Datenschutzerklärung

Stand: 4. Oktober 2026

1. Wer verantwortlich ist

Verantwortlich für die Datenverarbeitung auf dieser Website und in der App Saldiqo (app.saldiqo.com, auch als installierbare App und als Programm für Mac und Windows) ist:

Marlon Güttler, Saldiqo
c/o BFG Mediagroup, Bändelstockweg 20
88326 Aulendorf
Deutschland
E-Mail: contact@saldiqo.com

Für alle Fragen zum Datenschutz erreichst du uns unter dieser Adresse.

Unter app.saldiqo.com/datenschutz, /impressum, /agb und /cookies kommst du ebenfalls zu diesen Texten (Weiterleitung auf diese Website).

Eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten haben wir nicht benannt.

2. Website

Bereitstellung

Die Website wird von Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern betrieben (Serverstandort: Frankfurt am Main, Deutschland). Damit eine Seite bei dir ankommt, verarbeitet der Server technisch deine IP-Adresse und die angefragte Adresse. Zugriffsprotokolle speichern wir dazu nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, die Website ausliefern zu können. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung.

Cookies, Inhalte Dritter und Kampagnen-Parameter

Die Website setzt selbst keine Cookies und enthält keine Analyse-Werkzeuge und keine Werbe-Pixel. Schriften und Bilder liegen auf unserem eigenen Server. Es werden keine Inhalte von Dritten geladen.

Kommst du über einen Link mit Kampagnen-Parametern in der Adresse auf die Website (utm_source, utm_medium, utm_campaign, utm_term, utm_content oder ref), hängt ein Skript der Website diese Werte in deinem Browser an die Links zur App. Die Website speichert dafür nichts (kein Cookie, kein lokaler Speicher) und sendet nichts an uns oder an Dritte; Klick-Kennungen von Werbeanbietern (zum Beispiel gclid) gibt sie nicht weiter. Was die App mit diesen Werten macht, steht in Abschnitt 3 („Kampagnen-Herkunft“). Werbe-Pixel gibt es nur auf den öffentlichen Seiten der App und nur nach deiner Einwilligung (Abschnitt 3).

Hinweis auf die Länderseite

Passt die Zeitzone deines Browsers zu einem Land, für das es eine eigene Seite gibt, zeigen wir dir einen Hinweis darauf. Die Zeitzone wird nur in deinem Browser ausgewertet und nicht an uns gesendet. Klickst du den Hinweis weg, merkt sich dein Browser das Land im lokalen Speicher (siehe Cookie-Hinweis), damit der Hinweis nicht wiederkommt.

Kontakt per E-Mail und Kontaktformular

Wenn du uns schreibst, auch über das Kontaktformular unter app.saldiqo.com/kontakt (Name, E-Mail-Adresse und Nachricht), verarbeiten wir deine Nachricht und deine Kontaktdaten, um zu antworten (Art. 6 Abs. 1 lit. b oder f DSGVO). Wir löschen die Nachricht, wenn die Anfrage erledigt ist und keine gesetzlichen Aufbewahrungspflichten bestehen. Das Kontaktformular leitet die Nachricht nur per E-Mail an uns weiter; in der App wird sie nicht gespeichert. Zum Schutz vor Missbrauch zählt der Server die Absendungen je IP-Adresse und je E-Mail-Adresse kurzzeitig im Arbeitsspeicher (höchstens eine Stunde).

3. Öffentliche Seiten der App: Cookie-Hinweis, Werbe-Pixel und Kampagnen-Herkunft

Öffentliche Seiten der App sind die Seiten, die du ohne Anmeldung siehst, zum Beispiel Startseite, Registrierung, Anmeldung, App-Download und Rechtstexte. Nur hier gilt dieser Abschnitt. Werbe-Pixel laden wir nur auf öffentlichen Seiten ohne Eingabeformular: Startseite, App-Download und Rechtstexte (Impressum, Datenschutzerklärung, Nutzungsbedingungen, Cookie-Hinweis). Bei Anmeldung und Registrierung laufen keine Pixel, damit kein Anbieter Eingaben in Formularen erfassen kann; wechselst du von einer Seite mit geladenen Pixeln dorthin, lädt die App die Seite neu, damit die Pixel vollständig entfernt sind. Bist du angemeldet, werden keine Werbe-Pixel geladen; auch beim Wechsel in den angemeldeten Bereich lädt die App die Seite neu. Auf Seiten mit Einmal-Links (Passwort zurücksetzen, E-Mail-Adresse bestätigen, Einladung annehmen) laufen keine Pixel, und der Server erlaubt sie dort auch nicht.

Cookie-Hinweis

Sind Pixel eingerichtet, fragen wir beim ersten Besuch einer Seite, auf der Pixel laufen dürfen (Startseite, App-Download, Rechtstexte), ob du Marketing-Cookies und Pixel erlaubst. Bei Anmeldung, Registrierung und auf Seiten mit Einmal-Links erscheint der Hinweis nicht von selbst, weil dort keine Pixel laufen. „Nur notwendige“ und „Alle akzeptieren“ sind gleichwertig dargestellt, nichts ist vorausgewählt. Deine Wahl speichert dein Browser im lokalen Speicher, zusammen mit den Anbietern, die der Hinweis dabei genannt hat, der Fassung des Hinweises, der Sprache und dem Zeitpunkt. Kommt ein Anbieter dazu oder ändert sich der Text des Hinweises, fragen wir erneut; bis dahin laden wir keine Pixel. Ändern oder widerrufen kannst du deine Wahl jederzeit über den Link „Cookies“ (Cookie-Einstellungen) unten auf der Startseite und der Download-Seite der App. Sind keine Pixel eingerichtet, erscheint kein Hinweis von selbst; über den Link siehst du dann nur, dass wir technisch notwendige Speicherung nutzen.

