Vertrauen

Externe Dienste & Unterauftragsverarbeiter

Zuletzt aktualisiert: September 2026

Hier steht, welche externen Dienste bei der Nutzung von Acadex personenbezogene Daten erhalten können, wofür sie eingesetzt werden und unter welchen Bedingungen die Verarbeitung erfolgt.

Nicht jeder hier aufgeführte Dienst erhält Daten jedes Nutzers.

Welche Anbieter tatsächlich zum Einsatz kommen, hängt von:

• der verwendeten Funktion,
• dem gewählten Modell,
• dem jeweiligen Tarif,
• sowie gegebenenfalls der Konfiguration einer Institution

ab.

Die technische Unterstützung eines Anbieters bedeutet nicht automatisch, dass dieser Daten eines bestimmten Accounts verarbeitet.

Für institutionelle Kunden werden die tatsächlich zulässigen Unterauftragsverarbeiter und Providerprofile zusätzlich im jeweiligen Auftragsverarbeitungsvertrag dokumentiert.

Eigene Nutzungsstatistiken

Unsere Website- und Produktmetriken werden auf unserer eigenen Infrastruktur erzeugt.

Wir verwenden dafür keinen externen Analytics-Anbieter.

Insbesondere setzen wir hierfür nicht ein:

• Google Analytics,
• Mixpanel,
• Amplitude,
• Meta Pixel,
• LinkedIn Insight Tag,
• Session-Recording-Dienste,
• externe Marketing-Analytics-Plattformen.

Wir übermitteln deshalb für unsere eigenen Product Metrics keine Nutzungsdaten an einen zusätzlichen Analytics-Dienstleister.

Weitere Informationen dazu findest du in unserer:

Datenschutzerklärung →

Cookie Policy →

Infrastruktur

STRATO GmbH

Zweck: Hosting, Datenbank, Datensicherung und technische Infrastruktur
Sitz: Deutschland
Verarbeitung: Deutschland
Status: eingesetzt

STRATO stellt die Infrastruktur bereit, auf der zentrale Systeme von Acadex betrieben werden.

Dazu gehören insbesondere:

• Anwendungsserver,
• PostgreSQL-Datenbank,
• von uns verwaltete Backups,
• Teile unserer E-Mail-Infrastruktur.

Unsere produktiven Systeme und die von uns verwalteten Sicherungskopien werden in Deutschland betrieben beziehungsweise gespeichert.

STRATO erhält damit diejenigen Daten, die technisch auf dieser Infrastruktur gespeichert oder verarbeitet werden.

KI-Modellanbieter

Acadex ist nicht an einen einzelnen Modellanbieter gebunden.

Wenn ein externer Modellanbieter eine Anfrage bearbeitet, erhält er nur diejenigen Inhalte, die für diese konkrete Verarbeitung benötigt werden.

Dazu können beispielsweise gehören:

• deine aktuelle Eingabe,
• relevanter Gesprächskontext,
• für die Anfrage benötigte Erinnerungen,
• bibliografische Informationen,
• erforderliche Ausschnitte aus hochgeladenen Dokumenten.

Die vollständige Datenhaltung eines Acadex-Accounts wird einem Modellanbieter nicht pauschal zur Verfügung gestellt.

Mistral AI

Zweck: Verarbeitung von KI-Anfragen
Sitz: Frankreich
Training mit Acadex-API-Inhalten: deaktiviert
Verarbeitung: abhängig vom eingesetzten API-Endpunkt und der verwendeten Funktion
Status: abhängig von der Account-Konfiguration

Acadex verwendet für seine Mistral-API-Nutzung den von Mistral angebotenen Training-Opt-out.

Eingaben und Ausgaben unserer API-Nutzung werden damit nicht für das Training beziehungsweise die Verbesserung der Mistral-Modelle verwendet.

Mistral bietet zusätzlich Zero Data Retention für bestimmte zustandslose API-Endpunkte an.

Zero Data Retention und Training-Opt-out sind getrennte Einstellungen.

