Rechtliche Informationen transparent gegliedert und dauerhaft erreichbar.
Stand: 19. September 2026 · Bestandteil von AEGIS-OS-, Cloud- und sonstigen Verträgen, soweit eine Verarbeitung im Auftrag vorliegt.
Diese Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO gilt, soweit AEGIS-SECURITAS im Rahmen von AEGIS OS personenbezogene Daten im Auftrag eines Unternehmenskunden verarbeitet. Sie ergänzt den Hauptvertrag und geht bei datenschutzrechtlichen Widersprüchen den allgemeinen Vertragsbedingungen vor. Verantwortlicher ist der jeweilige Unternehmenskunde. Auftragsverarbeiter ist AEGIS-SECURITAS, Hansaring 7, 63843 Niedernberg, Deutschland, E-Mail: [email protected].
Die Verarbeitung erfolgt für die Dauer des Hauptvertrages und einer erforderlichen Abwicklungs-, Sicherungs- oder Aufbewahrungsfrist. Art und Zweck umfassen insbesondere Hosting, Speicherung, Strukturierung, Abruf, Übermittlung, Sicherung, Support, Fehleranalyse, Import, Export, Automatisierung, Kommunikation, Termin- und Prozessverwaltung sowie ausdrücklich freigegebene KI- und Integrationsfunktionen. Der konkrete Umfang richtet sich nach der vom Kunden aktivierten Konfiguration und seinen dokumentierten Weisungen. Bei direkt gebuchten Cloud-Leistungen beginnt eine Auftragsverarbeitung erst mit der manuellen technischen Bereitstellung. Die bloße Bestellung, Zahlungsabwicklung und Vertragsprüfung verarbeitet zunächst nur die zur Vertragsanbahnung und Abwicklung erforderlichen Ansprechpartner- und Unternehmensdaten. Das gewählte Speicherkontingent begrenzt die technische Kapazität, verändert aber nicht die datenschutzrechtlichen Pflichten des Kunden.
Der Kunde legt fest, welche personenbezogenen Daten innerhalb des gebuchten Cloud-Kontingents verarbeitet werden dürfen. AEGIS-SECURITAS nimmt vor der technischen Freigabe eine Prüfung der notwendigen Zugriffs-, Rollen-, Speicher- und Sicherheitskonfiguration vor, ohne dadurch die Verantwortung des Kunden für Rechtsgrundlagen, Zwecke und Löschfristen zu übernehmen. Cloud-Speicher, Backup, Versionierung, Archivierung und Wiederherstellung sind getrennte Verarbeitungsvorgänge. Zusätzliche Sicherungen, Aufbewahrungsfristen, Datenregionen oder Wiederherstellungstests gelten nur als Weisung und Leistung, wenn sie ausdrücklich dokumentiert und bestätigt wurden. Sonderwünsche, neue Integrationen, Migrationen oder geänderte Datenkategorien werden vor Umsetzung auf ihre Auswirkungen auf Datenschutz, Unterauftragsverarbeiter und technische Schutzmaßnahmen geprüft. Bis zur dokumentierten Freigabe besteht keine Weisung zur produktiven Umsetzung.
Je nach Nutzung können insbesondere Stamm-, Kontakt-, Kommunikations-, Vertrags-, Termin-, Beschäftigten-, Kunden-, Lieferanten-, Projekt-, Dokument-, Rechnungs-, Nutzungs-, Protokoll-, Support-, Datei- und Integrationsdaten verarbeitet werden. Betroffene Personen können insbesondere Mitarbeitende, Bewerber, Kunden, Interessenten, Lieferanten, Dienstleister, Ansprechpartner, Partner und sonstige Personen sein, deren Daten der Kunde rechtmäßig in AEGIS OS verarbeitet. Besondere Kategorien personenbezogener Daten dürfen nur verarbeitet werden, wenn der Kunde dies rechtmäßig veranlasst, ausdrücklich erforderlich ist und geeignete technische und organisatorische Schutzmaßnahmen aktiviert wurden.
AEGIS-SECURITAS verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, soweit nicht eine gesetzliche Verpflichtung zur Verarbeitung besteht. Als Weisungen gelten insbesondere der Hauptvertrag, diese Vereinbarung, freigegebene Konfigurationen, Rollen, Integrationen sowie nachvollziehbare Supportanweisungen. Hält AEGIS-SECURITAS eine Weisung für rechtswidrig, wird der Kunde unverzüglich informiert. Die Ausführung darf bis zur Klärung ausgesetzt werden. Änderungen des Verarbeitungsgegenstands können zusätzliche technische oder wirtschaftliche Vereinbarungen erfordern.
AEGIS-SECURITAS verpflichtet sich insbesondere, • Daten nur im vereinbarten Umfang zu verarbeiten, • zur Vertraulichkeit verpflichtete und angemessen unterwiesene Personen einzusetzen, • geeignete technische und organisatorische Maßnahmen aufrechtzuerhalten, • den Kunden im gesetzlich erforderlichen Umfang bei Betroffenenrechten, Sicherheitsvorfällen, Datenschutz-Folgenabschätzungen und Behördenanfragen zu unterstützen, • personenbezogene Daten nach Vertragsende nach Maßgabe dieser Vereinbarung zu löschen oder zurückzugeben, • erforderliche Nachweise zur Einhaltung dieser Vereinbarung bereitzustellen.
