PREVENCY Data Act Information

Version 22 October 2026

This page provides information concerning the PREVENCY platform pursuant to Articles 26 and 28 of Regulation (EU) 2023/2854. It supplements section 9 of the PREVENCY General Terms and Conditions.

1 Scope

This information applies where the PREVENCY platform constitutes a data processing service within the meaning of Regulation (EU) 2023/2854. It does not apply independently to consulting, training, simulation or project services that do not involve the provision of the platform as a data processing service.

2 Switching and portability procedure

A customer may request that PREVENCY:

facilitate switching to another provider of the same service type;
transfer exportable data to the customer’s own infrastructure; or
delete the customer’s exportable data and digital assets after termination.

The request must be submitted in text form to office(at)prevency.com or to the contractual PREVENCY contact. It should identify the customer organisation, the requested action, a responsible contact person and, where applicable, the intended destination provider.

The maximum notice period for initiating the switching process is two months unless a shorter contractual termination period applies. The standard transition period is no more than 30 calendar days.

If completion within 30 calendar days is technically unfeasible, PREVENCY will inform the customer within 14 business days after receipt of the request, explain the technical reasons and specify an alternative transition period not exceeding seven months.

The customer may extend the transition period once by a period it considers more appropriate for its own purposes. The customer must notify PREVENCY in text form no later than the end of the current transition period.

During the switching process, PREVENCY maintains the agreed functions, security and business continuity to the extent within its responsibility and informs the customer of known risks that may affect continuity.

After the transition period, the exportable data remain retrievable for at least 30 calendar days. PREVENCY then deletes the exportable data and digital assets unless a statutory retention obligation, a permitted longer agreement or the applicable Data Processing Agreement requires otherwise. PREVENCY confirms completion of the switching process and termination of the contract in text form.

3 Exportable data and formats

The standard platform export is provided in structured, machine-readable JSON format.

Depending on the contracted functions and the data technically available for the relevant customer organisation, the export may include:

user and role data;
project and exercise data;
simulation data;
customer content and communications;
reports and evaluations; and
associated customer-attributable metadata.

Data types that cannot reasonably be represented in JSON are provided in their customary file format where technically available.

PREVENCY provides the description required to understand and use the JSON export without a separate charge. Unless expressly agreed otherwise, the export is a point-in-time export and not a continuous synchronisation service.

4 Excluded data and known limitations

The export does not include internal PREVENCY data or digital assets whose disclosure would impair intellectual-property rights, trade secrets or security. This includes in particular:

source code and executable components of the PREVENCY platform;
proprietary models, algorithms and internal prompts;
internal security configurations;
internal system and staff audit data;
general telemetry and internal operating data; and
effectively anonymised or aggregated information.

These exclusions will not be used to prevent or unreasonably delay a switching process.

The destination system may use different data structures, functions and terminology. The customer or destination provider is responsible for mapping and importing the exported data into the destination system. PREVENCY does not guarantee that another service will reproduce the functions or presentation of the PREVENCY platform.

Data that has already been lawfully deleted or has expired before creation of the export is not reconstructed.

5 Infrastructure jurisdictions

The infrastructure used depends on the services commissioned for the respective customer project. The general processing locations are:

core platform hosting, databases, storage and backup infrastructure: Germany;
media storage and commissioned AI-assisted content processing through AWS: EU regions, in particular Germany;
automated sentiment analysis through Google Cloud, where commissioned: EU endpoint;
AI-assisted preparation of exercises and scenarios through OpenAI, where commissioned and involving customer personal data: European Union and, where applicable, third countries subject to appropriate safeguards;
business communication and document collaboration through Microsoft: European Union and European Economic Area;
email security and related protection services: European Union; and
domain, hosting and email infrastructure: Germany.

Project-specific sub-processors, processing locations and transfer safeguards are listed in Annex 3 to the PREVENCY Data Processing Agreement.

6 Safeguards against unlawful international governmental access

PREVENCY applies technical, organisational and contractual measures intended to protect customer data held in the European Union against unlawful international governmental access or transfer. These measures include:

selection of European processing locations where available;
encrypted transport connections;
encryption of storage systems and backups as described in the applicable Data Processing Agreement;
personal accounts and role-based access restrictions;
data minimisation and separation of customer organisations;
contractual confidentiality and data-protection obligations; and
use of adequacy decisions, the European Commission’s Standard Contractual Clauses or another lawful transfer mechanism where required.

PREVENCY does not voluntarily disclose customer data to third-country public authorities. Any legally binding request is reviewed as to its legal basis and scope. Where legally permissible and reasonably possible, PREVENCY challenges disproportionate requests, limits disclosure to the legally required minimum and informs the affected customer.

