Datenschutzerklärung, Fassung vom 12. Oktober 2026

Datenschutzerklärung der Nexagen GmbH

Version 1.1 | Gültig ab 12.10.2026

§ 1 Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist, soweit in dieser Erklärung nichts anderes angegeben ist:

Nexagen GmbH

Kolonnenstraße 8

10827 Berlin

Handelsregister: HRB 274476 B, Amtsgericht Charlottenburg

Geschäftsführer: Richard Sander, Jasin Islami, Arne Stolle

E-Mail: info@nexagen.io

§ 2 Datenschutzbeauftragter

Nexagen ist nach § 38 Abs. 1 Satz 1 BDSG nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet, da in der Regel weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind. Eine Bestellpflicht folgt auch nicht aus Art. 37 Abs. 1 DSGVO, da weder eine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO stattfindet noch die Kerntätigkeit von Nexagen in einer regelmäßigen und systematischen umfangreichen Überwachung von betroffenen Personen besteht. Nexagen hat daher aktuell keinen Datenschutzbeauftragten bestellt.

§ 3 Begriffe und Rollen

Nexagen verarbeitet personenbezogene Daten in zwei unterschiedlichen Rollen.

Als Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO verarbeitet Nexagen die in dieser Erklärung beschriebenen Daten. Das betrifft insbesondere Besucher unserer Website, Interessenten sowie die Nutzer unserer Kunden mit ihren Registrierungs-, Anmelde- und Abonnementdaten.

Als Auftragsverarbeiter im Sinne des Art. 28 DSGVO verarbeitet Nexagen alle Inhaltsdaten, die im Rahmen der gebuchten Automatisierungen über die vom Kunden angebundenen Systeme, etwa E-Mail-Postfächer oder das ERP-System, in die Plattform gelangen. Das betrifft insbesondere Nachrichteninhalte, Anhänge, Auftrags- und Termindaten sowie Daten der Endkunden und Beschäftigten unserer Kunden. Für diese Daten bleibt unser Kunde Verantwortlicher im Sinne der DSGVO. Die Einzelheiten regelt der zwischen Nexagen und dem jeweiligen Kunden geschlossene Auftragsverarbeitungsvertrag, nicht diese Erklärung.

Sind Sie Endkunde oder Mitarbeitender eines Unternehmens, das die Nexagen-Plattform nutzt, und möchten Sie Ihre Rechte hinsichtlich dieser Daten geltend machen, wenden Sie sich bitte an das jeweilige Unternehmen. Dieses ist für die Beantwortung Ihrer Anfrage verantwortlich.

§ 4 Geltungsbereich

Diese Erklärung gilt für folgende von Nexagen betriebene Domains:

• nexagen.io und www.nexagen.io, die öffentlich zugängliche Marketing-Website,
• app.nexagen.io, die Webanwendung, deren Nutzung ein Kundenkonto voraussetzt,
• hilfe.nexagen.io, das Hilfe-Center. Dieses ist nicht öffentlich zugänglich, sondern entweder passwortgeschützt oder, bei Einbindung innerhalb von app.nexagen.io, an ein aktives Abonnement gekoppelt. Angesprochen sind damit in der Praxis die Nutzer unserer Kunden im Sinne des § 3.

§ 5 Allgemeines zur Datenverarbeitung

Die Verarbeitung personenbezogener Daten durch Nexagen stützt sich, je nach Verarbeitung, insbesondere auf folgende Rechtsgrundlagen: die Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO), ein berechtigtes Interesse an einem technisch sicheren und funktionsfähigen Betrieb unserer Angebote (Art. 6 Abs. 1 lit. f DSGVO), Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, teils in Verbindung mit § 25 Abs. 1 TDDDG) sowie die Erfüllung rechtlicher Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO). Welche Rechtsgrundlage im Einzelfall einschlägig ist, ergibt sich aus § 6.

Wir verarbeiten personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist, oder länger, soweit gesetzliche Aufbewahrungspflichten bestehen, insbesondere nach § 147 AO und § 257 HGB. Die konkrete Speicherdauer je Verarbeitung ist in § 6 angegeben.

Empfänger Ihrer Daten sind, je nach Verarbeitung, mit der Verarbeitung befasste Mitarbeitende von Nexagen, die zur Vertraulichkeit verpflichtet sind, sowie sorgfältig ausgewählte externe Dienstleister, die Nexagen im Rahmen einer Auftragsverarbeitung nach Art. 28 DSGVO einsetzt. Die von uns eingebundenen externen Dienstleister sind gesammelt in § 7 beschrieben, einschließlich etwaiger Übermittlungen in Länder außerhalb der EU/des EWR (Drittländer) und der hierfür jeweils bestehenden Garantien.

