Datenschutz
Verzeichnis der Verarbeitungstätigkeiten
Gemäß Art. 30 DSGVO
gemäß Art. 30 DSGVO
1. Verantwortlicher
| Name | Nexoria Systems UG (haftungsbeschränkt) |
| Geschäftsführer | Christian Klever, Caan Grueneberg |
| Anschrift | Im Birkenfeld 7, 65779 Kelkheim |
| datenschutz@nexoria-systems.de | |
| Website | https://nexoria-systems.de |
2. Verarbeitungstätigkeiten
2.1 Benutzerregistrierung und -verwaltung
| Zweck | Erstellung und Verwaltung von Benutzerkonten, Authentifizierung, Zugriffskontrolle |
| Betroffene | Mitarbeiter und Nutzer der Kundenorganisationen |
| Datenkategorien | Name, E-Mail, Passwort-Hash (Argon2), Rolle, MFA-Daten, Login-Zeitstempel, IP-Adressen |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Löschfrist | 30 Tage nach Kontolöschung (Hard-Delete), 24 Monate Inaktivität → Deaktivierung |
| Empfänger | Keine Weitergabe an Dritte |
2.2 KI-Wissensdatenbank und Chat
| Zweck | Dokumentenverwaltung, semantische Suche, KI-gestützter Chat-Assistent |
| Betroffene | Nutzer der Plattform, in Dokumenten erwähnte Personen |
| Datenkategorien | Dokumente, Chat-Nachrichten, Suchanfragen, KI-Antworten, Vektoreinbettungen |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Löschfrist | Chat-Verläufe: 12 Monate; Dokumente: bei Löschung durch Nutzer; 30 Tage nach Vertragsende |
| Empfänger | Mistral AI (Sitz: Paris, Frankreich; AVV), lokale KI-Modelle (kein Drittanbieter); bei optionaler Anbindung zusätzlich der gewählte externe KI-Anbieter (siehe 2.11) |
2.3 Dokumente und Präsentationen im Nex KI-Chat
| Zweck | Erstellung von Dokumenten, Präsentationen und Berichten direkt im Nex KI-Chat, auf Grundlage der vom Workspace freigegebenen Inhalte |
| Betroffene | Nutzer der Plattform |
| Datenkategorien | Eingabe-Prompts, generierte Dokumente, Dateiformat, Dateigröße |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Löschfrist | Bei Löschung durch Nutzer; 30 Tage nach Vertragsende |
| Empfänger | Mistral AI (Sitz: Paris, Frankreich; AVV) für die Antwortgenerierung durch Nex über deren API |
2.4 E-Mail-Integration
| Zweck | Integration von E-Mail-Konten (Gmail, Outlook) zur Kommunikationsverwaltung |
| Betroffene | Nutzer der Plattform, E-Mail-Absender und -Empfänger |
| Datenkategorien | E-Mail-Metadaten, OAuth-Tokens (verschlüsselt), Nachrichtenvorschauen |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. a (Einwilligung via OAuth) |
| Löschfrist | Bei Trennung der Verbindung durch Nutzer; 30 Tage nach Vertragsende |
| Empfänger | Google LLC (Gmail, SCCs), Microsoft Corp. (Outlook, SCCs) |
2.5 Zahlungsabwicklung
| Zweck | Abrechnung und Zahlungsabwicklung für Plattformnutzung |
| Betroffene | Zahlungspflichtige Kunden (Tenant-Administratoren) |
| Datenkategorien | Stripe-Kunden-ID, Abonnementstatus, Rechnungen |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Löschfrist | Rechnungsdaten: 10 Jahre (§ 257 HGB, § 147 AO); Kundendaten: 30 Tage nach Vertragsende |
| Empfänger | Stripe Payments Europe Ltd. (Irland, DPA) |
2.6 Chatbot (Webseiten-Widget)
| Zweck | KI-gestützter Chatbot auf Kundenwebseiten für Besucherinteraktion |
