Sicherheit, Datenschutz und Compliance bei Leexi

Die Daten Ihrer Besprechungen werden in Frankreich, in der AWS-Region Paris, gehostet. Sie werden bei der Übertragung und im Ruhezustand verschlüsselt, von einem über Azure France ausgeführten Sprachmodell in einem geschlossenen Kreislauf verarbeitet und niemals zum Trainieren von KI-Modellen verwendet. Das DPA ist öffentlich, die zehn Auftragsverarbeiter sind namentlich genannt und die Zertifizierung ISO 27001:2022 liegt vor. Diese Seite bündelt die Nachweise in der Reihenfolge, in der ein Datenschutzbeauftragter sie anfordert.

Unser Sicherheitsteam kontaktieren · Unsere Dokumente ansehen

Die Sicherheitsverpflichtungen von Leexi

🇪🇺 Datenstandort. Aufzeichnungen, Transkripte und Zusammenfassungen werden in Frankreich, in der AWS-Region Paris, gehostet; zusätzlich besteht eine Scaleway-Option. Mehr erfahren

🔐 Sicherheit. Verschlüsselung bei der Übertragung und im Ruhezustand, Zugriffskontrollen und Backups – Maßnahmen, die durch die Zertifizierung ISO 27001:2022 gestützt werden (Artikel 5.3 des DPA). Mehr erfahren

🇪🇺 DSGVO. Ein öffentliches DPA, gültig seit dem 6. Juli 2026 und bereits für den kostenlosen Test anwendbar. Standardmäßig maximal zweijährige Aufbewahrung und Meldung eines Datenschutzverstoßes innerhalb von 24 Stunden. Mehr erfahren

🤖 KI und Daten. Ihre Besprechungen werden nicht zum Trainieren von Modellen verwendet. Diese Verpflichtung ist in der Datenschutzrichtlinie festgehalten; auf Anfrage erhalten Sie eine entsprechende Bescheinigung. Mehr erfahren

📋 Auftragsverarbeiter. Zehn Auftragsverarbeiter, in Artikel 6.1 des DPA mit ihrer Rolle und ihrem Hosting-Standort namentlich genannt und im Trust Center aktuell gehalten. Liste ansehen

Wo werden die Leexi-Daten gehostet?

Ihre Aufzeichnungen, Transkripte und Zusammenfassungen werden in Frankreich, in der Region Paris, auf der AWS-Infrastruktur gehostet. Die Verarbeitung durch das Sprachmodell erfolgt über Azure France in einem geschlossenen Kreislauf. Ab einem bestimmten Lizenzvolumen wird optional Hosting beim französischen Anbieter Scaleway angeboten; der Schwellenwert wird im kommerziellen Vertrag festgelegt.

Letzte Überprüfung: 16.09.2026.

Die vollständige Liste der Infrastrukturanbieter mit ihrem Hosting-Standort findet sich in Artikel 6.1 des DPA und im Trust Center.

Leexi und die DSGVO

Sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, schreibt Artikel 28 der DSGVO einen schriftlichen Vertrag vor und legt dessen Inhalt fest. Dieser Vertrag ist das DPA von Leexi: Es ist öffentlich, liegt seit dem 6. Juli 2026 in Version 2.0 vor und gilt ab dem Online-Abschluss, einschließlich des kostenlosen Tests.

Verantwortlichkeiten

Sie bleiben Verantwortlicher der Verarbeitung, Leexi ist Ihr Auftragsverarbeiter. Das DPA formuliert dies ausdrücklich.

DPA von Leexi, Artikel 4.2 „Als Auftragsverarbeiter von Daten verarbeitet Leexi personenbezogene Daten im Namen und nach den Weisungen des Verantwortlichen.“

Sie entscheiden über den Zweck der Aufzeichnung, die Aufbewahrungsdauer und die Personen, die Zugriff auf die Zusammenfassungen haben. Leexi führt diese Vorgaben aus.

Verarbeitete personenbezogene Daten

Der Umfang ist in Artikel 3 des DPA festgelegt.