§ 6 Verarbeitungen im Einzelnen

6.1 Hosting der Website und des Hilfe-Centers

Zweck: Bereitstellung und technisch fehlerfreier Betrieb von nexagen.io und hilfe.nexagen.io.

Datenkategorien: in eigenen Protokolltabellen (error_logs, page_events): Zeitstempel, aufgerufener Pfad, verweisende Seite, Session-ID und User-Agent. Die IP-Adresse wird dabei nicht gespeichert; sie wird lediglich flüchtig für maximal 60 Sekunden im Arbeitsspeicher als Schlüssel für die Ratenbegrenzung im Fehler-Logging verwendet und anschließend verworfen, ohne in eine Datenbank zu gelangen. Daneben fallen bei der zugrunde liegenden Hosting- und Auslieferungsinfrastruktur technische Zugriffsprotokolle an, die kurzfristig rotiert werden (siehe § 7.1 und § 7.2).

Auf nexagen.io werden zudem redaktionelle Inhalte (Blogartikel, Automatisierungs-Fallbeispiele, Rechtstexte) aus unserer Wissensdatenbank in Notion serverseitig im Arbeitsspeicher zwischengespeichert (TTL 5 Minuten). Dabei handelt es sich ausschließlich um redaktionelle Inhalte ohne Personenbezug; der Cache ist flüchtig und geht bei jedem Neustart der Serverinstanz verloren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im technisch stabilen Betrieb der Website.

Empfänger: siehe § 7.1 (Lovable) und § 7.2 (Cloudflare); für die synchronisierte Notion-Kopie ausgewählter error_logs-Einträge siehe § 7.3.

Drittlandbezug: siehe § 7.1 und, für die Notion-Kopie ausgewählter error_logs-Einträge, § 7.3.

Speicherdauer: Die eigenen Tabellen error_logs und page_events werden durch zwei tägliche automatisierte Datenbankjobs bereinigt: Einträge, die älter als 90 Tage sind, werden täglich automatisch gelöscht. Ausgewählte Einträge aus error_logs werden zusätzlich in eine interne Notion-Datenbank synchronisiert; auch dort werden Einträge automatisiert nach 90 Tagen gelöscht. Zur Löschpraxis von Lovable und Cloudflare für die zugrunde liegende Infrastruktur siehe § 7.1 und § 7.2.

6.2 Backend des Hilfe-Centers

Zweck: Bereitstellung der Inhalte des Hilfe-Centers mit performanter Volltextsuche.

Datenkategorien: aus unserer Wissensdatenbank in Notion abgerufene Hilfe-Center-Inhalte, die zur Performance- und Suchoptimierung zwischengespeichert werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im technisch performanten Betrieb des Hilfe-Centers.

Empfänger: für das Caching dieselbe Infrastruktur wie in § 6.1 (siehe § 7.1). Die zugrunde liegenden Inhalte selbst werden aus der eigenen Infrastruktur von Notion abgerufen (siehe § 7.3).

Drittlandbezug: siehe § 7.1 und § 7.3.

Speicherdauer: Die Inhalte werden bei jedem Aufruf live aus Notion geladen; ein serverseitiger Inhaltscache besteht nicht. Im Arbeitsspeicher des Browsers werden Artikel für 5 Minuten und Kategorien für 30 Minuten zwischengespeichert.

Über die reine Bereitstellung der Inhalte hinaus entstehen im Hilfe-Center an mehreren Stellen weitere, teils personenbezogene Daten. Diese sind in den folgenden Abschnitten gesondert aufgeführt.

6.2a Feedback und Bewertungen zu Hilfe-Artikeln

Zweck: Einschätzung und Verbesserung der Hilfe-Center-Inhalte anhand von Nutzerrückmeldungen.

Datenkategorien: Artikel-ID und -Titel, Bewertung ("hat geholfen" / "hat nicht geholfen"), optionaler Freitext-Kommentar, User-Agent, Zeitstempel.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt darin, die Qualität der Hilfe-Center-Inhalte anhand von Rückmeldungen zu verbessern. Enthält ein freiwilliger Kommentar personenbezogene Angaben, verarbeiten wir auch diese auf derselben Grundlage.

Empfänger: zunächst intern in der Datenbank nach § 6.1/6.2 gespeichert, anschließend regelmäßig in eine interne Notion-Feedback-Datenbank synchronisiert (siehe § 7.3).

Drittlandbezug: siehe § 7.1 und § 7.3.

Speicherdauer: sowohl in der eigenen Datenbank als auch in der Notion-Feedback-Datenbank werden Einträge automatisiert nach 90 Tagen gelöscht.

