Datenschutzerklärung

Stand: 29. Oktober 2026 · Englische Fassung

1. Verantwortlicher

2. Überblick

Aurora bietet Beratung und Analyse, kundenseitige ERP-Projektleitung sowie individuelle Prozessautomatisierung und Integration an. Die tatsächliche Verarbeitung personenbezogener Daten richtet sich nach dem jeweiligen Auftrag und der eingesetzten Lösung. Nicht jeder Auftrag umfasst KI, ein Dashboard, Hosting oder laufenden Betrieb durch Aurora. Abschnitt 5 beschreibt ausschließlich ausdrücklich beauftragte CapacityOS-Leistungen. Für sonstige Beratungs- und Umsetzungsprojekte gilt Abschnitt 5a; für Website, Geschäftskontakte und Abrechnung gelten die jeweils genannten Abschnitte.

Diese Datenschutzerklärung gilt für:

• die Website helloaurora.ai (Abschnitt 3),
• geschäftliche Kontakte, Vertragsschlüsse und Abrechnung (Abschnitt 4) sowie
• den Betrieb ausdrücklich beauftragter Prozessmodule über Aurora CapacityOS (Abschnitt 5).
• sonstige Beratungs- und Umsetzungsprojekte (Abschnitt 5a).

Wir verarbeiten personenbezogene Daten nach Maßgabe der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG), des Digitale-Dienste-Gesetzes (DDG) und des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG).

3. Besuch von helloaurora.ai

3.1 Bereitstellung der Website und Serverprotokolle

Die Website wird von Vercel Inc. bereitgestellt. Die Rechenleistung wird in der Region Frankfurt am Main erbracht; statische Inhalte werden über ein weltweites Auslieferungsnetz bereitgestellt. Beim Aufruf verarbeitet die Infrastruktur technische Daten, die Ihr Browser übermittelt, insbesondere IP-Adresse, Browsertyp, aufgerufene Seite und Zeitpunkt. Dies ist erforderlich, um die Website auszuliefern und vor Missbrauch zu schützen. Die Protokolle werden nur für kurze Zeit zu Sicherheits- und Betriebszwecken gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren Betrieb der Website.

Auf der Startseite verwenden wir außerdem Vercel Web Analytics zur Reichweitenmessung ohne Cookies. Erfasst werden Seitenaufrufe, aufgerufene Pfade und Verweisquellen in zusammengefasster Form. Es findet keine websiteübergreifende Nachverfolgung statt; ein anonymisierter Sitzungswert wird innerhalb von 24 Stunden verworfen. Die Auswertung hilft uns zu verstehen, welche Inhalte genutzt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

3.2 Schriftarten

Die rechtlichen Seiten verwenden Schriftarten, die auf unserer eigenen Domain gespeichert sind. Die Seite zur KI-Prozessberatung lädt zusätzlich Schriftarten über Bunny Fonts der BunnyWay d.o.o., Slowenien. Auch der KI-Check sowie die Wissens- und Blogseiten laden Schriftarten über diesen Dienst. Nach Angaben des Anbieters werden dabei weder Cookies gesetzt noch identifizierbare Besucherprotokolle gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

3.3 Cookies und Einwilligung

Die Website setzt keine Tracking-Cookies Dritter ein und verwendet keine cookiegestützte Analyse. Ihre Sprachwahl wird ausschließlich lokal in Ihrem Browser gespeichert. Diese technisch notwendige Einstellung bedarf gemäß § 25 Abs. 2 TDDDG keiner Einwilligung. Da wir keine optionalen Analyse- oder Werbe-Cookies verwenden, zeigen wir kein Einwilligungsbanner an.

3.4 Beispielvideos auf YouTube

Beispielvideos sind im erweiterten Datenschutzmodus von YouTube eingebunden und werden erst geladen, wenn Sie die Wiedergabe starten. Zuvor wird keine Verbindung zu YouTube oder Google hergestellt. Nach dem Start verarbeitet YouTube, angeboten von Google Ireland Ltd. und Google LLC, Ihre IP-Adresse und Geräteinformationen nach eigener Verantwortlichkeit. Eine Übermittlung in die USA kann auf Grundlage des EU-US-Datenschutzrahmens erfolgen. Rechtsgrundlage ist Ihre mit dem Start der Wiedergabe erteilte Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.

