Datenschutz­erklärung

Verantwortlicher und Kontakt

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website im Sinne des Art. 4 Nr. 7 DSGVO ist:

Firma

NexoGraph UG (haftungsbeschränkt)

Vertreten durch

den Gesellschafter Rolf Hammermann

Anschrift

Palanterstraße 6d, 50937 Köln, Deutschland

Registergericht

Amtsgericht Köln, HRB 129121

E-Mail

hello@nexograph.de

Telefon

+49 171 288 66 43

Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten bestellt. Eine Bestellungspflicht nach Art. 37 DSGVO in Verbindung mit § 38 BDSG besteht für uns nicht: Es sind bei uns nicht mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, und wir betreiben weder eine umfangreiche Verarbeitung besonderer Datenkategorien noch eine Verarbeitung, die eine Datenschutz-Folgenabschätzung erfordert. Datenschutzanfragen richten Sie bitte direkt an die oben genannte E-Mail-Adresse; sie werden von der Geschäftsführung bearbeitet.

Ihre Rechte

Sie haben uns gegenüber jederzeit die folgenden Rechte. Die Ausübung ist für Sie kostenlos; eine Begründung ist nur dort erforderlich, wo es unten ausdrücklich steht.

Art. 15 — Auskunft

Bestätigung, ob wir Daten zu Ihnen verarbeiten, und Kopie dieser Daten samt Zwecken, Empfängern und Speicherdauer.

Art. 16 — Berichtigung

Korrektur unrichtiger und Vervollständigung unvollständiger Daten.

Art. 17 — Löschung

Löschung, sobald der Zweck entfallen ist und keine gesetzliche Aufbewahrungspflicht entgegensteht.

Art. 18 — Einschränkung

Sperrung der Verarbeitung statt Löschung, etwa während wir die Richtigkeit prüfen.

Art. 20 — Datenübertragbarkeit

Herausgabe der von Ihnen bereitgestellten Daten in einem strukturierten, gängigen, maschinenlesbaren Format.

Art. 7 Abs. 3 — Widerruf

Eine erteilte Einwilligung können Sie jederzeit widerrufen. Der Widerruf wirkt für die Zukunft; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Beschwerde bei der Aufsichtsbehörde

Unabhängig von anderen Rechtsbehelfen können Sie sich nach Art. 77 DSGVO bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns als Unternehmen mit Sitz in Köln ist zuständig:

Behörde

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)

Anschrift

Kavalleriestraße 2–4, 40213 Düsseldorf

E-Mail

poststelle@ldi.nrw.de

Web

www.ldi.nrw.de

Hosting und Server-Logfiles

Diese Website wird auf Microsoft Azure betrieben. Anbieter ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Verarbeitungsregion ist Germany West Central (Rechenzentrumsregion Frankfurt am Main, Deutschland). Microsoft verarbeitet die Daten ausschließlich in unserem Auftrag und nach unseren Weisungen; es besteht ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO auf Grundlage der Microsoft Products and Services Data Protection Addendum (DPA).

Bei jedem Aufruf einer Seite erhebt der Server automatisch Zugriffsdaten, die Ihr Browser übermittelt:

• gekürzte oder vollständige IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• angeforderte Datei beziehungsweise URL und übertragene Datenmenge
• HTTP-Statuscode
• Referrer-URL, sofern übermittelt
• Browsertyp, Browserversion und Betriebssystem

Zweck ist die technische Bereitstellung der Website, die Gewährleistung von Stabilität und Sicherheit sowie die Aufklärung von Missbrauch und Angriffsversuchen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem störungsfreien, sicheren Betrieb. Eine Zusammenführung dieser Daten mit anderen Datenquellen findet nicht statt, und wir nutzen sie nicht zur Identifizierung einzelner Besucher.

Speicherdauer: 30 Tage, danach automatische Löschung. Bei einem konkreten Sicherheitsvorfall werden die betroffenen Einträge bis zum Abschluss der Aufklärung länger aufbewahrt.

Cookies und Einwilligungsverwaltung

Das Speichern von Informationen auf Ihrem Endgerät und der Zugriff darauf sind nach § 25 Abs. 1 TDDDG nur mit Ihrer Einwilligung zulässig. Ausgenommen sind nach § 25 Abs. 2 TDDDG technisch unbedingt erforderliche Speicherungen — nur diese setzen wir ohne Einwilligung ein.

Technisch erforderlich

Speicherung Ihrer Einwilligungsentscheidung sowie Sicherheitsmerkmale der Formularprüfung. Ohne diese funktioniert die Website nicht bestimmungsgemäß. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO.