6.2b Support-Anfragen

Zweck: Bearbeitung von Support-Anfragen über das Support-Formular und den Eskalationspfad des Chatbots.

Datenkategorien: Firma, E-Mail-Adresse, Dringlichkeit, Beschreibung des Anliegens, optional Dateianhänge.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage im Zusammenhang mit unserem Vertrag mit dem Kunden steht, andernfalls Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse, eingehende Anfragen zu bearbeiten.

Empfänger: intern; Ablage in einer Notion-Support-Datenbank (siehe § 7.3).

Drittlandbezug: siehe § 7.3.

Speicherdauer: Support-Tickets werden ausschließlich von Nutzern unserer Kunden mit aktivem Vertragsverhältnis eingereicht. Wir speichern sie daher für die Dauer des Vertragsverhältnisses, zuzüglich sechs Jahre nach dessen Ende (§ 257 HGB, Aufbewahrungspflicht für Handelsbriefe).

6.2c Chatbot im Hilfe-Center

Zweck: Beantwortung von Nutzeranfragen über den im Hilfe-Center eingebundenen Chatbot.

Datenkategorien: eingegebene Frage, Session-ID, User-Agent, Zeitstempel, optionale Rückmeldung zur Hilfreichkeit der Antwort oder Auslösung einer Eskalation an den Support nach § 6.2b. Zur Beantwortung wird zusätzlich ein rein inhaltlicher Chatbot-Kontext aus den Hilfe-Center-Artikeln vorgehalten, der alle 15 Minuten neu aus Notion aufgebaut wird und keinen Personenbezug hat.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der Bereitstellung einer funktionsfähigen Selbsthilfe-Funktion; die Session-ID ist zur Aufrechterhaltung des Chatverlaufs innerhalb einer Sitzung technisch erforderlich.

Empfänger: intern, Hosting-Infrastruktur siehe § 7.1.

Drittlandbezug: siehe § 7.1.

Speicherdauer: Chatbot-Protokolle werden automatisiert nach 90 Tagen gelöscht. Löst eine Anfrage eine Eskalation an den Support nach § 6.2b aus, wird für das dabei verwendete Handoff-Token, das ausschließlich eine Mehrfachverwendung verhindert, eine gesonderte Frist von 7 Tagen angewendet.

6.2d Fehlerprotokolle

Zweck: Fehleranalyse und -behebung im Hilfe-Center.

Datenkategorien: aufgerufene Route, technischer Kontext, User-Agent.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem technisch stabilen und sicheren Betrieb), vergleichbar der Protokollierung nach § 6.1.

Empfänger: intern, Hosting-Infrastruktur siehe § 7.1; zum Notion-Sync und dessen Löschfrist siehe § 6.1 und § 7.3.

Drittlandbezug: siehe § 7.1 und § 7.3.

Speicherdauer: Fehlerprotokolle werden automatisiert nach 90 Tagen gelöscht, ebenso die nach § 6.1 in Notion synchronisierte Kopie.

6.2e Reichweitenmessung im Hilfe-Center (Artikelaufrufe und Suche)

Die Messung erfolgt zweistufig.

Stufe 1, Basiszählung ohne Einwilligung: Erfasst werden aufgerufener Artikel bzw. Suchbegriff, Trefferzahl und Zeitstempel. Es wird keine Kennung auf Ihrem Endgerät gespeichert; die während des Seitenaufrufs verwendete Session-ID existiert nur im Arbeitsspeicher der laufenden Seite und geht beim Neuladen verloren, sodass keine Wiedererkennung möglich ist. Bei Suchanfragen wird kein User-Agent erfasst. Rechtsgrundlage: Da kein Zugriff auf Informationen erfolgt, die auf Ihrem Endgerät gespeichert sind, ist für diese Basiszählung keine Einwilligung nach § 25 Abs. 1 TDDDG erforderlich. Vorsorglich, für den Fall, dass ein Suchbegriff im Einzelfall einen Personenbezug aufweist, stützen wir uns hilfsweise auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Auswertung von Nutzung und Content-Qualität).

Stufe 2, erweiterte Messung nach Einwilligung: Im Hilfe-Center wird ein Einwilligungshinweis mit den gleichwertigen Optionen "Zustimmen" und "Ablehnen" angezeigt. Der Zugang zum Hilfe-Center steht unabhängig von Ihrer Entscheidung offen. Stimmen Sie zu, wird eine dauerhafte Sitzungskennung in Ihrem Browser gespeichert; damit können wiederkehrende Sitzungen erkannt, die Verweildauer über mehrere Artikel hinweg gemessen und der User-Agent für eine Geräteauswertung erfasst werden. Lehnen Sie ab oder treffen Sie keine Entscheidung, verbleibt es bei Stufe 1. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG (Einwilligung).

