Teil A – Genehmigte Unterauftragsverarbeiter
| Unternehmen, Anschrift | Module | Leistung | Datenkategorien | Verarbeitungsort | Übermittlungsmechanismus | Letzte Prüfung des Übermittlungsmechanismus | Nachgelagerte Unterauftragsverarbeiter |
|---|---|---|---|---|---|---|---|
| Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg (Konzern: Amazon.com, Inc., USA) | alle | Datenbank von app.fizard.com (RDS, verschlüsselt); Objektspeicher für Belege, Exporte, E-Rechnungen und Importdateien (S3) mit Auslieferung über CloudFront (files.fizard.com); Sicherungen (AWS Backup); E-Mail-Versand (SES) | alle Kategorien nach Anlage 1 zur AVV (app.fizard.com); Belegdateien, Exportdateien, E-Rechnungen, E-Mail-Adressen der Empfänger | Deutschland (Frankfurt); Supportzugriffe aus den USA möglich | Verarbeitung im EWR; für Supportzugriffe Data Privacy Framework (Amazon.com, Inc.) und Standardvertragsklauseln Modul 3 | 17.09.2026 | Liste des Anbieters |
| DigitalOcean, LLC, 105 Edgeview Drive, Suite 425, Broomfield, CO 80021, USA | alle | Betrieb der Web-Apps app.fizard.ai und app.fizard.com (Anwendungscontainer, Hintergrundverarbeitung; für app.fizard.ai verwaltete Datenbank und Zwischenspeicher, für app.fizard.com Zwischenspeicher) | alle Kategorien nach Anlage 1 zur AVV | Deutschland (Frankfurt); Supportzugriffe aus den USA möglich | Verarbeitung im EWR; für Supportzugriffe Data Privacy Framework und Standardvertragsklauseln Modul 3 | 17.09.2026 | Liste des Anbieters |
| Functional Software, Inc. (Sentry), 45 Fremont Street, San Francisco, CA 94105, USA | alle | Fehleranalyse | Fehlerkontext und technische Kennungen nach einer festgelegten Positivliste; Inhaltsdaten, Geheimnisse und nicht erforderliche Kennungen werden vor der Übermittlung ausgeschlossen | USA | Data Privacy Framework und Standardvertragsklauseln Modul 3 | 17.09.2026 | Liste des Anbieters |
| Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland | KI-Plattform für Kanzleien | Belegauswertung mit KI (Vertex AI, Gemini): Datenextraktion, Umsatzsteuer-Aufschlüsselung, Steuerfall, Kontierungs- und Buchungstextvorschläge | Belegdateien, Unternehmensdaten des Auftraggebers, Geschäftspartnernamen, frühere Buchungstexte | Region EU (Multiregion: mehrere Rechenzentren in der EU) | Verarbeitung in der EU; für Supportzugriffe Data Privacy Framework (Google LLC) und Standardvertragsklauseln Modul 3; kein Training mit Auftragsdaten | 17.09.2026 | Liste des Anbieters |
| Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland | alle | E-Mail-Postfächer für Support (Google Workspace) | Supportanfragen mit den vom Auftraggeber übermittelten Inhalten | Google-Rechenzentren in der EU und den USA | Data Privacy Framework (Google LLC) und Standardvertragsklauseln Modul 3 | 17.09.2026 | Liste des Anbieters |
| Slack Technologies, LLC (Salesforce, Inc.), Salesforce Tower, 415 Mission Street, 3rd Floor, San Francisco, CA 94105, USA | alle | Supportkommunikation (Feedback-Dialog der App, gemeinsame Support-Kanäle für Auftraggeber mit individuellem Angebot) | vom Auftraggeber übermittelte Inhalte und Anfragen | USA | Data Privacy Framework (Salesforce, Inc.) und Standardvertragsklauseln Modul 3 | 17.09.2026 | Liste des Anbieters (Dokument „Salesforce Infrastructure and Sub-processors“) |
| Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA | DATEV-Export für Stripe | Auslieferung der Benutzeroberfläche von app.fizard.com (serverseitiges Rendering, Auslieferungsnetz, Tunnel für Fehlerberichte) | Anfragedaten (IP-Adresse, Sitzungskennung, aufgerufene Seiten); Inhalte nur transient bei der Darstellung | Auslieferungsnetz weltweit | Data Privacy Framework und Standardvertragsklauseln Modul 3 | 17.09.2026 | Liste des Anbieters (Trust Center, Abschnitt Subprocessors) |
Die Übermittlungsmechanismen der Tabelle (Standardvertragsklauseln Modul 3, Data Privacy Framework) erläutern § 8 Abs. 5 AVV und die Datenschutzerklärung A5.
