Candis
Candis GmbH, Berlin ·www.candis.io· Stand: 2026-08-26
Dieses Werkzeug mit KI durchgehen
Unser Urteil
Die Rechnungsfreigabe ist ein Vorgang, den kein Kunde je zu sehen bekommt. Wer sie verkürzt, spart Durchlaufzeit und gewinnt Skonto, unterscheidet sich damit aber von niemandem im eigenen Markt, weil jeder Wettbewerber dieselbe Software bestellen kann. Der Nutzen ist trotzdem echt und rechenbar: Er hängt an der Zahl der Rechnungen und an der Zahl der Personen, die heute an einem Beleg vorbeikommen. Damit bleibt es Effizienz im Einzelfall. Wer daraus einen Vorsprung ableiten will, sucht ihn an der falschen Stelle.
Belege:Rechtsform, Sitz, Registergericht und Registernummer, Geschäftsführer, Umsatzsteuer-Identifikationsnummer und benannter DatenschutzbeauftragterZur QuelleErsteintragung am 19.06.2015, offengelegte Jahresabschlüsse 2017 bis 2024 mit Einreichung des Abschlusses 2024 am 01.06.2026, Stammkapital 169.685 Euro zum 22.08.2023Zur QuelleAuftragsverarbeitungsvertrag Fassung 1.10, unterzeichnet am 19.11.2024: vier namentliche Unterauftragnehmer mit Zweck und Land, Hosting in Frankfurt am Main, Leistungserbringung ausschließlich in der Europäischen Union oder im Europäischen Wirtschaftsraum, Ausschluss allgemeinen KI-Trainings, Rückgabe oder Löschung nach Auftragsende, Aufbewahrungsvorbehalt bis zu zehn Jahre, technische und organisatorische MaßnahmenZur QuelleKündigungsfristen nach Ziffer 7.1, Zugriffsfrist von sechs Wochen mit anschließender Löschung und kostenpflichtiger Verlängerung nach Ziffer 7.3, fehlende Verfügbarkeitszusage nach Ziffer 8.2Zur QuelleEinstiegspreise der drei Pakete, Abrechnung nach Belegmenge, unbegrenzte Nutzerzahl und Gesellschaften, enthaltene Leistungen, Vertragslaufzeiten von zwölf bis sechsunddreißig Monaten, Angabe von mehr als 10.000 Unternehmen, Herausgabe der Kreditkarten mit der Varengold BankZur QuelleBeschreibung der KI-Funktionen, Speicherung in Frankfurt am Main, Zertifizierungen des Cloudbetreibers, Etikett GoBD-zertifiziert, Aussagen zum Lernen im eigenen Bestand und zum Verzicht auf unternehmensübergreifendes Training, Ersparnis von 13.500 bis 34.000 Euro im Jahr und bis zu 91 Prozent korrekt erfasste AngabenZur QuelleVerarbeitung im Auftrag für die eigene Webseite mit Übermittlungen in die Vereinigten Staaten auf Grundlage des Datenschutzrahmens zwischen der Europäischen Union und den Vereinigten Staaten, ohne Aussage zu den Kundeninhalten im ProduktZur QuelleAnmeldung über SAML mit Entra ID oder Google ab dem Max-Paket und nur nach Anfrage beim AnbieterZur QuelleÖffentliche Statusseite mit Verfügbarkeitswerten über neunzig Tage je BausteinZur QuelleLizenzierter DATEV-Schnittstellenpartner mit regelmäßiger technischer Prüfung durch DATEV, Exporthistorie und Umfang der Schnittstellen nach DATEV Unternehmen online und DATEV RechnungswesenZur QuelleMehrstufige Freigaberegeln nach Betragsgrenze, Freigabegruppen, Vertretungsregelung bei Abwesenheit und individuell vergebene ZugriffsrechteZur QuelleZertifikate und Testate Dritter helfen bei der Wahl eines Systems, binden die Finanzbehörde jedoch nicht, Randziffer 180 des Schreibens des Bundesministeriums der Finanzen vom 28.11.2019, Aktenzeichen IV A 4 - S 0316/19/10003 :001Zur QuelleFinanzierungsrunde über 12 Mio. Euro am 30.07.2020 unter Führung von Viola Ventures mit den weiteren beteiligten GeldgebernZur QuelleFinanzierungsrunde über 16 Mio. US-Dollar am 14.09.2022 mit Viola Fintech, Lightspeed und Viola Ventures sowie 30 Mio. US-Dollar über zwei RundenZur QuelleKeine Unterauftragnehmerseite und keine Sicherheits- oder Vertrauensseite im gesamten Seitenverzeichnis des Anbieters mit 434 AdressenZur Quelle
Für wen es taugt
Solopreneur
nicht geeignet
Der Einstieg liegt bei 389 Euro im Monat, und die Vertragslaufzeiten reichen laut Preisseite von zwölf bis sechsunddreißig Monaten. Wer seine Eingangsrechnungen an einem Vormittag im Monat selbst durchsieht, bezahlt einen Freigabelauf, an dem nur eine Person beteiligt ist.
KMU
geeignet
Hier liegt der Zuschnitt. Nutzerzahl und Gesellschaften sind in allen Paketen unbegrenzt, abgerechnet wird nach Belegmenge, und Einrichtung, Einweisung und Betreuung sind laut Anbieter im Preis enthalten. Der Weg in die Buchhaltung führt über eine lizenzierte DATEV-Schnittstelle, was den Steuerberater von Anfang an mit im Boot hat. Zu klären bleibt vor der Unterschrift eine Zahl: wie viele Belege im Monat wirklich anfallen, denn daran hängt der Preis und nicht an der Zahl der Köpfe.