| Betroffene | Webseitenbesucher des Kunden |
| Datenkategorien | Chat-Nachrichten, IP-Hash, Browser-Metadaten, Einwilligungsstatus |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung des Besuchers) |
| Löschfrist | 90 Tage nach letzter Aktivität |
| Empfänger | Mistral AI (Sitz: Paris, Frankreich; AVV) für KI-Antwortgenerierung |
2.7 Audit-Logging
| Zweck | Protokollierung sicherheitsrelevanter Aktionen für Compliance und Nachvollziehbarkeit |
| Betroffene | Alle Plattformnutzer |
| Datenkategorien | Benutzer-ID, E-Mail, IP-Adresse, Aktion, Ressourcentyp, Zeitstempel |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung), Art. 6 Abs. 1 lit. f (Sicherheitsinteresse) |
| Löschfrist | 12 Monate; IP-Adressen nach 90 Tagen anonymisiert |
| Empfänger | Keine Weitergabe an Dritte |
2.8 Kalender und Aufgaben
| Zweck | Kalender- und Aufgabenverwaltung für Teamorganisation |
| Betroffene | Nutzer der Plattform |
| Datenkategorien | Termine, Aufgaben, Zuweisungen, Erinnerungen |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Löschfrist | Bei Löschung durch Nutzer; 30 Tage nach Vertragsende |
| Empfänger | Keine Weitergabe an Dritte |
2.9 VoiceBot: KI-Telefonassistent (Opt-In)
| Zweck | KI-gestützte Telefonassistenz: Anrufentgegennahme, Terminbuchung, Aufgabenerstellung, Weiterleitung |
| Betroffene | Anrufer (externe Personen, die den VoiceBot anrufen) |
| Datenkategorien | Telefonnummer, Gesprächsinhalt (Transkription nur bei Einwilligung), Name, Anliegen, erstellte Aufgaben/Termine, Anrufdauer |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Art. 6 Abs. 1 lit. a DSGVO (Einwilligung des Anrufers für Transkription) |
| Löschfrist | Telefonnummern: 90 Tage (danach anonymisiert). Transkripte: gemäß Mandanten-Aufbewahrungsfrist; 30 Tage nach Vertragsende |
| Empfänger | Telnyx LLC / Telnyx Ireland Limited (Telefonanschluss in Frankfurt; Hauptsitz USA, EU-Niederlassung Irland; Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c, DPA), Mistral AI (Spracherkennung und Sprachsynthese über Voxtral sowie KI-Antwortgenerierung über die API), nur bei aktivem VoiceBot-Abonnement |
Die Rufnummer +49 228 84239000 ist die Firmennummer von Nexoria Systems und zugleich die Demo-Nummer des Nexoria VoiceBots. Soweit der VoiceBot Anrufe unter dieser Nummer entgegennimmt, ist Nexoria dafür Verantwortlicher. Rechtsgrundlage ist dann Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Anfragen), für die Transkription Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Im Übrigen gelten die Angaben dieser Tabelle.
2.10 Meeting-Aufnahme & KI-Transkription (Nexoria Meet, Opt-In)
| Zweck | Aufnahme von Meetings (Echtstimmen der Teilnehmer), KI-gestützte Live-Transkription und Zusammenfassung, dauerhafte Speicherung als durchsuchbares Firmenwissen (semantische Suche / RAG) |
| Betroffene | Meeting-Teilnehmer (interne Mitarbeiter der Kundenorganisation und externe Gäste), im Transkript erwähnte Personen |
| Datenkategorien | Audioaufnahme (getrennte Einzelspur je Sprecher; abspielbare Mischung als Derivat), Transkript und Transkript-Segmente, KI-Zusammenfassung, Teilnehmername/-kennung, Einwilligungsstatus je Teilnehmer (zugestimmt/abgelehnt/nicht gefragt), KI-Suchvektoren (Vektordatenbank), Meeting-Metadaten (Zeitstempel) |
