Datenschutzerklärung

Stand: 2. Mai 2026

§1 Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Philipp Humburg
Zum Hahletal 17
37339 Leinefelde
E-Mail: kontakt@nexmori.com

§1a Datenschutzbeauftragter

Für unseren Geschäftsbetrieb besteht keine gesetzliche Verpflichtung zur Bestellung eines/einer Datenschutzbeauftragten gemäß Art. 37 DSGVO und § 38 BDSG, da die Schwellenwerte für eine Pflichtbenennung (insbesondere die Mindestanzahl von Personen, die ständig mit der automatisierten Verarbeitung beschäftigt sind, sowie das Vorliegen einer Kerntätigkeit mit umfangreicher oder besonders sensibler Verarbeitung) nicht erreicht werden. Der Verantwortliche steht für datenschutzrechtliche Anliegen unter der oben angegebenen E-Mail-Adresse persönlich zur Verfügung.

§2 Erhebung und Verarbeitung personenbezogener Daten

2.1 Newsletter-Anmeldung

Auf unserer Webseite bieten wir die Möglichkeit, sich für unseren Newsletter anzumelden. Dabei erheben wir folgende Daten:

E-Mail-Adresse
Zeitpunkt der Anmeldung
Zeitpunkt der Bestätigung (Double Opt-In)
IP-Adresse zum Zeitpunkt der Einwilligung (Beweissicherung)
User-Agent (Browser-/Geräteangabe) zum Zeitpunkt der Einwilligung
Sprachversion und Hash-Kennung des angezeigten Einwilligungstextes

Rechtsgrundlage: Die Verarbeitung erfolgt auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Double Opt-In: Nach Eingabe Ihrer E-Mail-Adresse erhalten Sie eine Bestätigungs-E-Mail. Erst nach Klick auf den Bestätigungslink wird Ihre Anmeldung aktiviert. Dies stellt sicher, dass sich niemand unbefugt mit Ihrer E-Mail-Adresse anmeldet.

Speicherdauer: Ihre E-Mail-Adresse wird gespeichert, solange Sie den Newsletter abonniert haben. Nicht bestätigte Anmeldungen werden nach 48 Stunden automatisch gelöscht.

2.2 Benutzerkonto und Authentifizierung

Mindestalter: Die Nutzung der Plattform ist Personen ab 16 Jahren vorbehalten (Art. 8 DSGVO).

Bei der Registrierung auf unserer Plattform erheben wir folgende Daten:

E-Mail-Adresse
Passwort (wird mittels argon2id gehasht und niemals im Klartext gespeichert)
Zeitpunkt der Registrierung

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Erhebung dieser Daten ist zur Bereitstellung und Nutzung der Plattform erforderlich.

Sitzungsverwaltung: Zur Authentifizierung werden JSON Web Tokens (JWT) eingesetzt, die eine automatische Ablaufzeit besitzen. Es werden keine persistenten Cookies verwendet.

Kontolöschung: Bei Löschung Ihres Benutzerkontos werden sämtliche Kontodaten unverzüglich und dauerhaft gelöscht.

Unbestätigte Registrierungen: Konten ohne Bestätigungsklick werden nach sieben Tagen automatisch gelöscht. Ein zur selben E-Mail-Adresse bestehender Newsletter-Datensatz wird im selben Vorgang über einen E-Mail-Abgleich entfernt, damit eine nie bestätigte Anmeldung keine verwaiste Adresse hinterlässt.

2.2a Tester-Bereitstellung im geschlossenen Beta-Programm

Während der geschlossenen Beta-Phase steht die öffentliche Selbst-Registrierung nicht zur Verfügung. Tester-Konten werden ausschließlich durch den Verantwortlichen über ein internes Verwaltungswerkzeug angelegt (Operator-Aktion). Dabei werden die folgenden Daten erhoben und in der Benutzerkonto-Tabelle gespeichert (vgl. § 2.2):

E-Mail-Adresse (Identifikation und Welcome-E-Mail)
Anzeigename, sofern vom Tester mitgeteilt (ausschließlich für die persönliche Anrede)
argon2id-Hash eines vom System einmalig generierten 16-Zeichen-Erst-Passworts (kein Klartext)
Zeitstempel der Bereitstellung
Markierung „Erst-Anmeldung mit Passwort-Änderung erforderlich"

Das Erst-Passwort wird dem Tester einmalig per Welcome-E-Mail über den Auftragsverarbeiter Brevo (siehe § 3.2) übermittelt. Auf den Servern des Verantwortlichen liegt es ausschließlich als argon2id-Hash; das Klartext-Passwort wird nach Versand unverzüglich verworfen und niemals protokolliert.

