Sicherheit & Aufbewahrung

Saldek schützt Ihre Daten mit Zugriffskontrollen und unveränderbarer Belegspeicherung. Gesetzliche Aufbewahrungsfristen gelten für die Vorbuchhaltung.

Kontosicherheit und Zugangsdaten

Unter „Einstellungen“ > „Sicherheit“ verwalten Sie den Zugang zu Ihrem Konto und Ihrer Organisation:

• Passwort ändern: Wenn Sie Ihr Passwort ändern, werden alle anderen angemeldeten Geräte abgemeldet.
• Zwei-Faktor-Authentifizierung (2FA): Schützen Sie Ihren Login mit einer Authenticator-App (TOTP).
• Geräte und Anmeldungen: Sehen Sie Ihre aktiven Sitzungen und melden Sie mit „Andere Sitzungen abmelden“ alle anderen Geräte ab. Unter „Letzte Anmeldeaktivität“ sehen Sie Ihre letzten Anmeldeversuche; Anmelde- und Sicherheitsprotokolle bewahrt Saldek 90 Tage auf.
• API-Schlüssel: Erstellen und verwalten Sie Schlüssel für Schnittstellen unter „Einstellungen“ > „Sicherheit“.
• Verschlüsselte Anmeldedaten: Saldek speichert Zugangsdaten verbundener Integrationen, etwa eigener SMTP-Server, verschlüsselt.
• Audit-Protokoll: Saldek protokolliert, wer was wann geändert hat. Administratoren und Inhaber sehen es unter „Einstellungen“ › „Aufbewahrung & Protokoll“. Aufgezeichnet wird in jedem Tarif; ansehen lässt es sich ab dem Tarif „Business“ und in der Testphase.

Zwei-Faktor-Authentifizierung einrichten

1. 1Öffnen Sie „Einstellungen“ > „Sicherheit“ und wählen Sie „2FA aktivieren“.
2. 2Installieren Sie eine Authenticator-App auf Ihrem Handy, falls Sie noch keine nutzen. Der Dialog nennt empfohlene Apps, etwa Google Authenticator, Microsoft Authenticator oder „Apple Passwörter“.
3. 3Tippen Sie in der App auf „+“ oder „Konto hinzufügen“, wählen Sie „QR-Code scannen“ und scannen Sie den angezeigten QR-Code. Klappt das nicht, tippen Sie den „Einrichtungsschlüssel“ ab; haben Sie die Seite auf dem Handy geöffnet, wählen Sie „Direkt in der App hinzufügen“.
4. 4Geben Sie den 6-stelligen Code aus der App ein und wählen Sie „Prüfen & aktivieren“. Notieren Sie den Einrichtungsschlüssel an einem sicheren Ort, damit Sie die Codes auf einem neuen Handy wieder einrichten können.

Hosting und Auftragsverarbeitung

• App-Server und Datenbank: Hetzner betreibt sie in Deutschland.
• Belegdateien: AWS S3 speichert sie in Frankfurt (eu-central-1).
• Datenbank-Backups: AWS sichert sie jede Nacht verschlüsselt, auch clientseitig, in der EU. Die Backups bleiben 30 Tage erhalten.
• Fehlerüberwachung: Sentry überwacht Fehler, ohne Beleginhalte zu übertragen.
• Keine Tracking-Cookies: Saldek setzt keine Analyse- oder Tracking-Cookies ein.
• KI-Verarbeitung: Im Modus „Standard“ verarbeiten Jev (TypeSafe) und OpenAI Daten in den USA, auch die Bildprüfung der ersten Seite eines Belegs. Grundlage sind für TypeSafe die EU-Standardvertragsklauseln (SCC) in seinem Auftragsverarbeitungsvertrag und für OpenAI die EU-Standardvertragsklauseln zwischen OpenAI Ireland Ltd und ihren verbundenen Unternehmen in den USA. Google Gemini dient als Fallback (Data Privacy Framework, sonst SCC). Anbieter verwenden Belege nicht zum Training von KI-Modellen. Im Modus „Ohne KI“ (local_only) werden keine Daten an KI-Anbieter übertragen.
• E-Mail und Sprache: Den E-Mail-Eingang verarbeitet Mailgun (EU-Region), E-Mails versendet Resend (USA), und die Spracheingabe wandelt Microsoft Azure Speech (Irland) in Text um. Alle Dienstleister mit Standort und Übermittlungsgrundlage finden Sie unter „Subprozessoren“.

Aufbewahrungsfristen und WORM-Archiv

Saldek legt Originalbelege nach dem Upload unveränderbar ab. Sobald ein Beleg zu einer festgeschriebenen Buchung gehört, setzt Saldek automatisch eine WORM-Sperre (S3 Object Lock im Modus COMPLIANCE). Kann Saldek die Sperre nicht setzen, schlägt die Buchung fehl (Fail-Closed). Eine Stornobuchung hebt die Sperre nicht auf. Vor der Buchung können Sie eine hochgeladene Datei löschen.

Die Sperrdauer folgt den gesetzlichen Fristen. Sie beginnt am Ende des Kalenderjahres:

• Österreich (§ 132 BAO): 7 Jahre. Für Unterlagen zu Grundstücken gilt eine Frist von 22 Jahren.
• Deutschland (§ 147 AO): 10 Jahre für Bücher, Inventare und Jahresabschlüsse; 8 Jahre für Buchungsbelege (seit 1. Januar 2025); 6 Jahre für empfangene und abgesandte Handelsbriefe.

Organisation schließen und Belege löschen

Der „Inhaber“ kann Aufbewahrungsfristen in einem Probelauf prüfen und abgelaufene, nicht gebuchte Belege löschen. Saldek setzt DSGVO-Löschanfragen erst nach Ablauf der gesetzlichen Aufbewahrungsfrist um. Eine Einschränkung der Verarbeitung nach Art. 18 DSGVO verhindert die Löschung. Beim Schließen einer Organisation haben Sie zwei Möglichkeiten: (a) Sie schließen die Organisation und lassen Belege bis zum Ende der Aufbewahrungsfrist schreibgeschützt. Danach werden sie automatisch gelöscht. (b) Sie veranlassen nach einem ausdrücklichen Warnhinweis die sofortige Löschung. In diesem Fall bleibt die Aufbewahrungspflicht bei Ihnen.