Informationen nach dem EU Data Act

Diese Seite enthält die Informationen, die die nara GmbH als Anbieter von Datenverarbeitungsdiensten nach der Verordnung (EU) 2023/2854 (Data Act) online bereitstellt. Sie ergänzt unsere Allgemeinen Geschäftsbedingungen, insbesondere § 9 (Anbieterwechsel, Datenportabilität) samt Anlage 1, sowie den jeweils geschlossenen Vertrag.

nara GmbH Leightonstraße 3 97074 Würzburg Handelsregister: Amtsgericht Würzburg, HRB 17918

Vertragspartner für sämtliche Datenverarbeitungsdienste ist ausschließlich die nara GmbH mit Sitz in Deutschland. Auf die Verträge findet deutsches Recht Anwendung, Gerichtsstand ist der Sitz der nara GmbH.

Die für den Betrieb der Kernplattform eingesetzte IKT-Infrastruktur befindet sich in einem Rechenzentrum in Deutschland und unterliegt deutschem und europäischem Recht. Soweit für einzelne Teilleistungen Unterauftragnehmer eingesetzt werden, weisen wir diese und ihre Verarbeitungsorte im Unterauftragnehmerverzeichnis zur Auftragsverarbeitung aus.

Die nara GmbH hat technische, organisatorische und vertragliche Maßnahmen getroffen, um einen widerrechtlichen internationalen staatlichen Zugriff auf die in der Union gehaltenen Daten und eine widerrechtliche Übermittlung solcher Daten zu verhindern, soweit dies im Widerspruch zum Unionsrecht oder zum Recht eines Mitgliedstaats stünde (Art. 28 Data Act).

Technische Maßnahmen:

• Betrieb der Kernplattform auf dedizierter, von nara kontrollierter Infrastruktur in einem Rechenzentrum in Deutschland.
• Verschlüsselung der Daten bei der Übertragung (TLS 1.2 und TLS 1.3) und bei der Speicherung.
• Mandantengetrennte Datenhaltung: Die Daten jeder Kundenorganisation werden logisch getrennt gespeichert.
• Rollen- und ressourcenbasierte Zugriffskontrolle bis auf die Ebene einzelner Ressourcen, Anmeldung über Enterprise SSO (SAML und OIDC).
• Verschlüsselte Ablage von Integrationszugangsdaten (AES-256-GCM), Speicherung von API-Zugangstoken ausschließlich als kryptographische Hashes.
• Protokollierung administrativer Zugriffe und aller Agentenaktionen. Support-Zugriffe durch nara sind einzeln freizugeben, zeitlich begrenzt und werden lückenlos protokolliert.

Organisatorische Maßnahmen:

• Informationssicherheitsmanagement nach ISO 27001.
• Zugriff auf Kundendaten nur durch autorisierte, zur Vertraulichkeit verpflichtete Mitarbeitende nach dem Need-to-know-Prinzip.
• Festgelegtes Verfahren für behördliche Auskunfts- oder Herausgabeverlangen: Jede Anfrage wird rechtlich geprüft. Daten werden nur herausgegeben, wenn hierzu eine Verpflichtung nach dem Recht der Europäischen Union oder eines Mitgliedstaats besteht. Entscheidungen von Gerichten oder Behörden aus Drittstaaten setzen wir nur um, wenn sie auf einer internationalen Übereinkunft, etwa einem Rechtshilfeabkommen, beruhen oder die Voraussetzungen des Art. 28 Abs. 2 und 3 Data Act erfüllt sind.
• Wir prüfen bei jedem Verlangen Begründung, Bestimmtheit und Verhältnismäßigkeit, legen gegen unverhältnismäßige oder rechtswidrige Verlangen die zulässigen Rechtsmittel ein und geben höchstens die im Einzelfall zwingend geschuldete Mindestmenge an Daten heraus.
• Wir informieren den betroffenen Kunden über ein solches Verlangen, bevor wir ihm nachkommen, soweit uns dies rechtlich gestattet ist.

Vertragliche Maßnahmen:

• Sämtliche Kundenverträge unterliegen deutschem Recht, ausschließlicher Vertragspartner ist die nara GmbH.
• Unterauftragnehmer werden sorgfältig ausgewählt und vertraglich gebunden, insbesondere durch Auftragsverarbeitungsverträge nach Art. 28 DSGVO, Vertraulichkeitspflichten und Weisungsbindung.
• Soweit bei Unterauftragnehmern ein Drittlandbezug besteht, werden zusätzliche Garantien vereinbart, insbesondere EU-Standardvertragsklauseln und ergänzende technische Schutzmaßnahmen.