DPA von Leexi, Artikel 3 „Leexi erhebt folgende personenbezogene Daten: Nachname, Vorname, E-Mail-Adresse, Telefonnummer, Funktion, Firmenname, Videokonferenz- oder VOIP-Gespräch (Audiosystem) einschließlich der zugehörigen Metadaten.“

Betroffene Personen sind laut demselben Artikel die Mitarbeitenden, Lieferanten und Kunden des Kunden. Die abgedeckten Vorgänge sind Erhebung, Übertragung, Aufbewahrung und Löschung.

Weisungen des Kunden

Die DSGVO verbietet dem Auftragsverarbeiter, außerhalb von Weisungen zu handeln: Er „verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen“ (Artikel 28 Absatz 3 Buchstabe a). Eine Verarbeitung Ihrer Besprechungen zu einem von Ihnen nicht festgelegten Zweck, etwa zum Trainieren eines Modells, wäre eine Verarbeitung ohne Weisung.

Rechte der betroffenen Personen

Das Recht auf Löschung (Artikel 17 DSGVO) wird gegenüber Ihnen als Verantwortlichem ausgeübt. Leexi unterstützt Sie bei der Beantwortung (Artikel 7 des DPA). Die Information der Teilnehmenden bleibt Ihre Pflicht: Der Leexi-Assistent ist in der Besprechung sichtbar und unterstützt Sie dabei.

Löschung der Daten

Eine Aufzeichnung oder Zusammenfassung kann aus der Bibliothek gelöscht werden. Bei Vertragsende wählen Sie zwischen der Rückgabe und der Löschung aller Daten (Artikel 11.2 des DPA). Leexi löscht anschließend nicht mehr benötigte Backups und unternimmt angemessene Anonymisierungsbemühungen.

Aufbewahrungsfristen

DPA von Leexi, Artikel 9.1 „Standardmäßig werden die Daten maximal 2 Jahre aufbewahrt. Der Kunde kann diese Frist auf Anfrage oder über die Einstellungen der Leexi-Plattform verkürzen.“

Zur Orientierung sieht die CNIL sechs Monate für die Aufzeichnungen von Gesprächen am Arbeitsplatz und ein Jahr für Analysedokumente vor. Die DSGVO verlangt eine auf das unbedingt erforderliche Maß begrenzte Dauer (Artikel 5 Absatz 1 Buchstabe e).

Das DPA auf Französisch herunterladen · Das DPA auf Englisch herunterladen

Die Einzelheiten zu jedem Artikel finden Sie auf der Seite DPA: Was das Gesetz verlangt und was Leexi bereitstellt. Die Regeln für die Aufzeichnung selbst – Information der Teilnehmenden, Rechtsgrundlage und Aufbewahrung – finden Sie auf der Seite eine berufliche Besprechung aufzeichnen.

Wie Leexi künstliche Intelligenz nutzt

Eine Besprechung durchläuft fünf Schritte. Für jeden Schritt wird der Anbieter im DPA mit seinem Hosting-Standort genannt.

1. Audioaufnahme. Der Assistent tritt der Besprechung bei und bleibt für die Teilnehmenden sichtbar – per Videokonferenz, Telefon oder vor Ort über die mobile App. Betroffene Daten: der Audiostream des Gesprächs und seine Metadaten (Artikel 3 des DPA).

2. Transkription. Das Audio wird von den im DPA genannten Speech-to-Text-Anbietern in Text umgewandelt: Gladia (Hosting in der EU), Eleven Labs (Hosting in Europa) und Microsoft Azure (Hosting in der EU). Zweck: das von Ihnen angeforderte Transkript zu erstellen.

3. KI-Modell. Das Sprachmodell wird von OpenAI bereitgestellt und über Azure France in einem geschlossenen Kreislauf ausgeführt: Die Verarbeitung bleibt in einem kontrollierten Umfang in Frankreich, ohne einer Nutzung durch Dritte ausgesetzt zu sein. Mistral ist im DPA ebenfalls für generative KI genannt (Hosting in der EU). Zweck: die Zusammenfassung und Kurzfassung zu erstellen und Fragen zu beantworten, die Sie Ask Leexi zu Ihren eigenen Besprechungen stellen. Keine dieser Operationen trainiert die Modelle.

4. Zusammenfassung und Analyse. Die Zusammenfassung erscheint in Ihrer Bibliothek: Entscheidungen, Aufgaben und Fristen. Sie entscheiden, ob sie an Ihr Team oder Ihr CRM weitergegeben wird.

