Datenschutzhinweise für NEXUS

Stand: 03.11.2026

Diese Hinweise erklären, welche personenbezogenen Daten bei der Nutzung von NEXUS, dem internen Agent Portal der TMK Thomas Mack Kommunikation GmbH, verarbeitet werden. Sie ergänzen die allgemeinen Datenschutzinformationen für Beschäftigte der TMK.

1. Verantwortlicher

TMK Thomas Mack Kommunikation GmbH
Neuer Weg 9
35516 Münzenberg

Telefon: +49 6004 9148 0
E-Mail: mail@tmk.de

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten (z. B. Namen, E-Mail-Adressen o. Ä.) entscheidet.

2. Datenschutzbeauftragte

Wir haben für unser Unternehmen eine Datenschutzbeauftragte bestellt. Wenn Sie Fragen zum Datenschutz oder zur Datensicherheit haben, erreichen Sie unsere Datenschutzbeauftragte folgendermaßen:

@-yet GmbH
Datenschutzbeauftragte der TMK Thomas Mack Kommunikation GmbH
Schloß Eicherhof
D – 42799 Leichlingen

E-Mail: datenschutz@tmk.de

3. Wofür NEXUS genutzt wird

NEXUS stellt KI-gestützte Agenten für wiederkehrende Aufgaben bereit, etwa Dokumente prüfen, Kriterien aus Leistungsbeschreibungen ableiten, Bieterantworten vergleichen oder Aufwände schätzen. Sie laden Material hoch, ein Agent verarbeitet es mit Hilfe eines KI-Sprachmodells, und das Ergebnis wird Ihnen angezeigt und in Ihrer Historie gespeichert.

4. Welche Daten wir verarbeiten

Daten	Beispiele	Zweck	Rechtsgrundlage	Speicherdauer
Anmeldedaten	E-Mail-Adresse Ihres Microsoft-Kontos, Sitzungstoken	Anmeldung, Zugriffsschutz, Zuordnung Ihrer Ergebnisse	Art. 6 Abs. 1 lit. b DSGVO (Arbeitsverhältnis), hilfsweise lit. f	Sitzung: im Arbeitsspeicher des Servers, endet nach 5 Minuten Inaktivität oder beim Abmelden. Die E-Mail-Adresse bleibt als Besitzerangabe bei Ihren Ergebnissen und Agent-Vorschlägen gespeichert (siehe unten).
Server-Protokolle	IP-Adresse, Zeitpunkt, aufgerufene Seite, Statuscode	Betrieb, Fehleranalyse, IT-Sicherheit	Art. 6 Abs. 1 lit. f DSGVO	30 Tage
Hochgeladene Dateien und Eingaben	PowerPoint-, Word- oder PDF-Dateien, Kontextangaben wie Kundenname, Zielgruppe, Anlass	Bearbeitung durch den gewählten Agenten	Art. 6 Abs. 1 lit. b bzw. f DSGVO	Auf dem Server nur während der Verarbeitung, danach wird die Datei gelöscht. Bleibt eine Datei nach einem Abbruch oder Absturz liegen, wird sie spätestens nach 24 Stunden entfernt. Zur Verarbeitung werden Inhalt und Seitenbilder an Anthropic übermittelt (Abschnitt 5).
Ergebnisse und Historie	Berichte, Auswertungen, zugrunde liegende Projektangaben (z. B. Kundenname), Dateiname, Zeitpunkt, gewählter Agent, Ihre E-Mail-Adresse als Besitzerangabe	Abruf früherer Ergebnisse	Art. 6 Abs. 1 lit. b bzw. f DSGVO	180 Tage, danach werden sie automatisch gelöscht. Sie können Ergebnisse jederzeit selbst in der Historie löschen.
Agent-Vorschläge	Ihre E-Mail-Adresse und Ihre Angaben im Steckbrief	Bearbeitung des Vorschlags für einen neuen Agenten	Art. 6 Abs. 1 lit. b bzw. f DSGVO	Bis zur Erledigung des Vorschlags, längstens 12 Monate
Nutzungszähler (gesamt)	Anzahl der Analysen, verarbeitete Textmenge, Rückmeldungen (Daumen hoch/runter), insgesamt, ohne Personenbezug	Betrieb, Kapazitätsplanung	Art. 6 Abs. 1 lit. f DSGVO	solange NEXUS betrieben wird
Nutzungsprotokoll	Zeitpunkt und Ihre E-Mail-Adresse bei Anmeldung, Abmeldung und fehlgeschlagener Anmeldung; Aufruf eines Agenten; Upload (nur Dateiendung und Größe, keine Dateinamen und keine Inhalte); abgeschlossene oder fehlgeschlagene Analyse mit Agent, Modell, Dauer und Anzahl der verarbeiteten Tokens; Rückmeldungen (Daumen hoch/runter) mit Agent und optionalem Kommentar	Auswertung von Nutzung und Akzeptanz, Kapazitätsplanung, Verbesserung der Agenten	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Steuerung und Weiterentwicklung von NEXUS)	12 Monate, danach automatische Löschung. Einsicht nur für zwei benannte Personen (Abschnitt 9).
Technisch notwendige Cookies	`tmk_session` (Sitzung), `tmk_admin` (nur bei Administratoren), `tmk_sso_flow` (nur während der Microsoft-Anmeldung, 10 Minuten)	Sitzung aufrechterhalten, Anmeldung abschließen	§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO	Bis zum Abmelden, spätestens 7 Tage. Die Sitzung selbst endet serverseitig nach 5 Minuten Inaktivität.