Konzern
bedingt geeignet
Drei Punkte stehen dagegen, und alle drei sind belegt. Erstens hängt die Anmeldung über den eigenen Identitätsanbieter am obersten Paket: SAML-Anmeldung über Entra ID oder Google gibt es laut Hilfeseite ab dem Max-Paket, und sie muss beim Anbieter beantragt werden. Zweitens sagen die Allgemeinen Geschäftsbedingungen in Ziffer 8.2 ausdrücklich keine Verfügbarkeit zu, eine Statusseite mit Verfügbarkeitswerten gibt es dagegen öffentlich. Drittens weist der Anbieter für sich selbst keine Sicherheitszertifizierung aus, genannt werden die Nachweise des Cloudbetreibers. Wer nach Konzernmaßstab einkauft, verhandelt diese drei Punkte oder lässt es.
Kaufen, wechseln oder bauen
Standardprodukt
Beim Steuerberater und beim Buchhaltungssystem bleiben
DATEV Unternehmen online kann Belege einsammeln und freigeben lassen, und für größere Häuser liegen dieselben Vorgänge in den Kreditorenmodulen von SAP oder Microsoft Dynamics 365 Business Central, im deutschen Markt dazu bei den klassischen Anbietern für Rechnungseingangs-Workflows wie xSuite. Dieser Weg kauft Nähe zum Buchungssystem und einen Vertragspartner, den die Beschaffung kennt. Der Prüfpfad bleibt an einer Stelle, und das Archiv liegt dort, wo die Aufbewahrungspflicht ohnehin bedient wird. Bezahlt wird das mit der Oberfläche: Die Freigabe wandert zu Personen, die mit Buchhaltungssoftware nichts zu tun haben wollen, und je unbequemer sie dort ist, desto länger liegt eine Rechnung.
KI-nativ
Ein KI-natives Ausgabenwerkzeug nehmen, das die Freigabe mitbringt
Pleo und Moss kommen von der Firmenkarte her und haben die Rechnungsfreigabe angebaut, statt umgekehrt. Der Unterschied liegt weniger im Preis als im Zuschnitt: Diese Werkzeuge decken Karte, Auslage und Beleg in einem Fluss ab und sind stark, wo Ausgaben im Feld entstehen. Candis kommt von der Kreditorenseite und ist stark, wo Lieferantenrechnungen in Menge eingehen und in die Buchhaltung müssen. Zu prüfen ist deshalb eine einzige Frage, bevor Funktionslisten verglichen werden: Woher kommen die Belege, die im eigenen Haus die Zeit fressen. Wer beide Enden bedienen will, kauft zweimal Freigabe und bekommt zwei Prüfpfade.
Eigenbau
Die Freigabestrecke selbst bauen
Die Strecke ist überschaubar: Rechnung aus einem Postfach ziehen, Felder auslesen, gegen Lieferantenstamm und Bestellung prüfen, nach Betrag und Kostenstelle an die zuständige Person leiten, Zusage einsammeln, Buchungssatz an DATEV übergeben. Gebaut wird das mit Claude Code als Bauwerkzeug, n8n für die Ablaufkette, LiteLLM als Modellzugang und Langfuse für die Prüfschleife über die Auslesequalität; die Ablage der Belege liegt in Supabase. Zwei Wochen Bauzeit für den ersten Rechnungstyp sind realistisch, gerechnet mit einem Tagessatz von 1.200 Euro also rund 12.000 Euro einmalig gegenüber 4.668 Euro im Jahr für das Basis-Paket. Die Rechnung geht trotzdem selten auf, und sie scheitert nicht am Bau. Sie scheitert an der Aufbewahrung: Zehn Jahre unveränderbar archivieren, mit Verfahrensdokumentation, Mandantentrennung und einem Protokoll, das einer Betriebsprüfung standhält, ist der teure Teil, und er fällt jedes Jahr neu an. Dazu kommt die Vertretungsregel, die niemand baut, bis die erste Rechnung im Urlaub einer Führungskraft liegen bleibt. Es lohnt, wenn die eigene Prüfregel der eigentliche Wert ist, etwa bei einer Branchenlogik, die kein Standardwerkzeug kennt. Es lohnt nicht für den Regelfall, den zwei Anbieter aus der Schublade bedienen.
Unser Rat
- Solopreneur: Nicht kaufen. Bei dieser Belegmenge trägt der Einstiegspreis den Nutzen nicht.
- KMU: Passt, wenn die Belege über die DATEV-Strecke laufen. Vorher die Monatsmenge zählen und die Laufzeit im Bestellschein klären.
- Konzern: Nur mit dem Max-Paket ernsthaft prüfen, und Verfügbarkeit, Protokollumfang und die aktuelle Unterauftragnehmerliste vor der Unterschrift schriftlich festhalten.
Wer dahinter steht
Tragfähigkeit: Etabliert
Die Gesellschaft ist seit dem 19.06.2015 im Handelsregister eingetragen und damit seit elf Jahren am Markt. Jahresabschlüsse liegen für 2017 bis 2024 offengelegt vor, der jüngste wurde am 01.06.2026 eingereicht. Zwei Finanzierungsrunden sind datiert belegt, die jüngste stammt vom 14.09.2022. Das Stammkapital wurde mehrfach erhöht und lag zum 22.08.2023 bei 169.685 Euro.
