Stand: September 2026
Salma Gonder
Sperlstraße 25
81476 München
E-Mail: info@nextrealities.com
Next Realities ist eine EU-first Plattform für Interview-Research. Personenbezogene Daten verarbeiten wir, damit Sie Transkripte speichern, analysieren und im Team auswerten können, mit Schutzmaßnahmen, die standardmäßig aktiv sind:
Bei der Registrierung erheben wir Ihre E-Mail-Adresse und ein Passwort (als Einweg-Hash über Supabase Auth gespeichert, z. B. bcrypt, nicht als entschlüsselbare Verschlüsselung) sowie optional Ihren Anzeigenamen. Diese Daten dienen der Authentifizierung und Bereitstellung Ihres Kontos. Für diese Kontodaten ist Next Realities Verantwortlicher. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Im Rahmen der Nutzung speichern wir die von Ihnen bzw. Ihrem Workspace eingegebenen Inhalte, insbesondere Projekte, Interviews, Transkripte, Insights, Reports, Kontakte, Tags, Chat-/Ask-Verläufe und zugehörige Metadaten. Der Zugriff ist auf Mitglieder des jeweiligen Workspaces (entsprechend ihrer Rolle) beschränkt und technisch über RLS abgesichert.
Für Interviewaufnahmen, Transkripte und verwandte Research-Inhalte, die Sie hochladen oder erstellen, bestimmen typischerweise Sie bzw. Ihr Unternehmen die Zwecke und Mittel der Verarbeitung und sind Verantwortliche. Next Realities verarbeitet diese Inhalte in Ihrem Auftrag als Auftragsverarbeiter zur Bereitstellung der Plattform. Soweit Sie personenbezogene Workspace-Inhalte über die Plattform verarbeiten, erfolgt diese Auftragsverarbeitung auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO (abrufbar unter /dpa, Bestandteil unserer Nutzungsbedingungen / der Registrierung). Für Plattform-Konto-, abrechnungsnahe und Sicherheits-/Betriebsdaten bleibt Next Realities Verantwortlicher.
Als Auftragsverarbeiter verarbeiten wir Workspace-Inhalte gemäß Ihren dokumentierten Weisungen und Art. 28 DSGVO; Sie als Verantwortliche stellen sicher, dass eine geeignete Rechtsgrundlage nach Art. 6 (und ggf. Art. 9) DSGVO vorliegt. Für unsere eigene verantwortliche Verarbeitung (Konto/Betrieb): Art. 6 Abs. 1 lit. b und ggf. lit. f DSGVO.
Audio-/Videodateien und Transkripte speichern wir in unserem Dateispeicher (Supabase, Frankfurt, EU). Hochgeladene Audio- und Videodateien werden wie bereitgestellt gespeichert und unterliegen nicht der unten beschriebenen PII-Redaktion für Transkripte. Zur automatischen Sprachtranskription übermitteln wir Audio/Video an AssemblyAI; die Verarbeitung erfolgt über den EU-Endpunkt.
Nach erfolgreicher Übernahme des Transkripttexts (sowie bei Fehler oder Timeout des Jobs) fordern wir die Löschung des zugehörigen Transkripts und der zugehörigen Audio-Daten bei AssemblyAI über deren API an. AssemblyAI dient damit der Transkription, nicht als langfristiger Speicher Ihrer Aufnahmen. Zusätzlich ist für unser AssemblyAI-Konto eine Time-to-Live (TTL) von 1 Tag konfiguriert. Spätestens nach Ablauf dieser TTL wird die automatische Löschung verbleibender Artefakte eingeleitet; die tatsächliche technische Entfernung kann aufgrund der von AssemblyAI eingesetzten Infrastruktur zeitlich verzögert erfolgen. Wir haben uns vom Model-Improvement-Programm von AssemblyAI abgemeldet; Audio wird von AssemblyAI nicht zum Training seiner Modelle verwendet. Mit AssemblyAI besteht ein AVV gemäß Art. 28 DSGVO.
Bevor Interviewtranskripte gespeichert oder an nachgelagerte KI-Dienste übermittelt werden, senden wir sie an Azure AI Language (Microsoft), um ausgewählte personenbezogene Daten automatisch zu erkennen und zu maskieren. Workspace-Owner und Admins legen in den Privacy-Einstellungen fest, welche Kategorien redigiert werden (Namen, Telefonnummern, E-Mail-Adressen, Postadressen, Alter, Geburtsdatum). Standardmäßig sind alle genannten Kategorien aktiv. Erkannte Entitäten werden durch Platzhalter ersetzt (z. B. [PERSON], [EMAIL]). Ist eine Kategorie deaktiviert, können entsprechende Daten im Transkript verbleiben und an nachgelagerte Prozessoren (z. B. Azure OpenAI) übermittelt werden.