| Rechtsgrundlage | Externe Gäste: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Interne Mitarbeiter: mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG, § 26 BDSG), ggf. Betriebsvereinbarung erforderlich; ohne Betriebsrat dokumentierte Rechtsgrundlage (Einwilligung oder berechtigtes Interesse mit Abwägung). Aufnahme nur nach aktiver Zustimmung jedes Teilnehmers (Consent-Gate); Transkription pro Mandant standardmäßig deaktiviert, nur durch Tenant-Admin freischaltbar |
| Löschfrist | Keine automatische Löschung bei aktiven Mandanten (dauerhaftes Firmenwissen); konfigurierbare Höchst-Aufbewahrungsfrist für ruhende Mandanten. Bei Widerruf / Art. 17: chirurgische Anonymisierung je Person (Name im gesamten Transkript ersetzt, eigene Beiträge und Erwähnungen; Audiospur gelöscht; Mischung und KI-Suchindex neu erzeugt; kein Rückschlüssel) + Bestätigungsmail. Nach Vertragsende bleiben Aufzeichnungen und Transkripte aus Nexoria Meet standardmäßig 180 Tage gespeichert. Die Frist ist individuell anpassbar. Danach erfolgt die mandantenweite Hard-Löschung inkl. Suchindex. Davon getrennt gilt die Frist von 30 Tagen nach Vertragsende, in der Kunden laut AGB den Export ihrer Daten anfordern können |
| Empfänger | Aufzeichnungen, Transkripte und Zusammenfassungen sowie Sicherungen der Aufzeichnungen auf von Nexoria betriebenen Servern in Deutschland; Transkription und KI-Zusammenfassung über die API von Mistral AI; optional angebundene externe KI-Anbieter nach Adminfreigabe (siehe 2.11) |
Rolle: Nexoria verarbeitet diese Daten als Auftragsverarbeiter im Auftrag der jeweiligen Kundenorganisation (Mandant, Multi-Tenant); der Mandant bleibt Verantwortlicher für die von ihm veranlassten Aufnahmen.
2.11 Optionale Anbindung externer KI-Anbieter
| Zweck | Optionale Anbindung externer KI-Anbieter an Nexoria auf Wahl der Kundenorganisation. Standard bleibt die Antwortgenerierung durch Nex über die API von Mistral AI |
| Betroffene | Nutzer der Plattform, in freigegebenen Inhalten erwähnte Personen |
| Datenkategorien | Anfragen und vom Kunden freigegebene Inhalte |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), soweit die Anbindung eingerichtet ist |
| Löschfrist | Beim jeweiligen Anbieter gemäß dessen Bedingungen und Einstellungen |
| Empfänger | ChatGPT (OpenAI), Claude (Anthropic), Gemini (Google) oder Langdock, jeweils nur bei Anbindung |
ChatGPT (OpenAI), Claude (Anthropic), Gemini (Google) und Langdock lassen sich optional an Nexoria anbinden. Nexoria funktioniert auch ohne diese Anbindungen. Die Kundenorganisation verbindet ihr eigenes Konto beim jeweiligen KI-Anbieter über eine MCP-Anbindung von Nexoria. Bei einer Anbindung werden freigegebene Inhalte an den jeweiligen Anbieter übermittelt. Für Meet-Transkripte und Zusammenfassungen ist die Freigabe durch einen Administrator der Kundenorganisation vorgesehen. Maßgeblich sind die Bedingungen, Verarbeitungsorte und Einstellungen des jeweiligen Anbieters.