NEXUS speichert keine weiteren Daten im Browser (kein localStorage, keine Analyse- oder Werbe-Cookies). Es werden keine Tracking-Dienste Dritter eingesetzt. Die Nutzung von NEXUS wird ausschließlich auf dem Server im Nutzungsprotokoll erfasst (siehe Tabelle oben und Abschnitt 9).

Hochgeladene Dokumente können personenbezogene Daten Dritter enthalten, etwa Ansprechpartner in Ausschreibungen, Bieterangaben oder Mitarbeiterprofile. Die Verantwortung für deren Verarbeitung liegt bei TMK; die Hinweise in Abschnitt 8 gelten deshalb verbindlich.

Soweit in diesen Hinweisen keine speziellere Speicherdauer genannt wird, verbleiben Ihre personenbezogenen Daten bei uns, bis der Zweck für die Datenverarbeitung entfällt. Wenn Sie ein berechtigtes Löschersuchen geltend machen, werden Ihre Daten gelöscht, sofern wir keine anderen rechtlich zulässigen Gründe für die Speicherung Ihrer personenbezogenen Daten haben (z. B. steuer- oder handelsrechtliche Aufbewahrungsfristen). In diesem Fall erfolgt die Löschung nach Fortfall dieser Gründe.

5. Empfänger und Auftragsverarbeiter

Zugriff auf die Daten haben innerhalb von TMK nur die Administratoren von NEXUS und, für das Nutzungsprotokoll, zwei benannte Personen (Abschnitt 9). Außerdem setzen wir zwei Auftragsverarbeiter nach Art. 28 DSGVO ein:

Microsoft (Microsoft Ireland Operations Limited, Dublin, Irland)

Anmeldung über Microsoft Entra ID (Single Sign-on mit Ihrem TMK-Konto). NEXUS erhält dabei Ihre E-Mail-Adresse, weitere Konto- oder Verzeichnisdaten werden nicht abgefragt.
Betrieb des Servers als virtuelle Maschine in Microsoft Azure, in einer Region innerhalb der EU. Auf diesem Server laufen NEXUS selbst, die Protokolle, die Ergebnisse und die Historie.
Grundlage: Microsoft Products and Services Data Protection Addendum

Anthropic (Anthropic Ireland, Limited, Dublin, Irland; Muttergesellschaft ist Anthropic, PBC, USA)

Bereitstellung des KI-Sprachmodells Claude über eine Programmierschnittstelle (API), die NEXUS direkt bei Anthropic aufruft. Dazu werden der Inhalt Ihrer hochgeladenen Dateien (Text und, bei der Dokumentenprüfung, Bilder der einzelnen Seiten) und Ihre Eingaben an Anthropic übermittelt, dort verarbeitet und das Ergebnis zurückgegeben. Seitenbilder werden dort vorübergehend zwischengespeichert und nach der Analyse gelöscht.
Anthropic löscht Ein- und Ausgaben der API standardmäßig innerhalb von 30 Tagen. Längere Speicherung ist möglich, soweit sie zur Durchsetzung der Nutzungsrichtlinien oder gesetzlich erforderlich ist.
Anthropic verwendet Daten aus der kommerziellen API nach seinen Vertragsbedingungen nicht zum Training seiner Modelle.
Grundlage: Anthropic Data Processing Addendum als Bestandteil der Commercial Terms

Content-Delivery-Netzwerk (jsDelivr): Auf einigen Seiten (QS-Agent, Kriterien-Agent, Fragenkatalog-Agent) lädt Ihr Browser eine Darstellungsbibliothek (Markdown-Anzeige) von cdn.jsdelivr.net. Dabei wird Ihre IP-Adresse an den Betreiber des CDN und an die von ihm eingesetzten Auslieferungsnetzwerke übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (zuverlässige Darstellung der Seiten).

