsers speichern wir: Authentifizierungs-Tokens (Access- und Refresh-Token), UI-Einstellungen (z. B. Dark/Light-Mode, Sidebar-Status) und temporäre Formulardaten (nicht serverseitig gespeichert). Diese Daten werden lokal auf deinem Gerät verarbeitet und bei Logout oder manueller Löschung entfernt.

---

§ 13 – Fehlererkennung, Monitoring und interne Benachrichtigungen

13.1 Error Monitoring

Zur Erkennung und Behebung von technischen Fehlern setzen wir Sentry von Functional Software, Inc. (USA) ein. Die Projektdaten werden in der von Sentry angebotenen Speicherregion Deutschland verarbeitet. Sentry erfasst Fehlerberichte, Stack-Traces und Anfragekontext (z. B. URL, Browser-Version, Zeitstempel). Der Umfang der erfassten Daten hängt von der jeweiligen Konfiguration ab; wir beschränken die Erfassung personenbezogener Daten in Fehlerberichten auf das technisch Notwendige.

13.2 Interne Statusbenachrichtigungen

Für die interne Benachrichtigung des Betriebsteams nutzen wir die Telegram Bot API von Telegram Messenger Inc. Über einen internen Bot werden Statusmeldungen zu plattformrelevanten Ereignissen an das Betriebsteam übermittelt. Hierzu können zählen: technische Fehlermeldungen und Alarm-Metadaten, Benachrichtigungen über neue Registrierungen, Masterclass-Verkäufe, Expert-Bewerbungen oder sonstige geschäftsrelevante Vorgänge. In diesen Benachrichtigungen können personenbezogene Daten enthalten sein (z. B. Name, E-Mail-Adresse, Art des Vorgangs). Die Übermittlung erfolgt ausschließlich an einen geschlossenen, internen Telegram-Kanal und dient der operativen Betriebsführung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der operativen Betriebsführung, Sicherstellung des Plattformbetriebs und der schnellen Reaktion auf geschäftsrelevante Ereignisse).

---

§ 14 – Internationale Datenübertragungen und Dienstleister

14.1 Grundsätze

Soweit wir personenbezogene Daten an Dienstleister in Drittstaaten (insbesondere die USA) übermitteln, stellen wir durch geeignete Garantien sicher, dass deine Daten ein angemessenes Schutzniveau erhalten.

14.2 Übertragungsmechanismen

Die folgende Übersicht nennt den öffentlich belegten Unternehmenssitz und den im Repository nachweisbaren technischen Zweck. Der Unternehmenssitz ist nicht automatisch mit jedem technischen Verarbeitungsort gleichzusetzen. Die datenschutzrechtliche Rolle und eine gegebenenfalls erforderliche Transfergrundlage lassen sich nicht aus der Softwareintegration ableiten, sondern müssen anhand des jeweils geltenden Vertrags geprüft werden.

14.3 Übersicht der eingesetzten Dienstleister

Selbst betriebene Software wie OpenPanel ist kein zusätzlicher externer Empfänger. Die Verarbeitung auf dem zugrunde liegenden Server ist bei Hetzner ausgewiesen.

14.4 Weitere Empfänger

Bei optionalen oder internen Funktionen können Daten außerdem an folgende Empfänger gelangen:

Ob ein Anbieter im konkreten Verarbeitungsschritt als Auftragsverarbeiter oder in eigener Verantwortung handelt, richtet sich nach der jeweiligen Funktion und dem zugrunde liegenden Vertrag.

---

§ 15 – Speicherdauer und Löschung

15.1 Allgemeiner Grundsatz

Wir speichern deine personenbezogenen Daten nur so lange, wie es für die Erbringung unserer Dienste erforderlich ist oder gesetzliche Aufbewahrungsfristen es vorschreiben.

15.2 Speicherdauer nach Datenkategorie

Kontodaten (Name, E-Mail, Profil): Bis zur Löschanfrage; nach Anfrage Löschung innerhalb von 30 Tagen.

Avora-AI-Daten (Chat-Verläufe, Roadmap, KI-Memory): Bis zur Kontolöschung; nach Anfrage Löschung innerhalb von 30 Tagen.

