// TRUST CENTER

Trust Center

Prüfen statt glauben.

Alles, was IT, Datenschutz, Revision und Einkauf vor einer Entscheidung prüfen – an einer Stelle und jeweils mit Verweis auf die vertragliche Grundlage. Was hier steht, steht auch im Vertrag.

01 · Betrieb

Ihre Daten bleiben, wo Sie wollen.

Drei Betriebsmodelle auf allen Paketstufen – ohne Mindestnutzerzahl und ohne Mindestabnahme.

Betrieb durch NexoGraphIn der Europäischen UnionMicrosoft Azure, Region Germany West Central (Frankfurt am Main)Datenschutz § 09

Eigener MandantGetrennte Umgebung je KundeMandantenfähig: zentral gesteuert, sicher getrenntArchitektur

Self-HostingIn Ihrer eigenen Azure-SubscriptionWir liefern Software und Aktualisierungen, die Infrastruktur liegt bei IhnenAGB § 02

Betrieb und WartungDurch uns selbst, in DeutschlandDatenschutz § 09

Verfügbar abAllen drei PaketstufenNicht erst ab einer MindestnutzerzahlBetriebsort

02 · Verfügbarkeit

Zugesagte Werte, nicht Zielwerte.

Verfügbarkeit, Wartung und Support sind vertraglich festgelegt. Reaktionszeiten je Störungsklasse regelt die Leistungsbeschreibung.

Verfügbarkeit99,0 % im MonatsmittelGemessen am Zugang zur Plattform, ohne angekündigte WartungsfensterAGB § 08

WartungsfensterFünf Werktage VorlaufAußerhalb der KernzeitenAGB § 08

SupportMo–Fr, 9–18 UhrÜber hello@nexograph.de, direkt beim EntwicklungsteamAGB § 08

ReaktionszeitenNach StörungsklasseGemäß Leistungsbeschreibung zum VertragAGB § 08

Ausfall eines ModellanbietersAutomatischer AusweichDer Model Router weicht auf ein Ersatzmodell aus, soweit konfiguriertAGB § 08

03 · Datenschutz

Sie bleiben Verantwortlicher.

Für Daten, die Sie einbringen, sind wir Auftragsverarbeiter nach Art. 28 DSGVO und verarbeiten ausschließlich auf Ihre Weisung.

AuftragsverarbeitungVertrag nach Art. 28 DSGVO vor BeginnWeisungsbindung, Vertraulichkeit, TOM, Unterstützung bei Betroffenenrechten, Nachweis- und AuditrechteDatenschutz § 09

UnterauftragsverarbeiterNur mit Ihrer GenehmigungNamentliche Liste samt Verarbeitungsregionen als Anlage; Änderungen mit WiderspruchsrechtAGB § 09

Training mit KundendatenAusgeschlossenWeder durch uns noch durch die eingesetzten Modellanbieter; ändert ein Anbieter seine Bedingungen, nehmen wir ihn aus der AuswahlAGB § 02

ModellanbieterAuswahl und Region bestimmen SieEigene Anbieterschlüssel können hinterlegt werdenAGB § 02

04 · Sicherheit

Technische und organisatorische Maßnahmen.

Maßnahmen nach Art. 32 DSGVO, regelmäßig geprüft. Die ausführliche Darstellung erhalten Kunden als Anlage zum Auftragsverarbeitungsvertrag.

VerschlüsselungIm Transport und im RuhezustandTLS für alle Verbindungen; gespeicherte Daten verschlüsseltDatenschutz § 13

ZugriffGeringste BerechtigungRollenbasierte Rechte, Mehr-Faktor-Authentifizierung für administrative ZugängeDatenschutz § 13

UmgebungenStrikt getrenntEntwicklung, Test und Produktion getrennt; keine echten Kundendaten außerhalb der ProduktionDatenschutz § 13

ProtokollierungRevisionssicherSicherheitsrelevante Vorgänge und jede Antwort der Plattform nachvollziehbarDatenschutz § 13

SicherungRegelmäßig, mit geprüfter WiederherstellungDatenschutz § 13

VorfälleDefinierter MeldeprozessErkennung, Bewertung und Meldung nach Art. 33 und 34 DSGVODatenschutz § 13

05 · KI-Governance

Nachvollziehbare KI, nicht nur sichere Infrastruktur.

Wie Antworten entstehen, wer Aktionen freigibt und was davon protokolliert wird.

QuellenpflichtKeine Antwort ohne BelegAntworten nennen ihre Belegstellen; findet die Plattform keinen Beleg, sagt sie dasAGB § 10

FreigabenMensch entscheidet bei RisikoKritische Aktionen halten an, bis ein Mensch sie freigibtKI-Management

Audit-TrailVollständig, exportierbarWer hat wann was gefragt, mit welchen Quellen, welchem Modell und welcher FreigabeAudit-Trail

Automatisierte EntscheidungenKeine im Sinne von Art. 22 DSGVOErgebnisse mit rechtlichen, finanziellen oder personellen Folgen prüft ein MenschAGB § 10

Datenräume und RollenGelten für jede AnwendungAuch für eingebundene Fremd-AgentenTrust Layer

06 · Wechsel & Export

Kein Lock-in – als Pflicht, nicht als Werbeaussage.

Umsetzung von Kapitel VI des Data Act (Verordnung (EU) 2023/2854), unabhängig davon, warum der Vertrag endet.

Kündigung zum WechselHöchstens zwei MonateAGB § 06

Übergangszeitraum30 KalendertageVerlängerbar, wenn technisch nötig, höchstens sieben MonateAGB § 06

ExportVollständig, maschinenlesbarDokumente im Original, strukturierte Daten, Knowledge Graph samt Schema, vollständiger Audit-TrailAGB § 06

LöschungBinnen 30 Tagen, schriftlich bestätigtGesetzliche Aufbewahrungspflichten bleiben unberührtAGB § 06

07 · Unterlagen

Was Sie vor Vertragsschluss erhalten.

In Textform, bevor Sie unterschreiben – nicht erst im Projekt.

Ihre IT oder Ihr Datenschutz braucht die Unterlagen für eine Prüfung? Wir schicken sie zu.

Unterlagen anfordern Executive Briefing

LeistungsbeschreibungUmfang, Betriebsmodell, Reaktionszeiten je Störungsklasse

PreislisteÖffentlich und vollständig, auch hier

AuftragsverarbeitungsvertragNach Art. 28 DSGVO, mit Liste der Unterauftragsverarbeiter und Regionen

TOM-AnlageAusführliche technische und organisatorische Maßnahmen

Wechsel und DatenexportAngaben nach Data Act zu Formaten, Fristen und Kosten

Stand der zitierten Grundlagen: AGB Version 1.1 vom 3. August 2026 · Datenschutzerklärung wie veröffentlicht. Maßgeblich ist der jeweilige Vertrag.