← Zurück zur Startseite

Datenschutzerklärung

Stand: September 2026

1. Verantwortlicher und Überblick

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für den Betrieb der Website nordstein.ai und der Software "Nordstein" ist:

Alejandro Morillo
    MagmaBase – Einzelunternehmen
    Am Markt 14
    23769 Fehmarn
    Deutschland
    E-Mail: kontakt@nordstein.ai

(nachfolgend "wir", "uns" oder "Nordstein")

Nordstein ist eine ausschließlich an Unternehmen gerichtete (B2B) Software-as-a-Service-Lösung ("Dienst"), die Unternehmen bei Dokumentenverwaltung, Finanzauswertung, Kundenverwaltung (CRM), Aufgaben-/Terminplanung sowie beim Einsatz KI-gestützter "digitaler Mitarbeiter" (Agenten) unterstützt. Wir verarbeiten personenbezogene Daten in zwei unterschiedlichen Rollen, die in dieser Erklärung getrennt beschrieben werden:

Wenn Sie Mitarbeiter, Kunde oder Geschäftspartner eines Nordstein-Kunden sind (also nicht selbst Vertragspartner von uns), ist für die Verarbeitung Ihrer Daten grundsätzlich der jeweilige Kunde (Ihr Arbeitgeber bzw. Geschäftspartner) als datenschutzrechtlich Verantwortlicher zuständig. Bitte wenden Sie sich mit Betroffenenanfragen zunächst an diesen. Wir unterstützen unsere Kunden gemäß Art. 28 Abs. 3 lit. e DSGVO bei der Beantwortung solcher Anfragen.

2. Allgemeine Grundsätze

Wir verarbeiten personenbezogene Daten unter Beachtung der geltenden Datenschutzvorschriften, insbesondere der DSGVO und des Bundesdatenschutzgesetzes (BDSG). Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

3. Verarbeitung als Verantwortlicher (eigene Zwecke)

3.1 Aufruf der Website

Beim Aufruf unserer Website nordstein.ai verarbeitet unser Hosting-Anbieter automatisch technisch notwendige Daten (u. a. IP-Adresse, Datum/Uhrzeit der Anfrage, aufgerufene Seite, verwendeter Browser) in sogenannten Server-Logfiles. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der technischen Bereitstellung und Absicherung der Website. Diese Daten werden nach spätestens 30 Tagen gelöscht, soweit sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls benötigt werden.

Wir setzen derzeit keine Analyse-, Tracking- oder Marketing-Cookies ein und binden keine Dienste Dritter zu Statistik- oder Werbezwecken ein. Es wird ausschließlich ein technisch notwendiges, signiertes Session-Cookie gesetzt, sobald Sie sich in der Anwendung anmelden (siehe Abschnitt 3.3). Für dieses Cookie ist gemäß § 25 Abs. 2 Nr. 2 Digitale-Dienste-Gesetz (DDG) keine Einwilligung erforderlich. Sollten künftig Analyse- oder Marketing-Tools ergänzt werden, ist vorher ein Cookie-Consent-Banner einzurichten und dieser Abschnitt zu aktualisieren.

3.2 Kontaktaufnahme / Vertriebsanfragen

Wenn Sie uns per E-Mail, Kontaktformular oder Telefon kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Daten (z. B. Name, E-Mail-Adresse, Firma, Anliegen) zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung). Diese Daten werden gelöscht, sobald sie für die Bearbeitung nicht mehr erforderlich sind, spätestens nach 12 Monaten ohne weiteren Kontakt, soweit kein Vertrag zustande kommt.

3.3 Vertragsschluss, Account- und Abrechnungsdaten

Schließt ein Unternehmen einen Vertrag über die Nutzung von Nordstein ab, verarbeiten wir zur Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO):

Sitzungen werden über ein serverseitig signiertes, "HttpOnly"-Cookie verwaltet, das Firmen-ID, Nutzer-ID, E-Mail und Rolle referenziert; es dient ausschließlich der Aufrechterhaltung Ihrer angemeldeten Sitzung.

