Evaluator-FAQ

Question 1

Nutzt Nexoria im Backend heimlich OpenAI, Anthropic, Claude oder andere US-LLMs?

Accepted Answer

Nexoria nutzt für die Antwortgenerierung durch Nex Mistral AI mit Verarbeitung in Frankreich. Dateien, Wissensindex und semantische Suche laufen auf dedizierten Servern in Deutschland. Technische Fehlerüberwachung und aktivierte Integrationen sind davon getrennt zu betrachten. Dazu gehören Sentry sowie bei aktivierter E-Mail-Integration Microsoft Graph und Gmail. Die Datenwege und beteiligten Anbieter sind in der Sicherheitsübersicht und im Verarbeitungsverzeichnis aufgeführt.

Question 2

Unterliegt Nexoria oder Mistral dem US CLOUD Act oder FISA Section 702?

Accepted Answer

Für die Einordnung sind Betreiber, beteiligte Dienste und die jeweilige Verarbeitung zu betrachten. Dateien, Wissensindex und semantische Suche laufen auf dedizierten Servern in Deutschland. Die Antwortgenerierung durch Nex nutzt Mistral AI mit Verarbeitung in Frankreich. Technische Fehlerüberwachung, Zahlungsabwicklung und aktivierte Integrationen haben eigene Datenwege, etwa Sentry, Microsoft Graph und Gmail. Die beteiligten Anbieter und vertraglichen Grundlagen stehen in der Sicherheitsübersicht und im Verarbeitungsverzeichnis.

Question 3

Widerspricht der VoiceBot der Aussage 'keine US-Beteiligung'?

Accepted Answer

Der VoiceBot ist ein separates, ausdrücklich zu buchendes Opt-In-Zusatzprodukt. Für die Einordnung der beteiligten Anbieter sind die Datenwege der einzelnen Dienste maßgeblich. Der Nexoria VoiceBot ist ein eigenständiges Zusatzprodukt, das niemals automatisch aktiviert ist. Kunden müssen ihn bewusst und separat buchen. Auch ohne aktivierten VoiceBot sind technische Fehlerüberwachung, Zahlungsabwicklung und aktivierte E-Mail-Integrationen gesondert zu betrachten. Die technische Fehlerüberwachung läuft über Sentry mit Sitz in den USA, mit maskAllText und blockAllMedia, ohne Zugriff auf Nutzerinhalte, und steht namentlich im Verzeichnis nach Art. 30. Die beteiligten Anbieter sind unter Sicherheit und Datenschutz sowie im Verarbeitungsverzeichnis aufgeführt. Der VoiceBot nutzt Telnyx für den Telefonanschluss. Telnyx ist ein US-amerikanisches Unternehmen mit EU-Niederlassung in Dublin. Der Telefonanschluss über Telnyx liegt in Frankfurt. Spracherkennung (STT) und Sprachsynthese (TTS) erfolgen über Voxtral von Mistral AI in Frankreich. Dabei werden die Sprachdaten vom STT/TTS-Dienst nicht gespeichert. Die LLM-Antworten erzeugt Mistral AI ebenfalls in Frankreich. Für Telnyx gelten EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Telnyx steht namentlich im Verzeichnis nach Art. 30 und im AVV. Die Kernplattform ist vom VoiceBot vollständig getrennt, festgehalten im Auftragsverarbeitungsvertrag, § 7 (3a).

Question 4

Ist Nexoria ISO 27001 oder SOC 2 zertifiziert?

