← Zurück zur Startseite

Datenschutzerklärung

Stand: 27. September 2026

§1 Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Philipp Humburg
Zum Hahletal 17
37339 Leinefelde
E-Mail: kontakt@nexmori.com

§1a Datenschutzbeauftragter

Eine Pflicht zur Benennung eines Datenschutzbeauftragten nach Art. 37 DSGVO und § 38 BDSG besteht für uns nicht. Für Datenschutzfragen erreichen Sie den Verantwortlichen persönlich unter der oben genannten E-Mail-Adresse.

§2 Verarbeitungstätigkeiten

2.1 Newsletter

Daten: E-Mail-Adresse; Zeitpunkt von Anmeldung und Bestätigung; als Nachweis der Einwilligung die IP-Adresse, die Browser-/Geräteangabe sowie Sprache und Fassung des angezeigten Einwilligungstextes zum Zeitpunkt der Anmeldung. Melden Sie sich vor der Bestätigung erneut an, ersetzt die neue Anmeldung die frühere.

Zweck: Versand des Newsletters. Nach der Anmeldung erhalten Sie eine E-Mail mit einem Bestätigungslink; erst der Klick darauf aktiviert das Abonnement (Double-Opt-in).

Rechtsgrundlage: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, etwa über den Abmeldelink in jeder E-Mail.

Speicherdauer: bis zur Abmeldung; dann wird der Datensatz samt Einwilligungsnachweis gelöscht. Nicht bestätigte Anmeldungen werden innerhalb von 3 Tagen gelöscht.

Empfänger: Brevo (§ 3.2), Hetzner (§ 3.3).

2.2 Benutzerkonto

Die Nutzung der App ist Personen ab 16 Jahren vorbehalten. Konten legen Sie ausschließlich selbst in der iOS-App an.

Daten: E-Mail-Adresse; Passwort ausschließlich als Hash, nie im Klartext; Zeitpunkt der Registrierung; Ihre Bestätigung, mindestens 16 Jahre alt zu sein und als Minderjährige(r) die Zustimmung der Sorgeberechtigten zu haben; als Nachweis der Einbeziehung der Nutzungsbedingungen die angenommene Version, Anzeigesprache, Zeitpunkt und eine Kennung des angezeigten Wortlauts. Ändern sich die Nutzungsbedingungen wesentlich und nehmen Sie die neue Fassung an, speichern wir diese Annahme ebenso.

Zweck: Bereitstellung des Kontos und Anmeldung; Nachweis von Altersbestätigung und AGB-Annahme im Streitfall. Der Vertrag kommt erst zustande, wenn Sie den Link in der Bestätigungs-E-Mail anklicken (§ 312i BGB, vgl. § 3 der Nutzungsbedingungen); bis dahin ist das Konto nicht nutzbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Konto und Bestätigung; Art. 6 Abs. 1 lit. c DSGVO (§ 305 Abs. 2, §§ 107, 108 BGB) in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO (Beweisführung) für Alters- und AGB-Nachweis.

Speicherdauer: bis zur Löschung des Kontos (§ 4). Nicht bestätigte Registrierungen werden samt Alters- und AGB-Nachweis innerhalb von 3 Tagen gelöscht; wer sich bei der Adresse vertippt hat, registriert sich einfach neu. Ein Newsletter-Abonnement zur selben Adresse bleibt davon unberührt.

Empfänger: Brevo für die Bestätigungs-E-Mail (§ 3.2), Hetzner (§ 3.3).

2.2a Passwort-Reset

Daten: E-Mail-Adresse des Kontos; ein Einmalcode, den wir per E-Mail senden und nur als Hash speichern; Zeitpunkte von Ausgabe, Ablauf und Verwendung.

Zweck: Zurücksetzen eines vergessenen Passworts. Der Code ist nur kurz gültig und nur einmal verwendbar; nach dem Zurücksetzen werden alle bestehenden Anmeldungen beendet. Ob zu einer Adresse ein Konto existiert, verrät die Antwort nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: verwendete oder abgelaufene Codes werden innerhalb von zwei Tagen gelöscht.

