Datenschutz

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf xodra.de und in der App unter app.xodra.de ist die Exord GmbH, Maria-Goeppert-Str. 5, 23562 Lübeck, Deutschland. E-Mail: hallo@exord.de, Telefon: +49 151 28954261. Weitere Angaben stehen im Impressum. Einen Datenschutzbeauftragten haben wir nicht benannt; für alle Fragen zum Datenschutz erreichst du uns unter der genannten Adresse.

2. Überblick

Website, App, Datenbank, Gedächtnis und die Computer deiner Bots laufen auf unserem eigenen Server bei Hetzner in Nürnberg. Für einige Aufgaben setzen wir externe Dienste ein: Sprachmodelle, Websuche, E-Mail-Postfächer, Zahlung und Analyse. Unten steht für jeden Dienst, wer ihn betreibt, wo er sitzt und ob Daten die EU verlassen. Das tun sie in einigen Fällen, vor allem bei den Sprachmodellen und der Websuche (Abschnitte 7 und 8). Wir verkaufen keine Daten und trainieren keine Modelle mit deinen Daten.

3. Hosting und Server-Protokolle

Die Website xodra.de und die App app.xodra.de laufen auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, im Rechenzentrum Nürnberg. Hetzner verarbeitet die Daten in unserem Auftrag; mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Hetzner erstellt in unserem Auftrag auch Sicherungen des Servers.

Beim Aufruf überträgt dein Browser technisch notwendige Daten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser und Betriebssystem). Der Webserver braucht sie, um die Seite verschlüsselt auszuliefern; er schreibt keine Zugriffsprotokolle. Die App protokolliert technische Fehler, um den Betrieb zu sichern, aber keine Inhalte deiner Chats. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Die TLS-Zertifikate stammen von Let's Encrypt (Internet Security Research Group, USA). Dabei werden nur unsere Domainnamen übermittelt, keine Daten von Besuchern.

4. Domain und DNS

Die Domain xodra.de und ihre DNS-Einträge verwalten wir bei der Hostinger International Ltd., 61 Lordou Vironos str., 6023 Larnaca, Zypern. Wenn die Adresse xodra.de aufgelöst wird, fragt in der Regel der DNS-Resolver deines Internetanbieters bei den Nameservern von Hostinger an, nicht dein Gerät selbst. Hostinger betreibt nach eigenen Angaben auch Server außerhalb der EU und stützt Übermittlungen dorthin auf Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

5. Konto, Anmeldung und gespeicherte Einstellungen

Für dein Konto speichern wir deine E-Mail-Adresse, dein Passwort nur als Hash (argon2; im Klartext kennen wir es nicht), den Namen, den du angibst, und deine Einstellungen, zum Beispiel das gewählte Modell. Die E-Mail-Adresse prüfen wir derzeit nicht per Bestätigungsmail. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Nach der Anmeldung setzen wir ein Sitzungs-Cookie (xodra_session, 30 Tage gültig, beim Abmelden gelöscht). Es hält dich angemeldet und ist technisch notwendig. Die App merkt sich außerdem im Local Storage deines Browsers, ob du das helle oder dunkle Design gewählt hast. Beides ist für den von dir gewünschten Dienst unbedingt erforderlich und braucht keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Weitere Cookies setzen wir nicht, auch nicht für die Analyse.

6. Bots, Chats und Gedächtnis

Deine Bots, Chats, Routinen und verbundenen MCP-Server speichern wir in unserer Datenbank auf dem Server in Nürnberg. Was ein Bot sich merkt, verarbeitet Honcho, eine quelloffene Software, die wir selbst auf demselben Server betreiben; an den Hersteller fließen dabei keine Daten. Was ein Bot sich gemerkt hat, kannst du auf seiner Seite unter „Gedächtnis“ einsehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Gib deinen Bots Daten Dritter bitte nur, wenn du das darfst. Für Inhalte, die du selbst eingibst, bist du verantwortlich.

7. Sprachmodelle

Damit ein Bot antworten und handeln kann, schicken wir den nötigen Kontext an zwei Modell-Anbieter. Die Anfragen gehen von unserem Server aus. Deine IP-Adresse, E-Mail-Adresse und dein Name werden dabei nicht mitgeschickt, wohl aber alles, was im Chat und im Kontext des Bots steht.