Accepted Answer

Nein. Nexoria ist weder nach ISO 27001 noch nach SOC 2 zertifiziert, und ein Zertifizierungsverfahren ist derzeit nicht terminiert. Die technischen und organisatorischen Maßnahmen orientieren sich am BSI-Grundschutz und sind implementiert, konkret an ORP.4, CON.1, APP.5.3 und OPS.1.1.5. Eine Zertifizierung ist davon zu unterscheiden: Sie setzt ein externes Audit voraus, und ein solches Verfahren haben wir derzeit weder beauftragt noch terminiert. Wenn Ihre Vergabe- oder Compliance-Vorgaben ein gültiges ISO-27001-Zertifikat des Anbieters zwingend verlangen, erfüllen wir dieses Kriterium heute nicht. Bitte prüfen Sie das früh, bevor Sie Aufwand in eine Evaluierung stecken. Was wir stattdessen liefern: auf Anfrage die vollständigen TOMs nach Art. 32 DSGVO, das Löschkonzept, den Incident-Response-Plan und einen Architektur-Überblick. Zur Klarstellung, weil es oft verwechselt wird: Die Rechenzentren, in denen die Plattform läuft, sind ihrerseits nach ISO 27001 zertifiziert. Das betrifft die Infrastruktur, nicht Nexoria als Anbieter.

Question 5

Werden Kundendaten für KI-Training verwendet?

Accepted Answer

Die von Nexoria an Mistral AI übermittelten Daten werden nicht für Modelltraining verwendet. Der Ausschluss ist im Auftragsverarbeitungsvertrag zwischen Nexoria und Mistral AI vereinbart. Vertragsbezug und Stand der Betreiberangabe.

Question 6

Welche Nachweise (TOMs, Pen-Tests, Subprozessorenliste) sind verfügbar?

Accepted Answer

Auf Anfrage innerhalb von 24 Stunden: TOMs nach Art. 32 DSGVO, Subprozessorenliste, Löschkonzept, Incident-Response-Plan, Architektur-Überblick, Exit-Strategie. Einen Bericht über einen externen Penetrationstest können wir derzeit nicht vorlegen. Nexoria stellt Interessenten ein vollständiges Evaluations-Paket zur Verfügung: Technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO, aktuelle Subprozessorenliste, Löschkonzept mit technischen Details, Incident-Response-Plan nach Art. 33/34 DSGVO, Architektur-Überblick mit Datenflussdiagrammen und Exit-/Migrationsleitfaden. Nicht enthalten ist ein Bericht über einen externen Penetrationstest, ein solcher Bericht liegt derzeit nicht vor. Wenn Ihre Prüfung einen aktuellen Pen-Test-Bericht zwingend voraussetzt, erfüllen wir dieses Kriterium heute nicht. Diese Dokumente sind nicht öffentlich hinterlegt, um spezifische Sicherheits- und Vertragsdetails vor ungezielten Crawls zu schützen, werden aber nach formloser Anfrage per E-Mail innerhalb von 24 Stunden bereitgestellt. Auf Wunsch auch unter NDA.

Question 7

Wo genau liegen unsere Daten? Welche Rechenzentren?

Accepted Answer

Dateien, Wissensindex und semantische Suche laufen auf dedizierten Servern in Deutschland. Die Antwortgenerierung durch Nex nutzt Mistral AI mit Verarbeitung in Frankreich. Technische Fehlerüberwachung, Zahlungsabwicklung und aktivierte Zusatzdienste sind gesondert zu betrachten. Dazu gehören Sentry sowie bei aktivierter E-Mail-Integration Microsoft Graph und Gmail. Die Komponenten und beteiligten Anbieter sind unter Sicherheit und Datenschutz und im Verarbeitungsverzeichnis aufgeführt.

Question 8

Ist das kleine Team (zwei Gründer) ein Lieferantenrisiko für ein Unternehmen mit 100+ Mitarbeitenden?