Statistik

Nicht aktiv. Wir setzen keine Statistik-Cookies und lesen für die Reichweitenmessung keine Informationen von Ihrem Endgerät aus — siehe Abschnitt 10.

Marketing

Wir setzen keine Marketing- oder Tracking-Cookies für Werbezwecke ein.

Die Einholung, Dokumentation und Verwaltung Ihrer Einwilligung haben wir selbst entwickelt und betreiben sie in unserer eigenen Azure-Umgebung in der Region Germany West Central. Ein Consent-Tool eines Drittanbieters ist nicht im Einsatz; Ihre Entscheidung wird an keinen externen Dienst übermittelt.

Protokolliert werden Ihre Entscheidung, der Zeitpunkt, eine gekürzte IP-Adresse und Angaben zu Browser und Gerät — allein zum Nachweis der Einwilligung nach Art. 7 Abs. 1 DSGVO. Diese Protokolle bewahren wir auf, solange die Einwilligung gilt, und danach drei Jahre zur Abwehr möglicher Ansprüche.

Ihre Entscheidung können Sie jederzeit ändern oder vollständig widerrufen — über den Link Cookie-Einstellungen in der Fußzeile jeder Seite. Zusätzlich können Sie gesetzte Cookies jederzeit in den Einstellungen Ihres Browsers löschen und das Setzen künftiger Cookies dort unterbinden; einzelne Funktionen dieser Website stehen dann möglicherweise nicht zur Verfügung.

Cloudflare Turnstile

Zum Schutz unserer Formulare vor automatisierten Eingaben, Spam und Missbrauch setzen wir Turnstile ein, einen Dienst der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Turnstile prüft, ob eine Eingabe von einem Menschen oder von einem Programm stammt, ohne Ihnen ein Bilderrätsel zu stellen.

Auf welchen Seiten Turnstile lädt

Turnstile wird ausschließlich auf Seiten mit Formularen geladen, und dort erst mit dem Aufbau des Formulars. Aktuell ist das die Seite Newsletter. Auf allen übrigen Seiten dieser Website — einschließlich Kontakt und Demo — wird kein Cloudflare-Skript eingebunden und keine Verbindung zu Cloudflare aufgebaut. Sollten wir den Schutz auf weitere Formulare ausdehnen, ergänzen wir diese Angabe vorher.

Verarbeitete Daten

• IP-Adresse des anfragenden Geräts
• Angaben zu Browser, Betriebssystem und Geräteeigenschaften
• Referrer und aufgerufene Seite
• Interaktionssignale während der Prüfung, etwa Maus- und Tastaturmuster
• ein kurzlebiges Prüftoken, das die bestandene Prüfung an unseren Server bestätigt

Nach Angaben des Anbieters verwendet Turnstile keine Cookies zu Werbezwecken und erstellt keine geräteübergreifenden Profile für Werbung. Die erhobenen Daten werden nicht zu Werbezwecken genutzt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Abwehr von Spam und automatisierten Angriffen auf unsere Formulare; ohne diesen Schutz wären die Formulare nicht betreibbar. Soweit für die Prüfung Informationen auf Ihrem Endgerät gespeichert oder ausgelesen werden, geschieht dies nach § 25 Abs. 2 Nr. 2 TDDDG als für den ausdrücklich gewünschten Dienst — das Absenden des Formulars — unbedingt erforderliche Maßnahme.

Übermittlung in die USA

Cloudflare verarbeitet Daten auch in den Vereinigten Staaten. Die Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, ergänzt um zusätzliche Schutzmaßnahmen. Cloudflare ist nach Angaben des Anbieters zudem unter dem EU-US Data Privacy Framework zertifiziert, sodass für Übermittlungen an die zertifizierte Stelle ein Angemessenheitsbeschluss nach Art. 45 DSGVO greift. Trotz dieser Mechanismen kann nicht ausgeschlossen werden, dass US-Behörden auf Daten zugreifen.

Datenschutzerklärung des Anbieters: cloudflare.com/de-de/privacypolicy.

Kontaktformular und Anfragen per E-Mail

Über das Formular auf der Seite Kontakt erheben wir genau die folgenden Angaben:

Name (Pflicht)

Persönliche Ansprache und Zuordnung Ihrer Anfrage.

Unternehmen (Pflicht)

Einordnung des Anliegens; wir richten uns ausschließlich an Unternehmen.

E-Mail (Pflicht)

Antwortkanal. Ohne diese Angabe können wir nicht antworten.

Rolle (freiwillig)

Fachliche Einordnung, damit die Antwort auf dem richtigen Niveau ansetzt.