- Rechtsperson und Handelsregister: Candis GmbH, Karl-Liebknecht-Straße 5, 10178 Berlin, Amtsgericht Charlottenburg HRB 168078 B, Ersteintragung 19.06.2015, Geschäftsführer Christian Ritosek und Linnar Schwarz, Umsatzsteuer-Identifikationsnummer DE300859729Rechtsform, Sitz, Registergericht und Registernummer, Geschäftsführer, Umsatzsteuer-Identifikationsnummer und benannter DatenschutzbeauftragterZur Quelle · Stand 2026-08-26
- Offenlegung und Stammkapital: Jahresabschlüsse für die Geschäftsjahre 2017 bis 2024 offengelegt, der Abschluss 2024 eingereicht am 01.06.2026; Stammkapital nach mehreren Erhöhungen 169.685 Euro zum 22.08.2023Ersteintragung am 19.06.2015, offengelegte Jahresabschlüsse 2017 bis 2024 mit Einreichung des Abschlusses 2024 am 01.06.2026, Stammkapital 169.685 Euro zum 22.08.2023Zur Quelle · Stand 2026-08-26
- Finanzierungsrunde 2020: 12 Mio. Euro Serie B, gemeldet am 30.07.2020, angeführt von Viola Ventures, mit Rabo Frontier Ventures, Lightspeed Venture Partners, Point Nine Capital, Speedinvest, main incubator und 42CAPFinanzierungsrunde über 12 Mio. Euro am 30.07.2020 unter Führung von Viola Ventures mit den weiteren beteiligten GeldgebernZur Quelle · Stand 2026-08-26
- Finanzierungsrunde 2022 und Gesamtsumme: 16 Mio. US-Dollar von Viola Fintech, Lightspeed und Viola Ventures, gemeldet am 14.09.2022; dieselbe Meldung nennt 30 Mio. US-Dollar über zwei Runden. Eine spätere Runde ist öffentlich nicht gemeldet.Finanzierungsrunde über 16 Mio. US-Dollar am 14.09.2022 mit Viola Fintech, Lightspeed und Viola Ventures sowie 30 Mio. US-Dollar über zwei RundenZur Quelle · Stand 2026-08-26
- Laufender Betrieb: Öffentliche Statusseite mit Verfügbarkeitswerten über neunzig Tage je Baustein, am 26.08.2026 abgerufen: Web-Anwendung 99,77 Prozent, Schnittstelle 100 Prozent, externe Dienste einschließlich DATEV 98,96 ProzentÖffentliche Statusseite mit Verfügbarkeitswerten über neunzig Tage je BausteinZur Quelle · Stand 2026-08-26
- Kundenzahl nach eigener Angabe: mehr als 10.000 Unternehmen seit 2015, Angabe des Anbieters auf der Preisseite, ohne Erhebungsmethode und ohne StichtagEinstiegspreise der drei Pakete, Abrechnung nach Belegmenge, unbegrenzte Nutzerzahl und Gesellschaften, enthaltene Leistungen, Vertragslaufzeiten von zwölf bis sechsunddreißig Monaten, Angabe von mehr als 10.000 Unternehmen, Herausgabe der Kreditkarten mit der Varengold BankZur Quelle · Stand 2026-08-26
Ausstiegskosten: Hoch
Die eine Hälfte ist unkritisch: Buchungssätze und Stammdaten laufen über die DATEV-Schnittstelle laufend in das eigene Rechnungswesen, dort liegen sie nach einem Wechsel weiter. Die andere Hälfte liegt in der Plattform, und für sie tickt eine Uhr. Ziffer 7.3 der Allgemeinen Geschäftsbedingungen räumt ab Zugang der Kündigung sechs Wochen ein, um eingestellte Inhalte und Dokumente herunterzuladen; danach werden sie gelöscht. Verlängerungen gibt es auf schriftlichen Antrag in Monatsschritten, je gegen die vereinbarte Monatsgebühr. Der Wortlaut deckt die vom Kunden eingestellten Inhalte und Dokumente ab. Ob der Freigabeverlauf mitkommt, also wer wann was nach welcher Regel freigegeben hat, steht dort nicht. Genau dieser Verlauf ist der Teil, den eine Betriebsprüfung sehen will, und die Aufbewahrungspflicht dafür bleibt nach § 147 AO zehn Jahre beim Unternehmen. Das Werbeversprechen der zehnjährigen Archivierung gilt für die Vertragsdauer, die Zugriffsfrist danach beträgt sechs Wochen. Wer wechselt, plant deshalb zuerst die Ablösung des Archivs und erst danach das neue Werkzeug.
