Datenschutzerklärung für XOS

XOS ist eine Software, die Unternehmen für ihre eigene Arbeit einsetzen. Deshalb trennt diese Erklärung zwei Rollen, die datenschutzrechtlich unterschiedlich sind:

• Für dein Konto und die Abrechnung sind wir Verantwortliche. Das betrifft Registrierung, Anmeldedaten, Rechnungs- und Zahlungsdaten sowie die Protokolle, die wir zum sicheren Betrieb führen. Hierfür gilt diese Erklärung unmittelbar.
• Für die Inhalte, die in einem Firmenkonto verarbeitet werden, sind wir Auftragsverarbeiter. Verantwortlich ist dann die Organisation, die dich eingeladen hat — sie entscheidet, welche Daten in XOS gelangen, wie lange sie bleiben und wer sie sehen darf. Das betrifft Chats, hochgeladene Dokumente, Kunden- und Kontaktdaten sowie alles, was über verbundene Dienste hereinkommt.

Praktisch heißt das: Wenn du XOS über deinen Arbeitgeber nutzt und Auskunft oder Löschung deiner Inhalte verlangen möchtest, richtest du das an deine Organisation. Wir setzen ein solches Verlangen für sie um. Geht es um dein Konto selbst, wende dich direkt an uns.

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

Vertretungsberechtigt: Herr Sami Can Yolasigmaz und Herr Patrick Sager

Registernummer: GsR 3920, Amtsgericht Stuttgart

E-Mail: [email protected] · Telefon: +49 (0) 7452 6051953

Aufgrund unserer Größe sind wir nicht verpflichtet, einen Datenschutzbeauftragten zu benennen. Datenschutzanfragen richtest du bitte an die oben genannte E-Mail-Adresse.

Das Folgende speichern wir auf unserem eigenen Server. Für diesen Teil gibt es keinen Anbieter, dessen Erklärung die Beschreibung ersetzt, deshalb steht er hier vollständig. Wo für einen Schritt ein Anbieter beteiligt ist (etwa ein KI-Modell oder die Spracherkennung), steht das in der Zeile und in Abschnitt 4.

Jede Organisation hat eine eigene Datenbank. Ein Zugriff über Organisationsgrenzen hinweg ist nicht vorgesehen und wird bei jeder Anfrage geprüft.

Für die KI-Funktionen von XOS übermitteln wir die von dir eingegebenen Inhalte an spezialisierte Anbieter, die sie in unserem Auftrag verarbeiten. Zum oben genannten Stand stehen 17 Modelle von 8 Modellanbietern zur Auswahl. Welcher Anbieter tatsächlich Daten erhält, hängt davon ab, welches Modell für die jeweilige Anfrage ausgewählt ist:

Wählt deine Organisation „nur Modelle mit Verarbeitung in der EU", stehen zusätzlich Modelle über die EU-Region des Vermittlungsdienstes OpenRouter zur Verfügung. Dann kommen als Empfänger Amazon Web Services (Nova-Modelle) und Z.ai (GLM) hinzu, jeweils mit Verarbeitung in der Europäischen Union. Ohne diese Einstellung werden diese Modelle nicht angeboten und erhalten keine Daten.

• Mistral AI (Frankreich) — Verarbeitung ausschließlich über den EU/EFTA-gebundenen Endpunkt.
• Anthropic (USA) — auf Grundlage der Commercial Terms inklusive Data Processing Addendum. Unterauftragsverarbeiter: AWS, Google Cloud, Microsoft Azure.
• OpenAI (USA) — auf Grundlage des Data Processing Addendum.
• Google Cloud (Vertex AI und Speech-to-Text) — getrennt nach Verarbeitungsart:
  • Text- und Bilderzeugung sowie die Bearbeitung von Bildern, die du hochlädst (diese können Personen zeigen): Verarbeitung in der Europäischen Union (Region europe-west4).
  • Spracherkennung für Besprechungen und Telefonkonferenzen (Google Speech-to-Text): Verarbeitung in der Europäischen Union (Region eu), ohne Datenprotokollierung bei Google. Tonaufnahmen werden nach der Umwandlung sofort gelöscht.
  • Videoerzeugung: Verarbeitung in den Vereinigten Staaten (Region us-central1), da der eingesetzte Videodienst innerhalb der EU derzeit nicht angeboten wird.
• OpenRouter (USA) — ein Vermittlungsdienst, über den wir weitere Modelle erreichen: xAI (Grok), Moonshot AI (Kimi), DeepSeek, Alibaba/Qwen sowie Google (Gemini, Gemma). Bei diesem Weg erhält OpenRouter die Anfrage zusätzlich zum eigentlichen Modellanbieter. Mit OpenRouter liegt ein Auftragsverarbeitungsvertrag vor (Stand 26. August 2026), der die Standardvertragsklauseln der EU-Kommission für Übermittlungen aus dem EWR einschließt. Zusätzlich übermitteln wir bei jeder Anfrage technische Vorgaben, die eine Speicherung und eine Verwendung zum Modelltraining untersagen. Für einen Teil dieser Modelle ist die Verarbeitung fest auf EU-Anbieter festgelegt, für die übrigen wählt OpenRouter den Rechenort.