Nicht alle Mistral-Funktionen unterstützen Zero Data Retention. Insbesondere zustandsbehaftete Funktionen wie Agents, Conversations, Files oder vergleichbare Produkte können abweichende Speicherbedingungen haben.

Für institutionelle Konfigurationen mit besonderen Vorgaben werden deshalb nur diejenigen Mistral-Funktionen freigegeben, die mit der jeweiligen Vereinbarung vereinbar sind.

OpenAI

Zweck: Verarbeitung von KI-Anfragen
Training mit API-Inhalten: standardmäßig deaktiviert
Verarbeitung: abhängig von der gewählten OpenAI-Konfiguration
Status: abhängig von der Account-Konfiguration

OpenAI verwendet Inhalte, die über seine API übermittelt werden, standardmäßig nicht zum Training oder zur Verbesserung seiner Modelle, sofern der Kunde nicht ausdrücklich einer entsprechenden Datennutzung zustimmt.

Bei der normalen API-Nutzung können unter anderem Missbrauchsschutz- und Betriebsdaten verarbeitet beziehungsweise vorübergehend gespeichert werden.

OpenAI bietet zusätzlich regionale Datenverarbeitung und Datenresidenz für bestimmte API-Projekte, Modelle und Endpunkte an.

Für europäische Verarbeitung steht unter entsprechenden Voraussetzungen ein europäischer API-Endpunkt zur Verfügung.

Eine europäische Konfiguration gilt jedoch nur für die jeweils unterstützten Inhalte, Endpunkte und Modelle. Technische System-, Nutzungs- und Abrechnungsdaten des Anbieters können davon ausgenommen sein.

Acadex behandelt OpenAI deshalb nur dann als Bestandteil eines institutionellen EU-Verarbeitungsprofils, wenn die dafür erforderlichen Funktionen für unseren Account tatsächlich freigeschaltet und technisch entsprechend konfiguriert sind.

Anthropic

Zweck: Verarbeitung von KI-Anfragen
Training mit kommerziellen API-Inhalten: standardmäßig deaktiviert
Standardaufbewahrung für API-Eingaben und -Ausgaben: grundsätzlich bis zu 30 Tage
Status: abhängig von der Account-Konfiguration

Anthropic verwendet Daten seiner kommerziellen API standardmäßig nicht zum Training seiner Modelle, sofern keine abweichende Vereinbarung besteht.

API-Eingaben und -Ausgaben werden standardmäßig innerhalb von 30 Tagen aus den Backend-Systemen gelöscht, soweit keine dokumentierte Ausnahme oder besondere Vereinbarung gilt.

Anthropic bietet für bestimmte Kunden zusätzlich Zero-Data-Retention-Vereinbarungen an.

Die direkte Anthropic-API behandeln wir nicht automatisch als Bestandteil eines institutionellen Profils, das eine ausschließliche Verarbeitung von Gesprächsinhalten innerhalb der Europäischen Union verlangt.

Google Gemini

Zweck: Verarbeitung von KI-Anfragen
Verarbeitung: abhängig vom eingesetzten Google-Dienst und dessen Konfiguration
Status: abhängig von der Account-Konfiguration

Google bietet unterschiedliche technische Wege zur Nutzung seiner Gemini-Modelle.

Diese unterscheiden sich unter anderem hinsichtlich:

• Datenresidenz,
• regionaler Modellverarbeitung,
• Datenspeicherung,
• unterstützter Modelle,
• verfügbarer Funktionen.

Deshalb bedeutet die technische Unterstützung eines Gemini-Modells in Acadex nicht automatisch, dass eine bestimmte geografische Verarbeitung zugesichert wird.

Für institutionelle Konfigurationen mit geografischen Vorgaben verwenden wir ausschließlich technische Profile, deren Verarbeitung zuvor geprüft und entsprechend konfiguriert wurde.

Institutionelle Provider-Konfiguration

Bei institutionellen Accounts kann verbindlich festgelegt werden, welche Modellanbieter und Verarbeitungsprofile verwendet werden dürfen.