5. Speicherung. Die Daten werden auf AWS in der Region Paris gespeichert, im Ruhezustand verschlüsselt und standardmäßig maximal zwei Jahre aufbewahrt. Diese Frist können Sie in den Einstellungen verkürzen.

Jeder Auftragsverarbeiter in dieser Kette ist an Verpflichtungen gebunden, die mindestens ebenso schützend sind wie jene des DPA (Artikel 6.3), entsprechend Artikel 28 Absatz 4 der DSGVO.

Werden die Daten unserer Kunden zum Trainieren von Modellen verwendet?

Nein. Die Verpflichtung ist in der Datenschutzrichtlinie im Abschnitt „Sicherheit und Training von KI-Modellen“ festgehalten:

Leexi, Datenschutzrichtlinie „Wir verwenden diese Daten nicht zum Trainieren oder Verbessern allgemeiner oder nicht personalisierter KI-/ML-Modelle. Jede angewandte KI-Verarbeitung ist strikt auf die von Ihnen angeforderten Funktionen beschränkt.“

Diese Regel gilt standardmäßig für alle Konten. Eine Bescheinigung über das Nicht-Training im von Ihrem Datenschutzbeauftragten erwarteten Format wird auf Anfrage an hello@leexi.ai übermittelt.

Der genaue Umfang der Verpflichtung, die Modelle, die Ihre Besprechungen verarbeiten, und die Anforderungen der DSGVO werden auf der Seite kein KI-Training mit Ihren Besprechungen erläutert.

Unsere Auftragsverarbeiter

Zehn Auftragsverarbeiter, in Artikel 6.1 des DPA mit ihrer Rolle und ihrem Hosting-Standort genannt. Aus dem DPA übernommen:

Liste aus DPA Version 2.0, überprüft im Trust Center am 16.09.2026.

Wenn Leexi einen Auftragsverarbeiter hinzufügt oder ersetzt, werden Sie informiert und haben fünfzehn Tage Zeit, begründet Widerspruch einzulegen (Artikel 6.2 des DPA).

Vollständige Liste der Auftragsverarbeiter

Wie Leexi Ihre Daten schützt

Die technischen und organisatorischen Maßnahmen sind in Artikel 5.3 des DPA festgelegt: Verschlüsselung, Zugriffskontrollen, regelmäßige Backups, Schulung der Mitarbeitenden und Überprüfung ihrer Hintergründe. Sie wurden mit der Zertifizierung ISO 27001:2022 vollständig umgesetzt.

Verschlüsselung

Ihre Daten werden bei der Übertragung und im Ruhezustand verschlüsselt.

Zugriffskontrolle

Zugriffskontrollen gehören zu den in Artikel 5.3 des DPA zugesagten Maßnahmen. Bei der Nutzung entscheiden Sie, welche Personen Ihrer Organisation Zugriff auf die Zusammenfassungen haben. Auf Seiten von Leexi werden die Mitarbeitenden geschult und ihre Hintergründe überprüft (Artikel 5.3).

Datentrennung

Ihre Besprechungen bleiben in Ihrem Konto. Ask Leexi liest Ihre Besprechungen, um Ihre Fragen zu beantworten, und bleibt dabei auf Ihr Konto beschränkt. Ein von einem Kunden durchgeführtes Audit gewährt keinen Zugriff auf die Daten anderer Kunden (Artikel 10.1 des DPA).

Backups

Regelmäßige Backups gehören zu den Maßnahmen nach Artikel 5.3. Bei Vertragsende werden nicht mehr benötigte Backups in einem Löschprozess entfernt, wobei angemessene Anonymisierungsbemühungen unternommen werden (Artikel 11.2).

Überwachung

Die Überwachung der Anwendungsleistung erfolgt durch New Relic mit Hosting in der EU (Artikel 6.1 des DPA).

Vorfallmanagement

DPA von Leexi, Artikel 5.4 „Leexi muss den Kunden innerhalb von höchstens vierundzwanzig (24) Stunden, nachdem es von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, per E-Mail benachrichtigen.“

Die Benachrichtigung beschreibt die Art des Verstoßes, die Kategorien und die ungefähre Anzahl der betroffenen Personen, eine Kontaktstelle, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. Damit verfügen Sie über die Informationen für Ihre eigene Meldung an die Aufsichtsbehörde innerhalb der von der DSGVO vorgeschriebenen 72 Stunden.

