Prevents falling behindOff-the-shelf productEstablished, AI retrofitted

Pleo

Pleo Technologies A/S ·www.pleo.io· As of: 2026-07-30

Gives every employee a card with its own limit and ties the receipt to the transaction, instead of letting subscriptions and tools run through private cards that only surface weeks later in an expense report.

Work through this tool with an AI

ClaudeChatGPTPerplexity

Our verdict

Distributed card issuing with an approval chain creates no edge, because it solves no customer problem and any competitor can buy the same thing within a week. Going without it, however, costs you lasting visibility: subscriptions sit on private cards, notice periods pass unnoticed, and the monthly close waits on receipts that still have to be chased. That keeps you from falling behind; it does not strengthen the core product.

Evidence:As of 2026-07-30Plans, per-user prices, FX and transaction fees for the German marketOpen sourceAs of 2026-07-30Storage location Ireland, encryption, assessed standards PCI DSS, CASA, HackerOne, CAIQOpen sourceAs of 2025-10-14Processing terms, standard contractual clauses, right to object to new sub-processors, deletion and return on terminationOpen sourceAs of 2026-07-30Named list of recipients and sub-processors with purpose and countryOpen sourceAs of 2026-07-30Legal entities, registration numbers and authorisation by the Danish financial supervisory authorityOpen sourceAs of 2026-06-11Announcement of the AI agents and the MCP server, customer count around 40,000Open sourceAs of 2026-07-30Founding year, funding, recurring revenue and valuation trajectoryOpen source

Who it fits

Solo

suitable with caveats

The entry plan costs four euros a month and covers up to three people. The real benefit, the approval chain, disappears with a single person; what remains is receipt discipline and the accounting export. For one-person firms with heavy foreign spend, the 2.49 percent FX fee starts to bite.

Mid-market

suitable

This is where the use case sits: ten to a hundred people, scattered tool and AI subscriptions, and a finance function that has to close the month. Additional users cost between five and fifteen euros a month, and the DATEV connection exists.

Enterprise

suitable with caveats

Multiple legal entities are only cleanly separated in the upper plans, and the vendor publicly evidences neither ISO 27001 nor SOC 2, but PCI DSS and self-assessments. Whether customers can inspect an auditable access log themselves is undocumented. Both belong on the table before signing.

Buy, switch or build

Off-the-shelf

Corporate credit card from the house bank plus an expense tool

The bank issues one or a few cards, receipts land in a separate expense tool, and finance reconciles the two. That is cheaper on the card itself and often better on exchange rates, because the bank takes no software markup. You pay elsewhere: limits cannot be set per person, new cards take days rather than minutes, and matching receipt to entry stays manual work.

AI-native

Agentic spend platform instead of an approval chain

The young class promises that receipts, categorisation, policy checks and coding are handled by an agent, so humans only see exceptions. Switching vendors purely for that rarely pays, because the established platforms are adding the same agents; this vendor announced its own in June 2026. Whoever switches also swaps the payment licence, and that is where the real risk sits.

Build it yourself

Issuing cards yourself is not an option

Issuing cards yourself requires a payment or e-money licence, anti money laundering processes and ongoing supervision. No software company between one and fifty million in revenue builds that. The sensible build-it-yourself route sits one layer lower: your own analysis on top of the card export that joins subscriptions, contracts and cost centres. That pays off once the subscription landscape gets murky, but it does not replace card issuing.

Our advice

  • Solo: Only take it if receipt discipline is genuinely breaking down today.
  • Mid-market: Buy, but weigh the FX markup against your dollar spend.
  • Enterprise: Buy, and settle certificates, audit logging and entity separation in writing before signing.

Who is behind it

Staying power: Established

Eleven years in market, a licensed e-money institution under Danish supervision, revenue in the low hundreds of millions. The last equity round dates back to 2021, though, and a listed shareholder's internal mark at the end of 2025 sits well below the price of that round.

