Eignet sich Dext aus DSGVO-Sicht für die Buchhaltung im deutschen Mittelstand?

Kurze Antwort

Dext erreicht in unserer Methodik einen DSGVO-Score von 7,5/10 und bringt einen öffentlich abrufbaren Self-Service-AVV sowie eine ISO/IEC-27001:2022-Zertifizierung mit — im aktuellen Testfeld der höchste Wert unter den drei geprüften Buchhaltungstools. Der Preis ab 25,21 €/Monat und die fehlende DATEV-Anbindung machen das Tool vor allem für Freelancer und KMU interessant, die bereits mit Xero, QuickBooks oder Sage arbeiten. sevDesk (7,0/10, ab 19 €/Monat) und FastBill (7,0/10, ab 10 €/Monat) punkten dagegen mit deutschem Firmensitz und dokumentiertem DATEV-Export. Wer Wert auf Sub-Prozessoren-Transparenz und eine zertifizierte technische Basis legt, findet bei Dext mehr öffentliche Nachweise — wer eine deutsche Rechtsgrundlage ohne US-Subprozessoren bevorzugt, ist bei sevDesk oder FastBill besser aufgehoben.

Die genannten Scores sind Risikoeinschätzungen nach unserer Methodik, keine rechtlichen Gutachten.

Wichtig: Ein hoher DSGVO-Score bedeutet nicht automatisch, dass ein Tool in jeder Kanzlei/jedem Unternehmen ohne weitere eigene Prüfung eingesetzt werden kann. Entscheidend sind auch die konkrete Nutzung, der Abschluss eines AVV und die internen Datenschutzprozesse.

Buchhaltungs-Tools im Vergleich

Alle drei Tools decken den Kernbedarf einer digitalen Buchhaltung ab, unterscheiden sich aber deutlich in Firmensitz, Zertifizierung und Preis. Die Tabelle fasst die wichtigsten Eckdaten zusammen; Betroffenenrechte-Prozesse und Datenspeicherungsfristen sind darin nicht abgebildet, dazu mehr im nächsten Abschnitt.

Warum diese Tools?

Dext erreicht die höchsten Einzelwerte bei AVV-Verfügbarkeit (9,0) und Transparenz (9,0): Der Self-Service-AVV inklusive UK-Addendum und EU-SCCs ist öffentlich unter dext.com/en/data-processor-agreement einsehbar und wird laut Anbieter automatisch bei Produktnutzung Vertragsbestandteil. Ergänzt wird das durch eine vollständige öffentliche Sub-Prozessoren-Liste mit Jurisdiktion und SCC-Status, einen benannten DPO sowie ICO-Registrierungsnummern (Stand: 2026-07). Die Sub-Prozessoren-Liste selbst umfasst aktuell mehr als 40 gelistete Anbieter mit Jurisdiktionsangabe, was Unternehmen eine granulare Prüfung einzelner Datenflüsse ermöglicht. Technisch stützt sich der Score von 8,0 auf eine ISO/IEC-27001:2022-Zertifizierung, TLS 1.2+ und AES-256-Verschlüsselung im Ruhezustand laut Security-Seite (Stand: 2024-08). Schwächer bewertet sind KI-Training (7,0) und Rechtsgrundlage (7,0) — dazu mehr im Abschnitt zu den offenen Punkten.

Funktional richtet sich Dext an Unternehmen, die Belege per KI-gestützter OCR erfassen und automatisch kategorisieren lassen, mit Anbindung an Xero, QuickBooks und Sage sowie Multi-Währungs-Unterstützung für international tätige KMU. Feste Listenpreise veröffentlicht der Anbieter laut eigenen Angaben nicht — die Kosten skalieren mit der Kundenzahl über einen Plan Builder.

sevDesk stützt seinen Score vor allem auf die deutsche Rechtsgrundlage (9,0): Als sevDesk GmbH mit Sitz in Offenburg schätzen wir das Cloud-Act-Risiko strukturell niedriger ein als bei Anbietern mit US-Konzernmutter, ohne ein Cloud-Act-Risiko vollständig auszuschließen. Ein AVV ist nach Anmeldung abrufbar (8,0), zusätzlich punktet das Tool mit DATEV-Export (SKR03/SKR04), Elster-Anbindung und automatischem Bankabgleich. Schwächer fallen technische Zertifizierung (6,0, keine öffentlich dokumentierte ISO 27001 oder SOC 2) und Datenspeicherung (5,0, keine öffentlich dokumentierten Löschfristen, jeweils Stand: 2026-06) aus. Für Einsteiger bietet sevDesk zudem einen dauerhaft kostenlosen Plan mit begrenztem Rechnungsvolumen, bevor kostenpflichtige Tarife ab 19 €/Monat greifen.