Empfänger: intern, Hosting-Infrastruktur siehe § 7.1.

Drittlandbezug: siehe § 7.1.

Speicherdauer: Daten der Stufe 1 (ohne Einwilligung) werden automatisiert nach 90 Tagen gelöscht, die Auswertung erfolgt ohnehin nur auf 7- und 14-Tage-Fenstern. Daten der Stufe 2 (mit Einwilligung) werden automatisiert nach 12 Monaten gelöscht, um Jahresvergleiche zu ermöglichen. Ihre Consent-Entscheidung selbst wird in Ihrem Browser gespeichert und ist jederzeit über einen Link im Footer widerrufbar; das Setzen dieser Entscheidung erfolgt erst nach Ihrer aktiven Handlung und ist selbst nicht einwilligungspflichtig.

6.3 Hosting der Webanwendung, Datenbank und technische Protokollierung

Zweck: Betrieb der Webanwendung app.nexagen.io einschließlich der zugehörigen Datenbank und technischer Protokolle.

Datenkategorien: die in § 6.4 genannten Registrierungs- und Anmeldedaten sowie technische Protokolldaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Verarbeitung im Rahmen des Nutzungsvertrags, Art. 6 Abs. 1 lit. f DSGVO für die technische Protokollierung im Interesse der Betriebssicherheit.

Empfänger: siehe § 7.4.

Drittlandbezug: siehe § 7.4.

Speicherdauer: siehe § 6.4. Zur Löschpraxis von Fly.io nach Vertragsende sowie den Snapshot-Fristen für Backups siehe § 7.4.

6.4 Registrierung, Anmeldung, Kontoverwaltung und Sitzungsdaten

Zweck: Einrichtung und Verwaltung des Kundenkontos, Authentifizierung, Absicherung der Nutzungssitzung.

Datenkategorien: Registrierungsdaten wie Firma, Name und Kontaktdaten der Ansprechperson, Anmeldedaten (Passwort ausschließlich gehasht gespeichert, alternativ OAuth-Zugangs- und Refresh-Token bei Anmeldung über Google oder Microsoft), Sitzungsdaten (Zeitpunkt, als Hash-Wert gespeicherte Geräte- und Verbindungskennung, keine Speicherung im Klartext), Abonnementdaten, Mitgliedschaft in einer Organisation bei Mehrbenutzer-Konten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Verarbeitung ist zur Erfüllung des Nutzungsvertrags nach unseren Allgemeinen Geschäftsbedingungen erforderlich. Die Angabe der als Pflichtfelder gekennzeichneten Daten ist für die Registrierung und den Abschluss des Nutzungsvertrags erforderlich; ohne diese Angaben ist eine Registrierung nicht möglich.

Empfänger: intern, sowie Hosting-Dienstleister siehe § 7.4.

Drittlandbezug: siehe § 7.4.

Speicherdauer: für die Dauer des Vertragsverhältnisses zuzüglich gesetzlicher Aufbewahrungsfristen, insbesondere nach § 147 AO und § 257 HGB. Nach Vertragsende richtet sich die Löschung nach den Regelungen in unseren Allgemeinen Geschäftsbedingungen und im Auftragsverarbeitungsvertrag.

6.4a Konto-Zugriff durch den Support (Admin-Impersonation)

Zweck: Bearbeitung von Support-Anfragen, die einen direkten Blick auf das Nutzerkonto erfordern.

Datenkategorien: Zugriff auf die im Konto des Nutzers vorhandenen Daten durch autorisierte Support-Mitarbeitende von Nexagen; protokolliert werden die ausführende Person und ein dokumentierter Grund für den Zugriff.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags, Support-Leistung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Fehlerbehebung), soweit die Kontoübernahme nicht bereits durch § 9 der Allgemeinen Geschäftsbedingungen (Support-, Administrations- und Fehleranalysezugriffe) erfasst ist. Diese Rechtsgrundlage betrifft nur den Zugriff auf die eigenen Konto- und Registrierungsdaten des Nutzers. Soweit der Support-Zugriff im Einzelfall auch Einsicht in Inhaltsdaten im Sinne des § 3 (Auftragsverarbeitung für unsere Kunden) umfasst, erfolgt dieser ausschließlich im Rahmen und nach Maßgabe des mit dem jeweiligen Kunden geschlossenen Auftragsverarbeitungsvertrags nach Art. 28 DSGVO und auf dessen Weisung.

Empfänger: intern, Hosting-Infrastruktur siehe § 7.4.