  • Legal entities and registration numbers: Pleo Technologies A/S, CVR 36538686, Copenhagen; Pleo Financial Services A/S, CVR 39155435, CopenhagenAs of 2026-07-30Legal entities, registration numbers and authorisation by the Danish financial supervisory authorityOpen source · As of 2026-07-30
  • Supervision for EU customers: Pleo Financial Services A/S is licensed by the Danish Financial Supervisory Authority as a payment institution and e-money issuerAs of 2026-07-30Legal entities, registration numbers and authorisation by the Danish financial supervisory authorityOpen source · As of 2026-07-30
  • Years in market and customer count: founded in 2015, around 40,000 business customersAs of 2026-06-11Announcement of the AI agents and the MCP server, customer count around 40,000Open source · As of 2026-06-11
  • Revenue and funding: EUR 164 million annual recurring revenue in the fourth quarter of 2025, USD 427.5 million raised in total, last equity round in 2021As of 2026-07-30Founding year, funding, recurring revenue and valuation trajectoryOpen source · As of 2026-07-30
  • Valuation trajectory: the internal valuation mark of shareholder Kinnevik as at the fourth quarter of 2025 sits well below the 2021 roundAs of 2026-07-30Founding year, funding, recurring revenue and valuation trajectoryOpen source · As of 2026-07-30
  • UK sister company: Pleo Financial Services UK Ltd, Companies House 15842283, incorporated on 16 July 2024, activeAs of 2026-07-30find-and-update.company-information.service.gov.uk/…/15842283Open source · As of 2026-07-30

Cost of leaving: Moderate

The data comes out: transactions, receipts and coding can be exported as CSV or Excel and through the DATEV connection, and the data processing agreement explicitly puts the burden on the customer to pull transactional data from the application. The expensive part is not the export but the card switch: every recurring charge hangs off an issued card, so each subscription and direct debit has to be moved individually before the old cards die.

