# Unterauftragsverarbeiter und Dienstleister

Stand 19. September 2026 · Anlage 2 zur Vereinbarung zur Auftragsverarbeitung
Quelle und maßgebliche Fassung: https://trust.fizard.com/subprozessoren

> Gilt für Verträge ab dem 24. September 2026. Für vor diesem Tag geschlossene Verträge gilt diese Liste als Anlage 2 zur AVV ab dem 12. November 2026 (Änderungsmitteilung vom 24. September 2026); bis dahin gilt die bisherige Fassung der AVV vom 22.12.2025, abrufbar unter [Bisherige Fassungen](https://trust.fizard.com/aenderungen#archiv-fassungen).

> Änderungen an dieser Liste kündigen wir mindestens 30 Tage vor dem Einsatz in Textform (E-Mail) an und vermerken sie hier mit Datum ([§ 8 Abs. 2 und 3 AVV](https://trust.fizard.com/avv#avv-8)).

## Teil A – Genehmigte Unterauftragsverarbeiter

| Unternehmen, Anschrift | Module | Leistung | Datenkategorien | Verarbeitungsort | Übermittlungsmechanismus | Letzte Prüfung des Übermittlungsmechanismus | Nachgelagerte Unterauftragsverarbeiter |
| --- | --- | --- | --- | --- | --- | --- | --- |
| Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg (Konzern: Amazon.com, Inc., USA) | alle | Datenbank von app.fizard.com (RDS, verschlüsselt); Objektspeicher für Belege, Exporte, E-Rechnungen und Importdateien (S3) mit Auslieferung über CloudFront (files.fizard.com); Sicherungen (AWS Backup); E-Mail-Versand (SES) | alle Kategorien nach Anlage 1 zur AVV (app.fizard.com); Belegdateien, Exportdateien, E-Rechnungen, E-Mail-Adressen der Empfänger | Deutschland (Frankfurt); Supportzugriffe aus den USA möglich | Verarbeitung im EWR; für Supportzugriffe Data Privacy Framework (Amazon.com, Inc.) und Standardvertragsklauseln Modul 3 | 17.09.2026 | [Liste des Anbieters](https://aws.amazon.com/compliance/sub-processors/) |
| DigitalOcean, LLC, 105 Edgeview Drive, Suite 425, Broomfield, CO 80021, USA | alle | Betrieb der Web-Apps app.fizard.ai und app.fizard.com (Anwendungscontainer, Hintergrundverarbeitung; für app.fizard.ai verwaltete Datenbank und Zwischenspeicher, für app.fizard.com Zwischenspeicher) | alle Kategorien nach Anlage 1 zur AVV | Deutschland (Frankfurt); Supportzugriffe aus den USA möglich | Verarbeitung im EWR; für Supportzugriffe Data Privacy Framework und Standardvertragsklauseln Modul 3 | 17.09.2026 | [Liste des Anbieters](https://www.digitalocean.com/trust/subprocessors) |
| Functional Software, Inc. (Sentry), 45 Fremont Street, San Francisco, CA 94105, USA | alle | Fehleranalyse | Fehlerkontext und technische Kennungen nach einer festgelegten Positivliste; Inhaltsdaten, Geheimnisse und nicht erforderliche Kennungen werden vor der Übermittlung ausgeschlossen | USA | Data Privacy Framework und Standardvertragsklauseln Modul 3 | 17.09.2026 | [Liste des Anbieters](https://sentry.io/legal/subprocessors/) |
| Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland | KI-Plattform für Kanzleien | Belegauswertung mit KI (Vertex AI, Gemini): Datenextraktion, Umsatzsteuer-Aufschlüsselung, Steuerfall, Kontierungs- und Buchungstextvorschläge | Belegdateien, Unternehmensdaten des Auftraggebers, Geschäftspartnernamen, frühere Buchungstexte | Region EU (Multiregion: mehrere Rechenzentren in der EU) | Verarbeitung in der EU; für Supportzugriffe Data Privacy Framework (Google LLC) und Standardvertragsklauseln Modul 3; kein Training mit Auftragsdaten | 17.09.2026 | [Liste des Anbieters](https://cloud.google.com/terms/subprocessors) |
| Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland | alle | E-Mail-Postfächer für Support (Google Workspace) | Supportanfragen mit den vom Auftraggeber übermittelten Inhalten | Google-Rechenzentren in der EU und den USA | Data Privacy Framework (Google LLC) und Standardvertragsklauseln Modul 3 | 17.09.2026 | [Liste des Anbieters](https://workspace.google.com/terms/subprocessors.html) |
| Slack Technologies, LLC (Salesforce, Inc.), Salesforce Tower, 415 Mission Street, 3rd Floor, San Francisco, CA 94105, USA | alle | Supportkommunikation (Feedback-Dialog der App, gemeinsame Support-Kanäle für Auftraggeber mit individuellem Angebot) | vom Auftraggeber übermittelte Inhalte und Anfragen | USA | Data Privacy Framework (Salesforce, Inc.) und Standardvertragsklauseln Modul 3 | 17.09.2026 | [Liste des Anbieters](https://www.salesforce.com/company/legal/trust-and-compliance-documentation/) (Dokument „Salesforce Infrastructure and Sub-processors“) |
| Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA | DATEV-Export für Stripe | Auslieferung der Benutzeroberfläche von app.fizard.com (serverseitiges Rendering, Auslieferungsnetz, Tunnel für Fehlerberichte) | Anfragedaten (IP-Adresse, Sitzungskennung, aufgerufene Seiten); Inhalte nur transient bei der Darstellung | Auslieferungsnetz weltweit | Data Privacy Framework und Standardvertragsklauseln Modul 3 | 17.09.2026 | [Liste des Anbieters](https://security.vercel.com/) (Trust Center, Abschnitt Subprocessors) |

Die Übermittlungsmechanismen der Tabelle (Standardvertragsklauseln Modul 3, Data Privacy Framework) erläutern [§ 8 Abs. 5 AVV](https://trust.fizard.com/avv#avv-8) und die [Datenschutzerklärung A5](https://trust.fizard.com/datenschutz#dse-a5).

