Fassung vom 21.10.2026
Auftragsverarbeiter: Vanturis UG (haftungsbeschränkt), Hintergasse 12, 55237 Flonheim
Diese Anlage hat drei Teile:
Links zuletzt geprüft am 21.10.2026. Vor Veröffentlichung erneut prüfen.
| # | Unterauftragsverarbeiter | Leistung / Zweck | Sitz | Datenstandort | Drittland / Rechtsgrundlage | Status | Datenschutzvereinbarung |
|---|---|---|---|---|---|---|---|
| A1 | Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Server (Rechenzentrum), Objektspeicher für Belege und Backups (mit Object Lock) | Deutschland | Deutschland (Nürnberg, Falkenstein); Helsinki (FI) nur als Ausweichstandort [PRÜFEN] | keine Drittlandübermittlung; Hetzner nutzt eigene Subunternehmer (Liste siehe Link) | immer aktiv | AV-Vertrag im Kundenkonto: https://accounts.hetzner.com/account/dpa (Standardvertrag, Abschluss per Checkbox). Datenschutzinfo: https://docs.hetzner.com/de/general/company-and-policy/data-protection-at-hetzner/ ; Subunternehmer: https://www.hetzner.com/AV/subunternehmer.pdf |
| A2 | Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg | KI-Verarbeitung über Amazon Bedrock (Belegerkennung, Kontierungsvorschläge) | Luxemburg (Konzernmutter Amazon.com, Inc., USA) | nur EU-Regionen, z. B. eu-central-1 (Frankfurt); Inferenz ausschließlich über EU-Inferenzprofil oder Einzelregion, kein globales Profil | im Regelbetrieb keine Übermittlung in Drittländer. Für mögliche Fernzugriffe durch AWS-Konzerngesellschaften: AWS DPA mit SCC (2021/914); Amazon.com, Inc. DPF-zertifiziert [PRÜFEN] auf dataprivacyframework.gov. Risiko US CLOUD Act: TIA erforderlich | optional, standardmäßig aus; Aktivierung je Organisation durch den Inhaber, zusätzlich pro Mandant abschaltbar | AWS GDPR Data Processing Addendum, Bestandteil der AWS Service Terms: https://aws.amazon.com/service-terms/ bzw. https://d1.awsstatic.com/legal/aws-dpa/aws-dpa.pdf ; Datenaufbewahrung Bedrock: https://docs.aws.amazon.com/bedrock/latest/userguide/data-retention.html |
| A3 | [PLATZHALTER EU-Transaktionsmail-Anbieter] | Zustellung von Systemmails (Einladungen, Passwort/Passkey-Hinweise, Benachrichtigungen ohne Inhalte, Rechnungsversand des Kunden) | EU [PRÜFEN] | EU | keine [PRÜFEN] | optional; entfällt, wenn ausschließlich selbst gehostetes Stalwart genutzt wird | [PRÜFEN] |
Ergänzung vor Aktivierung: Folgende Dienste werden in diese Anlage aufgenommen (soweit Unterauftragsverarbeiter, mit Vorankündigung nach AVV § 8 Abs. 3), bevor sie aktiviert werden: Mistral (KI-Rückfalloption), Mollie (Zahlungen), Peppol-Access-Point (E-Rechnungsversand), Push-Dienste (Expo Push Service von 650 Industries, Inc., Apple APNs, Google FCM), GitHub. Bis dahin werden sie nicht eingesetzt.
Stripe wickelt ausschließlich die Abonnement-Zahlungen des Kunden an Vanturis ab. Dabei verarbeitet Stripe Daten des Kunden als Vertragspartner von Vanturis, nicht Buchhaltungsdaten des Kunden. Für diese Daten ist Vanturis selbst Verantwortlicher (AVV § 3 Abs. 2 lit. a). Stripe ist für diese Verarbeitung teils Auftragsverarbeiter von Vanturis, teils eigener Verantwortlicher (Betrugsprävention, Geldwäscheprävention, KYC). Stripe wird deshalb in der Datenschutzerklärung von Vanturis genannt, nicht in dieser Anlage.
| Anbieter | Rolle | Sitz | Datenstandort | Drittland | DPA |
|---|---|---|---|---|---|
| Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland | Billing/Zahlungsabwicklung für Vanturis; Auftragsverarbeiter von Vanturis bzw. eigener Verantwortlicher | Irland | EU und USA (Übermittlung an Stripe, LLC) | DPF (Stripe, LLC zertifiziert) mit SCC (2021/914) als Rückfallebene laut Stripe Data Transfers Addendum | https://stripe.com/legal/dpa (Bestandteil des Stripe Services Agreement); Data Transfers Addendum: https://stripe.com/legal/dta ; Subprozessoren: https://stripe.com/service-providers/legal |
Falls Cento eine Funktion erhält, mit der Kunden ihre eigenen Zahlungen über Stripe abwickeln (z. B. Rechnungen per Karte bezahlen lassen), schließt der Kunde einen eigenen Vertrag mit Stripe. Stripe ist dann in Teil B einzuordnen.
