Datenschutzerklärung
Was der Work Companion mit Ihren Daten tut — und was nicht. In verständlicher Sprache, nicht in Textbausteinen.
Verantwortlicher
Nexcraft-Labs e.U., Inhaber Ing. Gerhard Kubik, Nottebohmstraße 85, Parz. 12, 1190 Wien, contact@nexcraft-labs.com, +43 650 4955580.
Zwei verschiedene Rollen
Das ist der wichtigste Punkt, und er wird oft verwischt:
- Für diese Website und Ihr Vertragsverhältnis sind wir Verantwortlicher. Es geht um Ihre Kontaktdaten und die Abrechnung.
- Für die Unterlagen, die Sie in den Companion geben sind wir Auftragsverarbeiter nach Art. 28 DSGVO. Verantwortlich bleiben Sie. Wir verarbeiten diese Inhalte ausschließlich auf Ihre Weisung, nutzen sie nicht für eigene Zwecke und geben sie an niemanden weiter. Einen Auftragsverarbeitungsvertrag stellen wir auf Anfrage bereit; bei Betrieben, die personenbezogene Daten verarbeiten, gehört er zum Vertrag.
Welche Daten, wofür, auf welcher Grundlage
| Zugangsdaten Name, Anmeldename, Kennwort, Betrieb |
Damit Sie sich anmelden können und jeder Betrieb nur seine eigenen
Unterlagen sieht. Das Kennwort wird mit scrypt gestreut gespeichert und
ist auch für uns nicht lesbar. Grundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| Ihre Inhalte hochgeladene Dateien, Notizen, Aufträge, Briefentwürfe, Fragen und Antworten |
Das ist die eigentliche Leistung. Gespeichert auf unserem Server in
Deutschland. Grundlage: Art. 6 Abs. 1 lit. b DSGVO, Verarbeitung nach Art. 28 |
| OneDrive (nur wenn Sie es verbinden) | Wir speichern einen Zugriffsschlüssel von Microsoft. Gelesen wird
nur lesend und nur dann, wenn eine konkrete Frage es verlangt — es wird
keine Kopie Ihres Laufwerks angelegt. Die Verbindung lösen Sie jederzeit
in den Einstellungen; der Schlüssel wird dabei gelöscht. Grundlage: Art. 6 Abs. 1 lit. b DSGVO |
| Postfach (nur beim Paket E-Mail) | Zugangsdaten zu Ihrem IMAP-Postfach, um Nachrichten zu suchen und
Antworten als Entwurf abzulegen. Offen gesagt: IMAP kennt kein
Verfahren, bei dem das Kennwort unlesbar bleibt — es liegt daher so auf dem
Server, dass der Dienst es verwenden kann, geschützt durch
Dateirechte. Nehmen Sie dafür ein eigenes Postfach oder ein
App-Kennwort. Grundlage: Art. 6 Abs. 1 lit. b DSGVO |
| Abrechnung Firmenname, Rechnungsanschrift, Zahlungsweg |
Verarbeitet durch Stripe; die Kartennummer bzw. die Bankverbindung sehen
wir nie. Aufbewahrung nach § 132 BAO sieben Jahre. Grundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO |
| Protokolle Zeitpunkt, Pfad, Fehlercode |
Zum Betrieb und zur Fehlersuche. Empfängernamen und Inhalte werden
nicht protokolliert. Grundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb) |
Wo die Daten liegen
Auf einem Server der IONOS SE in Stuttgart, Deutschland. Nicht in einer fremden Wolke, nicht in den USA.
Das Stichwortverzeichnis bleibt hier
Damit der Companion Ihre Unterlagen durchsuchen kann, rechnet er sie in ein Stichwortverzeichnis um. Dieses Umrechnen geschieht auf demselben Server mit einem örtlich laufenden Modell (bge-m3 über Ollama). Ihre Dateien verlassen den Server dazu nicht.
Das Sprachmodell — hier wird es ehrlich
Die Antworten formuliert Mistral Medium 3.1, betrieben von Mistral AI in Frankreich. Der Weg dorthin führt derzeit über OpenRouter, Inc. mit Sitz in den USA, das die Anfrage weiterreicht.
Das heißt konkret: der Ausschnitt Ihrer Unterlagen, der für die Beantwortung einer Frage gebraucht wird, läuft über ein US-Unternehmen. Nicht Ihr ganzer Bestand, aber eben dieser Ausschnitt. Weder Mistral noch OpenRouter trainieren mit diesen Daten.
Was wir dagegen tun: Der Wechsel auf den direkten Zugang bei Mistral ist vorbereitet — damit entfällt der Umweg, und es gilt französisches Recht mit Auftragsverarbeitungsvertrag. Bis dahin steht es hier, statt in einer Fußnote zu verschwinden. Wenn Ihr Betrieb das heute schon nicht akzeptieren kann, sagen Sie es uns vor dem Vertragsabschluss.
Weitere Empfänger
| IONOS SE, Deutschland | Server und Sicherungen |
| Mistral AI, Frankreich | Sprachmodell |
| OpenRouter, Inc., USA | Vermittlung zum Sprachmodell (siehe oben) |
| Stripe Payments Europe, Ltd., Irland | Zahlungsabwicklung |
| Microsoft Ireland Operations, Ltd. | nur wenn Sie OneDrive verbinden |
| Pingen AG, Schweiz | nur beim Paket Versand, über Ihr eigenes Pingen-Konto. Die Schweiz hat einen Angemessenheitsbeschluss der EU-Kommission. |
Darüber hinaus geben wir nichts weiter. Wir verkaufen keine Daten, wir schalten keine Werbung, und es gibt auf dieser Seite keine Zählpixel, keine Fremdschriften und keine Besucherstatistik.
Kekse
Genau einer: ein Anmeldekeks, damit Sie beim Klicken nicht herausfliegen. Technisch notwendig, keine Einwilligung erforderlich, beim Abmelden weg.
Wie lange
- Ihre Inhalte — solange der Vertrag läuft. Nach dem Ende löschen wir sie auf Verlangen sofort, sonst nach 30 Tagen. Davor können Sie alles herausverlangen.
- Abrechnungsunterlagen — sieben Jahre, § 132 BAO. Daran können wir nichts ändern.
- Protokolle — 14 Tage.
- Sicherungen — 30 Stück täglich rollierend; eine Löschung wirkt dort spätestens nach 30 Tagen durch.
Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Eine E-Mail an contact@nexcraft-labs.com genügt — kein Formular, keine Förmlichkeit.
Wenn Sie meinen, dass etwas nicht stimmt, können Sie sich bei der Österreichischen Datenschutzbehörde beschweren: Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at.
Keine automatische Entscheidung
Der Companion entscheidet nichts allein. Er schlägt vor, sucht und formuliert; abgeschickt, unterschrieben und entschieden wird von einem Menschen. Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO findet nicht statt.
Stand: 1. Oktober 2026 · Nexcraft-Labs e.U., Wien · contact@nexcraft-labs.com