Datenexport und Anbieterwechsel

Angaben nach Art. 26 und Art. 28 Abs. 1 der Verordnung (EU) 2023/2854 (Data Act) · zu den Nutzungsbedingungen order2quote Version 1.1.2, Stand 08.11.2026

Die SKYxAI GmbH („Anbieter“) veröffentlicht hier, wie in § 8 Abs. 4 der Nutzungsbedingungen vorgesehen, die Informationen zu Verfahren, Formaten und Datenstrukturen des Exports sowie die Angaben nach Art. 28 Abs. 1 der Verordnung (EU) 2023/2854 (Rechtsordnung der eingesetzten Infrastruktur, Maßnahmen gegen staatlichen Zugriff aus Drittländern).

Maßgeblich sind die Vertragsbestandteile nach § 1 Abs. 5 der Nutzungsbedingungen, insbesondere § 8 Abs. 4 bis 6 der Nutzungsbedingungen und der Auftragsverarbeitungsvertrag (Anlage B); diese Seite gibt ihren Inhalt wieder.

1. Verfahren

Anforderung. Der Kunde kann jederzeit, auch zum Zweck des Wechsels zu einem anderen Anbieter oder in eigene Systeme, den Export seiner Kundendaten verlangen.

Die Anforderung richten die im System als Inhaber (Owner) oder Administrator (Admin) hinterlegten Nutzer oder die gesetzlichen Vertreter des Kunden in Textform an consulting@skyxai.de.

Bereitstellung und Kosten. Der Anbieter stellt den Export unverzüglich bereit und erhebt für Export und Wechsel keine Entgelte.

Kündigung zum Wechsel. Unabhängig von einer gesonderten Vereinbarung zur Laufzeit kann der Kunde den Vertrag zum Zweck des Wechsels mit einer Frist von höchstens zwei Monaten kündigen; ein Entgelt für die vorzeitige Beendigung fällt nicht an.

Übergangszeitraum. Verlangt der Kunde mit der Kündigung oder bis zum Ende der Kündigungsfrist den Wechsel, erbringt der Anbieter die Leistungen nach Ablauf der Kündigungsfrist für einen Übergangszeitraum von bis zu 30 Tagen zu den bisherigen Bedingungen weiter. Der Kunde kann den Übergangszeitraum einmal um einen von ihm bestimmten angemessenen Zeitraum verlängern. Ist der Übergangszeitraum technisch nicht einzuhalten, teilt der Anbieter dies dem Kunden innerhalb von 14 Arbeitstagen nach dem Verlangen mit Begründung mit und nennt einen anderen Zeitraum von höchstens sieben Monaten.

Unterstützung. Der Anbieter unterstützt die Ausstiegsstrategie des Kunden und stellt ihm die hierfür relevanten Informationen bereit. Während des Übergangszeitraums unterstützt der Anbieter den Wechsel in zumutbarem Umfang, erhält die Fortführung der Leistungen aufrecht, informiert den Kunden über bekannte Risiken für die Fortführung und wahrt ein hohes Sicherheitsniveau, insbesondere bei der Übermittlung der Daten.

Vertragsende. Der Vertrag endet mit dem erfolgreichen Abschluss des Wechsels, spätestens mit dem Ende des Übergangszeitraums. Verlangt der Kunde statt des Wechsels die Löschung seiner Daten, endet der Vertrag mit Ablauf der Kündigungsfrist. Der Anbieter bestätigt dem Kunden das Vertragsende in Textform.

Abruf nach Vertragsende. Nach Vertragsende, bei einem Übergangszeitraum nach dessen Ende, kann der Kunde seine Kundendaten mindestens 30 Tage lang über die Exportfunktionen oder auf Anforderung abrufen; wird ein Export innerhalb dieses Zeitraums angefordert, verlängert sich der Zeitraum bis zur Bereitstellung des Exports. Danach löscht der Anbieter alle Kundendaten einschließlich Kopien unverzüglich vollständig, Kopien in Datensicherungen nach § 10 Abs. 2 des Auftragsverarbeitungsvertrags, und bestätigt die Löschung auf Anforderung in Textform.

