Prüfstand · Software Stand:

DSGVO-Prüfstand: Welche Software dürfen KMU einsetzen?

Wir prüfen verbreitete Software an zehn festen Kriterien. Jede Aussage mit Quelle, wörtlichem Zitat und Abrufdatum. Kein Bauchgefühl, keine Punktzahl.

Tools geprüft
7 Tools geprüft
Kriterien je Tool
10 Kriterien je Tool
Belege mit Zitat
172 Belege mit Zitat
Prüfrhythmus
90 Tage Prüfrhythmus

In 30 Sekunden

  • Die meisten Tools sind nicht pauschal erlaubt oder verboten. Entscheidend sind Tarif, Vertrag und Einstellungen.
  • Kostenlose Tarife sind für personenbezogene Daten fast immer die falsche Wahl: kein Vertrag zur Auftragsverarbeitung, oft Training mit Ihren Eingaben.
  • Jedes Tool bekommt ein Kurzurteil in Worten, zehn belegte Ampeln und eine To-do-Liste, die Sie direkt abarbeiten können.
  • Wir prüfen spätestens alle 90 Tage nach, bei Änderungen in der Subunternehmer-Liste sofort.

Der aktuelle Stand

Einsetzbar
0
Mit Auflagen
7
Nicht empfohlen
0

Zuletzt geprüft am 19. Oktober 2026.

Geprüfte Tools

Klicken Sie auf ein Tool für alle Belege und die To-do-Liste.

Alle Tools im Vergleich

Zehn Kriterien, bewertet für den jeweils geeigneten Tarif. Symbol und Text tragen die Aussage, die Farbe ist nur Zugabe.

Canva Mit Auflagen
  • Vertragspartner Mit Einschränkung
  • Auftragsverarbeitung (AVV) Erfüllt
  • Unterauftragsverarbeiter Erfüllt
  • Datenstandort Nicht erfüllt
  • Drittlandübermittlung Mit Einschränkung
  • KI-Training mit Ihren Daten Erfüllt
  • Zertifikate Erfüllt
  • Verwaltung & Kontrolle Mit Einschränkung
  • Löschung Mit Einschränkung
  • Betroffenenrechte Erfüllt
Zum Steckbrief von Canva
ChatGPT Mit Auflagen
  • Vertragspartner Erfüllt
  • Auftragsverarbeitung (AVV) Erfüllt
  • Unterauftragsverarbeiter Erfüllt
  • Datenstandort Mit Einschränkung
  • Drittlandübermittlung Mit Einschränkung
  • KI-Training mit Ihren Daten Erfüllt
  • Zertifikate Erfüllt
  • Verwaltung & Kontrolle Mit Einschränkung
  • Löschung Erfüllt
  • Betroffenenrechte Erfüllt
Zum Steckbrief von ChatGPT
Claude Mit Auflagen
  • Vertragspartner Erfüllt
  • Auftragsverarbeitung (AVV) Erfüllt
  • Unterauftragsverarbeiter Erfüllt
  • Datenstandort Nicht erfüllt
  • Drittlandübermittlung Mit Einschränkung
  • KI-Training mit Ihren Daten Erfüllt
  • Zertifikate Erfüllt
  • Verwaltung & Kontrolle Mit Einschränkung
  • Löschung Erfüllt
  • Betroffenenrechte Erfüllt
Zum Steckbrief von Claude
DeepL Mit Auflagen
  • Vertragspartner Erfüllt
  • Auftragsverarbeitung (AVV) Erfüllt
  • Unterauftragsverarbeiter Mit Einschränkung
  • Datenstandort Mit Einschränkung
  • Drittlandübermittlung Mit Einschränkung
  • KI-Training mit Ihren Daten Erfüllt
  • Zertifikate Erfüllt
  • Verwaltung & Kontrolle Erfüllt
  • Löschung Erfüllt
  • Betroffenenrechte Erfüllt
Zum Steckbrief von DeepL
Dropbox Mit Auflagen
  • Vertragspartner Erfüllt
  • Auftragsverarbeitung (AVV) Erfüllt
  • Unterauftragsverarbeiter Erfüllt
  • Datenstandort Mit Einschränkung
  • Drittlandübermittlung Erfüllt
  • KI-Training mit Ihren Daten Nicht ausgewiesen
  • Zertifikate Erfüllt
  • Verwaltung & Kontrolle Mit Einschränkung
  • Löschung Mit Einschränkung
  • Betroffenenrechte Erfüllt
Zum Steckbrief von Dropbox
Miro Mit Auflagen
  • Vertragspartner Mit Einschränkung
  • Auftragsverarbeitung (AVV) Erfüllt
  • Unterauftragsverarbeiter Erfüllt
  • Datenstandort Erfüllt
  • Drittlandübermittlung Erfüllt
  • KI-Training mit Ihren Daten Mit Einschränkung
  • Zertifikate Erfüllt
  • Verwaltung & Kontrolle Mit Einschränkung
  • Löschung Mit Einschränkung
  • Betroffenenrechte Erfüllt
Zum Steckbrief von Miro
Notion Mit Auflagen
  • Vertragspartner Mit Einschränkung
  • Auftragsverarbeitung (AVV) Erfüllt
  • Unterauftragsverarbeiter Erfüllt
  • Datenstandort Mit Einschränkung
  • Drittlandübermittlung Erfüllt
  • KI-Training mit Ihren Daten Erfüllt
  • Zertifikate Erfüllt
  • Verwaltung & Kontrolle Erfüllt
  • Löschung Erfüllt
  • Betroffenenrechte Erfüllt
Zum Steckbrief von Notion
Erfüllt
Mit Einschränkung
Nicht erfüllt
Nicht ausgewiesen