Regulation and data

How to read the traffic lightHow to read the traffic lightThe traffic light rates how well a point is evidenced, not how good the tool is. It draws only on the value, note and source held in the profile. Where a statement is missing, it rates the absence, not a guess. A well-reasoned "unclear" on a point that matters little for this tool is yellow. A missing source on a point that decides whether you can use it at all is red.documented, no condition attacheddocumented, tied to a conditiondocumented, but unfavourableopen on a point that decides usability
Data processing agreementScale for this point: Data processing agreementdocumented, no condition attached: Auftragsverarbeitungsvertrag öffentlich abrufbar und ohne weitere Bedingung Bestandteil des Vertrags; oder er entfällt nachvollziehbar begründet, weil kein Anbieter Kundendaten verarbeitet.documented, tied to a condition: Vertrag existiert, ist aber an einen Tarif gebunden, nur nach Anfrage einsehbar oder allein in den Nutzungsbedingungen geregelt statt als eigenes Dokument.documented, but unfavourable: Kein Auftragsverarbeitungsvertrag im üblichen Sinn: entweder weil der Anbieter für das Kerngeschäft eigenständig Verantwortlicher ist und stattdessen eine andere Konstruktion gilt, oder weil öffentlich offen bleibt, ob überhaupt einer angeboten wird.open on a point that decides usability: Weder ein Vertrag noch ein dokumentierter Weg zu einem Vertrag; der Einkauf hätte nichts, worauf er sich stützen kann.documented, no condition attachedpublic data processing addendum, version of 14 October 2025As of 2026-07-30Processing terms, standard contractual clauses, right to object to new sub-processors, deletion and return on terminationOpen sourceThe document is published in full as a PDF and names Pleo Technologies A/S, Pleo Financial Services A/S and Pleo Financial Services UK Ltd as the entities involved.As of 2026-07-30
Storage locationScale for this point: Storage locationdocumented, no condition attached: EU-Speicherort ohne Zusatzkosten und ohne Tarifbindung, oder der Ort ist vollständig selbst bestimmbar, weil das Werkzeug im eigenen Betrieb läuft.documented, tied to a condition: EU-Speicherort möglich, aber an einen Tarif, einen gesondert zu aktivierenden Zusatz oder einen Umzug in eine getrennte Umgebung gebunden; oder die EU-Region ist nicht die Voreinstellung.documented, but unfavourable: Kein EU-Speicherort, der Ort ist aber eindeutig benannt, sodass die Folgen bewertbar sind.open on a point that decides usability: Der Speicherort ist öffentlich nicht benannt oder vom Kunden nicht steuerbar, sodass sich die Verarbeitung nicht verorten lässt.documented, no condition attachedAWS in Ireland, region eu-west-1As of 2026-07-30Storage location Ireland, encryption, assessed standards PCI DSS, CASA, HackerOne, CAIQOpen sourceThe vendor names Ireland as the storage and processing location for customer data. Individual recipients sit in the United States according to its own list, among them Marqeta, JP Morgan, Mastercard and Anthropic.As of 2026-07-30
SubprocessorsScale for this point: Subprocessorsdocumented, no condition attached: Vollständige öffentliche Liste der Unterauftragnehmer mit Zweck und Land; oder es gibt keine, weil das Werkzeug im eigenen Betrieb läuft.documented, tied to a condition: Liste existiert und ist benannt, aber nur nach Anfrage oder nach Zugang zu einem Vertrauensportal einsehbar, oder sie nennt Zweck und Land nicht vollständig.documented, but unfavourable: Keine geführte Liste; namentlich stehen nur einzelne Dienste in der Datenschutzerklärung, überwiegend solche der eigenen Website.open on a point that decides usability: Weder eine Liste noch eine Nennung der Verarbeiter des Produkts, und kein dokumentierter Weg, sie zu erfahren.documented, no condition attachedpublic list with purpose and country of processingAs of 2026-07-30Named list of recipients and sub-processors with purpose and countryOpen sourceNamed among others are Enfuce and Salt Edge in Frankfurt for payment processing and account access, AWS in Ireland, Onfido for identity checks and Anthropic in the United States for AI features. The contract provides for prior notice and a right to object.As of 2026-07-30
Third-country transferScale for this point: Third-country transferdocumented, no condition attached: Keine Übermittlung in ein Drittland, oder die Übermittlung findet statt und die Grundlage ist benannt und im Vertrag verankert, etwa Standardvertragsklauseln, Angemessenheitsbeschluss oder EU-US-Datenschutzrahmen.documented, tied to a condition: Übermittlung findet statt, eine Grundlage ist genannt, aber ohne Zuordnung, welcher Empfänger auf welcher Grundlage arbeitet.documented, but unfavourable: Übermittlung findet statt und die eigenen Unterlagen widersprechen sich, oder die genannte Grundlage bezieht sich erkennbar nur auf einen Randbereich wie die Marketing-Website.open on a point that decides usability: Übermittlung findet erkennbar statt und eine Grundlage wird nirgends genannt.documented, no condition attachedadequacy decision, otherwise standard contractual clauses with a transfer impact assessmentAs of 2026-07-30Processing terms, standard contractual clauses, right to object to new sub-processors, deletion and return on terminationOpen sourceThe data processing agreement covers both explicitly and makes the standard contractual clauses apply automatically should an adequacy decision be repealed or suspended.As of 2026-07-30