Werbe-Pixel (nur mit Einwilligung)

Wählst du „Alle akzeptieren“, laden wir auf den öffentlichen Seiten ohne Eingabeformular (siehe oben) die Pixel der Werbeanbieter, die wir eingerichtet haben. Welche das gerade sind, nennt der Cookie-Hinweis. Möglich sind:

• Meta-Pixel von Meta Platforms Ireland Ltd., Irland (Facebook, Instagram),
• Google-Tag (gtag.js, Google Analytics bzw. Google Ads) von Google Ireland Ltd., Irland,
• TikTok-Pixel von TikTok Technology Ltd., Irland.

Zweck ist zu messen, welche Werbeanzeigen Besucher zu uns bringen. Dafür übermittelt dein Browser direkt an den jeweiligen Anbieter: die aufgerufene Seite samt Adresse (einschließlich Kampagnen-Parametern), deine IP-Adresse, Angaben zu Browser und Gerät, Zeitpunkt, eine Kennung aus den Cookies des Anbieters sowie das Ereignis „Seite aufgerufen“. Registrierungen melden die Pixel nicht. Klick-Kennungen in der Adresse (zum Beispiel fbclid, gclid, ttclid) können die Pixel dabei selbst auswerten. Name, E-Mail-Adresse oder andere Kontodaten übermitteln wir nicht an die Anbieter. Bei Google ist personalisierte Werbung ausgeschaltet. Nutzen wir Google Ads, merkt sich der Google-Tag außerdem, ob du über eine Anzeige bei Google gekommen bist, damit spätere Ereignisse dieser Anzeige zugeordnet werden können (Conversion-Messung). Dafür ruft dein Browser auch Adressen von Google auf, zum Beispiel googleadservices.com, googleads.g.doubleclick.net, ad.doubleclick.net, pagead2.googlesyndication.com und google.com, und Google kann Cookies auf diesen Domains lesen oder setzen (siehe Cookie-Hinweis).

Die Anbieter verarbeiten die Daten auch in eigener Verantwortung, etwa um ihre Werbedienste zu messen und zu verbessern. Bist du bei einem Anbieter angemeldet, kann er den Besuch deinem dortigen Konto zuordnen. Für die Erhebung und Übermittlung beim Seitenaufruf können wir mit dem Anbieter gemeinsam verantwortlich sein (Art. 26 DSGVO); die Anbieter stellen die dafür vorgesehenen Vereinbarungen in ihren Geschäftsbedingungen bereit. Die Anbieter können Daten auch in die USA und andere Drittländer übermitteln (siehe Abschnitt 8). Derzeit ist kein Werbe-Pixel eingerichtet; der Cookie-Hinweis erscheint deshalb nicht von selbst. Bevor wir einen Anbieter einrichten, nennen wir hier für ihn unsere Rolle und die Grundlage der Übermittlung in Drittländer.

Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen“ widerrufen; danach misst die App nichts mehr. Cookies, die die Anbieter bereits gesetzt haben, kannst du in deinem Browser löschen.

Kampagnen-Herkunft

Kommst du über einen Link mit Kampagnen-Angaben zu uns, liest die App folgende Angaben aus der Adresse bzw. vom Browser: die Kampagnen-Parameter (utm_source, utm_medium, utm_campaign, utm_term, utm_content), einen Empfehlungs-Parameter (ref), welche Art von Klick-Kennung vorhanden war (zum Beispiel „gclid“, nicht aber deren Wert), die Domain der verweisenden Website und die Einstiegsseite. Klick-Kennungen selbst speichern wir nie.

• Ohne Einwilligung bleiben diese Angaben nur im Arbeitsspeicher, solange die Seite geöffnet ist.
• Mit Einwilligung („Alle akzeptieren“) merkt sich dein Browser die erste Herkunft bis zu 30 Tage im lokalen Speicher, damit sie auch zählt, wenn du dich später registrierst. Widerrufst du die Einwilligung („Nur notwendige“), wird die gemerkte Herkunft in deinem Browser gelöscht.
• Registrierst du dich, senden wir die Angaben mit und speichern sie zu deinem Konto. So sehen wir zusammengefasst, welche Kampagnen Registrierungen bringen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, den Erfolg unserer Werbung zu messen. Du kannst dem jederzeit widersprechen (Abschnitt 11). Die Angaben löschen wir mit deinem Konto.

4. Dein Konto in der App

Registrierung und Konto

Für dein Konto speichern wir Vor- und Nachnamen, deine E-Mail-Adresse, freiwillig deine Telefonnummer, dein Passwort (nur als nicht umkehrbarer Hash), deine Sprache, wann du welche Fassung der Nutzungsbedingungen akzeptiert und dass du bestätigt hast, als Unternehmer zu handeln und mindestens 18 Jahre alt zu sein, und die Angaben zur Zwei-Faktor-Anmeldung (siehe „Anmeldung und Sicherheit“). Legst du eine Firma an, speichern wir deren Stammdaten, zum Beispiel Name, Rechtsform, Anschrift, Steuernummer und Bankverbindung, sowie deine Angaben zur Einrichtung. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Damit das kostenlose Angebot nicht durch Mehrfachkonten missbraucht wird, lehnen wir Wegwerf-Adressen und Adressen mit „+“-Zusatz ab und speichern zusätzlich eine vereinheitlichte Schreibweise deiner E-Mail-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz vor Missbrauch.