3.5 Terminvereinbarung über Calendly

Schaltflächen zur Terminvereinbarung führen zu unserer externen Buchungsseite bei Calendly LLC in den USA. Für Datenübermittlungen gelten der EU-US-Datenschutzrahmen und Standardvertragsklauseln. Wenn Sie dort einen Termin buchen, verarbeitet Calendly die von Ihnen eingegebenen Angaben, insbesondere Name, E-Mail-Adresse und Terminwunsch, und übermittelt sie zur Durchführung des Gesprächs an uns. Alternativ können Sie einen Termin per E-Mail an info@helloaurora.ai vereinbaren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

3.6 KI-Check

Die Selbsteinschätzung unter /ki-check wird vollständig in Ihrem Browser ausgeführt. Ihre Antworten werden weder an Aurora noch an Dritte übermittelt.

3.7 Kontakt per E-Mail

Wenn Sie uns schreiben, verarbeiten wir Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht, um Ihr Anliegen zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vorvertraglicher oder vertraglicher Kommunikation und Art. 6 Abs. 1 lit. f DSGVO bei allgemeinen Anfragen.

4. Vertragsanbahnung und Abrechnung

ChaseList. Für unser Softwareprodukt ChaseList gilt eine eigene Datenschutzerklärung unter chaselist.helloaurora.ai/privacy; diese Datenschutzerklärung betrifft ChaseList nicht.

• Angebote und Verträge. Für Anfragen, Angebote und Aufträge verarbeiten wir geschäftliche Kontaktdaten wie Name, Funktion, Unternehmen, E-Mail-Adresse und Telefonnummer sowie Vertragsdaten wie Leistungsumfang, Vergütung und Korrespondenz. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
• Zahlungen über Stripe. Wiederkehrende Vergütungen für den laufenden Betrieb können über Stripe Payments Europe Ltd., Irland, und Stripe Inc., USA, abgewickelt werden. Für Übermittlungen gelten der EU-US-Datenschutzrahmen und Standardvertragsklauseln. Aurora speichert keine Kreditkarten- oder Kontonummern. Wir erhalten lediglich Abrechnungsstatus, Kundenreferenz und Zahlungszeitpunkte.
• Rechnungen und Bankgeschäfte. Angebote und Rechnungen werden über unseren Geschäftskontoanbieter Qonto (Olinda SAS, Frankreich) erstellt. Zahlungen werden bei Qonto und für andere Währungen gegebenenfalls bei Wise in der Europäischen Union geführt. Diese Unternehmen handeln im Rahmen ihrer bankaufsichtsrechtlichen Pflichten eigenverantwortlich.
• Aufbewahrung. Abrechnungs- und Vertragsunterlagen bewahren wir für die gesetzlichen handels- und steuerrechtlichen Fristen von bis zu zehn Jahren auf (§ 147 AO, § 257 HGB). Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO.

5. Ausdrücklich beauftragte CapacityOS-Prozessmodule

Beim Betrieb eines Prozessmoduls verarbeitet Aurora personenbezogene Daten im Auftrag des Kunden auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO.

• Verarbeitete Daten: eingehende E-Mails und Anhänge in den vereinbarten Prozesspostfächern, für die Suche aufbereitete Referenzunterlagen des Kunden, vorbereitete Entwürfe, schrittweise Ausführungsprotokolle mit Quellenangaben, Freigabeentscheidungen und nach Bestätigung übernommene Regeln.
• Betroffene Personen: Mitarbeiter und benannte Prüfer des Kunden sowie dessen eigene Kunden und sonstige Korrespondenten, deren Nachrichten und Dokumente im vereinbarten Ablauf verarbeitet werden.
• KI-Verarbeitung: Nachrichten- und Dokumenteninhalte werden durch Anthropic als primären Modellanbieter verarbeitet. OpenAI wird für Vektordarstellungen in der Dokumentensuche und als eingerichteter Ausweichanbieter genutzt. Nach den für die Schnittstellen geltenden Bedingungen verwendet keiner der Anbieter die übermittelten Daten zum Training seiner Modelle. Einzelheiten und Schutzmaßnahmen finden Sie in der Liste der Unterauftragsverarbeiter.
• Verarbeitungsorte: Die technische Plattform wird bei Hetzner in Deutschland betrieben; die Datenbanken einschließlich des Dokumentenindex bei Supabase in Frankfurt am Main. Von Aurora bereitgestellte Prozesspostfächer laufen über Google Workspace (Google Ireland Ltd.). Bei kundeneigenen Systemen erfolgt der Zugriff über die vom Kunden gewährten Zugänge. Nur Aufrufe der Modellschnittstellen von Anthropic und OpenAI werden außerhalb der Europäischen Union verarbeitet.
• Menschliche Freigabe: Keine an Kunden oder andere externe Empfänger gerichtete Nachricht wird ohne ausdrückliche Freigabe eines vom Kunden benannten Prüfers versendet. Die Prozessmodule bereiten Entwürfe vor; sie treffen keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Davon ausgenommen ist ausschließlich eine Eingangsbestätigung mit festem, nicht durch KI erstelltem Text, die keine Angaben zum Vorgang enthält und als maschinell erstellt gekennzeichnet ist.
• KI-Transparenz: Über die Prozessmodule versendete Nachrichten tragen maschinenlesbare Kennzeichnungen als KI-unterstützt und menschlich geprüft.