FastBill dokumentiert mit Julius Schoor einen namentlich benannten Datenschutzbeauftragten und adressiert Betroffenenrechte entsprechend gut (8,0). Die Rechtsgrundlage stützt sich auf den deutschen Unternehmenssitz und die gesetzlichen GoBD-Aufbewahrungspflichten (8,0), Löschfristen von 10 bzw. 30 Jahren sind dokumentiert. Schwächer bewertet ist die AVV-Kategorie (6,0): Ein AVV ist auf der öffentlichen Datenschutzseite nicht ausgewiesen, bei deutschen B2B-Anbietern aber üblicherweise im Kundenkonto oder auf Anfrage erhältlich (Stand: Juni 2026). Die KI-gestützte Belegerfassung ist zudem erst ab dem Premium-Tarif ab 59 €/Monat enthalten — der Einstiegspreis von 10 €/Monat deckt nur Rechnungsstellung und Basisfunktionen ab.

Für wen eignet sich welches Tool?

Die Wahl hängt weniger vom DSGVO-Score allein ab als von der bereits genutzten Buchhaltungssoftware, dem Steuerberater-Workflow und der Frage, ob eine deutsche oder eine britische Aufsichtsbehörde als Ansprechpartner infrage kommt.

Dext passt zu Freelancern und KMU, die bereits mit Xero, QuickBooks oder Sage arbeiten, international tätig sind und Wert auf eine zertifizierte technische Basis sowie Sub-Prozessoren-Transparenz legen. Weniger geeignet ist Dext für Kanzleien mit festem DATEV-Workflow, da eine DATEV-Anbindung in der öffentlichen Integrationsliste nicht dokumentiert ist, sowie für Unternehmen, die ausschließlich eine EU-Aufsichtsbehörde als Ansprechpartner wünschen.

sevDesk eignet sich für deutsche Freelancer und KMU, die eine DATEV-fähige Lösung mit deutscher Rechtsgrundlage und Elster-Anbindung suchen, etwa in Kooperation mit einem Steuerberater. Weniger passend ist es für Unternehmen, die eine öffentlich dokumentierte technische Zertifizierung wie ISO 27001 voraussetzen oder internationale Multi-Währungs-Buchhaltung benötigen.

FastBill ist eine Option für kleine Teams und Selbstständige mit Fokus auf Rechnungsstellung, Projektabwicklung und DATEV-Übergabe, die auf einen namentlich benannten DSB Wert legen. Für Unternehmen, die KI-gestützte Belegerfassung von Beginn an benötigen, lohnt sich der Blick auf den Premium-Tarif ab 59 €/Monat — im Basistarif fehlt diese Funktion.

Was bei Dext zusätzlich zu prüfen ist

Die folgenden sechs Punkte betreffen ausschließlich Dext und sollten vor einer produktiven Nutzung mit personenbezogenen Daten gezielt geprüft werden, auch wenn der Gesamtscore mit 7,5/10 vergleichsweise hoch ausfällt.

KI-Training-Ausschluss ohne Anbieternennung: Die Datenschutzerklärung schließt das Training von Drittanbieter-KI-Diensten mit Kundendaten vertraglich allgemein aus, nennt die eingesetzten Anbieter dabei aber nicht einzeln (Stand: 2024-07/geprüft 2026-07). Wer eine Aussage zu einem konkreten KI-Modell benötigt, muss beim Support gezielt nachfragen, da die allgemeine Formulierung keine anbieterspezifische Zusicherung ersetzt.

Betroffenenrechte ohne Self-Service-Portal: Auskunft, Löschung und Widerspruch laufen ausschließlich per E-Mail an dpo@dext.com, mit einer Reaktionszeit von in der Regel einem Monat (Stand: 2024-07). Für Unternehmen mit häufigen Art.-15/17-Anfragen bedeutet das mehr manuellen Prozessaufwand als bei einem Self-Service-Portal.