Bestätigungen, Einwilligungen und ihr Nachweis

Bei der Registrierung bestätigst du mit einem Häkchen, dass du als Unternehmer (§ 14 BGB), für ein Unternehmen oder für einen Verein, eine Stiftung oder eine andere Organisation handelst, nicht als Verbraucher, und mindestens 18 Jahre alt bist, dass du die Nutzungsbedingungen einschließlich des Vertrags zur Auftragsverarbeitung akzeptierst und diese Datenschutzerklärung gelesen hast. Legst du dabei eine Firma an, ist für sie der Spar-Check eingeschaltet (Abschnitt 5, Nutzungsbedingungen § 5 Abs. 1). Er ist Teil der Leistung für diese Firma, keine Einwilligung. Ein eigenes Häkchen oder einen gesonderten Hinweis dazu gibt es bei der Registrierung nicht; du findest ihn in den Nutzungsbedingungen und hier. Auf dein Recht, ihm jederzeit zu widersprechen, weisen wir dich spätestens mit der ersten Spar-Check-Mitteilung in einer eigenen Meldung hin. Wer über eine Einladung in eine Firma kommt, für den ist der Spar-Check nicht eingeschaltet.

Einwilligungen holen wir nur einzeln und ohne Vorauswahl ein, zum Beispiel für die Weitergabe deiner Kontaktdaten an einen Partner bei einer Anfrage. Saldiqo bleibt ohne Einwilligungen voll nutzbar. Jede Bestätigung, Einwilligung, jeden Widerruf und jeden Widerspruch speichern wir mit Zeitpunkt, Fassung und Wortlaut des gezeigten Textes, Ort der Abgabe (zum Beispiel Registrierung oder Profil), Art der Angabe (Vertrag, Einwilligung, Widerruf, Widerspruch oder Spar-Check als Teil der Leistung) und bei der Registrierung der Fassung der Nutzungsbedingungen, die du akzeptiert hast (zugleich der Nachweis für den Spar-Check ab der Registrierung). Wann wir dich auf dein Widerspruchsrecht beim Spar-Check hingewiesen haben, speichern wir mit Zeitpunkt, Fassung, Sprache und Wortlaut der Meldung, ohne IP-Adresse. Das alles dient dem Nachweis (Art. 5 Abs. 2, Art. 7 Abs. 1, Art. 6 Abs. 1 lit. c DSGVO). Die IP-Adresse, von der aus du die Angabe gemacht hast, speichern wir nur bei Einwilligungen und deren Widerruf, nicht bei den übrigen Angaben (zum Beispiel der Bestätigung bei der Registrierung oder einem Widerspruch) und nicht zur Meldung über dein Widerspruchsrecht. Bei Angaben vor dieser Fassung ist teilweise nur die Fassung gespeichert, nicht der Wortlaut. Widerrufen bzw. widersprechen kannst du jederzeit im Profil unter „Datenschutz, Spar-Check & Einwilligungen“.

Anmeldung und Sicherheit

Nach der Anmeldung setzen wir ein Sitzungs-Cookie (siehe Cookie-Hinweis). Zu jeder Sitzung speichern wir IP-Adresse und Browserkennung, damit du deine aktiven Sitzungen sehen und fremde beenden kannst. Diese Angaben löschen wir, sobald die Sitzung endet, spätestens nach 7 Tagen. Gegen Angriffe von fremden Websites prüft der Server bei jeder ändernden Anfrage Herkunft und einen eigenen Sicherheits-Header.

Für die Anmeldung brauchst du neben deinem Passwort einen zweiten Faktor: einen Passkey oder eine Authenticator-App. Richtest du eine Authenticator-App ein, speichern wir den gemeinsamen geheimen Schlüssel in unserer verschlüsselten Datenbank. Legst du einen Passkey an (zum Beispiel mit Face ID, Touch ID, Fingerabdruck, Geräte-PIN oder Windows Hello), erzeugt dein Gerät ein Schlüsselpaar; den privaten Schlüssel behält es. Wir speichern nur den öffentlichen Schlüssel, die Kennung des Passkeys, den Namen, den du ihm gibst (zum Beispiel „iPhone“), die vom Gerät gemeldete Typkennung (AAGUID), ob der Passkey zwischen deinen Geräten synchronisiert werden kann, einen Zähler sowie wann du ihn angelegt und zuletzt benutzt hast. Dein Fingerabdruck, dein Gesicht und deine Geräte-PIN verlassen dein Gerät nie: Dein Gerät prüft sie selbst und meldet uns nur, dass du den Passkey freigegeben hast. Für Passkeys vergeben wir eine zufällige Kennung, die weder deine E-Mail-Adresse noch deine Kontonummer enthält. Für jede Anmeldung und jedes Anlegen erzeugen wir eine einmalige Zufallszahl, die nach fünf Minuten verfällt. Backup-Codes für den Notfall zeigen wir dir nur ein einziges Mal; wir speichern sie nur als nicht umkehrbaren Hash und vermerken, wann ein Code benutzt wurde. Passkeys löschen wir, wenn du sie im Profil entfernst, Backup-Codes, wenn du neue erzeugst, und alles zusammen, wenn du dein Konto löschst. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an der Sicherheit deines Kontos und unseres Dienstes (Art. 6 Abs. 1 lit. f DSGVO).