Empfänger: Brevo (§ 3.2), Hetzner (§ 3.3).

2.2b Abonnement und Nutzungsgrenzen

Daten: Abonnement-Status mit Testphasen- bzw. Laufzeitende; eine pseudonyme Abonnenten-Kennung, die Ihr Konto mit dem Abonnement verknüpft; die Historie der Abonnement-Ereignisse (etwa Kauf, Verlängerung, Kündigung, Erstattung) mit Produkt, Preis, Währung, Land und den Transaktionskennungen des App Store; monatliche Zähler der aufgenommenen Dokumente und gestellten Fragen sowie ein täglicher Zähler der aufgenommenen Dokumente.

Zweck: Freischaltung des Abonnements, Nachvollziehbarkeit der Abonnement-Historie und Durchsetzung der Nutzungsgrenzen gegen Missbrauch. Den Status gleichen wir zusätzlich bei RevenueCat ab. Apple ist Verkäufer (Merchant of Record); Zahlungskarten- und Rechnungsadressdaten erreichen uns nicht. Sie verwalten und kündigen das Abonnement in den Einstellungen Ihres Apple-Accounts.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Abonnement); Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsabwehr über Zähler); Art. 6 Abs. 1 lit. c in Verbindung mit Art. 5 Abs. 2 DSGVO (Ereignis-Historie).

Speicherdauer: Status, Ereignis-Historie und Monatszähler bis zur Löschung des Kontos; Tageszähler werden nach 31 Tagen gelöscht. Das Löschen von Dokumenten setzt die Zähler nicht zurück.

Empfänger: RevenueCat (§ 3.4), Hetzner (§ 3.3); Apple als eigenständig Verantwortlicher (§ 3.5).

2.3 Dokumentenverarbeitung und Chat

Ihre Dokumente, deren Text und der Suchindex bleiben auf Ihrem iPhone. Zur Aufnahme eines Dokuments sendet die App dessen Text zur Indexierung an unseren Server; zur Beantwortung einer Frage nur die Frage, den jüngsten Verlauf der laufenden Unterhaltung und eine begrenzte Zahl passender Textausschnitte. Der Server verarbeitet diese Daten nur flüchtig und speichert oder protokolliert nichts davon; der Chat-Verlauf wird weder auf dem Server noch auf dem Gerät dauerhaft gespeichert.

Daten: Dokumenttext; Ihre Fragen und der jüngste Gesprächsverlauf; Textausschnitte samt dem KI-erzeugten Dokumenttitel, Dokumenttyp und Sprache, die jedem Ausschnitt vorangestellt werden.

Zweck: Aufbau des Suchindex auf Ihrem Gerät und Erstellung KI-gestützter Antworten. KI-erzeugte Inhalte sind in der App als solche gekennzeichnet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Art. 50 Abs. 1 der Verordnung (EU) 2024/1689 (KI-VO) für die Kennzeichnung.

Speicherdauer: auf unserem Server keine; zu Mistral AI siehe § 3.1.

Empfänger: Mistral AI (§ 3.1), Hetzner (§ 3.3).

2.3b Diktat

Die optionale Diktatfunktion im Chat wandelt Sprache mit der Spracherkennung von iOS vollständig auf dem Gerät in Text um. Mikrofon und Spracherkennung werden erst nach Ihrer Freigabe in iOS genutzt. Weder Audio noch Transkript werden übertragen oder von uns gespeichert. Erst wenn Sie den Text absenden, wird er wie eine getippte Frage nach § 2.3 verarbeitet.