3.4 Sicherheits- und Missbrauchsprävention

Zum Schutz vor Missbrauch (z. B. Brute-Force-Login-Versuchen, überhöhtem, kostenauslösendem API-Verbrauch) protokollieren und werten wir automatisiert Anmeldeversuche und Nutzungsvolumen aus (u. a. IP-Adresse bei Login-Versuchen, Anzahl von Anfragen pro Firma und Zeitfenster). Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, funktionsfähigen und missbrauchsfreien Betrieb des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Diese Daten werden nach Ablauf des jeweiligen Zeitfensters bzw. spätestens nach 30 Tagen gelöscht oder anonymisiert.

4. Verarbeitung als Auftragsverarbeiter (im Auftrag unserer Kunden)

Der eigentliche Zweck von Nordstein besteht darin, dass unsere Geschäftskunden eigene Inhalte in den Dienst einbringen und dort automatisiert (auch KI-gestützt) verarbeiten lassen. Hierzu zählen je nach Nutzung insbesondere:

Wir verarbeiten diese Inhalte ausschließlich auf dokumentierte Weisung des jeweiligen Kunden und ausschließlich zu dem Zweck, den vertraglich vereinbarten Dienst technisch zu erbringen. Wir nutzen diese Inhalte nicht für eigene Zwecke, insbesondere nicht zu Marketingzwecken, und trainieren damit keine eigenen oder fremden KI-Modelle (siehe auch Abschnitt 6).

Umfang, Art und Zweck dieser Verarbeitung, die Kategorien betroffener Personen sowie die von uns eingesetzten Subunternehmer (Sub-Auftragsverarbeiter) sind abschließend im Auftragsverarbeitungsvertrag und dessen Anlagen geregelt, den jeder Kunde vor bzw. bei Vertragsschluss mit uns abschließt.

5. Empfänger und Auftragsverarbeiter (Subprozessoren)

Wir setzen zur Erbringung des Dienstes folgende Auftragsverarbeiter/Dienstleister ein. Eine vollständige, versionierte Liste mit Verarbeitungszweck je Anbieter enthält Anlage 2 des AVV.

Anbieter Zweck Standort / Übermittlung in Drittländer
Supabase Datenbank-, Datei- und Authentifizierungs-Hosting Datenbankregion Frankfurt am Main (eu-central-1); Unternehmenssitz außerhalb der EU möglich — siehe Abschnitt 7
OpenAI Sprachmodell für Dokumentenanalyse, Chat, Agenten (sofern als Anbieter gewählt) USA — siehe Abschnitt 7
Anthropic Sprachmodell für Dokumentenanalyse (u. a. Bild-OCR, immer aktiv), Chat, Agenten USA — siehe Abschnitt 7
Railway Corporation Server-Hosting der Web-Anwendung (nur bei Nutzung der Web-Variante statt der Desktop-App) USA — siehe Abschnitt 7
(optional, sofern von Kunde konfiguriert) Versand von System-/Benachrichtigungs-E-Mails (z. B. Freigabe-Benachrichtigungen) abhängig vom gewählten Anbieter

Zusätzlich kann ein Kunde optional und eigenverantwortlich weitere externe Dienste mit Nordstein verknüpfen (z. B. Meta/Instagram/Facebook/WhatsApp, X, Reddit, Lexoffice, DATEV), wenn er die entsprechende Funktion in den Einstellungen aktiviert und eigene Zugangsdaten hinterlegt. In diesem Fall wird der jeweilige Dienst als weiterer Auftragsverarbeiter für die Dauer der Verknüpfung tätig; Einzelheiten siehe Anlage 2 des AVV. Für die Einhaltung der Nutzungsbedingungen des jeweiligen Drittanbieters (z. B. Meta Business-Richtlinien, X-API-Nutzungsbedingungen) ist allein der Kunde verantwortlich.

6. Einsatz Künstlicher Intelligenz

Nordstein nutzt Sprachmodelle von OpenAI und Anthropic, um Dokumente auszuwerten, Fragen zu beantworten und – im Rahmen selbst konfigurierter "Agenten" – bestimmte Aktionen vorzuschlagen oder (nach Freigabe bzw. bei entsprechender Konfiguration auch automatisiert) auszuführen.

