EXZA REMOTE
EXZA REMOTE / RECHTLICHES / LEGAL

Datenschutzerklärung

So verarbeitet EXZA Remote Konto-, Geräte-, Zahlungs- und gegebenenfalls KI-Werkzeugdaten.

Privacy Policy

How EXZA Remote handles account, device, billing and AI-tool data.

Wichtig: Originaldateien bleiben auf deinem Computer. Für freigegebene Werkzeugaufrufe können ihre angeforderten Inhalte und Ausgaben aber über Cloudflare an ChatGPT oder einen anderen autorisierten KI-Dienst übertragen werden.
Important: original files remain on your computer, but their requested contents and outputs may pass through Cloudflare to ChatGPT or another authorized AI service.

Verantwortlicher und Kontakt

Verantwortlich für die EXZA-Webplattform ist EXZA, Inhaber Ismail Sahin, Strohstr. 23a, 72622 Nürtingen, Deutschland. Kontakt für Datenschutzanfragen: info@exza.de; Telefon: +49 (0) 7022 9947238. Für Daten, die ein Nutzer eigenverantwortlich über einen KI-Assistenten auf seinem eigenen oder einem fremden Computer verarbeitet, können je nach Sachverhalt weitere datenschutzrechtliche Verantwortlichkeiten bestehen.

Konto und Anmeldung

Wir verarbeiten bei Registrierung und Anmeldung insbesondere E-Mail-Adresse, interne Konto-ID, gesicherten Passwortprüfwert, E-Mail-Bestätigungsstatus, bevorzugte Sprache sowie für die Authentifizierung erforderliche Sitzungs- und Sicherheitsmerkmale. Passwörter sollen nicht im Klartext in der Kontodatenbank gespeichert werden. Technische Anfragen können IP-Adresse, Zeitpunkt und weitere zur Missbrauchsabwehr erforderliche Verbindungsinformationen betreffen.

Geräte und Kopplung

Bei der Kopplung werden insbesondere Gerätekennung, Gerätename, Betriebssystemangaben, öffentlicher kryptografischer Geräteschlüssel, kurzlebige PIN-Prüfwerte, Zuordnung zum Benutzerkonto, Verbindungsstatus und technische Freigabeereignisse verarbeitet. Private Geräteschlüssel entstehen lokal auf dem Computer und werden nicht absichtlich in der öffentlichen Installations-ZIP ausgeliefert. Kopplung, Beenden der Verbindung, manueller Neustart und dauerhafter Widerruf werden getrennt behandelt.

ChatGPT, MCP und übertragene Inhalte

Der Nutzer kann ChatGPT und gegebenenfalls weitere kompatible KI-Dienste über OAuth autorisieren. Bei einem MCP-Werkzeugaufruf erhält die EXZA-Infrastruktur Werkzeugnamen, Parameter und gegebenenfalls Dateipfade, Terminalbefehle oder Nachrichten. Diese Daten werden über Cloudflare an den autorisierten lokalen Agenten weitergeleitet. Angeforderte Datei-Inhalte, Dateilisten, Terminalausgaben und andere Ergebnisse können auf demselben Weg an ChatGPT oder den gewählten KI-Dienst zurückfließen. EXZA speichert vollständige Dateiinhalte nicht standardmäßig als zentrale Dateiablage in der D1-Kontodatenbank. Eine vorübergehende serverseitige Verarbeitung und technische Protokollierung ist trotzdem möglich; es besteht keine Zusage, dass diese Übermittlung gegenüber EXZA vollständig Ende-zu-Ende-verschlüsselt ist.

Verarbeitung durch KI-Anbieter

Sobald eine Werkzeugantwort an ChatGPT oder einen anderen KI-Dienst gelangt, kann sie Bestandteil der jeweiligen KI-Unterhaltung und der dortigen Datenverarbeitung werden. Umfang, Dauer, mögliche Verwendung für Modellverbesserung und Auswahlmöglichkeiten richten sich nach den Einstellungen und Datenschutzinformationen dieses eigenständigen Anbieters. EXZA erhält nicht automatisch die vollständige ChatGPT-Konversation, sieht jedoch die an seinen MCP-Endpunkt gesendeten Werkzeugaufrufe und die vermittelten Ergebnisse. Übermittle keine fremden oder besonders schutzbedürftigen Daten ohne entsprechende Rechtsgrundlage.

