Die Liste wird aktuell und versioniert geführt. Neue oder ersetzte Unterauftragsbearbeiter für personenbezogene Kundendaten teilen wir nach Maßgabe unseres AVV vorab mit.
1.Infrastruktur und Betrieb
| Anbieter | Zweck | Mögliche Daten | Region/Transfer |
|---|---|---|---|
| Hetzner Online GmbH, Gunzenhausen (Deutschland) | Hosting der XGait-Instanzen und dieser Website: virtuelle Server, Datenbank, Anwendungslogs | Customer Content, Account- und Nutzungsdaten, technische Logs | Website: Nürnberg (Deutschland). Instanzen je nach Vereinbarung Deutschland (Nürnberg, Falkenstein) oder Finnland (Helsinki) — EU/EWR |
| Hetzner Online GmbH — Storage Box | Ablage der verschlüsselten Offsite-Backups (Übertragung per SFTP) | Verschlüsselte Datenbank-Sicherungen; im Klartext für Hetzner nicht lesbar | EU/EWR — Standort der jeweiligen Storage Box |
| Cloudflare, Inc., San Francisco (USA) | Verwaltung der DNS-Einträge für xgait.com und die Instanz-Domänen | Domänennamen und Server-IP-Adressen. Kein Reverse Proxy: der Datenverkehr läuft nicht über Cloudflare, Inhalts- und Nutzungsdaten erreichen den Dienst nicht | USA — EU-Standardvertragsklauseln nebst Schweizer Anhang |
Eine Kopie der Transfergarantien stellen wir auf Anfrage bereit. Jede Kundeninstanz läuft auf eigener Maschine mit eigener Datenbank und eigenen Schlüsseln. Backups werden vor dem Verlassen des Servers verschlüsselt; der Backup-Speicher erhält keine lesbaren Kundendaten.
2.KI-Verarbeitung
| Anbieter | Zweck | Mögliche Daten | Region/Transfer |
|---|---|---|---|
| Anthropic PBC, San Francisco (USA) — Claude | KI-Objektplaner: Auswertung der eingereichten Anforderung samt Istaufnahme des Objektmodells — nur bei den Plänen, deren Bearbeitung Baldux übernimmt | Anforderungstext, Objekt-/Strukturdaten der Instanz, vom Nutzer angehängte Dokumente | USA — EU-Standardvertragsklauseln nebst Schweizer Anhang |
Eine unmittelbar in XGait eingebaute Modellanbindung (OpenAI, Anthropic) ist in Vorbereitung. Sie wird erst produktiv eingesetzt, wenn Anbieter, Region, Datenkategorien und die vertragliche Zusage gegen die Nutzung von Kundendaten für allgemeines Modelltraining hier eingetragen und den Kunden nach dem AVV vorab mitgeteilt wurden.
3.Was wir ausdrücklich nicht einsetzen
Für die folgenden Kategorien setzen wir keine externen Dienstleister ein — auch das ist eine Datenschutz-Information:
- Kein externer Zahlungsdienstleister. Die Abrechnung läuft über Rechnungsstellung; es werden keine Zahlungskartendaten in XGait verarbeitet.
- Kein externer Identitäts- oder Login-Anbieter. Anmeldung, Sitzungen und Passwörter verwaltet XGait selbst; Passwörter werden ausschließlich als scrypt-Hash gespeichert.
- Kein externer Mailanbieter durch uns. Den SMTP-Zugang für den Mailversand aus einer Instanz hinterlegt der Kunde selbst. Der so gewählte Anbieter ist ein Dienstleister des Kunden, nicht von Baldux.
- Kein externes Monitoring und kein Fehler-Tracking-Dienst. Logs und Metriken bleiben auf der jeweiligen Instanz.
- Kein Objektspeicher bei Dritten. Hochgeladene Dateien liegen in der Datenbank der jeweiligen Instanz.
- Kein Website-Analytics. Auf dieser Website ist derzeit kein Analyse-Dienst aktiv (siehe Cookie Policy).
- Keine Werbe- oder Attributionsdienste.
4.Weitere beteiligte Stellen
Für die TLS-Zertifikate der Instanzen und dieser Website nutzen wir Let’s Encrypt (Internet Security Research Group). Übermittelt werden dabei ausschließlich Domänennamen — keine Kundendaten. Let’s Encrypt ist deshalb kein Auftragsbearbeiter für personenbezogene Kundendaten.
Von Kunden selbst eingerichtete Integrationen (etwa Shopify, Xentral oder eigene Webhook-Ziele) sind Dienste des Kunden. Baldux beauftragt sie nicht und ist für ihre Datenverarbeitung nicht verantwortlich.
5.Änderungen
Kunden können aus objektiv berechtigten datenschutzrechtlichen Gründen innerhalb von 14 Tagen nach Mitteilung eines neuen Unterauftragsbearbeiters widersprechen. Einzelheiten stehen im AVV. Fragen zu dieser Liste beantworten wir unter service@xgait.com.