Accepted Answer

Das Team ist bewusst klein und direkt. Kompensiert wird das durch: direkte Ansprechpartner ohne Call-Center, klare SLAs, vollständige Dokumentation, Exit-Strategie, Open-Source-Komponenten im Stack. Ja, Nexoria besteht aus den beiden Gründern Caan Grueneberg und Christian Klever, ohne weitere Beschäftigte. Das bedeutet kurze Wege zu den Entscheidern. Für die Bewertung des Lieferantenrisikos stellen wir folgende Informationen bereit: Direkter Zugang zum CTO bei kritischen Fällen SLA mit 4h Reaktionszeit während der Geschäftszeiten Vollständige technische Dokumentation, die im Ernstfall eine Weiterführung durch Dritte ermöglicht Dokumentierte Exit-Strategie mit Datenexport in offenen Formaten Wo sinnvoll, Open-Source-Komponenten im Stack, keine Vendor-Lock-ins auf proprietäre Black-Boxes Für regulierte Umgebungen mit harten Vendor-Risk-Policies ist ein persönliches Gespräch mit beiden Gründern üblich.

Question 9

Wie lange werden Dokumente gespeichert? Was passiert beim Vertragsende?

Accepted Answer

Dokumente bleiben mandantengetrennt in Ihrem Workspace bis zur manuellen Löschung oder zum Vertragsende. Nach Kündigung: 30 Tage Export-Zeitraum, danach vollständige und unwiderrufliche Löschung. Dokumente werden in einer mandantengetrennten Datenbank auf unseren deutschen Servern gespeichert, so lange, wie Sie sie benötigen. Die Verarbeitung für Embeddings, OCR und Wissensbasis-Indexierung erfolgt ausschließlich lokal. Es gibt keine automatische Zeitbegrenzung für Dokumenten-Speicherung. Sie entscheiden, wann Inhalte gelöscht werden. Bei Vertragsende haben Sie 30 Tage Zeit für einen vollständigen Datenexport in offenen Formaten (JSON, CSV, Original-Dateien). Danach werden alle Inhalte automatisch und unwiderruflich gelöscht. Löschkonzept und Export-Format sind dokumentiert.

Question 10

In den AGB steht, dass Drittlandübermittlungen bei alternativer LLM-Konfiguration möglich sind. Was bedeutet das konkret?

Accepted Answer

Für die Antwortgenerierung durch Nex wird im Standardbetrieb Mistral AI mit Verarbeitung in Frankreich eingesetzt. Andere Dienste und aktivierte Integrationen haben eigene Datenwege, die in der Sicherheitsübersicht und im Verarbeitungsverzeichnis beschrieben sind. Die AGB-Klausel §7 (4) ist eine rechtliche Absicherung für den hypothetischen Fall, dass ein Enterprise-Kunde im Rahmen einer individuellen Konfiguration ausdrücklich und schriftlich einen alternativen LLM-Anbieter mit Sitz in einem Drittland anfragt. Eine solche Konfiguration erfordert eine separate schriftliche Vereinbarung sowie geeignete Garantien nach Art. 46 DSGVO (SCCs, zusätzliche technische Maßnahmen). Ohne eine solche ausdrückliche und schriftliche Anfrage greift die Klausel nicht, im Standardbetrieb ist sie damit nicht aktiv.

Evaluator-FAQ

1. Nutzt Nexoria im Backend heimlich OpenAI, Anthropic, Claude oder andere US-LLMs?

2. Unterliegt Nexoria oder Mistral dem US CLOUD Act oder FISA Section 702?

3. Widerspricht der VoiceBot der Aussage 'keine US-Beteiligung'?

4. Ist Nexoria ISO 27001 oder SOC 2 zertifiziert?

5. Werden Kundendaten für KI-Training verwendet?

6. Welche Nachweise (TOMs, Pen-Tests, Subprozessorenliste) sind verfügbar?

7. Wo genau liegen unsere Daten? Welche Rechenzentren?

8. Ist das kleine Team (zwei Gründer) ein Lieferantenrisiko für ein Unternehmen mit 100+ Mitarbeitenden?

9. Wie lange werden Dokumente gespeichert? Was passiert beim Vertragsende?

10. In den AGB steht, dass Drittlandübermittlungen bei alternativer LLM-Konfiguration möglich sind. Was bedeutet das konkret?

Ihre Frage nicht dabei?

Quellen