2.12 Kontaktanfragen über die Website
| Zweck | Bearbeitung von Anfragen über das Kontaktformular auf nexoria-systems.de, Eingangsbestätigung an den Absender |
| Betroffene | Interessenten und Website-Besucher, die eine Anfrage senden |
| Datenkategorien | Name, E-Mail-Adresse, Unternehmen und Telefonnummer (optional), Nachricht, Eingangszeitpunkt, IP-Adresse |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Anfragen) |
| Löschfrist | Bis der Zweck entfällt, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen |
| Empfänger | Nexoria-Team; Versand über den eigenen Mailserver, Ablage auf dem eigenen Server |
2.13 Terminbuchung über die Website
| Zweck | Buchung persönlicher Demo-Termine über die eigene Buchungsseite (nexapp.nexoria-systems.de), Bestätigung per E-Mail und Kalendereinladung |
| Betroffene | Interessenten, die einen Termin buchen |
| Datenkategorien | Im Buchungsformular abgefragte Angaben, insbesondere E-Mail-Adresse, gewählter Termin, Bestätigungsstatus |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Organisation von Terminen) |
| Löschfrist | Bis der Zweck entfällt, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen |
| Empfänger | Nexoria-Team; Betrieb auf der eigenen Plattform, gehostet in Deutschland |
2.14 Reichweitenmessung der Website (Plausible Analytics, selbst gehostet)
| Zweck | Datenschutzfreundliche Reichweitenmessung zur Optimierung der Inhalte |
| Betroffene | Website-Besucher |
| Datenkategorien | Aufgerufene Seiten-URL, Referrer-URL, gehashter User-Agent, Bildschirmgröße und Gerätekategorie, aus der IP-Adresse abgeleitetes Land, Region und Stadt, anonyme Engagement-Events zu Verweildauer und Scroll-Tiefe. Die IP-Adresse wird nur kurz im Arbeitsspeicher verarbeitet und nicht gespeichert |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datenschutzfreundlichen Reichweitenmessung) |
| Löschfrist | Keine Speicherung der IP-Adresse; Besucher-Hash mit täglich rotierendem Salt, danach nur aggregierte Daten ohne Zuordnung zu einzelnen Besuchern |
| Empfänger | Keine Weitergabe an Dritte; Betrieb auf eigenen Servern in Deutschland |
2.15 Freiwillige Nutzungsanalyse der Website (PostHog, nach Einwilligung)
| Zweck | Analyse von Seitenaufrufen, Klickwegen, Geräten, Browsern, Verweisquellen, Ladeverhalten und erfolgreichen Kontaktaktionen; maskierte Sitzungsaufzeichnungen |
| Betroffene | Website-Besucher, die eingewilligt haben |
| Datenkategorien | Pseudonyme Kennungen, Seiten- und Verweis-URLs ohne Parameter, Geräte- und Browserdaten, Klick- und Scrollinteraktionen, maskierte Sitzungsaufzeichnungen; IP-Speicherung in der Integration deaktiviert |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG (Einwilligung) |
| Löschfrist | Lokale Kennungen bis zur Löschung im Browser; beim Anbieter gespeicherte Ereignisse gemäß dessen Aufbewahrungsregeln; nach Widerruf keine weitere Erfassung |
| Empfänger | PostHog, Inc. (Sitz USA), Übermittlung an den EU-Endpunkt, nur nach Einwilligung |
2.16 Google-Ads-Erfolgsmessung der Website (nach Einwilligung)
| Zweck | Zuordnung erfolgreicher Kontaktanfragen zu Anzeigen (Conversion-Messung) |
| Betroffene | Website-Besucher, die eingewilligt haben |
| Datenkategorien | IP-Adresse, Browserinformationen, Anzeigen-Klickkennungen, zufällige Transaktionskennung; keine Formularinhalte |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG (Einwilligung) |
| Löschfrist | Cookies bis zu ihrem Ablauf oder zur Löschung im Browser; beim Anbieter gemäß dessen Aufbewahrungsregeln; nach Widerruf keine weiteren Conversion-Ereignisse |
| Empfänger | Google Ireland Limited (Irland); Google kann Daten auch in den USA verarbeiten. Nur nach Einwilligung |
Einzelheiten zu 2.12 bis 2.16 stehen in der Datenschutzerklärung, Abschnitte 5, 7, 7a und 7b.
