Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist Samuel Zimmermann, Trappentreustr. 43, 80339 München. Kontakt: support@nextya.de.

2. Welche Daten verarbeiten wir?

Bei der Nutzung von NEXTYA werden folgende Daten verarbeitet:

• Kontodaten (E-Mail, Name) zur Authentifizierung
• Klientendaten (Name, Geburtsdatum, Aktenzeichen) zur Berichtserstellung
• Dokumentationsinhalte und Berichtstexte
• PDF-Dateien, die zum Fachassistenten hochgeladen werden (zur KI-Analyse)
• Klientendaten und Berichtsinhalte, die optional als Kontext im Fachassistenten bereitgestellt werden
• Prüf- und Freigabemerkmale von Berichten (wer prüft, gegengelesen oder freigegeben hat, mit Zeitpunkt)
• Nutzungsprotokolle (Audit-Log) zur Nachvollziehbarkeit

Speicherung im Browser: Für die Anmeldung werden Sitzungs-Cookies gesetzt. Ein weiteres Cookie speichert nur den Zeitpunkt der letzten Aktivität und eine Sitzungs-ID (keine Inhalte), damit NEXTYA nach der von Ihrer Organisation eingestellten Zeit ohne Aktivität automatisch abmeldet (Standard 60 Minuten); damit alle offenen Tabs gemeinsam zählen, merkt sich der Browser zusätzlich den Zeitpunkt der letzten Eingabe. Beides wird beim Abmelden gelöscht, auch beim automatischen (ist der Anmeldedienst gerade nicht erreichbar, bleibt das Cookie bis zum nächsten Aufruf, damit die Abmeldung sicher nachgeholt wird). Bleibt der Browser geschlossen, beendet NEXTYA die Sitzung beim nächsten Aufruf nach Ablauf der Zeit und löscht das Cookie; technisch läuft es wie die Sitzungs-Cookies spätestens nach 400 Tagen ab. Diese Speicherungen sind für die sichere Anmeldung unbedingt erforderlich und erfolgen ohne Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO. Wählt eine Teamleitung „Als Vertretung bearbeiten“, merkt sich NEXTYA das in einem technisch notwendigen Cookie (nur Nutzer- und Bericht-IDs mit dem Zeitpunkt des Einschaltens, keine Inhalte). Jeder Eintrag läuft 12 Stunden nach dem Einschalten ab; mit „Zurück zum Prüfmodus“ wird er sofort entfernt, beim Abmelden der ganze Cookie gelöscht. Beginn und ausdrückliches Ende der Vertretung werden ohne Inhalte protokolliert. Einstellungen und die Gesprächsverläufe des Fachassistenten werden nur im Browser des genutzten Geräts gespeichert (nicht auf unseren Servern) und beim Abmelden oder mit „Neues Gespräch“ entfernt. Ob du die Willkommensübersicht, die Kurz-Einführung im Bericht und den Hinweis einer Vorlage schon gesehen hast, speichert NEXTYA ohne Inhalte bei deinem Konto, damit sie nicht nach jedem Abmelden wieder erscheinen; diese Angabe wird mit dem Konto gelöscht. Bei der Arbeit an einem Bericht liegen der Verlauf des Bericht-Chats und der Bearbeitungsstand (z. B. Wünsche, Einschätzung, offene Vorschläge, noch nicht gespeicherte Eingaben) nur im sessionStorage des Browser-Tabs. Sie enden mit dem Browser-Tab (stellt der Browser eine Sitzung wieder her, kann er den Stand zurückholen) und werden beim Abmelden in diesem Tab gelöscht; in anderen offenen Tabs erst, wenn diese geschlossen werden. Dasselbe gilt für den Fragen-Chat der prüfenden Person und das Ergebnis der Rechtschreibprüfung. Auf unseren Servern wird dieser Stand nicht gespeichert. Für die jeweilige Anfrage übermittelt NEXTYA die Nachricht bzw. die Wünsche, die Einschätzung und die Prüfergebnisse an den Server und zur KI-Verarbeitung an AWS Bedrock. Eine Angabe, die ausdrücklich als Quelltext übernommen wird, wird wie andere Quelltexte gespeichert.

Konten ohne Organisation: Ist ein Konto nach der Registrierung noch keiner Organisation zugeordnet, protokolliert NEXTYA, welche Kachel am Schritt „Organisation“ gewählt wurde (nur die Kennung der Kachel, keine Eingaben). Ist die E-Mail-Adresse bestätigt, schickt NEXTYA frühestens 24 Stunden nach der Registrierung einmalig eine Erinnerung an diesen Schritt. Damit wir neue Konten ohne Organisation persönlich unterstützen können, schickt NEXTYA sich außerdem täglich eine interne Meldung an support@nextya.de, wenn es neue solche Konten gibt. Sie enthält je Konto nur Merkmale, weder Namen noch E-Mail-Adresse: seit wann das Konto besteht, ob die Adresse bestätigt ist, den Zeitpunkt der letzten Anmeldung, ob die Adresse anhand ihrer Domain zu einer Organisation oder einem Freemail-Anbieter gehört, ob eine offene Einladung an diese Adresse besteht, die gewählte Kachel und ob eine Erinnerung verschickt wurde. Rechtsgrundlage ist für die Erinnerung Art. 6 Abs. 1 lit. b DSGVO, für den Protokolleintrag und die Meldung Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Registrierungen nachzuvollziehen und bei Problemen persönlich zu helfen). Der Protokolleintrag wird wie alle Einträge des Audit-Logs nach 12 Monaten gelöscht. Die Meldung löschen wir im Support-Postfach, sobald sie bearbeitet ist.

