Sicherheit & Datenschutz: klare Datenwege für Ihr Wissen.

Sicherheit ist kein Feature. Sie ist unsere Architektur.

Datenschutz und Informationssicherheit sind von Beginn an in die Nexoria-Plattform eingebaut. Welche Maßnahmen das im Einzelnen sind, steht in den folgenden Abschnitten.

Stand: 30.09.2026

Architektur auf einen Blick

Infrastruktur & Hosting

• Dedizierte Server in deutschen Rechenzentren, keine Shared-Hosting-Umgebungen
• Dateiablage, Wissensindex und semantische Suche werden auf dedizierten Servern in Deutschland betrieben
• Eigener Mailserver, unabhängig von Microsoft 365 oder Google Workspace. Bindet ein Kunde ein bestehendes Postfach bei Microsoft oder Google an, läuft diese Verbindung über deren Graph API beziehungsweise Gmail API, siehe Verarbeitungstabelle oben
• Verschlüsselte Verbindungen zwischen allen Serverkomponenten
• Kontinuierliches Patch-Management und Sicherheitsupdates

Mandantentrennung auf Datenbankebene

• Separate Datenbank-Schemata pro Mandant mit Trennung auf Infrastrukturebene
• Individuelle Vektor-Datenräume pro Mandant für die KI-Suche
• Kryptographisch signierte Zugriffstoken verhindern mandantenübergreifende Zugriffe
• Fehler in der Anwendungslogik können keine Daten anderer Mandanten offenlegen

Verschlüsselung auf vier Ebenen

• Transportverschlüsselung auf allen Client- und Server-Verbindungen
• Symmetrische Verschlüsselung sensibler Konfigurationsdaten im Ruhezustand
• Passwort-Hashing mit BSI-empfohlenen speicher- und zeitintensiven Verfahren
• Backup-Verschlüsselung mit asymmetrischem Schlüsselaustausch und authentifizierter symmetrischer Verschlüsselung

Zugriffskontrolle

• Zweistufiges Rollenmodell: Mandantenrollen und Workspace-Rollen
• Prinzip der minimalen Rechtevergabe als Standard
• Multi-Faktor-Authentifizierung verfügbar und für Administratoren empfohlen
• Serverseitige Berechtigungsprüfung auf jedem API-Endpunkt

Audit & Nachvollziehbarkeit

• Vollständiger, unveränderlicher Audit-Trail aller sicherheitsrelevanten Aktionen
• Protokollierung umfasst Authentifizierung, Datenzugriff, Änderungen, Administration, externe Kommunikation
• Append-only-Speicher getrennt von Anwendungsdaten verhindert nachträgliche Manipulation
• Unterstützt Ihre Nachweise, etwa zur Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Audit-Logs werden 12 Monate aufbewahrt.

KI-Verarbeitung & Datenminimierung

• Dokument-Embeddings und semantische Suche laufen auf Servern in Deutschland, mit Modellen, die Nexoria dort selbst betreibt.
• Sucherweiterung (Query Expansion, HyDE) und Relevanzbewertung laufen ebenfalls auf Servern in Deutschland, mit Modellen, die Nexoria dort selbst betreibt.
• Internetsuche nutzt eigene Infrastruktur mit Hosting in Deutschland
• Antwortgenerierung nutzt Mistral AI
• Weitere Dienste und aktivierte Integrationen haben eigene Datenwege; die Verarbeitungstabelle und das Verarbeitungsverzeichnis ordnen sie den beteiligten Anbietern zu
• In der geprüften Mistral-Organisation von Nexoria ist die Nutzung neuer API-Interaktionen für Modelltraining deaktiviert (Kontoprüfung vom 26.09.2026). Diese Einstellung gilt für die dort verarbeiteten neuen Interaktionen. Für optional verbundene eigene KI-Konten gelten die Einstellungen des jeweiligen Kontos. Trainingsnutzung und Aufbewahrung sind getrennte Fragen; die genannte Einstellung ist keine Zusage einer bestimmten Speicherfrist.
• Externe KI-Anbindungen: ChatGPT (OpenAI), Claude (Anthropic), Gemini (Google) und Langdock lassen sich optional an Nexoria anbinden. Nexoria funktioniert auch ohne diese Anbindungen. Bei einer Anbindung werden freigegebene Inhalte an den jeweiligen Anbieter übermittelt. Maßgeblich sind dessen Bedingungen, Verarbeitungsorte und Einstellungen.
• Nexoria Meet (Zusatzprodukt Mail und Meet): Die Live-Transkription in Nexoria Meet erfolgt mit Mistral.
• Eingesetzte Dienstleister sind im Verzeichnis nach Art. 30 namentlich genannt. Welche Daten die jeweiligen Anbieter erhalten, zeigt die Verarbeitungstabelle oben
• VoiceBot: Telnyx LLC / Telnyx Ireland Limited (Hauptsitz USA, EU-Niederlassung Irland) stellt den Telefonanschluss nur bei aktivem VoiceBot-Abonnement bereit. Der Telefonanschluss über Telnyx liegt in Frankfurt. Spracherkennung (STT) und Sprachsynthese (TTS) erfolgen über Voxtral von Mistral AI. Die LLM-Antworten erzeugt Mistral AI. Für Telnyx gelten Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO und ein Auftragsverarbeitungsvertrag

