Unterauftragsverarbeiter
Zuletzt aktualisiert · 2026-09-09
Dies ist eine unverbindliche Übersetzung — bei Abweichungen ist die englische Fassung dieses Dokuments rechtlich maßgeblich.
Diese Seite listet jeden Drittanbieterdienst auf, der im Auftrag von Rexa Kundendaten verarbeitet. Gemäß DSGVO Art. 28(2) werden Kunden mindestens 30 Tage vor der Aufnahme eines neuen Unterauftragsverarbeiters informiert.
Unterauftragsverarbeiter mit der Kennzeichnung "Opt-in des Kunden" sehen Kundendaten nur, wenn der Workspace-Administrator die betreffende Integration ausdrücklich aktiviert. Das Entfernen einer Integration entzieht dem Unterauftragsverarbeiter den Zugriff sofort.
Aktive und geplante Unterauftragsverarbeiter
| Anbieter | Zweck | Region | Status | AVV |
|---|---|---|---|---|
| AWS (Amazon Web Services) Ausschließlich verschlüsselte Belegdateien — Rexa hält die Schlüssel, AWS sieht nur Chiffretext. | S3-Objektspeicher für verschlüsselte Beleg-Blobs; KMS zum Entpacken der Envelope-Schlüssel. | eu-central-1 (Frankfurt) | Immer aktiv | Unterzeichnet |
| Fly.io Vollständige Workspace-Daten, verschlüsselt im Ruhezustand, TLS innerhalb der VPC. | Hosting der API- und Worker-Prozesse; verwaltete Postgres- und Redis-Dienste. | ams (Amsterdam) | Immer aktiv | Unterzeichnet |
| Vercel Anmelde-Tokens (nur im Browser), keine dauerhafte Speicherung von Kundendaten. | Hosting der Marketing-Website und der Kunden-Webanwendung. | EU (eu-central) Edge-Regionen | Immer aktiv | Unterzeichnet |
| Resend Empfänger-E-Mail + Nachrichteninhalt für die Dauer der Zustellung (Aufbewahrung bei Resend: 30 Tage). | Transaktionale E-Mails (Verifizierung, Einladungen, Passwort-Zurücksetzung). | EU-Region (sofern verfügbar); Rückgriff auf US-East mit SCCs. | Immer aktiv | Ausstehend |
| Klippa Belegbild + extrahierter Text. Gemäß der Aufbewahrungsrichtlinie von Klippa. | Beleg-OCR (wenn OCR_PROVIDER=klippa). | Niederlande | Immer aktiv | Ausstehend |
| Anthropic Aktivitäts-Snapshot des Workspace (Händler, Beträge, Datumsangaben, Status) + die eingegebene Frage des Nutzers. Keine E-Mail-Adresse, keine Kartennummer. Keine Speicherung aufseiten von Anthropic. | KI-Assistent für Karteninhaber (Zusammenfassung + Chat), wenn vom Kunden aktiviert. | Vereinigte Staaten (US-SCCs finden Anwendung). | Opt-in des Kunden | Ausstehend |
| TrueLayer Vom Kunden initiierte AISP-Einwilligung + Transaktionshistorie je erteilter Einwilligung. | Open-Banking-Adapter für die kontinuierliche Synchronisierung von Amex Business. | EU + UK | Geplant (noch nicht live) | Ausstehend |
| Exact Online Vom Kunden autorisierte OAuth-Tokens + die Daten, die der Kunde per Export überträgt. | Export-Konnektor für die Buchhaltung (wenn vom Kunden konfiguriert). | Niederlande | Opt-in des Kunden | Unterzeichnet |
| Twinfield (Wolters Kluwer) Vom Kunden autorisierte OAuth-Tokens + die Transaktionsdaten, die der Kunde per Export überträgt. | Export-Konnektor für die Buchhaltung (wenn vom Kunden konfiguriert). | Niederlande | Geplant (noch nicht live) | Ausstehend |
| PostHog Pseudonyme Nutzer-ID + Event-Eigenschaften (niemals E-Mail, Name, Kartennummer oder Beleginhalte) + Ingestion-IP. | Produktanalysen (Server-Events immer; In-App-Events erst nach Cookie-Einwilligung). | EU-Cloud (eu.i.posthog.com). | Immer aktiv | Ausstehend |
| Apple (APNs) Push-Token des Geräts + Titel/Text der Benachrichtigung (eine Genehmigungsbenachrichtigung enthält Händler und Betrag). | Push-Benachrichtigungen an die iOS-App (Genehmigungen, Beleg-Zuordnungen, Erinnerungen). | Vereinigte Staaten (US-SCCs finden Anwendung). | Immer aktiv | Ausstehend |
| Sentry Fehler-Stacktraces + Request-Kontext, einschließlich ID und E-Mail des angemeldeten Nutzers. | Fehlerüberwachung (nur Produktion, wenn SENTRY_DSN gesetzt ist). | Sentry SaaS (EU-Region). | Opt-in des Kunden | Ausstehend |
Wie wir Kunden benachrichtigen
Workspace-Administratoren erhalten mindestens 30 Tage bevor ein neuer Unterauftragsverarbeiter live geht eine E-Mail. Derselbe Hinweis wird im Rexa-Changelog und auf dieser Seite veröffentlicht. Kunden können während der Ankündigungsfrist widersprechen; können wir den Dienst ohne den neuen Unterauftragsverarbeiter vernünftigerweise nicht erbringen, kann der Kunde ohne Vertragsstrafe kündigen.
Änderungen abonnieren
Abonnieren Sie Updates zu Unterauftragsverarbeitern per E-Mail an privacy@rexa.one. Wir führen eine von Marketing-E-Mails getrennte Benachrichtigungsliste.
Fragen
Fragen zu einem bestimmten Unterauftragsverarbeiter (Region, Aufbewahrung, Sicherheitsniveau): privacy@rexa.one. Wir antworten innerhalb eines Werktages.