Regulatorik und Daten
| Auftragsverarbeitungbelegt, ohne Auflage: Auftragsverarbeitungsvertrag öffentlich abrufbar und ohne weitere Bedingung Bestandteil des Vertrags; oder er entfällt nachvollziehbar begründet, weil kein Anbieter Kundendaten verarbeitet.belegt, an eine Auflage gebunden: Vertrag existiert, ist aber an einen Tarif gebunden, nur nach Anfrage einsehbar oder allein in den Nutzungsbedingungen geregelt statt als eigenes Dokument.belegt, aber ungünstig: Kein Auftragsverarbeitungsvertrag im üblichen Sinn: entweder weil der Anbieter für das Kerngeschäft eigenständig Verantwortlicher ist und stattdessen eine andere Konstruktion gilt, oder weil öffentlich offen bleibt, ob überhaupt einer angeboten wird.an einem kritischen Punkt offen: Weder ein Vertrag noch ein dokumentierter Weg zu einem Vertrag; der Einkauf hätte nichts, worauf er sich stützen kann. | belegt, ohne Auflageöffentlich abrufbar, unterzeichnet, Fassung 1.10 vom 19.11.2024Auftragsverarbeitungsvertrag Fassung 1.10, unterzeichnet am 19.11.2024: vier namentliche Unterauftragnehmer mit Zweck und Land, Hosting in Frankfurt am Main, Leistungserbringung ausschließlich in der Europäischen Union oder im Europäischen Wirtschaftsraum, Ausschluss allgemeinen KI-Trainings, Rückgabe oder Löschung nach Auftragsende, Aufbewahrungsvorbehalt bis zu zehn Jahre, technische und organisatorische MaßnahmenZur QuelleDer Auftragsverarbeitungsvertrag liegt als unterzeichnete Datei ohne Anmeldung zum Herunterladen bereit und bezeichnet sich in der Präambel als Anhang zum Nutzungsvertrag und zu den Allgemeinen Geschäftsbedingungen. Er ist damit an keinen Tarif und an keine Anfrage gebunden. Angehängt sind die technischen und organisatorischen Maßnahmen sowie eine Aufstellung der verarbeiteten Datenarten. Benannte Stelle ist der externe Datenschutzbeauftragte Ali Tschakari von der Bitkom Servicegesellschaft mbH, erreichbar über datenschutz@candis.io.Stand 2026-08-26 |
|---|---|
| Speicherortbelegt, ohne Auflage: EU-Speicherort ohne Zusatzkosten und ohne Tarifbindung, oder der Ort ist vollständig selbst bestimmbar, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: EU-Speicherort möglich, aber an einen Tarif, einen gesondert zu aktivierenden Zusatz oder einen Umzug in eine getrennte Umgebung gebunden; oder die EU-Region ist nicht die Voreinstellung.belegt, aber ungünstig: Kein EU-Speicherort, der Ort ist aber eindeutig benannt, sodass die Folgen bewertbar sind.an einem kritischen Punkt offen: Der Speicherort ist öffentlich nicht benannt oder vom Kunden nicht steuerbar, sodass sich die Verarbeitung nicht verorten lässt. | belegt, ohne AuflageDeutschland, Frankfurt am MainAuftragsverarbeitungsvertrag Fassung 1.10, unterzeichnet am 19.11.2024: vier namentliche Unterauftragnehmer mit Zweck und Land, Hosting in Frankfurt am Main, Leistungserbringung ausschließlich in der Europäischen Union oder im Europäischen Wirtschaftsraum, Ausschluss allgemeinen KI-Trainings, Rückgabe oder Löschung nach Auftragsende, Aufbewahrungsvorbehalt bis zu zehn Jahre, technische und organisatorische MaßnahmenZur QuelleZiffer 7.3 des Auftragsverarbeitungsvertrags benennt Amazon Web Services EMEA mit dem Zweck Hosting in der Frankfurter Datenzone in Deutschland. Ziffer 7.4 legt fest, dass die vertraglich vereinbarte Leistung ausschließlich in einem Mitgliedstaat der Europäischen Union oder des Europäischen Wirtschaftsraums erbracht wird. An einen Tarif ist das nicht gebunden, eine Wahlmöglichkeit gibt es folglich auch nicht. Die Produktseite nennt dieselbe Angabe in Verkaufsform.Stand 2026-08-26 |
| Subunternehmerbelegt, ohne Auflage: Vollständige öffentliche Liste der Unterauftragnehmer mit Zweck und Land; oder es gibt keine, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Liste existiert und ist benannt, aber nur nach Anfrage oder nach Zugang zu einem Vertrauensportal einsehbar, oder sie nennt Zweck und Land nicht vollständig.belegt, aber ungünstig: Keine geführte Liste; namentlich stehen nur einzelne Dienste in der Datenschutzerklärung, überwiegend solche der eigenen Website.an einem kritischen Punkt offen: Weder eine Liste noch eine Nennung der Verarbeiter des Produkts, und kein dokumentierter Weg, sie zu erfahren. | belegt, an eine Auflage gebundenvier namentlich, mit Zweck und Land, Stand der Liste 19.11.2024Auftragsverarbeitungsvertrag Fassung 1.10, unterzeichnet am 19.11.2024: vier namentliche Unterauftragnehmer mit Zweck und Land, Hosting in Frankfurt am Main, Leistungserbringung ausschließlich in der Europäischen Union oder im Europäischen Wirtschaftsraum, Ausschluss allgemeinen KI-Trainings, Rückgabe oder Löschung nach Auftragsende, Aufbewahrungsvorbehalt bis zu zehn Jahre, technische und organisatorische MaßnahmenZur QuelleZiffer 7.3 des Auftragsverarbeitungsvertrags führt vier Unterauftragnehmer mit Anschrift und Teilleistung: Amazon Web Services EMEA in Luxemburg für das Hosting in Frankfurt, Gini GmbH in München für das Auslesen von Rechnungsdaten, Mailjet SAS in Paris für Benachrichtigungen und Google Cloud EMEA in Dublin für die automatische Unterscheidung von Dokumentarten. Alle vier sitzen in der Europäischen Union. Eine gepflegte Unterauftragnehmerseite gibt es nicht, die Liste steht allein in dieser Vertragsdatei, und Ziffer 7.2 verweist für Änderungen auf eben diese Liste. Die Auflage folgt aus dem Datum: Die Fassung stammt vom 19.11.2024, während der Anbieter heute mit einem Zusammenspiel aus eigener Software und nicht benannten KI-Anbietern wirbt. Vor der Unterschrift gehört die aktuelle Fassung angefordert und mit dem Werbetext abgeglichen.Stand 2026-08-26 |