3. Speicherort und Sicherheit

Klientendaten werden ausschließlich in der Europäischen Union gespeichert und verarbeitet:

• Datenbank: Supabase, Frankfurt (eu-central-1)
• KI-Verarbeitung: AWS Bedrock, Annahme in Frankfurt (eu-central-1), Verarbeitung ausschließlich in AWS-Regionen der EU (Frankfurt, Irland, Paris, Stockholm, Mailand und Spanien)
• Texterkennung gescannter PDF-Dateien: Amazon Textract, Frankfurt (eu-central-1)
• Verschlüsselung: TLS bei Übertragung, AES-256 im Ruhezustand

4. KI-Verarbeitung

NEXTYA nutzt KI-Modelle (Claude von Anthropic, bereitgestellt über AWS Bedrock) für die automatisierte Berichtserstellung, die Prüfung des Entwurfs gegen die Quelltexte (beim Schreiben und auf Anforderung der Fachkraft) und aus Sicht des Jugendamts (auf Anforderung), Überarbeitungsvorschläge, die Rechtschreibprüfung, den Bericht-Chat und den Fragen-Chat der prüfenden Person, die Übersetzung von Texten, Dokumenten und Berichten sowie den Fachassistenten. Im Fachassistenten können PDF-Dateien zur Analyse hochgeladen werden. Optional kann ein Klient ausgewählt werden, um die KI-Antworten auf dessen Berichtsdaten zu beziehen (Klient-Kontext). Diese Daten werden nur für die aktuelle Anfrage an die KI übermittelt und nicht auf unseren Servern gespeichert. Speichern Sie eine Antwort bewusst in der Bibliothek, wird sie in der Datenbank (Supabase, Frankfurt) gespeichert; stammt sie aus einem Gespräch mit ausgewählter Klient:in, wird sie mit ihr verknüpft und mit ihr gelöscht. Enthält ein hochgeladenes PDF keine Textebene, wird der Text mit Amazon Textract erkannt. Die Antworten des Fachassistenten und des Bericht-Chats sind Arbeitshilfen und stellen keine Rechtsberatung dar. Dabei gilt:

• Daten werden nicht zum Training von KI-Modellen verwendet (Amazon Bedrock vertraglich; Amazon Textract per Opt-out)
• Die Verarbeitung erfolgt ausschließlich in AWS-Regionen der EU
• KI-generierte Inhalte werden als solche gekennzeichnet
• Jeder KI-generierte Berichtsabschnitt muss von der Fachkraft (oder der Teamleitung als Vertretung) bestätigt werden
• KI-Vorschläge werden erst übernommen, wenn die Fachkraft sie annimmt; übernommene Abschnitte gelten als KI-generiert und müssen bestätigt werden
• Die früher angebotene Berichtsanalyse ist entfallen; ihre gespeicherten Ergebnisse haben wir am 6. Oktober 2026 gelöscht (in verschlüsselten Datensicherungen bis zu deren automatischem Ablauf, spätestens nach 30 Tagen)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die KI-Verarbeitung ist für die Erbringung der vereinbarten Leistung (Berichtserstellung und fachliche Unterstützung) erforderlich. Klientendaten verarbeitet NEXTYA im Auftrag des Trägers (Art. 28 DSGVO); die Rechtsgrundlage dafür bestimmt der Träger als Verantwortlicher.

Auftragsverarbeitung: Mit AWS (Amazon Web Services EMEA SARL) besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Anthropic (Hersteller von Claude) ist als Sub-Auftragsverarbeiter eingebunden.

5. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) und Widerspruch (Art. 21 DSGVO). Wenden Sie sich dazu an support@nextya.de.

Beschwerderecht: Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Telefon: +49 (0) 981 180093-0
E-Mail: poststelle@lda.bayern.de
Web: www.lda.bayern.de

6. Aufbewahrung und Backups

Daten werden so lange gespeichert, wie Ihr Konto aktiv ist. Mit der Löschung werden die Daten sofort aus den aktiven Systemen entfernt, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. In verschlüsselten Datensicherungen verbleiben sie bis zu deren automatischem Ablauf: lokal nach 7 Tagen, extern nach spätestens 30 Tagen.