Kein Training mit deinen Daten. Bei allen bezahlten Zugängen ist das vertraglich ausgeschlossen. Bei den über OpenRouter erreichten Modellen übermitteln wir zusätzlich bei jeder Anfrage die technische Vorgabe, dass weder gespeichert noch zum Training verwendet werden darf.

Auch das Gedächtnis übermittelt. Damit die KI an frühere Gespräche anknüpfen kann, wird Text in eine mathematische Darstellung umgerechnet. Dieser Schritt läuft über Mistral AI (Frankreich, EU-Endpunkt) — er ist deshalb hier mit aufgeführt und nicht nur die Modelle, die Antworten schreiben.

Automatischer Schutz bei Personenbezug: Erkennt XOS in einer Anfrage personenbezogene Daten, wird sie automatisch auf ein Modell mit Verarbeitung in der EU umgeleitet — auch dann, wenn der Personenbezug nicht aus deiner Eingabe stammt, sondern aus einem Treffer in den Unterlagen deiner Organisation.

Dieser Schutz ist standardmäßig eingeschaltet. Administratoren deiner Organisation können ihn abschalten. Dann werden Anfragen mit personenbezogenen Daten nicht mehr automatisch umgeleitet, und alle Nutzer deiner Organisation sehen im Chat einen Hinweis, solange der Schutz aus ist. Wenn dein Arbeitgeber oder Auftraggeber das so entschieden hat, ist er für diese Verarbeitung verantwortlich.

Wenn ein Agent im Web recherchiert, geht die Suchanfrage an Tavily, einen Suchdienst mit Sitz in den USA. Übermittelt wird nur die Anfrage selbst, nicht dein Chatverlauf und nicht deine Unterlagen. Die vertragliche Grundlage für diese Übermittlung (Auftragsverarbeitung und Drittlandübermittlung) ist derzeit in Klärung, deshalb prüfen wir jede Anfrage vorab auf Personenbezug (s. unten).

Damit auf diesem Weg keine Namen nach außen gelangen, prüft XOS seit dem 30. August 2026 jede Suchanfrage vorab auf Personenbezug — mit demselben Maßstab wie bei der Modellauswahl. Erkennt es einen Personenbezug, wird die Anfrage gar nicht erst gesendet; der Agent muss sie ohne Personennamen neu formulieren oder nachfragen. Anders als beim KI-Modell gibt es hier kein EU-Ausweichziel, auf das man umleiten könnte — deshalb wird zurückgehalten statt umgeschaltet.

Diese Prüfung arbeitet mit Mustern und einer zusätzlichen Kontrolle durch ein kleines Modell in der EU. Im Zweifel entscheidet sie gegen die Übermittlung — eine abgelehnte Suche ist uns lieber als ein Name, der ungeprüft hinausgeht.

Für den Betrieb von XOS setzen wir weitere Dienstleister ein, die in unserem Auftrag verarbeiten:

• Hostinger — Hosting auf einem angemieteten Server mit Standort Frankfurt am Main, Deutschland. Sämtliche Datenbanken, hochgeladenen Dateien und Protokolle liegen dort.
• Stripe — Zahlungsabwicklung. Zahlungsdaten gibst du direkt in einem Eingabefeld von Stripe ein; die vollständige Kartennummer erreicht unsere Systeme nie. Wir sehen und speichern nur, was zur Anzeige nötig ist: Zahlungsart, die letzten vier Stellen und das Ablaufdatum. Stripe verarbeitet auch in den USA; Grundlage sind die Standardvertragsklauseln aus Stripes Auftragsverarbeitungsvertrag.
• Lexware (Haufe-Lexware GmbH & Co. KG, Freiburg) — Rechnungsstellung und Buchhaltung. Für jede Rechnung übermitteln wir Firmierung, Anschrift, USt-IdNr., die Rechnungspositionen und den Betrag sowie die E-Mail-Adresse der Person, an die die Rechnung geht. Verarbeitung in Deutschland.
• Mailjet — Versand von Systemnachrichten (Einladungen, Passwortzurücksetzung) und der Rechnung selbst: die Rechnung geht als PDF-Anhang an die von dir hinterlegte Rechnungsadresse. Der Anhang enthält damit Firmierung, Anschrift und Rechnungsbeträge.
• Cloudflare (Cloudflare, Inc., USA) — Weiterleitung des Webverkehrs zu unserem Server (Reverse Proxy). Dabei werden IP-Adressen sowie die übertragenen Anfragen und Antworten verarbeitet, die Verschlüsselung wird dort aufgelöst und neu aufgebaut. Der Verkehr läuft regelmäßig über Rechenzentren in Europa, eine Verarbeitung in den USA ist nicht ausgeschlossen. Die Grundlage der Übermittlung in die USA ist in Klärung.
• Google Drive (über ein technisches Konto) — Ablage der Sicherungskopien und des verschlüsselten Sperrarchivs (Abschnitt 10) außerhalb unseres Servers.
• Google Chat (intern, Google): Feedback. Schickst du uns über das Feedback-Feld eine Rückmeldung, leiten wir sie mit Kategorie und aufgerufener Seite in einen internen Chat-Raum unseres Teams weiter. Lässt du die Angabe deiner Identität eingeschaltet, gehen Name und E-Mail-Adresse mit. In XOS speichern wir die Rückmeldung nicht. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung von XOS (Art. 6 Abs. 1 lit. f DSGVO). Eine Übermittlung in die USA ist dabei nicht ausgeschlossen.

Zu den Sicherungen: sie werden täglich erstellt und liegen 30 Tage auf dem Server, Monatsstände zwei Jahre. Die Kopie außer Haus wird nach 30 Tagen gelöscht; danach liegt sie noch bis zu 30 Tage im Papierkorb des Ablagedienstes und wird dann endgültig entfernt. Sie ist asymmetrisch verschlüsselt: auf dem Server liegt nur der öffentliche Teil des Schlüssels — entschlüsseln kann ausschließlich, wer den privaten Schlüssel besitzt, und der liegt nicht dort. Google kann die Inhalte deshalb nicht lesen.

Wir setzen keine Analyse-, Werbe- oder Tracking-Dienste ein — weder auf der Website noch in der Anwendung.

Sofern du selbst einen externen Dienst mit deinem XOS-Konto verbindest, verarbeiten wir personenbezogene Daten aus diesem Dienst in deinem Auftrag — ausschließlich für die Funktionen, die du selbst auslöst. Ohne eine solche Verbindung findet bei dem jeweiligen Anbieter keine Verarbeitung statt. Du kannst jede Verbindung in den Einstellungen jederzeit wieder trennen; die hinterlegten Zugangsschlüssel werden dabei gelöscht.

Verbinden lassen sich Dienste aus diesen Bereichen: Google Workspace, Microsoft 365, CRM, Buchhaltung und ERP, Kommunikation (etwa Slack, Teams, Zoom), Dateiablage und Zusammenarbeit (etwa Notion, Dropbox, Confluence), E-Mail-Marketing (etwa Mailchimp, Mailjet), Web-Analyse, Terminbuchung, Onlinehandel und Versand, Kundensupport, Projektmanagement, Softwareentwicklung, Personal und Zeiterfassung. Die vollständige, aktuelle Liste findest du in der Anwendung unter Einstellungen, Connectoren. Diese Anbieter wählt deine Organisation selbst aus, sie sind ihre eigenen Vertragspartner. Das gilt auch für eigene Schnittstellen (MCP-Server), die Nutzer selbst anbinden können, und für den Newsletter-Versand: der läuft über das eigene Mailjet-Konto deiner Organisation, nicht über unseres.