In Datensicherungen verbleibende Kopien werden nach dem regulären Sicherungszyklus, spätestens 90 Tage nach dieser Löschung überschrieben. Bis dahin werden sie nicht für andere Zwecke verwendet und nur zur Wiederherstellung des Gesamtsystems eingespielt. Bestehen gesetzliche Aufbewahrungspflichten, sperrt der Anbieter die Daten und verarbeitet sie nur zum Zweck der Aufbewahrung. Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, darf der Anbieter nach den gesetzlichen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren.

Kein Zurückbehaltungsrecht. Ein Zurückbehaltungsrecht des Anbieters an Kundendaten ist ausgeschlossen; Export und Abruf nach Vertragsende gelten auch bei Streitigkeiten über offene Forderungen.

2. Formate

Der Export erfolgt in einem gängigen, maschinenlesbaren Format (JSON oder CSV, Dateien im Originalformat).

3. Umfang und Datenstrukturen

Exportiert werden alle Kundendaten einschließlich der zugehörigen Metadaten, insbesondere:

• Bestellanfragen, Angebote mit Versionen und Aufträge
• Kunden und Ansprechpartner
• Menüs, Artikel, Preise und Gebühren
• synchronisierte E-Mails mit Anhängen, hochgeladene Dokumente und erzeugte PDF-Dokumente
• Einstellungen des Accounts (etwa Gebührenregeln)
• die Liste der Nutzer mit Rollen

Je Kategorie wird eine Datei geliefert (JSON: ein Objekt je Datensatz; CSV: eine Zeile je Datensatz, UTF-8). Jeder Datensatz trägt eine eindeutige Kennung, Beziehungen (etwa Angebotsversion zu Angebot, Angebot zu Auftrag, Ansprechpartner zu Kunde) werden über diese Kennungen abgebildet. Zeitangaben nach ISO 8601. E-Mails werden als Datensätze mit ihren Kopfdaten (Absender, Empfänger, Cc, Bcc, Reply-To, Betreff, Zeitstempel, Message-ID, In-Reply-To, References) und ihrem Inhalt als Text und HTML geliefert; sehr lange Texte werden bereits bei der Synchronisation aus dem Postfach auf eine technische Höchstlänge gekürzt, was der Datensatz kennzeichnet. Anhänge, hochgeladene Dokumente und erzeugte PDF-Dokumente werden, soweit sie im System gespeichert sind, als Dateien im Originalformat geliefert und über ihren Dateinamen referenziert. E-Mails und Anhänge über den Größengrenzen der Synchronisation werden nicht gespeichert und sind daher nicht Teil des Exports; der Datensatz enthält dann nur die Kopfdaten der E-Mail oder Dateiname und Größe des Anhangs. Kann eine E-Mail bei der Synchronisation nicht gelesen werden, enthält der Datensatz nur ihre Kopfdaten. Eine Feldbeschreibung je Datei liegt dem Export bei.

Vom Export ausgenommen sind ausschließlich die folgenden Daten der internen Funktionsweise des Systems, die Geschäftsgeheimnisse des Anbieters enthalten: (a) Vektordarstellungen für die Suche, (b) Anweisungen und Konfigurationen der KI-Funktionen und (c) Zwischenergebnisse der KI-Verarbeitung, soweit ihr Ergebnis in den exportierten Daten enthalten ist. Diese Ausnahmen behindern oder verzögern den Wechsel nicht.

Rechte des Anbieters nach § 7 Abs. 2 der Nutzungsbedingungen bleiben unberührt.

4. Rechtsordnung der eingesetzten Infrastruktur

Die Infrastruktur der netcup GmbH, der LuvLabs UG und von ALL-INKL.COM unterliegt deutschem Recht und dem Recht der Europäischen Union, die der Microsoft Ireland Operations Limited irischem Recht und dem Recht der Union. Vertragspartner für die Sprachmodelle ist die OpenAI Ireland Ltd. mit Sitz in Irland; die Infrastruktur, auf der die Daten verarbeitet werden, betreibt die verbundene OpenAI OpCo, LLC in den USA, sie unterliegt dem Recht der Vereinigten Staaten. Cloudflare, Inc. (Vertragspartner nach dem Cloudflare Data Processing Addendum) speichert die Datensicherungen im EU-Rechtsraum und unterliegt als Gesellschaft mit Sitz in den USA dem Recht der Vereinigten Staaten; dasselbe gilt für Zugriffe der Microsoft Corporation aus den USA (Anlage B-1 Nr. 6). Für den Vertrag selbst gilt deutsches Recht unter Ausschluss des UN-Kaufrechts.

