Welche KI-Tools und Business-Apps sind DSGVO-konform? (2026)

1. Auftragsverarbeitungsvertrag (AVV)

Nach Art. 28 DSGVO Pflicht, sobald ein Tool personenbezogene Daten in deinem Auftrag verarbeitet. Ohne AVV ist der Einsatz formal nicht zulässig, egal wo die Server stehen.

2. Serverstandort und EU-Hosting

Liegen die Daten in der EU, entfällt die heikle Frage nach dem Drittlandtransfer. Aber „EU-Region verfügbar“ heißt nicht „alle Daten bleiben in der EU“: Metadaten, Abrechnungs- und Support-Daten wandern oft trotzdem in die USA.

3. Drittlandtransfer: SCC, DPF und Schrems II

Für Daten außerhalb der EU brauchen Anbieter eine Rechtsgrundlage: Standardvertragsklauseln (SCC) oder das EU-US Data Privacy Framework (DPF). Nach dem Schrems-II-Urteil solltest du bei sensiblen Daten zusätzlich ein Transfer-Impact-Assessment durchführen.

Vertragspartner:

Microsoft Ireland Operations Ltd. (EWR)

Serverstandort:

EU Data Boundary (EU-/EFTA-Rechenzentren)

Für EU-Kunden ist Microsoft 365 Copilot laut Microsoft ein EU-Data-Boundary-Dienst, EU-Verkehr bleibt in der Grenze. Ausnahme mit Ansage: Modelle, die Microsoft von Anthropic als Unterauftragsverarbeiter bezieht, sind ausdrücklich von der EU Data Boundary ausgenommen. Gilt für den Geschäftskunden-Tarif, nicht für den kostenlosen Consumer-Copilot.

Geprüft am 5. September 2026

Vertragspartner:

neuroflash GmbH, Hamburg (EU)

Serverstandort:

Deutschland

Wirbt direkt auf der Preisseite mit Datenverarbeitung auf deutschen Servern. Das ist die stärkste Datenschutz-Aussage aller Tools im Vergleich.

Geprüft am 23. Juli 2026

Vertragspartner:

Estnische Gesellschaft (EU)

Serverstandort:

Frankfurt, Dublin, Stockholm

Der EU-freundlichste CRM-Anbieter im Ranking; für Subprozessoren außerhalb der EWR gelten SCCs bzw. das EU-US Data Privacy Framework.

Geprüft am 23. Juli 2026

Vertragspartner:

HubSpot Germany GmbH (DE/AT/CH)

Serverstandort:

EU (Standard für EU-Kunden seit Juli 2021)

EU-Hosting ist Standard für EU-/UK-/CH-Kunden; einzelne Support-Zugriffe und Subprozessoren können dennoch außerhalb der EU liegen.

Geprüft am 23. Juli 2026

Vertragspartner:

Sendinblue SAS („Brevo“), Paris (EU)

Serverstandort:

EU (laut Brevo)

Französischer Anbieter, Server laut eigener Datenschutzseite in der EU. Für Kunden aus Deutschland, Österreich und der Schweiz verweisen die Nutzungsbedingungen an mehreren Stellen auf Sonderregeln in Anhang 2. Prüfe außerdem die Liste der Unterauftragsverarbeiter, bevor du von „nur EU“ ausgehst.

Geprüft am 18. Oktober 2026

Vertragspartner:

RealtimeBoard, Inc. dba Miro (USA)

Serverstandort:

EU als Standard: Hauptrechenzentrum Irland, Backup Deutschland

Die EU ist bei Miro der Standard-Speicherort, ohne Aufpreis. Vertragspartner bleibt aber die US-Gesellschaft. Miro AI kann außerhalb der Region verarbeiten, Live-Videokonferenzen laufen global, und Apps von Drittanbietern speichern nach eigenen Regeln.

Geprüft am 18. Oktober 2026

Vertragspartner:

Microsoft (Konzernsitz USA)

Serverstandort:

EU-Datengrenze: Speicherung und Verarbeitung in EU/EFTA für Mandanten mit Registrierung in der EU

Die EU-Datengrenze greift laut Microsoft automatisch, wenn dein Mandant in einem EU- oder EFTA-Land registriert ist. Das Land siehst du im Microsoft 365 Admin Center. Microsoft nennt aber begrenzte Fälle, in denen Daten die Grenze trotzdem verlassen, und Mandanten mit Multi-Geo fallen ganz heraus. Microsoft Copilot prüfen wir in einem eigenen Eintrag.

Geprüft am 21. Oktober 2026

Vertragspartner:

DeepL SE, Köln (Deutschland)

Serverstandort:

EWR (Dokumentübersetzung laut Datenschutzerklärung)

Den Unterschied macht der Tarif. In der kostenlosen Version speichert DeepL Texte und Übersetzungen eine Zeit lang und nutzt sie zum Training. Laut Datenschutzerklärung dürfen dort keine personenbezogenen Daten hinein. Bei DeepL Pro werden Texte nach der Übersetzung gelöscht und nicht zur Verbesserung verwendet.

