Geltungsbereich und Rollen
Der Kunde ist Verantwortlicher; die The Next Wilson B.V. ist Auftragsverarbeiter. Kundendaten bleiben Eigentum des Kunden. Die Verarbeitung erfolgt gemäß Auftragsverarbeitungsvertrag.
Für IT- und Datenschutzfachleute
So ist unsere Sicherheit geregelt
Technische und rechtliche Erläuterung für IT-Verantwortliche, Datenschutzbeauftragte und Sicherheitsfachleute. Bei Widersprüchen haben der Auftragsverarbeitungsvertrag und die übrigen rechtlichen Dokumente Vorrang.
Version 20. Oktober 2026 · Sie sind Nutzer? Lesen Sie die häufigen Fragen zur Sicherheit
Wo Daten gespeichert werden
Die Produktion ist in der Europäischen Union eingerichtet.
| Funktion | Standort |
|---|---|
| Anwendungshosting | Frankfurt |
| API-Hosting | Frankfurt |
| Datenbank und Dateien | EMEA |
| KI-Inferenz und Dokumentenerkennung | EU |
| Transkription | EU |
KI-Verarbeitung
Standardmäßig läuft KI über eine EU-Konfiguration: Sprachmodelle und Dokumentenerkennung (OCR und Layout) mit Inferenz in der EU. Kundendaten werden nicht zum Training der zugrunde liegenden KI-Modelle Dritter verwendet. Prompts und Ausgaben beim KI-Anbieter werden so kurz wie möglich gespeichert, höchstens 30 Tage.
Auf Wunsch können wir KI auch über andere Modelle und Anbieter laufen lassen, innerhalb und außerhalb der EU. Dann können zusätzliche Unterauftragsverarbeiter und Übermittlungen gemäß Auftragsverarbeitungsvertrag gelten.
Transkription
Die Audiotranskription läuft in der EU. Audio wird zur Umwandlung gesendet; das Ergebnis kommt zur Plattform zurück. Namen und andere Angaben aus dem Gespräch können im Transkript stehen.
Isolation, Zugriff und Authentifizierung
Kundenumgebungen sind logisch voneinander getrennt. Innerhalb einer Organisation gelten rollenbasierter Zugriff und Aktenberechtigung auf Nutzerebene.
Multi-Faktor-Authentifizierung (E-Mail-Code oder Authenticator-App) ist pro Organisation einstellbar. Der Administrator des Kunden entscheidet, ob und für wen sie gilt.
Verschlüsselung, Logging und Änderungen
Daten werden bei der Übertragung (TLS) und im Ruhezustand verschlüsselt. Es gibt Audit-Protokollierung auf Plattformebene, für Dokumente und für den Chat; Logs dienen Nachweisbarkeit und Sicherheit. Produktionsänderungen erfordern die Prüfung durch eine zweite Person.
Aufbewahrung
Während des Vertrags bleiben die Daten in der Umgebung des Kunden, innerhalb der Aufbewahrungsfristen, die der Kunde im Dienst festlegt. Der Kunde bleibt für die DSGVO-Fristen gegenüber den eigenen Klienten verantwortlich.
Nach Vertragsende hat der Kunde 30 Tage Zeit, einen Export anzufordern. Danach löscht The Next Wilson die Daten. Reste in Datenbank-Backups verschwinden innerhalb der Backup-Aufbewahrung von sieben Tagen.
KI-Entscheidungen
KI-Ausgaben sind unterstützend. Die Fachkraft entscheidet.
Prüfung und Schwachstellen
Ein externer Penetrationstest wurde durchgeführt; eine Zusammenfassung ist auf Anfrage unter Geheimhaltung erhältlich. Mindesthäufigkeit: intern mindestens zweimal jährlich, extern mindestens einmal jährlich, ergänzt durch fortlaufende Schwachstellenscans. Behebungszeiten sind nach Schweregrad in Richtlinien festgelegt.
Wir arbeiten an der ISO-27001-Zertifizierung. Sie ist in Vorbereitung; das Zertifikat erwarten wir in Q4 2026.