Diese Seite beschreibt, wie die Plattform gebaut ist, und sie ist zugleich die Antwort auf die vorgelagerte Frage, unter welchen Bedingungen sich eine KI im eigenen Haus datenschutzkonform einsetzen lässt: Verarbeitungsort, beteiligte Subprozessoren, Auftragsverarbeitung, Trainingsnutzung und Drittlandübermittlung stehen weiter unten jeweils mit Quelle. Die Fragen, die in Einkauf und Datenschutzprüfung am häufigsten gestellt werden, beantwortet ergänzend die Seite Antworten für die Evaluierung. Wie eine Antwort technisch zustande kommt, von der Datei in Nexoria Drive über den Index und die Dokumentensuche bis zur Antwort von Nex mit Quellenangabe, steht unter Enterprise Search: Dokumente semantisch durchsuchen. Welche Schritte dabei nacheinander greifen, von der Ablage über die Indexierung und die Berechtigungsprüfung bis zur Antwort mit Quelle, beschreibt Firmenwissen: verstreute Dateien nutzbar machen. Bleibt danach eine Frage offen, die Ihre Datenschutzprüfung braucht, stellen Sie sie über das Kontaktformular, sie geht direkt an die Gründer.

Incident Response

• Kontinuierliches 24/7-Monitoring aller Produktivsysteme
• Dokumentierter Incident-Response-Prozess für Sicherheitsvorfälle
• Meldung von Verletzungen des Schutzes personenbezogener Daten an betroffene Mandanten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden (AVV § 5 Abs. 6), als Grundlage für Ihre Prüfung nach Art. 33 DSGVO
• Für Verarbeitungen, für die Nexoria selbst verantwortlich ist: Meldung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden (Art. 33 Abs. 1 DSGVO)

Backup & Business Continuity

• Tägliche automatisierte, verschlüsselte Backups aller Produktionsdatenbanken
• Serverübergreifende Replikation für Ausfallsicherheit
• Dokumentierte und regelmäßig getestete Wiederherstellungsverfahren
• Zielverfügbarkeit: 99,5 % im Jahresdurchschnitt

Datenlöschung nach Kündigung

• 30-tägiges Exportfenster nach Kündigung mit vollem Funktionsumfang
• Danach Löschung der Dokumente, Vektoren, Chat-Verläufe, Konfigurationen und Benutzerkonten. Backups der mandantenspezifischen Daten werden nach Ablauf der Backup-Rotation gelöscht.
• Eigene Frist für Nexoria Meet: Nach Vertragsende bleiben Aufzeichnungen und Transkripte aus Nexoria Meet standardmäßig 180 Tage gespeichert. Die Frist ist individuell anpassbar. Davon getrennt gilt die Frist von 30 Tagen nach Vertragsende, in der Kunden laut AGB den Export ihrer Daten anfordern können.
• Die Löschung umfasst Mandantendatenbanken, Vektoreinbettungen, Dateien, Chat-Verläufe und Konnektor-Konfigurationen; auf Anfrage bestätigen wir sie schriftlich.
• Unterstützt Sie bei Löschanfragen nach Art. 17 DSGVO, auch für einzelne Personen in Aufzeichnungen aus Nexoria Meet.