| Drittlandübermittlungbelegt, ohne Auflage: Keine Übermittlung in ein Drittland, oder die Übermittlung findet statt und die Grundlage ist benannt und im Vertrag verankert, etwa Standardvertragsklauseln, Angemessenheitsbeschluss oder EU-US-Datenschutzrahmen.belegt, an eine Auflage gebunden: Übermittlung findet statt, eine Grundlage ist genannt, aber ohne Zuordnung, welcher Empfänger auf welcher Grundlage arbeitet.belegt, aber ungünstig: Übermittlung findet statt und die eigenen Unterlagen widersprechen sich, oder die genannte Grundlage bezieht sich erkennbar nur auf einen Randbereich wie die Marketing-Website.an einem kritischen Punkt offen: Übermittlung findet erkennbar statt und eine Grundlage wird nirgends genannt. | belegt, ohne Auflagefür das Produkt keine, im Vertrag verankertVerarbeitung im Auftrag für die eigene Webseite mit Übermittlungen in die Vereinigten Staaten auf Grundlage des Datenschutzrahmens zwischen der Europäischen Union und den Vereinigten Staaten, ohne Aussage zu den Kundeninhalten im ProduktZur QuelleZiffer 7.4 des Auftragsverarbeitungsvertrags schließt die Verlagerung in ein Drittland ohne vorherige Zustimmung des Auftraggebers aus und verlangt für diesen Fall die Voraussetzungen der Artikel 44 ff. der Datenschutz-Grundverordnung. Alle vier Unterauftragnehmer sitzen in der Union. Getrennt davon zu lesen ist die Datenschutzerklärung: Sie behandelt ausdrücklich den Besuch der Webseite und listet dort zahlreiche Übermittlungen in die Vereinigten Staaten, gestützt auf den Datenschutzrahmen zwischen der Europäischen Union und den Vereinigten Staaten, unter anderem an Vercel, Google, Microsoft, Meta, Segment, Intercom und Salesforce. Diese Übermittlungen betreffen Besucher der Webseite und nicht die Belege im Produkt.Stand 2026-08-26 |
| Training mit Kundendatenbelegt, ohne Auflage: Vertraglich oder in der Datenschutzerklärung ausdrücklich ausgeschlossen, mit Erstreckung auf die eingesetzten Modellanbieter; oder es gibt keine Datenübertragung an einen Anbieter.belegt, an eine Auflage gebunden: Ausschluss ab einem bestimmten Tarif, oder die Zusage steht nur auf einer Dokumentationsseite statt im Vertrag, oder die Frage stellt sich für das Werkzeug sachlich kaum und der Anbieter schweigt dazu.belegt, aber ungünstig: Nutzung ist die Voreinstellung und nur ein Widerspruch beendet sie; oder der Anbieter trainiert eigene Modelle auf bereinigten Kundendaten.an einem kritischen Punkt offen: Keine Aussage, obwohl das Werkzeug KI-Funktionen auf Kundeninhalten betreibt. | belegt, ohne Auflageallgemeines Training vertraglich ausgeschlossen, Lernen im eigenen Bestand findet stattAuftragsverarbeitungsvertrag Fassung 1.10, unterzeichnet am 19.11.2024: vier namentliche Unterauftragnehmer mit Zweck und Land, Hosting in Frankfurt am Main, Leistungserbringung ausschließlich in der Europäischen Union oder im Europäischen Wirtschaftsraum, Ausschluss allgemeinen KI-Trainings, Rückgabe oder Löschung nach Auftragsende, Aufbewahrungsvorbehalt bis zu zehn Jahre, technische und organisatorische MaßnahmenZur QuelleZiffer 7.9 des Auftragsverarbeitungsvertrags erlaubt den Einsatz künstlicher Intelligenz und großer Sprachmodelle nur unter der Bedingung, dass die im Vertragsverhältnis verarbeiteten Daten nicht für allgemeines Training verwendet werden, und verpflichtet den Auftragnehmer auf alle von ihm eingesetzten KI-Systeme. Das ist die belastbare Zusage. Der Anbieter beschreibt daneben, dass das System aus den Rechnungen des jeweiligen Unternehmens lernt und nach etwa dreißig Tagen Muster erkennt, ein unternehmensübergreifendes Training aber weder technisch noch rechtlich stattfindet. Beides zusammen ergibt: Kein Training über Kundengrenzen hinweg, Lernen innerhalb des eigenen Bestands schon.Stand 2026-08-26 |
| Aufbewahrung und Löschungbelegt, ohne Auflage: Löschfristen nach Vertragsende beziffert und die Löschung oder Rückgabe zugesagt; oder die Fristen bestimmt der Betreiber selbst, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Löschung ist zugesagt, die Fristen sind aber nur teilweise beziffert, oder Sicherungskopien sind ausdrücklich ausgenommen.belegt, aber ungünstig: Nur der Grundsatz der Erforderlichkeit ohne jede Frist nach Vertragsende, oder Fristen sind allein für Randbereiche wie Website-Protokolle genannt.an einem kritischen Punkt offen: Keine Aussage zu Aufbewahrung und Löschung. | belegt, an eine Auflage gebundenLöschung zugesagt, Zugriffsfrist beziffert, Aufbewahrung beim Anbieter offenKündigungsfristen nach Ziffer 7.1, Zugriffsfrist von sechs Wochen mit anschließender Löschung und kostenpflichtiger Verlängerung nach Ziffer 7.3, fehlende Verfügbarkeitszusage nach Ziffer 8.2Zur QuelleBeziffert ist die Frist auf der Kundenseite: sechs Wochen ab Zugang der Kündigung zum Herunterladen, danach Löschung, Verlängerung in Monatsschritten gegen die Monatsgebühr, so Ziffer 7.3 der Allgemeinen Geschäftsbedingungen. Ziffer 3.12 des Auftragsverarbeitungsvertrags sagt Rückgabe oder Löschung nach Auftragsende zu, allerdings auf Verlangen des Auftraggebers und ohne eigene Frist. Ziffer 3.9 nimmt davon ausdrücklich aus, was der Anbieter nach eigenen gesetzlichen Aufbewahrungspflichten weiter vorhält, genannt sind bis zu zehn Jahre. Was nach Ablauf der sechs Wochen beim Anbieter verbleibt und wann es dort verschwindet, ist öffentlich nicht bestimmt.Stand 2026-08-26 |