Geprüft am 21. Oktober 2026

Vertragspartner:

monday.com (AVV + EU-SCCs)

Serverstandort:

EU-Region Frankfurt (wählbar)

Kontobezogene Metadaten (Zugangsdaten, Nutzungs- und Automatisierungs-Metadaten) liegen auch bei EU-Konten standardmäßig weiter in den USA.

Geprüft am 23. Juli 2026

Vertragspartner:

Zapier (AVV + EU-SCCs, EU-US DPF)

Serverstandort:

EU-Datenresidenz in bezahlten Tarifen

Grundverarbeitung über US-Infrastruktur; nur Task- und Ausführungsdaten laufen in der EU-Region. Prüfe, welche Schritte personenbezogene Daten berühren.

Geprüft am 23. Juli 2026

Vertragspartner:

Notion (AVV + EU-SCCs)

Serverstandort:

EU-Residenz nur Enterprise (Frankfurt/Dublin)

Notion AI kann auch bei aktivierter EU-Residenz über Infrastruktur außerhalb der EU laufen. Wer personenbezogene Daten in KI-Datenbanken hat, prüft vorher den AVV.

Geprüft am 23. Juli 2026

Vertragspartner:

Intercom (AVV + EU-SCCs)

Serverstandort:

EU-Region nur für neue Workspaces in Advanced und Expert (mit Vertrag)

Abrechnungs- und Support-relevante Daten (Name, E-Mail, Zahlungsdaten) können laut Anbieter auch bei aktivierter EU-Region die Region verlassen.

Geprüft am 23. Juli 2026

Vertragspartner:

OpenAI Ireland Ltd. (EWR & Schweiz)

Serverstandort:

EU-Region (EWR + Schweiz) nur für neue Enterprise- und Edu-Workspaces und berechtigte API-Kunden

Free, Plus und Business bekommen keine EU-Datenresidenz. Sie ist neuen Enterprise- und Edu-Workspaces und berechtigten API-Kunden vorbehalten. Und auch dort liegen Workspace-Metadaten, Abrechnungsdaten und Logins laut OpenAI weiterhin außerhalb der gewählten Region.

Geprüft am 5. September 2026

Vertragspartner:

Google Cloud EMEA Ltd., Dublin (EMEA-Workspace-Kunden)

Serverstandort:

Datenregion Europa wählbar (Gemini-App und Workspace mit Gemini)

Die Datenregion Europa gibt es nur mit Google Workspace ab Business Standard, mit einem privaten Google-Konto in der kostenlosen Gemini-App nicht. Wie weit die Region über die Speicherung hinaus auch die Verarbeitung abdeckt, hängt laut Google zusätzlich von der Workspace-Edition ab.

Geprüft am 5. September 2026

Vertragspartner:

Asana, Inc. (USA, kein EU-Vertragspartner)

Serverstandort:

Standardmäßig verteilt über AWS-Regionen; EU-Rechenzentrum Frankfurt als kostenpflichtiges Enterprise-Add-on

Vertragspartner ist die US-Gesellschaft Asana, Inc.; ohne Zusatzoption laufen Daten regionsübergreifend über AWS. Ein EU-Rechenzentrum (Frankfurt) existiert, ist aber ein kostenpflichtiges Add-on ab Enterprise. Im Gratis-Tarif gibt es gar keinen AVV.

Geprüft am 13. September 2026

Vertragspartner:

Bending Spoons S.p.A., Mailand (EU); AVV nur für Enterprise-Kunden

Serverstandort:

Für Enterprise vertraglich EWR zugesichert; für Free/Personal/Professional öffentlich nicht dokumentiert

Evernote gehört inzwischen der italienischen Bending Spoons S.p.A., also einem EU-Vertragspartner. Der vertraglich zugesicherte Verbleib der Daten im EWR gilt aber nur für Enterprise-Kunden; für die verbreiteten Free-, Personal- und Professional-Tarife ist der Serverstandort öffentlich nicht dokumentiert.

Geprüft am 13. September 2026

Vertragspartner:

Zoom (USA), DPF-zertifiziert

Serverstandort:

Speicherung standardmäßig USA; EU-Rechenzentren für Meetings bei berechtigten Bezahlkonten

Bezahlkonten können wählen, über welche Rechenzentren Audio, Video und geteilte Inhalte laufen, und für einen Teil der Inhalte den Speicherort festlegen. Kundeninhalte liegen laut Zoom aber standardmäßig in den USA, Konto- und Diagnosedaten bleiben dort. Das kostenlose Konto hat diese Auswahl nicht.

Geprüft am 18. Oktober 2026

Vertragspartner:

Slack Technologies (Salesforce)

Serverstandort:

Datenresidenz ab Business+ wählbar, u. a. Frankfurt, Paris, Stockholm, Zürich

Die Datenresidenz deckt Nachrichten, Dateien und den Suchindex ab. Mitgliederprofile, Kanal-Mitgliedschaften sowie Nutzungs- und Analysedaten können laut Slack trotzdem außerhalb der Region liegen. In Free und Pro gibt es keine Datenresidenz.