Compliance & Standards

• Die technischen und organisatorischen Maßnahmen orientieren sich am BSI IT-Grundschutz und sind umgesetzt, konkret an den Bausteinen ORP.4, CON.1, APP.5.3 und OPS.1.1.5. Das ersetzt kein Zertifikat. Eine Zertifizierung setzt ein externes Audit voraus, ein solches Verfahren ist derzeit weder beauftragt noch terminiert.
• Datenschutzfreundliche Voreinstellung: Die Transkription in Nexoria Meet ist je Mandant standardmäßig deaktiviert und wird nur durch einen Administrator des Kunden freigeschaltet. Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist öffentlich einsehbar; die technischen und organisatorischen Maßnahmen nach Art. 32 stehen dort in § 6.
• KI-Verordnung: Sicherheitsrelevante Aktionen werden im Audit-Trail protokolliert und 12 Monate aufbewahrt. Welche Pflichten aus der Verordnung (EU) 2024/1689 für Ihren Einsatz gelten, hängt von der Einstufung Ihres Anwendungsfalls ab.
• Öffentliche Datenschutzunterlagen: Datenschutzerklärung und Auftragsverarbeitung.

Häufige Fragen

Wer hat Zugriff auf meine Daten?

Nur Nutzer, die Sie innerhalb Ihrer Organisation autorisieren. Kein Nexoria-Mitarbeiter kann ohne Ihre ausdrückliche Genehmigung auf Ihre Geschäftsdaten zugreifen. Support-Zugriffe werden protokolliert und erfordern Ihre Zustimmung.

Was passiert mit meinen Daten, wenn ein Mitarbeiter das Unternehmen verlässt?

Administratoren können Benutzerkonten sofort deaktivieren oder löschen. Die Deaktivierung bewahrt den Audit-Verlauf bei gleichzeitigem Entzug des Zugriffs. Die Löschung entfernt die persönlichen Daten des Nutzers; vom Nutzer erstellte Geschäftsdaten bleiben unter Ihrer Kontrolle.

Wie wird ein Sicherheitsvorfall gehandhabt?

Kontinuierliches Monitoring löst einen dokumentierten Incident-Response-Prozess aus: Eindämmung, Analyse und Meldung an betroffene Mandanten, unverzüglich und spätestens innerhalb von 24 Stunden nach Bekanntwerden. Auf dieser Grundlage prüfen Sie als Verantwortliche die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO.

Nutzen Sie meine Daten, um Ihre KI zu trainieren?

In der geprüften Mistral-Organisation von Nexoria ist die Nutzung neuer API-Interaktionen für Modelltraining deaktiviert (Kontoprüfung vom 26.09.2026). Diese Einstellung gilt für die dort verarbeiteten neuen Interaktionen. Für optional verbundene eigene KI-Konten gelten die Einstellungen des jeweiligen Kontos. Trainingsnutzung und Aufbewahrung sind getrennte Fragen; die genannte Einstellung ist keine Zusage einer bestimmten Speicherfrist.

Wo stehen Ihre Server?

Dateien, Wissensindex und semantische Suche laufen auf dedizierten Servern in Deutschland. Die Antwortgenerierung durch Nex nutzt Mistral AI. Technische Fehlerüberwachung, Zahlungsabwicklung und aktivierte Zusatzdienste sind gesondert zu betrachten. Dazu gehören Sentry sowie bei aktivierter E-Mail-Integration Microsoft Graph und Gmail. Das gilt auch für optional angebundene externe KI-Anbieter wie ChatGPT, Claude, Gemini und Langdock. Bei einer Anbindung werden freigegebene Inhalte an den jeweiligen Anbieter übermittelt. Maßgeblich sind dessen Bedingungen, Verarbeitungsorte und Einstellungen. Die Komponenten und beteiligten Anbieter sind unter Sicherheit und Datenschutz und im Verarbeitungsverzeichnis aufgeführt.

Welche Sicherheitsunterlagen stellt Nexoria bereit?

Die Sicherheitsübersicht beschreibt die technischen und organisatorischen Maßnahmen, die Datenverarbeitung und die eingesetzten Dienstleister. Die Dokumentation unterstützt Ihre interne Prüfung und die Vorbereitung eines gemeinsamen Einführungsgesprächs.

Detaillierte Security-Dokumentation

Ein umfassendes Security-Whitepaper ist auf Anfrage für qualifizierte Enterprise-Kunden verfügbar, mit technischen und organisatorischen Maßnahmen, Architekturübersicht, Incident-Response-Playbook und Sicherheits-Baseline-Mappings. Anfragen laufen über das Kontaktformular oder per E-Mail an security@nexoria-systems.de.

