Was mit Ihren Forderungsdaten passiert.

Der Kernablauf verbindet Ihre Quelldaten, das gewählte Postfach und die aktivierten Verarbeitungsfunktionen. Ihr Buchhaltungssystem bleibt das führende System.

1. 01 Sie exportieren

   Eine CSV- oder Excel-Datei Ihrer offenen Posten verlässt Ihr ERP. Zurückgeschrieben wird dorthin nie.

2. 02 Wir gleichen ab

   Jede Zeile wird gegen den vorherigen Stand abgeglichen, Ihnen zur Bestätigung vorgelegt und dann vollständig nachvollziehbar übernommen — in festgeschriebenen Blöcken mit Prüfpunkt, sodass ein unterbrochener Import genau dort fortsetzt, wo er stehen blieb, und keine Zeile zweimal anwendet.

3. 03 Wir fassen nach

   Zahlungserinnerungen gehen über Ihr eigenes Mahnwesen-Postfach raus, angebunden per IMAP/SMTP — die Direktanbindung für Microsoft 365 und Google Workspace gibt es auf Anfrage —, damit Ihre Kunden Ihre Adresse sehen, nicht unsere.

4. 04 Wir lesen die Antworten

   Antworten kommen im selben Postfach an, werden in ein festes Kategorienschema eingeordnet und werden entweder zu einem nachverfolgten nächsten Schritt oder zu einer Aufgabe für eine Person.

Was wir also vorhalten: Ihre offenen Rechnungen samt Historie, Namen und E-Mail-Adressen der Personen, denen Sie Rechnungen stellen, die Korrespondenz zu diesen Rechnungen und die Belege, die Sie hochladen. Belege und Korrespondenz können vom Kunden eingegebene Zahlungsangaben enthalten. TrueDue führt selbst keine Zahlungen für Sie aus; Zahlungen erfolgen direkt zwischen Ihnen und Ihren Kunden.

Das ist die Unterscheidung, um die herum das gesamte System gebaut ist, und es lohnt sich, dabei genau zu sein: „KI übernimmt Ihr Forderungsmanagement“ bedeutet sehr Unterschiedliches, je nachdem, wo diese Grenze verläuft.

Zahlungserinnerungen entstehen aus Vorlagen. Anrede und Schlusstext werden aus der gewählten Vorlage zusammengesetzt; die Finanztabelle enthält die Beträge aus Ihren bestätigten Quelldaten. Antworten werden zuerst nach festen Regeln eingeordnet. Nur eine danach ungeklärte Antwort eines sicher zugeordneten Geschäftskunden kann optional durch KI gelesen werden.

Eine solche KI-Lesung setzt die Einwilligung Ihrer Organisation, einen gültigen nachweislich bezahlten Vertrag sowie einen eingerichteten Anbieter und ausreichendes Budget innerhalb Ihrer Grenzen voraus. Das Ergebnis wird gegen die vorgegebenen Kategorien und eine Belegstelle im Original geprüft. Unsichere oder sensible Fälle sowie fehlende Berechtigungen, Budgetgrenzen und Anbieterfehler führen mit Original und Grund zur menschlichen Prüfung. Eine Interpretation beweist keine Zahlung und verändert keine Finanzfelder. Der gewählte Versandmodus und die Versandkontrollen entscheiden über den nächsten Schritt.

Anweisungen in einer Kundenantwort wie „auf bezahlt setzen“ sind keine Berechtigung, Finanzdaten zu ändern. Optionale KI-Ausgaben müssen die vorgegebenen Kategorien und Belege im Original erfüllen; sie ändern weder Beträge noch Zahlungsstatus. Fehleinordnungen bleiben möglich. Ungeklärte Fälle gehen mit Original und Grund an Ihr Team; Datenabgleich und Versandkontrollen bleiben erforderlich.