Zahlungen, Rechnungen und E-Mails

Bei Premium werden erforderliche Abrechnungsdaten wie Kunden- und Zahlungsdienstleisterkennungen, gewählter Tarif, Abostatus, Laufzeit, Rechnungsname, Rechnungsanschrift, steuerliche Standortangaben und Rechnungsbezüge verarbeitet. Die Zahlung läuft über Stripe; vollständige Kartendaten sollen über die gehostete Stripe-Zahlungsoberfläche verarbeitet werden, nicht über das EXZA-Kundenportal. Für Konto-, Sicherheits-, Abonnement- und Kontingentnachrichten nutzen wir den E-Mail-Dienst Resend. Marketing-E-Mails werden nicht mit technischen Pflichtmitteilungen gleichgesetzt und setzen eine passende gesetzliche Grundlage voraus.

Nutzungs- und Sicherheitsprotokolle

Die Plattform verarbeitet unter anderem monatliche Werkzeugaufrufzähler, berechtigungsrelevante OAuth-Metadaten, gekürzte oder geprüfte Tokenkennungen, technische Fehler- und Missbrauchssignale sowie Zeitpunkte von Verbindungs- und Geräteereignissen. Der lokale Agent kann Auftragsverlauf, Bestätigungen und Fehler auf dem Computer darstellen oder lokal protokollieren. Diese Angaben dienen insbesondere Betrugsprävention, Zugriffskontrolle, Kontingentverwaltung und Fehlerbehebung.

Zwecke und Rechtsgrundlagen

Für Konto, Geräteauthentifizierung, vereinbarte Werkzeugvermittlung, Kundenservice und Abonnementverwaltung erfolgt die Verarbeitung, soweit erforderlich, auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. IT-Sicherheit, Missbrauchsabwehr und Fehlerdiagnose können auf Art. 6 Abs. 1 lit. f DSGVO nach Interessenabwägung beruhen. Rechnungs- und handelsrechtliche Aufbewahrung erfolgt nach Art. 6 Abs. 1 lit. c DSGVO. Für freiwillige Nachrichten oder optionale Verarbeitungen gelten gegebenenfalls gesonderte Einwilligungen oder andere passende Rechtsgrundlagen. Daten Dritter dürfen durch Nutzer nur mit einer eigenen tragfähigen Rechtsgrundlage übermittelt werden.

Dienstleister und Datenempfänger

Cloudflare stellt Webhosting, serverseitige Funktionen, D1-Kontodatenbank und Durable-Object-/WebSocket-Vermittlung bereit. Stripe verarbeitet Zahlungen, Abonnements und Rechnungsdaten, Resend versendet technische Transaktions-E-Mails. Von Nutzern ausdrücklich autorisierte KI-Anbieter wie OpenAI/ChatGPT sind Empfänger der über MCP zurückgelieferten Inhalte und unterliegen gegebenenfalls eigenen Datenschutzbedingungen. Im Einzelfall können auch rechtlich verpflichtete Empfänger oder Beratungsdienstleister betroffen sein. Rollen und Auftragsverarbeitungsverträge sind entsprechend der tatsächlichen Anbieterbeziehungen zu beurteilen.

Internationale Datenübermittlungen

Je nach Sitz, Konfiguration und Infrastruktur der eingesetzten Dienstleister können Verarbeitungen auch außerhalb der EU/des EWR erfolgen. Soweit hierfür eine geeignete Rechtsgrundlage erforderlich ist, müssen die gesetzlichen Übermittlungsmechanismen, etwa ein gültiger Angemessenheitsbeschluss oder geeignete Garantien nach Kapitel V DSGVO, vorhanden sein. Informationen zu den jeweils aktuellen Dienstleisterkonfigurationen und Vertragsgrundlagen können unter info@exza.de angefordert werden. Wir versprechen keine ausschließlich deutsche oder europäische Datenverarbeitung.