Werden Ihre Daten innerhalb eines Prozessmoduls eines unserer Kunden verarbeitet, ist dieser Kunde der Verantwortliche. Bitte richten Sie Ihre Betroffenenanfrage an das Unternehmen, mit dem Sie korrespondiert haben. Wir unterstützen unsere Kunden bei der Bearbeitung solcher Anfragen gemäß Art. 28 Abs. 3 lit. e DSGVO.

5a. Beratung und individuelle Automatisierungsprojekte

Je nach vereinbartem Umfang können Projektunterlagen personenbezogene Daten enthalten, etwa geschäftliche Kontaktdaten, Namen und Zuständigkeiten von Projektbeteiligten, Besprechungs- und Entscheidungsdokumentation oder personenbezogene Angaben in Test- und Migrationsunterlagen. Bei Umsetzungsprojekten können außerdem die für den vereinbarten Ablauf erforderlichen Geschäfts-, Transaktions- oder Systemdaten betroffen sein, soweit sie personenbezogen sind. Nicht jeder Auftrag erfordert Zugriff auf produktive ERP-Daten. Umfang und Zweck eines erforderlichen Zugriffs, Datenflüsse, eingesetzte Systeme, etwaige Oberflächen, Hosting, Ablageorte und Löschung werden für den jeweiligen Auftrag festgelegt. Diese Angaben werden nicht aus der CapacityOS-Architektur abgeleitet.

Soweit Aurora solche Daten im Auftrag des Kunden verarbeitet, gelten dessen dokumentierte Weisungen und der dafür vereinbarte AVV. Der Kunde ist für die Information betroffener Personen über diese Verarbeitung verantwortlich; Aurora unterstützt ihn im vereinbarten und gesetzlich vorgesehenen Umfang. Für eigene geschäftliche Kontakte, Vertragsverwaltung und Abrechnung gilt Abschnitt 4.

Die für CapacityOS in Abschnitt 5 beschriebenen KI-Dienste und Infrastrukturleistungen werden nicht allein aufgrund eines Beratungs- oder Umsetzungsauftrags eingesetzt. Eine Verarbeitung von Projekt- oder Kundendaten in solchen Diensten bedarf einer gesondert vereinbarten und datenschutzrechtlich geprüften Grundlage.

6. Empfänger und Unterauftragsverarbeiter

Die vollständige und maßgebliche Liste der Unterauftragsverarbeiter enthält Zweck, Ort und Übermittlungsgrundlage für jeden Dienst. Gegenüber Behörden legen wir personenbezogene Daten nur offen, soweit wir gesetzlich dazu verpflichtet sind.

Für individuelle Beratungs- und Umsetzungsprojekte maßgebliche Auftragsverarbeiter und Unterauftragsverarbeiter werden anhand der tatsächlich eingesetzten Dienste festgelegt und, soweit erforderlich, im projektbezogenen AVV dokumentiert. Die Anbieter für CapacityOS sind nicht automatisch Bestandteil anderer Aufträge.

7. Übermittlungen in Drittländer

Die nachfolgenden Angaben zu bestehender Infrastruktur und Anbietern beziehen sich auf die jeweils beschriebenen Website- und CapacityOS-Dienste. Bei individuellen Lösungen werden die tatsächlich vorgesehenen Verarbeitungs- und Zugriffsorte sowie gegebenenfalls erforderliche Übermittlungsgrundlagen auftragsbezogen geprüft und dokumentiert. Daraus folgt keine pauschale Zusage einer bestimmten Hosting-Architektur oder eines bestimmten Verarbeitungsorts für jede individuelle Lösung.