Gültigkeitsdauer: Das Erst-Passwort ist 48 Stunden ab Bereitstellung gültig. Nach Ablauf wird ein Login damit systemseitig genauso abgelehnt wie ein falsches Passwort, ohne den Tester über den Ablaufgrund zu informieren (Verhinderung von Konto-Enumeration). Der Tester kann jederzeit über den Passwort-Reset (siehe § 2.2b) ein neues Passwort setzen; dies hebt die Erst-Anmeldung-Pflicht ebenfalls auf.

Erzwungene Passwort-Änderung: Bei der ersten erfolgreichen Anmeldung mit dem Erst-Passwort wird der Tester unmittelbar zur Vergabe eines eigenen Passworts geleitet; bis dahin sind alle weiteren API-Aufrufe (mit Ausnahme von Passwort-Änderung, Token-Aktualisierung und Abmeldung) gesperrt. Nach erfolgreicher Vergabe wird die Markierung zurückgesetzt und neue JWT-Tokens werden ausgestellt.

Audit-Protokoll: Der Bereitstellungsvorgang wird in einem strukturierten pino-Protokoll mit E-Mail-Adresse, pseudonymisierter Nutzer-ID, Locale und Erfolgsindikator festgehalten. Das Klartext-Erst-Passwort wird zu keinem Zeitpunkt protokolliert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. Durchführung vorvertraglicher Maßnahmen — der Beta-Zugang IST der vertragliche Leistungsgegenstand).

2.2b Passwort-Reset über achtstelligen Einmalcode

Vergisst ein Tester sein Passwort, kann er über den Bildschirm „Passwort vergessen?" einen Reset anfordern. Der Vorgang verarbeitet die folgenden Daten:

E-Mail-Adresse des betroffenen Kontos
argon2id-Hash eines vom System generierten 8-stelligen numerischen Einmalcodes (OTP)
Zeitstempel der Ausgabe, Ablaufzeit (15 Minuten ab Ausgabe) und ggf. Zeitstempel des Verbrauchs

Pro Konto kann zu jedem Zeitpunkt nur ein einziger nicht verbrauchter und nicht abgelaufener Code existieren. Wird ein neuer Code angefordert, während noch ein älterer aktiv ist, wird der ältere im selben Vorgang als verbraucht markiert.

Verhinderung von Konto-Enumeration: Eine Reset-Anforderung beantwortet der Server unabhängig davon, ob die angegebene E-Mail-Adresse einem bestehenden Konto entspricht oder nicht, mit einer identischen Erfolgsantwort und vergleichbarer Antwortzeit. Auf einer unbekannten E-Mail-Adresse wird weder ein OTP-Datensatz angelegt noch eine E-Mail versandt. Der Code wird ausschließlich an die hinterlegte E-Mail-Adresse versandt, niemals zurück an den Anfragenden.

Gültigkeitsdauer und Einmalverbrauch: Codes laufen 15 Minuten nach Ausgabe automatisch ab. Eine erfolgreiche Verifizierung markiert den Datensatz unverzüglich als verbraucht; ein zweiter Versuch mit demselben Code wird abgelehnt. Bei Erfolg werden in einer einzigen Datenbank-Transaktion (a) der argon2id-Hash des neuen Passworts gesetzt, (b) die Markierung „Erst-Anmeldung erforderlich" zurückgesetzt und (c) die Sitzungs-Versionsnummer erhöht, sodass alle zuvor ausgegebenen Sitzungs-Tokens des Kontos sofort ungültig werden.

Speicherdauer: Verbrauchte oder abgelaufene OTP-Datensätze werden durch einen täglichen Wartungsjob entfernt; spätestens 24 Stunden nach Ablauf bzw. Verbrauch existiert kein Datensatz mehr. Aktive Codes haben eine Höchstlaufzeit von 15 Minuten (oder weniger, wenn der Code zwischenzeitlich verbraucht oder durch eine spätere Anforderung überschrieben wird).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. Durchführung vorvertraglicher Maßnahmen).

