Partner- und API-Bedingungen

Stand: 20. September 2026

Diese Bedingungen gelten für Unternehmen und Plattformen („Partner“), die penunz über die Partner-API in eigene Angebote einbinden oder ihren Nutzern penunz-Konten bereitstellen. Sie ergänzen einen individuellen Partnervertrag; ohne einen solchen gelten sie allein. Anbieter ist Konstantinos Charalabidis, handelnd unter „steroi.de“, Bismarckstr. 9, 73262 Reichenbach an der Fils („penunz“).

Die Partner-API steht ausschließlich Unternehmern im Sinne des § 14 BGB offen.

1. Zugang und Freischaltung

1.1 Der Zugang zur Partner-API setzt voraus: (a) einen genehmigten Partnerantrag, (b) den Abschluss dieser Bedingungen und der Datenschutzvereinbarung in Ziffer 8 in Textform, (c) die Zuteilung von API-Key und API-Secret. Ohne (b) wird der Zugang technisch nicht freigeschaltet.

1.2 penunz legt je Partner fest, welche Berechtigungen (Scopes) aktiviert sind, wie viele Endkunden angelegt werden dürfen und welche Ratenbegrenzungen gelten. Diese Parameter sind im Partner-Admin einsehbar und können von penunz aus Sicherheits- oder Kapazitätsgründen angepasst werden.

1.3 Für Tests stellt penunz einen Sandbox-Zugang ohne Abrechnung bereit. Produktivdaten dürfen in der Sandbox nicht verarbeitet werden.

2. Zugangsdaten und Sicherheit

2.1 API-Key und Secret sind vertraulich, dürfen nur serverseitig gespeichert und nie in Client-Anwendungen, Repositories oder Logs abgelegt werden. Bei Verdacht auf Kompromittierung rotiert der Partner das Secret unverzüglich im Partner-Admin und informiert penunz.

2.2 Der Partner sichert seine Webhook-Endpunkte per TLS und verifiziert jede Zustellung anhand der Signatur im Header X-Penunz-Signature (HMAC-SHA256).

2.3 Der Partner setzt angemessene technische und organisatorische Maßnahmen für die von penunz erhaltenen Daten um.

3. Nutzungsumfang und Verbote

3.1 Der Partner darf die API nur zu dem im Partnerantrag beschriebenen Zweck und nur innerhalb der freigeschalteten Scopes nutzen.

3.2 Untersagt sind insbesondere: Umgehen von Ratenbegrenzungen, Consent-Prüfungen oder Scopes; Abruf oder Speicherung von Daten über das für den Zweck Erforderliche hinaus; Weiterverkauf oder Weitergabe von API-Zugängen oder abgerufenen Daten an Dritte; Nutzung der Daten für Werbung, Scoring, Bonitätsbewertung oder das Training von KI-Modellen; Reverse Engineering der API über die dokumentierten Schnittstellen hinaus; Täuschung von Endkunden über Art und Umfang des Zugriffs.

3.3 Der Partner hält die Rate-Limits ein und implementiert Retry-Logik mit exponentiellem Backoff.

4. Endkunden, Consent und Verhältnis der Verträge

4.1 Legt der Partner über die API ein Konto für einen Endkunden an, kommt der Nutzungsvertrag über penunz ausschließlich zwischen penunz und dem Endkunden zustande (AGB penunz.de/agb). Der Partner ist nicht Vertragspartner dieses Nutzungsvertrags und gibt keine Erklärungen für penunz ab.

4.2 Der Partner darf Konten nur für Personen anlegen, die dies bei ihm aktiv angefordert haben, und übermittelt hierfür nur Name und E-Mail-Adresse. Er informiert den Endkunden vorab darüber, dass ein penunz-Konto angelegt wird, dass die AGB und Datenschutzerklärung von penunz gelten und welche Daten der Partner nach Bestätigung abrufen kann.

