01Geltungsbereich und Aktualität
Diese Übersicht beschreibt wesentliche Kategorien und derzeit vorgesehene technische Dienstleister, die im Zusammenhang mit AEGIS OS personenbezogene Daten im Auftrag verarbeiten können. Der konkrete Einsatz hängt vom gebuchten Umfang, der Kundenkonfiguration und den aktivierten Integrationen ab.
Stand: 19. September 2026. Vor einer wesentlichen Änderung der Auftragsverarbeitung wird nach Maßgabe der Vereinbarung zur Auftragsverarbeitung informiert. Vertragliche Detailunterlagen und Übermittlungsmechanismen können über [email protected] angefordert werden.
02Self-Hosted AEGIS-Infrastruktur
Zweck: Betrieb und technische Bereitstellung von AEGIS OS einschließlich Authentifizierung, Datenbank-, Datei-, Funktions-, Container- und Laufzeitdiensten.
Betroffene Daten: Konto-, Mandanten-, Anwendungs-, Datei-, Protokoll-, Sicherheits- und fachliche Kundendaten entsprechend der Nutzung.
Status: Die Kernanwendung wird von AEGIS-SECURITAS selbst gehostet und betrieben. Soweit für den zugrunde liegenden Server-, Rechenzentrums-, Netzwerk- oder Infrastrukturbetrieb weitere Auftragsverarbeiter eingesetzt werden, werden diese vor beziehungsweise mit ihrem produktiven Einsatz in dieser Übersicht konkret ausgewiesen. Eine bestimmte ausschließliche Datenregion wird nur zugesagt, wenn sie ausdrücklich vereinbart und technisch bestätigt ist.
03Resend
Zweck: Versand transaktionaler E-Mails, insbesondere Konto-, Einladungs-, Support-, Termin-, Vertrags- und Systemnachrichten.
Betroffene Daten: Empfängeradresse, Absenderinformationen, Betreff, Nachrichteninhalt, Versand- und Zustellinformationen sowie technische Metadaten.
Status: Wird eingesetzt, wenn die jeweilige E-Mail-Funktion aktiviert und konfiguriert ist. Für Newsletter oder sonstige werbliche Kommunikation sind zusätzliche Rechtsgrundlagen und Prozesse erforderlich.
04Stripe
Zweck: Abonnement-, Zahlungs-, Abrechnungs-, Betrugspräventions- und optional Stripe-Connect-Funktionen.
Betroffene Daten: Vertrags-, Kunden-, Transaktions-, Zahlungs-, Geräte- und Sicherheitsdaten. Vollständige Zahlungsinstrumentdaten werden grundsätzlich beim Zahlungsdienstleister verarbeitet.
Status: Stripe kann je nach Verarbeitung als Auftragsverarbeiter, eigenständig Verantwortlicher oder in einer gemischten Rollenverteilung tätig sein. Maßgeblich sind der konkrete Zahlungsfluss und die Stripe-Vertragsunterlagen.
05Optionale Identitäts- und Arbeitsintegrationen
Mögliche Dienste: Google Workspace, Microsoft 365, Slack, HubSpot und weitere ausdrücklich freigegebene Connectoren.
Zweck: Anmeldung, Kalender-, E-Mail-, Datei-, Kommunikations-, CRM- und Workflow-Funktionen.
Betroffene Daten: Nur die für den ausgewählten Connector und die autorisierten Aktionen erforderlichen Konto-, Inhalts-, Datei-, Kontakt-, Kalender- und Protokolldaten.
Status: Diese Dienste werden erst nach bewusster Verbindung durch einen berechtigten Kundenadministrator verwendet. Umfang und Verantwortungsrollen richten sich zusätzlich nach den Bedingungen des jeweiligen Anbieters. Der Kunde kann Verbindungen widerrufen; beim Drittanbieter gespeicherte Daten müssen gegebenenfalls dort separat verwaltet werden.
06KI-Verarbeitung
Zweck: Vom Nutzer angeforderte Analyse, Extraktion, Zusammenfassung, Empfehlung, Strukturierung oder Texterstellung.
Betroffene Daten: Eingaben, freigegebene Unternehmensdaten, Dateien und Gesprächskontext, soweit diese für die gewählte KI-Funktion übermittelt werden.
Status: Die konkrete technische KI-Verarbeitung wird über die in der Plattform bereitgestellte Integration erbracht. Kunden dürfen sensible oder besondere Kategorien personenbezogener Daten nur freigeben, wenn die Verarbeitung rechtmäßig, erforderlich und vom vereinbarten Schutzumfang umfasst ist. Details zur jeweils aktiven Verarbeitung können über den Datenschutzkontakt angefordert werden.
07Vom Kunden selbst eingebundene Dienste
Bindet ein Kunde eigene Webhooks, APIs, E-Mail-, Cloud-, Zahlungs-, Kommunikations- oder sonstige Dienste an, kann er hierfür selbst Verantwortlicher und gegebenenfalls zur Vereinbarung einer eigenen Auftragsverarbeitung verpflichtet sein.
AEGIS-SECURITAS prüft nicht automatisch die Rechtsgrundlage jedes vom Kunden verbundenen Dienstes. Zugriffe sollen auf den erforderlichen Umfang beschränkt, regelmäßig überprüft und bei Wegfall des Zwecks widerrufen werden.
08Drittlandübermittlungen und Widerspruch
Soweit eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums stattfindet und kein Angemessenheitsbeschluss greift, werden die gesetzlich erforderlichen geeigneten Garantien, insbesondere Standardvertragsklauseln und erforderliche ergänzende Maßnahmen, zugrunde gelegt.
Unternehmenskunden können einer wesentlichen Änderung aus wichtigem datenschutzrechtlichem Grund nach Maßgabe der AVV widersprechen. Ist keine angemessene Alternative möglich, gelten die dort geregelten Rechte für den betroffenen Leistungsteil.
