Sicherheit & Datenschutz

Sicherheit ist kein Feature — sie ist unsere Architektur

Datenschutz und Informationssicherheit sind von Tag eins in jede Schicht der Nexoria-Plattform eingebaut — als technische Eigenschaft, die nicht deaktiviert werden kann.

Architektur auf einen Blick

Die Kernplattform und der optionale VoiceBot sind technisch getrennt. Mistral AI ist die einzige externe KI-Komponente — alle weiteren Prozesse laufen auf dedizierten deutschen Servern.

Infrastruktur & Hosting

• Dedizierte Server in deutschen Rechenzentren — keine Shared-Hosting-Umgebungen
• Keine Public-Cloud-Infrastruktur (AWS, Azure, Google Cloud)
• Eigener Mailserver — unabhängig von Microsoft 365 oder Google Workspace
• Verschlüsselte Verbindungen zwischen allen Serverkomponenten
• Kontinuierliches Patch-Management und Sicherheitsupdates

Mandantentrennung auf Datenbankebene

• Separate Datenbank-Schemata pro Mandant mit Trennung auf Infrastrukturebene
• Individuelle Vektor-Datenräume pro Mandant für die KI-Suche
• Kryptographisch signierte Zugriffstoken verhindern mandantenübergreifende Zugriffe
• Fehler in der Anwendungslogik können keine Daten anderer Mandanten offenlegen

Verschlüsselung auf vier Ebenen

• Transportverschlüsselung auf allen Client- und Server-Verbindungen
• Symmetrische Verschlüsselung sensibler Konfigurationsdaten im Ruhezustand
• Passwort-Hashing mit BSI-empfohlenen speicher- und zeitintensiven Verfahren
• Backup-Verschlüsselung mit asymmetrischem Schlüsselaustausch und authentifizierter symmetrischer Verschlüsselung

Zugriffskontrolle

• Zweistufiges Rollenmodell: Mandantenrollen und Workspace-Rollen
• Prinzip der minimalen Rechtevergabe als Standard
• Multi-Faktor-Authentifizierung verfügbar und für Administratoren empfohlen
• Serverseitige Berechtigungsprüfung auf jedem API-Endpunkt

Audit & Nachvollziehbarkeit

• Vollständiger, unveränderlicher Audit-Trail aller sicherheitsrelevanten Aktionen
• Protokollierung umfasst Authentifizierung, Datenzugriff, Änderungen, Administration, externe Kommunikation
• Append-only-Speicher getrennt von Anwendungsdaten verhindert nachträgliche Manipulation
• Erfüllt die Anforderungen der DSGVO Art. 5(2) und des EU AI Act Art. 26(5)

KI-Verarbeitung & Datenminimierung

• Dokument-Embeddings, Analyse und semantische Suche laufen vollständig lokal auf deutschen Servern
• Sucherweiterung, Relevanzbewertung und semantisches Caching vollständig lokalisiert
• Internetsuche nutzt eigene Infrastruktur mit Hosting in Deutschland
• Antwortgenerierung nutzt Mistral AI (Paris, EU); die gesamte Verarbeitungskette bleibt in der EU
• Keine Daten verlassen Deutschland oder die EU
• Vertraglich garantiert: Keine Kundendaten werden für KI-Training verwendet
• VoiceBot nutzt spezialisierten Anbieter mit EU-Infrastruktur und Standardvertragsklauseln

Incident Response

• Kontinuierliches 24/7-Monitoring aller Produktivsysteme
• Dokumentierter Incident-Response-Prozess für Sicherheitsvorfälle
• Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden gemäß DSGVO Art. 33
• Sofortige Benachrichtigung betroffener Mandanten bei Hochrisiko-Vorfällen

Backup & Business Continuity

• Tägliche automatisierte, verschlüsselte Backups aller Produktionsdatenbanken
• Serverübergreifende Replikation für Ausfallsicherheit
• Dokumentierte und regelmäßig getestete Wiederherstellungsverfahren
• Zielverfügbarkeit: 99,5 % im Jahresdurchschnitt