Drittlandbezug: siehe § 7.4.

Speicherdauer: Zielfrist von 12 Monaten. Diese Frist ergibt sich aus § 9 Abs. 3 unserer Allgemeinen Geschäftsbedingungen, wonach wir Kunden auf Anfrage Auskunft über die sie betreffenden Zugriffe der letzten zwölf Monate erteilen.

6.5 Zahlungsabwicklung

Zweck: Abwicklung der vertraglich geschuldeten Vergütung.

Datenkategorien: Zahlungsdaten je nach gewählter Zahlungsart, insbesondere IBAN oder Kartendaten, sowie Rechnungsdaten. Verfügbare Zahlungsarten sind SEPA-Lastschrift, Kreditkarte, Apple Pay, Google Pay und Zahlung auf Rechnung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Empfänger: siehe § 7.5.

Drittlandbezug: siehe § 7.5.

Speicherdauer: Rechnungs- und Zahlungsdaten sind Buchungsbelege im Sinne des § 147 AO und werden 10 Jahre aufbewahrt. Diese Frist ist gesetzlich vorgegeben und unabhängig von der Vertragslaufzeit.

6.6 Kontaktformular und Demo-Anfragen

Zweck: Bearbeitung von Kontaktaufnahmen und Anfragen für eine Produktvorführung, insbesondere über das Formular unter nexagen.io/fuer-kwp-betriebe.

Datenkategorien: Name, E-Mail-Adresse, Telefonnummer, Angaben zum Unternehmen (u. a. Mitarbeiterzahl gesamt und im Büro), Angaben zum Interesse an bestimmten Automatisierungen, freiwillige Zusatzangaben im Nachrichtenfeld.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf den Abschluss eines Vertrags gerichtet ist. Im Übrigen Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse, eingehende Anfragen zu bearbeiten. Für die Nutzung der angegebenen E-Mail-Adresse zur Information über weitere passende Automatisierungen holen wir im Formular eine gesonderte, nicht vorangehakte Einwilligung ein (siehe § 6.9); diese ist ausdrücklich nicht Voraussetzung für die Bearbeitung der Anfrage oder eine Terminbuchung. Die als Pflichtfelder gekennzeichneten Angaben im Formular sind für die Bearbeitung Ihrer Anfrage erforderlich; ohne sie können wir Ihre Anfrage nicht bearbeiten. Die übrigen Angaben sind freiwillig.

Empfänger: intern, Hosting-Infrastruktur siehe § 7.4.

Drittlandbezug: siehe § 7.4.

Speicherdauer: Führt eine Anfrage nicht zu einem Vertragsschluss, löschen wir die Angaben spätestens 24 Monate nach der letzten Reaktion. Der längere Zeitraum berücksichtigt, dass Entscheidungen über den Einsatz neuer Automatisierungen bei unserer Zielgruppe häufig längere Planungs- und Budgetzyklen durchlaufen. Für die E-Mail-Adresse gilt bei erteilter Einwilligung nach § 6.9 abweichend die dortige Speicherdauer.

6.7 Bot- und Missbrauchsschutz

Zweck: Schutz der Website, insbesondere des Kontaktformulars, vor automatisiertem Missbrauch.

Datenkategorien: technische Prüfdaten ohne direkten Personenbezug im Rahmen des Standardschutzes von Cloudflare; ergänzend die in § 6.1 beschriebene, nur flüchtig für 60 Sekunden im Arbeitsspeicher verwendete IP-Adresse als Schlüssel für eigene Ratenbegrenzungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im Schutz vor Spam und Missbrauch.

Empfänger: keine gesonderte Übermittlung an Dritte über die in § 6.1 genannte Infrastruktur hinaus, siehe § 7.1 und § 7.2.

Drittlandbezug: siehe § 7.1 und § 7.2.

Speicherdauer: die Ratenbegrenzung wird nach 60 Sekunden verworfen; im Übrigen siehe § 6.1.

6.8 Cookies, Einwilligung und Reichweitenmessung durch Google

Beim Besuch unserer Website wird Ihre Einwilligung zu nicht technisch notwendigen Cookies und vergleichbaren Technologien über ein Cookie-Banner eingeholt, bevor entsprechende Dienste geladen werden. Ihnen werden dabei die gleichwertigen Optionen „Zustimmen" und „Ablehnen" angeboten. Ihre Auswahl wird in Ihrem Browser gespeichert und ist für 12 Monate gültig; danach werden Sie erneut gefragt. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen" im Seitenfooter widerrufen oder anpassen.

