Stand: 18.09.2026
Belegbote – Peppol-Postfach der fino data services GmbH, Universitätsplatz 12, 34127 Kassel
Zur Vereinbarung zur Auftragsverarbeitung der fino data services GmbH
fino verarbeitet personenbezogene Daten im Auftrag ihrer Kunden (Auftragsverarbeitung). Dies umfasst alle Tätigkeiten, die fino im Rahmen des Dienstes Belegbote gemäß den Leistungsbeschreibungen und den jeweiligen vertraglichen Vereinbarungen mit dem Kunden erbringt und die eine Auftragsverarbeitung darstellen.
Gemäß der „Vereinbarung zur Auftragsverarbeitung“ erteilt der Kunde fino die allgemeine Genehmigung, weitere Auftragsverarbeiter im Sinne des Art. 28 DSGVO in Anspruch zu nehmen. Weiterhin ist fino berechtigt, die personenbezogenen Daten – unter Beachtung der zwingend anwendbaren Vorschriften – an Dienstleister in einem Drittland zu übermitteln.
Die jeweils aktuell eingesetzten weiteren Auftragsverarbeiter sowie die Information, an welche Dienstleister in welchem Drittland die Daten für welche Zwecke übermittelt werden, sind in der nachfolgenden Übersicht zu finden.
Amazon Web Services EMEA Sàrl 5, Rue Plaetis, L-2338 Luxembourg (Cloud-Infrastructure Services). Hosting der Anwendung, Speicherung der Belegdateien und der hochgeladenen Nachweisdokumente, Rechenleistung und Content Delivery. Die Verarbeitung erfolgt in der Region eu-central-1 (Frankfurt am Main).
Mailgun Technologies Inc. 535 Mission St, San Francisco, CA 94105, USA (E-Mail-Management-Services). Mailgun wird für den Versand systemeigener E-Mails verwendet. In den E-Mails sind keine personenbezogenen Daten enthalten. Lediglich die in der E‑Mail-Adresse enthaltenen personenbezogenen Daten werden durch Mailgun verarbeitet. Mailgun ermöglicht es, sämtliche Datenverarbeitung auf Servern innerhalb der EU vorzunehmen. Diese Einstellung wurde durch uns entsprechend vorgenommen, um einen direkten Zugriff auf Daten durch (US‑)Behörden zu verhindern. In Einzelfällen kann aus Supportgründen nach vorheriger Freigabe auf die innerhalb der EU liegenden Mail-Daten aus den USA durch Mailgun zugegriffen werden.
Cloudflare, Inc. 101 Townsend St., San Francisco, CA 94107, USA (Domains und DNS, Web Application Firewall, Schutz vor Überlastungsangriffen). Cloudflare ist der Anwendung vorgelagert und verarbeitet daher die Verbindungsdaten aller Besucher, insbesondere IP-Adressen.
Datadog Inc. 620 8th Ave, 45th Floor, New York, NY 10018, USA (Analyse- und Monitoring-Services). Datadog wird zur Visualisierung der Frontend-Leistung (Performance) unserer Anwendung sowie zur Erkennung von Performance-Engpässen genutzt und verschafft uns Einblicke in die Echtzeit-Aktivitäten und Erfahrungen unserer Nutzer. Hierzu können sowohl Server-Informationen als auch Nutzungsparameter (z.B. IP-Adresse, eingesetzte Browser, Zeitstempel) an Datadog übermittelt werden. Datadog ermöglicht es, sämtliche Datenverarbeitung auf Servern innerhalb der EU vorzunehmen. Diese Einstellung wurde durch uns entsprechend vorgenommen, um einen direkten Zugriff auf Daten durch (US‑)Behörden zu verhindern. In Einzelfällen kann aus Supportgründen nach vorheriger Freigabe auf die innerhalb der EU liegenden Daten aus den USA durch Datadog zugegriffen werden.
HostEurope GmbH, Hansestr. 111, 51149 Köln, Deutschland (Hosting- und E‑Mail-Management-Services)
Linear, 2261 Market St STE 10632 San Francisco, CA 94114, USA (Verwaltung von Supportanfragen als Tickets. Supportanfragen an die Belegbote-Support-Adresse werden dort als Tickets geführt und enthalten Namen, E-Mail-Adressen und die Inhalte der Anfragen der Kunden.)
Grundlage für Datenübermittlungen in Drittländer sind die aktuellen Standardvertragsklauseln der EU-Kommission sowie ggf. in Verbindung mit den von der EU gemäß Art. 45 Abs. 3 DSGVO gefassten Angemessenheitsbeschlüssen, unter Zuhilfenahme von additional safeguards wie Datenverschlüsselung, Datenaggregation, getrennte Zugangskontrollen und Grundsätze der Datenminimierung.
Die folgenden Dienstleister setzt fino für Verarbeitungen ein, die fino in eigener Verantwortung durchführt und nicht im Auftrag des Kunden. Sie sind daher keine weiteren Auftragsverarbeiter im Sinne des Art. 28 Abs. 2 DSGVO und nicht Gegenstand dieser Übersicht. Wir nennen sie der Transparenz halber, Einzelheiten ergeben sich aus der Datenschutzerklärung.
Amazon Web Services EMEA Sàrl, Luxemburg - KI gestützte Unterstützung bei der Prüfung hochgeladener Nachweisdokumente im Rahmen der Registrierung.
Google Ireland Limited, Dublin, Irland - Vervollständigung von Adressen bei der Eingabe von Firmendaten.
ActiveCampaign, LLC, Chicago, USA - Kunden- und Nutzerverwaltung sowie E-Mail-Kommunikation rund um den Service.
Die folgenden Stellen erhalten im Rahmen des Dienstes Belegbote personenbezogene Daten oder werden abgefragt, handeln dabei aber nicht im Auftrag der fino data services GmbH und sind daher keine weiteren Auftragsverarbeiter:
die Stellen, die die Peppol-Infrastruktur betreiben: der Service Metadata Locator (SML), das Peppol-Verzeichnis sowie die Service Metadata Publisher und Access Points der jeweiligen Gegenseite;
die zur Prüfung der Unternehmensidentität abgefragten Registerdienste, insbesondere das Mehrwertsteuer-Informationsaustauschsystem der EU-Kommission, GS1 Germany, GLEIF sowie nationale Handelsregister;
die Empfänger des statistischen Peppol-Reportings, das aggregiert und ohne Personenbezug erfolgt;
Anbieter von Anwendungen, die der Kunde selbst über die Schnittstelle autorisiert hat (Ziffer 4.4 der Vereinbarung zur Auftragsverarbeitung). Diese sind Empfänger auf Veranlassung des Kunden.
Anlage zur Vereinbarung zur Auftragsverarbeitung – Belegbote