6. Übermittlung in Drittländer

Microsoft und Anthropic haben Konzerngesellschaften in den USA. Eine Übermittlung dorthin kann nicht ausgeschlossen werden.

Microsoft: Daten der Azure-VM werden in der genannten EU-Region gespeichert. Microsoft verarbeitet Kundendaten im Rahmen der EU Data Boundary überwiegend in der EU. Für verbleibende Übermittlungen stützt sich Microsoft auf die Zertifizierung nach dem EU-US Data Privacy Framework und auf EU-Standardvertragsklauseln.
Anthropic: Die Verarbeitung durch das Sprachmodell findet in den USA statt. Grundlage der Übermittlung sind die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), die im Data Processing Addendum vereinbart sind.
jsDelivr: Das CDN wird von einem Unternehmen mit Sitz in der EU betrieben und liefert über Netzwerke mehrerer Anbieter aus, darunter Unternehmen mit Sitz in den USA. Soweit dabei Daten in die USA gelangen, stützen sich diese Anbieter auf Standardvertragsklauseln bzw. das EU-US Data Privacy Framework.

Unternehmen mit Sitz in den USA können verpflichtet sein, personenbezogene Daten an Sicherheitsbehörden herauszugeben, ohne dass Sie als Betroffene dagegen gerichtlich vorgehen könnten. Es kann daher nicht ausgeschlossen werden, dass US-Behörden (z. B. Geheimdienste) Daten, die auf US-Servern verarbeitet werden, zu Überwachungszwecken verarbeiten, auswerten und dauerhaft speichern. Wir haben auf diese Verarbeitungstätigkeiten keinen Einfluss.

7. Einsatz von KI

Die Ergebnisse in NEXUS werden von einem KI-Sprachmodell erzeugt. Sie können unvollständig oder falsch sein und müssen vor der Verwendung von Ihnen geprüft werden. NEXUS trifft keine Entscheidungen über Personen. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

8. Was Sie hochladen dürfen

Laden Sie nur Material hoch, das Sie für die jeweilige Aufgabe brauchen.
Keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO (z. B. Gesundheitsdaten) und keine Zugangsdaten oder Passwörter.
Kunden- und Ausschreibungsunterlagen nur, wenn die Vereinbarung mit dem Kunden die Verarbeitung durch einen externen KI-Dienst zulässt. Im Zweifel vorher Namen und Kontaktdaten entfernen oder bei der Datenschutzbeauftragten (Abschnitt 2) nachfragen.
Ergebnisse, die in der Historie liegen, können Inhalte Ihrer Unterlagen enthalten. Löschen Sie Ergebnisse, die Sie nicht mehr brauchen, in der Historie.

9. Einsicht und Auswertung der Nutzung

Ihre Historie ist grundsätzlich nur für Sie sichtbar. Administratoren von NEXUS können technisch die Ergebnisse aller Nutzer einsehen, herunterladen und löschen sowie die eingereichten Agent-Vorschläge samt E-Mail-Adresse lesen. Das dient ausschließlich Betrieb, Fehlerbehebung und der Bearbeitung von Vorschlägen.

Nutzungsprotokoll: Zwei von TMK benannte Personen (aktuell j-e.stern@tmk.de und t.krause@tmk.de) können das Nutzungsprotokoll einsehen. Die Auswertung zeigt je Person Anmeldungen, Uploads, abgeschlossene Analysen, den Tokenverbrauch und abgegebene Bewertungen, außerdem Zahlen je Agent. Sie dient der Steuerung und Verbesserung von NEXUS und der Kapazitätsplanung. Sie wird nicht zur Bewertung von Leistung oder Arbeitsweise einzelner Beschäftigter herangezogen. Dateinamen und Inhalte Ihrer Dokumente enthält das Nutzungsprotokoll nicht. Ereignisse werden nach 12 Monaten gelöscht. Sie können der Verarbeitung nach Art. 21 DSGVO widersprechen (Abschnitt 1 oder 2).