Anliegen (Auswahl)

Art des gewünschten Gesprächs, damit die Anfrage direkt an die richtige Person geht.

Nachricht (freiwillig)

Ihre Beschreibung des Anwendungsfalls.

Technisch werden zusätzlich der Zeitpunkt des Absendens und das Turnstile-Prüfergebnis protokolliert. Weitere versteckte Felder dienen ausschließlich der Spam-Erkennung und werden nicht ausgewertet.

Zweck ist die Bearbeitung Ihrer Anfrage und die anschließende Kommunikation. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf den Abschluss oder die Durchführung eines Vertrags gerichtet ist — etwa bei Erstgespräch, Testumgebung oder Pilot. In den übrigen Fällen ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an der Beantwortung geschäftlicher Anfragen.

Empfänger sind ausschließlich die Geschäftsführung und, soweit für die Beantwortung erforderlich, unser E-Mail- und Hostingdienstleister als Auftragsverarbeiter. Eine Weitergabe an Dritte zu eigenen Zwecken, insbesondere zu Werbezwecken, findet nicht statt. Ein Verkauf von Daten findet nicht statt.

Speicherdauer: Wir löschen die Anfrage, sobald sie abschließend bearbeitet ist und keine Aufbewahrungspflicht besteht, spätestens 24 Monate nach dem letzten Kontakt. Führt die Anfrage zu einem Vertrag, gelten die handels- und steuerrechtlichen Fristen von sechs beziehungsweise zehn Jahren nach § 257 HGB und § 147 AO.

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Über Ihre Anfrage entscheidet ein Mensch.

Newsletter

Für unser Briefing benötigen wir Ihre E-Mail-Adresse und Ihre Einwilligung. Die Anmeldung erfolgt im Double-Opt-In-Verfahren: Nach dem Absenden des Formulars senden wir Ihnen eine E-Mail mit einem Bestätigungslink. Erst wenn Sie diesen Link aufrufen, nehmen wir Sie in die Empfängerliste auf. Bleibt die Bestätigung aus, löschen wir die Anmeldedaten nach 14 Tagen.

Protokollierte Daten

• E-Mail-Adresse
• IP-Adresse der Anmeldung und der Bestätigung
• Zeitstempel von Anmeldung und Bestätigung
• Wortlaut der Einwilligungserklärung zum Zeitpunkt der Anmeldung

Diese Protokollierung dient allein dem Nachweis der Einwilligung nach Art. 7 Abs. 1 DSGVO und dem Schutz vor missbräuchlicher Anmeldung fremder Adressen.

Versanddienstleister

Wir versenden selbst. Anmeldung, Bestätigung und Versand laufen über unseren eigenen Dienst unter editorialapi.nexograph.de, betrieben in unserer Azure-Umgebung in der Region Germany West Central. Ein externer Newsletter-Dienstleister ist nicht beteiligt; Ihre Adresse wird an keinen Versanddienst übermittelt. Auftragsverarbeiter ist allein Microsoft als Infrastrukturanbieter — siehe Abschnitt 03.

Klickmessung — keine Öffnungsmessung

Wir erfassen, welche Links in einer Ausgabe aufgerufen wurden, um Themen und Frequenz zu verbessern. Eine Öffnungsmessung findet nicht statt: Wir setzen keine Zählpixel ein und wissen nicht, ob oder wann Sie eine E-Mail geöffnet haben.

Die Klickmessung ist Teil Ihrer Einwilligung; ein Widerruf beendet sie zusammen mit dem Abonnement. Die Klickdaten löschen wir zwölf Monate nach der jeweiligen Ausgabe.

Rechtsgrundlage für Versand und Auswertung ist Art. 6 Abs. 1 lit. a DSGVO, also Ihre Einwilligung. Sie können sie jederzeit widerrufen — über den Abmeldelink in jeder E-Mail oder mit einer Nachricht an hello@nexograph.de. Nach der Abmeldung löschen wir Ihre E-Mail-Adresse aus der Empfängerliste. Die Einwilligungsnachweise bewahren wir zur Abwehr möglicher Ansprüche bis zu drei Jahre nach dem Ende des Abonnements auf und verarbeiten sie ausschließlich zu diesem Zweck.

Demo-Graph und KI-Funktionen auf dieser Website

Auf mehreren Seiten dieser Website läuft eine Darstellung des Business Graph: Knoten leuchten auf, eine Frage wandert durch den Graphen, eine Antwort mit Quellenangabe erscheint. Was dabei technisch passiert, ist wenig spektakulär — und genau deshalb steht es hier.

