Zum Hauptinhalt springen

Datenschutz

Datenschutz-Folgenabschätzung

DSFA gemäß Art. 35 DSGVO

gemäß Art. 35 DSGVO: KI-gestützte Datenverarbeitung

1. Beschreibung der Verarbeitungsvorgänge

1.1 Gegenstand

Die Nexoria-Plattform verarbeitet personenbezogene Daten mittels KI-Technologien für folgende Zwecke:

  • Semantische Dokumentensuche (RAG, Retrieval Augmented Generation)
  • KI-Chat-Assistent mit Zugriff auf Unternehmensdokumente
  • Automatische Dokumentenzusammenfassungen
  • Query Expansion und HyDE (Hypothetical Document Embeddings)
  • KI-gestützte Dokumentenerstellung (DocStudio)
  • Chatbot für Webseitenbesucher

1.2 Verantwortlicher

Nexoria Systems UG (haftungsbeschränkt), Im Birkenfeld 7, 65779 Kelkheim

Geschäftsführer: Christian Klever, Caan Grueneberg

E-Mail: datenschutz@nexoria-systems.de

1.3 Umfang

Die KI-Verarbeitung betrifft potenziell alle Inhaltsdaten, die Kunden auf die Plattform hochladen oder im Chat eingeben. Dies können personenbezogene Daten enthalten (z. B. Namen, Kontaktdaten, Vertragsinformationen in Dokumenten).

2. Notwendigkeit und Verhältnismäßigkeit

2.1 Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Die KI-Verarbeitung ist Kernbestandteil des vertraglich geschuldeten Services. Kunden schließen einen Nutzungsvertrag ab und akzeptieren die Datenschutzerklärung sowie den AVV vor der Nutzung.

2.2 Verhältnismäßigkeit

  • Datenminimierung: KI-Modelle erhalten nur den für die Anfrage relevanten Kontext (RAG-Retrieval), nicht die gesamte Dokumentenbasis
  • Zweckbindung: Daten werden ausschließlich zur Beantwortung der konkreten Nutzeranfrage verarbeitet
  • Speicherbegrenzung: Chat-Verläufe werden nach 12 Monaten, Chatbot-Daten nach 90 Tagen automatisch gelöscht
  • Kontextminimierung: Nur der für die konkrete Anfrage relevante Kontextausschnitt wird an Mistral AI übertragen, nie die vollständige Wissensbasis (Datenminimierungs-Prinzip nach Art. 5 Abs. 1 lit. c DSGVO)

3. Risikobewertung

3. Risikobewertung
RisikoEintritts­wahrscheinlichkeitSchwereMaßnahmen
Unbefugter Zugriff auf KI-AntwortenGeringHochJWT-Auth, Mandantentrennung, RBAC, MFA-Option
Prompt Injection / Daten­exfiltrationMittelMittelSystem-Prompts mit Anti-Injection-Anweisungen, RAG-Kontext auf eigene Dokumente beschränkt, kein direkter DB-Zugriff durch LLM
Datenübermittlung an LLMMittelGeringLokale KI-Modelle für RAG-Pipeline (Embeddings, Retrieval, Reranking vollständig lokal), Kontextminimierung, ausschließlich Mistral AI (Paris, EU) mit AVV nach Art. 28 DSGVO
Halluzination / fehlerhafte KI-AntwortenHochGeringRAG mit Quellenangaben, Disclaimer in AGB (keine Haftung für KI-Richtigkeit), Feedback-System
Profilbildung durch Chat-AnalyseGeringMittelKein Profiling, keine automatisierten Entscheidungen, Daten nur zur Anfragebeantwortung
Cross-Tenant-DatenleckSehr geringSehr hochStrikte Mandantentrennung auf DB- und Vektorspeicher-Ebene, separate Vektor-Collections pro Tenant
Massen-DatenexportGeringHochBreach Detection (5-Minuten-Intervall), Rate-Limiting auf allen Endpoints, Audit-Logging

4. Schutzmaßnahmen

4.1 Technische Maßnahmen

  • Lokale KI-Verarbeitung: RAG-Pipeline (Query Expansion, HyDE, Embedding, Reranking) vollständig auf eigenem Server, keine Drittlandübermittlung
  • Mandantentrennung: Separate DB-Schemas und Vektor-Collections pro Tenant
  • Verschlüsselung: TLS 1.3, WireGuard VPN, AES-256 für sensible Tokens
  • Authentifizierung: JWT mit kurzer Lebensdauer, Argon2id, optionale MFA
  • Rate-Limiting: Rate-Limiting auf allen Endpoints
  • Breach Detection: Automatisierte Erkennung von Brute-Force, Massen-Export, Massen-Löschung
  • Audit-Trail: Lückenlose Protokollierung aller Aktionen mit User-ID und E-Mail
  • Backup: Tägliche verschlüsselte Cross-Server-Backups

4.2 Organisatorische Maßnahmen

  • Auftragsverarbeitungsverträge (AVV) mit allen Sub-Prozessoren
  • Regelmäßige Sicherheitsaudits der Plattform
  • Dokumentierte Löschfristen und automatisierte Cleanup-Prozesse
  • Incident-Response-Prozess mit E-Mail-Benachrichtigung bei Sicherheitsvorfällen
  • Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO)

4.3 Rechte der Betroffenen

  • Auskunft (Art. 15): Über die Plattform und auf Anfrage
  • Berichtigung (Art. 16): Direkte Bearbeitung im Profil
  • Löschung (Art. 17): Kontolöschung mit 30-Tage-Karenz
  • Datenportabilität (Art. 20): Export aller Daten in maschinenlesbaren Formaten
  • Widerspruch (Art. 21): Deaktivierung einzelner Verarbeitungen möglich

5. Ergebnis

Die durchgeführte Datenschutz-Folgenabschätzung ergibt, dass die KI-gestützte Datenverarbeitung der Nexoria-Plattform unter Berücksichtigung der implementierten Schutzmaßnahmen ein vertretbares Restrisiko aufweist.

Die wesentlichen Risiken werden durch folgende Kernmaßnahmen adressiert:

  • Lokale KI-Verarbeitung minimiert Drittlandübermittlungen
  • Strikte Mandantentrennung verhindert Cross-Tenant-Zugriff
  • Kontextminimierung: Nur relevante Ausschnitte werden an das LLM übertragen
  • Automatisierte Löschfristen gewährleisten Datenminimierung
  • Breach Detection ermöglicht frühzeitige Erkennung von Vorfällen

Eine Konsultation der Aufsichtsbehörde (Art. 36 DSGVO) ist nach Einschätzung des Verantwortlichen nicht erforderlich, da die verbleibenden Risiken durch die implementierten Maßnahmen hinreichend gemindert werden.

6. Überprüfung

Diese DSFA wird mindestens jährlich überprüft und bei wesentlichen Änderungen der Verarbeitungsprozesse, der eingesetzten KI-Modelle oder der Sicherheitsarchitektur aktualisiert.

Nächste planmäßige Überprüfung: August 2027

Stand: August 2026 \| Erstellt von: Nexoria Systems UG (haftungsbeschränkt)

Weitere Rechtsdokumente

Technische und organisatorische Einordnung: Sicherheit und Datenschutz. Die zehn häufigsten Prüfungsfragen sind unter Evaluator-FAQ beantwortet.