Cloudflare, Inc., die OpenAI OpCo, LLC und die Microsoft Corporation haben ihren Sitz in den USA und unterliegen US-Recht. US-Behörden können diese Gesellschaften, unter anderem nach dem CLOUD Act, zur Herausgabe von Daten verpflichten, die sich in ihrem Besitz, Gewahrsam oder unter ihrer Kontrolle befinden, auch wenn die Daten in der EU gespeichert sind oder von einer verbundenen Gesellschaft in der EU verarbeitet werden; für Übermittlungen in die USA gelten die in Anlage B-1 genannten Garantien (Cloudflare, Inc.: EU-US Data Privacy Framework, hilfsweise Standardvertragsklauseln nach dem Cloudflare Data Processing Addendum; OpenAI: Standardvertragsklauseln zwischen OpenAI Ireland Ltd. und OpenAI OpCo, LLC; Microsoft: EU-US Data Privacy Framework und Standardvertragsklauseln im Microsoft Products and Services Data Protection Addendum).

Die Kundendaten werden im Produktivsystem auf Servern der netcup GmbH am Standort Nürnberg, Deutschland, gespeichert und verarbeitet, im Übrigen an den folgenden Orten (Anlage B-1 des Auftragsverarbeitungsvertrags):

• netcup GmbH, Karlsruhe, Deutschland: Hosting des Produktivsystems (Server, Datenbank, Speicher); Ort: Nürnberg, Deutschland
• Cloudflare, Inc., San Francisco, USA (Vertragspartner nach dem Cloudflare Data Processing Addendum): verschlüsselte Datensicherung (Backups) im Objektspeicher; Ort: EU-Rechtsraum (Datenresidenz EU, Speicherung nur in EU-Rechenzentren), Anbieter mit Sitz in den USA
• OpenAI Ireland Ltd., Dublin, Irland (Vertragspartner), Verarbeitung durch die verbundene OpenAI OpCo, LLC, San Francisco, USA: Sprachmodelle für die KI-gestützten Funktionen nach Nutzungsbedingungen § 3 Abs. 1; Ort: USA (Verarbeitung über die OpenAI-API)
• LuvLabs UG (haftungsbeschränkt), Hamburg, Deutschland: Entwicklung, Wartung, Fehlerbehebung, Second-Level-Support mit anlassbezogenem Zugriff; Ort: Deutschland
• ALL-INKL.COM – Neue Medien Münnich, Friedersdorf, Deutschland: Domain-Hosting; Versand von Systemnachrichten der Anwendung (Anmeldelinks, Einladungen, Vertragsmitteilungen); Ort: Deutschland
• Microsoft Ireland Operations Limited, Dublin, Irland: Microsoft 365 (Exchange Online, OneDrive) des Anbieters für E-Mail, Support, Weisungen und Meldewege sowie Speicherung vom Kunden übermittelter Unterlagen; Ort: EU (EU-Datengrenze)

Vom Kunden verbundene Drittsysteme, etwa seine E-Mail-Postfachanbieter sowie Buchhaltungs-, Rechnungs- oder Bestellsysteme, liegen außerhalb des Verantwortungsbereichs des Anbieters; deren Verarbeitungsort bestimmt der Kunde mit dem jeweiligen Anbieter.

5. Maßnahmen gegen staatlichen Zugriff aus Drittländern

Der Anbieter verarbeitet alle Kundendaten ausschließlich zur Erfüllung des Vertrags und nach Anlage B (§ 7 Abs. 3 der Nutzungsbedingungen).