Ausführungsmodell: Antworten, Werkzeugaufrufe und Routinen erzeugt ein Sprachmodell (derzeit deepseek-v4.1-flash-speed), das wir über die API der Neuralwatt Inc., USA, nutzen. Übermittelt werden deine Nachrichten, der bisherige Chatverlauf, Auszüge aus dem Gedächtnis des Bots und Ergebnisse seiner Werkzeuge, etwa Suchergebnisse, E-Mails oder Inhalte von Webseiten. Neuralwatt rechnet bei Unterauftragnehmern in verschiedenen Ländern, darunter Rechenzentren in der EU und in den USA. Es findet daher eine Übermittlung in ein Drittland statt. Nach eigenen Angaben speichert Neuralwatt Anfragen und Antworten nicht dauerhaft (Kontext höchstens 24 Stunden im Arbeitsspeicher) und nutzt sie nicht zum Training.

Entscheidungsmodell: Bevor ein Bot handelt, entscheidet ein kleines Modell, wie er vorgeht, zum Beispiel welche Werkzeuge er braucht. Dafür nutzen wir Jev der TypeSafe AI, Inc., San Francisco, USA. Übermittelt werden die letzten Nachrichten des Chats. TypeSafe betreibt den Dienst in den USA; die Übermittlung stützt sich auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) im Auftragsverarbeitungsvertrag von TypeSafe. Nach eigenen Angaben trainiert TypeSafe keine Modelle mit diesen Daten.

Rechtsgrundlage für beide ist Art. 6 Abs. 1 lit. b DSGVO, denn ohne Modell kann der Bot den Dienst nicht erbringen. Behörden in den USA können unter Umständen auf Daten bei US-Anbietern zugreifen, ohne dass du davon erfährst und ohne dass dir dort dieselben Rechtsbehelfe zustehen wie in der EU.

8. Websuche

Wenn ein Bot im Web sucht, schicken wir den Suchbegriff, den der Bot formuliert hat, von unserem Server an die Brave Search API der Brave Software, Inc., San Francisco, USA. Brave erhält nur den Suchbegriff und die IP-Adresse unseres Servers, nicht deine. Enthält ein Suchbegriff personenbezogene Daten, etwa einen Namen, gelangen diese in die USA. Brave speichert Suchanfragen an die API bis zu 90 Tage für Abrechnung und Fehlersuche. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für die Übermittlung gilt der Datenverarbeitungszusatz von Brave.

9. E-Mail-Postfächer der Bots

Jeder Bot bekommt ein eigenes E-Mail-Postfach bei OpenMail, betrieben von der UAB All Systems Operational, Vilnius, Litauen. OpenMail speichert und versendet die Mails in der EU. Gespeichert werden die Mails, die dein Bot sendet und empfängt, mit Absendern, Empfängern, Inhalten und Anhängen. Nach eigenen Angaben lässt OpenMail ausgehende Nachrichten automatisch auf Missbrauch prüfen, unter anderem durch Anthropic (USA), und Links über Google Safe Browsing (USA) bewerten. Dabei können Inhalte ausgehender Mails in die USA gelangen. Löschst du einen Bot, löschen wir auch sein Postfach. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

10. Computer der Bots

Jeder Bot kann einen eigenen Computer nutzen: einen abgeschotteten Container mit Browser auf unserem Server in Nürnberg. Dateien und Browserdaten dieses Computers bleiben auf dem Server. Websites, die der Bot besucht, sehen die IP-Adresse unseres Servers, nicht deine, und erhalten das, was der Bot dort eingibt. Für die Verarbeitung auf diesen Websites sind deren Betreiber verantwortlich. Die Live-Ansicht im Browser läuft über unseren Server. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

11. MCP-Server, die du verbindest

Du kannst einem Bot eigene MCP-Server hinzufügen. Der Bot schickt diesen Servern dann die Daten, die er für den jeweiligen Aufruf braucht. Welche Anbieter das sind und wo sie sitzen, bestimmst du; für deren Verarbeitung gelten deren Datenschutzbestimmungen.

12. Zahlung über Stripe

Guthaben bezahlst du über Stripe Checkout. Vertragspartner ist die Stripe Payments Europe, Ltd., Dublin, Irland. Deine Zahlungsdaten gibst du direkt bei Stripe ein. Vollständige Kartendaten sehen wir nicht, nur Zahlungsstatus, Betrag und eine Kunden-Kennung. Wenn du zustimmst, speichert Stripe deine Karte für spätere Aufladungen; diese Zustimmung kannst du jederzeit widerrufen. Stripe verarbeitet Daten auch in den USA (Stripe, Inc.). Stripe ist nach dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO) und nutzt zusätzlich Standardvertragsklauseln. Für die Prüfung von Zahlungen und Betrug ist Stripe teils selbst verantwortlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die gespeicherte Karte deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und für die Aufbewahrung der Buchungsbelege unsere gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO).