7 Switching charges

Until and including 11 January 2027, switching charges may not exceed costs directly incurred through the switching process and must have been disclosed before conclusion of the contract.

From 12 January 2027, PREVENCY does not charge switching fees. Regular contractual fees until termination and separately commissioned services outside the statutory switching obligations remain unaffected.

8 Contact

PREVENCY GmbH
Güterstraße 20
42117 Wuppertal
Germany

Email: office(at)prevency.com
Website: https://prevency.com

PREVENCY Informationen zum EU Data Act

Stand 22. Oktober 2026

Diese Seite enthält Informationen zur PREVENCY-Plattform gemäß den Artikeln 26 und 28 der Verordnung (EU) 2023/2854. Sie ergänzt Ziffer 9 der Allgemeinen Geschäftsbedingungen von PREVENCY.

1 Anwendungsbereich

Diese Informationen gelten, soweit die PREVENCY-Plattform einen Datenverarbeitungsdienst im Sinne der Verordnung (EU) 2023/2854 darstellt. Sie gelten nicht eigenständig für Beratungs-, Trainings-, Simulations- oder Projektleistungen, bei denen die Plattform nicht als Datenverarbeitungsdienst bereitgestellt wird.

2 Verfahren für Anbieterwechsel und Datenübertragung

Der Auftraggeber kann PREVENCY auffordern:

den Wechsel zu einem anderen Anbieter derselben Dienstart zu unterstützen;
exportierbare Daten auf die eigene Infrastruktur des Auftraggebers zu übertragen; oder
die exportierbaren Daten und digitalen Vermögenswerte nach Vertragsende zu löschen.

Die Aufforderung ist in Textform an office(at)prevency.com oder den vertraglichen Ansprechpartner bei PREVENCY zu richten. Sie soll die Kundenorganisation, die gewünschte Maßnahme, einen verantwortlichen Ansprechpartner und gegebenenfalls den vorgesehenen Zielanbieter benennen.

Die Frist zur Einleitung des Wechselprozesses beträgt höchstens zwei Monate, soweit keine kürzere vertragliche Kündigungsfrist gilt. Die reguläre Übergangsphase beträgt höchstens 30 Kalendertage.

Ist der Abschluss innerhalb von 30 Kalendertagen technisch nicht möglich, informiert PREVENCY den Auftraggeber innerhalb von 14 Werktagen nach Eingang der Aufforderung, erläutert die technischen Gründe und benennt eine alternative Übergangsfrist von höchstens sieben Monaten.

Der Auftraggeber kann die Übergangsphase einmal um einen Zeitraum verlängern, den er für seine Zwecke als angemessener erachtet. Die Verlängerung ist PREVENCY spätestens bis zum Ablauf der laufenden Übergangsphase in Textform mitzuteilen.

Während des Wechselprozesses erhält PREVENCY die vereinbarten Funktionen, die Sicherheit und die Geschäftskontinuität aufrecht, soweit diese in seinem Verantwortungsbereich liegen, und informiert den Auftraggeber über bekannte Risiken für die Kontinuität.

Nach der Übergangsphase bleiben die exportierbaren Daten mindestens 30 Kalendertage abrufbar. Anschließend löscht PREVENCY die exportierbaren Daten und digitalen Vermögenswerte, soweit keine gesetzliche Aufbewahrungspflicht, keine zulässige längere Vereinbarung oder der geltende Auftragsverarbeitungsvertrag etwas anderes verlangt. PREVENCY bestätigt den Abschluss des Wechselprozesses und die Beendigung des Vertrags in Textform.

3 Exportierbare Daten und Formate

Der standardmäßige Plattformexport wird im strukturierten und maschinenlesbaren JSON-Format bereitgestellt.

Abhängig von den vereinbarten Funktionen und den für die jeweilige Kundenorganisation technisch vorhandenen Daten kann der Export insbesondere enthalten:

Benutzer- und Rollendaten;
Projekt- und Übungsdaten;
Simulationsdaten;
Kundeninhalte und Kommunikationsdaten;
Berichte und Auswertungen; sowie
zugehörige, dem Auftraggeber zuordenbare Metadaten.

Datenarten, die nicht sinnvoll im JSON-Format abgebildet werden können, werden, soweit technisch verfügbar, in ihrem üblichen Dateiformat bereitgestellt.

PREVENCY stellt die zum Verständnis und zur Nutzung des JSON-Exports erforderliche Beschreibung ohne gesondertes Entgelt zur Verfügung. Soweit nicht ausdrücklich anders vereinbart, handelt es sich um einen zeitpunktbezogenen Export und nicht um eine fortlaufende Synchronisationsleistung.

