Unser Compliance-Status
Was wir an Zertifizierungen haben und was nicht — und was unsere Dienstleister haben.
Zuletzt aktualisiert: 30. September 2026
Kurz gesagt
Okidoky arbeitet nach der DSGVO, Zahlungen laufen über Mollie (mit einer Lizenz der niederländischen Zentralbank DNB), und unser Server steht in Deutschland, bei IONOS SE. Okidoky gehört RULIDO, einem Einzelunternehmen, das bei der niederländischen Handelskammer (KVK) unter der Nummer 98709364 eingetragen ist. Ein Auftragsverarbeitungsvertrag für Organisationen ist in Vorbereitung: Wir veröffentlichen ihn erst, wenn ein Jurist ihn geprüft hat.
ABER: Wir selbst haben keine ISO 27001- oder SOC 2-Zertifizierung. Diese kosten 15.000–40.000 € pro Audit und sind für ein bootstrapped SaaS derzeit nicht machbar. Wenn Sie einen Anbieter mit einem solchen Zertifikat benötigen: siehe unseren Fallback-Abschnitt am Ende.
Aktiver Compliance-Status
Sechs konkrete Punkte, die aktuell gelten. Überprüfbar über öffentliche Register oder auf dieser Website.
KVK-Registrierung
KVK 98709364
Bei der niederländischen Handelskammer unter der Nummer 98709364 eingetragen. RULIDO ist ein Einzelunternehmen (keine juristische Person). Überprüfbar über kvk.nl.
Umsatzsteuerpflichtige Einheit
NL
Umsatzsteuerlich in den Niederlanden registriert. Automatische Ausstellung umsatzsteuerkonformer Rechnungen. Für B2B mit gültiger USt-IdNr.: Reverse-Charge-Verfahren.
DSGVO/GDPR-konform
GDPR / AVG
Wir arbeiten nach der DSGVO: Wir verarbeiten nicht mehr Daten als nötig, holen Einwilligungen ein, wo sie erforderlich sind, Sie können Ihre Daten exportieren und Ihr Konto löschen, und wir melden Datenpannen so, wie es das Gesetz verlangt. Datenschutzfragen: info@okidoky.nl.
PSD2-Zahlungen
PSD2 via Mollie
Alle Zahlungen erfolgen über Mollie B.V., die eine PSD2-Lizenz der niederländischen Zentralbank (DNB) besitzt. Die starke Kundenauthentifizierung (SCA) nach PSD2 übernimmt Mollie.
EU-Datenhosting
IONOS SE · DE
Okidoky läuft auf einem virtuellen Server bei IONOS SE in Deutschland; dort liegen die App, die Datenbank mit Ihrem Konto und Haushaltsbuch sowie unser eigener Mailserver. Was außerhalb der EU landen kann: was wir an OpenAI (USA) senden — Belegfotos und Beschreibungen aus Bankimporten von Premium-Konten sowie die Monatssummen für die Monatsübersicht zum Newsletter — und Nutzungsdaten über Google Analytics, AdSense und die Server für Schriften und Icons. Siehe die Seite mit den Sub-Auftragsverarbeitern.
Öffentliche Liste der Sub-Auftragsverarbeiter
/sub-verwerkers
Unter /sub-verwerkers stehen die externen Dienste, die Nutzerdaten sehen können, mit Zweck, Daten und Land.
Ehrlich über das, was fehlt
Bootstrapped SaaS verfügt nicht über alle Zertifizierungen, die große Wettbewerber haben. Hier ist, was nicht zutrifft — und warum.
ISO 27001 (Information Security Management)
(Noch) nicht vorhandenInternationaler Standard für Managementsysteme der Informationssicherheit. Viele Enterprise-Kunden erwarten dies von ihren Anbietern.
Warum nicht: Ein erstes Audit kostet schnell 15.000–25.000 €, dazu jährliche Re-Audits und Hunderte Stunden eigene Arbeit. Für ein Einzelunternehmen ist das derzeit nicht machbar. Die physische Sicherheit des Rechenzentrums liegt bei unserem Hosting-Anbieter IONOS (siehe Tabelle unten).
SOC 2 Type II (US-Standard)
(Noch) nicht vorhandenUS-amerikanischer Auditing-Standard für Dienstleistungsorganisationen, beliebt bei US-Unternehmen und SaaS. Fokus auf Sicherheit, Verfügbarkeit und Datenschutz.
