Prüfstand · Design & Grafik Stand:

Canva DSGVO-konform nutzen? Prüfstand mit Quellen (Stand Okt. 2026)

Zehn Kriterien, jede Aussage mit Quelle und wörtlichem Zitat. Geprüft am 19. Oktober 2026, nächste Prüfung spätestens am 17. Januar 2027.

von 10 Kriterien erfüllt
5 von 10 Kriterien erfüllt
mit Einschränkung
4 mit Einschränkung
nicht erfüllt oder nicht ausgewiesen
1 nicht erfüllt oder nicht ausgewiesen
Belege mit Zitat
24 Belege mit Zitat

Unser Kurzurteil

Kurzurteil für Canva: Mit Auflagen

Canva Business oder Enterprise lässt sich mit Auflagen einsetzen: Ein AVV mit EU-Standardvertragsklauseln ist automatisch Vertragsbestandteil, und Inhalte von Business-Konten fließen nicht ins KI-Training. Der Haken: Vertragspartner ist eine australische Gesellschaft, die Daten liegen in den USA, und für Australien gibt es keinen Angemessenheitsbeschluss. Das müssen Sie im Verarbeitungsverzeichnis und in einer Transfer-Folgenabschätzung festhalten. Canva Free und Pro sind für Firmendaten ungeeignet, weil es dort keinen AVV gibt.

Geeigneter Tarif
Geeignet
Geeignet Canva Business oder Canva Enterprise (AVV nur dort; SSO und SCIM nur in Enterprise)
Ungeeignet
Ungeeignet
Ungeeignet Canva Free und Canva Pro für Firmendaten: kein AVV, Canva ist dort selbst Verantwortlicher und darf Inhalte je nach Privatsphäre-Einstellung für KI-Training nutzen.

In 30 Sekunden

  • Mit Auflagen: Einsetzbar, aber nur im richtigen Tarif und mit Einstellungen, die Sie selbst vornehmen müssen.
  • Nehmen Sie Canva Business oder Canva Enterprise (AVV nur dort; SSO und SCIM nur in Enterprise).
  • Offen bei den Kernkriterien: Vertragspartner (mit Einschränkung), Drittlandübermittlung (mit Einschränkung).
  • Erster Schritt: Wechseln Sie für Firmendaten auf Canva Business oder Enterprise. Free- und Pro-Konten von Mitarbeitenden sollten Sie in ein Team-Konto überführen oder untersagen.
  • 5 erfüllt
  • 4 mit Einschränkung
  • 1 nicht erfüllt

Die zehn Kriterien mit Belegen

Aufklappen zeigt Quelle, wörtliches Zitat und Abrufdatum. Bewertet ist der geeignete Tarif.

  1. Mit Einschränkung 01 Vertragspartner Kern · Mit Einschränkung Für Nutzer aus Europa ist die Canva Pty Ltd in Sydney Verantwortliche bzw. Vertragspartnerin, also ein Unternehmen außerhalb der EU. Als EU-Vertreter nach Art. 27 DSGVO ist das European Data Protection Office (EDPO) in Dublin benannt.

    Prüffrage: Mit wem schließen Sie den Vertrag, und sitzt er in der EU?

    Maßstab: Grün: Vertragspartner mit Sitz in der EU oder im EWR. Gelb: Sitz außerhalb, Vertrag mit Standardvertragsklauseln. Rot: kein eindeutiger Vertragspartner.

    • Canva Pty Ltd, Australien

      For the purposes of the GDPR and UK GDPR, Canva Pty Ltd is the controller of your personal data. Canva Pty Ltd's registered address is at 110 Kippax St, Surry Hills, NSW, Australia 2010

      Quelle: canva.com (öffnet neues Fenster) abgerufen am

    • EU-Vertreter: EDPO, Dublin

      Our local representative in the EEA is European Data Protection Office (EDPO) with registered address at Ground Floor, 71 Lower Baggot Street, Dublin, D02 P593, Ireland.

      Quelle: canva.com (öffnet neues Fenster) abgerufen am

  2. Erfüllt 02 Auftragsverarbeitung (AVV) Kern · Erfüllt Für Canva Business und Enterprise gilt ein Data Processing Addendum, das automatisch Vertragsbestandteil wird; Canva handelt darin als Auftragsverarbeiter. Für Free- und Pro-Konten bietet Canva keinen AVV an.

    Prüffrage: Gibt es einen Vertrag nach Art. 28 DSGVO, und wie kommt er zustande?