| Zertifikatebelegt, ohne Auflage: Mehrere anerkannte Nachweise, benannt mit Norm, Fassung und Geltungsbereich, und bezogen auf den Anbieter selbst.belegt, an eine Auflage gebunden: Ein anerkannter Nachweis für den Anbieter belegt, der Bericht aber nur auf Anfrage, oder der Nachweis hängt an einem Tarif, oder der Geltungsbereich bleibt teilweise offen.belegt, aber ungünstig: Nur pauschale Nennung ohne Norm-Fassung und Geltungsbereich, oder bloße Selbstauskunft, oder die Nachweise gehören dem Infrastrukturanbieter statt dem Anbieter, oder der Prüfzeitraum ist erkennbar veraltet, oder die eigenen Angaben widersprechen sich.an einem kritischen Punkt offen: Kein Nachweis genannt und keine Sicherheits- oder Vertrauensseite vorhanden. | belegt, aber ungünstigkeiner für den Anbieter selbst, genannt werden die des CloudbetreibersZertifikate und Testate Dritter helfen bei der Wahl eines Systems, binden die Finanzbehörde jedoch nicht, Randziffer 180 des Schreibens des Bundesministeriums der Finanzen vom 28.11.2019, Aktenzeichen IV A 4 - S 0316/19/10003 :001Zur QuelleFür die Gesellschaft selbst wird kein Nachweis genannt, weder ISO/IEC 27001 noch ein Prüfungsbericht nach SOC 2. Die Produktseite führt ISO 27001 und SOC 2 ausdrücklich für den Cloudbetreiber an, und der Anhang des Auftragsverarbeitungsvertrags verweist für die Zutrittskontrolle zu den Serverräumen auf die Unterlagen von Amazon Web Services. Eine Sicherheits- oder Vertrauensseite führt das Seitenverzeichnis mit 434 Adressen nicht. Das Etikett GoBD-zertifiziert taucht auf der Preisseite und auf der Produktseite auf. Dazu gehört die Einordnung der Finanzverwaltung: Nach Randziffer 180 des Schreibens des Bundesministeriums der Finanzen vom 28.11.2019, Aktenzeichen IV A 4 - S 0316/19/10003 :001, können Zertifikate oder Testate Dritter bei der Wahl eines Systems helfen, binden die Finanzbehörde jedoch nicht. Belegt ist hingegen der Status als lizenzierter DATEV-Schnittstellenpartner, der eine regelmäßige technische Prüfung durch DATEV einschließt. Er sagt nichts über Informationssicherheit.Stand 2026-08-26 |
| EU-KI-Verordnung, Artikel 50belegt, ohne Auflage: Der Anbieter macht eine belegte Aussage, die die eigene Pflicht trägt, etwa Modelldokumentation und Zertifizierung nach ISO/IEC 42001; oder das Werkzeug enthält nachvollziehbar begründet kein KI-System im Sinne der Verordnung.belegt, an eine Auflage gebunden: Der Anbieter äußert sich zur Verordnung oder ordnet die eigene Funktion ein, eine benannte Zusage zu den Transparenzpflichten aus Artikel 50 fehlt aber; oder das Werkzeug enthält kein KI-System, das gegenüber Menschen auftritt, und der Anbieter schweigt.belegt, aber ungünstig: Das Produkt enthält KI-Funktionen, der Anbieter schweigt dazu oder trägt ein Selbstetikett ohne Nachweis; die Kennzeichnung ist vom Betreiber aber selbst setzbar.an einem kritischen Punkt offen: KI spricht im Produkt unmittelbar mit Endkunden und der Anbieter sagt zu Artikel 50 nichts; die Kennzeichnung lässt sich ohne Zusage des Anbieters nicht sicher setzen. | belegt, aber ungünstigkeine Aussage zur Verordnung, Selbstbeschreibung mit WiderspruchBeschreibung der KI-Funktionen, Speicherung in Frankfurt am Main, Zertifizierungen des Cloudbetreibers, Etikett GoBD-zertifiziert, Aussagen zum Lernen im eigenen Bestand und zum Verzicht auf unternehmensübergreifendes Training, Ersparnis von 13.500 bis 34.000 Euro im Jahr und bis zu 91 Prozent korrekt erfasste AngabenZur QuelleDas Produkt enthält ein KI-System im Sinne der Verordnung 2024/1689, deren Transparenzpflichten aus Artikel 50 seit dem 02.08.2026 gelten. Der Anbieter erwähnt die Verordnung in keinem öffentlichen Dokument, und eine Zertifizierung nach ISO/IEC 42001 nennt er nicht. Praktisch trifft die Kennzeichnungspflicht hier ohnehin überwiegend das einsetzende Unternehmen, weil das Werkzeug nach innen arbeitet und nicht mit Endkunden spricht. Auffällig ist der Widerspruch auf der eigenen KI-Seite: Dort steht, die Datenerfassung nutze große Sprachmodelle, und wenige Absätze weiter, Halluzinationen seien ein Merkmal generativer Modelle und die eigene KI arbeite auf anderer Grundlage. Wer die Kennzeichnung im eigenen Haus setzen muss, klärt vorher, welche Funktion auf welchem Modell läuft.Stand 2026-08-26 |
