1. Gegenstand und Datenpfade
(1) Gegenstand ist die Bereitstellung der Noctive-Plattform, einschließlich KI-gestützter Konversations-Engine, Multi-Tenant-Workspace-Verwaltung, Konversations- Speicherung, Knowledge-Base-Verarbeitung (RAG) und optionale Workflow- Automatisierung.
(2) Primäre persistente Workspace-Daten werden in der für den jeweiligen Dienst konfigurierten Datenbank- beziehungsweise Hostingregion verarbeitet. Funktionsabhängig können die unten aufgeführten Sub-Auftragsverarbeiter Daten außerhalb der EU/des EWR verarbeiten oder notwendige Integrations-, Versand- und Sicherheitsmetadaten speichern. Datenstandort, Speicherfrist und Transfergrundlage werden deshalb anbieter- und pfadbezogen ausgewiesen, nicht pauschalisiert.
(3) Dauer: Die beschriebenen Pfade gelten für den aktuellen technischen Arbeitsstand. Nicht aufgeführte Modellanbieter sind kein Teil des hier beschriebenen Zielumfangs.
2. Aktuelle Providerübersicht
Der aktuelle technische Stand umfasst folgende Anbieterpfade. Die Auflistung ist keine Zustimmung zu deren Beauftragung und ersetzt keine vertragliche Anlage:
| Anbieter | Sitz | Leistung |
|---|---|---|
| Hetzner Online GmbH | Gunzenhausen, DE | Server-Hosting (DC Nürnberg) |
| Supabase Pte. Ltd | Singapur | DB + Auth (konfigurierte Projektregion) ¹ |
| Vercel Inc. | San Francisco, USA | Web-Hosting, Serverless-Funktionen und Edge-Auslieferung ¹ |
| Upstash, Inc. | Delaware, USA | Verteilter Rate-Limit-Store; HMAC-Ableitungen externer Identifikatoren und Zeitstempel, konkrete Datenbankregion separat prüfen ² ³ |
| Nango (Bastion Technologies, Inc.) | San Francisco, USA | OAuth- und Integrationsverbindungen, einschließlich Verbindungsmetadaten/Token-Verwahrung ² |
| Anthropic PBC | San Francisco, USA | LLM-Inferenz für freigegebene KI-Pfade ² ³ |
| AlphaAI Technologies Inc. d/b/a Tavily | New York, USA | Web-Suche und Extraktion für ausdrücklich ausgelöste Recherchepfade ² ³ |
| Stripe Payments Europe Ltd. | Dublin, IE | Zahlungsabwicklung |
| Cloudflare Germany GmbH | München, DE | DNS, DDoS-Schutz, Edge-Caching |
| ElevenLabs Ltd. | London, UK | Optional: TTS (nur bei aktivierter Voice-Funktion) |
| Plus Five Five, Inc. (Resend) | San Francisco, USA | E-Mail-Transaktionsversand und Sender-Domain-Verwaltung; Versandroute kann Irland sein, Konto- und Versandmetadaten werden in den USA gespeichert ² ³ |
| Functional Software Inc. (Sentry) | San Francisco, USA | Error-Monitoring ² |
| Voyage AI Inc. | San Francisco, USA | Text-Embeddings (Knowledge-Base) ² |
| OpenAI LLC | San Francisco, USA | Optional: Voice-Transkription (Whisper) ² |
| Calendly, LLC | USA | Optional: externer Terminplaner nach bewusster Aktivierung ² ³ |
¹ Die Supabase-Projektregion und die Vercel-Ausführungs-/Auslieferungswege sind getrennt zu betrachten. Eine Datenbankregion beweist keine ausschließlich regionale Web-, Support- oder Account-Verarbeitung. Vercel weist in seinem DPA insbesondere auf primäre Verarbeitungseinrichtungen in den USA und mögliche weltweite Verarbeitung hin. Die für den konkreten Noctive-Vertrag geltende Konfiguration ist vor Freigabe zu dokumentieren.
² Bei Anbietern mit Verarbeitung außerhalb der EU/des EWR wird die konkrete Transfergrundlage anbieterbezogen dokumentiert, etwa durch einen geltenden Angemessenheitsbeschluss oder EU-Standardvertragsklauseln. Noctive macht keine pauschale Aussage, dass jeder Anbieter unter identischen Mechanismen arbeitet.
³ Speicherfristen, Supportzugriffe und die Nutzung von Eingaben unterscheiden sich je Anbieter, Tarif und Vertragskonfiguration. Eine Zero-Data-Retention- oder No-Train-Zusage gilt nur, wenn sie für den konkreten Noctive-Account vertraglich vereinbart und technisch konfiguriert ist; persistente Integrations- und Domain-Metadaten sind davon ausgenommen.
Änderungen: Änderungen am für den Vertrag relevanten Sub-Prozessor-Bestand werden über den vertraglich festgelegten Kanal mitgeteilt. Etwaige Vorab-, Widerspruchs- und Kündigungsrechte richten sich nach der tatsächlich vereinbarten AVV-Fassung.
3. Künstliche Intelligenz
(1) Die KI-Verarbeitung erfolgt über die für den jeweiligen Produktpfad freigegebene Provider-Architektur. Dazu können selbstbetriebene Modelle und die oben genannten Inferenzanbieter gehören. Eine ausschließlich lokale Verarbeitung wird nur zugesagt, wenn sie für den konkreten Vertrag und Datenpfad ausdrücklich vereinbart ist.
(2) Noctive aktiviert keine freiwillige Nutzung von Kundeneingaben zum Modelltraining. Anbieterbezogene Speicherfristen, Missbrauchsprävention und vertragliche No-Train-/Retention-Regeln richten sich nach dem jeweiligen DPA, Tarif und der technischen Konfiguration; sie werden nicht als pauschale Zero-Data-Retention-Garantie dargestellt.
(3) Trainings-Programm: Noctive verwendet Kundendaten derzeit nicht für das Training der eigenen Engine. Ein künftiges freiwilliges Trainings-Programm setzt eine gesonderte, ausdrückliche Opt-in-Erklärung sowie einen technisch und vertraglich freigegebenen Widerrufs- und Löschprozess voraus.
(4) Genauigkeits-Hinweis: KI-generierte Antworten können fehlerhaft sein. Nutzer müssen KI-Ausgaben vor geschäftskritischer Verwendung verifizieren.
Separater Vertrag erforderlich
Die Darstellung ausgewählter Punkte ersetzt keinen vollständigen AVV nach Art. 28 DSGVO. Vor der produktiven Verarbeitung von Kundendaten muss Noctive mit dem Kundenunternehmen einen vollständigen, für den konkreten Leistungs- und Providerumfang freigegebenen AVV einschließlich Anlagen ausführen. Vertragsfragen richten Sie bitte an info@noctive.de abrufbar.