7. Übermittlung in Drittländer (insbesondere USA)

Ein Teil unserer Auftragsverarbeiter (u. a. OpenAI, Anthropic sowie – bei Nutzung der webbasierten Variante statt der Desktop-Anwendung – unser Hosting-Anbieter) verarbeitet Daten (auch) in den USA. Die USA gelten datenschutzrechtlich als unsicheres Drittland im Sinne von Art. 44 ff. DSGVO.

Wir übermitteln personenbezogene Daten an solche Anbieter nur, wenn eine geeignete Garantie vorliegt:

Die Supabase-Datenbank selbst wird in der Region Frankfurt am Main (eu-central-1) betrieben; ein Zugriff auf Metadaten oder im Rahmen des Supports durch den Anbieter kann dennoch — abhängig vom Vertragssitz des Anbieters — eine Drittlandübermittlung darstellen, für die dieselben Garantien gelten. Dieser Abschnitt ist vor Veröffentlichung anhand der zu diesem Zeitpunkt tatsächlich gültigen Verträge/Zertifizierungen mit jedem einzelnen Anbieter zu verifizieren.

8. Speicherdauer

Sofern in dieser Erklärung nicht anders angegeben, speichern wir personenbezogene Daten nur so lange, wie dies für den jeweiligen Verarbeitungszweck erforderlich ist bzw. gesetzliche Aufbewahrungsfristen dies verlangen:

Datenkategorie Speicherdauer
Account-/Zugangsdaten Dauer des Vertragsverhältnisses + bis zu 30 Tage danach (Löschfrist gemäß AVV), sofern nicht der Kunde vorher selbst löscht
Von Kunden hochgeladene Inhalte/Dokumente/Finanzdaten Dauer des Vertragsverhältnisses; nach Vertragsende gemäß AVV (Rückgabe/Löschung), vorbehaltlich der handels-/steuerrechtlichen Aufbewahrungspflichten des Kunden als Verantwortlichem
Nutzungs-/Sicherheitsprotokolle bis zu 30–90 Tage
Agenten-Verlauf/Freigaben (agent_runs/agent_actions) 7 Tage Standard-Retention (HISTORY_RETENTION_DAYS), danach automatisiert gelöscht — Ausnahme: noch nicht entschiedene Freigaben sowie das dauerhaft geführte Audit-Log
Audit-Log (agent_audit_log) dauerhaft für die Vertragslaufzeit als Nachweis-/Rechenschaftsdokumentation
Rechnungs-/Zahlungsdaten bis zu 10 Jahre (§ 147 AO, § 257 HGB)

9. Ihre Rechte als betroffene Person

Ihnen stehen nach Maßgabe der gesetzlichen Voraussetzungen folgende Rechte zu:

Zur Ausübung dieser Rechte genügt eine formlose Nachricht an kontakt@nordstein.ai. Wie in Abschnitt 1 beschrieben: Sind Sie nicht selbst unser Vertragspartner, sondern z. B. Mitarbeiter oder Kunde eines unserer Geschäftskunden, wenden Sie sich bitte primär an diesen.

10. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten gegen zufällige oder vorsätzliche Manipulation, Verlust, Zerstörung oder unbefugten Zugriff zu schützen (u. a. Transportverschlüsselung, verschlüsselte Speicherung von Zugangsdaten Dritter und KI-API-Schlüsseln, Passwort-Hashing, mandantengetrennte Zugriffskontrolle). Details enthält Anlage 3 des AVV. Die Datenübertragung im Internet kann grundsätzlich Sicherheitslücken aufweisen; ein lückenloser Schutz vor dem Zugriff durch Dritte ist nicht möglich.

11. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald Änderungen der Rechtslage oder unserer Datenverarbeitung dies erforderlich machen. Es gilt jeweils die zum Zeitpunkt Ihres Besuchs aktuelle, auf nordstein.ai veröffentlichte Fassung. Bei wesentlichen Änderungen informieren wir unsere Kunden zusätzlich in geeigneter Form (z. B. per E-Mail oder Hinweis in der Anwendung).

12. Kontakt

Bei Fragen zum Datenschutz erreichen Sie uns unter: kontakt@nordstein.ai