Externe KI-Assistenten. Hat ein Administrator deiner Organisation es freigeschaltet, kannst du einen externen Assistenten, zum Beispiel Claude, mit deinem XOS-Konto verbinden. Die Verbindung stellst du selbst her und bestätigst sie ausdrücklich. Der Assistent kann dann in deinem Auftrag Kontakte, Firmen, Deals und Aufgaben lesen, Kontakte und Aufgaben anlegen, das Organisationswissen durchsuchen sowie Beiträge, Redaktionsplan und Kampagnen im Modul Social Media lesen, anlegen und zur Freigabe schicken (veröffentlicht wird nur durch einen Menschen in XOS), und zwar nur, was du in XOS selbst sehen darfst. Was er abruft, geht unverändert an den Anbieter des Assistenten (bei Claude: Anthropic, USA). Die Ersetzung personenbezogener Daten, die XOS bei seinen eigenen KI-Aufrufen vornimmt, gilt dafür nicht. Der Anbieter ist Vertragspartner deiner Organisation, nicht unser Unterauftragsverarbeiter, für seine Verarbeitung gelten seine eigenen Bedingungen. Jeder Zugriff wird bei uns protokolliert. Du kannst die Verbindung jederzeit in den Einstellungen unter Organisation trennen, ein Administrator kann die Schnittstelle für alle abschalten.

Wenn du XOS nutzt, um Inhalte auf einer Social-Media-Plattform zu veröffentlichen, übermitteln wir die dafür nötigen Inhalte an die jeweilige Plattform. Diese Anbieter sind dabei eigene Verantwortliche und keine Auftragsverarbeiter — für ihre Verarbeitung gelten deren eigene Datenschutzbestimmungen.

Über eine Support-Seite unter /support/… kannst du uns eine Anfrage schicken, ohne dich anzumelden. Das Formular erhebt Name, E-Mail-Adresse, Firma, Betreff und Beschreibung. Für diese Angaben ist ProzessX Verantwortlicher — das Portal ist unser eigener Support-Kanal für XOS-Kundenorganisationen.

Rechtsgrundlage ist die Bearbeitung deiner Anfrage im Rahmen des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) beziehungsweise unser berechtigtes Interesse an einer funktionierenden Kundenbetreuung (lit. f). Die Angaben werden ausschließlich zur Beantwortung genutzt und nicht an Dritte weitergegeben.

Deine Anfrage wird an zwei Stellen abgelegt, und das mit Absicht: als Vorgang bei ProzessX, damit wir sie bearbeiten können — und als Kopie in der XOS-Umgebung deiner eigenen Organisation, damit du den Bearbeitungsstand mit Vorgangsnummer und Zugangsschlüssel selbst abfragen kannst. Wer beides nicht hat, sieht den Vorgang nicht.

Support-Anfragen bewahren wir so lange auf, wie es für die Bearbeitung und den Nachweis der Bearbeitung nötig ist. Auf Verlangen löschen wir sie — beide Ablagen, nicht nur eine. Eine feste Frist gibt es dafür bisher nicht; sobald sie eingebaut ist, steht sie in Abschnitt 9.

Über /kontakt und die persönlichen Links unter /termin/…kannst du ohne Anmeldung einen Termin für eine kostenlose KI-Beratung buchen. Das Formular erhebt Name und E-Mail-Adresse (Pflicht) sowie Firma, Telefonnummer und dein Anliegen (freiwillig). Verantwortlich dafür ist ProzessX.

Rechtsgrundlage ist die Durchführung vorvertraglicher Maßnahmen auf deine Anfrage hin (Art. 6 Abs. 1 lit. b DSGVO). Die Angaben dienen ausschließlich dazu, den Termin zu vereinbaren, durchzuführen und dich dazu zu erreichen.

Wohin die Daten gehen — vollständig:

• Google Kalender und Google Meet. Aus deiner Anfrage entsteht ein Termin im Kalender der beratenden Person; du wirst als Teilnehmer eingetragen und erhältst von Google eine Einladung mit Videokonferenz-Link. Dafür werden dein Name und deine E-Mail-Adresse sowie deine Angaben aus dem Formular (als Beschreibung des Termins) an Google übermittelt. Anbieter ist Google Ireland Limited; eine Übermittlung in die USA ist dabei nicht ausgeschlossen.
• Mailjet. Die Bestätigungs-E-Mails verschicken wir über Mailjet (Sinch Email, Frankreich). Dorthin gehen E-Mail-Adresse, Name und Termindaten.
• Google Chat (intern). Über eine neue Terminanfrage informieren wir uns intern in einem Chat-Raum. Die Meldung enthält deine Angaben aus dem Formular, damit wir den Termin vorbereiten können.
• Unser CRM. Mit deiner Bestätigung legen wir dich als Kontakt in unserem eigenen System an (Name, E-Mail, Telefon, Firma, dein Anliegen), damit wir das Gespräch vorbereiten und darauf aufbauen können. Rechtsgrundlage ist unser berechtigtes Interesse an einer nachvollziehbaren Kundenbetreuung (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dem jederzeit widersprechen.