2.3 Dokumenten-Upload und KI-Verarbeitung

Bei der Nutzung der Dokumentenverarbeitung werden ausschließlich die per OCR extrahierten Textinhalte an den Server übermittelt. Die Originaldokumente verbleiben stets auf dem Gerät des Nutzers und werden nicht an unsere Server übertragen.

Die übermittelten Textinhalte werden im Ruhezustand mit AES-256-GCM verschlüsselt gespeichert. Die Verarbeitungspipeline umfasst folgende Schritte: Chunking (Textaufteilung) → kontextuelle Anreicherung → Embedding-Erstellung → verschlüsselte Speicherung.

Verarbeitungs-Datensätze in der Hintergrund-Warteschlange werden automatisch nach spätestens 1 Stunde (erfolgreich) bzw. 24 Stunden (fehlgeschlagen) gelöscht und bei Kontolöschung synchron entfernt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Art. 50 Abs. 1 der Verordnung (EU) 2024/1689 (KI-VO) für die Transparenzpflicht hinsichtlich KI-erzeugter Inhalte.

2.3a Stapelscan-Rekonstruktion

Bei Nutzung der Stapelscan-Funktion werden gescannte Seiten durch eine Rekonstruktionspipeline verarbeitet, um sie zu Dokumenten zu gruppieren und zu ordnen. Dabei werden folgende Datenkategorien verarbeitet:

Originaldateinamen der gescannten Seiten
Inhalts-Fingerabdrücke (Hashes zur Duplikaterkennung und Seitengruppierung)
KI-Konfidenzwerte (Zuverlässigkeit der Gruppierungs- und Ordnungsentscheidungen)
Erkannte Identifikatoren (z. B. Dokumentennummern, aus dem Seiteninhalt extrahierte Daten)
Nutzer-Überprüfungsaktionen (Ihre manuellen Korrekturen an Gruppierung und Reihenfolge)

Alle Daten, die personenbezogene Informationen enthalten (Dateinamen, Identifikatoren, Überprüfungsdetails), werden im Ruhezustand mit AES-256-GCM verschlüsselt. Die automatisierten Gruppierungs- und Ordnungsentscheidungen haben keine rechtliche Wirkung und keine ähnlich erhebliche Beeinträchtigung für Sie — es handelt sich um Vorschläge, die Sie jederzeit überprüfen und korrigieren können.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

2.4 Hosting und Server-Logfiles

Diese Webseite wird auf einem Server in Deutschland gehostet. Beim Aufruf unserer Webseite werden folgende Daten verarbeitet:

IP-Adressen (nur im Arbeitsspeicher): Ihre IP-Adresse wird ausschließlich im Arbeitsspeicher des Servers für das Rate Limiting (Missbrauchserkennung) gehalten. Sie wird nicht auf die Festplatte geschrieben und nach spätestens 1 Stunde automatisch gelöscht.

Server-Logfiles (ohne IP-Adressen): Der Server erstellt Logfiles, die folgende Informationen enthalten:

Anfrage-ID (eindeutig pro Anfrage)
HTTP-Methode und URL-Pfad
Antwort-Statuscode
Anfragedauer (Millisekunden)

Bei authentifizierten Anfragen enthalten die Logfiles zusätzlich eine pseudonymisierte Benutzerkennung. Diese Logfiles enthalten keine IP-Adressen und werden nach 30 Tagen gelöscht.

Nicht Teil des Auskunftsarchivs: Server-Logfiles sind nicht nutzer-abrufbar; sie werden ausschließlich aggregiert für maximal 30 Tage zur Sicherstellung der Betriebssicherheit (Art. 6 Abs. 1 lit. f DSGVO) verarbeitet und sind aus diesem Grund nicht Teil des Auskunftsarchivs nach Art. 15 DSGVO.

Zugriff auf Logfiles: Auf die Server-Logfiles haben ausschließlich der Verantwortliche (Betreiber) sowie autorisierte Systemadministratoren des Auftragsverarbeiters Hetzner im Rahmen der technischen Bereitstellung Zugriff. Die Einsicht erfolgt nur, soweit dies zur Behebung technischer Störungen oder zur Abwehr von Sicherheitsangriffen erforderlich ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technischen Bereitstellung und Sicherheit der Webseite).