    Maßstab: Grün: AVV nach Art. 28 DSGVO gilt für den Tarif automatisch oder per Klick. Gelb: nur auf Anfrage oder mit Einschränkungen. Rot: kein AVV.

    Andere Tarife: Nur Canva Business und Canva Enterprise. Free und Pro: kein AVV.

    • AVV nur für Business und Enterprise

      (for Canva Business and Canva Enterprise only)

      Quelle: canva.com (öffnet neues Fenster) abgerufen am

    • Canva als Auftragsverarbeiter für Team-Daten

      For our customers in Europe and the United Kingdom, we act on your behalf as your Data Processor in relation to any personal data within your Team.

      Quelle: canva.com (öffnet neues Fenster) abgerufen am

    • Verarbeitung ausschließlich als Auftragsverarbeiter, Stand 30.10.2025

      Canva shall process the Customer Personal Data solely as a Processor or Service Provider (as applicable) on behalf of Customer.

      Quelle: canva.com (öffnet neues Fenster) abgerufen am

  3. Erfüllt 03 Unterauftragsverarbeiter · Erfüllt Canva veröffentlicht die Liste (Stand 17.04.2026) und kündigt neue Unterauftragsverarbeiter 30 Tage vorher an. Ein Widerspruch ist möglich, die Frist beträgt aber nur 10 Tage. Für die KI-Funktionen arbeiten mehrere US-Anbieter mit, darunter OpenAI und Anthropic.

    Prüffrage: Ist die Liste öffentlich, und werden Änderungen angekündigt?

    Maßstab: Grün: öffentliche Liste und Ankündigung von Änderungen mit Widerspruchsrecht. Gelb: Liste nur im Vertrag oder ohne Ankündigung. Rot: keine Liste.

  4. Nicht erfüllt 04 Datenstandort · Nicht erfüllt Canva speichert die Daten in den USA; einen Speicherort in der EU bietet Canva in keinem Tarif an. Verarbeitet werden die Daten zusätzlich von Konzerngesellschaften in Australien, Neuseeland, auf den Philippinen, in Großbritannien, Singapur, Europa und den USA.

    Prüffrage: Wo liegen die Inhalte, und lässt sich Europa wählen?

    Maßstab: Grün: Inhalte in der EU, als Standard oder im Tarif wählbar. Gelb: EU nur auf Antrag, gegen Aufpreis oder nur teilweise. Rot: keine EU-Option.

    • Speicherort USA

      Canva stores your data in the United States.

      Quelle: canva.com (öffnet neues Fenster) abgerufen am

    • Verarbeitung durch Konzerngesellschaften weltweit

      Data is processed by Canva group members in Australia, New Zealand, the Philippines, the United Kingdom, Singapore, Europe and the United States pursuant to our intra-group Data Transfer Agreement.

      Quelle: canva.com (öffnet neues Fenster) abgerufen am

  5. Mit Einschränkung 05 Drittlandübermittlung Kern · Mit Einschränkung Der AVV bindet die EU-Standardvertragsklauseln (Modul 2) ein, und die US-Tochter Canva US, Inc. ist seit 24.05.2023 aktiv nach dem EU-U.S. Data Privacy Framework zertifiziert. Der Vertragspartner selbst sitzt aber in Australien, für das kein Angemessenheitsbeschluss der EU besteht; das DPF deckt nur die US-Gesellschaft ab.

    Prüffrage: Worauf stützt sich die Übermittlung in die USA (DPF, Standardvertragsklauseln)?

    Maßstab: Grün: keine Übermittlung nötig oder Empfänger aktiv im EU-US Data Privacy Framework und Standardvertragsklauseln im Vertrag. Gelb: nur Standardvertragsklauseln. Rot: keine Grundlage.

    • Standardvertragsklauseln Modul 2 im AVV

      the module two (controller to processor) terms shall apply and the module one, three and four terms shall be deleted in their entirety

      Quelle: canva.com (öffnet neues Fenster) abgerufen am

    • DPF-Zertifizierung Canva US, Inc.: aktiv seit 24.05.2023, nächste Rezertifizierung 30.03.2027

      EU-U.S. Data Privacy Framework : Active Original Certification Date 05/24/2023 Next Certification Due Date 03/30/2027

      Quelle: dataprivacyframework.gov (öffnet neues Fenster) abgerufen am

    • Vertragspartner in Australien

      By signing up, you understand and agree that Canva Pty Ltd (an entity in Australia) will receive and process your personal data.