Archivierte Konten: Archiviert Ihre Organisation Ihr Konto (zum Beispiel beim Ausscheiden), ist die Anmeldung gesperrt und Sie haben keinen Zugriff mehr auf Daten der Organisation. Name, E-Mail-Adresse und Telefonnummer bleiben gespeichert, damit die Organisation Sie wieder aktivieren kann und Ihr Name an Ihren Beiträgen erhalten bleibt. Die Löschung veranlassen Sie oder Ihre Organisation über unseren Support; mit der Löschung der Organisation wird auch der Archiv-Eintrag gelöscht.

Beiträge in Berichten Ihrer Organisation: Kommentare, Änderungsvorschläge und Antworten, die Sie in der Prüfung eines Berichts hinterlassen haben, gehören zur Akte des Trägers. Nach der Löschung Ihres Kontos bleiben sie dort ohne Verknüpfung zu Ihrem Konto erhalten und werden als „Ehemaliges Teammitglied“ angezeigt. Sie werden mit dem Bericht bzw. der Akte gelöscht.

Datenbank-Backups: Zur Sicherstellung der Datenintegrität werden täglich automatisierte Sicherungskopien der Datenbank erstellt. Diese Backups werden verschlüsselt (GPG-AES-256) auf einem gesicherten Server in Deutschland (Hetzner Online GmbH, Nürnberg) gespeichert und nach maximal 7 Tagen automatisch gelöscht.

Off-Site-Backups: Zusätzlich werden die Datenbank-Sicherungen verschlüsselt (GPG-AES-256) auf eine räumlich getrennte Hetzner Storage Box in Nürnberg übertragen und dort maximal 30 Tage aufbewahrt. Die Verschlüsselungs- Passphrase wird nicht auf dem Anwendungsserver gespeichert. Diese Off-Site-Sicherung schützt vor Datenverlust bei Server-Komplettausfall. Die Backups verbleiben ausschließlich in Deutschland.

Gelöschte Daten können in bestehenden Backups bis zu deren Ablauf verbleiben, werden jedoch nicht aktiv genutzt oder wiederhergestellt.

7. Unterauftragsverarbeiter

Folgende Dienstleister werden als Unterauftragsverarbeiter eingesetzt:

• Supabase Inc. (Datenbank, Authentifizierung) — Standort: Frankfurt, eu-central-1
• Amazon Web Services EMEA SARL (KI-Verarbeitung via AWS Bedrock, Texterkennung via Amazon Textract) — Standort: EU (Annahme in Frankfurt, Bedrock in den AWS-Regionen Frankfurt, Irland, Paris, Stockholm, Mailand und Spanien)
• Anthropic PBC (KI-Modell Claude, Sub-Auftragsverarbeiter von AWS) — Verarbeitung über AWS Bedrock in der EU
• Resend Inc. (transaktionale E-Mails, Versand) — Standort: Irland (eu-west-1), DPA gemäß Art. 28 DSGVO
• Heinlein Hosting GmbH / mailbox.org (Support-E-Mail-Postfach für support@nextya.de, Empfang und Versand) — Standort: Deutschland, AVV gemäß Art. 28 DSGVO
• Stripe Payments Europe, Ltd. (Zahlungsabwicklung) — Standort: Dublin, Irland, DPA gemäß Art. 28 DSGVO
• Cloudflare, Inc. (DNS-Provider, Pages-Hosting für Wartungsseite, 5xx-Worker — DNS-only seit 21.04.2026, kein Reverse Proxy / CDN / SSL-Terminierung mehr) — Standort: USA (DPF-zertifiziert), globale PoPs; DPA gemäß Art. 28 DSGVO (self-executing, v6.4 vom 03.04.2026), TIA durchgeführt
• Better Stack s.r.o. (Uptime-Monitoring — nur Health-Checks auf nextya.de) — Standort: Tschechien (EU), DPA gemäß Art. 28 DSGVO
• Hetzner Online GmbH (Hosting in Nürnberg + Off-Site-Backup-Storage Box in Nürnberg) — Standort: Deutschland
• GitHub Inc. / Microsoft Corporation (Quellcode-Hosting, keine Klientendaten) — Standort: USA (DPF-zertifiziert), GitHub Data Protection Agreement
• Microsoft Corporation / Azure AD (optionaler OAuth-Login mit Microsoft-Konto, nur E-Mail/Name) — Standort: EU/USA (DPF-zertifiziert), Microsoft Online Services DPA

Mit allen Dienstleistern bestehen Auftragsverarbeitungsverträge (AVV) bzw. Data Processing Agreements (DPA) gemäß Art. 28 DSGVO. Soweit Anbieter ihren Sitz in den USA haben, stützt sich eine Übermittlung bei DPF-zertifizierten Anbietern (Resend, Cloudflare, GitHub, Microsoft) auf den Angemessenheitsbeschluss (EU) 2023/1795, bei Supabase auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); an Anthropic werden keine Daten übermittelt (Claude läuft in der AWS-Infrastruktur der EU). Kopien der Garantien erhaltet ihr über support@nextya.de.