Kunden können jederzeit zu einem anderen Anbieter derselben Dienstart wechseln oder die Übertragung ihrer exportierbaren Daten und digitalen Vermögenswerte in die eigene IKT-Infrastruktur verlangen. Das Verfahren richtet sich nach § 9 unserer AGB. Die wesentlichen Punkte:

• Anzeige des Wechsels mit einer Ankündigungsfrist von 2 Monaten.
• Übergangszeitraum von höchstens 30 Kalendertagen ab Ablauf der Ankündigungsfrist. Ist dies technisch nicht durchführbar, teilen wir dies innerhalb von 14 Arbeitstagen mit und nennen einen alternativen Übergangszeitraum von höchstens sieben Monaten.
• Nach Ablauf des Übergangszeitraums können die exportierbaren Daten für weitere 30 Kalendertage abgerufen werden (Abrufzeitraum).
• Bis zum 12. Januar 2027 können für den Vollzug des Wechsels ermäßigte Entgelte erhoben werden, die ausschließlich den direkt zurechenbaren, nachweisbaren Kosten entsprechen. Ab dem 12. Januar 2027 ist der Vollzug des Wechsels unentgeltlich.

Methoden der Übertragung:

• Export strukturierter Daten über die Anwendung und über die dokumentierte REST-API (docs.nara.de).
• Weitergehende oder vollständige Exporte einzelner Datenkategorien stellen wir auf Anfrage bereit.
• Bereitstellung von Exportdateien über einen gesicherten, verschlüsselten Übertragungsweg.
• Auf Wunsch unterstützen wir den Wechsel darüber hinaus durch gesondert zu beauftragende Zusatzleistungen, etwa eine beschleunigte Migration oder Konvertierungen in Sonderformate.

Dateiformate:

• Strukturierte Daten werden in offenen, maschinenlesbaren Formaten bereitgestellt, insbesondere CSV und JSON (jeweils UTF-8).
• Dateien und Anhänge werden im jeweiligen Originalformat übergeben.

Bekannte Beschränkungen und technische Begrenzungen:

• Umfangreiche Datenbestände werden aus technischen Gründen in mengenbegrenzten Teilexporten bereitgestellt.
• Nicht exportierbar sind Daten, die ausschließlich der internen Funktionsweise des Dienstes dienen, sowie geschützte Inhalte im Sinne von § 9 unserer AGB und der dortigen Anlage 1, etwa Modelle, Embeddings und proprietäre Systemkonfigurationen.
• Die Übertragung setzt einen kompatiblen Zieldienst oder eine kompatible Zielumgebung voraus. Leistungen in der Infrastruktur des neuen Anbieters schulden wir nicht.

Wechselanfragen richten Sie an privacy@nara.de.

Das folgende Register beschreibt nach Art. 26 Buchstabe b Data Act die Datenstrukturen und Datenformate, in denen exportierbare Daten verfügbar sind, sowie die zugrunde liegenden Normen und offenen Spezifikationen. Es wird laufend aktualisiert. Welche Daten im Einzelnen exportierbar sind, ergibt sich aus Anlage 1 zu unseren AGB.

• Tickets und Ticketverlauf: strukturierter Export als CSV und JSON mit Metadaten wie Status, Priorität, Kategorien, Klassifikation und Zeitstempeln.
• Konversationen und Nachrichten: JSON.
• Wissensdaten (Memory-Objekte): JSON. Die Struktur folgt den im Kundenkonto definierten Datentypen auf Basis von JSON Schema und kann über die REST-API abgerufen werden.
• Dateien und Anhänge: Übergabe im jeweiligen Originalformat mit zugehörigen Metadaten.
• Agenten- und Workflowkonfigurationen: JSON.
• Konten-, Organisations- und Integrationsstammdaten (ohne Zugangsdaten) sowie Nutzungs- und Abrechnungsübersichten: JSON bzw. CSV.
• Protokolle und Auswertungen: CSV und JSON, soweit exportierbar.

Zugrunde liegende Normen und offene Spezifikationen: HTTPS mit TLS 1.2/1.3, REST, JSON (RFC 8259), JSON Schema, CSV (RFC 4180), UTF-8.

Fragen zu dieser Seite, zum Anbieterwechsel oder zum Umgang mit behördlichen Zugriffsverlangen richten Sie an:

nara GmbH Leightonstraße 3 97074 Würzburg privacy@nara.de

Stand: August 2026