      Quelle: canva.com (öffnet neues Fenster) abgerufen am

  6. Erfüllt 06 KI-Training mit Ihren Daten Kern · Erfüllt Inhalte aus Business- und Enterprise-Konten nutzt Canva nicht zur Verbesserung seiner KI-Funktionen, und die Einstellung lässt sich dort derzeit gar nicht einschalten. Bei Free- und Pro-Konten behält sich Canva das Training vor; es richtet sich nach den Privatsphäre-Einstellungen des Nutzers.

    Prüffrage: Werden Ihre Inhalte zum Training von KI-Modellen genutzt?

    Maßstab: Grün: kein Training mit Ihren Inhalten, ohne dass Sie etwas tun müssen. Gelb: nur per Abschalten (Opt-out). Rot: Training ohne Abschaltmöglichkeit.

    Andere Tarife: Grün gilt für Business und Enterprise. Free und Pro: Training je nach Privatsphäre-Einstellung möglich.

    • Business/Enterprise: kein KI-Training

      This means that we don't use your business, team or enterprise content to improve AI-powered features, and we don't allow third parties to do so either.

      Quelle: canva.com (öffnet neues Fenster) abgerufen am

    • Schalter in Business/Enterprise deaktiviert

      For users who have a Canva Business or Enterprise account, you'll see that this control in the Privacy Settings page is disabled.

      Quelle: canva.com (öffnet neues Fenster) abgerufen am

    • Free/Pro: Training vorbehalten

      to train our algorithms, models and AI products and services using machine learning to develop, improve and provide our Service

      Quelle: canva.com (öffnet neues Fenster) abgerufen am

  7. Erfüllt 07 Zertifikate · Erfüllt Canva ist nach ISO 27001 zertifiziert und hat einen SOC-2-Type-II-Bericht. Eine ISO-27018-Zertifizierung oder ein BSI-C5-Testat weist Canva nicht aus.

    Prüffrage: ISO 27001, SOC 2, BSI C5: Was ist nachgewiesen?

    Maßstab: Grün: ISO 27001 oder SOC 2 Typ II nachgewiesen. Gelb: nur Selbstauskunft. Rot: kein Nachweis.

  8. Mit Einschränkung 08 Verwaltung & Kontrolle · Mit Einschränkung Single Sign-on per SAML und Nutzerverwaltung per SCIM gibt es nur in Canva Enterprise. In Canva Business fehlt damit die zentrale Anmeldung über Ihren Identitätsanbieter.

    Prüffrage: SSO, Rollen und Audit-Log: Können Sie den Einsatz steuern?

    Maßstab: Grün: SSO, Rollen und Protokoll im geprüften Tarif. Gelb: nur teilweise oder erst im höheren Tarif. Rot: keine zentrale Verwaltung.

    Andere Tarife: SSO und SCIM nur Enterprise.

    • SSO/SCIM exklusiv in Enterprise

      exclusive to canva enterprise Keep your team secure Manage and monitor how Canva is accessed in your business. Control who can access Canva through SCIM and how it's accessed via SSO.

      Quelle: canva.com (öffnet neues Fenster) abgerufen am

    • SSO per SAML

      Canva supports Single Sign On (SSO) integration with a customer identity provider using Security Assertion Markup Language (SAML).

      Quelle: canva.com (öffnet neues Fenster) abgerufen am

  9. Mit Einschränkung 09 Löschung · Mit Einschränkung Nach Vertragsende muss Canva die Kundendaten vernichten, nennt dafür aber keine Frist und behält sich Ausnahmen vor. Ein gelöschtes Konto wird nach 14 Tagen endgültig entfernt.

    Prüffrage: Werden Daten nach Vertragsende und auf Anforderung gelöscht, und in welcher Frist?

    Maßstab: Grün: Löschfristen nach Vertragsende und auf Anforderung verbindlich genannt. Gelb: Frist offen. Rot: keine Löschzusage.

    • Löschung nach Vertragsende, ohne Frist

      Upon termination or expiry of the Agreement, Canva shall destroy all Customer Personal Data in its possession or control, except to the extent necessary to retain Customer Personal Data for the Permitted Purpose or required by applicable law.

      Quelle: canva.com (öffnet neues Fenster) abgerufen am

    • Kontolöschung nach 14 Tagen

      your account will be deleted in 14 days

      Quelle: canva.com (öffnet neues Fenster) abgerufen am

  10. Erfüllt 10 Betroffenenrechte · Erfüllt Canva verpflichtet sich im AVV, Sie bei Auskunft, Berichtigung, Löschung und Datenübertragbarkeit zu unterstützen und direkt eingehende Anfragen an Sie weiterzuleiten.

