Diese Dienstleister können für XGait personenbezogene Daten verarbeiten. Neue oder ersetzte Unterauftragsbearbeiter teilen wir Kunden mindestens 14 Tage vorher per E-Mail oder in der Plattform mit (AVV Ziffer 7).
Infrastruktur und Betrieb
| Anbieter | Zweck | Daten | Ort | Garantie |
|---|---|---|---|---|
| Hetzner Online GmbH, Gunzenhausen (DE) | Hosting der Instanzen und der Website, Datenbank, Logs; eigener Mailserver für service@xgait.com und Systemmails | alle Kundendaten, Inhalte von E-Mails und Anhängen | Deutschland (Nürnberg, Falkenstein), nach Vereinbarung Finnland (Helsinki) | EU/EWR, angemessenes Schutzniveau |
| Hetzner Online GmbH, Storage Box | verschlüsselte Datensicherung | verschlüsselte Sicherungen, für Hetzner nicht lesbar | EU/EWR | wie oben |
| Cloudflare, Inc., San Francisco (US) | nur DNS, kein Proxy | Domänennamen, Server-IP-Adressen; keine Inhalts- oder Nutzungsdaten | USA | Standardvertragsklauseln mit Schweizer Anhang |
| Freie Mitarbeitende, Partnerunternehmen und verbundene Unternehmen von Baldux | Softwareentwicklung, technischer Betrieb und Support; Zugriff auf Instanzen, soweit die Aufgabe es erfordert | alle Kundendaten | Österreich (EU), USA | EU: Vertrag nach Art. 28 Abs. 4 DSGVO; USA: Standardvertragsklauseln mit Schweizer Anhang. Namen und Anschrift teilen wir Kunden auf Anfrage mit. |
Support und Kommunikation
| Anbieter | Zweck | Daten | Ort | Garantie |
|---|---|---|---|---|
| Zoom Communications, Inc., San Jose (US) | Support-Sitzungen per Video und Bildschirmfreigabe | Bild und Ton der Sitzung, auf dem Bildschirm sichtbare Daten; keine Aufzeichnung ohne Zustimmung | USA | Standardvertragsklauseln mit Schweizer Anhang (Zoom Global Data Processing Addendum) |
| Google Cloud EMEA Limited, Dublin (IE) | Zusammenarbeit, Dokumente und Videokonferenz (Google Workspace) bei Support und Managed-Leistungen | Anforderungen, Umsetzungsbeschreibungen, Support-Kommunikation; soweit nötig Auszüge aus Kundendaten | EU, USA | Google Cloud Data Processing Addendum; Data Privacy Framework bzw. Standardvertragsklauseln |
KI-Assistenten
Wer den KI-Assistenten bedient, entscheidet über die Rolle. XGait enthält derzeit keine integrierte KI-Funktion. Bedient der Kunde einen KI-Assistenten mit eigenem Konto, ist dessen Anbieter ein Dienstleister des Kunden, nicht von Baldux. Bedient Baldux einen KI-Assistenten im Auftrag des Kunden (Managed-Leistung), ist der Anbieter unser Unterauftragsbearbeiter; dann gilt diese Tabelle. Wir nutzen ausschliesslich geschäftliche Konten, bei denen der Anbieter die Daten nicht zum Training verwendet.
| Anbieter | Zweck | Daten | Ort | Garantie |
|---|---|---|---|---|
| Anthropic PBC, San Francisco (US) | Claude Code als KI-Assistent bei Managed-Leistungen | Anforderungstext, Objektmodell der Instanz, soweit nötig Beispieldaten | USA | Standardvertragsklauseln mit Schweizer Anhang; kein Training |
| OpenAI, L.L.C., San Francisco (US) | Codex als KI-Assistent bei Managed-Leistungen | wie oben | USA | Standardvertragsklauseln mit Schweizer Anhang bzw. Data Privacy Framework; kein Training |
Integrierte KI-Funktionen. Integrierte KI-Funktionen in XGait, etwa ein Objektplaner, der aus Anforderungen Objekte vorschlägt, sind derzeit nicht aktiv. Sobald Baldux sie einführt, setzt Baldux dafür die folgenden Anbieter ein (AGB 8.5 bis 8.7, AVV 5.3). Der Kunde kann integrierte KI-Funktionen für seine Instanzen deaktivieren.
| Anbieter | Zweck | Daten | Ort | Garantie |
|---|---|---|---|---|
| Anthropic PBC, San Francisco (US) | Claude-Modelle über die Anthropic API für integrierte KI-Funktionen | Anforderungstexte, Objektmodell der Instanz, Kundendaten wie Artikel-, Adress- und Kontaktdaten, soweit die Funktion sie benötigt | USA | Standardvertragsklauseln mit Schweizer Anhang; kein Training |
| OpenAI, L.L.C., San Francisco (US) | OpenAI-Modelle über die OpenAI API für integrierte KI-Funktionen | wie oben | USA | Standardvertragsklauseln mit Schweizer Anhang bzw. Data Privacy Framework; kein Training |
| Amazon Web Services EMEA SARL, Luxemburg | Amazon Bedrock für integrierte KI-Funktionen | wie oben | EU-Region; bei Verarbeitung ausserhalb der EU USA | AWS-Datenschutzzusatz mit Standardvertragsklauseln; kein Training |
Was wir nicht einsetzen
- Keine Zahlungskartendaten in XGait: Kartenzahlungen wickelt der Zahlungsdienstleister ab (siehe „Weitere beteiligte Stellen“).
- Keinen externen Login-Anbieter: Anmeldung und Passwörter verwaltet XGait selbst (scrypt-Hash).
- Keinen Mailversand aus Instanzen durch uns: Den SMTP-Zugang hinterlegt der Kunde selbst; dieser Anbieter ist Dienstleister des Kunden.
- Kein externes Monitoring und kein Fehler-Tracking: Logs liegen auf der Instanz; unser Verwaltungssystem ruft davon nur allgemeine Betriebskennzahlen ab.
- Keinen Objektspeicher bei Dritten: Dateien liegen in der Datenbank der Instanz.
- Kein Website-Analytics und keine Werbedienste.
Weitere beteiligte Stellen
Für TLS-Zertifikate nutzen wir Let’s Encrypt (Internet Security Research Group), ersatzweise ZeroSSL; übermittelt werden nur Domänennamen. Integrationen, die Kunden selbst einrichten, sind Dienste des Kunden.
Baldux rechnet per Rechnung oder per Karte bzw. Lastschrift ab. Zahlungen per Karte oder Lastschrift wickelt Stripe Payments Europe Ltd., Dublin, Irland, ab. Stripe.js wird in XGait erst geladen, wenn Sie im Abrechnungsbereich eine Zahlungsmethode hinzufügen (siehe Cookie-Hinweis). Stripe handelt dabei als eigenständig Verantwortlicher und erhält nur Rechnungs- und Zahlungsdaten, keine Inhalte aus XGait.
Widerspruch
Kunden können bis zum Einsatz eines neuen Unterauftragsbearbeiters aus wichtigem datenschutzrechtlichem Grund widersprechen (AVV Ziffer 7). Kontakt: service@xgait.com.