2.5 Automatisierte Entscheidungsfindung (KI-Dokumentenklassifikation)

Die Plattform setzt künstliche Intelligenz ein, um hochgeladene Dokumente automatisch zu klassifizieren (z. B. Rechnung, Vertrag, Bescheinigung). Gemäß Art. 13 Abs. 2 lit. f DSGVO und der Transparenzpflicht nach Art. 50 Abs. 1 der Verordnung (EU) 2024/1689 (KI-VO) informieren wir Sie über die zugrundeliegende Logik:

Die Klassifikation erfolgt auf Basis des extrahierten Textinhalts mithilfe eines KI-Sprachmodells.
Die Klassifikation hat keine rechtliche Wirkung und keine ähnlich erhebliche Beeinträchtigung für Sie.
Sie können die zugewiesene Kategorie jederzeit manuell ändern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Art. 50 Abs. 1 der Verordnung (EU) 2024/1689 (KI-VO) für die KI-Output-Transparenzpflicht.

Art. 22 DSGVO findet keine Anwendung: Die Klassifikation ist ein bloßer Vorschlag; Sie behalten jederzeit die manuelle Kontrolle und können jede Klassifikation überschreiben. Eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 Abs. 1 DSGVO findet daher nicht statt.

2.6 Speicherung auf Ihrem Endgerät

Diese Webseite speichert keine Daten auf Ihrem Endgerät — weder über Cookies noch über vergleichbare Mechanismen des Browser-Anwendungsspeichers. Die Sprachauswahl wird ausschließlich über die URL-Pfade (/de/ für Deutsch, Wurzel für Englisch) gesteuert. Es finden weder Speicher- noch Lesevorgänge gemäß § 25 TTDSG/TDDDG auf Ihrem Endgerät statt; eine Einwilligung ist daher nicht erforderlich.

§3 Auftragsverarbeiter und Datenweitergabe

Zur Bereitstellung unseres Dienstes arbeiten wir mit folgenden Auftragsverarbeitern zusammen. Die Verarbeitung erfolgt auf Grundlage von Auftragsverarbeitungsverträgen gemäß Art. 28 DSGVO. Für jede Verarbeitung außerhalb des Europäischen Wirtschaftsraums (EWR) haben wir eine Übermittlungs-Folgenabschätzung (Transfer Impact Assessment, TIA) gemäß den Empfehlungen 01/2020 des Europäischen Datenschutzausschusses (EDSA) durchgeführt und dokumentiert.

3.1 Mistral AI, Paris

Sitz und Datenstandort: Mistral AI hat seinen Sitz in Frankreich; die Verarbeitung erfolgt vorrangig auf EU-Infrastruktur. Soweit einzelne Verarbeitungsschritte außerhalb des EWR stattfinden (z. B. zur Lastverteilung), greift der unten genannte Übertragungsmechanismus.

Zweck: Verarbeitung von Dokumenteninhalten zur Erstellung semantischer Suchvektoren (Embeddings) sowie zur Generierung KI-gestützter Antworten und automatischer Dokumentenklassifikation.

Übermittelte Daten: Extrahierter Textinhalt aus Dokumenten sowie Suchanfragen der Nutzer.

Kein Training: Mistral AI verwendet die übermittelten Daten nicht zum Training seiner KI-Modelle (gemäß §4.2 der kommerziellen Nutzungsbedingungen).

Aufbewahrung: Daten zur Missbrauchserkennung werden 30 Tage nach den Standard-API-Bedingungen von Mistral aufbewahrt; eine kürzere Aufbewahrung wird für die API-Stufe vertraglich nicht angeboten.

Übertragungsmechanismus: Standardvertragsklauseln (SCCs) der EU-Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO als Absicherung für etwaige Datenflüsse außerhalb des EWR.

Transfer Impact Assessment (TIA): Wir haben eine Übermittlungs-Folgenabschätzung durchgeführt. Ergebnis: Bei vorrangiger EU-Verarbeitung in Frankreich, ergänzendem Schutz durch Standardvertragsklauseln und den unten genannten technischen Schutzmaßnahmen ist ein dem EU-Niveau im Wesentlichen gleichwertiges Schutzniveau gegeben.