PII-Redaktion reduziert Risiken; sie ist keine Garantie für Anonymität. Personen können über Kontext (Arbeitgeber, Rolle, Orte, Ereignisse oder Kombinationen von Aussagen) weiterhin identifizierbar sein. Interviews können zudem besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO enthalten (z. B. Gesundheit, politische Meinungen, Religion). Für solche Inhalte sind Sie verantwortlich, vor dem Upload eine geeignete Rechtsgrundlage sicherzustellen.
Ist die Redaktion technisch nicht verfügbar, speichern wir den Text nicht stillschweigend unredigiert. Das Speichern wird blockiert, bis die Redaktion wieder funktioniert, oder Sie ausdrücklich bestätigen, ohne Redaktion fortzufahren. Nur nach dieser Bestätigung kann unredigierter Text gespeichert und weiterverarbeitet werden.
Azure-Region: Germany West Central (Frankfurt am Main). AVV mit Microsoft gemäß Art. 28 DSGVO. Microsoft verwendet die Daten nicht zum Training seiner Foundation-KI-Modelle.
Nach der (ggf. konfigurierten bzw. von Ihnen freigegebenen) PII-Redaktion übermitteln wir relevante Inhalte an Azure OpenAI (Microsoft) zur Erbringung von Funktionen wie Insight-Analyse, semantische Suche (Embeddings), Ask/Chat, Report-Generierung und Textüberarbeitung.
Unsere Azure-OpenAI-Resource liegt in Germany West Central (Frankfurt am Main). Die Modelldeployments nutzen den Deployment-Typ Data Zone Standard: Die Inference wird innerhalb von Microsofts EUR Data Zone verarbeitet (die Germany West Central und andere von Microsoft definierte europäische Standorte umfassen kann), nicht über Global-Standard-Deployments mit möglicher weltweiter Verarbeitung. AVV mit Microsoft gemäß Art. 28 DSGVO. Microsoft verwendet Ihre Daten nicht zum Training seiner Foundation-KI-Modelle.
Öffentliche Links zu Interviews, Projekten oder Reports entstehen nur, wenn Sie sie aktiv erstellen. Sie können eine Anzeige-Anonymisierung wählen (z. B. Maskierung von Teilnehmerbezeichnungen) und Links jederzeit deaktivieren. Über einen aktiven Link sind die freigegebenen Inhalte ohne Login abrufbar. Anzeige-Anonymisierung ist nicht gleichbedeutend mit irreversibler Anonymisierung im Sinne der DSGVO.
In geteilten Workspaces können eingeladene Mitglieder Inhalte entsprechend ihrer Rolle einsehen und bearbeiten. Einladungen versenden wir per E-Mail (Resend).
Sie können KI-Ergebnisse bewerten (z. B. Daumen hoch/runter, optionaler Kommentar). Wir speichern diese Rückmeldungen ggf. mit einem Inhaltsschnappschuss, um die Produktqualität zu verbessern. Plattform-Admins können Feedback einsehen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; soweit erforderlich Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Qualitätsverbesserung).
Zur Bereitstellung und Absicherung des Dienstes verarbeiten wir u. a. Credit-/Nutzungsprotokolle zu KI-Aktionen sowie Audit-Logs zu sicherheitsrelevanten Ereignissen (z. B. Export, Kontolöschung). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
Mit Ihrer Einwilligung setzen wir Vercel Analytics und Vercel Speed Insights ein (Seitenaufrufe, Ladezeiten; anonymisiert). Widerruf jederzeit über den Cookie-Banner. Eine Übermittlung in die USA kann stattfinden; wir stützen uns dabei auf geeignete Garantien (z. B. Standardvertragsklauseln) bzw. die Einwilligung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.