TrueDue versendet aus einem eigens dafür bestimmten Mahnwesen-Postfach in Ihrem eigenen E-Mail-System — nie aus dem Konto einer einzelnen Person und nie aus unserem. Heute verfügbar ist die Anbindung per IMAP/SMTP; die Direktanbindung für Microsoft 365 und Google Workspace richten wir auf Anfrage ein. Die drei Wege haben nicht dieselben Sicherheitseigenschaften. Deshalb beschreiben wir jeden einzeln.

Microsoft 365 (Outlook, Exchange Online) — auf Anfrage

Es wird kein Passwort übergeben. Wir fordern zwei Anwendungsberechtigungen an: Mail.Send und Mail.ReadWrite. Um genau zu sein: Anwendungsberechtigungen in Microsoft 365 gelten standardmäßig mandantenweit. Was sie auf die von Ihnen ausgewählten Postfächer begrenzt, ist eine Exchange-Anwendungszugriffsrichtlinie, und diese Richtlinie hinterlegt Ihre Administration, in Ihrem Mandanten — nicht wir.

Das Einrichtungshandbuch im Produkt nennt Ihrer Administration die genauen Schritte, und die Postfach-Statusseite zeigt den Zustand, den wir tatsächlich beobachten können. Aber wir werden Ihnen nicht erzählen, wir „könnten keine anderen Postfächer lesen“, als wäre das eine Eigenschaft unserer Software. Solange diese Richtlinie nicht existiert, ist es nämlich keine. Diese Grenze hält Ihre Administration in der Hand und kann sie jederzeit widerrufen.

Lassen Sie sich die Richtlinie vor dem Go-live von Ihrer Administration in Ihrem eigenen Mandanten zeigen. Gibt es sie nicht, schalten Sie den Versand nicht frei.

Google Workspace (Gmail) — Direktanbindung auf Anfrage

Es wird kein Passwort übergeben. Ihre Workspace-Superadministration autorisiert unser Dienstkonto einmalig in der Google-Admin-Konsole über die domainweite Delegierung, und zwar für genau zwei Gmail-Bereiche:

• https://www.googleapis.com/auth/gmail.send
• https://www.googleapis.com/auth/gmail.modify

Auch hier genau: Google bietet keine Möglichkeit, die domainweite Delegierung auf ein einzelnes Postfach zu beschränken. Innerhalb dieser beiden Bereiche erfasst die Freigabe technisch jede Person Ihrer Domain. TrueDue verwendet die für Ihre Organisation hinterlegten Google-Postfächer und wählt für jeden Vorgang die zugehörige Adresse. Je nach Tarif können mehrere Adressen hinterlegt sein. Diese Auswahl liegt in unserem Code; sie begrenzt nicht die technisch domainweiten Google-Berechtigungen. Ihre Superadministration kann die Freigabe jederzeit widerrufen, indem sie den Eintrag mit der Client-ID in der Admin-Konsole löscht.

IMAP/SMTP — heute verfügbar

Für IONOS, Strato, all-inkl, Hetzner, mailbox.org, einen eigenen Exchange Server und jeden anderen Anbieter trägt Ihre Administration die Serverdaten und ein Passwort ein. Das ist das einzige Modell, in dem TrueDue eine Zugangsberechtigung zu Ihrem Postfach speichert, und entsprechend wird sie behandelt:

• Wir empfehlen ein App-Passwort statt des Postfach-Passworts. Sie können es bei Ihrem Anbieter jederzeit löschen oder ändern; ab dem nächsten Verbindungsversuch ist unser Zugriff damit beendet.
• Das Passwort wird mit AES-256-GCM verschlüsselt gespeichert, nach dem Speichern nie wieder angezeigt und erscheint weder in der Oberfläche noch in Protokollen im Klartext.
• Verbindungen laufen ausschließlich über TLS; ein Server ohne Verschlüsselung wird abgelehnt, statt unverschlüsselt genutzt zu werden.
• Serveradressen, die in private oder interne Netze zeigen, werden abgelehnt — die Verbindungseinstellungen lassen sich also nicht nutzen, um Systeme hinter unserer eigenen Infrastruktur zu erreichen.