Technische Schutzmaßnahmen: Übertragung ausschließlich über TLS 1.3 (Transportverschlüsselung); Inhalte liegen bei uns ausschließlich in pseudonymisierter Form (Chunks ohne Klartext-Zuordnung zu Identifikatoren) vor; bei Ruhezustand zusätzlich verschlüsselt mit AES-256-GCM.

Aktiv akzeptierter Auftragsverarbeitungsvertrag: Mistral AI Data Processing Addendum, Effective 12 March 2026, am 25. April 2026 aktiv über das Mistral-Konsole-Konto angenommen. Der zugrundeliegende DPA-Text ist öffentlich einsehbar unter legal.mistral.ai/terms/data-processing-addendum.

Eigentumsrechte: Der Kunde behält das Eigentum an den eingegebenen Daten und ist Eigentümer aller erzeugten Ausgaben (gemäß §3.1 der kommerziellen Nutzungsbedingungen).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

3.2 Brevo (Sendinblue), Paris

Sitz und Datenstandort: Brevo hat seinen Sitz in Frankreich und betreibt EU-basierte Infrastruktur. Soweit einzelne Verarbeitungsschritte außerhalb des EWR stattfinden, greift der unten genannte Übertragungsmechanismus.

Zweck: Versand von Newsletter-E-Mails (Double Opt-In, reguläre Newsletter), Kontoverifizierungs-E-Mails sowie Weiterleitung von Kontaktformular-Nachrichten.

Übermittelte Daten: E-Mail-Adresse, Absendername und Nachrichteninhalt (nur bei Kontaktformular-Weiterleitung).

Datennutzung: E-Mail-Tracking (Öffnungspixel, Link-Umschreibung) ist für alle ausgehenden E-Mails über API-Header deaktiviert. Brevo verwendet die übermittelten Daten nicht für eigene Zwecke über die Zustellung hinaus.

Übertragungsmechanismus: Standardvertragsklauseln (SCCs) der EU-Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO als Absicherung für etwaige Datenflüsse außerhalb des EWR.

Transfer Impact Assessment (TIA): Wir haben eine Übermittlungs-Folgenabschätzung für die Übermittlung an Brevo durchgeführt. Durch die EU-basierte Infrastruktur, die Standardvertragsklauseln und die unten genannten technischen Schutzmaßnahmen verbleibt das Restrisiko vertretbar.

Technische Schutzmaßnahmen: Übertragung über TLS 1.2+ (Transportverschlüsselung); E-Mails werden bei Brevo gemäß branchenüblichen Standards verschlüsselt im Ruhezustand gespeichert.

Aktiv akzeptierter Auftragsverarbeitungsvertrag: Brevo Terms of Service - Appendix 3 (Data Processing Agreement), Version October 1, 2025, am 3. April 2026 über die DSGVO-Einstellungen im Brevo-Konto angenommen. Der AVV regelt Verarbeitungsumfang, Aufbewahrung, Unterauftragsverarbeiter und Kontrollrechte.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für den Newsletter-Versand; Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für Kontoverifizierungs-E-Mails; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für die Kontaktformular-Weiterleitung.

3.3 Hetzner Online GmbH, Gunzenhausen

Sitz und Datenstandort: Hetzner hat seinen Sitz in Deutschland; sämtliche Verarbeitung erfolgt auf Servern innerhalb der Europäischen Union (Hetzner-Rechenzentrum in Deutschland). Es findet keine Drittlandübermittlung statt.

Zweck: Bereitstellung der Server-Infrastruktur zum Hosting der Anwendung und Speicherung der Nutzerdaten.

Übermittelte Daten: Alle im Rahmen der Nutzung anfallenden Daten werden auf Servern von Hetzner in Deutschland verarbeitet.

Übertragungsmechanismus: Da die Verarbeitung vollständig innerhalb des EWR erfolgt, ist kein Drittland-Übertragungsmechanismus nach Art. 46 DSGVO erforderlich.

Transfer Impact Assessment (TIA): Eine Übermittlungs-Folgenabschätzung ist mangels Drittlandübermittlung nicht erforderlich; die Verarbeitung verbleibt vollständig innerhalb der Europäischen Union.