Sicherheitsrelevante Ereignisse (zum Beispiel Anmeldungen, fehlgeschlagene Versuche, Passwort- und Zwei-Faktor-Änderungen, angelegte und entfernte Passkeys, benutzte und neu erzeugte Backup-Codes, Änderungen an Einwilligungen, Einladungen) protokollieren wir mit Zeitpunkt und IP-Adresse und löschen sie nach 90 Tagen. Deine eigenen Ereignisse siehst du im Profil. Inhaber und Admins einer Firma sehen im Sicherheitsprotokoll der Firma die Ereignisse, die diese Firma betreffen (zum Beispiel Einladungen, Rollenänderungen und Exporte), aber keine Anmeldungen, Registrierungen oder Partner-Anfragen anderer Mitglieder und keine IP-Adressen anderer Personen. Auch Aktionen der Betreiber in der Plattform-Verwaltung, zum Beispiel Rollenänderungen und befristete Support-Zugänge, löschen wir nach 90 Tagen. Um Angriffe abzuwehren, zählen wir Anfragen pro IP-Adresse kurzzeitig im Arbeitsspeicher. Zugriffsprotokolle über einzelne Seitenaufrufe führen wir nicht. Technische Fehler- und Betriebsmeldungen schreiben die Dienste auf unserem Server (App, Website, Mailserver und vorgeschalteter Webserver) in Protokolle, die nur auf diesem Server liegen; einen externen Log-Dienst nutzen wir nicht. Die Meldungen können im Einzelfall personenbezogene Angaben enthalten, zum Beispiel eine IP-Adresse oder eine E-Mail-Adresse, an die eine E-Mail nicht zugestellt werden konnte; das Protokoll des Mailservers enthält zu jeder E-Mail Absender- und Empfängeradresse, Zeitpunkt und Zustellstatus. Die Protokolle von App und Website sind je Dienst auf 50 MB begrenzt: Ist diese Größe erreicht, werden die ältesten Einträge gelöscht, außerdem beim Einspielen einer neuen Version. Die Protokolle des Mailservers und des vorgeschalteten Webservers löschen wir nach spätestens 30 Tagen; zusätzlich sind sie je Dienst auf 30 MB begrenzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Sicherheit deines Kontos und unseres Dienstes.

E-Mails von uns

Ohne weitere Zustimmung schicken wir dir nur E-Mails, die zur Nutzung gehören: E-Mail-Adresse bestätigen, Passwort zurücksetzen, Einladungen, Hinweise zur Einrichtung deiner Firma (Art. 6 Abs. 1 lit. b DSGVO) sowie Mitteilungen zu Meldungen und Entscheidungen im Vorlagen-Markt (Abschnitt 5). Den Newsletter siehe Abschnitt 5.

Prüfung von E-Mail-Adressen

Wenn du eine E-Mail-Adresse eingibst, prüfen wir, ob sie vermutlich einen Tippfehler enthält und ob die Domain E-Mails empfangen kann. Dafür fragen wir nur den Domainnamen (Teil nach dem @) im öffentlichen DNS ab. Die Adresse selbst wird dabei nicht weitergegeben.

Mehrere Firmen, Team und Einladungen

Mit einem Konto kannst du mehrere Firmen verwalten und andere Personen mit Rollen einladen (zum Beispiel Admin, Buchhaltung, Support oder Steuerberatung mit Lesezugriff). Lädt dich jemand in eine Firma ein, speichern wir deine E-Mail-Adresse, die vorgesehene Rolle und wer eingeladen hat. Nimmst du nicht an, verfällt die Einladung nach 14 Tagen; beantwortete oder abgelaufene Einladungen löschen wir nach 90 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse der einladenden Firma ist die Zusammenarbeit im Team.

Benachrichtigungen

In der App zeigen wir dir Benachrichtigungen, zum Beispiel neue Spar-Check-Hinweise, Reaktionen auf deine Vorlagen im Vorlagen-Markt oder Mitteilungen zu Meldungen. Mit der ersten Spar-Check-Benachrichtigung bekommst du einmal eine eigene Meldung zu deinem Widerspruchsrecht (Abschnitt 5). Benachrichtigungen bleiben gespeichert, bis du sie löschst oder dein Konto löschst. Spar-Check-Benachrichtigungen löschen wir außerdem, sobald du den Spar-Check abschaltest.

Programm für Mac und Windows

Das Programm für Mac und Windows zeigt die App (app.saldiqo.com) in einem eigenen Fenster; es gilt alles, was diese Erklärung zur App sagt. Auf deinem Rechner speichert das Programm nur Größe und Position des Fensters sowie, wie ein Browser, das Sitzungs-Cookie und deine Einstellungen aus dem Cookie-Hinweis. Kamera, Mikrofon, Standort und Benachrichtigungen kann die App im Programm nicht nutzen. Unter macOS verwendet das Programm für die Rechtschreibprüfung die eingebaute Prüfung des Betriebssystems. Unter Windows ist die Rechtschreibprüfung ausgeschaltet; das Programm lädt dafür keine Wörterbücher. Eine automatische Aktualisierung gibt es derzeit nicht; das Programm fragt keinen Update-Server ab.

5. Spar-Check, Partner-Angebote und weitere Funktionen

Spar-Check

Der Spar-Check ist Teil der Leistung. Bei neuen Konten ist er ab der Registrierung für die Firma eingeschaltet, die du dabei anlegst; das regeln die Nutzungsbedingungen (§ 5 Abs. 1), die du bei der Registrierung mit dem einen Häkchen akzeptierst. Ein eigenes Häkchen oder einen gesonderten Hinweis dafür gibt es bei der Registrierung nicht. Zweck ist, dir zu zeigen, wo deine Firma vermutlich zu viel bezahlt. Saldiqo wertet dafür einmal pro Woche automatisch die Ausgaben und abgehenden Bankbuchungen der letzten 12 Monate (Lieferant bzw. Gegenkonto, Verwendungszweck, Kategorie, Betrag, Datum) sowie den Rechnungsumsatz des laufenden Jahres aus. Feste Stichwort-Regeln erkennen dabei Themen wie Versicherungen, Telefon und Internet, Energie, Kontogebühren, Software oder Steuerberatung und schätzen, wo du vermutlich zu viel bezahlst. Die Hinweise siehst du auf der Seite „Spar-Check“ in der App und als Benachrichtigung (Glocke), nicht auf der Startseite deiner Firma und nicht in der Firmenübersicht.