| # | Stelle | Funktion in Cento | Rolle | Kurzbegründung |
|---|---|---|---|---|
| B1 | Qonto (Olinda SAS, Frankreich; Zahlungsinstitut) | Abruf von Kontoumsätzen und Kontoständen des Qonto-Geschäftskontos des Kunden über die Qonto-API; Verbindung durch den Kunden (OAuth) | eigener Verantwortlicher (kontoführendes Zahlungsinstitut des Kunden) | Qonto führt das Konto aufgrund eines eigenen Vertrags mit dem Kunden und verarbeitet die Kontodaten für eigene Zwecke und Pflichten (ZAG/PSD2, Geldwäsche). Qonto arbeitet nicht im Auftrag von Vanturis. Die Datenübermittlung von Qonto an Cento erfolgt auf Veranlassung des Kunden; ab Eingang in Cento verarbeitet Vanturis die Daten als Auftragsverarbeiter des Kunden. |
| B2 | Kontoführende Banken über FinTS/HBCI | Abruf von Umsätzen über die FinTS-Schnittstelle der Bank des Kunden | eigener Verantwortlicher (Bank des Kunden) | wie B1. |
| B3 | Enable Banking Oy (Finnland), oder anderer PSD2-Kontoinformationsdienst | Zugang zu Konten bei anderen Banken über PSD2-Schnittstellen | eigener Verantwortlicher, sofern unter eigener Lizenz als Kontoinformationsdienstleister gegenüber dem Kontoinhaber tätig (Enable Banking: registrierter AISP bei der finnischen Finanzaufsicht FIN-FSA). Der Kunde akzeptiert bei der Verbindung die Bedingungen und Datenschutzhinweise von Enable Banking. | Der lizenzierte Kontoinformationsdienst erbringt einen regulierten Zahlungsdienst gegenüber dem Kontoinhaber auf dessen ausdrückliche Zustimmung (Art. 67 PSD2) und trägt dafür eigene aufsichts- und datenschutzrechtliche Verantwortung. Ausnahme: Nutzt Vanturis eine eigene Lizenz und Enable Banking nur als technischen Dienstleister, wäre Enable Banking Unterauftragsverarbeiter (dann in Teil A aufnehmen). |
| B4 | Apple Push Notification service (Apple Inc. / Apple Distribution International Ltd.) | Zustellung von Push-Benachrichtigungen an iOS/macOS-Geräte | eigener Verantwortlicher für den Betrieb des Push-Dienstes [PRÜFEN] | Systemdienst des Betriebssystems, den der Nutzer mit seinem Gerät nutzt; Vanturis kann Zwecke und Mittel nicht bestimmen. Übermittelt werden nur Gerätetoken und ein inhaltsloser Hinweis. Datenschutzrechtlich trotzdem in der Datenschutzerklärung nennen; Drittlandbezug (USA). Konservative Alternative: als Unterauftragsverarbeiter in Teil A führen. |
| B5 | Google Firebase Cloud Messaging (Google Ireland Ltd. / Google LLC) | Zustellung von Push-Benachrichtigungen an Android-Geräte | strittig: Google bietet für Firebase Data Processing Terms an und versteht sich insoweit als Auftragsverarbeiter [PRÜFEN] | Bei FCM eher als Unterauftragsverarbeiter einordnen und in Teil A aufnehmen, sobald eine Android-App mit FCM existiert. Alternative: Web Push (Browser-Push mit Ende-zu-Ende-verschlüsselter Nutzlast) oder UnifiedPush. |
| B6 | Finanzverwaltung (ELSTER) | Übermittlung von Steuererklärungen auf Auslösung durch den Kunden | Empfänger (Behörde), eigener Verantwortlicher | gesetzliche Übermittlung auf Weisung des Kunden. [PRÜFEN] ob Funktion vorhanden |
| B7 | Steuerberater des Kunden | Zugang zu Cento als vom Kunden eingeladener Nutzer (eigener Zugang, kein offener Link); Exporte nur nach Anmeldung | Empfänger auf Weisung des Kunden, eigener Verantwortlicher bzw. Auftragsverarbeiter des Kunden | Beziehung besteht allein zwischen Kunde und Steuerberater |
Diese Dienste betreibt Vanturis selbst auf Servern bei Hetzner (Teil A, A1). Es erhält kein weiterer Dritter Zugriff.
| Dienst | Zweck | Datenbezug |
|---|---|---|
| Stalwart Mail Server | Versand von Systemmails und Rechnungen | E-Mail-Adressen, Mailinhalte (ohne Buchhaltungsinhalte außer vom Kunden versendete Rechnungen) |
| GlitchTip | Fehlerüberwachung | pseudonyme Nutzer-ID, technische Fehlerdaten, gefiltert |
| Support-Modul von Cento (eigene Entwicklung) | Support-Tickets | Anfragen, Screenshots |
| Produktanalyse (serverseitig, aggregiert, kein Skript im Browser) | Produktanalyse | zusammengefasste Nutzungszahlen, keine Inhalte, keine Nutzerkennung |
| ClamAV | Virenprüfung hochgeladener Dateien | Belegdateien (automatisiert, lokal) |
| PostgreSQL, Objektspeicher-Verschlüsselung, Schlüsseldienst (OpenBao) | Kernsystem | alle Kundendaten |
| Bot-Schutz bei Registrierung (ALTCHA, self-hosted) | Missbrauchsschutz | IP-Adresse kurzzeitig, Proof-of-Work-Lösung |
Hinweis: GlitchTip und die übrigen selbst betriebenen Dienste dürfen keine externen Integrationen nutzen (z. B. Cloud-Upload, KI-Erweiterungen, Telemetrie an den Hersteller), solange diese nicht als Unterauftragsverarbeiter aufgenommen sind. Telemetrie der Hersteller ist zu deaktivieren. [PRÜFEN]
| Anbieter | Bisher (vanturis.de/avv) | Für Cento |
|---|---|---|
| Stripe Inc. (USA) | Zahlungsabwicklung | ersetzt durch Stripe Payments Europe, Ltd. als Vertragspartner, und für Cento nicht Teil der Auftragsverarbeitung (siehe oben) |
| Cloudflare Inc. (USA), Turnstile | Bot-Schutz | nicht vorgesehen. Stattdessen: selbst gehostetes ALTCHA (Proof of Work, keine Drittanbieter-Anfragen). Alternative EU-Dienst: Friendly Captcha (Friendly Captcha GmbH, Deutschland) |