Datenschutzhinweise für Nutzerinnen und Nutzer unserer Anwendungen
Stand: Oktober 2026
1. Für wen diese Hinweise gelten
Diese Hinweise gelten für alle, die sich bei einer Anwendung der NexAI anmelden: – NexAI CRM (nexaicrm.de), – die Verwaltungsoberfläche von NexTime bzw. NexAI Kalender (z. B. nextime.nex-a-i.com), – den NexAI Postfachassistenten (nexaimail.de und Unteradressen, früher postfach.nex-a-i.com). Sie beschreiben, welche Daten über Sie als Nutzerin oder Nutzer entstehen, wenn Sie sich anmelden und mit der Anwendung arbeiten. Über Personen, deren Daten ein Betrieb in der Anwendung führt (z. B. Kundschaft, die einen Termin bucht), informiert der jeweilige Betrieb in seiner eigenen Datenschutzerklärung. Für unsere Website gilt die Datenschutzerklärung unter nexaisoftware.de/de/privacy.
2. Wer verantwortlich ist
Sie arbeiten für einen unserer Kunden (z. B. als Beschäftigte, Inhaberin oder beauftragte Person): Verantwortlich ist dieser Kunde, in der Regel Ihr Arbeitgeber oder Auftraggeber. Er entscheidet, wer einen Zugang bekommt, welche Funktionen eingeschaltet sind und wie lange Daten aufbewahrt werden. Wir verarbeiten die Daten in seinem Auftrag und nach seinen Weisungen (Auftragsverarbeitung nach Art. 28 DSGVO). Bitte richten Sie Anfragen zu Ihren Rechten an ihn; erreichen sie uns, leiten wir sie unverzüglich weiter. Sie nutzen eine Anwendung, die wir für uns selbst betreiben (z. B. als Gesellschafter oder Vertriebspartner der NexAI): Dann sind wir verantwortlich. Für Angebot, Vertrag, Abrechnung und an uns gerichtete Support-Anfragen sind wir ebenfalls selbst verantwortlich; das betrifft die Ansprechpersonen beim Kunden. Kontakt: NexAI – Next Generation Artificial Intelligence GbR, vertreten durch die Gesellschafter Maximilian Trenk und Jason Brian Merklein, Untere Bergstraße 13, 74586 Frankenhardt-Honhardt, Deutschland. E-Mail mbt@nex-a-i.com, Telefon +49 176 80714816. Unseren Datenschutzbeauftragten erreichen Sie unter datenschutz@nex-a-i.com.
3. Welche Daten verarbeitet werden
– Zugangsdaten: Name, E-Mail-Adresse, Rolle und Rechte; Ihr Passwort nur als nicht umkehrbare Prüfsumme. Bei eingeschalteter Zwei-Faktor-Anmeldung das dafür nötige Geheimnis (verschlüsselt) und Wiederherstellungscodes (als Prüfsumme). – Sitzungsdaten: ein Abdruck Ihrer Sitzungskennung, die Zeitpunkte der Anmeldung und der letzten Nutzung sowie die Kennung Ihres Browsers oder Geräts; im CRM zusätzlich die IP-Adresse. Fehlgeschlagene Anmeldeversuche zählen wir, damit niemand Passwörter durchprobieren kann. – Protokolle: wer wann etwas angelegt, geändert, freigegeben oder gelöscht hat. – Inhalte, die Sie eingeben oder bearbeiten (z. B. Termine, Kontakte, Notizen, Entwürfe). – Je nach Funktion: Ihre Mobilnummer, wenn Sie SMS über Ihre eigene Nummer verschicken; die Adresse Ihres Push-Abos, wenn Sie Benachrichtigungen einschalten; die geheime Abo-Adresse eines eigenen Kalenders, wenn Sie ihn anbinden; ein verschlüsselter Zugriffsschlüssel, wenn Sie Ihr Postfach oder Ihren Kalender bei Google oder Microsoft verbinden. – Nur im Postfachassistenten: die Inhalte der angebundenen Postfächer (eingehende und gesendete E-Mails samt Anhängen), die daraus erzeugten Einstufungen und Antwortentwürfe sowie Ihre Freigabeentscheidungen.
4. Zwecke und Rechtsgrundlagen
– Bereitstellung der Anwendung, Anmeldung, Rechteverwaltung und Benachrichtigungen. Im Kundenauftrag legt Ihr Arbeitgeber oder Auftraggeber die Rechtsgrundlage fest, in der Regel Art. 6 Abs. 1 lit. b DSGVO (Beschäftigungs- oder Auftragsverhältnis) oder lit. f. In unseren eigenen Anwendungen gilt Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit Ihnen). – Sicherheit und Nachvollziehbarkeit (Schutz vor unbefugtem Zugriff, Fehleraufklärung, Nachweis von Änderungen): Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und nachweisbarer Betrieb. – Vertragsabwicklung mit unseren Kunden: Art. 6 Abs. 1 lit. b bzw. f DSGVO, bei Rechnungen zusätzlich lit. c (gesetzliche Aufbewahrungspflichten).