Sicherheitstests

Leexi wird regelmäßig auditiert, auch durch eigene Kunden. Das Auditrechte ist vertraglich geregelt: Sie können einmal innerhalb eines Zeitraums von zwölf Monaten einen unabhängigen Auditor beauftragen, mit einer Vorankündigung von mindestens 20 Tagen und einer Vertraulichkeitsvereinbarung (Artikel 10.1 des DPA).

Die Gesamtheit der Sicherheitskontrollen ist im Trust Center nach Bereichen dokumentiert.

Zertifizierungen und Audits

ISO 27001:2022. Vorhanden. Das DPA nimmt auf diese Zertifizierung Bezug (Artikel 5.3). Das Zertifikat wird auf Anfrage zusammen mit dem Zugang zum Trust Center übermittelt.

ISO 42001. In Vorbereitung. Die Norm strukturiert das Managementsystem für KI.

SOC 2 Type 2. In Vorbereitung (Trust Center, Stand 16.09.2026).

NIS2. Die Umsetzung wird abgeschlossen. NIS2 – und nicht ISO 27001 – begründet die gesetzliche Sicherheitsverpflichtung für „wesentliche“ und „wichtige“ Einrichtungen; ISO 27001 ist ein Mittel, diese zu erfüllen.

EU AI Act. Leexi richtet sich nach dem europäischen KI-Rechtsakt, insbesondere hinsichtlich der Transparenz: Der Assistent ist in der Besprechung sichtbar und die Teilnehmenden werden informiert. Die Verpflichtung ist in Anhang 1.1 der Allgemeinen Geschäftsbedingungen, Version 2.0, enthalten.

Kundenaudits. Das jährliche Auditrecht ist in Artikel 10.1 des DPA festgehalten.

Vor der Weitergabe der Unterlagen zu beachten: Leexi verfügt derzeit weder über die Qualifikation SecNumCloud noch über eine eigene HDS-Zertifizierung. Bei sensiblen Daten des öffentlichen Sektors oder Gesundheitsdaten muss dieser Punkt vor jedem Engagement im Einzelfall geklärt werden.

Compliance-Dokumente

• DPA, Version 2.0 vom 6. Juli 2026: französische Version, englische Version. Wird bei Abschluss akzeptiert, einschließlich des kostenlosen Tests.
• Datenschutzrichtlinie: leexi.ai/fr/politique-de-confidentialite. Enthält die Verpflichtung zum Nicht-Training.
• Allgemeine Geschäftsbedingungen, Version 2.0 vom 6. Juli 2026: terms_of_service_fr.pdf. Verpflichtung zur europäischen KI-Verordnung in Anhang 1.1.
• Liste der Auftragsverarbeiter: Artikel 6.1 des DPA und Trust Center, laufend aktualisiert.
• Zertifikat ISO 27001:2022: auf Anfrage an hello@leexi.ai zusammen mit dem Zugang zum Trust Center übermittelt.
• Bescheinigung über das Nicht-Training: auf Anfrage an hello@leexi.ai, im von Ihrem Datenschutzbeauftragten erwarteten Umfang (Transkripte, Protokolle, Embeddings).
• Verzeichnis der Verarbeitungstätigkeiten: die Verpflichtung aus Artikel 30 DSGVO, dessen Führung das DPA in Artikel 14.3 bestätigt. Auf Anfrage.

Häufige Fragen

Wo werden meine Besprechungen gespeichert?

In Frankreich. Ihre Aufzeichnungen, Transkripte und Zusammenfassungen werden in der Region Paris auf der AWS-Infrastruktur gehostet. Ab einem bestimmten Lizenzvolumen wird optional Hosting beim französischen Anbieter Scaleway angeboten.

Verwendet Leexi meine Daten zum Trainieren seiner Modelle?

Nein. Die Datenschutzrichtlinie schließt das Training und die Verbesserung allgemeiner oder nicht personalisierter Modelle aus und beschränkt jede KI-Verarbeitung auf die von Ihnen angeforderten Funktionen. Diese Regel gilt standardmäßig für alle Konten. Auf Anfrage erhalten Sie für Ihre Unterlagen eine entsprechende Bescheinigung.