• Für welche Firmen: Der Standard gilt nur für die Firma, die du bei der Registrierung anlegst. Für weitere Firmen, in denen du Inhaber oder Admin bist, läuft der Spar-Check nur, wenn du ihn dort selbst einschaltest; nie für Firmen, in denen du nur Buchhaltung, Support oder Steuerberatung bist. Wer über eine Einladung ein Konto anlegt, hat ihn nicht eingeschaltet. Hat der Inhaber einer Firma, die er mit dem Spar-Check angelegt hat, ihn abgeschaltet, läuft er für dessen Firmen auch nicht über einen Admin weiter.
• Unsere Rolle: Die Auswertung erledigen wir als Auftragsverarbeiter für die jeweilige Firma nach dem Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Dass der Spar-Check für die bei der Registrierung angelegte Firma eingeschaltet ist, ist eine Weisung nach § 5 Abs. 1 der Nutzungsbedingungen; das Abschalten ist eine Gegenweisung, die sofort gilt. Für die Buchungsdaten ist die Firma verantwortlich (Abschnitt 6). Wir nutzen die Auswertung nicht für eigene Zwecke: Wir bilden daraus keine Profile für uns, werten nicht aus, wer welche Hinweise bekommt, und geben nichts weiter. Eigene Zwecke verfolgen wir erst, wenn du selbst ein Partner-Angebot anforderst (siehe „Partner-Angebote“).
• Die Auswertung und ihre Ergebnisse bleiben in Saldiqo, in der Datenbank der jeweiligen Firma. Als Beispiele merken wir uns nur Namen von Empfängern, die selbst ein Stichwort der Regel enthalten (zum Beispiel „Stadtwerke …“). Welche Hinweise du siehst, hängt nur von den Daten der Firma ab, nicht davon, ob es für ein Thema einen Partner gibt.
• Krankenversicherung: Zahlungen an Krankenversicherer können Rückschlüsse auf die Gesundheit zulassen (Art. 9 DSGVO). Diesen Hinweis gibt es deshalb nur, wenn du den Spar-Check mit deiner Einwilligung in der Fassung 2026-10-07.5 oder einer späteren eingeschaltet hast (erst deren Text nennt die Krankenversicherung), nicht beim Standard ab der Registrierung. Beiträge zur Sozialversicherung für Beschäftigte (erkennbar zum Beispiel am Verwendungszweck „Beitragsnachweis“) zählen nicht dazu.
• Es handelt sich um eine automatisierte Auswertung (Profiling im Sinne von Art. 4 Nr. 4 DSGVO), aber um keine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO: Du bekommst nur unverbindliche Hinweise und entscheidest selbst.
• Unser wirtschaftliches Interesse: Forderst du über einen Hinweis selbst ein Partner-Angebot an oder schließt du über eine Partnerseite etwas ab, kann der Partner uns dafür bezahlen (siehe „Partner-Angebote“). Damit finanzieren wir die kostenlose Nutzung. Den Partner zu einem Hinweis und sein Angebot zeigen wir erst, wenn du „Angebote ansehen (Werbung)“ wählst; sie sind als Werbung gekennzeichnet. Buchungsdaten und Beträge aus dem Spar-Check verkaufen wir nicht und geben sie nicht weiter.

Widerspruch gegen den Spar-Check: Du kannst dem Spar-Check jederzeit und ohne Begründung widersprechen, auch den Angeboten von Partnern in den Hinweisen (Werbung, Art. 21 Abs. 2 und 3 DSGVO): mit „Spar-Check abschalten“ auf der Seite „Spar-Check“, über die Meldung zu deinem Widerspruchsrecht in der Glocke (ein Klick darauf öffnet „Spar-Check abschalten“) oder im Profil unter „Datenschutz, Spar-Check & Einwilligungen“. Darauf weisen wir dich spätestens mit der ersten Spar-Check-Mitteilung in einer eigenen Meldung hin, getrennt von den Hinweisen (Art. 21 Abs. 4 DSGVO); auf der Seite „Spar-Check“ steht der Hinweis dauerhaft. Schaltest du ihn ab, endet die wöchentliche Auswertung für dich und wir löschen deine Spar-Check-Benachrichtigungen. Für eine Firma, die du mit dem Spar-Check angelegt hast, und deine weiteren eigenen Firmen endet er sofort, auch wenn ein Admin ihn eingeschaltet hat. Die gemerkten Hinweise einer Firma löschen wir, sobald der Spar-Check dort nicht mehr läuft. Alle anderen Funktionen bleiben unverändert. Wieder einschalten kannst du ihn im Profil; das gilt dann als deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit widerrufen kannst.

Konten, die vor dieser Fassung angelegt wurden, haben wir nicht eingeschaltet. Bei ihnen und für weitere Firmen läuft der Spar-Check nur, wenn du ihm in der App zustimmst. Diese Zustimmung ist eine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit mit Wirkung für die Zukunft widerrufen kannst; zugleich weist du uns damit für die Firma an, die Auswertung durchzuführen. Sie gilt für die Firmen, in denen du Inhaber oder Admin bist.

Partner-Angebote

Zu einem Hinweis kannst du ein Angebot eines Partners anfordern. Nur wenn du selbst auf „Angebot anfordern“ klickst und im Dialog der Weitergabe an den dort mit Name und Anschrift genannten Partner zustimmst, speichern wir eine Anfrage mit deinem Namen, deiner E-Mail-Adresse, deiner Telefonnummer (nur wenn du einen Anruf gewählt hast), dem Namen der Firma, dem Thema (zum Beispiel „Strom & Gas“), dem Zeitpunkt und dem Nachweis deiner Einwilligung (Zeitpunkt, Fassung und Wortlaut des Textes, IP-Adresse, Partner, Kanal). Diese Angaben geben wir an einen ausgewählten Partner zum Thema weiter, damit er dich per E-Mail oder Telefon mit einem Angebot kontaktiert. Gleiche Anfragen zum selben Thema innerhalb von 30 Tagen fassen wir zusammen.

