Zuletzt aktualisiert: 21. September, 2026

​

Behandlung von personenbezogenen und privaten Daten

nuwacom ist eine KI-gestützte Plattform, die das Wissen eines Unternehmens verbindet und für die tägliche Arbeit nutzbar macht. nuwacom stellt Mitarbeitenden damit einen schnellen und einfachen Zugang zu Dokumenten, Meetings und angebundenen Systemen bereit. Ein wesentlicher Vorteil liegt in der Personalisierung: Ergebnisse, Antworten und Vorschläge werden auf den jeweiligen Nutzer und dessen Berechtigungen zugeschnitten. nuwacom betreibt die Plattform als Software-as-a-Service in EU-Rechenzentren und richtet jeden Kunden als eigenen, logisch getrennten Mandanten ein; ein Zugriff anderer Kunden oder unbefugter Dritter auf die Daten des Kunden ist ausgeschlossen. Als Datengrundlage dient nuwacom nur das, was der Kunde selbst einbringt: Daten aus den Systemen oder Konnektoren, die der Kunde anbindet, und Inhalte, die der Kunde direkt in nuwacom erstellt. Eigene Datenquellen zieht nuwacom nicht heran, und die Berechtigungen aus den angebundenen Systemen gelten dabei unverändert weiter. Für die Funktionsfähigkeit der Plattform verarbeitet nuwacom personenbezogene und private Daten. Dieses Dokument beschreibt, welche Daten das sind, zu welchem Zweck nuwacom sie verarbeitet, wo sie gespeichert werden und wann nuwacom sie löscht. Es ist als Grundlage für interne Prüfungen, Datenschutzfolgenabschätzungen und Betriebsvereinbarungen des Kunden bestimmt.

---

​

1. Rollenverteilung und Verantwortlichkeit

nuwacom handelt gegenüber Kunden als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Verantwortlicher im Sinne der DSGVO bleibt der Kunde. nuwacom verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden und im Rahmen des Auftragsverarbeitungsvertrags (AVV), der Nutzungsbedingungen und des Plattformvertrags. Welche Dokumente, Meetings und Informationen in die Plattform gelangen, entscheidet ausschließlich der Kunde. nuwacom hat keine Kontrolle über die Identität der betroffenen Personen und über die Arten der verarbeiteten personenbezogenen Daten. Die Transparenz- und Informationspflichten nach Art. 13 und 14 DSGVO liegen entsprechend beim Kunden; nuwacom unterstützt ihn dabei mit Dokumentation, Nachweisen und technischen Funktionen.

Grundsatz: nuwacom verwendet Kundendaten nicht zum Training allgemeiner KI-Modelle. nuwacom wertet Inhalte nicht zu eigenen Zwecken aus und gibt sie nicht an Dritte weiter, die nicht als Unterauftragsverarbeiter vertraglich gebunden sind.

​

2. Nutzerprofile und Zugangsdaten

nuwacom legt für jede berechtigte Person ein Nutzerprofil an. Es dient der Authentifizierung, der Zuordnung von Berechtigungen und der Personalisierung der Arbeitsergebnisse. nuwacom verarbeitet hierfür:

• Berufliche Kontakt- und Profildaten – Vor- und Nachname, E-Mail-Adresse, Position, Abteilung, Standort sowie weitere erforderliche oder freiwillige Profilangaben
• Anmeldedaten – E-Mail-Adresse und Passwort oder die vom Kunden über das SSO-Verfahren übermittelten Claims

Setzt der Kunde Single Sign-On und SCIM ein, verwaltet nuwacom die Identitäten der Endanwender über den Identity Provider des Kunden. Anlage, Änderung und Deaktivierung von Konten steuert damit der Kunde selbst.