Technische Schutzmaßnahmen: Hetzner setzt physische Zutrittskontrollen, redundante Stromversorgung und ein ISO-27001-zertifiziertes Sicherheitsmanagementsystem ein. Auf Anwendungsebene sind alle Nutzerinhalte mit AES-256-GCM verschlüsselt gespeichert; der Datentransport erfolgt ausschließlich über TLS 1.3 (Transportverschlüsselung).

Aktiv akzeptierter Auftragsverarbeitungsvertrag: Hetzner Data Processing Agreement (Art. 28 GDPR), Version 1.2 (February 16, 2026), am 18. April 2026 schriftlich gegenüber Hetzner angenommen. Der AVV regelt nach Art. 28 DSGVO Verarbeitungsumfang, technische und organisatorische Maßnahmen, Unterauftragsverarbeiter und Kontrollrechte.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zuverlässigen und sicheren Infrastruktur).

§4 Speicherdauer

Wir speichern Ihre personenbezogenen Daten nur so lange, wie es für die jeweiligen Verarbeitungszwecke erforderlich ist:

Benutzerkonten: Bis zur Löschung durch den Nutzer. Bei Kontolöschung werden sämtliche Kontodaten unverzüglich und dauerhaft gelöscht.
argon2id-Passwort-Hashes: Speicherdauer entspricht dem Lebenszyklus des zugehörigen Benutzerkontos; ohne Hash ist die Authentifizierung nicht möglich. Klartext-Passwörter werden zu keinem Zeitpunkt persistiert.
Erst-Passwort (Tester-Bereitstellung, § 2.2a): Hash wird in der Benutzerkonto-Tabelle gehalten, bis der Tester sein eigenes Passwort vergibt. Login mit dem Erst-Passwort wird 48 Stunden nach Bereitstellung systemseitig abgelehnt.
Passwort-Reset-Einmalcodes (§ 2.2b): Aktive OTP-Hashes maximal 15 Minuten ab Ausgabe; verbrauchte oder abgelaufene Datensätze werden im täglichen Wartungslauf, spätestens 24 Stunden nach Ablauf bzw. Verbrauch, hartgelöscht.
Dokumente: Bis zur Löschung durch den Nutzer.
Newsletter-Anmeldungen (unbestätigt): Automatische Löschung nach 48 Stunden.
Newsletter-Einwilligungs-Beweissicherung (IP, User-Agent, Hash der Einwilligung): Speicherung solange das Abonnement aktiv ist; nach Abmeldung Löschung gemäß Art. 17 DSGVO unter Berücksichtigung etwaiger Aufbewahrungspflichten.
Rate-Limiting-Daten (IP-Adressen): Automatische Löschung nach spätestens 1 Stunde.
Server-Logfiles: Löschung nach 30 Tagen.
Verschlüsselte Backups: Backups werden bis zu 30 Tage aufbewahrt. Gelöschte Nutzerdaten können in verschlüsselten Backups bis zu 30 Tage nach der Löschung fortbestehen.

Zwei separate Löschpfade (Art. 17 DSGVO): Die iOS-App unterscheidet zwischen einer reinen Datenlöschung und einer vollständigen Account-Löschung. Beide sind eigenständige nutzerinitiierte Verarbeitungstätigkeiten zur Wahrung des Rechts auf Vergessenwerden.

Datenlöschung (Library-Reset) über Einstellungen → Alle meine Daten löschen: Wir entfernen sämtliche Ihrer Dokumente, deren abgeleitete Chunks und Embeddings sowie etwaige laufende Hintergrund-Jobs. Ihr Benutzerkonto bleibt bestehen, und ein etwaiges aktives Newsletter-Abonnement unter derselben E-Mail-Adresse bleibt unverändert erhalten. Sie bleiben angemeldet und können sofort neue Dokumente hinzufügen.
Account-Löschung (vollständige Schließung) über Einstellungen → Konto löschen: Zusätzlich zu allem, was die Datenlöschung umfasst, entfernen wir Ihren Nutzer-Datensatz, Ihre AGB-Zustimmungs-Audit-Zeilen und alle Auskunfts-Antrags-Datensätze in derselben Datenbank-Transaktion. Ein etwaiges aktives Newsletter-Abonnement, dessen E-Mail-Adresse mit der E-Mail-Adresse des gelöschten Kontos übereinstimmt, wird im selben Vorgang ebenfalls entfernt (E-Mail-Abgleich). Sie werden lokal abgemeldet und auf den Anmeldebildschirm zurückgeführt. Keine nutzerbezogene Zeile überlebt eine selbstinitiierte Account-Löschung.