• Partner sind Banken und Finanzvermittler, Software-Anbieter sowie Telekommunikations- und Energieanbieter. Zu Krankenversicherung und Steuerberatung geben wir keine Anfragen weiter, zu anderen Versicherungen bis zur rechtlichen Klärung ebenfalls nicht.
• Welcher Partner eine Anfrage erhält, nennen wir dir im Dialog „Angebot anfordern“ mit Name und Anschrift, bevor du zustimmst. Ist für ein Thema kein Partner eingetragen, kannst du dazu kein Angebot anfordern.
• Buchungsdaten, Beträge aus dem Spar-Check oder andere Daten deiner Firma erhalten Partner nie.
• Die Partner verarbeiten die Daten in eigener Verantwortung nach ihren eigenen Datenschutzhinweisen. Für vermittelte Anfragen können Partner uns eine Vergütung zahlen; damit finanzieren wir die kostenlose Nutzung.
• Mit „Partnerseite ansehen (Werbung)“ öffnest du die Seite eines Partners, ohne dass wir Daten weitergeben. Dort gelten die Datenschutzhinweise des Partners.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Widerrufst du sie, geben wir keine weiteren Anfragen mehr weiter. Bereits weitergegebene Daten liegen beim Partner; für deren Löschung wende dich bitte an ihn. Löschst du dein Konto, löschen wir noch nicht weitergegebene Anfragen; bei bereits weitergegebenen entfernen wir Name, E-Mail-Adresse, Telefonnummer und Firmennamen und behalten nur Thema, Zeitpunkt, Status und den Nachweis der Einwilligung.

Löschfristen für Anfragen: Wir prüfen die Anfragen regelmäßig automatisch. Nicht weitergegebene Anfragen löschen wir 24 Monate nach der Anfrage, nach einem Widerruf schon nach 30 Tagen. Bei weitergegebenen Anfragen entfernen wir Name, E-Mail-Adresse, Telefonnummer, Firmennamen und Notiz 24 Monate nach der Anfrage, nach einem Widerruf spätestens 30 Tage danach. Das gilt auch, wenn wir den Widerruf dem Partner noch nicht gemeldet haben; die Meldung läuft über die Nummer der Anfrage. Den verbleibenden Nachweis der Einwilligung ohne Kontaktdaten löschen wir 5 Jahre nach der Weitergabe.

Newsletter

Einen Newsletter verschicken wir derzeit nicht und bieten ihn bei der Registrierung nicht an. Hast du früher eingewilligt, speichern wir nur diesen Nachweis; widerrufen kannst du jederzeit im Profil unter „Datenschutz, Spar-Check & Einwilligungen“ oder mit einer E-Mail an uns. Führen wir einen Newsletter ein, beschreiben wir ihn vorher hier und fragen gesondert nach deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 UWG).

Vorlagen-Markt

Im Vorlagen-Markt können angemeldete Nutzer Gestaltungsvorlagen für Belege teilen, bewerten und kommentieren. Veröffentlichst du eine Vorlage, enthält sie nur Gestaltungswerte (zum Beispiel Schriften, Farben, Anordnung), keine Firmendaten, kein Logo und kein Briefpapier. Als Autor zeigen wir allen angemeldeten Saldiqo-Nutzern deinen Vornamen und den ersten Buchstaben deines Nachnamens (zum Beispiel „Erika M.“). So erscheinen auch deine Kommentare. Bewertest oder kommentierst du eine fremde Vorlage, erfährt die Autorin bzw. der Autor das mit diesem Kurznamen. Du kannst eigene Vorlagen und Kommentare jederzeit löschen; mit deinem Konto löschen wir sie ebenfalls (zum gespeicherten Stand gemeldeter Inhalte siehe „Meldungen“). Wir können Inhalte entfernen, die gegen die Regeln des Vorlagen-Markts verstoßen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Vorlagen-Markts auf deinen Wunsch).

Bestätigungen beim Veröffentlichen: Vor dem Veröffentlichen bestätigst du, dass du die nötigen Rechte an der Vorlage hast und sie keine Daten Dritter enthält, und räumst das Nutzungsrecht nach den Nutzungsbedingungen ein. Als Nachweis speichern wir dein Konto, den Zeitpunkt, Fassung, Sprache und Wortlaut der bestätigten Texte und den Namen der Vorlage, aber keine IP-Adresse. Der Nachweis bleibt, auch wenn du die Vorlage löschst, weil Nutzer, die sie übernommen haben, sie weiter verwenden dürfen; mit deinem Konto löschen wir ihn. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO; unser berechtigtes Interesse ist, die Rechteeinräumung nachweisen zu können.

Meldungen: Meldest du eine Vorlage oder einen Kommentar, speichern wir dein Konto, den Grund, deine Begründung, deine Bestätigung nach bestem Wissen, freiwillig eine abweichende E-Mail-Adresse, den Zeitpunkt und zum Nachweis den Stand des gemeldeten Inhalts (Name und Beschreibung der Vorlage bzw. Text des Kommentars sowie Kurzname der Autorin bzw. des Autors). Eingangsbestätigung und Ergebnis bekommst du in der App und per E-Mail an deine Konto-Adresse bzw. an die angegebene Adresse. Die Meldung sehen nur die Betreiber von Saldiqo; sie werden über neue Meldungen benachrichtigt, ohne dass die E-Mail den Meldetext enthält. Entfernen wir einen Inhalt, teilen wir der betroffenen Person mit, dass und warum er gemeldet und entfernt wurde, aber grundsätzlich nicht, wer gemeldet hat. Jede Entscheidung halten wir im Sicherheitsprotokoll fest. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 und 17 des Digital Services Act (Melde- und Abhilfeverfahren, Begründung) sowie Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, den Vorlagen-Markt frei von Rechtsverstößen und Regelverstößen zu halten.