Wir setzen folgende Auftragsverarbeiter ein, mit denen jeweils ein AVV gemäß Art. 28 DSGVO abgeschlossen wurde:
| Anbieter | Zweck | Serverstandort |
|---|---|---|
| Vercel Inc. | Hosting / Serverless Functions (auf fra1 konfiguriert) | Frankfurt am Main (EU) |
| Supabase Inc. | Datenbank, Authentifizierung, Dateispeicher | Frankfurt am Main (EU) |
| Microsoft Azure | PII-Redaktion (Azure AI Language) | Germany West Central (Frankfurt) |
| Microsoft Azure | KI-Analyse, Embeddings, Ask/Chat, Reports (Azure OpenAI, Data Zone Standard) | Resource: Germany West Central; Inference: Microsoft EUR Data Zone |
| AssemblyAI Inc. | Audio-/Videotranskription (EU-Endpunkt; API-Löschung nach Verarbeitung; TTL 1 Tag als Rückfallebene; Opt-out Model Improvement) | EU |
| Vercel Inc. | Nutzungsanalyse (nur mit Einwilligung) | USA (Daten anonymisiert; ggf. SCCs) |
| Resend Inc. | System-E-Mails (Einladungen, Inaktivitäts-Erinnerung) | Versand ggf. aus Irland; Kontodaten, Metadaten und Logs in den USA (SCCs / EU-US Data Privacy Framework soweit anwendbar) |
Resend kann E-Mails aus einer EU-Versandregion (z. B. Irland) zustellen. Laut Dokumentation von Resend werden Kontodaten einschließlich E-Mail-Metadaten, Logs und API-Datensätzen unabhängig von der Versandregion in den USA gespeichert. Übermittlungen stützen wir auf geeignete Garantien (z. B. Standardvertragsklauseln und/oder das EU-US Data Privacy Framework) im Rahmen des AVV mit Resend.
Wir verwenden folgende Arten von Cookies und lokalem Speicher:
Sie haben gemäß DSGVO folgende Rechte:
Zur Ausübung Ihrer Rechte wenden Sie sich an: info@nextrealities.com
Sie haben auch das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren. Für Bayern ist dies das Bayerische Landesamt für Datenschutzaufsicht (BayLDA).
Wir setzen dem Risiko angemessene technische und organisatorische Maßnahmen ein, insbesondere:
RLS verringert das Risiko von Cross-Tenant-Zugriffen; die Wirksamkeit hängt von korrekter Policy-Gestaltung und laufender Pflege ab. Weitere operative Details (einschließlich TOMs und Meldepflichten bei Datenschutzverletzungen) stehen im Auftragsverarbeitungsvertrag.
Ihre Daten werden gespeichert, solange Ihr Konto aktiv ist.
Soft-gelöschte Einträge („Zuletzt gelöscht“) werden 30 Tage aufbewahrt und danach endgültig entfernt (oder früher, wenn Sie sie manuell endgültig löschen).
Bei Löschung Ihres Kontos werden persönliche Kontodaten und Workspaces, in denen Sie alleiniges Mitglied sind, aus unseren Primärsystemen (Datenbank und Objektspeicher) gelöscht. Inhalte in geteilten Workspaces bleiben für die übrigen Mitglieder erhalten.
Residuale Kopien von Datenbankinhalten können bis zu 7 Tage in verschlüsselten täglichen Backups unseres Primärdatenbank-Anbieters (Supabase Pro) verbleiben. Diese Datenbank-Backups enthalten keine Storage-Objekte (z. B. Audio-/Videodateien); die Datenbank speichert dazu nur Metadaten. Ist ein Storage-Objekt aus dem Primärspeicher gelöscht, stellt das Wiederherstellen eines Datenbank-Backups dieses Objekt nicht wieder her. Die Löschung von Primärinhalten entfernt nicht rückwirkend flüchtige Verarbeitungskopien bei Transkriptions- oder KI-Subprozessoren, die bereits nach deren eigener Retention behandelt wurden oder die wir nach der Verarbeitung bereits zur Löschung angefordert haben. Weitere operative Details zur Löschpropagation stehen im AVV bzw. in den technischen und organisatorischen Maßnahmen (TOMs).
Inaktive Konten: Konten, bei denen sich der Nutzer länger als 11 Monate nicht angemeldet hat, erhalten eine Erinnerungs-E-Mail mit dem Hinweis, dass das Konto in 30 Tagen gelöscht wird. Meldet sich der Nutzer in diesem Zeitraum nicht an, werden das Konto und die zugehörigen Daten aus den Primärsystemen gelöscht. Residuale Datenbank-Backup-Kopien werden innerhalb des oben beschriebenen Backup-Fensters entfernt (höchstens 7 Tage). Die Gesamtfrist beträgt somit 12 Monate ab der letzten Anmeldung.
Wenn Sie Interviews und Kontaktdaten anderer Personen hochladen, stellen Sie sicher, dass Sie dazu berechtigt sind (Rechtsgrundlage, Information der Betroffenen und ggf. Einwilligung zur Aufnahme nach geltendem Straf- und Zivilrecht, in Deutschland z. B. § 201 StGB). Für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), die in Interviews vorkommen können, sind Sie ebenfalls verantwortlich.
Next Realities verarbeitet solche Inhalte zur Bereitstellung der von Ihnen genutzten Funktionen, typischerweise als Ihr Auftragsverarbeiter auf Grundlage des Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO.
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslage oder Änderungen des Dienstes anzupassen. Die aktuelle Version ist stets auf dieser Seite abrufbar.