Rechtsgrundlage, soweit die geladenen Dienste nicht technisch zwingend erforderlich sind: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Danach ist die Speicherung von Informationen auf Ihrem Endgerät oder der Zugriff auf bereits gespeicherte Informationen nur zulässig, wenn Sie auf Grundlage einer klaren und umfassenden Information eingewilligt haben.

Zweck: Reichweitenmessung und Analyse der Websitenutzung.

Datenkategorien: gekürzte IP-Adresse, Seitenaufrufe, Verweildauer, Herkunftsseite sowie Browser- und Geräteinformationen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG (Einwilligung).

Empfänger: siehe § 7.6.

Drittlandbezug: siehe § 7.6.

Speicherdauer: bis zu 24 Monate.

6.8a Eigene Reichweitenmessung

Ergänzend zu § 6.8 setzen wir ein selbst gehostetes, auf eigenen EU-Servern betriebenes Analysewerkzeug ein.

Zweck: Reichweitenmessung und Analyse der Websitenutzung ohne Weitergabe der Daten an Dritte.

Datenkategorien: eine zufällig erzeugte Sitzungskennung, aufgerufene Seitenpfade, Herkunftsseite sowie eine Browserkennung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG (Einwilligung). Auch wenn die Verarbeitung ausschließlich auf eigenen EU-Servern stattfindet, holen wir hierfür eine Einwilligung ein, da die Messung nicht zur Bereitstellung des von Ihnen ausdrücklich angefragten Dienstes technisch erforderlich ist.

Empfänger: keine Weitergabe an Dritte; Verarbeitung ausschließlich auf eigenen, in der EU betriebenen Servern.

Drittlandbezug: keiner.

Speicherdauer: 12 Monate.

6.8b Terminbuchung über Cal.com

Für die Buchung von Beratungs- und Demo-Terminen binden wir den Kalender unseres Terminbuchungsdienstleisters Cal.com ein. Der Kalender wird nicht automatisch beim Laden der Seite eingebunden, sondern erst, wenn Sie ihn ausdrücklich anfordern (z. B. durch Klick auf „Termin buchen").

Zweck: Bereitstellung eines Buchungskalenders und Vereinbarung von Terminen.

Datenkategorien: Ihre IP-Adresse sowie die von Ihnen bei der Buchung angegebenen Daten (z. B. Name, E-Mail-Adresse, gewünschter Termin).

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG) für das Laden des Kalenders sowie Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme auf Ihre Anfrage) für die eigentliche Terminvereinbarung.

Empfänger: siehe § 7.7.

Drittlandbezug: siehe § 7.7.

Speicherdauer: siehe § 7.7.

6.9 Direktwerbung an Bestandskunden

Zweck: Information bestehender Kunden per E-Mail über eigene Produkte und Leistungen, die den bereits genutzten Automatisierungen ähnlich sind.

Datenkategorien: E-Mail-Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Im Kontakt- und Demo-Anfrage-Formular nach § 6.6, über das sämtliche Anfragen laufen, auch telefonisch eingehende, wird hierfür eine gesonderte, nicht vorangehakte Checkbox angeboten ("Ja, Nexagen darf mich per E-Mail zu meiner Anfrage und zu passenden Automatisierungen kontaktieren."), verbunden mit dem Hinweis auf die jederzeitige, kostenfreie Widerrufbarkeit und der Klarstellung, dass die Bearbeitung der Anfrage bzw. eine Terminbuchung von dieser Einwilligung unabhängig ist.

Empfänger: intern, Hosting-Infrastruktur siehe § 7.4.

Drittlandbezug: siehe § 7.4.

Speicherdauer: bis zum Widerruf der Einwilligung oder bis zur Löschung der Registrierungsdaten nach § 6.4.

Widerruf: Sie können Ihre Einwilligung jederzeit kostenfrei widerrufen, über den Abmeldelink in jeder entsprechenden E-Mail oder durch Mitteilung an info@nexagen.io.

§ 7 Eingebundene Dienste Dritter

Die folgenden externen Dienstleister sind an den in § 6 beschriebenen Verarbeitungen beteiligt. Nexagen hat mit jedem dieser Dienstleister eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO geschlossen, soweit gesetzlich erforderlich.

7.1 Lovable (Website- und Hilfe-Center-Hosting)

Anbieter: Lovable Labs Incorporated, 1111b South Governors Avenue, Dover, DE 19904, USA. EU-seitiger Kontakt über Lovable Labs AB, Box 190, 101 23 Stockholm, Schweden.

Eingesetzt für: die in § 6.1, § 6.2, § 6.2a bis § 6.2e und § 6.7 beschriebenen Verarbeitungen (Hosting von nexagen.io und hilfe.nexagen.io, zugrunde liegende Datenbank- und Server-Logik, Caching).