​

3. Inhalte und angebundene Wissensquellen

Als Inhalte verarbeitet nuwacom alle Daten, die der Kunde und seine Nutzer in die Plattform einbringen oder dort erzeugen: Dokumente, Dateien, Prompts, Konfigurationen, Wissensbestände, Suchanfragen, Chatverläufe, Ausgaben, Agenten, Skills, Workflows und Apps sowie – sofern vom Kunden aktiviert – Meeting-Transkripte und Zusammenfassungen. In diesen Inhalten können personenbezogene Daten von Beschäftigten des Kunden, von autorisierten Dritten und von Meeting-Teilnehmern enthalten sein. nuwacom stellt sicher, dass Inhalte nur denjenigen Nutzern angezeigt werden, die hierfür berechtigt sind. Der Zugriff folgt einem rollenbasierten Berechtigungskonzept nach dem Least-Privilege-Prinzip; bei angebundenen Systemen bleiben die dort vergebenen Berechtigungen maßgeblich.

​

4. Nutzungsdaten und Protokollierung

Für Betrieb, Sicherheit und Fehleranalyse verarbeitet nuwacom technische Nutzungsdaten wie IP-Adresse, Geräteeigenschaften, Zugriffszeiten und Benutzer-ID. Zugriffs- und Audit-Protokolle sind revisionssicher und ermöglichen die Nachvollziehbarkeit von Eingabe, Änderung und Löschung.

Keine Leistungs- oder Verhaltenskontrolle durch nuwacom. nuwacom wertet Nutzungsdaten nicht aus, um das Verhalten oder die Leistung einzelner Beschäftigter zu bewerten. Auswertungen zur Verbesserung der Dienste erfolgen ausschließlich anonymisiert oder aggregiert auf Workspace-Ebene – etwa Nutzungsstatistiken, Fehler- und Performance-Logs, Sicherheitsmonitoring und Modell-Routing. Auf Inhalte als Inhalte greift keine dieser Auswertungen zu.

Ein Zugriff von Mitarbeitenden von nuwacom auf Kundendaten erfolgt nur auf Veranlassung des Kunden im Supportfall und wird protokolliert.

​

5. Meeting-Notetaker

Sofern der Kunde die Funktion aktiviert, kann nuwacom Besprechungen transkribieren und zusammenfassen. Transkripte und Zusammenfassungen sind Kundendaten und werden im Workspace des Kunden gespeichert, wo dieser sie ansehen, bearbeiten und löschen kann.

• Der Kunde bestimmt, welche Meetings aufgezeichnet werden und an welchen Besprechungen der Agent teilnehmen darf; einzelne Meetings lassen sich ausschließen und der Agent lässt sich entfernen.
• Der Agent informiert die Teilnehmer in der Besprechung aktiv über die aktive Notizfunktion; nuwacom stellt zusätzlich eine Consent-Management-Funktionalität einschließlich Dual-Party-Consent bereit.
• Die Festlegung der Rechtsgrundlage für Transkripte sowie die Einholung erforderlicher Hinweise und Einwilligungen verantwortet der Kunde. Löscht der Kunde ein Transkript oder kündigt er das Konto, entfernt nuwacom das Transkript innerhalb von 30 Tagen dauerhaft aus den aktiven Systemen und aus den Backups.

​

6. Verarbeitung durch KI-Modelle

nuwacom leitet Anfragen an die vom Kunden freigegebenen Sprachmodelle weiter. Die Verarbeitung findet bei den in der Subprozessorenliste geführten Anbietern statt; eine dauerhafte Speicherung der Inhalte bei den Modellanbietern schließt nuwacom aus. Eine Nutzung von Kundendaten zum Training allgemeiner KI-Modelle findet nicht statt. Einzelne KI-Dienste bieten unterschiedliche Betriebsmodi an (global bzw. EU-only). nuwacom ermöglicht es dem Kunden, die Verarbeitung vollständig auf den EWR zu begrenzen: In den Workspace-Einstellungen lassen sich ausschließlich im EWR gehostete Modelle zulassen und alle übrigen Modelle und Regionen deaktivieren. Diese Einstellung nehmen die Administratoren des Kunden zentral vor; sie gilt verbindlich für alle regulären Nutzerinnen und Nutzer – nicht freigegebene Modelle stehen in der Oberfläche nicht zur Auswahl. Die Ersteinrichtung erfolgt im Onboarding gemeinsam mit dem zuständigen Customer Success Manager; die gesetzte Konfiguration bestätigt nuwacom auf Anfrage schriftlich. Solange kein EU-only-Modus konfiguriert ist, können Prompts und Ausgaben außerhalb der EU verarbeitet werden. Erfolgt eine solche Verarbeitung, greifen EU-Standardvertragsklauseln, Angemessenheitsbeschlüsse oder das EU-US Data Privacy Framework.