Übermittlungen nur auf gesicherter Grundlage. Übermittlungen in Drittländer erfolgen nur an die in Anlage B-1 aufgeführten Empfänger auf einer Grundlage der Art. 44 ff. DSGVO (Angemessenheitsbeschluss, EU-US Data Privacy Framework, Standardvertragsklauseln) und sind dort dokumentiert.

Weisungsbindung. Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden und zu den im Auftragsverarbeitungsvertrag genannten Zwecken. Eine Verarbeitung für eigene Zwecke des Anbieters, insbesondere zum Training oder zur Verbesserung von KI-Modellen, ist ausgeschlossen; § 7 Abs. 4 der Nutzungsbedingungen bleibt unberührt.

Anzeige von Offenlegungspflichten. Ist der Anbieter gesetzlich zur Offenlegung von Daten verpflichtet, zeigt er dies dem Kunden vorab an, soweit rechtlich zulässig.

Verschlüsselung. Transportverschlüsselung (TLS) über öffentliche Netze; verschlüsselte Speicherung von Datensicherungen sowie von Zugangsdaten zu Postfächern und Drittsystemen; Übermittlung an Unterauftragsverarbeiter verschlüsselt und nur im erforderlichen Umfang. Bei den Datensicherungen in den EU-Rechenzentren von Cloudflare ist kein inhaltlicher Zugriff vorgesehen.

Zugang und Trennung. Personalisierte Nutzerkonten, Mehr-Faktor-Authentifizierung für administrative Zugänge des Anbieters zu Hosting, Datenbank, Datensicherungen und Code-Verwaltung, Rollen- und Rechtekonzept nach Need-to-know sowie logische Mandantentrennung.

Unterauftragsverarbeiter. Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich mindestens auf die Pflichten nach Art. 28 Abs. 3 DSGVO und auf ein gleichwertiges Schutzniveau und bleibt für deren Leistungen verantwortlich. Über die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert er den Kunden mindestens 14 Tage vorher; der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Finden die Parteien keine Lösung, kann der Kunde die Nutzungsbedingungen mit Wirkung zum Zeitpunkt der Änderung kündigen.

Die vollständigen technischen und organisatorischen Maßnahmen beschreibt Anlage B-2 des Auftragsverarbeitungsvertrags; die aktuelle Fassung erhält der Kunde auf Anforderung.

6. Kontakt

SKYxAI GmbH, Lagerstraße 45, 82178 Puchheim, Deutschland. E-Mail: consulting@skyxai.de, Telefon: +49 179 4477864.

Stand 08.11.2026 · zu Nutzungsbedingungen und Auftragsverarbeitungsvertrag Version 1.1.2

Data Export and Switching

Information under Article 26 and Article 28 (1) of Regulation (EU) 2023/2854 (Data Act) · relating to the order2quote Terms of Service Version 1.1.2, as of 8 November 2026. This is a convenience translation; the German version is binding.

SKYxAI GmbH (the "Provider") publishes here, as provided for in Section 8 (4) of the Terms of Service, the information on the procedures, formats and data structures of the export as well as the information under Article 28 (1) of Regulation (EU) 2023/2854 (jurisdiction of the infrastructure used, measures against governmental access from third countries).

The components of the contract under Section 1 (5) of the Terms of Service are authoritative, in particular Section 8 (4) to (6) of the Terms of Service and the Data Processing Agreement (Annex B); this page restates their content.

1. Procedure

Request. The Customer may at any time, including for the purpose of switching to another provider or to its own systems, request the export of its Customer Data.

The request is sent in text form to consulting@skyxai.de by the users designated in the system as owner or administrator, or by the Customer's legal representatives.

Provision and cost. The Provider provides the export without undue delay and charges no fees for export and switching.

Termination for switching. Irrespective of any separate agreement on the term, the Customer may terminate the contract for the purpose of switching with a notice period of no more than two months; no early termination fee is charged.

Transitional period. If the Customer requests a switch together with its notice of termination or before the end of the notice period, the Provider continues to provide the services on the existing terms for a transitional period of up to 30 days after the notice period has expired. The Customer may extend the transitional period once by a reasonable period determined by it. If the transitional period is technically unfeasible, the Provider informs the Customer within 14 working days of the request, stating its reasons, and indicates an alternative period of no more than seven months.