Drittlandbezug: Der Anbieter hat seinen Sitz in den USA. Datenbank, Authentifizierung, Speicher und Server-Logik (Lovable Cloud) werden in der EU-Region eu-central-1 (Frankfurt am Main) betrieben; die dort verarbeiteten Daten verbleiben damit innerhalb der EU. Trotz EU-seitiger Datenverarbeitung besteht wegen des US-Sitzes des Anbieters, etwa im Fall von Fernzugriff, Support oder Wartung durch US-Personal, ein Drittlandbezug; die Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln (Modul 2 bzw. 3 nach Beschluss (EU) 2021/914), die Bestandteil der Auftragsverarbeitungsvereinbarung von Lovable sind. Lovable bietet für Kunden dieser Größenordnung keine individuell gegengezeichneten Vereinbarungen an; maßgeblich ist die von Lovable veröffentlichte Standard-DPA, die durch Nutzung des Dienstes Vertragsbestandteil wird.

Löschpraxis: Lovable löscht oder anonymisiert Daten nach Vertragsende auf schriftliche Anweisung, spätestens jedoch nach eigenem Aufbewahrungskonzept, wenn keine Anweisung erfolgt. Die Plattform-Protokolle der Lovable Cloud selbst sind rollierend rund 5 Tage einsehbar und werden danach automatisch verworfen.

7.2 Cloudflare (Auslieferung und Bot-Schutz)

Anbieter: Cloudflare, Inc.

Eingesetzt für: die Auslieferung der Website über ein globales Edge-Netzwerk (siehe § 6.1) sowie den Basis-Bot- und Missbrauchsschutz (siehe § 6.7). Über Cloudflare wird ausschließlich Website-Code ausgeliefert, keine personenbezogenen Daten.

Drittlandbezug: Zugriffsprotokolle bei Cloudflare werden im Rahmen von deren Verarbeitung kurzfristig rotiert; ein Drittlandbezug kann durch die globale Auslegung des Edge-Netzwerks bestehen, betrifft aber keine personenbezogenen Inhaltsdaten, da nur Website-Code ausgeliefert wird.

7.3 Notion (Wissensdatenbank und Backend des Hilfe-Centers)

Anbieter: Notion Labs, Inc., San Francisco, USA.

Eingesetzt für: die in § 6.1, § 6.2, § 6.2a, § 6.2b und § 6.2d beschriebenen Verarbeitungen (Notion-Kopie ausgewählter error_logs-Einträge, Wissensdatenbank für das Hilfe-Center, Feedback-Datenbank, Support-Datenbank, Kopie der Fehlerprotokolle).

Drittlandbezug: Notion Labs, Inc. hat seinen Sitz in den USA; die Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln, die Bestandteil der mit Notion abgeschlossenen Auftragsverarbeitungsvereinbarung sind.

7.4 Fly.io (Hosting der Webanwendung)

Anbieter: Fly.io, Inc., 2045 W Grand Ave Ste B, Chicago, Illinois 60612, USA.

Eingesetzt für: die in § 6.3, § 6.4, § 6.4a, § 6.6 und § 6.9 beschriebenen Verarbeitungen (Betrieb der Webanwendung app.nexagen.io, zugehörige Datenbank und technische Protokollierung). Die Verarbeitung der hier genannten Daten erfolgt auf Servern in Frankfurt am Main.

Drittlandbezug: Fly.io, Inc. hat ihren Sitz in den USA. Die Auftragsverarbeitungsvereinbarung vom 23.02.2026 enthält EU-Standardvertragsklauseln, die dem Recht der Bundesrepublik Deutschland unterstellt sind, und deckt damit auch einen etwaigen Drittlandbezug durch Fernwartung oder Support ab.

Löschpraxis: Nach Vertragsende löscht Fly.io die verarbeiteten Daten spätestens nach 90 Tagen. Unabhängig davon erstellt Fly.io während der laufenden Vertragsbeziehung tägliche Datenbank-Snapshots (Backups), die rollierend nach 5 Tagen automatisch gelöscht werden.

7.5 Stripe (Zahlungsabwicklung)

Anbieter: Stripe Payments Europe, Limited, Irland. Da der Sitz von Nexagen in Deutschland liegt, ist nach den eigenen Vertragsbedingungen von Stripe diese europäische Gesellschaft und nicht Stripe, LLC unmittelbarer Vertragspartner.

Eingesetzt für: die in § 6.5 beschriebene Zahlungsabwicklung.

