Dokumentation zur Datenschutz-Folgenabschätzung

Dokumentation zur KI-gestützten Datenverarbeitung der Nexoria-Plattform im Zusammenhang mit Art. 35 DSGVO.

1. Beschreibung der Verarbeitungsvorgänge

1.1 Gegenstand

Die Nexoria-Plattform verarbeitet personenbezogene Daten mittels KI-Technologien für folgende Zwecke:

• Semantische Dokumentensuche (RAG, Retrieval Augmented Generation)
• KI-Chat-Assistent mit Zugriff auf Unternehmensdokumente
• Automatische Dokumentenzusammenfassungen über die API von Mistral AI
• Query Expansion und HyDE (Hypothetical Document Embeddings)
• Dokumente und Präsentationen in Nex erstellen
• Chatbot für Webseitenbesucher
• Transkription und KI-Zusammenfassung von Meetings über die API von Mistral AI (Nexoria Meet, optional)
• Telefonische Interaktion über den optionalen VoiceBot: Telefonie über Telnyx, Spracherkennung und Sprachausgabe über Voxtral von Mistral AI
• Verarbeitung freigegebener Inhalte über optional verbundene eigene Konten bei externen KI-Anbietern

1.2 Anbieter und Dokumentation

Nexoria Systems UG (haftungsbeschränkt), Im Birkenfeld 7, 65779 Kelkheim

Geschäftsführer: Christian Klever, Caan Grueneberg

E-Mail: datenschutz@nexoria-systems.de

1.3 Umfang

Die KI-Verarbeitung betrifft potenziell alle Inhaltsdaten, die Kunden auf die Plattform hochladen oder im Chat eingeben. Dies können personenbezogene Daten enthalten (z. B. Namen, Kontaktdaten, Vertragsinformationen in Dokumenten). Bei Nexoria Meet kommen Audioaufnahmen, Transkripte und Zusammenfassungen hinzu; beim VoiceBot werden Sprachdaten im Gespräch verarbeitet.

2. Notwendigkeit und Verhältnismäßigkeit

2.1 Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Die KI-Verarbeitung ist Kernbestandteil des vertraglich geschuldeten Services. Kunden schließen einen Nutzungsvertrag ab und akzeptieren die Datenschutzerklärung sowie den AVV vor der Nutzung.

2.2 Verhältnismäßigkeit

• Datenminimierung bei Nex: Für Antworten von Nex werden relevante Ausschnitte aus der Wissensbasis übermittelt; die Suchauswahl erfolgt anhand der konkreten Anfrage.
• Verarbeitungszwecke: Daten werden für die vom Kunden genutzte Plattformfunktion verarbeitet, etwa die Beantwortung einer Anfrage oder die Transkription und Zusammenfassung eines Meetings.
• Speicherbegrenzung: Die Speicher- und Löschfristen sowie die Rückgabe von Daten sind im Auftragsverarbeitungsvertrag beschrieben.
• Kontextminimierung: Für Antworten von Nex wird der relevante Kontextausschnitt an Mistral AI übermittelt. Für Transkription und Zusammenfassung in Nexoria Meet erhält die Mistral-API die Inhalte des jeweiligen Verarbeitungsschritts. Die Weitergabe von Meet-Transkripten und Zusammenfassungen an optional angebundene externe KI-Anbieter erfolgt nach Freigabe durch einen Administrator der Kundenorganisation.

3. Verarbeitungsschwerpunkte und Maßnahmen

Die folgenden Szenarien und Maßnahmen dokumentieren die Angaben von Nexoria zur Plattform und zu ihren Datenwegen. Sie dienen als Grundlage für die Bewertung des konkreten Einsatzes durch die Kundenorganisation.

4. Schutzmaßnahmen

4.1 Technische Maßnahmen

• Selbst betriebene Modelle für Sucherweiterung, Einbettungen und Relevanzbewertung auf Servern in Deutschland; die Antwortgenerierung nutzt die API von Mistral AI.
• Mandantentrennung: Separate DB-Schemas und Vektor-Collections pro Tenant
• Verschlüsselung: TLS 1.3, WireGuard VPN, AES-256 für sensible Tokens
• Authentifizierung: JWT mit kurzer Lebensdauer, Argon2id, optionale MFA
• Rate-Limiting: Rate-Limiting auf allen Endpoints
• Breach Detection: Automatisierte Erkennung von Brute-Force, Massen-Export, Massen-Löschung
• Audit-Trail: Lückenlose Protokollierung aller Aktionen mit User-ID und E-Mail
• Backup: Tägliche verschlüsselte Cross-Server-Backups

4.2 Organisatorische Maßnahmen

• Auftragsverarbeitungsverträge (AVV) mit allen Sub-Prozessoren
• Regelmäßige Sicherheitsaudits der Plattform
• Dokumentierte Speicher- und Löschfristen im Auftragsverarbeitungsvertrag
• Incident-Response-Prozess mit E-Mail-Benachrichtigung bei Sicherheitsvorfällen
• Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO)

4.3 Rechte der Betroffenen

• Auskunft (Art. 15): Über die Plattform und auf Anfrage
• Berichtigung (Art. 16): Direkte Bearbeitung im Profil
• Löschung (Art. 17): Kontolöschung mit 30-Tage-Karenz
• Datenportabilität (Art. 20): Export aller Daten in maschinenlesbaren Formaten
• Widerspruch (Art. 21): Deaktivierung einzelner Verarbeitungen möglich

5. Unterlagen für die Einsatzbewertung

Diese Dokumentation beschreibt die Verarbeitungen, beteiligten Anbieter und Schutzmaßnahmen der Nexoria-Plattform auf Grundlage der Angaben von Nexoria. Die Bewertung des konkreten Einsatzes berücksichtigt die Datenarten, Zwecke, betroffenen Personen, aktivierten Zusatzprodukte und verbundenen Konten der jeweiligen Kundenorganisation. Die Datenschutzerklärung, der Auftragsverarbeitungsvertrag und das Verzeichnis der Verarbeitungstätigkeiten ergänzen diese Angaben.

6. Aktualisierung

Die Dokumentation wird bei Änderungen der beschriebenen Verarbeitungsschritte und Anbieter aktualisiert.

Stand: 30.09.2026. Erstellt von: Nexoria Systems UG (haftungsbeschränkt)

Weitere Rechtsdokumente

• Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
• Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO
• Datenschutzerklärung
• Allgemeine Geschäftsbedingungen
• Nutzungsbedingungen
• Impressum

Technische und organisatorische Einordnung: Sicherheit und Datenschutz. Die zehn häufigsten Prüfungsfragen sind unter Evaluator-FAQ beantwortet.