Sofern eine Anmeldung ohne persönliches Konto (über einen gemeinsamen PIN) möglich ist: Ergebnisse, die auf diesem Weg entstehen, haben keinen Besitzer und sind für alle angemeldeten Nutzer sichtbar.

10. Ihre Rechte

Bei Fragen zu Ihren Rechten können Sie sich jederzeit an uns (Abschnitt 1) oder an die Datenschutzbeauftragte (Abschnitt 2) wenden.

Auskunft, Löschung und Berichtigung

Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft und Empfänger und den Zweck der Datenverarbeitung und ggf. ein Recht auf Berichtigung oder Löschung dieser Daten. Hierzu sowie zu weiteren Fragen zum Thema personenbezogene Daten können Sie sich jederzeit an uns wenden.

Recht auf Einschränkung der Verarbeitung

Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen. Hierzu können Sie sich jederzeit unter den in Abschnitt 1 angegebenen Kontaktdaten an uns wenden. Das Recht auf Einschränkung der Verarbeitung besteht in folgenden Fällen:

Wenn Sie die Richtigkeit Ihrer bei uns gespeicherten personenbezogenen Daten bestreiten, benötigen wir in der Regel Zeit, um dies zu überprüfen. Für die Dauer der Prüfung haben Sie das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.
Wenn die Verarbeitung Ihrer personenbezogenen Daten unrechtmäßig geschah/geschieht, können Sie statt der Löschung die Einschränkung der Datenverarbeitung verlangen.
Wenn wir Ihre personenbezogenen Daten nicht mehr benötigen, Sie sie jedoch zur Ausübung, Verteidigung oder Geltendmachung von Rechtsansprüchen benötigen, haben Sie das Recht, statt der Löschung die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.
Wenn Sie einen Widerspruch nach Art. 21 Abs. 1 DSGVO eingelegt haben, muss eine Abwägung zwischen Ihren und unseren Interessen vorgenommen werden. Solange noch nicht feststeht, wessen Interessen überwiegen, haben Sie das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.
Wenn Sie die Verarbeitung Ihrer personenbezogenen Daten eingeschränkt haben, dürfen diese Daten – von ihrer Speicherung abgesehen – nur mit Ihrer Einwilligung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aus Gründen eines wichtigen öffentlichen Interesses der Europäischen Union oder eines Mitgliedstaats verarbeitet werden.

Widerspruchsrecht gegen die Datenerhebung in besonderen Fällen (Art. 21 DSGVO)

Wenn die Datenverarbeitung auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, haben Sie jederzeit das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gegen die Verarbeitung Ihrer personenbezogenen Daten Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling. Die jeweilige Rechtsgrundlage, auf denen eine Verarbeitung beruht, entnehmen Sie diesen Hinweisen. Wenn Sie Widerspruch einlegen, werden wir Ihre betroffenen personenbezogenen Daten nicht mehr verarbeiten, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Widerspruch nach Art. 21 Abs. 1 DSGVO).

Recht auf Datenübertragbarkeit

Sie haben das Recht, Daten, die wir auf Grundlage Ihrer Einwilligung oder in Erfüllung eines Vertrags automatisiert verarbeiten, an sich oder an einen Dritten in einem gängigen, maschinenlesbaren Format aushändigen zu lassen. Sofern Sie die direkte Übertragung der Daten an einen anderen Verantwortlichen verlangen, erfolgt dies nur, soweit es technisch machbar ist.

Beschwerderecht bei der zuständigen Aufsichtsbehörde

Im Falle von Verstößen gegen die DSGVO steht den Betroffenen ein Beschwerderecht bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthalts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes zu. Das Beschwerderecht besteht unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe. Zuständig für TMK ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden.

11. Sicherheit der Übertragung

NEXUS nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte, wie Ihren hochgeladenen Dokumenten, eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://“ auf „https://“ wechselt, und an dem Schloss-Symbol in Ihrer Browserzeile. Wenn die Verschlüsselung aktiviert ist, können die Daten, die Sie an uns übermitteln, nicht von Dritten mitgelesen werden.

12. Änderungen

Wir passen diese Hinweise an, wenn sich NEXUS oder die eingesetzten Dienste ändern. Die jeweils aktuelle Fassung finden Sie in der Fußzeile von NEXUS. Stand: 03.11.2026.