4 Ausgeschlossene Daten und bekannte Beschränkungen

Nicht exportiert werden interne Daten oder digitale Vermögenswerte von PREVENCY, deren Offenlegung Rechte des geistigen Eigentums, Geschäftsgeheimnisse oder die Sicherheit beeinträchtigen würde. Hierzu gehören insbesondere:

Quellcode und ausführbare Komponenten der PREVENCY-Plattform;
proprietäre Modelle, Algorithmen und interne Prompts;
interne Sicherheitskonfigurationen;
interne System- und Staff-Auditdaten;
allgemeine Telemetrie und interne Betriebsdaten; sowie
wirksam anonymisierte oder aggregierte Informationen.

Diese Ausnahmen werden nicht dazu verwendet, einen Wechselprozess zu verhindern oder unangemessen zu verzögern.

Das Zielsystem kann andere Datenstrukturen, Funktionen und Begriffe verwenden. Für die Zuordnung und den Import der exportierten Daten in das Zielsystem sind der Auftraggeber oder der Zielanbieter verantwortlich. PREVENCY gewährleistet nicht, dass ein anderer Dienst die Funktionen oder Darstellung der PREVENCY-Plattform reproduziert.

Daten, die vor Erstellung des Exports bereits rechtmäßig gelöscht wurden oder deren Aufbewahrungsdauer abgelaufen ist, werden nicht wiederhergestellt.

5 Infrastruktur-Jurisdiktionen

Die eingesetzte Infrastruktur hängt von den für das jeweilige Kundenprojekt beauftragten Leistungen ab. Die allgemeinen Verarbeitungsorte sind:

zentraler Plattformbetrieb, Datenbanken, Speicherung und Sicherungsinfrastruktur: Deutschland;
Medienspeicherung und beauftragte KI-gestützte Inhaltsverarbeitung über AWS: EU-Regionen, insbesondere Deutschland;
automatisierte Sentimentanalyse über Google Cloud, soweit beauftragt: EU-Endpunkt;
KI-gestützte Vorbereitung von Übungen und Szenarien über OpenAI, soweit beauftragt und dabei personenbezogene Kundendaten verarbeitet werden: Europäische Union und gegebenenfalls Drittländer mit geeigneten Garantien;
geschäftliche Kommunikation und Dokumentenzusammenarbeit über Microsoft: Europäische Union und Europäischer Wirtschaftsraum;
E-Mail-Sicherheit und damit verbundene Schutzleistungen: Europäische Union; sowie
Domain-, Hosting- und E-Mail-Infrastruktur: Deutschland.

Projektspezifische Unterauftragsverarbeiter, Verarbeitungsorte und Übermittlungsgarantien ergeben sich aus Anlage 3 des PREVENCY-Auftragsverarbeitungsvertrags.

6 Schutz vor unzulässigen internationalen staatlichen Zugriffen

PREVENCY setzt technische, organisatorische und vertragliche Maßnahmen ein, um in der Europäischen Union gespeicherte Kundendaten vor unzulässigen internationalen staatlichen Zugriffen oder Übermittlungen zu schützen. Dazu gehören:

Auswahl europäischer Verarbeitungsorte, soweit verfügbar;
verschlüsselte Transportverbindungen;
Verschlüsselung von Speichersystemen und Sicherungskopien entsprechend dem geltenden Auftragsverarbeitungsvertrag;
persönliche Konten und rollenbezogene Zugriffsbeschränkungen;
Datenminimierung und Trennung der Kundenorganisationen;
vertragliche Vertraulichkeits- und Datenschutzpflichten; sowie
Angemessenheitsbeschlüsse, Standardvertragsklauseln der Europäischen Kommission oder andere zulässige Übermittlungsinstrumente, soweit erforderlich.

PREVENCY übermittelt Kundendaten nicht freiwillig an Behörden eines Drittlands. Rechtlich verbindliche Anfragen werden hinsichtlich ihrer Rechtsgrundlage und ihres Umfangs geprüft. Soweit rechtlich zulässig und vernünftigerweise möglich, widerspricht PREVENCY unverhältnismäßigen Anfragen, beschränkt eine Offenlegung auf das gesetzlich erforderliche Minimum und informiert den betroffenen Auftraggeber.

7 Wechselentgelte

Bis einschließlich 11. Januar 2027 dürfen Wechselentgelte höchstens die unmittelbar durch den Wechsel entstehenden Kosten abdecken und müssen vor Vertragsschluss offengelegt worden sein.

Ab dem 12. Januar 2027 erhebt PREVENCY keine Wechselentgelte. Die reguläre vertragliche Vergütung bis zur Vertragsbeendigung und gesondert beauftragte Leistungen außerhalb der gesetzlichen Wechselpflichten bleiben unberührt.

8 Kontakt

PREVENCY GmbH
Güterstraße 20
42117 Wuppertal
Deutschland

E-Mail: office(at)prevency.com
Website: https://prevency.com