13. Analyse mit PostHog, ohne Cookies

Um zu verstehen, wie Website und App genutzt werden, setzen wir PostHog Cloud EU ein. Anbieter ist die PostHog, Inc. (USA); die Daten liegen in einem Rechenzentrum in Frankfurt am Main. Das Skript wird von eu-assets.i.posthog.com geladen, Ereignisse gehen an eu.i.posthog.com. PostHog verarbeitet die Daten in unserem Auftrag.

Auf dieser Website erfassen wir Seitenaufrufe und Klicks, zum Beispiel auf „Registrieren“ und „Download“. PostHog speichert dabei nichts auf deinem Gerät: keine Cookies, kein Local Storage. Die Kennung lebt nur im Arbeitsspeicher des Tabs und ist beim Schließen weg. Personenprofile werden nicht angelegt.

In der App erfassen wir zusätzlich Seitenwechsel, Klicks, technische Fehler und Sitzungsaufzeichnungen. In den Aufzeichnungen sind alle Texte und Eingaben unkenntlich gemacht, deine Chats sind darin also nicht lesbar. Nach der Anmeldung verknüpfen wir diese Daten mit deiner Nutzer-ID, nicht mit deiner E-Mail-Adresse. Unser Server meldet außerdem einzelne Ereignisse wie Registrierung, Anmeldung, angelegte Bots, Käufe und abgeschlossene Läufe, mit IDs, Zahlen und Tarif, nie mit Nachrichteninhalten. Auch in der App setzt PostHog keine Cookies.

Rechtsgrundlage ist unser berechtigtes Interesse, Website und Dienst zu verbessern und Fehler zu finden (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dem jederzeit widersprechen, zum Beispiel per E-Mail an uns, oder die Erfassung mit einem Tracking-Blocker verhindern. Da PostHog ein US-Unternehmen ist, ist ein Zugriff aus den USA nicht völlig ausgeschlossen; PostHog stützt Übermittlungen in die USA auf Standardvertragsklauseln.

14. Desktop-App

Die Desktop-App lädst du von xodra.de herunter. Sie zeigt die Web-App unter app.xodra.de in einem eigenen Fenster und speichert dort dein Sitzungs-Cookie. Es gelten dieselben Angaben wie für die App.

15. Speicherdauer

Konto, Bots, Chats, Gedächtnis, Postfächer und Computer speichern wir, solange dein Konto besteht. Eine Löschfunktion für das ganze Konto gibt es in der App noch nicht: Schreib uns, dann löschen wir dein Konto und die zugehörigen Daten. Gelöschte Daten können bis zum Ablauf der Server-Sicherungen noch in diesen enthalten sein. Sitzungen enden nach 30 Tagen oder beim Abmelden. Rechnungen und Buchungsbelege bewahren wir so lange auf, wie Handels- und Steuerrecht es verlangen, in der Regel bis zu 10 Jahre (§ 147 AO, § 257 HGB). Bei den externen Diensten gelten deren Fristen, soweit oben genannt.

16. Empfänger

Deine Daten erhalten nur die oben genannten Dienstleister, soweit sie sie für ihre Aufgabe brauchen, und Behörden, wenn wir gesetzlich dazu verpflichtet sind. In der Exord GmbH haben nur die Personen Zugriff, die den Dienst betreiben.

17. Deine Rechte

Du hast uns gegenüber das Recht auf

• Auskunft über deine Daten (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Schreib uns dafür an hallo@exord.de.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein, Holstenstraße 98, 24103 Kiel.

18. Pflicht zur Bereitstellung

Für ein Konto brauchen wir E-Mail-Adresse und Passwort; ohne sie kannst du die App nicht nutzen. Darüber hinaus musst du uns keine Daten geben. Automatisierte Entscheidungen mit rechtlicher Wirkung für dich im Sinne von Art. 22 DSGVO treffen wir nicht.

19. Änderungen

Ändern sich der Dienst oder die eingesetzten Anbieter, passen wir diese Erklärung an. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: 28. Oktober 2026