3. Auftragsverarbeiter (Sub-Prozessoren)
| Dienstleister | Zweck | Standort | Garantien |
|---|---|---|---|
| Netcup GmbH | Website- und Frontend-Hosting | Deutschland | AVV, deutsches Recht |
| Hetzner Online GmbH | Backend-Hosting, KI-Verarbeitung | Deutschland (Falkenstein) | AVV, deutsches Recht |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung | Irland | DPA, PCI DSS Level 1 |
| Mistral AI | KI-Antwortgenerierung; Transkription und KI-Zusammenfassung in Nexoria Meet über die API; Spracherkennung (STT) und Sprachsynthese (TTS) über Voxtral für den VoiceBot | Sitz: Paris, Frankreich | AVV, EU-Recht |
| Telnyx LLC / Telnyx Ireland Limited | Telefonanschluss für den VoiceBot in Frankfurt, nur bei aktivem VoiceBot-Abonnement. | USA (Hauptsitz) / Irland (EU) | Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c, DPA |
| Functional Software (Sentry) | Fehlerüberwachung (nur technische Fehlerdaten, maskAllText und blockAllMedia aktiv, keine personenbezogenen Nutzerinhalte) | USA | SCCs, DPA, Datenminimierung durch SDK-Konfiguration |
| Microsoft Corp. | E-Mail-Integration (Graph API) | USA / EU | SCCs, DPA (nur bei aktiver Integration) |
| Google LLC | E-Mail-Integration (Gmail API) | USA / EU | SCCs, DPA (nur bei aktiver Integration) |
Die Antwortgenerierung durch Nex nutzt standardmäßig die API von Mistral AI (Sitz: Paris, Frankreich). ChatGPT (OpenAI), Claude (Anthropic), Gemini (Google) und Langdock lassen sich optional an Nexoria anbinden. Nexoria funktioniert auch ohne diese Anbindungen. Die Kundenorganisation verbindet ihr eigenes Konto beim jeweiligen KI-Anbieter über eine MCP-Anbindung von Nexoria. Bei einer Anbindung werden freigegebene Inhalte an den jeweiligen Anbieter übermittelt. Für Meet-Transkripte und Zusammenfassungen ist die Freigabe durch einen Administrator der Kundenorganisation vorgesehen. Maßgeblich sind die Bedingungen, Verarbeitungsorte und Einstellungen des jeweiligen Anbieters. Diese optional angebundenen Anbieter sind kein Teil der Standardverarbeitung und in der Tabelle oben nicht aufgeführt, siehe 2.11.
4. Technische und organisatorische Maßnahmen (TOMs)
- Verschlüsselung: TLS 1.3 für alle Verbindungen, WireGuard VPN zwischen Servern, AES-256 für OAuth-Tokens
- Zugriffskontrolle: RBAC mit Admin/Mitglied/Betrachter-Rollen, MFA-Unterstützung, JWT-basierte Authentifizierung
- Mandantentrennung: Strikte Datenisolierung pro Tenant auf Datenbank- und Vektorspeicher-Ebene
- Passwörter: Argon2id-Hashing, 12-Zeichen-Minimum
- Monitoring: Datenschutzkonformes Error-Monitoring, Audit-Logging aller Aktionen
- Backup: Tägliche verschlüsselte Backups (AES-256), Cross-Server-Replikation
- Rate-Limiting: Rate-Limiting auf allen Endpoints, Brute-Force-Erkennung
- SSH: Key-only Zugang, fail2ban, kein Root-Passwort
- Breach Detection: Automatische Erkennung von Brute-Force, Massen-Export, Massen-Löschung, mit Benachrichtigung per E-Mail
- Kurzlebige Zugriffstoken (Nexoria Meet): Interner Zugriff auf Aufnahmen/Transkripte nur über signierten Token mit ca. 1 Stunde Gültigkeit, bei jedem Abruf frisch erzeugt, nicht in der Datenbank gespeichert
- Zeitlich begrenzte Gäste-Links: Externe Freigabe per Mail-Link mit 30 Tagen Gültigkeit (danach tot; internes Original bleibt erhalten)
- Netzwerkabschottung: Interne Service-Schnittstellen (Meet) aus dem öffentlichen Internet gesperrt, erreichbar nur über internes Netz / VPN-Mesh (Key-geschützt)
- Getrennte Audiospuren: Aufnahme je Sprecher als separate Einzelspur, abspielbare Mischung als neu erzeugbares Derivat → ermöglicht chirurgische Einzel-Löschung