Datenlöschung nach Kündigung

• 30-tägiges Exportfenster nach Kündigung mit vollem Funktionsumfang
• Danach unwiderrufliche Löschung: Dokumente, Vektoren, Chat-Verläufe, Konfigurationen, Benutzerkonten, Backups
• Kein Soft-Delete, keine versteckten Kopien, keine technische Wiederherstellungsmöglichkeit
• Setzt DSGVO Art. 17 (Recht auf Löschung) architektonisch um

Compliance & Standards

• Technische Maßnahmen orientiert an BSI IT-Grundschutz und ENISA-Leitlinien
• DSGVO-konform: Artikel 25, 28, 32
• EU AI Act ready: Audit-Logs und Protokollanforderungen gemäß Art. 26 bereits implementiert
• Datenschutz-Folgenabschätzung gemäß Art. 35 durchgeführt und öffentlich verfügbar

Häufige Fragen

Wer hat Zugriff auf meine Daten?

Nur Nutzer, die Sie innerhalb Ihrer Organisation autorisieren. Kein Nexoria-Mitarbeiter kann ohne Ihre ausdrückliche Genehmigung auf Ihre Geschäftsdaten zugreifen. Support-Zugriffe werden protokolliert und erfordern Ihre Zustimmung.

Was passiert mit meinen Daten, wenn ein Mitarbeiter das Unternehmen verlässt?

Administratoren können Benutzerkonten sofort deaktivieren oder löschen. Die Deaktivierung bewahrt den Audit-Verlauf bei gleichzeitigem Entzug des Zugriffs. Die Löschung entfernt die persönlichen Daten des Nutzers; vom Nutzer erstellte Geschäftsdaten bleiben unter Ihrer Kontrolle.

Wie wird ein Sicherheitsvorfall gehandhabt?

Kontinuierliches Monitoring löst einen dokumentierten Incident-Response-Prozess aus: Eindämmung, Analyse, Meldung an die Behörden innerhalb von 72 Stunden gemäß DSGVO Art. 33 sowie sofortige Benachrichtigung betroffener Mandanten bei hohem Risiko.

Nutzen Sie meine Daten, um Ihre KI zu trainieren?

Nein. Kundendaten werden niemals für KI-Training verwendet — weder für eigene noch für Drittanbieter-Modelle. Dies ist vertraglich mit Mistral AI vereinbart und im Auftragsverarbeitungsvertrag dokumentiert.

Wo stehen Ihre Server?

Die Kernplattform läuft auf dedizierten deutschen Servern. Website und Dashboard werden ebenfalls in Deutschland gehostet. Mistral AI hostet innerhalb der EU. Es greift keine US-Rechtshoheit (CLOUD Act, FISA 702). Alle beteiligten juristischen Personen sind europäisch. Der optionale VoiceBot ist ein separates, separat abgerechnetes Produkt, das eigenständig bewertet wird (siehe Datenschutzerklärung). Hosting-Anbieter sind in der Datenschutzerklärung und im Auftragsverarbeitungsvertrag aufgeführt.

Sind Sie ISO 27001 oder SOC 2 zertifiziert?

Nexoria erfüllt derzeit alle technischen Anforderungen der ISO 27001 gemäß BSI-Leitlinien. Die Dokumentationsphase läuft, die TÜV-Zertifizierung wird für Q3 2026 erwartet. Detaillierte Dokumentation der technischen und organisatorischen Maßnahmen ist auf Anfrage verfügbar.

Detaillierte Security-Dokumentation

Ein umfassendes Security-Whitepaper ist auf Anfrage für qualifizierte Enterprise-Kunden verfügbar — mit technischen und organisatorischen Maßnahmen, Architekturübersicht, Incident-Response-Playbook und Sicherheits-Baseline-Mappings. Kontaktieren Sie uns direkt oder per E-Mail an security@nexoria-systems.de.

Sicherheitsberatung — kostenfrei und unverbindlich

In einer 30-minütigen, kostenfreien Beratung zeigen wir, wie unsere Architektur DSGVO- und Compliance-Anforderungen adressiert — mit direktem Zugang zum CTO.