Geprüft am 18. Oktober 2026

Vertragspartner:

Dropbox (USA)

Serverstandort:

Standardmäßig USA; EU-Speicherung für Teams auf Antrag

Die Speicherserver stehen laut Dropbox standardmäßig in den USA. Ein Team kann den Umzug in die EU per Support-Anfrage beantragen. Dropbox nennt dafür unter anderem einen Tarif ab Standard, mindestens 10 Lizenzen und jährliche Abrechnung und prüft jeden Antrag einzeln. Für Einzelkonten und kleine Teams bleibt es bei den USA.

Geprüft am 18. Oktober 2026

Vertragspartner:

Google (Gesellschaft laut cloud.google.com/terms/google-entity), Konzernsitz USA

Serverstandort:

Ohne Einstellung weltweit; Datenregion Europa ab Business Standard für ruhende Daten wählbar

Die Datenregion Europa gibt es erst ab Business Standard, Business Starter hat keine. Sie gilt für ruhende Daten. Dass auch die Verarbeitung in der Region bleibt, kann man laut Google nur in Enterprise Plus, Frontline Plus und Enterprise Essentials Plus einschalten. Direktnachrichten zwischen Nutzern in verschiedenen Regionen liegen in beiden.

Geprüft am 21. Oktober 2026

Vertragspartner:

Jasper (AVV + SCCs)

Serverstandort:

USA

Verarbeitung über US-Infrastruktur; EU-Datentransfer über Standardvertragsklauseln abgesichert, eine eigene EU-Hosting-Option ist nicht dokumentiert.

Geprüft am 23. Juli 2026

Vertragspartner:

Copy.ai (SCCs + EU-US DPF, EU-Vertreter)

Serverstandort:

USA, Brasilien, Costa Rica, Philippinen

Weltweit verteilte Verarbeitung laut eigener Datenschutzerklärung; keine EU-Hosting-Option.

Geprüft am 23. Juli 2026

Vertragspartner:

Writesonic (AVV als Auftragsverarbeiter)

Serverstandort:

Öffentlich nicht dokumentiert

Einen AVV gibt es, EU-Hosting und Standardvertragsklauseln sind aber öffentlich kaum dokumentiert. Bei personenbezogenen Daten vor Vertragsschluss direkt nachfragen.

Geprüft am 23. Juli 2026

Vertragspartner:

Anthropic Ireland, Ltd., Dublin (EWR, UK, Schweiz)

Serverstandort:

Speicherung in den USA; Traffic-Routing wahlweise USA, Europa, Asien, Australien

Der Vertragspartner sitzt in Dublin, gespeichert wird laut Anthropic trotzdem in den USA. Die Region fürs Traffic-Routing lässt sich nur auf der Developer Platform und im Enterprise-Tarif mit nutzungsbasierter Abrechnung wählen, und sie ändert nichts am Speicherort.

Geprüft am 5. September 2026

Vertragspartner:

Mailchimp (The Rocket Science Group LLC, Intuit), USA

Serverstandort:

USA

Hauptsitz und Server liegen laut Mailchimp in den USA, eine EU-Region bietet Mailchimp nicht an. Die Übermittlung stützt sich auf das EU-US Data Privacy Framework, mit Standardvertragsklauseln als Rückfallebene. Auch einige Unterauftragsverarbeiter sitzen außerhalb Europas.

Geprüft am 18. Oktober 2026

Vertragspartner:

Calendly (USA)

Serverstandort:

USA und weitere Länder außerhalb der EU (laut AVV)

Laut AVV werden die Daten in den USA und weiteren Ländern außerhalb des Wohnsitzes der Betroffenen verarbeitet, eine EU-Region nennt Calendly nicht. Die Übermittlung sichert der AVV über die EU-Standardvertragsklauseln ab. Bindest du das Buchungs-Widget auf deiner Website ein, gehört Calendly zusätzlich in deine Datenschutzerklärung.

Geprüft am 18. Oktober 2026

Vertragspartner:

WhatsApp Ireland Limited, Dublin (für Unternehmen im EWR)

Serverstandort:

Nicht wählbar; laut WhatsApp-Datenschutzrichtlinie Übermittlungen außerhalb des EWR, u. a. in die USA

Auftragsverarbeiter ist WhatsApp nur für die Kontaktdaten deiner Kundschaft. Konto-, Nutzungs- und Diagnosedaten verwendet WhatsApp für eigene Zwecke und darf sie laut Bedingungen mit anderen Meta-Unternehmen teilen. Bevor du Kontakte mit WhatsApp teilst, brauchst du dafür selbst die nötigen Rechte oder Einwilligungen, etwa ein Opt-in.

Geprüft am 21. Oktober 2026