Was daraus folgt

• Es werden keine Eingaben verarbeitet, weil keine Eingaben möglich sind.
• Es findet keine Übermittlung an Anbieter von Sprachmodellen statt — weder in der EU noch in Drittländern.
• Es werden keine Fragen und keine Antworten gespeichert; eine Speicherdauer gibt es deshalb nicht.
• Über die Zugriffsdaten aus Abschnitt 03 hinaus entstehen keine weiteren Daten.

KI-Transparenz nach Art. 50 KI-VO

Weil auf dieser Website kein KI-System betrieben wird, entsteht hier keine Transparenzpflicht nach Art. 50 KI-VO. Wir kennzeichnen die Darstellung dennoch als Beispiel, damit niemand sie für eine echte Auskunft hält. In der Plattform selbst arbeiten Sprachmodelle — dort gelten die Angaben aus Abschnitt 09 und die Regelungen des Auftragsverarbeitungsvertrags.

Wenn Sie die Plattform mit echten Fragen an echten Daten sehen möchten, führen wir sie in einem Termin vor: Demo ansehen.

Kundendaten in der Plattform

Für Daten, die unsere Kunden in die NexoGraph-Plattform einbringen — Dokumente, Datensätze aus angebundenen Systemen, Fragen und Antworten ihrer eigenen Mitarbeitenden — sind wir nicht Verantwortlicher, sondern Auftragsverarbeiter nach Art. 28 DSGVO. Verantwortlicher bleibt der jeweilige Kunde. Er bestimmt Zwecke und Mittel; wir verarbeiten ausschließlich auf seine Weisung.

Grundlage ist in jedem Kundenverhältnis ein Vertrag zur Auftragsverarbeitung mit den Pflichtinhalten des Art. 28 Abs. 3 DSGVO: Weisungsbindung, Vertraulichkeit des eingesetzten Personals, technische und organisatorische Maßnahmen, Unterstützung bei Betroffenenrechten und Meldepflichten, Löschung oder Rückgabe bei Vertragsende, Nachweis- und Auditrechte.

Unterauftragsverarbeiter

Wir setzen Unterauftragsverarbeiter nur mit Genehmigung des Kunden und nur unter gleichwertigen vertraglichen Verpflichtungen ein. Dazu gehören insbesondere:

• Infrastruktur- und Hostingbetrieb: Microsoft Azure, Region Germany West Central (Frankfurt am Main)
• Anbieter von Sprachmodellen im Model Router: Auswahl und Region bestimmt der Kunde; die konkret eingesetzten Anbieter und ihre Verarbeitungsregionen sind in der Anlage zum Auftragsverarbeitungsvertrag namentlich benannt. Auf dieser Website ist kein Sprachmodell im Einsatz — siehe Abschnitt 08.
• Betrieb und Wartung durch uns selbst: Deutschland

Beim Self-Hosting in der eigenen Umgebung des Kunden entfällt der Infrastrukturanbieter aus dieser Liste; die Verarbeitung findet dann vollständig unter der Kontrolle des Kunden statt. Die jeweils aktuelle Liste der Unterauftragsverarbeiter samt Verarbeitungsregionen ist Anlage zum Auftragsverarbeitungsvertrag; Änderungen kündigen wir mit angemessener Frist an, sodass der Kunde widersprechen kann.

Reichweitenmessung und Analyse

Wir messen Reichweite selbst, serverseitig und ohne Drittanbieter. Die Auswertung entsteht aus den Zugriffsdaten aus Abschnitt 03 und bleibt in unserer Azure-Umgebung in der Region Germany West Central. Es kommen keine Cookies zum Einsatz, es wird keine Kennung auf Ihrem Endgerät gespeichert oder ausgelesen, und es gibt keine geräteübergreifende Wiedererkennung. Ausgewertet werden aggregierte Werte: Seitenaufrufe, Verweise, ungefähre Region und Gerätekategorie.

Weil dabei nichts auf Ihrem Endgerät gespeichert oder ausgelesen wird, ist keine Einwilligung nach § 25 Abs. 1 TDDDG erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, zu erkennen, welche Inhalte gelesen werden. Ein Profil zu einzelnen Personen entsteht nicht.

Im Quellcode dieser Website ist eine Bestätigungskennung für die Google Search Console eingebunden (google-site-verification). Diese Kennung ist ein statischer Meta-Eintrag: Sie belegt gegenüber Google unsere Inhaberschaft an der Domain, lädt kein Skript, setzt kein Cookie und überträgt beim Seitenaufruf keine Daten an Google. Die Search Console selbst zeigt uns ausschließlich aggregierte Suchstatistiken ohne Bezug auf einzelne Personen.