Training on customer dataScale for this point: Training on customer datadocumented, no condition attached: Vertraglich oder in der Datenschutzerklärung ausdrücklich ausgeschlossen, mit Erstreckung auf die eingesetzten Modellanbieter; oder es gibt keine Datenübertragung an einen Anbieter.documented, tied to a condition: Ausschluss ab einem bestimmten Tarif, oder die Zusage steht nur auf einer Dokumentationsseite statt im Vertrag, oder die Frage stellt sich für das Werkzeug sachlich kaum und der Anbieter schweigt dazu.documented, but unfavourable: Nutzung ist die Voreinstellung und nur ein Widerspruch beendet sie; oder der Anbieter trainiert eigene Modelle auf bereinigten Kundendaten.open on a point that decides usability: Keine Aussage, obwohl das Werkzeug KI-Funktionen auf Kundeninhalten betreibt.open on a point that decides usabilitynot addressed in the contractAs of 2026-07-30Processing terms, standard contractual clauses, right to object to new sub-processors, deletion and return on terminationOpen sourceThe data processing agreement contains neither permission nor an explicit ban on using customer data for model training. The German privacy notice mentions artificial intelligence only in the recruiting context. Since Anthropic is listed as a recipient for AI features and agents roll out from July 2026, the question belongs in writing into contract talks.As of 2026-07-30
Retention and deletionScale for this point: Retention and deletiondocumented, no condition attached: Löschfristen nach Vertragsende beziffert und die Löschung oder Rückgabe zugesagt; oder die Fristen bestimmt der Betreiber selbst, weil das Werkzeug im eigenen Betrieb läuft.documented, tied to a condition: Löschung ist zugesagt, die Fristen sind aber nur teilweise beziffert, oder Sicherungskopien sind ausdrücklich ausgenommen.documented, but unfavourable: Nur der Grundsatz der Erforderlichkeit ohne jede Frist nach Vertragsende, oder Fristen sind allein für Randbereiche wie Website-Protokolle genannt.open on a point that decides usability: Keine Aussage zu Aufbewahrung und Löschung.documented, no condition attachedterm of the contract, then statutory periods; deletion or return at the customer's choiceAs of 2026-07-30Processing terms, standard contractual clauses, right to object to new sub-processors, deletion and return on terminationOpen sourceBackups remain isolated and excluded from further processing according to the contract. Anti money laundering and bookkeeping law produce multi year periods in practice, which the vendor states in its help centre as at least five years after the end of the business relationship.As of 2026-07-30
CertificationsScale for this point: Certificationsdocumented, no condition attached: Mehrere anerkannte Nachweise, benannt mit Norm, Fassung und Geltungsbereich, und bezogen auf den Anbieter selbst.documented, tied to a condition: Ein anerkannter Nachweis für den Anbieter belegt, der Bericht aber nur auf Anfrage, oder der Nachweis hängt an einem Tarif, oder der Geltungsbereich bleibt teilweise offen.documented, but unfavourable: Nur pauschale Nennung ohne Norm-Fassung und Geltungsbereich, oder bloße Selbstauskunft, oder die Nachweise gehören dem Infrastrukturanbieter statt dem Anbieter, oder der Prüfzeitraum ist erkennbar veraltet, oder die eigenen Angaben widersprechen sich.open on a point that decides usability: Kein Nachweis genannt und keine Sicherheits- oder Vertrauensseite vorhanden.documented, but unfavourablePCI DSS under SAQ D, Google Cloud Application Security Assessment, HackerOne bug bounty, CAIQ self-assessment, renewed annuallyAs of 2026-07-30Storage location Ireland, encryption, assessed standards PCI DSS, CASA, HackerOne, CAIQOpen sourceNeither ISO 27001 nor SOC 2 appears on the trust page or in the data processing agreement. An ISO 27001 claim shows up only in a partner's blog post, not from the vendor itself. A self-assessment is not an attestation.As of 2026-07-30
EU AI Act, Article 50Scale for this point: EU AI Act, Article 50documented, no condition attached: Der Anbieter macht eine belegte Aussage, die die eigene Pflicht trägt, etwa Modelldokumentation und Zertifizierung nach ISO/IEC 42001; oder das Werkzeug enthält nachvollziehbar begründet kein KI-System im Sinne der Verordnung.documented, tied to a condition: Der Anbieter äußert sich zur Verordnung oder ordnet die eigene Funktion ein, eine benannte Zusage zu den Transparenzpflichten aus Artikel 50 fehlt aber; oder das Werkzeug enthält kein KI-System, das gegenüber Menschen auftritt, und der Anbieter schweigt.documented, but unfavourable: Das Produkt enthält KI-Funktionen, der Anbieter schweigt dazu oder trägt ein Selbstetikett ohne Nachweis; die Kennzeichnung ist vom Betreiber aber selbst setzbar.open on a point that decides usability: KI spricht im Produkt unmittelbar mit Endkunden und der Anbieter sagt zu Artikel 50 nichts; die Kennzeichnung lässt sich ohne Zusage des Anbieters nicht sicher setzen.documented, but unfavourableunclearAs of 2026-06-11Announcement of the AI agents and the MCP server, customer count around 40,000Open sourceOn 11 June 2026 the vendor announced agents for policy, accounts payable, treasury and coding plus its own MCP server, with beta from July 2026. As of this review there is no public statement on the transparency duties under Article 50 of the AI Regulation.As of 2026-06-11
Audit loggingScale for this point: Audit loggingdocumented, no condition attached: Nachvollziehbares Protokoll über Zugriffe und Änderungen in allen Tarifen enthalten, mit benannter Frist und Ausleitung in eigene Systeme; oder die Nachvollziehbarkeit liegt vollständig in eigener Hand, weil das Werkzeug im eigenen Betrieb läuft.documented, tied to a condition: Protokoll vorhanden, aber an einen höheren Tarif oder einen kostenpflichtigen Zusatz gebunden, oder die Ausleitung fehlt in den unteren Stufen; Reichweite und Frist sind benannt.documented, but unfavourable: Protokolle sind nur anbieterseitig beschrieben, oder Reichweite und Frist bleiben offen, sodass sich Nachweispflichten nicht planen lassen.open on a point that decides usability: Öffentlich nicht belegt, ob der Kunde überhaupt ein auswertbares Protokoll erhält.documented, but unfavourabledocumented on the vendor side, unclear on the customer sideAs of 2026-07-30Processing terms, standard contractual clauses, right to object to new sub-processors, deletion and return on terminationOpen sourceThe data processing agreement describes centrally collected, tamper resistant activity and audit logs on the vendor side. Whether and from which plan the customer can inspect and export an auditable log of access and approvals is not publicly substantiated.As of 2026-07-30