Vorfälle
Datenpannen und Sicherheitsvorfälle meldet The Next Wilson spätestens innerhalb von 24 Stunden nach Entdeckung an den Verantwortlichen, über privacy@thenextwilson.ai. Eine erste Meldung kann vorläufig sein und wird ergänzt.
(Unter-)Auftragsverarbeiter
Für den Produktionsdienst nutzen wir unter anderem: Anwendungshosting, API-Hosting, Datenbank- und Dateispeicherung, KI-Inferenz und Dokumentenerkennung sowie Sprache-zu-Text, alles in der EU. Auf Wunsch können zusätzliche KI-Anbieter eingesetzt werden, innerhalb und außerhalb der EU.
Die aktuelle Namensliste, die Grundlagen für Übermittlungen (einschließlich Standardvertragsklauseln, wo zutreffend) und das Änderungsverfahren stehen im Auftragsverarbeitungsvertrag. Änderungen bei Unterauftragsverarbeitern kündigen wir vorab an; der Kunde kann begründet widersprechen.
Was der Kunde selbst tut
- Lassen Sie KI-Ausgaben von einer Fachkraft prüfen, bevor sie verwendet werden.
- Informieren Sie Teilnehmende bei Aufnahmen und legen Sie die Rechtsgrundlage gegenüber Betroffenen selbst fest.
- Aktivieren Sie die Multi-Faktor-Authentifizierung, wenn das Risikoprofil Ihrer Organisation es erfordert.
- Treffen Sie besondere vertragliche Vereinbarungen, bevor Sie besondere Kategorien personenbezogener Daten verarbeiten.
- Fordern Sie innerhalb von 30 Tagen nach Vertragsende einen Export an, wenn Sie Daten behalten möchten.
Fragen, die wir oft bekommen
Wie ist die Mandantentrennung eingerichtet?
Logische Trennung pro Kundenumgebung, plus Rollen- und Aktenberechtigung innerhalb der Organisation.
Wie läuft die Standard-KI-Verarbeitung?
Sprachmodelle und Dokumentenerkennung über eine EU-Konfiguration. Die aktuellen (Unter-)Auftragsverarbeiter stehen im Auftragsverarbeitungsvertrag.
Wie gehen Sie mit Modelltraining auf Kundendaten um?
Kundendaten werden nicht zum Training der zugrunde liegenden KI-Modelle Dritter verwendet.
Wo werden Dateien gespeichert?
In europäischer Speicherung (EMEA). Der aktuelle (Unter-)Auftragsverarbeiter steht im Auftragsverarbeitungsvertrag.
Welche MFA ist verfügbar?
E-Mail-Code oder Authenticator-App, pro Organisation einstellbar. Der Administrator entscheidet, ob und für wen sie gilt.
Welche Verschlüsselung wird verwendet?
TLS bei der Übertragung und Verschlüsselung im Ruhezustand.
Wie lange werden Daten nach Vertragsende aufbewahrt?
Ein Exportfenster von 30 Tagen, danach Löschung der Daten. Backup-Reste verschwinden innerhalb von sieben Tagen.
Was steht in einem Transkript?
Namen und andere Angaben aus dem Gespräch können im Transkript stehen.
Welcher Penetrationstest wurde durchgeführt?
Ein externer Penetrationstest. Eine Zusammenfassung ist auf Anfrage unter Geheimhaltung erhältlich.
Welche Frist gilt für die Meldung von Datenpannen?
Spätestens innerhalb von 24 Stunden nach Entdeckung durch The Next Wilson.
Wie ist der Stand bei ISO 27001?
Die Zertifizierung ist in Vorbereitung. Das Zertifikat wird in Q4 2026 erwartet.
Können Gesundheitsinformationen verarbeitet werden?
Auf Grundlage besonderer vertraglicher Vereinbarungen.
Weitere Informationen auf Anfrage
Weitere Spezifikationen, die aktuelle Liste der Unterauftragsverarbeiter, eine Zusammenfassung des externen Penetrationstests und der Auftragsverarbeitungsvertrag sind auf Anfrage erhältlich, unter Geheimhaltung oder per Vertrag.