Sollten wir künftig einen externen Analysedienst einsetzen oder Kennungen auf Ihrem Endgerät speichern, holen wir vorher Ihre Einwilligung nach § 25 Abs. 1 TDDDG ein und ergänzen diese Erklärung vor der Aktivierung.

Übermittlungen in Drittländer

Wir verarbeiten so weit wie möglich innerhalb der Europäischen Union. Die folgende Übersicht führt alle Empfänger auf, bei denen eine Verarbeitung außerhalb der EU und des EWR in Betracht kommt:

Cloudflare, Inc.

Turnstile-Formularschutz · USA · Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, ergänzend EU-US Data Privacy Framework nach Art. 45 DSGVO

Microsoft Ireland Operations Ltd.

Betrieb der Website auf Azure, Region Germany West Central · Verarbeitung in Deutschland; Zugriff aus Drittländern zu Support- und Wartungszwecken nicht auszuschließen · Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, EU Data Boundary

Wo Standardvertragsklauseln zum Einsatz kommen, haben wir zusätzlich geprüft, ob das Schutzniveau im Empfängerland im Einzelfall ausreicht, und ergänzende Maßnahmen wie Verschlüsselung in Übertragung und Ruhe sowie Datenminimierung vereinbart. Ein Restrisiko des Zugriffs durch Behörden des Empfängerlandes bleibt bestehen. Eine Kopie der jeweiligen Garantien stellen wir Ihnen auf Anfrage zur Verfügung.

Speicherdauer und Löschkonzept

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder wie gesetzliche Aufbewahrungspflichten es verlangen. Danach werden die Daten gelöscht oder anonymisiert. Die Fristen im Überblick:

Server-Logfiles

30 Tage

Einwilligungsprotokolle Cookies

solange die Einwilligung gilt, danach 3 Jahre

Kontaktanfragen

bis zur abschließenden Bearbeitung, längstens 24 Monate nach dem letzten Kontakt

Newsletter

bis zum Widerruf; Einwilligungsnachweise bis zu 3 Jahre danach

Klickdaten Newsletter

12 Monate nach der Ausgabe

Eingaben im Demo-Graph

entfällt — es gibt keine Eingaben, siehe Abschnitt 08

Vertrags- und Rechnungsdaten

6 Jahre nach § 257 HGB, 10 Jahre nach § 147 AO

Kundendaten in der Plattform

nach Weisung des Kunden, spätestens bei Vertragsende — siehe Abschnitt 09

Die Löschung erfolgt regelbasiert und wird dokumentiert. Sind Daten aus rechtlichen Gründen noch aufzubewahren, aber für den ursprünglichen Zweck nicht mehr erforderlich, sperren wir sie statt sie zu nutzen.

Technische und organisatorische Maßnahmen

Nach Art. 32 DSGVO schützen wir personenbezogene Daten durch Maßnahmen, die dem Stand der Technik und dem Risiko der Verarbeitung entsprechen:

• Transportverschlüsselung aller Verbindungen dieser Website über TLS; Verschlüsselung gespeicherter Daten im Ruhezustand
• rollenbasierte Zugriffsrechte nach dem Prinzip der geringsten Berechtigung, Mehr-Faktor-Authentifizierung für administrative Zugänge
• Trennung von Entwicklungs-, Test- und Produktivumgebungen; keine echten Kundendaten außerhalb der Produktivumgebung
• Protokollierung sicherheitsrelevanter Vorgänge und revisionssichere Nachvollziehbarkeit jeder Antwort in der Plattform
• regelmäßige Sicherungen mit geprüfter Wiederherstellung
• Verpflichtung aller tätigen Personen zur Vertraulichkeit, Prüfung und vertragliche Bindung aller Dienstleister
• Prozess zur Erkennung, Bewertung und Meldung von Datenschutzverletzungen nach Art. 33 und 34 DSGVO

Wir prüfen diese Maßnahmen regelmäßig und passen sie an neue Erkenntnisse an. Eine ausführliche Darstellung erhalten Kunden als Anlage zum Auftragsverarbeitungsvertrag.

Stand und Änderungsvorbehalt

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen, die eingesetzten Dienste oder die Rechtslage ändern. Für Ihren erneuten Besuch gilt jeweils die hier veröffentlichte Fassung. Bei Änderungen, die eine Einwilligung betreffen, holen wir diese neu ein — eine stillschweigende Fortgeltung nehmen wir nicht an.

// Stand: 3. August 2026 · Version 1.0