Bei Google Workspace und IMAP/SMTP wird das Postfach in regelmäßigen Abständen auf neue Antworten geprüft, statt dass sie uns zugestellt werden — eine Antwort erscheint also nach der nächsten Prüfung, nicht sofort.

Die Anmeldung erfolgt über Ihr Microsoft-Geschäftskonto mit Entra ID oder einen zeitlich begrenzten E-Mail-Link. Mitgliedschaft und Rolle bestimmen den Zugriff; Administratoren können Mitgliedschaften in der Anwendung entziehen.

Das Identitätstoken von Microsoft wird geprüft, nicht geglaubt: die Signatur gegen die veröffentlichten Schlüssel Ihres Verzeichnisses, dazu Aussteller, Zielanwendung, Gültigkeit und ein einmaliger Nonce. Dahinter stehen zwei weitere Sperren. Microsoft muss bestätigen, dass das Verzeichnis die Domain der E-Mail-Adresse besitzt, und die Organisation ist an genau ein Verzeichnis gebunden — ein in einem fremden Microsoft-Mandanten ausgestelltes Token erreicht Ihre Daten also nicht, so gültig es auch sein mag.

Das Token belegt, wer jemand ist; es verleiht nie, was jemand darf. Organisation und Rolle stammen aus einem Mitgliedschaftseintrag, der bei jeder einzelnen Anfrage aus der Datenbank gelesen wird — eine geänderte Rolle oder ein entzogener Zugang wirkt damit sofort. Ein Abmelden entwertet die Sitzung überall, nicht nur in dem Browser, in dem es ausgelöst wurde.

Die KI-Verarbeitung durch Dritte lässt sich für Ihre Organisation abschalten, durch Ihre Administration, direkt im Produkt. Abgeschaltet werden Antworten nach den eingebauten Regeln eingeordnet, zu einer Antwort verlässt nichts die Installation, und was die Regeln nicht sicher lesen, wird zur Aufgabe für einen Menschen statt zu einer Vermutung.

Administratoren können strukturierte Geschäftsdaten exportieren. Für Organisationen ohne Abrechnungshistorie ist die Selbstlöschung nach erneuter Anmeldung verfügbar. Bei abgerechneten Konten koordinieren wir Datenrückgabe, Vertragsende und Löschung über einen berechtigten Auftrag. Gesetzlich erforderliche Rechnungsnachweise werden getrennt und zweckgebunden aufbewahrt; Sicherungskopien folgen dem geregelten Löschzyklus.

Jede Tabelle mit Kundendaten ist an eine Unternehmens-ID gebunden. Diese ID wird nie aus einer URL, einem Formular oder einem Cookie gelesen — sie wird bei jeder einzelnen Anfrage serverseitig aus Ihrer angemeldeten Sitzung gegen einen Mitgliedschaftseintrag aufgelöst, und jede Abfrage filtert danach.

Das ist der Fehlerfall mit den schwerwiegendsten Folgen, deshalb ist er sowohl auf Abfrage- als auch auf Engine-Ebene durch Tests abgesichert: Ein Zugriffsversuch auf die Daten eines anderen Unternehmens lässt die Testsuite scheitern, statt erst im Review aufzufallen.

