gemäß Art. 30 DSGVO
1. Verantwortlicher
| Name | Nexoria Systems GbR |
| Geschäftsführende Gesellschafter | Christian Klever, Caan Grueneberg |
| Anschrift | Lievelingsweg 94, 53119 Bonn |
| E-Mail | datenschutz@nexoria-systems.de |
| Website | https://nexoria-systems.de |
2. Verarbeitungstätigkeiten
2.1 Benutzerregistrierung und -verwaltung
| Zweck | Erstellung und Verwaltung von Benutzerkonten, Authentifizierung, Zugriffskontrolle |
| Betroffene | Mitarbeiter und Nutzer der Kundenorganisationen |
| Datenkategorien | Name, E-Mail, Passwort-Hash (Argon2), Rolle, MFA-Daten, Login-Zeitstempel, IP-Adressen |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Löschfrist | 30 Tage nach Kontolöschung (Hard-Delete), 24 Monate Inaktivität → Deaktivierung |
| Empfänger | Keine Weitergabe an Dritte |
2.2 KI-Wissensdatenbank und Chat
| Zweck | Dokumentenverwaltung, semantische Suche, KI-gestützter Chat-Assistent |
| Betroffene | Nutzer der Plattform, in Dokumenten erwähnte Personen |
| Datenkategorien | Dokumente, Chat-Nachrichten, Suchanfragen, KI-Antworten, Vektoreinbettungen |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Löschfrist | Chat-Verläufe: 12 Monate; Dokumente: bei Löschung durch Nutzer; 30 Tage nach Vertragsende |
| Empfänger | Mistral AI (EU, AVV), lokale KI-Modelle (kein Drittanbieter) |
2.3 Dokumentenerstellung (DocStudio)
| Zweck | KI-gestützte Erstellung von Präsentationen und Dokumenten |
| Betroffene | Nutzer der Plattform |
| Datenkategorien | Eingabe-Prompts, generierte Dokumente, Dateiformat, Dateigröße |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Löschfrist | Bei Löschung durch Nutzer; 30 Tage nach Vertragsende |
2.4 Prozessautomatisierung (Flowbooks)
| Zweck | Erstellung und Ausführung automatisierter Workflows |
| Betroffene | Nutzer der Plattform |
| Datenkategorien | Workflow-Definitionen, Ausführungsprotokolle, Eingabe-/Ausgabedaten |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Löschfrist | Bei Löschung durch Nutzer; 30 Tage nach Vertragsende |
| Empfänger | Keine Weitergabe an Dritte (Verarbeitung auf eigenen Servern) |
2.5 E-Mail-Integration
| Zweck | Integration von E-Mail-Konten (Gmail, Outlook) zur Kommunikationsverwaltung |
| Betroffene | Nutzer der Plattform, E-Mail-Absender und -Empfänger |
| Datenkategorien | E-Mail-Metadaten, OAuth-Tokens (verschlüsselt), Nachrichtenvorschauen |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. a (Einwilligung via OAuth) |
| Löschfrist | Bei Trennung der Verbindung durch Nutzer; 30 Tage nach Vertragsende |
| Empfänger | Google LLC (Gmail, SCCs), Microsoft Corp. (Outlook, SCCs) |
2.6 Zahlungsabwicklung
| Zweck | Abrechnung und Zahlungsabwicklung für Plattformnutzung |
| Betroffene | Zahlungspflichtige Kunden (Tenant-Administratoren) |
| Datenkategorien | Stripe-Kunden-ID, Abonnementstatus, Rechnungen |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Löschfrist | Rechnungsdaten: 10 Jahre (§ 257 HGB, § 147 AO); Kundendaten: 30 Tage nach Vertragsende |
| Empfänger | Stripe Payments Europe Ltd. (Irland, DPA) |
2.7 Chatbot (Webseiten-Widget)
| Zweck | KI-gestützter Chatbot auf Kundenwebseiten für Besucherinteraktion |
| Betroffene | Webseitenbesucher des Kunden |
| Datenkategorien | Chat-Nachrichten, IP-Hash, Browser-Metadaten, Einwilligungsstatus |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung des Besuchers) |
| Löschfrist | 90 Tage nach letzter Aktivität |
| Empfänger | Mistral AI (EU, AVV) für KI-Antwortgenerierung |
2.8 Audit-Logging
| Zweck | Protokollierung sicherheitsrelevanter Aktionen für Compliance und Nachvollziehbarkeit |