Nutzer ausblenden: Blendest du eine Person aus, speichern wir, wen du wann ausgeblendet hast, damit du ihre Inhalte nicht mehr siehst, sie bei dir keine Benachrichtigungen auslöst und unter deinen Vorlagen nicht kommentieren kann. Die Person erfährt davon nichts. Du kannst das jederzeit rückgängig machen; mit deinem oder ihrem Konto löschen wir den Eintrag (Art. 6 Abs. 1 lit. b DSGVO).

Löschfristen im Vorlagen-Markt: Entschiedene Meldungen löschen wir samt Begründung, E-Mail-Adresse und gespeichertem Stand des Inhalts 12 Monate nach der letzten Entscheidung (auch über einen Widerspruch); offene Meldungen bleiben, bis wir entschieden haben. Löschst du dein Konto, entfernen wir eine angegebene abweichende E-Mail-Adresse sofort, die Meldung selbst bleibt bis zum Ende der Frist ohne Zuordnung zu deinem Konto. Löscht die Autorin bzw. der Autor den gemeldeten Inhalt oder das Konto, bleibt der gespeicherte Stand ebenfalls bis zum Ende der Frist, damit die Entscheidung nachvollziehbar bleibt. Von uns entfernte Kommentare löschen wir 12 Monate nach dem Entfernen; von uns entfernte Vorlagen siehst nur du, bis du sie oder dein Konto löschst.

6. Daten, die du in Saldiqo verwaltest

In Saldiqo pflegst du Daten deiner Kunden, Lieferanten und Ansprechpartner: Kontakte, Angebote, Rechnungen und E-Rechnungen, Bankumsätze, Ausgaben, Belege und Support-Anfragen. Für diese Daten bist du bzw. deine Firma verantwortlich. Wir verarbeiten sie ausschließlich in deinem Auftrag und nach deinen Weisungen (Art. 28 DSGVO), auch im Spar-Check (Abschnitt 5). Die Einzelheiten regelt unser Vertrag zur Auftragsverarbeitung, der Teil der Nutzungsbedingungen ist.

Verschickst du Rechnungen oder Angebote über Saldiqo, gehen sie mit dem Absender „Deine Firma via Saldiqo“ an die Empfänger, die du auswählst. Antworten gehen an die E-Mail-Adresse deiner Firma.

Bist du Kunde einer Firma, die Saldiqo nutzt, und hast Fragen zu deinen Daten, wende dich bitte direkt an diese Firma. Wir unterstützen sie bei der Antwort.

Öffentlicher Hilfebereich

Firmen können über Saldiqo einen Hilfebereich anbieten, über den ihre Kunden Anfragen schicken und Antworten lesen. Auch diese Daten (Name, E-Mail-Adresse, Nachricht, Anhänge) verarbeiten wir im Auftrag der jeweiligen Firma. Bestätigungen und Antworten verschicken wir per E-Mail im Namen der Firma.

7. Wer deine Daten bekommt

Wir geben Daten nur weiter, wenn das für den Betrieb nötig ist, du eingewilligt hast oder ein Gesetz es verlangt:

• Hosting: Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern, Serverstandort Frankfurt am Main, Deutschland (Auftragsverarbeiter).
• E-Mail-Versand: eigener Mailserver auf unserem Server bei Hostinger International Ltd. (Anschrift siehe Hosting), Ort der Verarbeitung Deutschland (Auftragsverarbeiter).
• Sicherungen und Protokolle: Unsere verschlüsselten Sicherungen und die Betriebs- und Sicherheitsprotokolle liegen derzeit nur auf unserem Server bei Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern. Einen weiteren Anbieter für Sicherungen, Schlüssel oder Protokolle nutzen wir nicht. Kommt einer hinzu, nennen wir ihn hier.
• KI-Assistent: derzeit nicht eingerichtet. Richten wir ihn ein, nennen wir vorher Anbieter und Einzelheiten in Abschnitt 5.
• Werbeanbieter Meta, Google und TikTok: nur mit deiner Einwilligung im Cookie-Hinweis und nur auf öffentlichen Seiten der App (Abschnitt 3).
• Partner: nur mit deiner Einwilligung und nur nach deiner Anfrage (Abschnitt 5).
• Behörden und Gerichte: nur, wenn wir gesetzlich dazu verpflichtet sind.

Wir verkaufen keine Buchungsdaten und geben die Daten deiner Kunden nicht für eigene Zwecke weiter.

8. Übermittlung in Drittländer

Unsere Server stehen in Frankfurt am Main, Deutschland. Außerhalb der EU bzw. des EWR können Daten in diesen Fällen verarbeitet werden:

• Werbe-Pixel (nur mit Einwilligung): Derzeit ist kein Werbe-Pixel eingerichtet. Meta, Google und TikTok können Daten in die USA und weitere Drittländer übermitteln. Bevor wir einen dieser Anbieter einrichten, nennen wir hier, worauf sich die Übermittlung bei ihm stützt, zum Beispiel auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO) oder auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• KI-Assistent: derzeit nicht eingerichtet. Richten wir ihn ein, nennen wir vorher Anbieter, Ort und Grundlage der Übermittlung.