| Protokollierungbelegt, ohne Auflage: Nachvollziehbares Protokoll über Zugriffe und Änderungen in allen Tarifen enthalten, mit benannter Frist und Ausleitung in eigene Systeme; oder die Nachvollziehbarkeit liegt vollständig in eigener Hand, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Protokoll vorhanden, aber an einen höheren Tarif oder einen kostenpflichtigen Zusatz gebunden, oder die Ausleitung fehlt in den unteren Stufen; Reichweite und Frist sind benannt.belegt, aber ungünstig: Protokolle sind nur anbieterseitig beschrieben, oder Reichweite und Frist bleiben offen, sodass sich Nachweispflichten nicht planen lassen.an einem kritischen Punkt offen: Öffentlich nicht belegt, ob der Kunde überhaupt ein auswertbares Protokoll erhält. | belegt, aber ungünstigvom Anbieter beschrieben, Reichweite und Frist offenAuftragsverarbeitungsvertrag Fassung 1.10, unterzeichnet am 19.11.2024: vier namentliche Unterauftragnehmer mit Zweck und Land, Hosting in Frankfurt am Main, Leistungserbringung ausschließlich in der Europäischen Union oder im Europäischen Wirtschaftsraum, Ausschluss allgemeinen KI-Trainings, Rückgabe oder Löschung nach Auftragsende, Aufbewahrungsvorbehalt bis zu zehn Jahre, technische und organisatorische MaßnahmenZur QuelleDer Anhang des Auftragsverarbeitungsvertrags nennt unter der Eingabekontrolle die technische Protokollierung von Datenänderungen und unter der Weitergabekontrolle protokollierte und ausgewertete Übertragungsvorgänge. Im Produkt sichtbar sind eine Exporthistorie zur DATEV-Schnittstelle und der Freigabeverlauf am einzelnen Beleg. Der Anbieter verweist darüber hinaus auf Verfahrensdokumentation und internes Kontrollsystem. Was das Protokoll im Einzelnen erfasst, wie lange es vorgehalten wird und ob es sich in eigene Systeme ausleiten lässt, steht in keinem öffentlichen Dokument. Für ein Werkzeug, dessen Ergebnis in einer Betriebsprüfung landet, ist das der Punkt, an dem später jemand nachfragt.Stand 2026-08-26 |
Was es wirklich kostet
Einstieg
Drei Pakete mit veröffentlichten Einstiegspreisen: Basis ab 389 Euro im Monat, Plus ab 599 Euro, Max ab 789 Euro. Abgerechnet wird nach Rechnungs- oder Dokumentenmenge, Nutzerzahl und Zahl der Gesellschaften sind in allen Paketen unbegrenzt. Einrichtung, Einweisung, Speicher und Betreuung sind nach Angabe des Anbieters enthalten. Dreißig Tage lassen sich kostenlos testen.Einstiegspreise der drei Pakete, Abrechnung nach Belegmenge, unbegrenzte Nutzerzahl und Gesellschaften, enthaltene Leistungen, Vertragslaufzeiten von zwölf bis sechsunddreißig Monaten, Angabe von mehr als 10.000 Unternehmen, Herausgabe der Kreditkarten mit der Varengold BankZur Quelle
Stand 2026-08-26
Was teuer wird
An drei Stellen. Erstens die Belegmenge, denn der Preis hängt an ihr: Berechnet werden hochgeladene Rechnungen und Verträge, Anhänge wie Angebote und Lieferscheine bleiben frei. Wer die eigene Menge nicht kennt, kennt seinen Preis nicht. Zweitens das Paket, in dem die Konzernfunktion steckt: Die Anmeldung über den eigenen Identitätsanbieter beginnt beim Max-Paket, der Sprung von der Basis dorthin verdoppelt den Grundpreis. Drittens die Bindung. Zur Laufzeit gibt es zwei Angaben, die auseinandergehen: Die Preisseite nennt zwölf, vierundzwanzig oder sechsunddreißig Monate mit drei Monaten Kündigungsfrist, Ziffer 7.1 der Allgemeinen Geschäftsbedingungen nennt zwei Monate zum Ablauf des Abrechnungszyklus bei jährlichem Grundpreis und vier Wochen zum Monatsende bei monatlichem. Beide Angaben stammen vom 26.08.2026. Was gilt, gehört in den Bestellschein.
Was es verdrängt
- Rechnungen als Papier oder Anhang durch das Haus tragen und per Mail freigeben lassen
- Freigaben in Sammelpostfächern und Tabellen nachhalten
- Belegdaten für den Steuerberater von Hand abtippen
Schnittstellen
- DATEV Unternehmen online und DATEV Rechnungswesen als lizenzierter Schnittstellenpartner, bei Rechnungswesen zusätzlich Buchungssätze und Stammdaten
- SAP Business One mit Belegdatenexport und Abgleich von Stammdaten und Bestellungen
- Microsoft Dynamics 365 Business Central, Sage 100, Sesamsoft, Addison OneClick und Agenda
- Eigene Programmierschnittstelle für Systeme, die nicht gelistet sind
- Benachrichtigungen und Freigabeanfragen nach Slack und Microsoft Teams
- Firmenkreditkarten als Visa-Karten, herausgegeben mit der Varengold Bank in Hamburg
- Herunterladen der eingestellten Inhalte und Dokumente nach Kündigung, sechs Wochen lang
Passende Methoden
- Engpass-Erkennung (5-Schichten-Scan)Die Methode sucht die Schicht, an der die Arbeit wirklich stockt. Dieses Werkzeug lohnt genau dann, wenn der Engpass in der Freigabe liegt und nicht im Buchen selbst oder in der Frage, wer überhaupt bestellen darf.
- Regulatorik-Dichte-TestDer Vorgang trägt Aufbewahrungs- und Nachweispflichten aus der Abgabenordnung, und die Methode misst, wie viel davon auf einer Strecke liegt. Genau diese Dichte entscheidet hier gegen den Eigenbau.
- Randomisierte Messung von KI-ProduktivitätsgewinnenDer Anbieter beziffert die Ersparnis auf 13.500 bis 34.000 Euro im Jahr und die Erfassung auf bis zu 91 Prozent korrekte Angaben. Die Methode beschreibt, wie man solche Zahlen im eigenen Haus misst, statt sie aus der Angebotsunterlage zu übernehmen.