Sicherheitsberatung: Ihre Fragen zur Architektur

In einer 30-minütigen Beratung zeigen wir, wie unsere Architektur DSGVO- und Compliance-Anforderungen adressiert, mit direktem Zugang zum CTO.

Was die Nutzung kostet, steht auf Preise, die Bausteine der Plattform stehen unter Produkt. Einen Termin vereinbaren Sie über Kontakt.

---

Quellen

Die Aussagen auf dieser Seite, die sich auf Gesetze, Normen, Standards oder auf Dritte stützen, beruhen auf den folgenden öffentlich zugänglichen Quellen. Alle Adressen wurden am 21.08.2026 abgerufen.

• Verordnung (EU) 2016/679 (DSGVO): Volltext im Amtsblatt der Europäischen Union, ABl. L 119 vom 4.5.2016, S. 1. Maßgeblich für die auf dieser Seite genannten Artikel 5(2), 17, 25, 28, 30, 32, 33 und 35, darunter die Frist von 72 Stunden nach Art. 33(1) und die Datenschutz-Folgenabschätzung nach Art. 35. eur-lex.europa.eu/eli/reg/2016/679/oj
• Verordnung (EU) 2024/1689 (KI-Verordnung, EU AI Act): Verordnung vom 13. Juni 2024, veröffentlicht im Amtsblatt am 12.7.2024, Fundstelle ABl. L, 2024/1689. Grundlage für den Hinweis zur KI-Verordnung und zur Einstufung von Anwendungsfällen. eur-lex.europa.eu/eli/reg/2024/1689/oj
• Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021: Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer nach der DSGVO, ABl. L 199 vom 7.6.2021, S. 31. Belegt, was unter den auf dieser Seite genannten Standardvertragsklauseln zu verstehen ist. Die Klauseln allein belegen nicht die Zulässigkeit einer konkreten Übermittlung, dafür ist zusätzlich eine Übermittlungs-Folgenabschätzung erforderlich. eur-lex.europa.eu/eli/dec_impl/2021/914/oj
• BSI IT-Grundschutz: die offizielle Darstellung des Bundesamts für Sicherheit in der Informationstechnik. Bezugspunkt für die Aussage, dass sich die technischen und organisatorischen Maßnahmen am IT-Grundschutz orientieren. www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/St...
• BSI TR-02102-1, Kryptographische Verfahren: Empfehlungen und Schlüssellängen, Version 2026-01: Teil 1 der vierteiligen Technischen Richtlinie TR-02102. Bezugspunkt für die eingesetzten kryptographischen Verfahren und Schlüssellängen. Die Richtlinie bewertet ausgewählte Verfahren und erhebt nach eigener Angabe keinen Anspruch auf Vollständigkeit. www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/St...
• Mistral AI, Legal Notice: nennt Rechtsform (vereinfachte Aktiengesellschaft), Handelsregistereintrag in Paris (R.C.S. 952 418 325) und den Sitz 15 Rue des Halles, 75001 Paris, Frankreich. Grundlage für die Angabe "Mistral AI (Paris, EU)". legal.mistral.ai/legal-notice
• Mistral AI, Startseite: dort heißt es zur Nutzung über die Mistral-APIs, die Server würden in der EU betrieben. mistral.ai
• Sentry, Datenschutzerklärung: nennt als Verantwortlichen Functional Software, Inc. d/b/a Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105. Dieselbe Erklärung benennt Sentry Software Netherlands B.V., Schiphol Boulevard 359, 1118 BJ Amsterdam Schiphol, als EU-Vertreter und die Teilnahme am EU-U.S. Data Privacy Framework. sentry.io/privacy

Gesetzes- und Normzitate belegen den Inhalt der jeweiligen Vorschrift, nicht deren Einhaltung durch Nexoria. Aussagen zur eigenen Architektur, zu Betriebsprozessen und zu Verfügbarkeitszielen sind eigene Angaben der Nexoria Systems UG (haftungsbeschränkt) und bisher nicht extern auditiert. Sentry ist eine eingetragene Marke der Functional Software, Inc., Mistral AI ist die Firmenbezeichnung des Pariser Anbieters. Die Nennung erfolgt ausschließlich zur sachlichen Einordnung.