2.4 Website-Besuch und API-Nutzung

Daten: Ihre IP-Adresse wird zur Auslieferung technisch verarbeitet, aber nicht in Logs gespeichert. Die Server-Logs enthalten Anfrage-Kennung, aufgerufenen Pfad, Statuscode und Dauer, bei angemeldeten Anfragen eine pseudonyme Benutzerkennung. Zur Missbrauchsabwehr zählen wir Anfragen je Zeitfenster anhand einer aus IP- oder E-Mail-Adresse abgeleiteten Kennung bzw. Ihrer Konto-Kennung; die Adressen selbst werden dabei nicht gespeichert.

Zweck: Bereitstellung, Stabilität und Sicherheit von Website und API.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: Logs werden nach 30 Tagen gelöscht; Missbrauchszähler liegen nur im Arbeitsspeicher und verfallen nach spätestens einer Stunde.

Empfänger: Hetzner (§ 3.3).

Kontaktformular: Name, E-Mail-Adresse und Nachricht leiten wir per E-Mail an uns weiter, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen sie spätestens 6 Monate nach Abschluss der Anfrage. Empfänger: Brevo (§ 3.2).

2.5 Dokumentenklassifikation

Bei der Aufnahme schlägt ein KI-Sprachmodell anhand des Dokumenttextes einen Dokumenttyp vor, etwa Rechnung oder Vertrag (Art. 13 Abs. 2 lit. f DSGVO, Art. 50 Abs. 1 KI-VO). Außerdem schlägt es wesentliche Angaben wie Datum, Zeitraum und Absender vor. Die Vorschläge haben keine rechtliche Wirkung, und Sie können sie jederzeit ändern. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; Empfänger ist Mistral AI (§ 3.1).

2.6 Cookies und Speicherung auf Ihrem Endgerät

Website: Rufen Sie die Startseite direkt auf, leiten wir Sie anhand der Spracheinstellung Ihres Browsers einmalig auf die deutsche Fassung weiter; diese Angabe wird nicht gespeichert. Wählen Sie über einen Link die englische Fassung, setzen wir ein Sprach-Cookie, damit diese Weiterleitung unterbleibt. Es enthält keine Kennung und wird nach 12 Monaten gelöscht. Das Cookie ist für die gewählte Sprachfassung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Weitere Cookies, Tracking oder Analyse-Dienste setzen wir nicht ein, und alle Inhalte kommen von unserem eigenen Server.

iOS-App: Ihr Archiv liegt verschlüsselt auf Ihrem iPhone und ist von iCloud- und Computer-Backups ausgenommen; wir haben keinen Zugriff darauf. Teilen Sie ein Dokument über das iOS-Teilenfenster, ist das Ihr eigener Datenfluss: Die gewählte Ziel-App ist dafür selbst verantwortlich, und wir erfahren nicht, wohin Sie teilen.

§3 Auftragsverarbeiter und Empfänger

Wir setzen die folgenden Auftragsverarbeiter ein. Mit jedem besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

3.1 Mistral AI, Paris

  • Leistung: KI-Sprachmodelle für Indexierung, Antworten und Klassifikation (§ 2.3, § 2.5).
  • Verarbeitungsort: vorrangig in der EU.
  • Drittlandübermittlung: soweit sie ausnahmsweise erfolgt, auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
  • Vertrag: Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht.
  • Kein Training: Mistral AI verwendet die Daten nicht zum Training seiner Modelle; zur Missbrauchserkennung bewahrt Mistral AI sie bis zu 30 Tage auf.
  • Nicht übermittelt: keine Konto-Kennungen, E-Mail- oder IP-Adressen.

3.2 Brevo, Paris

  • Leistung: E-Mail-Versand: Newsletter, Konto-Bestätigung, Passwort-Reset-Codes, Bestätigung der Kontolöschung, Hinweise auf AGB-Änderungen und Weiterleitung von Kontaktanfragen.
  • Verarbeitungsort: vorrangig in der EU.
  • Drittlandübermittlung: soweit sie ausnahmsweise erfolgt, auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
  • Vertrag: Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht.
  • Kein Tracking: Öffnungs- und Klick-Tracking ist für alle E-Mails abgeschaltet.
  • Nicht übermittelt: keine Dokumentinhalte, keine Abonnement- oder Nutzungsdaten.