| Betroffene | Alle Plattformnutzer |
| Datenkategorien | Benutzer-ID, E-Mail, IP-Adresse, Aktion, Ressourcentyp, Zeitstempel |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung), Art. 6 Abs. 1 lit. f (Sicherheitsinteresse) |
| Löschfrist | 12 Monate; IP-Adressen nach 90 Tagen anonymisiert |
| Empfänger | Keine Weitergabe an Dritte |
2.9 Kalender und Aufgaben
| Zweck | Kalender- und Aufgabenverwaltung für Teamorganisation |
| Betroffene | Nutzer der Plattform |
| Datenkategorien | Termine, Aufgaben, Zuweisungen, Erinnerungen |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Löschfrist | Bei Löschung durch Nutzer; 30 Tage nach Vertragsende |
| Empfänger | Keine Weitergabe an Dritte |
2.10 WhatsApp-Kommunikation
| Zweck | Integration von WhatsApp Business für Kundenkommunikation |
| Betroffene | Nutzer der Plattform, WhatsApp-Kontakte und -Gesprächspartner |
| Datenkategorien | Telefonnummern, Nachrichteninhalte, Medien (Bilder, Dokumente), Zustellstatus, Zeitstempel |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. a (Einwilligung via WhatsApp-Aktivierung) |
| Löschfrist | Bei Trennung der Verbindung durch Nutzer; 30 Tage nach Vertragsende |
| Empfänger | Meta Platforms, Inc. (WhatsApp Cloud API, SCCs) — nur bei aktiver Integration |
2.11 VoiceBot — KI-Telefonassistent (Opt-In)
| Zweck | KI-gestützte Telefonassistenz: Anrufentgegennahme, Terminbuchung, Aufgabenerstellung, Weiterleitung |
| Betroffene | Anrufer (externe Personen, die den VoiceBot anrufen) |
| Datenkategorien | Telefonnummer, Gesprächsinhalt (Transkription nur bei Einwilligung), Name, Anliegen, erstellte Aufgaben/Termine, Anrufdauer |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Art. 6 Abs. 1 lit. a DSGVO (Einwilligung des Anrufers für Transkription) |
| Löschfrist | Telefonnummern: 90 Tage (danach anonymisiert). Transkripte: gemäß Mandanten-Aufbewahrungsfrist; 30 Tage nach Vertragsende |
| Empfänger | Telnyx LLC / Telnyx Ireland Limited (Telefonie, STT, TTS — EU-Server Frankfurt, SCCs), Mistral AI (Sprachverarbeitung, EU) — nur bei aktivem VoiceBot-Abonnement |
3. Auftragsverarbeiter (Sub-Prozessoren)
| Dienstleister | Zweck | Standort | Garantien |
|---|
| Netcup GmbH | Website- und Frontend-Hosting | Deutschland (Nürnberg) | AVV, deutsches Recht |
| Hetzner Online GmbH | Backend-Hosting, KI-Verarbeitung | Deutschland (Falkenstein) | AVV, deutsches Recht |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung | Irland | DPA, PCI DSS Level 1 |
| Mistral AI | KI-Sprachmodell (finale Antworten) | Frankreich / EU | AVV, EU-Recht |
| Dokumentenerstellung (DocStudio) | USA | SCCs Art. 46 Abs. 2 lit. c |
| Telnyx LLC / Telnyx Ireland Limited | Telefonie, Spracherkennung (STT) und Sprachsynthese (TTS) für VoiceBot (nur bei Abonnement). Datenverarbeitung auf EU-Servern (Frankfurt). | USA (HQ) / Irland (EU) | SCCs Art. 46 Abs. 2 lit. c, DPA |
| Functional Software (Sentry) | Fehlerüberwachung | USA | SCCs, DPA |
| Pexels (Canva Pty Ltd) | Stockfoto-Bereitstellung für Präsentationen (Presenton) | Global | Keine personenbezogenen Daten übermittelt, nur Suchbegriffe |
| Microsoft Corp. | E-Mail-Integration (Graph API) | USA / EU | SCCs, DPA (nur bei aktiver Integration) |
| Google LLC | E-Mail-Integration (Gmail API) | USA / EU | SCCs, DPA (nur bei aktiver Integration) |
| Meta Platforms, Inc. | WhatsApp Cloud API | USA / EU | SCCs, DPA (nur bei aktiver Integration) |
Optionale LLM-Anbieter (OpenAI, Anthropic, Google) werden nur aktiviert, wenn der Kunde diese eigenständig in der KI-Konfiguration einrichtet. In diesem Fall gelten die jeweiligen SCCs und DPAs der Anbieter.