US-Subprozessoren trotz EU-Primärhosting: Obwohl das Primärhosting laut Sub-Prozessoren-Liste bei AWS in Irland und Frankfurt liegt, sind im Data Processor Agreement mehr als 40 US-Subprozessoren mit SCCs als Transfermechanismus gelistet (Stand: 2026-07). Eine Cloud-Act-Anwendbarkeit durch diese US-Subprozessoren ist dadurch nicht ausschließbar, auch wenn SCCs formal vorliegen. Angesichts dieser Größenordnung lohnt sich für Unternehmen mit hohem Schutzbedarf eine gezielte Stichprobenprüfung einzelner Einträge in der Sub-Prozessoren-Liste vor Vertragsabschluss.

Keine dokumentierte DPF-Zertifizierung: Eine Data-Privacy-Framework-Zertifizierung ist für Dext nach aktueller Recherche nicht dokumentiert (Stand: 20.07.2026). Für Unternehmen, die DPF als zusätzlichen Transfermechanismus neben SCCs dokumentieren möchten, ist das derzeit kein verfügbarer Baustein.

Unterschiedliche Datenspeicherungsfristen: Kontodaten werden laut Datenschutzerklärung sechs Jahre nach Vertragsende gelöscht (Stand: 2024-07), erfasste Belege sind laut Angaben auf der Dext-Startseite dagegen mindestens zehn Jahre auffindbar (Stand: 2026-07). Unternehmen sollten diese unterschiedlichen Fristen im eigenen Löschkonzept berücksichtigen.

UK-Aufsichtsbehörde statt EU-Datenschutzbehörde: Nach unserer Recherche untersteht Dext als britisches Unternehmen der Aufsicht der Information Commissioner’s Office (ICO) statt einer EU- oder deutschen Landesdatenschutzbehörde; die zugehörigen ICO-Registrierungsnummern sind laut unserer Recherche in der Dext-Datenschutzdokumentation hinterlegt, waren bei einer erneuten Prüfung im Juli 2026 aber nicht auf jeder Unterseite auffindbar (Stand: 2026-07). Für den Beschwerdeweg deutscher Kunden kann die britische Zuständigkeit relevant sein und sollte bei Bedarf gesondert geprüft werden.

Fehlende DATEV-Integration: Dext bindet über 30 Systeme an, darunter Xero, QuickBooks und Sage — DATEV taucht in der öffentlichen Integrationsliste nicht auf (Stand: 2026-07). Für Kanzleien, die Mandantendaten über DATEV verarbeiten, ist das ein praktisches Ausschlusskriterium unabhängig vom DSGVO-Score.

Methodik

Unser DSGVO-Score bewertet sieben Kategorien: AVV-Verfügbarkeit, technische Sicherheitsmaßnahmen, KI-Training-Policy, Transparenz, Rechtsgrundlage für Drittstaatentransfers, Datenspeicherung sowie Betroffenenrechte. Jede Kategorie erhält eine Verifikationsebene von dokumentenbasiert bis ungeprüft, die Konfidenz für Dext stufen wir aktuell als hoch ein, für sevDesk und FastBill als mittel. Die vollständige Methodik ist öffentlich einsehbar, Scores werden alle sechs Monate aktualisiert — für Dext und sevDesk zuletzt im Juli 2026, für FastBill im Juni 2026. Bei wesentlichen Änderungen an AVV, Sub-Prozessoren-Liste oder Zertifizierung eines Tools nehmen wir zusätzlich eine außerplanmäßige Prüfung vor.

Fazit

Für Freelancer und KMU, die bereits mit Xero, QuickBooks oder Sage arbeiten und Wert auf eine zertifizierte technische Basis sowie eine öffentlich dokumentierte Sub-Prozessoren-Liste legen, ist Dext im aktuellen Testfeld eine der besser dokumentierten Optionen. Für DATEV-gebundene Kanzleien mit sensiblen Mandantendaten liegen sevDesk und FastBill aufgrund der deutschen Rechtsgrundlage und des dokumentierten DATEV-Exports näher am Bedarf. Unternehmen, die bereits international mit mehreren Buchhaltungssystemen arbeiten, profitieren zusätzlich von der Multi-Währungs-Unterstützung, die bei den beiden deutschen Alternativen in dieser Form nicht dokumentiert ist. In jedem Fall bleibt vor dem produktiven Einsatz eine individuelle Prüfung von AVV, Datenkategorien und internen Datenschutzprozessen erforderlich — die hier genannten Scores ersetzen diese Prüfung nicht, sondern liefern dafür eine erste, dokumentierte Orientierung. Bei der nächsten turnusmäßigen Aktualisierung in sechs Monaten prüfen wir insbesondere, ob sich bei Dext eine DATEV-Anbindung oder ein Self-Service-Portal für Betroffenenrechte ergänzt hat.