Diese Dienstleister können für XGait personenbezogene Daten verarbeiten. Neue oder ersetzte Unterauftragsbearbeiter teilen wir Kunden 30 Tage vorher per E-Mail mit (AVV Ziffer 7).
Infrastruktur und Betrieb
| Anbieter | Zweck | Daten | Ort | Garantie |
|---|---|---|---|---|
| Hetzner Online GmbH, Gunzenhausen (DE) | Hosting der Instanzen und der Website, Datenbank, Logs; eigener Mailserver für service@xgait.com und Systemmails | alle Kundendaten, Inhalte von E-Mails und Anhängen | Deutschland (Nürnberg, Falkenstein), nach Vereinbarung Finnland (Helsinki) | EU/EWR, angemessenes Schutzniveau |
| Hetzner Online GmbH, Storage Box | verschlüsselte Datensicherung | verschlüsselte Sicherungen, für Hetzner nicht lesbar | EU/EWR | wie oben |
| Cloudflare, Inc., San Francisco (US) | nur DNS, kein Proxy | Domänennamen, Server-IP-Adressen; keine Inhalts- oder Nutzungsdaten | USA | Standardvertragsklauseln mit Schweizer Anhang |
Support und Kommunikation
| Anbieter | Zweck | Daten | Ort | Garantie |
|---|---|---|---|---|
| Zoom Communications, Inc., San Jose (US) | Support-Sitzungen per Video und Bildschirmfreigabe | Bild und Ton der Sitzung, auf dem Bildschirm sichtbare Daten; keine Aufzeichnung ohne Zustimmung | [USA / Datenregion] | [Data Privacy Framework bzw. Standardvertragsklauseln] |
KI-Assistenten
Wer den KI-Assistenten bedient, entscheidet über die Rolle. XGait enthält selbst keine KI. Bedient der Kunde einen KI-Assistenten mit eigenem Konto, ist dessen Anbieter ein Dienstleister des Kunden, nicht von Baldux. Bedient Baldux einen KI-Assistenten im Auftrag des Kunden (Managed-Leistung), ist der Anbieter unser Unterauftragsbearbeiter; dann gilt diese Tabelle. Wir nutzen ausschliesslich geschäftliche Konten, bei denen der Anbieter die Daten nicht zum Training verwendet.
| Anbieter | Zweck | Daten | Ort | Garantie |
|---|---|---|---|---|
| Anthropic PBC, San Francisco (US) | Claude Code als KI-Assistent bei Managed-Leistungen | Anforderungstext, Objektmodell der Instanz, soweit nötig Beispieldaten | USA | Standardvertragsklauseln mit Schweizer Anhang; kein Training |
| OpenAI, L.L.C., San Francisco (US) | Codex als KI-Assistent bei Managed-Leistungen | wie oben | USA | Standardvertragsklauseln mit Schweizer Anhang bzw. Data Privacy Framework; kein Training |
Eine direkt in XGait eingebaute KI-Funktion über Amazon Bedrock ist in Vorbereitung. Sie geht erst produktiv, wenn Anbieter, Region und Datenkategorien hier stehen und Kunden 30 Tage vorher informiert wurden.
Was wir nicht einsetzen
- Keine Zahlungskartendaten in XGait: Kartenzahlungen wickelt der Zahlungsdienstleister ab (siehe „Weitere beteiligte Stellen“).
- Keinen externen Login-Anbieter: Anmeldung und Passwörter verwaltet XGait selbst (scrypt-Hash).
- Keinen Mailversand aus Instanzen durch uns: Den SMTP-Zugang hinterlegt der Kunde selbst; dieser Anbieter ist Dienstleister des Kunden.
- Kein externes Monitoring und kein Fehler-Tracking: Logs liegen auf der Instanz; unser Verwaltungssystem ruft davon nur allgemeine Betriebskennzahlen ab.
- Keinen Objektspeicher bei Dritten: Dateien liegen in der Datenbank der Instanz.
- Kein Website-Analytics und keine Werbedienste.
Weitere beteiligte Stellen
Für TLS-Zertifikate nutzen wir Let’s Encrypt (Internet Security Research Group), ersatzweise ZeroSSL; übermittelt werden nur Domänennamen. Integrationen, die Kunden selbst einrichten, sind Dienste des Kunden.
Zahlungen per Karte oder Lastschrift wickelt Stripe Payments Europe Ltd., Dublin, Irland, ab. Stripe.js wird in XGait erst geladen, wenn Sie im Abrechnungsbereich eine Zahlungsmethode hinzufügen (siehe Cookie-Hinweis). Stripe handelt dabei als eigenständig Verantwortlicher und erhält nur Rechnungs- und Zahlungsdaten, keine Inhalte aus XGait.
Widerspruch
Kunden können innerhalb von 14 Tagen nach Mitteilung eines neuen Unterauftragsbearbeiters aus wichtigem datenschutzrechtlichem Grund widersprechen (AVV Ziffer 7). Kontakt: service@xgait.com.