Speicherdauer und Löschung

PINs für die Gerätekopplung sind grundsätzlich etwa fünf Minuten gültig, E-Mail-Bestätigungscodes etwa zehn Minuten; ein Codeablauf ist nicht automatisch mit sofortiger Löschung jedes technischen Datensatzes gleichzusetzen. OAuth-Zugriffstokens haben derzeit kurze Laufzeiten (regelmäßig eine Stunde), Refresh-Tokens grundsätzlich bis etwa 30 Tage oder bis zum Widerruf. Konten, Gerätezuordnungen, Nutzungszähler und Sicherheitsdaten werden nach Zweckerforderlichkeit, zulässiger Rechtsgrundlage und erforderlichen Betriebsfristen gehalten; die jeweiligen Lösch- und Bereinigungsabläufe können sich unterscheiden. Gesetzliche Rechnungs- und Nachweispflichten können längere Aufbewahrung verlangen. Eine durch den Nutzer bestätigte Kontolöschung widerruft laufende Zugänge und löscht die dafür vorgesehenen Kontodaten, soweit keine gesetzlichen oder technischen Ausnahmen bestehen; geteilte Stripe-Kundendatensätze können eine manuelle Klärung notwendig machen.

Cookies und Browserdaten

Für die Anmeldung und Sicherheitsprüfung wird ein technisch notwendiges Sitzungs-Cookie verwendet. Die Spracheinstellung kann lokal im Browser gespeichert sein. Die derzeitige öffentliche EXZA-Website betreibt nach dem aktuellen Implementierungsstand keine eigene Werbeprofilbildung. Aufgerufene externe Dienste können nach ihren eigenen Bedingungen notwendige technische Daten verarbeiten.

Technische und organisatorische Sicherheit

EXZA setzt unter anderem verschlüsselte Übertragungswege (HTTPS/WebSocket über TLS), Geräte- und OAuth-Berechtigungen, befristete Tokens und zusätzliche Freigaben am Nutzercomputer ein. Die Ausführung von Dateien und Befehlen findet auf dem dafür autorisierten Computer statt. Diese Maßnahmen garantieren keine absolute Sicherheit. Der Nutzer sollte sensible Daten minimieren, seine Zugangsdaten schützen und lokale Freigaben kontrollieren.

Betroffenenrechte und Beschwerde

Soweit die gesetzlichen Voraussetzungen erfüllt sind, bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie gegebenenfalls Widerruf einer Einwilligung mit Wirkung für die Zukunft. Anfragen können an info@exza.de gerichtet werden. Es besteht das Recht zur Beschwerde bei einer zuständigen Datenschutzaufsichtsbehörde. Daten, die bereits an einen eigenständigen KI-Anbieter übertragen wurden, sind gegebenenfalls direkt gegenüber diesem Anbieter geltend zu machen.

Änderungen und Stand

Diese Datenschutzerklärung beschreibt die gegenwärtigen Hauptfunktionen und ist bei technischen oder rechtlichen Änderungen anzupassen. Stand: 30. Oktober 2026. Die Verarbeitung richtet sich stets nach dem tatsächlich betriebenen Dienst und geltendem Recht; die bloße Veröffentlichung dieses Textes ersetzt nicht die Prüfung der erforderlichen Vertrags- und Datenschutzmaßnahmen.

Controller and contact

EXZA Remote is operated by EXZA, owner Ismail Sahin, Strohstr. 23a, 72622 Nürtingen, Germany. Privacy contact: info@exza.de; phone +49 (0) 7022 9947238. Depending on the specific activity, a user processing data through an AI assistant on a computer may have separate responsibilities, especially for third-party personal information.

Accounts and authentication

Registration and login involve an email address, internal account ID, secured password verification value, email verification status, preferred language, and the session and security data needed for authentication. Passwords should not be stored as plaintext in the account database. Technical connections may involve IP addresses, timestamps and other information needed to prevent misuse.

Computers and device pairing

Pairing processes device identifiers, device names, operating-system details, public cryptographic device keys, short-lived PIN verifiers, account associations, connection states and security decisions. Private device keys originate locally on the owner's computer and are not deliberately included in the public installation package. Pairing, disconnecting, restarting manually and permanent revocation are separate operations.

ChatGPT, MCP and exchanged content

Users can authorize ChatGPT and potentially other compatible AI services via OAuth. An MCP tool call delivers the tool name, parameters and sometimes file paths, terminal commands or messages to EXZA's infrastructure. EXZA forwards that information through Cloudflare to the authorized local agent. Requested file contents, directory listings, terminal output and other results may travel back through the same relay to ChatGPT or the chosen AI service. Complete file contents are not routinely archived as a centralized file repository in the EXZA D1 account database. Temporary server-side processing and technical logging may nevertheless occur. EXZA does not promise end-to-end encryption that prevents the relay operator from accessing tool content.