Bestätigungs-E-Mail nach Account-Löschung: Nach einer Account-Löschung versenden wir einmalig eine Bestätigungs-E-Mail an die zuletzt hinterlegte E-Mail-Adresse — als Beweispfad gemäß Art. 17 DSGVO. Die Versendung erfolgt über unseren Auftragsverarbeiter Brevo (Sendinblue), Frankreich (siehe § 7 Auftragsverarbeitung). Sollte der Versand der Bestätigungs-E-Mail fehlschlagen, ist die Löschung dennoch endgültig vollzogen; die Bestätigung ist eine Höflichkeitsmaßnahme, keine Voraussetzung der Löschung.

Sie haben jederzeit das Recht, die Löschung Ihrer Daten gemäß Art. 17 DSGVO zu verlangen.

§5 Cookies und Tracking

Diese Webseite verwendet keine Cookies und keine Tracking-Tools. Es werden keine Analyse-Dienste wie Google Analytics oder vergleichbare Dienste eingesetzt.

§6 Ihre Rechte

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

Auskunft (Art. 15 DSGVO): Sie haben das Recht, Auskunft über Ihre bei uns gespeicherten Daten zu erhalten. Den Bericht können Sie selbst über die iOS-App unter Einstellungen → Auskunft anfordern abrufen; Sie erhalten eine kombinierte ZIP-Datei aus PDF-Bericht und JSON-Anhang. Ergänzend können Sie den Bericht auch schriftlich per E-Mail an kontakt@nexmori.com anfordern.
Berichtigung (Art. 16 DSGVO): Sie haben das Recht, unrichtige Daten berichtigen zu lassen. Eine Self-Service-Funktion ist hierfür derzeit nicht bereitgestellt; bitte richten Sie Ihr Berichtigungsverlangen schriftlich an kontakt@nexmori.com.
Löschung (Art. 17 DSGVO): Sie haben das Recht, die Löschung Ihrer Daten zu verlangen. Die iOS-App bietet zwei getrennte Selbstbedienungs-Aktionen unter Einstellungen: Alle meine Daten löschen entfernt sämtliche Dokumente und abgeleiteten Daten und lässt Ihr Konto bestehen; Konto löschen schließt das Konto vollständig (inkl. Newsletter-Abonnement unter derselben E-Mail-Adresse) und löst eine einmalige Bestätigungs-E-Mail aus. Alternativ können Sie die Löschung schriftlich per E-Mail an kontakt@nexmori.com verlangen.
Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen. Eine Self-Service-Funktion ist hierfür derzeit nicht bereitgestellt; bitte richten Sie Ihr Verlangen schriftlich an kontakt@nexmori.com.
Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Die Plattform bietet eine Self-Service-Exportfunktion für Ihre Dokumente und Daten.
Widerspruch (Art. 21 DSGVO): Sie haben das Recht, der Verarbeitung Ihrer Daten zu widersprechen. Eine Self-Service-Funktion ist hierfür derzeit nicht bereitgestellt; bitte richten Sie Ihren Widerspruch schriftlich an kontakt@nexmori.com.
Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Sie können eine erteilte Einwilligung jederzeit widerrufen.

Wir beantworten Anfragen nach Art. 15–22 DSGVO unverzüglich, spätestens innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO); bei besonders komplexen oder zahlreichen Anfragen kann sich die Frist um zwei weitere Monate verlängern, worüber wir Sie innerhalb des ersten Monats informieren. Zur Ausübung der Rechte, für die oben keine Self-Service-Funktion genannt ist, wenden Sie sich bitte an: kontakt@nexmori.com

§7 Beschwerderecht

Sie haben gemäß Art. 77 DSGVO unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht, sich bei jeder Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren — insbesondere bei der Aufsichtsbehörde des Mitgliedstaats Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Für unseren Sitz ist die folgende Aufsichtsbehörde primär zuständig:

Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit (TLfDI)
Häßlerstraße 8, 99096 Erfurt
Telefon: +49 361 57-3112900
E-Mail: poststelle@datenschutz.thueringen.de
Web: www.tlfdi.de