9. Wie lange wir Daten speichern

• Kontodaten, Nachweise zu Bestätigungen, Einwilligungen, Widerrufen und Widersprüchen, Nachweis des Hinweises auf das Widerspruchsrecht beim Spar-Check sowie Kampagnen-Herkunft: solange dein Konto besteht.
• Sitzungen: bis zur Abmeldung, nach 12 Stunden ohne Nutzung, höchstens 7 Tage.
• Sicherheitsprotokoll: 90 Tage, auch für Aktionen der Betreiber. Fehler- und Betriebsmeldungen: wie in Abschnitt 4 angegeben. Einladungen: 14 Tage gültig, danach höchstens 90 Tage gespeichert.
• KI-Assistent: derzeit nicht eingerichtet. Richten wir ihn ein, nennen wir vorher, wie lange wir und der Anbieter Daten dazu speichern.
• Partner-Anfragen: Kontaktdaten höchstens 24 Monate, nach einem Widerruf höchstens 30 Tage; der Nachweis der Einwilligung ohne Kontaktdaten höchstens 5 Jahre nach der Weitergabe. Löschst du dein Konto vorher, gilt Abschnitt 5.
• Vorlagen, Kommentare und Bewertungen im Vorlagen-Markt: bis du sie oder dein Konto löschst; von uns entfernte Kommentare 12 Monate nach dem Entfernen. Nachweis der Bestätigungen beim Veröffentlichen und ausgeblendete Nutzer: solange dein Konto besteht.
• Meldungen im Vorlagen-Markt: 12 Monate nach der letzten Entscheidung; eine abweichende E-Mail-Adresse höchstens, bis du dein Konto löschst (Abschnitt 5).
• Spar-Check-Ergebnisse: in der Datenbank der Firma; sie werden wöchentlich überschrieben und gelöscht, sobald der Spar-Check für die Firma nicht mehr läuft (nach Widerspruch oder Widerruf, wenn kein Inhaber oder Admin ihn dort mehr nutzt oder Rollen sich ändern), spätestens mit der Firma. Spar-Check-Benachrichtigungen, auch die Meldung zum Widerspruchsrecht: bis du sie löschst, längstens bis zum Abschalten des Spar-Checks.

Löschst du dein Konto, entfernen wir die Daten sofort aus dem laufenden System. Ausnahmen: Einträge im Sicherheitsprotokoll (mit IP-Adresse) bleiben bis zum Ende der 90 Tage gespeichert, damit sich Missbrauch aufklären lässt (Art. 6 Abs. 1 lit. f DSGVO); für Partner-Anfragen und Meldungen im Vorlagen-Markt gilt Abschnitt 5. Firmen, deren Inhaber du bist, werden mit allen Daten und ihrem Schlüssel gelöscht. In Firmen anderer Inhaber endet nur deine Mitgliedschaft; dein Name bleibt in der Datenbank dieser Firmen (damit Belege und Anfragen ihn weiter anzeigen) und in deren Änderungsprotokoll erhalten, damit Buchungen nachvollziehbar bleiben. Deine E-Mail-Adresse entfernen wir dort. In unseren verschlüsselten Sicherungen bleiben Daten, bis die jeweilige Sicherung gelöscht wird. Wir sichern täglich und bewahren die Sicherungen der letzten 14 Tage sowie je Monat eine Sicherung der letzten 12 Monate auf. Keine Sicherung ist älter als 400 Tage; gelöschte Daten sind deshalb spätestens nach 400 Tagen auch aus den Sicherungen verschwunden. Gesetzliche Aufbewahrungspflichten (zum Beispiel für Rechnungen, die wir dir stellen) gehen vor; diese Daten sperren wir dann für jede andere Nutzung.

Deine eigenen Aufbewahrungspflichten für Rechnungen und Belege (in Deutschland meist 8 bis 10 Jahre) erfüllst du selbst. Exportiere deine Daten deshalb, bevor du eine Firma oder dein Konto löschst.

10. Sicherheit

Alle Verbindungen sind per HTTPS verschlüsselt. Jede Firma hat eine eigene Datenbank mit eigenem Schlüssel (AES-256). Sicherungen bleiben verschlüsselt. Passwörter speichern wir nur als Hash. Jedes Konto ist mit einem zweiten Faktor geschützt (Passkey oder Authenticator-App). Der Service Worker der installierbaren App speichert nur Programmdateien, Schriften und Symbole, keine Finanzdaten. Weitere Maßnahmen beschreibt Anlage 1 des Vertrags zur Auftragsverarbeitung.

11. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Vieles davon kannst du direkt in der App erledigen: Daten ändern, exportieren (die Daten einer Firma in deren Einstellungen, die Daten zu deinem Konto im Profil unter „Meine Daten exportieren“), Einwilligungen widerrufen oder dein Konto löschen. Für alles andere genügt eine E-Mail an contact@saldiqo.com.

Widerruf von Einwilligungen: Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO): Cookies und Pixel über „Cookie-Einstellungen“, Partner-Weitergabe, einen selbst eingeschalteten Spar-Check und einen früher bestellten Newsletter im Profil unter „Datenschutz, Spar-Check & Einwilligungen“. Die Verarbeitung bis zum Widerruf bleibt rechtmäßig.

Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, zum Beispiel die Kampagnen-Herkunft, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Dem Spar-Check einschließlich der Angebote von Partnern in den Hinweisen (Werbung) kannst du jederzeit ohne Begründung widersprechen: mit „Spar-Check abschalten“ auf der Seite „Spar-Check“, über die Meldung zu deinem Widerspruchsrecht oder im Profil (Abschnitt 5).

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel an deinem Wohnort, deinem Arbeitsplatz oder unserem Sitz (Art. 77 DSGVO).

12. Pflicht zur Angabe, Profiling, keine automatisierten Entscheidungen

Ohne Namen, E-Mail-Adresse und Passwort und ohne die Bestätigung bei der Registrierung (Unternehmer oder für ein Unternehmen, mindestens 18 Jahre, Nutzungsbedingungen einschließlich Vertrag zur Auftragsverarbeitung, Datenschutzerklärung) können wir kein Konto für dich anlegen. Alle anderen Angaben sind freiwillig, manche brauchst du aber für gültige Rechnungen. Ein Profiling findet nur im Spar-Check statt, den wir als Auftragsverarbeiter für die Firma durchführen; du kannst ihm jederzeit widersprechen (Abschnitt 5). Automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO treffen wir nicht.

13. Änderungen

Ändert sich etwas an der Datenverarbeitung, passen wir diese Erklärung an. Über wesentliche Änderungen informieren wir dich in der App oder per E-Mail. Brauchen wir für etwas Neues deine Einwilligung, fragen wir dich vorher.