← Zur Startseite

Vereinbarung zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Stand: 4. Oktober 2026

zwischen dem Nutzer von penunz (nachfolgend „Verantwortlicher“) und

Konstantinos Charalabidis, handelnd unter „steroi.de“, Bismarckstr. 9, 73262 Reichenbach an der Fils (nachfolgend „Auftragsverarbeiter“ oder „penunz“).

Diese Vereinbarung wird mit der Registrierung bzw. mit dem Klick auf „AVV akzeptieren“ in den Kontoeinstellungen geschlossen. Sie kann dort jederzeit als PDF mit Zeitstempel heruntergeladen werden. Sie gilt für Nutzer, die als Unternehmer personenbezogene Daten Dritter in penunz verarbeiten.

1. Gegenstand und Dauer

1.1 penunz stellt dem Verantwortlichen eine Buchhaltungssoftware als SaaS bereit (Hauptvertrag: AGB unter penunz.de/agb). Dabei verarbeitet penunz personenbezogene Daten im Auftrag des Verantwortlichen.

1.2 Die Dauer entspricht der Laufzeit des Hauptvertrags. Ziffer 10 gilt darüber hinaus.

2. Art, Zweck und Umfang der Verarbeitung

2.1 Zweck: Bereitstellung, Speicherung, Sicherung und Anzeige der vom Verantwortlichen eingegebenen Geschäftsdaten; Erstellung und Versand von Rechnungen, Angeboten und Mahnungen; Import von Belegen; Auswertung; Export; optional Bereitstellung eines Steuerberater-Zugangs und – nach Freigabe – von Daten an Partnerplattformen.

2.2 Art der Verarbeitung: Erheben, Speichern, Ordnen, Anzeigen, Verändern, Übermitteln (E-Mail-Versand, Freigaben), Löschen.

2.3 Kategorien betroffener Personen: Kunden, Interessenten, Lieferanten und deren Ansprechpartner; Mitarbeiter des Verantwortlichen (Zeiterfassung, Fahrtenbuch, Lohnsteuerbescheinigungen); Steuerberater; ggf. Empfänger von Rechnungen.

2.4 Kategorien personenbezogener Daten: Namen, Firmen, Anschriften, E-Mail-Adressen, Telefonnummern; Rechnungs- und Angebotsdaten (Positionen, Beträge, Zahlungsstatus); Bankverbindungen (IBAN/BIC) von Rechnungsempfängern und Lieferanten; Steuernummern/USt-IdNr.; Belegbilder und -texte; Zeit- und Fahrtenbucheinträge; Kommunikationsinhalte (Rechnungs-E-Mails, Mahnungen).

2.5 Keine besonderen Kategorien nach Art. 9 DSGVO sind Vertragsgegenstand. Der Verantwortliche darf solche Daten (z. B. Gesundheitsdaten in Belegen von Heilberufen) nur einbringen, wenn er hierfür die Voraussetzungen erfüllt.

3. Weisungen

3.1 penunz verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen werden grundsätzlich über die Funktionen der Software erteilt (Eingeben, Freigeben, Exportieren, Löschen). Darüber hinausgehende Weisungen sind in Textform an info@penunz.de zu richten.

3.2 penunz informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt; penunz darf die Ausführung bis zur Bestätigung aussetzen.

3.3 Eine Verarbeitung zu eigenen Zwecken, insbesondere zu Werbezwecken oder zum Training von KI-Modellen, findet nicht statt.

4. Pflichten des Auftragsverarbeiters

penunz

  1. verarbeitet Daten ausschließlich in der EU/im EWR; Übermittlungen in Drittländer erfolgen nur über in Anlage 1 genannte Unterauftragsverarbeiter mit den dort genannten Garantien;
  2. verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO);
  3. trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken;
  4. unterstützt den Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Art. 12–22 DSGVO) durch Auskunfts-, Berichtigungs-, Export- und Löschfunktionen in der Software; darüber hinausgehende Unterstützung erfolgt gegen angemessenen Aufwandsersatz;
  5. unterstützt den Verantwortlichen bei den Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung);
  6. meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, an die hinterlegte E-Mail-Adresse mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben;
  7. stellt dem Verantwortlichen alle Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung (Ziffer 7);
  8. löscht oder gibt die Daten nach Vertragsende nach Ziffer 10 heraus;
  9. benennt keinen Datenschutzbeauftragten, da keine Pflicht besteht; Ansprechpartner: info@penunz.de.