- Operating-Model-Raster (Standardisierung und Integration)Die Methode trennt Standardisierung von Integration, und darum geht die Entscheidung hier: Das Buchhaltungssystem bleibt das führende System, standardisiert wird allein der Weg des Belegs bis zur Freigabe.
Quellen
- 1.Rechtsform, Sitz, Registergericht und Registernummer, Geschäftsführer, Umsatzsteuer-Identifikationsnummer und benannter Datenschutzbeauftragter (öffnet in neuem Tab)candis.io/impressum · Stand 2026-08-26
- 2.Ersteintragung am 19.06.2015, offengelegte Jahresabschlüsse 2017 bis 2024 mit Einreichung des Abschlusses 2024 am 01.06.2026, Stammkapital 169.685 Euro zum 22.08.2023 (öffnet in neuem Tab)northdata.de/Candis+GmbH,+Berlin/HRB+168078 · Stand 2026-08-26
- 3.Auftragsverarbeitungsvertrag Fassung 1.10, unterzeichnet am 19.11.2024: vier namentliche Unterauftragnehmer mit Zweck und Land, Hosting in Frankfurt am Main, Leistungserbringung ausschließlich in der Europäischen Union oder im Europäischen Wirtschaftsraum, Ausschluss allgemeinen KI-Trainings, Rückgabe oder Löschung nach Auftragsende, Aufbewahrungsvorbehalt bis zu zehn Jahre, technische und organisatorische Maßnahmen (öffnet in neuem Tab)assets.ctfassets.net/…/DPA_1.10_candis.io.pdf · Stand 2026-08-26
- 4.Kündigungsfristen nach Ziffer 7.1, Zugriffsfrist von sechs Wochen mit anschließender Löschung und kostenpflichtiger Verlängerung nach Ziffer 7.3, fehlende Verfügbarkeitszusage nach Ziffer 8.2 (öffnet in neuem Tab)candis.io/agb · Stand 2026-08-26
- 5.Einstiegspreise der drei Pakete, Abrechnung nach Belegmenge, unbegrenzte Nutzerzahl und Gesellschaften, enthaltene Leistungen, Vertragslaufzeiten von zwölf bis sechsunddreißig Monaten, Angabe von mehr als 10.000 Unternehmen, Herausgabe der Kreditkarten mit der Varengold Bank (öffnet in neuem Tab)candis.io/preise · Stand 2026-08-26
- 6.Beschreibung der KI-Funktionen, Speicherung in Frankfurt am Main, Zertifizierungen des Cloudbetreibers, Etikett GoBD-zertifiziert, Aussagen zum Lernen im eigenen Bestand und zum Verzicht auf unternehmensübergreifendes Training, Ersparnis von 13.500 bis 34.000 Euro im Jahr und bis zu 91 Prozent korrekt erfasste Angaben (öffnet in neuem Tab)candis.io/candis-ki · Stand 2026-08-26
- 7.Verarbeitung im Auftrag für die eigene Webseite mit Übermittlungen in die Vereinigten Staaten auf Grundlage des Datenschutzrahmens zwischen der Europäischen Union und den Vereinigten Staaten, ohne Aussage zu den Kundeninhalten im Produkt (öffnet in neuem Tab)candis.io/datenschutz · Stand 2026-08-26
- 8.Anmeldung über SAML mit Entra ID oder Google ab dem Max-Paket und nur nach Anfrage beim Anbieter (öffnet in neuem Tab)hilfe.candis.io/de/articles/573852-single-sign-on-sso · Stand 2026-08-26
- 9.Öffentliche Statusseite mit Verfügbarkeitswerten über neunzig Tage je Baustein (öffnet in neuem Tab)status.my.candis.io · Stand 2026-08-26
- 10.Lizenzierter DATEV-Schnittstellenpartner mit regelmäßiger technischer Prüfung durch DATEV, Exporthistorie und Umfang der Schnittstellen nach DATEV Unternehmen online und DATEV Rechnungswesen (öffnet in neuem Tab)candis.io/produkt/schnittstellen-und-exporte · Stand 2026-08-26
- 11.Mehrstufige Freigaberegeln nach Betragsgrenze, Freigabegruppen, Vertretungsregelung bei Abwesenheit und individuell vergebene Zugriffsrechte (öffnet in neuem Tab)candis.io/produkt/rechnungsfreigabe · Stand 2026-08-26
- 12.Zertifikate und Testate Dritter helfen bei der Wahl eines Systems, binden die Finanzbehörde jedoch nicht, Randziffer 180 des Schreibens des Bundesministeriums der Finanzen vom 28.11.2019, Aktenzeichen IV A 4 - S 0316/19/10003 :001 (öffnet in neuem Tab)haufe.de/… · Stand 2026-08-26
- 13.Finanzierungsrunde über 12 Mio. Euro am 30.07.2020 unter Führung von Viola Ventures mit den weiteren beteiligten Geldgebern (öffnet in neuem Tab)prnewswire.com/… · Stand 2026-08-26
- 14.Finanzierungsrunde über 16 Mio. US-Dollar am 14.09.2022 mit Viola Fintech, Lightspeed und Viola Ventures sowie 30 Mio. US-Dollar über zwei Runden (öffnet in neuem Tab)deutsche-startups.de/2022/09/14/dealmonitor-riskmethods-candis · Stand 2026-08-26
- 15.Keine Unterauftragnehmerseite und keine Sicherheits- oder Vertrauensseite im gesamten Seitenverzeichnis des Anbieters mit 434 Adressen (öffnet in neuem Tab)candis.io/sitemap.xml · Stand 2026-08-26
Zuletzt geprüft: 2026-08-26 von Dr. Oliver Gausmann, Convios GmbH
Angaben veraltet? Schreiben Sie uns.