Warum nicht: Noch teurer als ISO 27001 (20.000–40.000 € pro Audit, nochmals für Type II, das Verhalten über 6 Monate bewertet). Vor allem für den US-Markt relevant — wir sind NL/EU-fokussiert. Sollten wir jemals in die USA expandieren, ist dies die erste Zertifizierung, die wir in Erwägung ziehen.
PCI DSS (direkt)
(Noch) nicht vorhandenStandard für die sichere Verarbeitung von Zahlungskarten. Erforderlich für alle, die Kartennummern selbst verarbeiten.
Warum nicht: Für uns nicht zutreffend: Wir verarbeiten NIEMALS Kartennummern direkt. Alle Zahlungen laufen über Mollie (PCI DSS Level 1 zertifiziert). Wir sehen nur Transaktions-IDs, niemals Kartendaten. Wir brauchen PCI DSS also nicht — und auf Bank-Ebene haben wir es somit indirekt doch.
NEN 7510 (spezifisch für das Gesundheitswesen)
(Noch) nicht vorhandenNiederländische Norm für Informationssicherheit im Gesundheitssektor.
Warum nicht: Nicht relevant: Okidoky ist für private/häusliche Finanzen gedacht, nicht für Gesundheitsdaten. Diese Norm gilt für Krankenhäuser, Hausärzte und Gesundheits-SaaS. Wir dokumentieren dies explizit, da einige Audit-Checklisten danach fragen.
Auftragsverarbeitungsvertrag (AVV)
(Noch) nicht vorhandenEin Auftragsverarbeitungsvertrag legt fest, wie wir Daten verarbeiten, wenn wir das im Auftrag einer Organisation tun, zum Beispiel für Coaches oder Vereine.
Warum nicht: Der Text ist in Vorbereitung. Wir veröffentlichen ihn erst, wenn ein Jurist ihn geprüft hat. Braucht Ihre Organisation schon jetzt einen? Schreiben Sie an info@okidoky.nl.
Zertifizierungen, von denen wir SEHR WOHL profitieren
Unsere wichtigsten Anbieter haben Zertifizierungen, die wir selbst (noch) nicht haben. Beachten Sie: Diese gelten für deren eigene Dienste, nicht für Okidoky selbst.
| Anbieter | Zertifizierungen | Was Sie davon haben |
|---|---|---|
IONOS | ISO 27001 | Laut IONOS selbst ist IONOS nach ISO 27001 zertifiziert (genannt im Auftragsverarbeitungsvertrag von IONOS). IONOS betreibt Rechenzentrum und Hardware; die Software auf dem Server (App, Datenbank, Mailserver) verwalten wir selbst, und darauf bezieht sich die Zertifizierung nicht. |
Mollie | PCI DSS L1PSD2GDPR | Alle Kartendaten werden von Mollie unter PCI DSS Level 1 verarbeitet. Wir sehen Ihre Kartennummer nie. |
OpenAI | SOC 2 Type 2GDPR (SCCs) | KI-Funktionen unter SOC 2 Type 2: Belegscan und Bankimport-Kategorien (Premium) sowie die Zusammenfassung in der Monatsübersicht zum Newsletter. OpenAI trainiert nicht mit deinen Eingabedaten und speichert sie nicht dauerhaft. Der kostenlose Belegscan läuft zu 100% lokal. |
Zertifizierungsplanung
Ehrlicher Zeitplan, wann wir welche Zertifizierungen erwarten. Keine Versprechen — nur Einschätzungen.
Auftragsverarbeitungsvertrag veröffentlichen
Sobald ein Jurist den Text geprüft hat, veröffentlichen wir einen Auftragsverarbeitungsvertrag auf dieser Website, mit Versionsnummer und Datum.
ISO 27001 Gap-Analyse
Einen externen Berater für eine Gap-Analyse beauftragen. Identifizieren, welche der 93 Controls wir bereits faktisch anwenden und was fehlt. Keine Audit-Verpflichtung, aber Vorbereitung.
Vollständiges ISO 27001 Audit (sofern der Umsatz es zulässt)
Ab 500k € Jahresumsatz wird ein vollständiges Audit denkbar. Das verschafft Enterprise-Kunden das Papier, das sie benötigen. Vorerst: zu teuer, zu viel Overhead.
Diese Planung ist unsere beste Einschätzung zum 30. September 2026. Umstände (Umsatz, Kundenanforderungen, Regulierung) können die Reihenfolge ändern. Wir aktualisieren dies mindestens jährlich.
Benötigen Sie einen ISO-zertifizierten Anbieter?