Datenschutzmodus: nuwacom anonymisiert personenbezogene Daten auf Wunsch, bevor sie an ein Modell übergeben werden, und stellt den Kontext nach der Verarbeitung für die Nutzer wieder her. Das Ergebnis bleibt vollständig lesbar, während die Modellverarbeitung ohne Klardaten erfolgt. Die Funktion befindet sich derzeit in der Open Beta.

​

7. Speicherort, Hosting und Unterauftragsverarbeiter

nuwacom speichert Kundendaten im Ruhezustand ausschließlich innerhalb der EU. Die Datensicherung erfolgt zonenredundant innerhalb derselben Region; eine regionsübergreifende Auslagerung von Backup- oder Recovery-Daten findet nicht statt. Der Speicherort wird über die im Order Form gewählte Hosting-Option vertraglich verankert. nuwacom bindet Unterauftragsverarbeiter nur im erforderlichen Umfang ein und verpflichtet sie vertraglich zu mindestens gleichwertigen Geheimhaltungs- und Datenschutzpflichten. Die jeweils aktuelle Liste der Unterauftragsverarbeiter einschließlich Sitz, Leistung und Transfergrundlage veröffentlicht nuwacom im Trust Center. Änderungen teilt nuwacom mit; der Kunde kann innerhalb von 15 Tagen aus datenschutzrechtlichen Gründen widersprechen.

​

8. Besondere Kategorien personenbezogener Daten

nuwacom schließt die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO standardmäßig aus. Der Auftragsverarbeitungsvertrag hält ausdrücklich fest, dass die Dienste nicht für die Verarbeitung sensibler Daten vorgesehen sind. Für Kunden, die als Berufsgeheimnisträger der Schweigepflicht des § 203 StGB unterliegen, bietet nuwacom eine gesonderte Zusatzvereinbarung an.

​

9. Löschung, Rückgabe und Aufbewahrungsfristen

nuwacom löscht personenbezogene Daten, sobald kein Geschäftszweck mehr vorliegt, und gibt sie auf Wunsch des Kunden über die bereitgestellten Exportschnittstellen zurück. Ein Löschprotokoll legt nuwacom auf Anforderung vor. Die Vernichtung von Datenträgern erfolgt nach DIN 66399 und in Anlehnung an NIST SP 800-88 Rev. 1.

​

10. Technische und organisatorische Maßnahmen

• Mandantentrennung – eigener, logisch getrennter Tenant je Kunde; Row-Level-Security verhindert eine Vermischung von Daten
• Verschlüsselung – TLS 1.2/1.3 bei der Übertragung, AES-256 im Ruhezustand
• Zugriffskontrolle – rollenbasiertes Berechtigungskonzept, MFA für Fernzugriffe, mindestens jährliche Überprüfung
• Monitoring – Log-Management, Intrusion Detection, jährliche Penetrationstests, vierteljährliche Scans
• Personal – Vertraulichkeitsverpflichtung und verpflichtende jährliche Awareness-Schulungen

nuwacom ist nach ISO/IEC 27001:2022 zertifiziert (SOCOTEC, 27. Okt. 2025).

​

11. Betroffenenrechte und Sicherheitsvorfälle

Anfragen betroffener Personen leitet nuwacom unverzüglich an den Kunden als Verantwortlichen weiter und unterstützt ihn im technisch möglichen Umfang bei der Beantwortung. Von einer Verletzung des Schutzes personenbezogener Daten unterrichtet nuwacom den Kunden ohne unangemessene Verzögerung und unterstützt ihn bei der Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO.

​

12. Weiterführende Unterlagen und Kontakt