Aufzeichnungen und Transkripte (Avora Meet): Löschung durch den Inhaber des Kundenraums jederzeit möglich; automatische Löschung spätestens 12 Monate nach der Aufzeichnung, bei Beendigung des zugehörigen Mandats spätestens 90 Tage nach dessen Ende.

Lernfortschritt und Zertifikate: Bis zur Kontolöschung. Hinweis: Zertifikate können vor der Löschung exportiert werden (PDF).

Zahlungs- und Rechnungsdaten: Sieben Jahre ab Ende des Geschäftsjahrs gemäß österreichischer Bundesabgabenordnung (BAO).

NDA-Protokolldaten: Unbefristete Aufbewahrung zur Sicherung der rechtlichen Nachweisbarkeit.

Server-Logs: 3–7 Tage.

Fehlerberichte (Sentry): Kurzfristige Aufbewahrung zur Fehlerbehebung; automatische Löschung nach konfiguriertem Zeitraum.

Session-Tokens: Sofortige Löschung bei Logout oder Kontolöschung.

15.3 Kontolöschung

Du kannst dein Konto jederzeit in den Kontoeinstellungen löschen. Die Löschung ist nach Ablauf der 30-Tage-Frist unwiderruflich. Unmittelbare Auswirkungen der Löschung: Dein Konto wird gesperrt und alle Funktionen sind nicht mehr zugänglich. Daten, die einer gesetzlichen Aufbewahrungsfrist unterliegen (insb. Zahlungsdaten, NDA-Protokolle), werden erst nach Ablauf der jeweiligen Frist gelöscht.

15.4 Anonymisierung

Bestimmte Daten (z. B. aggregierte Viewtime-Statistiken, anonymisierte Nutzungsanalysen) werden anstelle einer Löschung anonymisiert. Anonymisierte Daten lassen keinen Rückschluss auf deine Person zu und unterliegen nicht mehr der DSGVO.

15.5 Datenexport

Vor einer Kontolöschung kannst du gemäß Art. 20 DSGVO einen Export deiner personenbezogenen Daten anfordern. Hierzu zählen insbesondere deine Roadmap (PDF oder maschinenlesbares Format), Zertifikate, Lernfortschritt und Avora-AI-Verläufe. Wende dich dazu an privacy@okra.studio oder nutze die Exportfunktion in deinen Kontoeinstellungen.

15.6 Verarbeitung durch Drittanbieter nach Löschung

Unsere KI-Dienstleister können Anfragen und Antworten für zeitlich begrenzte Sicherheits-, Missbrauchspräventions- oder gesetzliche Zwecke aufbewahren. Die konkrete Dauer richtet sich nach dem eingesetzten Dienst, Tarif und Vertrag. Der Zahlungsdienstleister Stripe bewahrt Transaktionsdaten gemäß seinen gesetzlichen Verpflichtungen auf. Gesetzliche oder vertragliche Aufbewahrungsfristen bei Drittanbietern können über die Löschung bei Avora hinausreichen.

---

§ 16 – Deine Rechte

16.1 Überblick

Als betroffene Person stehen dir nach der DSGVO folgende Rechte zu:

Recht auf Auskunft (Art. 15 DSGVO): Du hast das Recht, eine Bestätigung darüber zu verlangen, ob und welche personenbezogenen Daten wir über dich verarbeiten, sowie eine Kopie dieser Daten zu erhalten.

Recht auf Berichtigung (Art. 16 DSGVO): Du hast das Recht, die Berichtigung unrichtiger oder die Vervollständigung unvollständiger Daten zu verlangen. Viele Angaben (Name, E-Mail, Profil) kannst du direkt in deinen Kontoeinstellungen ändern.

Recht auf Löschung (Art. 17 DSGVO): Du hast das Recht, die Löschung deiner personenbezogenen Daten zu verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Du kannst dein Konto direkt in den Einstellungen löschen oder eine gezielte Datenlöschung bei uns anfordern.

Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Du hast das Recht, die Einschränkung der Verarbeitung zu verlangen, z. B. wenn die Richtigkeit der Daten bestritten wird oder die Verarbeitung unrechtmäßig ist.

Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Du hast das Recht, deine personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder deren Übermittlung an einen anderen Verantwortlichen zu verlangen.