Keine Unterauftragsverarbeiter im Sinne dieser Vereinbarung sind Dienste, die keine Auftragsdaten verarbeiten: die Quellcode- und Build-Plattform, die Verwaltung von Infrastrukturkonfiguration und Secrets, der Wechselkursdienst sowie Slack, soweit es nur interne Registrierungs- und Statusmeldungen ohne Auftragsdaten erhält. Externe natürliche Personen setzt der Auftragnehmer nur bei tatsächlicher unmittelbarer Unterstellung unter seine Weisungen wie eigene Mitarbeitende ein (Art. 29 DSGVO); sie sind schriftlich auf Vertraulichkeit und Datenschutz verpflichtet und keine Unterauftragsverarbeiter. Dienstleister, die Auftragsdaten eigenständig verarbeiten, bindet der Auftragnehmer vor einem Zugriff als Unterauftragsverarbeiter nach § 8 ein.

## Teil B – Dienstleister des Auftraggebers (keine Unterauftragsverarbeiter)

| Stelle | Module | Rolle | Datenfluss | Bedingungen |
| --- | --- | --- | --- | --- |
| DATEV eG, Paumgartnerstraße 6–14, 90429 Nürnberg | DATEV-Export für Stripe, KI-Plattform für Kanzleien | Auftragsverarbeiter des Auftraggebers beziehungsweise seiner Kanzlei | Übertragung von Buchungsdaten und Belegbildern über den Buchungsdatenservice auf Weisung des Auftraggebers | Vertrag zur Auftragsverarbeitung zwischen Kanzlei beziehungsweise Auftraggeber und DATEV; Freigabe des Datenservice durch die Kanzlei |
| finAPI GmbH, Adams-Lehmann-Straße 44, 80797 München | KI-Plattform für Kanzleien | Kontoinformationsdienst (Zahlungsinstitut mit Erlaubnis der Bundesanstalt für Finanzdienstleistungsaufsicht), eigenständig Verantwortliche für den Abruf bei der Bank | Übermittlung von Kontostammdaten, Salden und Umsätzen an den Auftragnehmer auf Zustimmung des Auftraggebers | Nutzungsbedingungen und Datenschutzhinweise von finAPI, angezeigt beim Verbinden; Widerruf gegenüber finAPI, der Bank oder im Kundenkonto. Betrieb laut Leistungsbeschreibung von finAPI ausschließlich in Deutschland im Rechenzentrum von Amazon Web Services EMEA SARL, Raum Frankfurt |
| Kontoführende Banken des Auftraggebers | KI-Plattform für Kanzleien | Zahlungsdienstleister des Auftraggebers | Bereitstellung der Umsätze an finAPI beziehungsweise Export von Kontoauszugsdateien durch den Auftraggeber | Bedingungen der jeweiligen Bank |
| Qonto (Olinda SAS), 18 rue de Navarin, 75009 Paris, Frankreich | KI-Plattform für Kanzleien | Kontoführender Zahlungsdienstleister des Auftraggebers | Optionale Kontoanbindung: Abruf von Kontodaten, Salden, Umsätzen, Belegen und, soweit freigeschaltet, Karteninhabern über den vom Auftraggeber in Qonto erzeugten Zugriffsschlüssel (nur lesend) | Bedingungen von Qonto für die Nutzung der Schnittstelle; Beendigung in Qonto oder im Kundenkonto |
| Rechnungsempfänger des Auftraggebers | E-Rechnung für Stripe | Empfänger | Zustellung der E-Rechnungen auf Weisung des Auftraggebers | – |
| Steuerliche Beratung des Auftraggebers | DATEV-Export für Stripe, KI-Plattform für Kanzleien | Eigenständig Verantwortliche, Berufsgeheimnisträgerin (§ 11 Abs. 2 StBerG) | Empfang der Buchungsdaten und Belege | Mandatsvertrag des Auftraggebers |
| Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland | DATEV-Export für Stripe, E-Rechnung für Stripe | Zahlungsdienstleister des Auftraggebers; Datenquelle | Lesender Abruf durch die installierte Stripe-App auf Weisung des Auftraggebers; Erstellung von Saldenberichten zur Abstimmung | [Stripe Services Agreement](https://stripe.com/de/legal/ssa), [Datenschutzerklärung von Stripe](https://stripe.com/de/privacy); Beendigung durch Deinstallation der App im Stripe-Dashboard |

## Teil C – Änderungsverfahren

Beabsichtigte Hinzuziehungen oder Ersetzungen teilt der Auftragnehmer mindestens 30 Tage vor dem Einsatz per E-Mail an die nach § 13 Abs. 3 AVV maßgebliche Kontaktadresse (Kundenkonto, bei der Stripe-App das Stripe-Konto) mit und vermerkt sie in dieser Liste mit Datum (§ 8 Abs. 2 AVV). Der Auftraggeber kann innerhalb von 30 Tagen nach Zugang in Textform widersprechen; die Rechtsfolgen regelt § 8 Abs. 3 AVV.