Die Kerninfrastruktur von Aurora befindet sich in der Europäischen Union. Übermittlungen an Anbieter in den USA, insbesondere Anthropic, OpenAI, Stripe, Calendly, YouTube nach Start eines Videos und Vercel im Rahmen seines weltweiten Auslieferungsnetzes, werden auf den EU-US-Datenschutzrahmen gestützt, soweit der Anbieter zertifiziert ist. Ergänzend kommen Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO sowie technische Schutzmaßnahmen wie Transport- und Speicherverschlüsselung und Datenminimierung zum Einsatz.

8. Ihre Rechte

• Auskunft (Art. 15 DSGVO): Sie können Auskunft über die von uns verarbeiteten personenbezogenen Daten verlangen.
• Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschung (Art. 17 DSGVO): Sie können die Löschung verlangen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können die betreffenden Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten.
• Widerspruch (Art. 21 DSGVO): Sie können einer Verarbeitung widersprechen, die auf ein berechtigtes Interesse gestützt wird.
• Keine ausschließlich automatisierte Entscheidung (Art. 22 DSGVO): Nach außen wirkende Handlungen der Prozessmodule erfordern eine menschliche Freigabe. Ausgenommen ist die oben beschriebene feste Eingangsbestätigung ohne Angaben zum Vorgang.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte schreiben Sie an privacy@helloaurora.ai. Wir antworten grundsätzlich innerhalb eines Monats. Sollte eine längere Bearbeitungszeit erforderlich sein, informieren wir Sie innerhalb dieser Frist.

9. Speicherdauer

• Anfragen: bis zur abschließenden Bearbeitung und anschließenden Löschung im Rahmen regelmäßiger Prüfungen;
• Vertrags-, Abrechnungs- und Steuerunterlagen: für die gesetzlichen Fristen von bis zu zehn Jahren;
• Daten aus Prozessmodulen: für die Dauer des Auftrags. Nach dessen Ende werden sie nach Maßgabe des AVV innerhalb von 30 Tagen nach Aufforderung zurückgegeben oder gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen;
• Serverprotokolle: nur für die kurzen Sicherheitsfristen des jeweiligen Infrastrukturanbieters.
• Personenbezogene Daten in Beratungs- und Umsetzungsprojekten: nach Zweck und Rolle der Verarbeitung; bei Auftragsverarbeitung gemäß den vereinbarten Weisungen und Rückgabe- oder Löschregelungen, bei eigenen Vertragsunterlagen gemäß den anwendbaren gesetzlichen Aufbewahrungspflichten.

10. Sicherheit

Die folgenden plattformbezogenen Maßnahmen betreffen die von Aurora betriebenen CapacityOS-Prozessmodule. Sie beschreiben nicht pauschal individuelle Lösungen oder die Systeme eines Kunden oder dessen Umsetzungspartners.

• Verschlüsselung aller Übertragungen über HTTPS/TLS 1.3 und Verschlüsselung gespeicherter Daten durch die Infrastrukturanbieter;
• strikte Mandantentrennung in der technischen Plattform und den Datenbanken;
• Zugriffsrechte nach dem Prinzip des erforderlichen Mindestumfangs; verschlüsselte Speicherung von Zugangsdaten außerhalb des Quellcodes;
• schrittweise Protokollierung jeder Ausführung und jeder Freigabeentscheidung;
• fortlaufende automatisierte Überwachung der produktiv eingesetzten Systeme.

Für individuelle Beratungs- und Umsetzungsprojekte werden erforderliche Zugänge, Berechtigungen, Datenübertragungs- und Ablagewege sowie die jeweiligen Verantwortlichkeiten auftragsbezogen abgestimmt. Bei einer Auftragsverarbeitung werden die einschlägigen technischen und organisatorischen Maßnahmen im zugehörigen AVV dokumentiert. Angaben zu UAT, Sicherheitsrollen oder Funktionstrennung auf unseren Leistungsseiten beschreiben Beratungsinhalte und Beispiele; sie sind keine Zertifizierung oder Garantie für die Sicherheit eines Kundensystems.

11. Daten von Kindern

Unsere Leistungen richten sich an Unternehmen und nicht an Personen unter 16 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Kindern. Sollten uns solche Daten bekannt werden, löschen wir sie unverzüglich.

12. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für Aurora ist zuständig:

13. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Leistungen oder die rechtlichen Anforderungen ändern. Wesentliche Änderungen teilen wir aktiven Kunden per E-Mail mit. Der oben genannte Stand bezeichnet die jüngste Überarbeitung.