- Consent-Gate: Aufnahme strukturell nur nach aktiver Zustimmung jedes Teilnehmers, kein Silent-Recording; Nachbereitungs-Mail weist den Einwilligungsstatus je Teilnehmer aus
- Transaktionale Löschung: Vollständige Meeting-Löschung entfernt fehlersicher in einem Zug Audiodateien, Transkript-Datensatz, Segmente, Zustimmungen, KI-Suchvektoren (Vektordatenbank) und Mail-Warteschlangen-Einträge
5. Löschkonzept
| Datenkategorie | Aufbewahrungsfrist | Begründung |
|---|---|---|
| Audit-Logs | 12 Monate | Compliance, Nachvollziehbarkeit |
| IP-Adressen in Logs | 90 Tage (dann anonymisiert) | Datenminimierung Art. 5(1)(c) |
| Gelöschte Benutzer | 30 Tage Karenz, dann Hard-Delete | Widerrufsmöglichkeit |
| Gekündigte Tenants | 30 Tage Karenz, dann Hard-Delete (ausgenommen Aufzeichnungen und Transkripte aus Nexoria Meet, siehe unten) | Datenexport-Fenster |
| Chatbot-Sitzungen | 90 Tage | Besucherdaten, Datenminimierung |
| VoiceBot-Anrufer-Telefonnummern | 90 Tage (danach anonymisiert) | DSGVO-Datenminimierung |
| VoiceBot-Gesprächstranskripte | Gemäß Mandant; 30 Tage nach Vertragsende | Nur bei Einwilligung des Anrufers |
| Nexoria-Meet-Aufnahmen & -Transkripte (aktive Mandanten) | Keine automatische Löschung; konfigurierbare Höchstfrist für ruhende Mandanten | Dauerhaftes Firmenwissen (bewusste Produktentscheidung); Löschung auf Nutzer-/Mandantenwunsch |
| Nexoria-Meet-Aufnahmen & -Transkripte nach Vertragsende | Standardmäßig 180 Tage, individuell anpassbar → mandantenweite Hard-Löschung inkl. Suchindex | Speicherbegrenzung Art. 5(1)(e) |
| Nexoria-Meet: Widerruf / Art. 17 einzelner Person | Chirurgische Anonymisierung (kein Rückschlüssel) + Bestätigungsmail | Betroffenenrechte Art. 17 DSGVO |
| KI-Chat-Verläufe | 12 Monate | Nutzungsanalyse, Vertragserfüllung |
| Token-Usage-Logs | 12 Monate | Abrechnung, Vertragserfüllung |
| Rechnungsdaten | 10 Jahre | § 257 HGB, § 147 AO |
| Inaktive Benutzer | 24 Monate → Deaktivierung | Speicherbegrenzung Art. 5(1)(e) |
Nach Vertragsende bleiben Aufzeichnungen und Transkripte aus Nexoria Meet standardmäßig 180 Tage gespeichert. Die Frist ist individuell anpassbar. Davon getrennt gilt die Frist von 30 Tagen nach Vertragsende, in der Kunden laut AGB den Export ihrer Daten anfordern können.
Die automatische Bereinigung erfolgt täglich um 03:30 UTC durch einen dedizierten Cleanup-Prozess.
6. Drittlandübermittlungen
Soweit personenbezogene Daten an die in Abschnitt 3 genannten Dienstleister in Drittländer (insbesondere USA) übermittelt werden, erfolgt dies auf Grundlage von EU-Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO, bei Integrationen nur soweit der Kunde die jeweilige Integration aktiv nutzt.
Auf der Website setzen wir die Nutzungsanalyse mit PostHog (Anbieter PostHog, Inc., Sitz USA) und die Google-Ads-Erfolgsmessung (Google Ireland Limited; Google kann Daten auch in den USA verarbeiten) nur nach Einwilligung ein, siehe 2.15 und 2.16. Bei optional angebundenen externen KI-Anbietern (2.11) sind deren Bedingungen, Verarbeitungsorte und Einstellungen maßgeblich.
Lokale KI-Modelle (Embedding, Reranking, Query Expansion) werden vollständig auf deutschen Servern betrieben. Hierbei erfolgt keine Drittlandübermittlung.
Stand: 30.09.2026
Weitere Rechtsdokumente
- Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
- Datenschutz-Folgenabschätzung nach Art. 35 DSGVO
- Datenschutzerklärung
- Allgemeine Geschäftsbedingungen
- Nutzungsbedingungen
- Impressum
Technische und organisatorische Einordnung: Sicherheit und Datenschutz. Die zehn häufigsten Prüfungsfragen sind unter Evaluator-FAQ beantwortet.