5. Künstliche Intelligenz im Postfachassistenten
Der Postfachassistent nutzt ein KI-Sprachmodell. Es stuft eingehende E-Mails ein, fasst sie zusammen und entwirft Antworten. Ein Entwurf wird erst gesendet, wenn ein Mensch ihn freigibt. Ausgenommen sind Adressen, die Ihr Betrieb ausdrücklich für den automatischen Versand freigegeben hat; solche Mails tragen einen eigenen Hinweis, dass sie ohne vorherige menschliche Prüfung versendet wurden. Jede vom Assistenten verfasste Mail trägt eine maschinenlesbare KI-Kennzeichnung. Eine Entscheidung mit rechtlicher Wirkung Ihnen gegenüber trifft das System nicht. Ihre Daten werden nicht zum Training von KI-Modellen verwendet.
6. Wer die Daten außerdem erhält
– Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen: Server und Speicherung in Rechenzentren in Deutschland, verschlüsselte Sicherungen in Deutschland. – Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114 (USA): Versand von Systemmails (Einladung, Passwort zurücksetzen, Hinweise). Verschickt wird über ein Rechenzentrum in Irland, ein Zugriff aus den USA ist möglich. Resend ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO), ergänzend gelten Standardvertragsklauseln. – seven communications GmbH & Co. KG, Willestraße 4–6, 24103 Kiel: SMS-Versand und Bestätigungsanruf für eine eigene Absendernummer, nur wenn Sie das nutzen. – Postfachassistent: Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29 (Irland), verarbeitet die E-Mails mit dem KI-Modell; verarbeitet werden die Daten durch die Anthropic PBC in den USA. Anthropic ist nicht unter dem Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) im Auftragsverarbeitungsvertrag von Anthropic. Eine Kopie erhalten Sie auf Anfrage an mbt@nex-a-i.com. Anthropic löscht Ein- und Ausgaben nach eigenen Angaben innerhalb von 30 Tagen; stufen seine Sicherheitssysteme eine Anfrage als möglichen Verstoß gegen seine Nutzungsrichtlinien ein, bewahrt Anthropic sie bis zu 2 Jahre auf. – Push-Benachrichtigungen: Der Zustelldienst Ihres Geräts oder Browsers (etwa Apple, Google oder Mozilla) erhält die Abo-Adresse und eine verschlüsselte Nachricht, deren Inhalt er nicht lesen kann. – Google Ireland Ltd. bzw. Microsoft Ireland Operations Ltd.: nur wenn Sie Ihr Postfach oder Ihren Kalender dort verbinden; diese Anbieter haben Ihr Betrieb oder Sie selbst gewählt. – Im Kundenauftrag: der Kunde selbst; die Administration Ihrer Organisation sieht Zugänge und Protokolle. Zu Werbezwecken geben wir keine Daten weiter.
7. Wie lange wir Daten speichern
– Zugang: solange er besteht. Nach dem Entzug oder Vertragsende stellen wir dem Kunden die Daten 30 Tage zum Export bereit und löschen sie danach, soweit keine Aufbewahrungspflicht entgegensteht. – Anmeldungen enden mit dem Abmelden oder laufen ab: im CRM nach 12 Stunden, in NexTime nach 90 Tagen, im Postfachassistenten nach 30 Tagen. – Protokolle: Prüfprotokoll des CRM 12 Monate; Einträge zu Auskunfts- und Löschanträgen bis zum Ende des dritten Jahres nach dem Jahr des Eintrags (Nachweis innerhalb der regelmäßigen Verjährung, § 199 Abs. 1 BGB), Einträge zur Abrechnung (Verträge, Preise) bis zum Ende des zehnten Jahres (§ 147 Abs. 3 und 4 AO); NexTime-Änderungsprotokoll 24 Monate; im Postfachassistenten der Wortlaut freigegebener Mails im Freigabeprotokoll 3 Jahre, die Protokollzeile selbst bis zum Ende des sechsten Kalenderjahres nach dem Jahr der Freigabe (wie Kopien abgesandter Handelsbriefe, § 257 HGB). – Postfachassistent: Nachrichten samt allem, was daran hängt, 180 Tage nach Eingang; Anhänge und nicht gesendete Entwürfe 90 Tage. – Genannt sind unsere Vorgaben. Im Kundenauftrag legt der Kunde die Fristen selbst fest.
8. Cookies
Die Anwendungen setzen nur Cookies, die für Anmeldung und Sicherheit unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG). Analyse-, Werbe- oder Drittanbieter-Cookies setzen wir nicht.
9. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und auf Widerruf erteilter Einwilligungen (Art. 7 Abs. 3). Sie können sich bei jeder Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Heilbronner Straße 35, 70191 Stuttgart. Für Daten, die wir im Kundenauftrag verarbeiten, ist die Behörde am Sitz Ihres Arbeitgebers oder Auftraggebers zuständig.
Ihr Widerspruchsrecht (Art. 21 DSGVO)
Soweit wir oder Ihr Betrieb Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, es liegen zwingende schutzwürdige Gründe vor, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
10. Müssen Sie Daten angeben?
Ohne Name, E-Mail-Adresse und Passwort lässt sich kein Zugang einrichten. Alles Weitere ist freiwillig oder hängt davon ab, welche Funktionen Ihr Betrieb einschaltet.