Recht auf Widerspruch (Art. 21 DSGVO): Du hast das Recht, gegen die Verarbeitung deiner Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) Widerspruch einzulegen. Dies gilt insbesondere für die Nutzungsanalyse. Gegen die Verarbeitung zu Direktmarketingzwecken kannst du jederzeit ohne Angabe von Gründen widersprechen.

Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Soweit die Verarbeitung auf deiner Einwilligung beruht, kannst du diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

16.2 Ausübung deiner Rechte

Du kannst deine Rechte auf folgende Weise ausüben:

Self-Service: Viele Änderungen (Profilbearbeitung, Kontolöschung, Datenexport, Marketing-Abmeldung) kannst du direkt in deinen Kontoeinstellungen vornehmen.

Datenschutzbeauftragter: Für alle Datenschutzanfragen wende dich an unseren externen Datenschutzbeauftragten: privacy@okra.studio.

Rechtsabteilung: Alternativ erreichst du uns unter legal@avora.digital.

Support: Für plattformbezogene Fragen mit Datenschutzbezug (z. B. Konto-Einstellungen, Datenexport) steht dir unser Support unter support@avora.digital zur Verfügung.

Anfragen werden kostenfrei und innerhalb von 30 Tagen bearbeitet. Bei besonders komplexen oder zahlreichen Anfragen kann die Frist um weitere 60 Tage verlängert werden; in diesem Fall informieren wir dich vorab. Zur Identitätsprüfung kann bei sensiblen Anfragen ein Nachweis erforderlich sein.

16.3 Beschwerde bei der Aufsichtsbehörde

Du hast das Recht, dich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren, wenn du der Ansicht bist, dass die Verarbeitung deiner Daten gegen die DSGVO verstößt. Die für uns zuständige Aufsichtsbehörde ist:

Österreichische Datenschutzbehörde (DSB) Barichgasse 40–42, 1030 Wien Website: www.dsb.gv.at E-Mail: dsb@dsb.gv.at

---

§ 17 – Datensicherheit, Änderungen und Schlussbestimmungen

17.1 Datensicherheit

Wir schützen deine Daten durch angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Hierzu zählen insbesondere: SSL/TLS-Verschlüsselung für sämtliche Datenübertragungen, sichere Passwort-Hashes nach aktuellem Stand der Technik, verschlüsselte Datenhaltung in der Datenbank (Encryption at Rest), rollenbasierte Zugriffskontrolle für interne Systeme, Rate-Limiting und Schutz vor Brute-Force-Angriffen, regelmäßige Sicherheitsüberprüfungen, technische Fehlerüberwachung und Vertraulichkeitsverpflichtungen für alle Mitarbeiter und Auftragnehmer.

17.2 Kinder und Minderjährige

Die Avora Plattform richtet sich an volljährige Personen (ab 18 Jahren). Wir erheben wissentlich keine personenbezogenen Daten von Minderjährigen. Sollten wir Kenntnis davon erlangen, dass ein Minderjähriger ohne Zustimmung der Erziehungsberechtigten Daten übermittelt hat, werden diese unverzüglich gelöscht.

17.3 Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, um sie an geänderte Rechtslagen, neue Plattformfunktionen oder aktualisierte Auftragsverarbeiter anzupassen. Bei wesentlichen Änderungen, die deine Rechte betreffen, informieren wir dich mindestens 30 Tage vor Inkrafttreten per E-Mail an deine hinterlegte E-Mail-Adresse. Für deinen Besuch gilt stets die unter avora.digital/privacy veröffentlichte aktuelle Fassung.

17.4 Anwendbares Recht und Gerichtsstand

Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts. Gerichtsstand ist – soweit gesetzlich zulässig – das sachlich zuständige Gericht am Sitz der Avora FlexCo. Die Anwendbarkeit des österreichischen Konsumentenschutzgesetzes (KSchG) bleibt für Verbraucher unberührt; insbesondere bleibt der Gerichtsstand am Wohnsitz des Verbrauchers gewahrt.

17.5 Kanonische URL

Die jeweils aktuelle Fassung dieser Datenschutzerklärung ist dauerhaft unter avora.digital/privacy abrufbar.

---

Bei Fragen zum Datenschutz wende dich bitte an unseren Datenschutzbeauftragten: Eduard Simetzberger – privacy@okra.studio