So prüfen wir

Dieselben zehn Fragen für jedes Tool. Bewertet wird der Tarif, den wir für Unternehmen empfehlen; Abweichungen anderer Tarife stehen beim Kriterium.

  1. Vertragspartner Kernkriterium

    Mit wem schließen Sie den Vertrag, und sitzt er in der EU?

    Grün: Vertragspartner mit Sitz in der EU oder im EWR. Gelb: Sitz außerhalb, Vertrag mit Standardvertragsklauseln. Rot: kein eindeutiger Vertragspartner.

  2. Auftragsverarbeitung (AVV) Kernkriterium

    Gibt es einen Vertrag nach Art. 28 DSGVO, und wie kommt er zustande?

    Grün: AVV nach Art. 28 DSGVO gilt für den Tarif automatisch oder per Klick. Gelb: nur auf Anfrage oder mit Einschränkungen. Rot: kein AVV.

  3. Unterauftragsverarbeiter

    Ist die Liste öffentlich, und werden Änderungen angekündigt?

    Grün: öffentliche Liste und Ankündigung von Änderungen mit Widerspruchsrecht. Gelb: Liste nur im Vertrag oder ohne Ankündigung. Rot: keine Liste.

  4. Datenstandort

    Wo liegen die Inhalte, und lässt sich Europa wählen?

    Grün: Inhalte in der EU, als Standard oder im Tarif wählbar. Gelb: EU nur auf Antrag, gegen Aufpreis oder nur teilweise. Rot: keine EU-Option.

  5. Drittlandübermittlung Kernkriterium

    Worauf stützt sich die Übermittlung in die USA (DPF, Standardvertragsklauseln)?

    Grün: keine Übermittlung nötig oder Empfänger aktiv im EU-US Data Privacy Framework und Standardvertragsklauseln im Vertrag. Gelb: nur Standardvertragsklauseln. Rot: keine Grundlage.

  6. KI-Training mit Ihren Daten Kernkriterium

    Werden Ihre Inhalte zum Training von KI-Modellen genutzt?

    Grün: kein Training mit Ihren Inhalten, ohne dass Sie etwas tun müssen. Gelb: nur per Abschalten (Opt-out). Rot: Training ohne Abschaltmöglichkeit.

  7. Zertifikate

    ISO 27001, SOC 2, BSI C5: Was ist nachgewiesen?

    Grün: ISO 27001 oder SOC 2 Typ II nachgewiesen. Gelb: nur Selbstauskunft. Rot: kein Nachweis.

  8. Verwaltung & Kontrolle

    SSO, Rollen und Audit-Log: Können Sie den Einsatz steuern?

    Grün: SSO, Rollen und Protokoll im geprüften Tarif. Gelb: nur teilweise oder erst im höheren Tarif. Rot: keine zentrale Verwaltung.

  9. Löschung

    Werden Daten nach Vertragsende und auf Anforderung gelöscht, und in welcher Frist?

    Grün: Löschfristen nach Vertragsende und auf Anforderung verbindlich genannt. Gelb: Frist offen. Rot: keine Löschzusage.

  10. Betroffenenrechte

    Unterstützt der Anbieter Auskunft, Berichtigung und Löschung nach Art. 15 bis 17 DSGVO?

    Grün: Unterstützung vertraglich zugesagt und Export oder Löschung möglich. Gelb: nur allgemeiner Kontaktweg. Rot: keine Unterstützung.