Keine Unterauftragsverarbeiter im Sinne dieser Vereinbarung sind Dienste, die keine Auftragsdaten verarbeiten: die Quellcode- und Build-Plattform, die Verwaltung von Infrastrukturkonfiguration und Secrets, der Wechselkursdienst sowie Slack, soweit es nur interne Registrierungs- und Statusmeldungen ohne Auftragsdaten erhält. Externe natürliche Personen setzt der Auftragnehmer nur bei tatsächlicher unmittelbarer Unterstellung unter seine Weisungen wie eigene Mitarbeitende ein (Art. 29 DSGVO); sie sind schriftlich auf Vertraulichkeit und Datenschutz verpflichtet und keine Unterauftragsverarbeiter. Dienstleister, die Auftragsdaten eigenständig verarbeiten, bindet der Auftragnehmer vor einem Zugriff als Unterauftragsverarbeiter nach § 8 ein.
Teil B – Dienstleister des Auftraggebers (keine Unterauftragsverarbeiter)
| Stelle | Module | Rolle | Datenfluss | Bedingungen |
|---|---|---|---|---|
| DATEV eG, Paumgartnerstraße 6–14, 90429 Nürnberg | DATEV-Export für Stripe, KI-Plattform für Kanzleien | Auftragsverarbeiter des Auftraggebers beziehungsweise seiner Kanzlei | Übertragung von Buchungsdaten und Belegbildern über den Buchungsdatenservice auf Weisung des Auftraggebers | Vertrag zur Auftragsverarbeitung zwischen Kanzlei beziehungsweise Auftraggeber und DATEV; Freigabe des Datenservice durch die Kanzlei |
| finAPI GmbH, Adams-Lehmann-Straße 44, 80797 München | KI-Plattform für Kanzleien | Kontoinformationsdienst (Zahlungsinstitut mit Erlaubnis der Bundesanstalt für Finanzdienstleistungsaufsicht), eigenständig Verantwortliche für den Abruf bei der Bank | Übermittlung von Kontostammdaten, Salden und Umsätzen an den Auftragnehmer auf Zustimmung des Auftraggebers | Nutzungsbedingungen und Datenschutzhinweise von finAPI, angezeigt beim Verbinden; Widerruf gegenüber finAPI, der Bank oder im Kundenkonto. Betrieb laut Leistungsbeschreibung von finAPI ausschließlich in Deutschland im Rechenzentrum von Amazon Web Services EMEA SARL, Raum Frankfurt |
| Kontoführende Banken des Auftraggebers | KI-Plattform für Kanzleien | Zahlungsdienstleister des Auftraggebers | Bereitstellung der Umsätze an finAPI beziehungsweise Export von Kontoauszugsdateien durch den Auftraggeber | Bedingungen der jeweiligen Bank |
| Qonto (Olinda SAS), 18 rue de Navarin, 75009 Paris, Frankreich | KI-Plattform für Kanzleien | Kontoführender Zahlungsdienstleister des Auftraggebers | Optionale Kontoanbindung: Abruf von Kontodaten, Salden, Umsätzen, Belegen und, soweit freigeschaltet, Karteninhabern über den vom Auftraggeber in Qonto erzeugten Zugriffsschlüssel (nur lesend) | Bedingungen von Qonto für die Nutzung der Schnittstelle; Beendigung in Qonto oder im Kundenkonto |
| Rechnungsempfänger des Auftraggebers | E-Rechnung für Stripe | Empfänger | Zustellung der E-Rechnungen auf Weisung des Auftraggebers | – |
| Steuerliche Beratung des Auftraggebers | DATEV-Export für Stripe, KI-Plattform für Kanzleien | Eigenständig Verantwortliche, Berufsgeheimnisträgerin (§ 11 Abs. 2 StBerG) | Empfang der Buchungsdaten und Belege | Mandatsvertrag des Auftraggebers |
| Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland | DATEV-Export für Stripe, E-Rechnung für Stripe | Zahlungsdienstleister des Auftraggebers; Datenquelle | Lesender Abruf durch die installierte Stripe-App auf Weisung des Auftraggebers; Erstellung von Saldenberichten zur Abstimmung | Stripe Services Agreement, Datenschutzerklärung von Stripe; Beendigung durch Deinstallation der App im Stripe-Dashboard |
Teil C – Änderungsverfahren
Beabsichtigte Hinzuziehungen oder Ersetzungen teilt der Auftragnehmer mindestens 30 Tage vor dem Einsatz per E-Mail an die nach § 13 Abs. 3 AVV maßgebliche Kontaktadresse (Kundenkonto, bei der Stripe-App das Stripe-Konto) mit und vermerkt sie in dieser Liste mit Datum (§ 8 Abs. 2 AVV). Der Auftraggeber kann innerhalb von 30 Tagen nach Zugang in Textform widersprechen; die Rechtsfolgen regelt § 8 Abs. 3 AVV.