What it really costs

Entry price

Starter at four euros a month with one user included and a hard ceiling of three, each further user five euros. Essential costs twenty euros a month, eighteen on annual billing, with further users at eleven euros each.As of 2026-07-30Plans, per-user prices, FX and transaction fees for the German marketOpen source

As of 2026-07-30

What gets expensive

Not the base price but the payment side. The FX fee is 2.49 percent on Starter and Essential and 1.99 percent from Advanced upwards. Anyone paying for a lot of tooling in dollars pays that markup on every amount, permanently and regardless of headcount. On top come 0.95 to 1.50 euros per domestic payment, 6 to 8 euros per international transfer and 19 to 29 euros per chargeback. Advanced starts at 99 euros a month for three users, Business from 249 euros.

What it displaces

  • Subscriptions on private cards with reimbursement after the fact
  • A single company card held by the managing director
  • Receipt collection in a spreadsheet and a shoebox

Interfaces

  • DATEV integration and CSV export for DATEV Kanzlei Rechnungswesen
  • Freely configurable Excel and CSV export
  • Connectors for the common accounting systems
  • MCP server announced, beta from July 2026

Matching methods

  • Value Creation Plan (Lever Categories and Execution Rate)The plan reports a quarterly implementation rate per action point, and cost-side points can only be evidenced if spend arrives with receipt and allocation at the moment of payment.
  • Rule of 40 (Toward 60)The metric adds growth and margin, and the margin side cannot be steered while subscriptions run on personal cards and only surface in expense reports.

Sources

  1. 1.Plans, per-user prices, FX and transaction fees for the German market (opens in a new tab)pleo.io/de/pricing · As of 2026-07-30
  2. 2.Storage location Ireland, encryption, assessed standards PCI DSS, CASA, HackerOne, CAIQ (opens in a new tab)pleo.io/en/trust-and-security · As of 2026-07-30
  3. 3.Processing terms, standard contractual clauses, right to object to new sub-processors, deletion and return on termination (opens in a new tab)pleo.io/legal-documents/pleo-data-processing-addendum-en.pdf · As of 2026-07-30
  4. 4.Named list of recipients and sub-processors with purpose and country (opens in a new tab)pleo.io/en/sub-processors · As of 2026-07-30
  5. 5.Legal entities, registration numbers and authorisation by the Danish financial supervisory authority (opens in a new tab)pleo.io/de/impressum-page · As of 2026-07-30
  6. 6.Announcement of the AI agents and the MCP server, customer count around 40,000 (opens in a new tab)financialit.net/… · As of 2026-06-11
  7. 7.Founding year, funding, recurring revenue and valuation trajectory (opens in a new tab)sacra.com/c/pleo · As of 2026-07-30
  8. 8.find-and-update.company-information.service.gov.uk/…/15842283 (opens in a new tab)As of 2026-07-30

Last reviewed: 2026-07-30 by Dr. Oliver Gausmann, Convios GmbH

Details out of date? Let us know.

← Back to the toolbox