Diese Vorgabe wird technisch durch Acadex durchgesetzt.

Ein Nutzer eines entsprechend eingeschränkten Accounts kann deshalb nicht innerhalb eines einzelnen Gesprächs auf einen Modellanbieter wechseln, der für seine Institution nicht freigegeben wurde.

Mögliche Vorgaben können beispielsweise sein:

• nur bestimmte Modellanbieter,
• Verarbeitung von Gesprächsinhalten innerhalb einer festgelegten Region,
• Ausschluss globaler API-Endpunkte,
• Verwendung bestimmter Retention-Einstellungen,
• Ausschluss bestimmter Provider-Funktionen.

Die konkrete Konfiguration wird für institutionelle Kunden dokumentiert.

Europäische Providerprofile

Unser Ziel ist, Institutionen nicht auf einen einzelnen Modellanbieter festzulegen, wenn mehrere technisch und vertraglich geeignete europäische Verarbeitungspfade verfügbar sind.

Ein Providerprofil wird deshalb erst dann als für eine institutionelle EU-Konfiguration freigegeben behandelt, wenn:

1. der technische Verarbeitungspfad implementiert ist,
2. der verwendete Modell- und API-Endpunkt die erforderliche Region unterstützt,
3. die Retention- und Trainingseinstellungen geprüft wurden,
4. die vertragliche Verarbeitungskette dokumentiert ist,
5. Acadex die Vorgabe technisch erzwingt.

Die bloße Möglichkeit eines Anbieters, europäische Verarbeitung anzubieten, reicht dafür nicht aus.

Mistral EU

Für entsprechend konfigurierte institutionelle Accounts kann Mistral als europäischer Verarbeitungspfad eingesetzt werden.

Dabei verwenden wir nur diejenigen Funktionen und Endpunkte, die mit der vereinbarten Verarbeitung kompatibel sind.

Der Training-Opt-out für unsere API-Nutzung ist aktiviert.

Soweit Zero Data Retention für den jeweiligen Mistral-Endpunkt aktiviert und vereinbart ist, wird dies zusätzlich in der institutionellen Konfiguration dokumentiert.

OpenAI EU

OpenAI bietet für berechtigte API-Projekte europäische Datenresidenz und regionale Verarbeitung an.

Ein entsprechendes OpenAI-EU-Profil wird in Acadex nur dann für eine Institution freigegeben, wenn die hierfür erforderlichen OpenAI-Account-, Retention-, Modell- und Endpoint-Voraussetzungen tatsächlich erfüllt sind.

Die regionale Vorgabe betrifft dabei Customer Content.

Bestimmte Systemdaten des Anbieters können außerhalb dieser regionalen Vorgabe verarbeitet werden.

Gemini über Google Cloud EU

Google stellt einen jurisdictional EU-Multiregion-Endpunkt für unterstützte Modelle und Funktionen bereit.

Bei entsprechender technischer Umsetzung kann Acadex diesen Pfad für institutionelle Konfigurationen verwenden, bei denen die Modellverarbeitung innerhalb der Europäischen Union erfolgen soll.

Globale Endpunkte werden für ein solches Profil nicht verwendet.

Nur Modelle und Funktionen, für die Google die entsprechende EU-Verarbeitung dokumentiert, werden dafür freigegeben.

Claude über Google Cloud EU

Google Cloud stellt unterstützte Claude-Modelle als Partnermodelle bereit.

Für geeignete Modelle existieren EU-Multiregion-Endpunkte, bei denen die Modellverarbeitung innerhalb der europäischen Multiregion erfolgt.

Damit kann perspektivisch auch Claude innerhalb eines institutionellen EU-Profils eingesetzt werden, ohne die direkte Standard-Anthropic-API zu verwenden.

Ein solches Profil wird in Acadex erst dann als verfügbar ausgewiesen, wenn der entsprechende Google-Cloud-Pfad technisch umgesetzt, getestet und vertraglich dokumentiert wurde.