Support. The Provider supports the Customer's exit strategy and provides it with the relevant information for this purpose. During the transitional period the Provider supports the switch to a reasonable extent, maintains business continuity, informs the Customer of known risks to continuity and ensures a high level of security, in particular when transferring the data.

End of the contract. The contract ends upon successful completion of the switch, at the latest at the end of the transitional period. If the Customer requests the erasure of its data instead of a switch, the contract ends upon expiry of the notice period. The Provider confirms the end of the contract to the Customer in text form.

Retrieval after the end of the contract. After the end of the contract, or of any transitional period, the Customer may retrieve its Customer Data for at least 30 days via the export functions or on request; if an export is requested within this period, the period is extended until the export is provided. The Provider then completely deletes all Customer Data including copies without undue delay, copies in backups in accordance with Section 10 (2) of the Data Processing Agreement, and confirms the deletion in text form on request.

Copies remaining in backups are overwritten in the regular backup cycle, at the latest 90 days after that deletion. Until then they are not used for other purposes and are restored only to recover the entire system. Where statutory retention obligations exist, the Provider blocks the data and processes it only for the purpose of retention. The Provider may retain documentation serving as evidence of proper processing beyond the end of the contract in accordance with statutory retention periods.

No right of retention. A right of retention of the Provider over Customer Data is excluded; export and retrieval after the end of the contract also apply in the event of disputes over outstanding claims.

2. Formats

The export is provided in a common, machine-readable format (JSON or CSV, files in their original format).

3. Scope and Data Structures

All Customer Data including the related metadata is exported, in particular:

• order requests, quotes with versions, and jobs
• customers and contacts
• menus, items, prices and fees
• synchronised e-mails with attachments, uploaded documents and generated PDF documents
• account settings (such as fee rules)
• the list of users with their roles

One file is provided per category (JSON: one object per record; CSV: one row per record, UTF-8). Each record carries a unique identifier; relationships (e.g. quote version to quote, quote to job, contact to customer) are expressed through these identifiers. Timestamps follow ISO 8601. E-mails are provided as records with their header data (sender, recipients, Cc, Bcc, Reply-To, subject, timestamps, Message-ID, In-Reply-To, References) and their content as text and HTML; very long texts are already cut to a technical maximum length when synchronised from the mailbox, which the record flags. Attachments, uploaded documents and generated PDF documents are provided as files in their original format, insofar as they are stored in the system, referenced by file name. E-mails and attachments above the size limits of the synchronisation are not stored and are therefore not part of the export; the record then holds only the e-mail's header data or the attachment's file name and size. Where an e-mail cannot be read during synchronisation, the record holds only its header data. A field description for each file accompanies the export.

Exempted from the export are exclusively the following data relating to the internal functioning of the system, which contain trade secrets of the Provider: (a) vector representations for search, (b) instructions and configurations of the AI functions and (c) intermediate results of AI processing to the extent their result is contained in the exported data. These exemptions do not impede or delay switching.

The Provider's rights under Section 7 (2) of the Terms of Service remain unaffected.

4. Jurisdiction of the Infrastructure Used

The infrastructure of netcup GmbH, LuvLabs UG and ALL-INKL.COM is subject to German and European Union law, that of Microsoft Ireland Operations Limited to Irish and Union law. The contracting party for the language models is OpenAI Ireland Ltd., established in Ireland; the infrastructure on which the data is processed is operated by its affiliate OpenAI OpCo, LLC in the USA and is subject to United States law. Cloudflare, Inc. (contracting entity under the Cloudflare Data Processing Addendum) stores the backups in the EU jurisdiction and, as a company established in the USA, is subject to United States law; the same applies to access by Microsoft Corporation from the USA (Annex B-1 No. 6). The contract itself is governed by German law, excluding the CISG.