3.3 Hetzner Online GmbH, Gunzenhausen

  • Leistung: Hosting von Website, API und Kontodatenbank einschließlich der Server-Backups.
  • Verarbeitungsort: Rechenzentrum in Deutschland.
  • Drittlandübermittlung: keine.
  • Vertrag: Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht.
  • Nicht gespeichert: keine Dokumentinhalte; Texte für Indexierung und Chat durchlaufen den Server nur flüchtig.

3.4 RevenueCat, Inc., San Francisco

  • Leistung: Abonnementverwaltung: Weiterleitung der Abonnement-Ereignisse von Apple und Abgleich des Abonnement-Status (§ 2.2b). Übermittelt werden die pseudonyme Abonnenten-Kennung, Abonnement-Status und -Ereignisse, App-Version, Land sowie die von der App übermittelten Gerätedaten (Gerätekennung des Herstellers, IP-Adresse, Gerätemodell, Spracheinstellung).
  • Verarbeitungsort: USA.
  • Drittlandübermittlung: auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
  • Vertrag: Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht.
  • Nicht übermittelt: keine Zahlungsdaten, keine E-Mail-Adresse, keine Dokument- oder Chat-Inhalte.

3.5 Apple

Das Abonnement kaufen Sie bei Apple. Apple ist dabei eigenständig Verantwortlicher, nicht unser Auftragsverarbeiter: Apple verkauft im eigenen Namen, wickelt die Zahlung ab und verarbeitet Ihre Zahlungs- und Apple-Account-Daten nach seiner eigenen Datenschutzerklärung. Wir übermitteln keine personenbezogenen Daten an Apple und erhalten über RevenueCat nur die in § 2.2b genannten Abonnement-Ereignisse.

§4 Löschung

Die iOS-App bietet zwei Löschwege:

  • Datenlöschung: Die App löscht Archiv, Index und Schlüssel auf Ihrem Gerät. Da unser Server keine Dokumente hält, wird dort nichts entfernt. Konto, Nutzungszähler und ein Newsletter-Abonnement bleiben bestehen.
  • Kontolöschung: Wir löschen sämtliche Daten Ihres Kontos (§ 2.2 bis § 2.2b) einschließlich eines Newsletter-Abonnements unter derselben E-Mail-Adresse und senden Ihnen über Brevo eine einmalige Bestätigung an diese Adresse. Scheitert der Versand, bleibt die Löschung dennoch wirksam.

Gelöschte Daten können in den Server-Backups bis zu 7 Tage fortbestehen.

§5 Ihre Rechte

Sie haben das Recht auf:

  • Auskunft (Art. 15 DSGVO). Den Auskunftsbericht können Sie in der iOS-App selbst abrufen; wir protokollieren Zeitpunkt und Status des Abrufs bis zur Kontolöschung.
  • Berichtigung (Art. 16 DSGVO).
  • Löschung (Art. 17 DSGVO), in der App über die Wege nach § 4.
  • Einschränkung der Verarbeitung (Art. 18 DSGVO).
  • Datenübertragbarkeit (Art. 20 DSGVO). Ihre Kontodaten sind maschinenlesbar im Auskunftsbericht enthalten; Ihre Dokumente können Sie in der App einzeln als PDF teilen.
  • Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.
  • Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Schreiben Sie uns dazu an kontakt@nexmori.com. Wir antworten unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO); bei komplexen oder zahlreichen Anfragen kann sich die Frist um zwei Monate verlängern, worüber wir Sie innerhalb des ersten Monats informieren.

Sie können sich außerdem bei jeder Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere im Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist:

Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit (TLfDI)
Häßlerstraße 8, 99096 Erfurt
Telefon: +49 361 57-3112900
E-Mail: poststelle@datenschutz.thueringen.de
Web: www.tlfdi.de