In diesem Fall unterscheidet sich die Verarbeitungskette von der direkten Anthropic-Nutzung.

Sie lautet dann grundsätzlich:

Acadex → Google Cloud → Anthropic-Modell

statt:

Acadex → Anthropic

Diese Verarbeitungskette wird im jeweiligen institutionellen Auftragsverarbeitungsvertrag entsprechend dokumentiert.

Warum wir zwischen Anbieter und Providerprofil unterscheiden

Der Name des Modells allein sagt noch nicht, wie Daten verarbeitet werden.

Dass ein Nutzer beispielsweise „Claude“ auswählt, kann technisch unterschiedliche Verarbeitungspfade bedeuten.

Für institutionelle Accounts kann Acadex deshalb festlegen, welcher technische Pfad hinter einem bestimmten Modell verwendet werden darf.

Ein zulässiges institutionelles Profil könnte beispielsweise nur einen europäischen Verarbeitungspfad freigeben.

So bleibt die Auswahl für den Nutzer einfach, während die organisatorischen Vorgaben der Institution technisch eingehalten werden.

Zahlungsabwicklung

Stripe

Zweck: Kartenzahlungen und Abonnementabrechnung
Status: nur bei Nutzung entsprechender Zahlungsarten

Wenn du per Karte oder über eine von Stripe angebotene Zahlungsmethode bezahlst, wird die Zahlung über Stripe abgewickelt.

Kartendaten werden direkt durch Stripe verarbeitet und gelangen nicht auf unsere eigenen Server.

Wir erhalten diejenigen Informationen, die wir zur Verwaltung des Abonnements und zur Buchhaltung benötigen.

Institutionelle Kunden können nach Vereinbarung auf Rechnung bezahlen. In diesem Fall ist für diese Zahlung keine Kartenzahlung über Stripe erforderlich.

Stripe kann je nach konkretem Verarbeitungsvorgang teilweise als Auftragsverarbeiter und teilweise in eigener datenschutzrechtlicher Verantwortung tätig sein.

Browser-Benachrichtigungen

Push-Benachrichtigungen sind standardmäßig deaktiviert.

Wenn du sie aktivierst, verwendet dein Browser beziehungsweise Betriebssystem den zugehörigen Push-Dienst.

Der konkrete Dienst hängt von Browser und Plattform ab.

Der Push-Dienst erhält die für die Zustellung erforderlichen Informationen.

Acadex verwendet Push-Dienste nicht zur allgemeinen Analyse deines Nutzungsverhaltens.

Websuche

Acadex betreibt seine Metasuche selbst über SearXNG.

Wenn eine Anfrage aktuelle Informationen aus dem offenen Web benötigt, können daraus Suchbegriffe an externe Suchdienste übermittelt werden.

Diese Dienste erhalten dabei nicht:

• deinen vollständigen Acadex-Account,
• deinen vollständigen Gesprächsverlauf,
• deine gespeicherten Memories.

Sie erhalten die für die jeweilige Suche erforderliche Suchanfrage.

Diese Suchanfrage kann ihrem Inhalt nach trotzdem personenbezogene Informationen enthalten – beispielsweise den Namen einer Person, nach der gesucht wird.

Bibliografische Datenquellen

Acadex verwendet externe wissenschaftliche Datenquellen wie beispielsweise OpenAlex.

Dabei ist die Datenrichtung grundsätzlich:

Datenquelle → Acadex

Acadex liest bibliografische Daten aus diesen Quellen ein.

Gesprächsinhalte oder persönliche Nutzerdaten werden nicht deshalb an diese Datenquellen übermittelt.

Bibliografische Quellen sind daher von einem externen Modellanbieter oder klassischen Unterauftragsverarbeiter zu unterscheiden.

Embeddings

Embeddings für die semantische Suche innerhalb gespeicherter Erinnerungen werden auf unserer eigenen Infrastruktur erzeugt.

Dafür verwenden wir derzeit keinen externen Embedding-Anbieter.