Einige Unternehmen haben eine interne Richtlinie, die ISO 27001 oder SOC 2 vorschreibt. Das ist ein valider Grund, NICHT mit uns zusammenzuarbeiten — wir möchten nicht, dass Sie gegen diese Richtlinie verstoßen, indem Sie uns wählen. Hier sind die Optionen:
Konkrete Optionen
Sicherheits-Fragebogen ausfüllen
Viele Enterprise-Security-Teams akzeptieren einen ausgefüllten Fragebogen (VAIS, CAIQ, SIG) als Alternative zu einer formalen Zertifizierung. Wir füllen einen solchen Fragebogen innerhalb von 2 Wochen aus — mailen Sie security@okidoky.nl mit Ihrer Liste.
Einen alternativen Anbieter wählen
Für alle, die wirklich ISO 27001 benötigen: Twinfield (Wolters Kluwer) oder Exact — alle ISO 27001 zertifiziert. Vielleicht nicht für ein privates Haushaltsbuch, aber für die Geschäftsverwaltung durchaus.
Warten, bis wir es haben
Wenn unsere Roadmap (2028+) für Sie funktioniert: Setzen Sie uns auf eine „erneut bewerten“-Liste. Wir informieren Sie aktiv, sobald wir die ISO 27001-Zertifizierung haben — in Ihrem Postfach innerhalb von 5 Minuten nach Erhalt des Zertifikats.
Häufig gestellte Fragen zur Compliance
Kann ich einen AVV (Auftragsverarbeitungsvertrag) unterzeichnen?
Noch nicht. Der Auftragsverarbeitungsvertrag ist in Vorbereitung und wird zuerst von einem Juristen geprüft; danach veröffentlichen wir ihn auf dieser Website. Braucht Ihr Verein oder Ihre Organisation schon jetzt einen? Schreiben Sie an info@okidoky.nl, dann sagen wir Ihnen Bescheid, sobald er fertig ist.
Reicht DSGVO/GDPR wirklich für unser Unternehmen?
Für die meisten NL-Unternehmen und Vereine: Ja. Die DSGVO ist das strengste Datenschutzgesetz der Welt. Wenn Sie für Ihre eigene Verarbeitung konform sind, sind wir als Auftragsverarbeiter ebenfalls konform. Ausnahmen: • Gesundheitssektor: NEN 7510 erforderlich (dann sind wir nicht geeignet) • Finanzsektor mit Bank-Niveau-Verantwortung: möglicherweise ISO 27001 erforderlich • US-Unternehmen mit EU-Daten: SCCs sind ausreichend, aber manchmal verlangt das HQ zusätzlich SOC 2
Warum machen Sie ISO 27001 nicht trotzdem, auch wenn es teuer ist?
Drei Gründe: 1. Kosten: Ein Audit kostet Zehntausende Euro plus Hunderte Stunden eigene Arbeit. Das müsste über den Preis hereinkommen oder ginge zulasten der Weiterentwicklung der App. 2. Wenig Nachfrage: Für ein Haushaltsbuch ist ISO 27001 selten eine Anforderung. Wer danach fragt, ist meist eine große Organisation, die kein privates Haushaltsbuch sucht. 3. Hosting: Die physische Sicherheit des Rechenzentrums liegt bei IONOS. Die Sicherheit von Server, Datenbank und App verantworten wir selbst; darum ginge es bei einem Audit vor allem. Wenn sich diese Balance ändert, überlegen wir es erneut.
Ist Ihre AVV-Vorlage irgendwo öffentlich zugänglich?
Noch nicht. Wir veröffentlichen den Auftragsverarbeitungsvertrag erst, wenn ein Jurist ihn geprüft hat. Danach steht er auf dieser Website, mit Versionsnummer und Datum, damit Sie immer sehen, welche Version gilt.
Haben Sie einen Penetrationstest durchführen lassen?
Noch nicht formal (5.000–15.000 € pro Engagement). Aber: • npm audit bei jedem Dependency-Update (bekannte CVEs werden sofort behoben) • Manuelles Code-Review bei jedem neuen Feature • OWASP Top 10 als Referenz bei jedem Release • Responsible-Disclosure-Programm über security@okidoky.nl Ein formaler Penetrationstest — sowie automatisierte CI-Scanning-Tools wie Snyk oder GitHub Dependabot — steht auf der 2027-Roadmap.
Eine konkrete Frage zur Compliance?
Für Fragen zum Auftragsverarbeitungsvertrag, Sicherheits-Fragebögen oder Ihre spezifische Situation: Mailen Sie uns direkt. Antwort innerhalb von 48 Stunden.