Was die Ampeln bedeuten

Erfüllt: Der Anbieter sagt es verbindlich und öffentlich, wir haben die Stelle zitiert.
Mit Einschränkung: nur auf Anfrage, nur in einem teureren Tarif, nur per Opt-out oder ohne feste Frist.
Nicht erfüllt: Die Voraussetzung fehlt oder der Anbieter schließt sie aus.
Nicht ausgewiesen: Der Anbieter macht dazu keine öffentliche Angabe. Wir raten nicht.

Wie das Kurzurteil entsteht

Keine Punktzahl, sondern eine feste Regel, die auch unsere Qualitätsprüfung bei jeder Aktualisierung nachrechnet:

  1. Nicht empfohlen , wenn ein Kernkriterium rot ist oder drei und mehr Kriterien rot sind.
  2. Einsetzbar , wenn kein Kriterium rot ist, alle vier Kernkriterien grün sind und höchstens zwei gelb oder nicht ausgewiesen.
  3. Mit Auflagen in allen anderen Fällen.

Quellenpflicht

Jede Aussage hat eine Primärquelle mit wörtlichem Zitat und Abrufdatum. Keine Agentur-Blogs, keine Wettbewerber.

Alle 90 Tage

Spätestens dann prüfen wir jedes Tool neu. Jede Änderung steht mit Datum in der Historie.

Verknüpft mit dem Monitor

Ändert ein Anbieter seine Unterauftragsverarbeiter, meldet das unser Subprozessor-Monitor und löst eine Nachprüfung aus.

Der Prüfstand ist eine fachliche Einschätzung der frag.hugo Informationssicherheit GmbH auf Basis öffentlicher Herstellerangaben. Er ersetzt keine Rechtsberatung und keine Prüfung Ihres konkreten Einsatzes.

Ausführlich geprüft

Zu diesen Tools gibt es bei uns eine ausführliche Anleitung mit Einstellungen Schritt für Schritt.

Als Nächstes geprüft

Jeden Monat nehmen wir zwei Tools neu auf, sortiert danach, wie oft Unternehmen nach ihnen und der DSGVO suchen. Nächster Prüftermin: 15. November 2026.

  1. Calendly Terminbuchung nächster Termin
  2. Mailchimp Newsletter & Marketing nächster Termin
  3. n8n Cloud Automatisierung
  4. Trello Projektmanagement
  5. HubSpot CRM & Vertrieb
  6. WeTransfer Dateiübertragung
  7. ClickUp Projektmanagement
  8. Airtable Datenbank & No-Code

Ein Tool fehlt? Schreiben Sie an info@fraghugo.de.

Eine laufend gepflegte Übersicht, ob verbreitete Software-Tools wie ChatGPT, Notion oder DeepL in Unternehmen datenschutzkonform eingesetzt werden können. Jedes Tool wird an denselben zehn Kriterien geprüft, jede Aussage ist mit Quelle, wörtlichem Zitat und Abrufdatum belegt.

Spätestens alle 90 Tage. Früher, wenn unser Subprozessor-Monitor eine Änderung in der Liste der Unterauftragsverarbeiter eines Anbieters meldet. Jede Änderung am Urteil steht mit Datum in der Änderungshistorie des Tools.

Eine Note suggeriert eine Genauigkeit, die es nicht gibt: Ob ein Tool passt, hängt vom Tarif und von Ihren Einstellungen ab. Deshalb gibt es ein Kurzurteil in drei Stufen, das nach einer festen, offengelegten Regel aus den zehn Ampeln folgt.

Nein. Das Urteil sagt, dass der Anbieter die Voraussetzungen schafft. Datenschutzkonform wird der Einsatz erst, wenn Sie den Vertrag zur Auftragsverarbeitung abschließen, die Einstellungen setzen und das Tool in Ihr Verzeichnis der Verarbeitungstätigkeiten aufnehmen. Die To-do-Liste je Tool nennt die Schritte. Der Prüfstand ist eine Einschätzung, keine Rechtsberatung.

Nur Primärquellen: Vertragsdokumente und Datenschutzseiten der Hersteller, deren Listen der Unterauftragsverarbeiter, Trust- und Security-Center, die offizielle Liste des EU-US Data Privacy Framework und Gesetzestexte. Keine Blogartikel Dritter.

Ja. Schreiben Sie uns an info@fraghugo.de. Die Reihenfolge der Warteschlange richtet sich danach, wie oft Unternehmen nach dem Tool und der DSGVO suchen.

Weitere kostenlose Werkzeuge

Alle ohne Anmeldung, alle ohne Kosten.

Alle Werkzeuge

Werkzeuge zeigen Lücken. Schließen muss sie jemand.

Wir übernehmen Datenschutz und Informationssicherheit als externer Dienstleister — TÜV-zertifiziert, mit festem Ansprechpartner, ab 79 € im Monat.

Angebot in 60 Sekunden 15 Minuten sprechen