Bestätigen ist Pflicht. Eine Anfrage wird erst verbindlich, wenn du den Link in unserer E-Mail anklickst. Bestätigst du nicht, verfällt die Reservierung nach 24 Stunden automatisch und der Kalendereintrag wird gelöscht.

Zur Begrenzung von Missbrauch speichern wir zu jeder Anfrage die IP-Adresse (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO); sie wird nur für eine Mengenbegrenzung ausgewertet. Buchungsdaten bewahren wir so lange auf, wie es zur Durchführung und Nachvollziehbarkeit des Termins nötig ist. Auf Verlangen löschen wir sie vorher — schreib uns dafür an die Adresse in Abschnitt 2.

Seit dem 30. August 2026 läuft die Löschung nicht mehr von Hand, sondern als fester Ablauf. Es gelten diese Fristen:

Eine Löschung erfasst auch das persönliche Gedächtnis der KI. Nicht erfasst sind Unterlagen deiner Organisation, in denen du lediglich genannt wirst — diese gehören der Organisation; ein Löschverlangen dazu richtest du an sie (s. Abschnitt 1).

Dir stehen gegenüber uns die folgenden Rechte bezüglich deiner personenbezogenen Daten zu: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen die Verarbeitung (Art. 21). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung genügt eine formlose Nachricht an [email protected]. Unabhängig davon steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu; zuständig ist für uns der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

Keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO. Die Agenten in XOS bereiten vor, schlagen vor und führen aus, was ihnen aufgetragen wird — für Schritte mit Außenwirkung ist eine ausdrückliche Freigabe durch einen Menschen nötig. Es findet keine automatisierte Entscheidung statt, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt.

Deine Auskunft nach Art. 15 stellen wir für dich zusammen und geben sie vollständig heraus — schreib uns dafür einfach an [email protected].

XOS setzt keine Cookies zu Werbe- oder Analysezwecken und bindet keine Zählpixel oder Werbenetzwerke ein. Gespeichert wird nur, was für den Betrieb nötig ist:

• Anmeldung (Cookie access_token): hält dich angemeldet. Es ist für Skripte nicht auslesbar, auf diese Seite beschränkt und wird über HTTPS übertragen. Beim Abmelden wird es gelöscht.
• Lokaler Speicher deines Browsers: Anmeldemerkmal, gewähltes Erscheinungsbild (hell/dunkel), zuletzt geöffnete Ansichten und ein noch nicht abgeschickter Entwurf. Diese Angaben verlassen deinen Rechner nicht. Beim Abmelden wird das Anmeldemerkmal entfernt; die übrigen Einstellungen bleiben für deinen nächsten Besuch gespeichert, bis du die Websitedaten in deinem Browser löschst.

Nur im Zahlungsschritt: sobald du eine Zahlungsart hinterlegst, lädt das Eingabefeld von Stripe und setzt dabei zwei eigene Cookies (__stripe_mid, __stripe_sid). Sie dienen Stripe der Betrugserkennung und sind für die Abwicklung der Zahlung erforderlich. Auf allen übrigen Seiten — Startseite, Anmeldung, Arbeitsbereich — wird Stripe nicht geladen, dort entstehen auch keine solchen Cookies.

Weil ausschließlich technisch notwendige Speicherung stattfindet, ist keine Einwilligung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Es gibt deshalb auch kein Zustimmungsfenster.

Wir passen diese Erklärung an, sobald sich die Verarbeitung ändert — etwa wenn neue Funktionen, Modelle oder Anbieter hinzukommen. Damit das nicht wieder in Rückstand gerät, ist die Prüfung fester Bestandteil unseres Entwicklungsablaufs: Kommt ein Empfänger, ein Zweck, ein Verarbeitungsort oder eine Frist hinzu, wird ein Vorgang angelegt, statt den Text still zu ändern. Maßgeblich ist jeweils die hier veröffentlichte Fassung mit dem oben genannten Stand.