Welche Auftragsverarbeiter haben Zugriff auf die Daten?

Die zehn in Artikel 6.1 des DPA genannten Auftragsverarbeiter, jeweils mit ihrer Rolle und ihrem Hosting-Standort, alle in der EU, in Europa oder im Vereinigten Königreich. Jede Ergänzung wird Ihnen mitgeteilt, und Sie haben fünfzehn Tage Zeit, Widerspruch einzulegen (Artikel 6.2).

Kann ich die Löschung meiner Daten verlangen?

Ja. Eine Aufzeichnung oder Zusammenfassung kann aus der Bibliothek gelöscht werden. Bei Vertragsende wählen Sie zwischen der Rückgabe und der Löschung aller Daten (Artikel 11.2 des DPA); nicht benötigte Backups werden gelöscht. Das Recht auf Löschung wird gegenüber Ihnen als Verantwortlichem ausgeübt, und Leexi unterstützt Sie bei der Beantwortung.

Ist Leexi DSGVO-konform?

Leexi erfüllt die Pflichten, die Artikel 28 der DSGVO einem Auftragsverarbeiter auferlegt, und jede einzelne lässt sich anhand von Nachweisen überprüfen: ein öffentliches DPA mit dokumentierten Weisungen, zehn namentlich genannte Auftragsverarbeiter mit Widerspruchsrecht, durch ISO 27001:2022 gestützte Sicherheitsmaßnahmen, die Meldung eines Verstoßes innerhalb von 24 Stunden, eine auf maximal zwei Jahre begrenzte Aufbewahrung, Rückgabe oder Löschung bei Vertragsende sowie ein jährliches Auditrechte.

Verlassen die Daten die Europäische Union?

Nein, nicht für Speicherung und Verarbeitung, die in Frankreich bleiben. Eine Übermittlung außerhalb der EU ist nur in ein von der Europäischen Kommission als angemessen anerkanntes Land oder auf Grundlage von Standardvertragsklauseln möglich (Artikel 6.4 des DPA). AWS bleibt ein Unternehmen US-amerikanischen Rechts und ist theoretisch dem Cloud Act ausgesetzt: Für besonders strenge Souveränitätsanforderungen erfüllt die Scaleway-Option den Bedarf; außerdem verpflichtet Artikel 15 des DPA Leexi, Sie über jede Anfrage einer Behörde eines Drittlandes zu informieren.

Wie lange werden Aufzeichnungen aufbewahrt?

Standardmäßig maximal zwei Jahre. Sie können diese Frist auf Anfrage oder in den Einstellungen der Plattform verkürzen (Artikel 9.1 des DPA). Zur Orientierung sieht die CNIL sechs Monate für Gesprächsaufzeichnungen am Arbeitsplatz vor.

Eine Frage zur Sicherheit oder Compliance?

Schreiben Sie an hello@leexi.ai. Über diesen Kanal erhalten Sie eine gegenzeichnete Kopie des DPA, die Bescheinigung über das Nicht-Training, das Zertifikat ISO 27001:2022 oder das Verzeichnis der Verarbeitungstätigkeiten.

Das DPA gilt bereits für den kostenlosen Test: Sie können Leexi mit einer echten Besprechung testen, während Ihr Datenschutzbeauftragter die Unterlagen prüft.

Quellen

Texte, die am 2. und 16. September 2026 anhand von Primärquellen überprüft wurden.

• Leexi, Datenverarbeitungsvereinbarung, Version 2.0, gültig ab dem 6. Juli 2026, dpa_fr.pdf
• Leexi, Datenschutzrichtlinie, Abschnitt „Sicherheit und Training von KI-Modellen“, leexi.ai/fr/politique-de-confidentialite
• Leexi, Allgemeine Verkaufs- und Nutzungsbedingungen, Version 2.0, gültig ab dem 6. Juli 2026
• Leexi, Trust Center, trust.leexi.ai, abgerufen am 16. September 2026
• DSGVO, Artikel 5, 17, 28, 30 und 32, von der CNIL veröffentlichter Text
• Europäische Verordnung über künstliche Intelligenz, Artikel 50

Diese Seite beschreibt den geltenden Rahmen. Sie stellt keine Rechtsberatung dar.

Leexi kostenlos testen