Cloudflare, Inc., OpenAI OpCo, LLC and Microsoft Corporation are established in the USA and subject to United States law. US authorities can require these companies, among others under the CLOUD Act, to disclose data in their possession, custody or control, even where the data is stored in the EU or processed by an affiliated company in the EU; transfers to the USA are covered by the safeguards named in Annex B-1 (Cloudflare, Inc.: EU-US Data Privacy Framework, alternatively standard contractual clauses under the Cloudflare Data Processing Addendum; OpenAI: standard contractual clauses between OpenAI Ireland Ltd. and OpenAI OpCo, LLC; Microsoft: EU-US Data Privacy Framework and standard contractual clauses in the Microsoft Products and Services Data Protection Addendum).

Customer Data is stored and processed in the production system on servers of netcup GmbH at its Nuremberg, Germany location, and otherwise at the following locations (Annex B-1 of the Data Processing Agreement):

• netcup GmbH, Karlsruhe, Germany: hosting of the production system (servers, database, storage); location: Nuremberg, Germany
• Cloudflare, Inc., San Francisco, USA (contracting entity under the Cloudflare Data Processing Addendum): encrypted backups in object storage; location: EU jurisdiction (EU data residency, storage only in EU data centres), provider established in the USA
• OpenAI Ireland Ltd., Dublin, Ireland (contracting party), processing by its affiliate OpenAI OpCo, LLC, San Francisco, USA: language models for the AI-assisted functions under Section 3 (1) of the Terms of Service; location: USA (processing via the OpenAI API)
• LuvLabs UG (haftungsbeschränkt), Hamburg, Germany: development, maintenance, troubleshooting, second-level support with case-by-case access; location: Germany
• ALL-INKL.COM – Neue Medien Münnich, Friedersdorf, Germany: domain hosting; sending of system messages of the application (login links, invitations, contract notifications); location: Germany
• Microsoft Ireland Operations Limited, Dublin, Ireland: the Provider's Microsoft 365 (Exchange Online, OneDrive) for e-mail, support, instructions and reporting channels and storage of documents provided by the Customer; location: EU (EU Data Boundary)

Third-party systems connected by the Customer, such as its e-mail mailbox providers and accounting, invoicing or ordering systems, are outside the Provider's area of responsibility; their processing location is determined by the Customer with the respective provider.

5. Measures Against Governmental Access from Third Countries

The Provider processes all Customer Data exclusively to perform the contract and in accordance with Annex B (Section 7 (3) of the Terms of Service).

Transfers only on a safeguarded basis. Transfers to third countries take place only to the recipients listed in Annex B-1 on a basis under Articles 44 et seq. GDPR (adequacy decision, EU-US Data Privacy Framework, standard contractual clauses) and are documented there.

Processing on instructions. The Provider processes personal data exclusively on documented instructions of the Customer and for the purposes stated in the Data Processing Agreement. Processing for the Provider's own purposes, in particular for training or improving AI models, is excluded; Section 7 (4) of the Terms of Service remains unaffected.

Notice of disclosure obligations. If the Provider is legally required to disclose data, it notifies the Customer in advance to the extent legally permissible.

Encryption. Transport encryption (TLS) over public networks; encrypted storage of backups and of credentials for mailboxes and third-party systems; transfer to sub-processors encrypted and only to the extent necessary. For the backups in Cloudflare's EU data centres, no access to content is intended.

Access and separation. Personalised user accounts, multi-factor authentication for the Provider's administrative access to hosting, database, backups and code management, a role and permission concept on a need-to-know basis, and logical tenant separation.

Sub-processors. The Provider contractually binds sub-processors at least to the obligations under Article 28 (3) GDPR and to an equivalent level of protection, and remains responsible for their services. It informs the Customer at least 14 days before engaging or replacing a sub-processor; the Customer may object in text form within this period on important data protection grounds. If the parties find no solution, the Customer may terminate the Terms of Service with effect from the date of the change.

The full technical and organisational measures are described in Annex B-2 of the Data Processing Agreement; the Customer receives the current version on request.

6. Contact

SKYxAI GmbH, Lagerstraße 45, 82178 Puchheim, Germany. E-mail: consulting@skyxai.de, telephone: +49 179 4477864.

As of 8 November 2026 · relating to the Terms of Service and Data Processing Agreement Version 1.1.2

The German version is the legally binding one.Maßgeblich ist die deutsche Fassung.