Der Kunde ist insbesondere verantwortlich für Rechtsgrundlagen, Informationspflichten, Zweckbindung, Datenminimierung, Richtigkeit, Berechtigungskonzepte, Löschfristen und die Rechtmäßigkeit seiner Weisungen. Er darf AEGIS OS nur für Verarbeitungen einsetzen, die vom vereinbarten Schutz- und Funktionsumfang abgedeckt sind. Sicherheitsvorfälle, Fehlkonfigurationen oder unberechtigte Zugriffe im eigenen Verantwortungsbereich sind unverzüglich mitzuteilen.
Die Maßnahmen werden risikoorientiert und dem Stand der Technik entsprechend ausgestaltet. Sie umfassen je nach Dienst insbesondere verschlüsselte Übertragung, rollen- und mandantenbezogene Zugriffskontrollen, Authentifizierung, Protokollierung, Schutz von Geheimnissen und Zugangsdaten, Datensicherungs- und Wiederherstellungsprozesse, Sicherheitsaktualisierungen, Verfügbarkeits- und Integritätsmaßnahmen sowie geregelte Berechtigungs- und Supportprozesse. Die Maßnahmen dürfen weiterentwickelt werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Eine ausführlichere TOM-Beschreibung kann Kunden über den Support oder das Trust Center zur Verfügung gestellt werden.
Der Kunde erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern, die für Plattform, Hosting, Speicher, E-Mail, Support, Identität, Sicherheit, KI oder ausdrücklich aktivierte Integrationen erforderlich sind. Die aktuelle Übersicht ist unter /unterauftragsverarbeiter abrufbar. Wesentliche Kategorien umfassen insbesondere die von AEGIS-SECURITAS betriebene Server- und Container-Infrastruktur, gegebenenfalls hierfür eingesetzte Hosting-, Rechenzentrums- oder Netzwerkdienstleister, den transaktionalen E-Mail-Versand über Resend sowie weitere vom Kunden aktivierte Dienste. Zahlungsdienstleister wie Stripe können für Teile ihrer Leistung eigenständig Verantwortliche sein. Über wesentliche neue Unterauftragsverarbeiter wird der Kunde in angemessener Weise informiert. Er kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Ist keine zumutbare Alternative möglich, kann jede Partei den betroffenen Leistungsteil kündigen.
Verarbeitungen außerhalb des Europäischen Wirtschaftsraums erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Dazu können Angemessenheitsbeschlüsse, EU-Standardvertragsklauseln und erforderliche ergänzende Schutzmaßnahmen gehören. Der Kunde wird im Rahmen der verfügbaren Dokumentation über relevante Übermittlungsmechanismen informiert. Von ihm selbst aktivierte Drittanbieter-Integrationen können zusätzliche eigenständige Übermittlungen auslösen.
Soweit eine betroffene Person ihre Rechte unmittelbar gegenüber AEGIS-SECURITAS geltend macht und der Kunde Verantwortlicher ist, wird die Anfrage grundsätzlich an den Kunden weitergeleitet. AEGIS-SECURITAS unterstützt den Kunden durch verfügbare Such-, Export-, Berichtigungs-, Einschränkungs- und Löschfunktionen sowie angemessene technische Unterstützung. Anfragen von Aufsichts- oder Ermittlungsbehörden werden dem Kunden mitgeteilt, soweit dies rechtlich zulässig ist.
AEGIS-SECURITAS informiert den Kunden nach Bekanntwerden eines bestätigten Sicherheitsvorfalls, der dessen Auftragsdaten betrifft, unverzüglich im gesetzlich erforderlichen Umfang. Die Mitteilung enthält die verfügbaren Informationen zu Art, Umfang, wahrscheinlichen Folgen und ergriffenen oder vorgeschlagenen Maßnahmen. Der Kunde bleibt für eigene Melde- und Benachrichtigungspflichten verantwortlich. Beide Parteien arbeiten bei der Aufklärung angemessen zusammen.
AEGIS-SECURITAS stellt dem Kunden auf angemessene Anfrage die zur Prüfung dieser Vereinbarung erforderlichen Informationen zur Verfügung. Vorrangig werden standardisierte Dokumentationen, Prüfberichte, Sicherheitsnachweise und schriftliche Auskünfte genutzt. Vor-Ort-Prüfungen sind nur erforderlich, wenn andere Nachweise nicht ausreichen, ein konkreter Anlass besteht und Sicherheit, Vertraulichkeit sowie Betrieb anderer Kunden nicht beeinträchtigt werden. Sie sind rechtzeitig abzustimmen. Zusätzlicher Aufwand kann vergütungspflichtig sein, sofern die Prüfung keinen erheblichen von AEGIS-SECURITAS zu vertretenden Verstoß ergibt.
Nach Ende der Auftragsverarbeitung löscht oder anonymisiert AEGIS-SECURITAS die Auftragsdaten nach Wahl des Kunden, soweit keine gesetzlichen Pflichten oder berechtigten Nachweisinteressen entgegenstehen. Der Kunde muss benötigte Exporte rechtzeitig anfordern oder selbst durchführen. Sicherungskopien werden im Rahmen regulärer Sicherungszyklen überschrieben und bis dahin gegen produktive Nutzung geschützt.
Im Übrigen gelten die Haftungsregelungen des Hauptvertrages, soweit Art. 82 DSGVO oder andere zwingende Vorschriften keine abweichende Haftung vorsehen. Änderungen dieser Vereinbarung bedürfen der Textform. Die deutsche Fassung ist maßgeblich.
Im täglichen Einsatz
Ausgewählte Systeme verbinden Kundenerlebnis, interne Abläufe und laufende Betreuung – mit klarer Verantwortung.
Alle Referenzen ansehenEine gemeinsame technische Grundlage sorgt dafür, dass Informationen nicht zwischen Website, Team und Fachanwendung verloren gehen.
