Sicherheit & Datenschutz

Deine Finanzdaten sind
bei uns in guten Händen.

Von RedFox InfoSec auf Schwachstellen geprüft, in der EU gehostet, durchgehend verschlüsselt. Hier steht nüchtern und nachprüfbar, wie qFinix mit deinen Bank- und Unternehmensdaten umgeht.

Jetzt kostenlos testen Datenschutzerklärung

Penetrationstest

RedFox InfoSec GmbH

Angegriffen von Profis.
Bevor es andere tun.

Im September 2026 hat die RedFox InfoSec GmbH aus Konstanz qFinix einem Penetrationstest unterzogen. Die Befunde sind behoben und gelten seitdem als feste Regeln für jede Änderung: Zugangsdaten und Schlüssel verlassen das Backend nie, und jede Anfrage wird gegen deine Organisation geprüft.

Mehr über RedFox InfoSec

  • Server in der EU

    Anwendung und Datenbank in Amsterdam, Belege in Frankfurt am Main.

  • Bankzugang nur lesend

    Über finAPI nach PSD2. qFinix kann keine Zahlungen auslösen.

  • Durchgehend verschlüsselt

    Übertragung per TLS, Datenbank verschlüsselt, Zugangsdaten mit AES-256-GCM.

  • Zwei-Faktor & Rollen

    Anmeldung per Authenticator-App, Rechte je Rolle und ein Änderungsprotokoll.

Bankanbindung über finAPI

qFinix greift nicht selbst auf dein Online-Banking zu, sondern über finAPI, einen BaFin-lizenzierten Kontoinformationsdienst.

Anmeldung bei deiner Bank

Du meldest dich PSD2-konform auf der Authentifizierungsseite deiner Bank an und bestätigst den Zugriff in der Banking-App oder per TAN.

Nur lesender Zugriff

qFinix ruft Umsätze und Kontostände ab. Überweisungen oder Lastschriften kann qFinix nicht auslösen.

Freigabe mit Ablaufdatum

Die PSD2-Freigabe deiner Bank läuft nach einer festen Frist ab. qFinix warnt Admins 14 und 3 Tage vorher, damit der Abruf nicht unbemerkt stoppt.

Sparsame Abrufe

Der automatische Abruf läuft dreimal täglich und hält das Tageskontingent unbeaufsichtigter Zugriffe ein, das deine Bank erlaubt.

Hosting und Serverstandort

qFinix wird von der qrawall GmbH in Rielasingen-Worblingen (Baden-Württemberg) entwickelt und betrieben.

Serverstandort Niederlande

Anwendung, Datenbank und Hintergrunddienste laufen beim Cloud-Anbieter Railway in einem Rechenzentrum in Amsterdam (Niederlande), also innerhalb der EU.

Belege in Frankfurt

Hochgeladene Belege und Dateien liegen bei Amazon Web Services in Frankfurt am Main und werden dort standardmäßig verschlüsselt gespeichert.

Zertifizierter Hoster

Railway, unser Hosting-Anbieter, ist nach SOC 2 Type II zertifiziert. Mit Railway haben wir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen.

Verfügbarkeit

Wir streben eine Verfügbarkeit von 99 % im Jahresmittel an, ausgenommen angekündigte Wartungsfenster (siehe AGB, Abschnitt 9).

Dienstleister

Die Liste der eingesetzten Unterauftragsverarbeiter mit Sitz und Zweck bekommst du auf Anfrage, zusammen mit dem Auftragsverarbeitungsvertrag.

Verschlüsselung und Anmeldung

Verschlüsselte Übertragung

App, Website und Schnittstellen sind ausschließlich per HTTPS erreichbar.

Verschlüsselte Zugangsdaten

Zugangsdaten zu angebundenen Diensten, etwa der HelloHQ-API-Schlüssel und der finAPI-Zugang, speichert qFinix mit AES-256-GCM verschlüsselt. Sie verlassen das Backend nie.

Passwörter nur als Hash

Passwörter werden nicht im Klartext gespeichert, sondern nur als bcrypt-Hash.

Zwei-Faktor-Anmeldung

Im Profil schaltest du eine zweite Anmeldestufe per Authenticator-App ein.

Verschlüsselte Datenbank

Die Datenbank ist auch auf dem Datenträger verschlüsselt („encrypted at rest“), so sichert es Railway im Auftragsverarbeitungsvertrag zu. Zwischen den Diensten laufen die Daten verschlüsselt über TLS und WireGuard.

DSGVO und Auftragsverarbeitung

Auftragsverarbeitungsvertrag

Für die Verarbeitung personenbezogener Daten in deinem Auftrag schließen wir auf Anforderung einen Vertrag nach Art. 28 DSGVO (AGB, Abschnitt 8).

Übermittlung außerhalb der EU

Sitzen Empfänger außerhalb der EU bzw. des EWR, achten wir auf geeignete Garantien nach Art. 44 ff. DSGVO, etwa Standardvertragsklauseln.

Keine KI auf deinen Finanzdaten

Die Entscheidungshilfen sind regelbasiert. Deine Finanzdaten verlassen qFinix dafür nicht.

Export und Löschung

Du kannst jederzeit ein vollständiges Datenarchiv herunterladen. Nach Ende des Abonnements bleiben die Daten 90 Tage erhalten (nach einer Testphase ohne Buchung 30 Tage), danach werden sie endgültig gelöscht. Eine selbst beantragte Löschung wird nach 14 Tagen ausgeführt.

Backups

Automatische Sicherung

Die Datenbank wird automatisch gesichert: täglich (6 Tage aufbewahrt), wöchentlich (4 Wochen) und monatlich (3 Monate).

Kein Ersatz für deine Aufbewahrung

Die Sicherungen dienen der Wiederherstellung des Dienstes im Störfall. Gesetzliche Aufbewahrungspflichten deckst du über den Datenexport ab (AGB, Abschnitt 9).

Rollen, Mandanten und Änderungsprotokoll

Getrennte Mandanten

Jede Organisation sieht nur ihre eigenen Daten. Jeder Zugriff wird gegen die Organisation geprüft, mit der du angemeldet bist.

Rollen und Berechtigungen

Lege fest, wer welche Bereiche sehen und bearbeiten darf – ab Business bis zu 3 Rollen, im Enterprise-Tarif beliebig viele.

Änderungsprotokoll

In jedem Tarif nachvollziehbar: Das Änderungsprotokoll zeigt, wer wann was geändert hat, filterbar nach Zeitraum und Suchbegriff.

Noch eine Frage zur Sicherheit?

Wir beantworten sie dir gern persönlich – auch vor dem Start der Testphase.

Kontakt aufnehmen

Häufige Fragen zur Sicherheit

Sieht qFinix meine Online-Banking-Zugangsdaten?

Die Anmeldung bei deiner Bank läuft über finAPI und die Authentifizierungsseite deiner Bank. qFinix speichert keine Bank-Zugangsdaten im Klartext.

Kann qFinix Geld von meinem Konto bewegen?

Nein. qFinix liest Umsätze und Kontostände nur und kann keine Zahlungen auslösen.

Bekomme ich einen Auftragsverarbeitungsvertrag?

Ja, auf Anforderung schließen wir einen AVV nach Art. 28 DSGVO. Schreib uns dazu über das Kontaktformular.