4. Technische und organisatorische Maßnahmen (TOMs)
- Verschlüsselung: TLS 1.3 für alle Verbindungen, WireGuard VPN zwischen Servern, AES-256 für OAuth-Tokens
- Zugriffskontrolle: RBAC mit Admin/Mitglied/Betrachter-Rollen, MFA-Unterstützung, JWT-basierte Authentifizierung
- Mandantentrennung: Strikte Datenisolierung pro Tenant auf Datenbank- und Vektorspeicher-Ebene
- Passwörter: Argon2id-Hashing, 12-Zeichen-Minimum
- Monitoring: Sentry (maskAllText, blockAllMedia), Audit-Logging aller Aktionen
- Backup: Tägliche verschlüsselte Backups (AES-256), Cross-Server-Replikation
- Rate-Limiting: SlowAPI auf allen Endpoints, Brute-Force-Erkennung
- SSH: Key-only Zugang, fail2ban, kein Root-Passwort
- Breach Detection: Automatische Erkennung von Brute-Force, Massen-Export, Massen-Löschung — Benachrichtigung per E-Mail
5. Löschkonzept
| Datenkategorie | Aufbewahrungsfrist | Begründung |
|---|
| Audit-Logs | 12 Monate | Compliance, Nachvollziehbarkeit |
| IP-Adressen in Logs | 90 Tage (dann anonymisiert) | Datenminimierung Art. 5(1)(c) |
| Gelöschte Benutzer | 30 Tage Karenz, dann Hard-Delete | Widerrufsmöglichkeit |
| Gekündigte Tenants | 30 Tage Karenz, dann Hard-Delete | Datenexport-Fenster |
| Chatbot-Sitzungen | 90 Tage | Besucherdaten, Datenminimierung |
| VoiceBot-Anrufer-Telefonnummern | 90 Tage (danach anonymisiert) | DSGVO-Datenminimierung |
| VoiceBot-Gesprächstranskripte | Gemäß Mandant; 30 Tage nach Vertragsende | Nur bei Einwilligung des Anrufers |
| KI-Chat-Verläufe | 12 Monate | Nutzungsanalyse, Vertragserfüllung |
| Token-Usage-Logs | 12 Monate | Abrechnung, Vertragserfüllung |
| Rechnungsdaten | 10 Jahre | § 257 HGB, § 147 AO |
| Inaktive Benutzer | 24 Monate → Deaktivierung | Speicherbegrenzung Art. 5(1)(e) |
Die automatische Bereinigung erfolgt täglich um 03:30 UTC durch einen dedizierten Cleanup-Prozess.
6. Drittlandübermittlungen
Soweit personenbezogene Daten in Drittländer (insbesondere USA) übermittelt werden, erfolgt dies ausschließlich auf Grundlage von EU-Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO. Die Übermittlung betrifft ausschließlich die in Abschnitt 3 genannten Dienstleister und nur soweit der Kunde die jeweilige Integration aktiv nutzt.
Lokale KI-Modelle (Qwen3-8B, Embedding-Modelle, Reranker) werden vollständig auf deutschen Servern betrieben — hierbei erfolgt keine Drittlandübermittlung.
Stand: März 2026