Die für diesen Zweck erforderlichen Inhalte werden deshalb nicht allein zur Erstellung von Embeddings an einen externen KI-Anbieter übermittelt.

Such- und Vektorsysteme

Unsere internen Such- und Vektorsysteme betreiben wir selbst.

Dazu gehören insbesondere Systeme, die für:

• Volltextsuche,
• semantische Suche,
• bibliografische Indizes,
• interne Retrieval-Prozesse

benötigt werden.

Sie stellen deshalb keinen zusätzlichen externen Empfänger dar.

Was externe KI-Anbieter nicht automatisch erhalten

Die Integration eines Modellanbieters bedeutet nicht, dass dieser dauerhaft Zugriff auf Acadex erhält.

Ein Modellanbieter bekommt insbesondere nicht automatisch:

• die gesamte Gesprächshistorie eines Accounts,
• sämtliche hochgeladenen Dokumente,
• alle gespeicherten Erinnerungen,
• komplette Watchlists,
• die vollständige Acadex-Datenbank,
• Product-Metrics-Daten,
• Billing-Daten.

Acadex stellt für eine Anfrage nur die Informationen zusammen, die für den jeweiligen Verarbeitungsschritt benötigt werden.

Product Metrics gehen nicht an Modellanbieter

Unsere Nutzungs- und Geschäftsstatistiken sind von der KI-Verarbeitung getrennt.

Kennzahlen wie:

• Registrierungen,
• Aktivierungen,
• Pricing-Seitenaufrufe,
• Tarifwechsel,
• Kündigungen,
• MRR oder ARR

werden nicht an Mistral, OpenAI, Anthropic oder Google übermittelt, nur damit wir diese Statistiken erstellen können.

Die Auswertung erfolgt auf unserer eigenen Infrastruktur.

Änderungen bei Unterauftragsverarbeitern

Wenn ein neuer Unterauftragsverarbeiter personenbezogene Daten eines institutionellen Kunden verarbeiten soll, informieren wir den jeweiligen Kunden entsprechend den Regelungen des vereinbarten Auftragsverarbeitungsvertrags.

Die bloße Integration eines neuen Modellanbieters in Acadex verändert die bestehende institutionelle Konfiguration nicht automatisch.

Ein neuer Anbieter erhält erst dann Daten einer Institution, wenn der entsprechende Verarbeitungspfad für diese Institution zulässig und freigeschaltet ist.

Dokumentation für Institutionen

Für institutionelle Kunden dokumentieren wir im Auftragsverarbeitungsvertrag beziehungsweise dessen Anlagen insbesondere:

• tatsächlich eingesetzte Unterauftragsverarbeiter,
• zulässige Modellanbieter,
• freigegebene Providerprofile,
• relevante Verarbeitungsorte,
• gegebenenfalls erforderliche Drittlandmechanismen,
• zusätzliche institutionelle Beschränkungen.

Dadurch lässt sich unterscheiden zwischen:

technisch von Acadex unterstützt

und

für diese Institution tatsächlich zulässig.

Weitere Informationen

Sicherheit & Datenschutz

Wie wir Daten technisch schützen und welche Sicherheitsmaßnahmen bereits umgesetzt sind:

Sicherheit & Datenschutz →

Technische und organisatorische Maßnahmen

Detaillierte technische und organisatorische Schutzmaßnahmen:

TOM ansehen →

Auftragsverarbeitungsvertrag

Die vertragliche Grundlage für institutionelle Verarbeitung im Auftrag:

AVV ansehen →

Datenschutzerklärung

Zwecke, Rechtsgrundlagen, Speicherdauern und Betroffenenrechte:

Datenschutzerklärung →

Fragen?

Wenn du wissen möchtest, welcher externe Dienst bei einer bestimmten Konfiguration tatsächlich Daten erhält, frag uns.

Gerade bei institutionellen Anforderungen ist uns eine konkrete Antwort lieber als eine pauschale Aussage über „die Cloud“.

info@acadex.io