4.3 Consent-Pflicht. Zugriff auf Daten eines Endkunden (Rechnungs-Metadaten, aggregierte Finanzkennzahlen, Anlegen von Rechnungen, SSO) erhält der Partner erst, nachdem der Endkunde dies auf der von penunz bereitgestellten Bestätigungsseite ausdrücklich freigegeben hat. Der Endkunde kann die Freigabe jederzeit widerrufen; der Partner erhält dann den Webhook customer.consent_revoked und stellt jeden weiteren Abruf ein. Bereits erhaltene Daten sind nach Widerruf zu löschen, soweit der Partner sie nicht aufgrund eigener gesetzlicher Pflichten aufbewahren muss.

4.4 Löscht ein Endkunde sein penunz-Konto, erhält der Partner den Webhook customer.account_deleted und entfernt die Verknüpfung auf seiner Seite. Trennt der Partner die Verknüpfung (DELETE /customers/:id), bleibt das penunz-Konto des Endkunden bestehen.

4.5 Der Partner erhält niemals Zugriff auf einzelne Ausgaben, Belege, PDFs, Bankverbindungen, Steuer-IDs, das Steuer-Center, Passwörter oder Einstellungen des Endkunden. Er versucht nicht, solche Daten auf anderem Weg zu erlangen.

4.6 Legt der Partner im Auftrag des Endkunden Rechnungen an, ist der Endkunde Rechnungsaussteller. Der Partner stellt sicher, dass er hierzu vom Endkunden beauftragt ist und dass die übermittelten Daten korrekt sind.

5. Single Sign-on

SSO-Tokens sind einmalig gültig, laufen nach fünf Minuten ab und dürfen nur unmittelbar zur Weiterleitung des angemeldeten Endkunden genutzt werden. Der Partner stellt sicher, dass ein SSO-Token nur für den Endkunden erzeugt wird, der in seiner Plattform gerade authentifiziert ist.

6. Darstellung und Marke

6.1 Der Partner darf den Namen und das Logo „penunz“ zur Kennzeichnung der Integration in der von penunz bereitgestellten Form verwenden („Buchhaltung mit penunz“). Eine Verwendung, die eine Partnerschaft, Zertifizierung oder Haftung von penunz über die tatsächliche Integration hinaus suggeriert, ist untersagt.

6.2 Der Partner bezeichnet die Integration gegenüber Endkunden nicht als Steuerberatung und verwendet nicht die Begriffe „Steuerberater“, „Steuerberatung“ oder vergleichbare Bezeichnungen im Zusammenhang mit penunz.

7. Entgelt und Abrechnung

7.1 Das Entgelt für die API-Nutzung (z. B. pro aktivem Endkunden oder pauschal) ergibt sich aus dem Partnervertrag bzw. der Preisliste im Partner-Admin. Abrechnungsgrundlage ist der Endpunkt /usage.

7.2 Bietet der Partner penunz-Tarife als Bündel an und rechnet sie selbst ab, gilt das als Weiterverkauf im eigenen Namen; die Konditionen ergeben sich aus dem Partnervertrag. Ohne Partnervertrag rechnet penunz Tarife direkt mit dem Endkunden ab.

7.3 Alle Preise gegenüber Partnern verstehen sich netto zuzüglich Umsatzsteuer. Zahlungsziel 14 Tage nach Rechnungsdatum.

8. Datenschutz

8.1 Rollen. Für die Daten, die der Partner nach Freigabe des Endkunden über die API erhält, ist der Partner eigenständiger Verantwortlicher; penunz übermittelt sie auf Grundlage der Einwilligung des Endkunden. Für die Kontoerstellung übermittelt der Partner Name und E-Mail-Adresse an penunz; penunz ist ab Kontoerstellung Verantwortlicher für das Konto. Eine Auftragsverarbeitung zwischen Partner und penunz liegt nur vor, soweit der Partnervertrag dies ausdrücklich vorsieht (z. B. bei White-Label-Betrieb); dann gilt zusätzlich der AVV unter penunz.de/avv mit vertauschten Rollen bzw. eine individuelle Vereinbarung.

