Unterauftragsverarbeiter
Übersicht der Dienstleister, die in unserem Auftrag personenbezogene Daten verarbeiten. Stand: 21. Oktober 2026. Änderungen kündigen wir vorab an.
| Dienstleister | Zweck | Ort der Verarbeitung | Grundlage |
|---|---|---|---|
| Hetzner Online GmbH | Hosting der Anwendung, Datenbank und Belegspeicher | Deutschland (Nürnberg/Falkenstein) und Finnland (Helsinki) | Keine Drittlandsübermittlung |
| Anthropic PBC | KI-Auswertung: Kategorisierung, Belegauslesung, Prüfhinweise | USA | Art. 28 AVV (geschlossen 15.08.2026), EU-Standardvertragsklauseln 2021/914 Modul 2; kein Training auf übermittelten Daten |
| Groq Inc. | KI-Auswertung: erste Kategorisierungsstufe und Gegenprüfung von Prüfhinweisen | USA | Art. 28 AVV (geschlossen 15.08.2026), EU-Standardvertragsklauseln 2021/914 Modul 2; kein Training auf übermittelten Daten |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung (Karte, PayPal) und Identitätsprüfung nach § 87d AO (Ausweisdokument + Selfie über Stripe Identity) | Irland (Dublin); Stripe, Inc. (USA) als Unterauftragsverarbeiter von Stripe | Art. 28 AVV als Bestandteil der Stripe Services Agreement (Data Processing Agreement); für eigene gesetzliche Pflichten (Geldwäsche- und Betrugsprävention) ist Stripe eigener Verantwortlicher; EU-Standardvertragsklauseln 2021/914 für die Verarbeitung durch Stripe, Inc., ergänzend EU-US Data Privacy Framework (zertifiziert); der biometrische Abgleich nur mit ausdrücklicher Einwilligung; wir speichern nur die nach § 87d AO vorgeschriebenen Angaben und lassen die bestätigte Prüfung mit Ausweisbildern und Selfie danach bei Stripe löschen (abgeschlossen innerhalb von vier Tagen) |
| Zitadel | Anmeldung und Identitätsverwaltung (OIDC) | CAOS AG, St. Gallen (Schweiz); Verarbeitungsregion EU (Zitadel Cloud eu1) | Art. 28 AVV als Bestandteil der Zitadel-Cloud-Bedingungen; Datenhaltung in der EU, Schweiz: Angemessenheitsbeschluss |
| Amazon Web Services EMEA SARL | Versand von Benachrichtigungs-E-Mails über Amazon SES (z. B. Hinweis auf zu prüfende Positionen, Fristerinnerungen, Kaufbestätigung) | Luxemburg; Verarbeitung in der AWS-Region Frankfurt (eu-central-1); Amazon Web Services, Inc. (USA) als Unterauftragsverarbeiter von AWS | Art. 28 AVV als Bestandteil der AWS-Dienstbedingungen (AWS GDPR Data Processing Addendum); EU-Standardvertragsklauseln 2021/914 für die Verarbeitung durch Amazon Web Services, Inc., ergänzend EU-US Data Privacy Framework (zertifiziert) |
| Zoho Corporation B.V. | Betrieb der Kontakt-Postfächer (info@, datenschutz@, support@) | Utrecht (Niederlande); Rechenzentrumsregion EU | Art. 28 AVV als Bestandteil der Zoho-Nutzungsbedingungen (Zoho Data Processing Addendum); Datenhaltung in der EU |
Keine Unterauftragsverarbeiter
Nicht ausgelagert und ausschließlich auf unserer eigenen Infrastruktur betrieben werden: die Steuerberechnung, die Texterkennung gescannter Belege (OCR), die Workflow-Steuerung, die Datenbank sowie die ERiC-Bibliothek für die Übermittlung an die Finanzverwaltung.
Übermittlung an die Finanzverwaltung
Die Finanzverwaltung ist kein Auftragsverarbeiter, sondern eigenständige Verantwortliche. Die Übermittlung erfolgt erst nach Ihrer ausdrücklichen Freigabe des konkreten Datensatzes.