Datenstandort und staatlicher Zugriff

Diese Seite enthält die Angaben nach Art. 28 Abs. 1 der Datenverordnung (EU) 2023/2854 („Data Act“):

• welcher Gerichtsbarkeit die Infrastruktur unserer einzelnen Leistungen unterliegt (Buchstabe a), und
• welche technischen, organisatorischen und vertraglichen Maßnahmen NexAI getroffen hat, um einen staatlichen Zugriff aus Drittländern auf nicht-personenbezogene Daten in der EU zu verhindern, wenn er dem Recht der EU oder Deutschlands widerspräche (Buchstabe b).

Für personenbezogene Daten gelten zusätzlich die Regeln der DSGVO zur Übermittlung in Drittländer (Art. 44 ff. DSGVO). Die Einzelheiten stehen in der Vereinbarung zur Auftragsverarbeitung (Anlage B zum Rahmenvertrag, § 10 und Anhang 2) und in unserer Datenschutzerklärung.

1. NexAI und unsere Server

• NexAI: NexAI – Next Generation Artificial Intelligence GbR, Untere Bergstraße 13, 74586 Frankenhardt-Honhardt, Deutschland. NexAI unterliegt deutschem Recht und dem Recht der EU.
• Unsere Server: Alle Systeme, die NexAI selbst betreibt, laufen bei der Hetzner Online GmbH (Gunzenhausen) in Rechenzentren in Deutschland. Dort liegen auch die Datensicherungen. Hetzner weist seine Sicherheit durch ein Testat nach BSI C5 und eine Zertifizierung nach ISO/IEC 27001 nach.
• Für diese Systeme gilt deutsches Recht und das Recht der EU.

2. Infrastruktur je Leistung

Telefonanschluss des Voice Agent, soweit so eingerichtet: easybell GmbH, Berlin. Das ist ein Telekommunikationsdienst, keine Auftragsverarbeitung.

3. Dienste mit Sitz in Drittländern

Diese Dienste haben ihren Sitz in den USA oder gehören zu einer Muttergesellschaft dort. Für diese Gesellschaften gilt das Recht der USA. Bei Vapi, Soniox, OpenAI und Anthropic liegen Daten zeitweise in den USA.

Diese Dienste setzen ihrerseits weitere Auftragsverarbeiter ein. Maßgeblich sind deren Listen: Vapi, OpenAI, Anthropic, Amazon Web Services, Google Workspace, Resend, Hetzner.

4. Unsere Maßnahmen gegen unzulässigen staatlichen Zugriff

Technisch

• Alle Systeme, die NexAI selbst betreibt, und ihre Sicherungen stehen in Deutschland.
• Die Daten jedes Kunden sind getrennt gespeichert. Beim NexAI Mailagent hat jeder Kunde eine eigene Instanz mit eigener verschlüsselter Datenbank und eigenem Schlüssel. Im NexAI CRM trennt die Datenbank die Kunden Zeile für Zeile.
• Gespeicherte Daten sind teilweise verschlüsselt: beim Mailagent die ganze Datenbank, im CRM unter anderem Gesprächsmitschriften und Zugangsschlüssel, in den Automatisierungen die Zugangsdaten zu Diensten des Kunden. Die Schlüssel liegen bei NexAI, nicht bei den Diensten in Drittländern.
• Daten werden über das Internet verschlüsselt übertragen (TLS). Eine Ausnahme ist derzeit die Sprachverbindung des Voice Agent: Zwischen Telefonanbieter, Telefonanlage und Plattformanbieter sind Signalisierung und Sprache nicht durchgehend verschlüsselt.
• Bei Diensten in Drittländern speichert NexAI so wenig wie möglich: keine Tonaufzeichnung beim Voice Agent, Gesprächsprotokoll beim Plattformanbieter rund 14 Tage, keine gespeicherten erfolgreichen Abläufe in den Automatisierungen, Sprachmodelle ohne Training mit Ihren Daten.
• Zugang zu den Servern haben nur die beiden Gesellschafter von NexAI.

Vertraglich und rechtlich

• Mit jedem Dienst besteht ein Vertrag zur Auftragsverarbeitung, der ihm dieselben Datenschutzpflichten auferlegt wie unsere Vereinbarung mit Ihnen.
• Übermittlungen in die USA stützt NexAI auf das EU-U.S. Data Privacy Framework (Art. 45 DSGVO) oder auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 Buchst. c DSGVO). Für die Übermittlungen auf Grundlage der Klauseln hat NexAI Transferbewertungen erstellt. Kunden erhalten sie und eine Kopie der Klauseln auf Anfrage.
• Fällt der Angemessenheitsbeschluss für einen Empfänger weg, stützt NexAI die Übermittlung auf die Klauseln oder beendet sie.
• Einen neuen Dienst kündigt NexAI mindestens 14 Tage vorher an. Sie können widersprechen und, wenn NexAI auf den Dienst nicht verzichten kann, die betroffene Leistung kündigen.

Organisatorisch

• NexAI verarbeitet Ihre Daten nur nach Ihren dokumentierten Weisungen.
• Die Gesellschafter und alle Beteiligten sind zur Vertraulichkeit verpflichtet.
• Bei Wartung und Fehlersuche gibt NexAI keine Daten von Kunden an KI-Werkzeuge.
• NexAI überprüft die Maßnahmen mindestens einmal im Jahr und bei jeder wesentlichen Änderung.

5. Wenn eine Behörde aus einem Drittland Daten verlangt

An NexAI:

• NexAI verarbeitet Ihre Daten nur auf Ihre Weisung oder wenn das Recht der EU oder Deutschlands es verlangt. Das Verlangen eines Gerichts oder einer Behörde eines Drittlands gehört nicht dazu.
• Ein solches Verlangen wird nur anerkannt, wenn es sich auf eine internationale Übereinkunft stützt, etwa ein Rechtshilfeabkommen (für personenbezogene Daten Art. 48 DSGVO, für nicht-personenbezogene Daten Art. 32 Abs. 2 Data Act).
• Für nicht-personenbezogene Daten gilt Art. 32 Abs. 3 bis 5 Data Act: Ohne eine solche Übereinkunft gibt NexAI Daten nur heraus, wenn die dort genannten Voraussetzungen erfüllt sind, und nur die Mindestmenge. NexAI teilt Ihnen das Verlangen vorher mit; eine Ausnahme gilt nur, solange es für eine Strafverfolgung nötig ist.

An einen Dienst in einem Drittland:

• Teilt ein Dienst NexAI mit, dass eine Behörde eines Drittlands Ihre Daten verlangt oder auf sie zugegriffen hat, informiert NexAI Sie unverzüglich in Textform, soweit das rechtlich zulässig ist. Dasselbe gilt, wenn NexAI erfährt, dass das Recht im Empfängerland die vereinbarten Garantien aushebelt.
• Sie können dann anweisen, die Übermittlung an diesen Dienst auszusetzen. Ist die Leistung ohne ihn nicht möglich, können Sie sie kündigen.

6. Was diese Maßnahmen nicht leisten

Sprachmodelle und die Gesprächssteuerung des Voice Agent müssen Inhalte im Klartext verarbeiten. Verschlüsselung schützt dort nicht vor einem Zugriff beim Anbieter. Deshalb begrenzt NexAI, was dort gespeichert wird, und nennt die Fristen in der Vereinbarung zur Auftragsverarbeitung (Anlage B, Anhang 3).

7. Kontakt

Fragen zu Datenstandort und Drittländern: mbt@nex-a-i.com. Welche Daten Sie wie mitnehmen: Datenformate und Wechsel.