8.2 Der Partner informiert seine Endkunden nach Art. 13 DSGVO über die Integration, benennt penunz als Empfänger und verweist auf die Datenschutzerklärung von penunz.

8.3 Der Partner verarbeitet die erhaltenen Daten nur für den vom Endkunden freigegebenen Zweck, speichert sie nicht länger als erforderlich, gibt sie nicht an Dritte weiter und nutzt sie nicht zu Werbe-, Scoring- oder Trainingszwecken.

8.4 Beide Seiten informieren sich unverzüglich, spätestens innerhalb von 48 Stunden, über Datenschutzverletzungen, die Daten des jeweils anderen oder gemeinsamer Endkunden betreffen, und unterstützen sich bei Betroffenenanfragen.

8.5 Jeder API-Zugriff wird bei penunz protokolliert (Zeitpunkt, Endpunkt, Endkunde, Ergebnis) und 12 Monate aufbewahrt. Der Partner kann sein Protokoll im Partner-Admin einsehen.

8.6 Der Partner verarbeitet die Daten innerhalb der EU/des EWR oder unter den Garantien des Kapitels V DSGVO.

9. Verfügbarkeit, Änderungen, Deprecation

9.1 Für die API gilt die Verfügbarkeit nach Ziffer 8 der AGB. Der Partner implementiert seine Anwendung so, dass ein zeitweiliger Ausfall der API keine Datenverluste bei Endkunden verursacht.

9.2 Abwärtskompatible Änderungen (neue Felder, neue Endpunkte) darf penunz jederzeit vornehmen. Inkompatible Änderungen oder die Abschaltung einer API-Version kündigt penunz mindestens sechs Monate vorher per E-Mail und im Changelog an; Deprecation-Header werden gesetzt.

10. Haftung und Freistellung

10.1 Die Haftung von penunz richtet sich nach Ziffer 13 der AGB; die Haftungsbegrenzung gegenüber Unternehmern gilt entsprechend, bezogen auf das vom Partner in den letzten zwölf Monaten gezahlte Entgelt, mindestens 2.500 €.

10.2 Der Partner stellt penunz von Ansprüchen Dritter (einschließlich Endkunden und Aufsichtsbehörden) frei, die auf einer Verletzung dieser Bedingungen, insbesondere der Ziffern 3, 4 und 8, durch den Partner beruhen, und erstattet die notwendigen Kosten der Rechtsverteidigung.

11. Laufzeit, Sperrung, Kündigung

11.1 Diese Bedingungen gelten auf unbestimmte Zeit. Beide Seiten können mit einer Frist von drei Monaten zum Monatsende kündigen; ein Partnervertrag kann Abweichendes regeln.

11.2 penunz darf den API-Zugang sofort sperren, wenn ein Verstoß gegen Ziffer 2, 3, 4 oder 8 vorliegt, eine Kompromittierung droht oder Aufsichtsbehörden dies verlangen. penunz informiert den Partner unverzüglich über Grund und voraussichtliche Dauer.

11.3 Mit Vertragsende erlöschen alle Zugänge. Bestehende penunz-Konten der Endkunden bleiben bestehen; die Endkunden werden über das Ende der Integration informiert. Der Partner löscht alle über die API erhaltenen Daten, soweit keine gesetzliche Aufbewahrungspflicht besteht, und bestätigt dies auf Anfrage.

12. Schlussbestimmungen

12.1 Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand ist Stuttgart.

12.2 Änderungen dieser Bedingungen kündigt penunz mindestens sechs Wochen vorher per E-Mail an; Ziffer 16 der AGB gilt entsprechend.

12.3 Bei Widersprüchen gilt folgende Rangfolge: individueller Partnervertrag, diese Bedingungen, AGB.

Kontakt: info@penunz.de