Processing by AI providers

Once a tool result reaches ChatGPT or another AI service, it may become part of the conversation and be processed under that provider's own policies and user settings, including retention and potentially model improvement where applicable. EXZA does not automatically receive the entire ChatGPT conversation, but does process the tool calls sent to its MCP endpoint and relayed results. Do not share other people's personal data or especially sensitive information without an appropriate legal basis.

Billing, invoices and emails

Premium involves billing identifiers, chosen plan, subscription status, term, invoice names, billing addresses, tax location information and invoice references as needed. Stripe operates the payment service; full card credentials should be processed by its hosted checkout rather than EXZA's customer portal. Resend handles transactional emails about accounts, security, subscriptions and quota notifications. Optional marketing communications are subject to a separate valid legal basis and are not treated as necessary account notices.

Usage records and security events

EXZA processes monthly tool-call counts, OAuth permission and client metadata, checked or hashed token identifiers, technical errors and abuse signals, and device connection events as required. The local agent can display or store job histories, approval decisions and errors on the device. These data categories support fraud prevention, access control, quotas and troubleshooting.

Purposes and lawful bases

Account provision, device authorization, tool relay, customer support and subscriptions generally rely on GDPR Article 6(1)(b) where necessary to perform the agreed service. IT security, misuse prevention and debugging may rely on Article 6(1)(f) subject to balancing of interests. Statutory invoicing and records may be processed under Article 6(1)(c). Voluntary messages and other optional functions require a suitable legal basis, potentially consent. Users must have their own lawful basis before transmitting third-party personal data.

Providers and recipients

Cloudflare hosts the website, server-side functions, D1 account database and Durable Object/WebSocket relay. Stripe handles payments, recurring subscriptions and invoices; Resend delivers transactional emails. Expressly authorized AI providers including OpenAI/ChatGPT receive the content returned through MCP and may have independent controller responsibilities. Other legally required recipients or professional advisers may be involved where applicable. The legal roles and processor contracts must reflect actual supplier relationships.

International transfers

Depending on provider locations, configurations and infrastructure, processing may occur outside the EU/EEA. Where required by law, appropriate transfer mechanisms must be in place, such as an applicable adequacy decision or safeguards under GDPR Chapter V. Current provider arrangements and underlying safeguards may be requested via info@exza.de. EXZA does not claim all processing is exclusively in Germany or Europe.

Retention and erasure

Device PINs generally expire after around five minutes, email verification codes after around ten minutes, OAuth access tokens after approximately one hour and refresh tokens typically after about 30 days or earlier revocation. Expiration does not necessarily erase all technical records immediately. Accounts, device references, usage counters and security data are kept according to their purpose, lawful basis and necessary operational retention; cleanup schedules may differ. Statutory invoice and record-keeping duties may require longer retention. Confirmed account erasure revokes access and removes applicable account records subject to legal and technical exceptions; shared Stripe customer records may require support review.

Cookies and browser storage

A technically necessary session cookie supports authentication and security. Language selection may be stored locally in the browser. As currently implemented, the public EXZA website does not carry its own advertising-profiling functionality. External services may process necessary connection data under their own policies.

Technical and organizational safeguards

EXZA employs encrypted transport (HTTPS/TLS and WebSocket), device-specific permissions, OAuth access controls, time-limited credentials and additional approvals on the user's computer. The computer executes authorized files and commands locally. No system can guarantee absolute security. Users should minimize sensitive content, protect credentials and review local approvals.

Your rights and complaints

Subject to applicable law, individuals may request access, rectification, erasure, restriction, portability or object to certain processing, and withdraw consent for the future where relevant. Contact info@exza.de. You may complain to a competent data protection supervisory authority. For information already transferred to an independent AI provider, it may be necessary to exercise rights directly with that provider.

Changes and revision date

This notice covers the main current service activities and must be revised when relevant features or legal duties change. Last revised: 30 October 2026. Actual processing and legal requirements control; publishing this notice does not replace the necessary contractual and data-protection compliance review.