Drittlandbezug: Für die unmittelbare Vertragsbeziehung mit Stripe Payments Europe, Limited besteht kein Drittlandbezug, da die Gesellschaft ihren Sitz in Irland hat. Soweit Stripe, LLC in den USA in bestimmten Rollen als eigenständig Verantwortlicher tätig wird, etwa zur Betrugsprävention oder für Compliance-Prüfungen, stützt sich die Übermittlung auf die aktive Selbstzertifizierung von Stripe, LLC unter dem EU-US Data Privacy Framework (zuletzt zertifiziert 11.05.2026, nächste Fälligkeit 11.05.2027).

7.6 Google (Google Tag Manager und Google Analytics)

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Eingesetzt für: die in § 6.8 beschriebene Reichweitenmessung. Auf unserer Website ist hierfür ein Google Tag Manager Container eingebunden (Container-ID GTM-K5BCQ6TM), über den unter anderem Google Analytics geladen wird.

Drittlandbezug: Eine Übermittlung in die USA ist nicht ausgeschlossen. Grundlage hierfür sind die EU-Standardvertragsklauseln.

7.7 Cal.com (Terminbuchung)

Anbieter: Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, USA. Cal.com unterhält nach eigener Zusicherung im DPA keine eigene EU-Vertragsgesellschaft; Vertragspartner ist durchgehend Cal.com, Inc. Da Cal.com, Inc. keine Niederlassung in der EU hat, hat der Anbieter gemäß Art. 27 DSGVO einen Vertreter in der EU benannt: Felix Kolodziej, erreichbar unter felix@cal.com.

Eingesetzt für: die in § 6.8b beschriebene Terminbuchung.

Drittlandbezug: Der Anbieter hat seinen Sitz in den USA. Nexagen nutzt die Standard-Variante von Cal.com; die von Cal.com angebotene EU-gehostete Variante ("cal.eu", Verarbeitung ausschließlich in Frankfurt am Main) wird nicht verwendet. Die am 09./10.08.2026 beidseitig unterzeichnete Auftragsverarbeitungsvereinbarung sieht als Übermittlungsgrundlage die EU-Standardvertragsklauseln vor (Modul 2, Verantwortlicher–Auftragsverarbeiter, durch Verweis in die Vereinbarung einbezogen), ergänzt um zusätzliche Maßnahmen, soweit von Cal.com bereitgestellt.

Speicherdauer: Für die Dauer der Nutzung des Dienstes. Nach Vertragsende löscht Cal.com die Daten nach eigenem Löschplan; zuvor besteht eine Exportmöglichkeit von mindestens 30 Tagen, soweit technisch möglich. Einzelne Daten können zusätzlich befristet in Backups, Protokollen oder Sicherheitsaufzeichnungen fortbestehen.

§ 8 Ihre Rechte als betroffene Person

Sie haben im Rahmen der gesetzlichen Voraussetzungen folgende Rechte:

• Auskunft über die von uns zu Ihrer Person verarbeiteten Daten nach Art. 15 DSGVO,
• Berichtigung unrichtiger Daten nach Art. 16 DSGVO,
• Löschung Ihrer Daten nach Art. 17 DSGVO,
• Einschränkung der Verarbeitung nach Art. 18 DSGVO,
• Herausgabe der von Ihnen bereitgestellten Daten in einem gängigen Format nach Art. 20 DSGVO,
• Widerruf einer erteilten Einwilligung nach Art. 7 Abs. 3 DSGVO mit Wirkung für die Zukunft,
• Widerspruch gegen eine auf berechtigtem Interesse gestützte Verarbeitung nach Art. 21 DSGVO; Einzelheiten hierzu finden Sie in § 10.

Zur Ausübung dieser Rechte wenden Sie sich bitte an info@nexagen.io.

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

§ 9 Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt. Zuständig für Nexagen ist die

Berliner Beauftragte für Datenschutz und Informationsfreiheit

Alt-Moabit 59-61

10555 Berlin

Telefon: +49 30 13889-0

E-Mail: mailbox@datenschutz-berlin.de

§ 10 Widerspruchsrecht nach Art. 21 DSGVO

Soweit wir Daten auf Grundlage eines berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten Ihre Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Gegen die Verwendung Ihrer Daten für Direktwerbung nach § 6.9 können Sie jederzeit und ohne Angabe von Gründen widersprechen.

§ 11 Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die zugrunde liegenden Verarbeitungen oder die Rechtslage ändern. Maßgeblich ist ausschließlich die jeweils aktuelle, unter nexagen.io/datenschutz veröffentlichte Fassung mit Datum und Gültigkeitsbeginn.

Nexagen GmbH

Kolonnenstraße 8, 10827 Berlin

Handelsregister: HRB 274476 B, Amtsgericht Charlottenburg

Vertreten durch die Geschäftsführer Richard Sander, Jasin Islami und Arne Stolle