Der zweitschlimmste Fehler ist eine korrekt aussehende Zahlungserinnerung an die falsche Person, über den falschen Saldo oder zu einer Rechnung, die letzte Woche bezahlt wurde. Vier Dinge liegen zwischen einer geplanten Aktion und dem Postfach Ihres Kunden:

• Eine Kette aus fünfzehn deterministischen Prüfungen, die unmittelbar vor jedem Versand gegen den aktuellen Datenbankstand läuft — nicht gegen das, was bei der Einplanung galt.
• Der Freigabemodus als ausgelieferte Voreinstellung: Jede ausgehende Nachricht wartet auf die Freigabe durch eine namentlich benannte Person, bis Sie den automatischen Versand für bestimmte Routinefälle bewusst freischalten.
• Eine Aktualitätssperre: Sind Ihre importierten Daten älter als das von Ihnen gesetzte Zeitfenster, stoppt der Versand, bis aktuelle Zahlen vorliegen.
• Exakt-einmal-Ausführung über einen Idempotenzschlüssel je Aktion, damit ein Wiederholungsversuch, ein Doppelklick oder ein erneut eingereihter Job keine zweite E-Mail erzeugen kann.

Dazu kommen Versandfenster, Mindestabstände zwischen zwei Kontakten und eine Obergrenze dafür, wie oft ein einzelner Kunde innerhalb von dreißig Tagen kontaktiert werden darf. Sperren auf Kundenebene und Kontaktsperren stoppen sofort alles für diesen Kunden.

Jede relevante Aktion schreibt ein Protokollereignis, das nur angefügt werden kann: wer gehandelt hat, was sich geändert hat und wann. „Wer“ ist eines von drei Dingen — eine namentlich benannte Person, das System oder die KI — und diese Unterscheidung zieht sich durch die Kundenhistorie und die Nachrichtensätze, nicht nur durch das Protokoll.

Das Protokoll unterscheidet die tatsächliche Einordnung durch Regeln von einer erlaubten Modell-Lesung. Bei einer Modell-Lesung werden Modellkennung, Konfidenz und strukturierte Ausgabe festgehalten. Was die Regeln bereits klären, wird ohne Modell verarbeitet. Eine ausgebliebene oder nicht belegbare Modell-Lesung wird als solche geführt und nicht als KI-Ergebnis ausgegeben.

Alle mit ihrem Zweck aufgeführt auf der Seite zu den Unterauftragsverarbeitern: netcup für Anwendung und primäre Datenbank in Nürnberg, Cloudflare für Netzwerk- und Schutzfunktionen, Plus Five Five (Resend) für Systemmails sowie — für den Support-Assistenten auf dieser Website, soweit er eingeschaltet ist — die auf der Seite der Unterauftragsverarbeiter aufgeführten KI-Anbieter gemäß der eingerichteten Supportkonfiguration. Verbundene Microsoft-365- oder Google-Workspace-Postfächer folgen der von Ihnen gewählten Anbindung; andere IMAP-/SMTP-Anbieter bleiben Ihre eigenen Vertragspartner. Antworten Ihrer Kunden werden zuerst nach festen Regeln gelesen. Nur mit Ihrer Einwilligung, einem gültigen nachweislich bezahlten Vertrag, vollständiger Anbieteranbindung und ausreichendem Budget liest Google Gemini ausgewählte, sicher zugeordnete Geschäftskundenantworten, die die Regeln nicht klären konnten; Antworten von Privatpersonen und Kunden unbekannten Typs gehen nie an ein Modell. Netzwerk-, Mail- und KI-Verarbeitung kann Länder außerhalb der EU einbeziehen; Einzelheiten stehen in der Datenschutzerklärung.

Auf dieser Website und in der Anwendung gibt es keine Werbe-Pixel, keine Tracker Dritter und kein seitenübergreifendes Tracking. Auf der öffentlichen Website zählen wir Besuche mit der Open-Source-Software Umami auf unserem eigenen Server (statistik.neithra.dev) — ohne Cookies und ohne Kennung auf Ihrem Gerät; deshalb haben Sie auch kein Cookie-Banner gesehen. Einzelheiten stehen in Ziffer 5 der Datenschutzerklärung.

Teilen Sie uns mit, welche Schutzmaßnahmen und Vertragsangaben Ihre Organisation benötigt. Wir erläutern die umgesetzten Maßnahmen und vereinbaren zusätzliche Anforderungen vor Ihrer Bestellung.