5. Pflichten des Verantwortlichen

5.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Betroffenenrechte verantwortlich. Er stellt insbesondere sicher, dass er die Daten Dritter in penunz einbringen darf, und informiert die Betroffenen nach Art. 13/14 DSGVO.

5.2 Der Verantwortliche verwaltet Zugangsdaten, Freigaben (Steuerberater, Partner, Mitarbeiter) und Exporte selbst und nutzt die angebotenen Sicherheitsfunktionen (2FA).

6. Unterauftragsverarbeiter

6.1 Der Verantwortliche genehmigt die in Anlage 1 aufgeführten Unterauftragsverarbeiter.

6.2 penunz darf weitere Unterauftragsverarbeiter hinzuziehen oder ersetzen. penunz informiert den Verantwortlichen mindestens vier Wochen vorher per E-Mail und veröffentlicht die aktuelle Liste unter penunz.de/avv. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Hauptvertrag zum Wirksamwerden der Änderung außerordentlich kündigen.

6.3 penunz legt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, wie sie in dieser Vereinbarung festgelegt sind, und bleibt gegenüber dem Verantwortlichen für dessen Pflichterfüllung verantwortlich.

6.4 Keine Unterauftragsverarbeiter sind Dienste, die der Verantwortliche selbst als eigener Verantwortlicher einbindet (z. B. sein verbundenes E-Mail-Konto, sein Steuerberater, eine von ihm freigegebene Partnerplattform, Stripe für seine eigene Abo-Zahlung).

7. Kontrollrechte

7.1 Der Verantwortliche kann sich von der Einhaltung dieser Vereinbarung überzeugen. penunz erfüllt dies vorrangig durch Bereitstellung von Dokumentation (Anlage 2, Beschreibung der Sicherheitsmaßnahmen, ggf. Berichte externer Prüfungen).

7.2 Reicht dies nicht aus, kann der Verantwortliche nach Ankündigung von mindestens 14 Tagen während der üblichen Geschäftszeiten eine Prüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen; höchstens einmal jährlich, es sei denn, ein konkreter Anlass besteht. Kosten trägt der Verantwortliche.

8. Technische und organisatorische Maßnahmen

Die Maßnahmen ergeben sich aus Anlage 2. Sie sind Mindeststandard.

9. Haftung

Die Haftung richtet sich nach Art. 82 DSGVO und im Übrigen nach Ziffer 13 der AGB.

10. Beendigung und Löschung

10.1 Nach Beendigung des Hauptvertrags stehen dem Verantwortlichen die Exportfunktionen für die in AGB Ziffer 14 genannte Frist zur Verfügung. Anschließend löscht penunz alle personenbezogenen Daten einschließlich Kopien, soweit keine gesetzliche Aufbewahrungspflicht von penunz besteht; Backups werden nach Ablauf des Backup-Zyklus (bis zu 14 Tage) überschrieben.

10.2 penunz bestätigt die Löschung auf Anfrage in Textform.

Anlage 1 – Unterauftragsverarbeiter

Unternehmen Sitz Leistung Datenübermittlung / Garantie
IONOS SE Elgendorfer Str. 57, 56410 Montabaur Server, Datenbank, Speicher, Backups keine Drittlandübermittlung
Mistral AI SAS Paris, Frankreich KI-Sprachmodelle (Steuerassistent, Chat, optional KI-Vision) – nur aggregierte/pseudonymisierte Daten, Belegbilder nur bei aktivierter KI-Vision EU; AVV mit Mistral; keine Nutzung zum Training
Resend Inc. USA Versand von System-E-Mails (Empfängeradresse, Inhalt) EU-US Data Privacy Framework + Standardvertragsklauseln
OpenStreetMap Foundation Vereinigtes Königreich Kartenkacheln/Routing (nur IP-Adresse des Nutzers) Angemessenheitsbeschluss UK

Nicht Unterauftragsverarbeiter, sondern eigene Verantwortliche: Stripe (Abo-Zahlung des Nutzers), Google (Login/Gmail-Anbindung auf Wunsch des Nutzers), Partnerplattformen (nach Freigabe des Nutzers), Steuerberater (nach Freigabe des Nutzers).

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

Integrität

Verfügbarkeit und Belastbarkeit

Verfahren zur regelmäßigen Überprüfung

Penunz © 2026 — penunz.de