    Prüffrage: Unterstützt der Anbieter Auskunft, Berichtigung und Löschung nach Art. 15 bis 17 DSGVO?

    Maßstab: Grün: Unterstützung vertraglich zugesagt und Export oder Löschung möglich. Gelb: nur allgemeiner Kontaktweg. Rot: keine Unterstützung.

    • Unterstützung bei Betroffenenanfragen

      Canva shall provide all reasonable and timely assistance to Customer to enable Customer to respond to: (i) any request from a Data Subject to exercise any of its rights under Applicable Privacy Laws (including its rights of access, correction, objection, erasure and data portability, as applicable)

      Quelle: canva.com (öffnet neues Fenster) abgerufen am

So setzen Sie Canva sauber ein

Die Schritte in dieser Reihenfolge abarbeiten. Was erledigt ist, können Sie abhaken; das bleibt nur in Ihrem Browser.

Aus dem Subprozessor-Monitor

Unterauftragsverarbeiter von Canva

Canva Pty Ltd (Australien) veröffentlicht seine Liste nicht so, dass unser Monitor sie täglich automatisch lesen kann (Anmeldung, Bot-Sperre oder nur im Vertragsanhang). Wir prüfen sie deshalb bei jeder Nachprüfung von Hand.

Erfüllt

Stand 19. Oktober 2026: Canva veröffentlicht die Liste (Stand 17.04.2026) und kündigt neue Unterauftragsverarbeiter 30 Tage vorher an. Ein Widerspruch ist möglich, die Frist beträgt aber nur 10 Tage. Für die KI-Funktionen arbeiten mehrere US-Anbieter mit, darunter OpenAI und Anthropic.

17 Anbieter im Monitor ansehen

Änderungshistorie

Nächste Prüfung spätestens am 17. Januar 2027.

  1. Erstprüfung

Weiterlesen

Hugo DSB

Jedes Tool im Verzeichnis, jeder AVV an seinem Platz

Mit Hugo DSB dokumentieren Sie Canva und alle anderen Dienstleister im Verzeichnis der Verarbeitungstätigkeiten, mit externem Datenschutzbeauftragten an Ihrer Seite.

Hugo DSB ansehen

Einschätzung der frag.hugo Informationssicherheit GmbH auf Basis öffentlicher Angaben von Canva Pty Ltd (Australien), Stand 19. Oktober 2026. Keine Rechtsberatung. Herstellerangaben können sich ändern; maßgeblich sind die verlinkten Originaldokumente. Wie wir prüfen: Methode.

Mit Einschränkungen. In Canva Business und Enterprise gibt es einen AVV mit EU-Standardvertragsklauseln, und Inhalte werden nicht für KI-Training genutzt. Vertragspartner ist aber die Canva Pty Ltd in Australien, die Daten liegen in den USA. Diesen Drittlandtransfer müssen Sie dokumentieren. Canva Free und Pro eignen sich für Firmendaten nicht, weil es dort keinen AVV gibt.

Ja, aber nur für Canva Business und Canva Enterprise. Das Data Processing Addendum wird dort automatisch Teil des Vertrags; Sie müssen nichts unterschreiben. Für Free- und Pro-Konten bietet Canva keinen AVV an.

Nach eigener Angabe in den USA. Eine Speicherung ausschließlich in der EU können Sie bei Canva nicht wählen. Zusätzlich greifen Konzerngesellschaften in Australien, Neuseeland, auf den Philippinen, in Großbritannien, Singapur und Europa auf Daten zu.

Bei Canva Business und Enterprise nein: Canva nutzt diese Inhalte nicht zur Verbesserung der KI-Funktionen und erlaubt es auch Dritten nicht. Bei Free- und Pro-Konten behält sich Canva das Training vor; es richtet sich nach den Privatsphäre-Einstellungen des jeweiligen Kontos.

Die US-Tochter Canva US, Inc. ist seit dem 24.05.2023 aktiv zertifiziert, die nächste Rezertifizierung ist zum 30.03.2027 fällig. Das hilft beim Transfer in die USA, ersetzt aber nicht die Absicherung gegenüber der australischen Canva Pty Ltd. Dafür nutzt Canva die EU-Standardvertragsklauseln im AVV.

Für Gestaltung ohne personenbezogene Daten ist das Risiko gering. Sobald Fotos von Mitarbeitenden, Kundennamen oder andere personenbezogene Daten in Designs landen, brauchen Sie einen AVV, und den gibt es nur in Business und Enterprise. Regeln Sie das in Ihrer IT- oder KI-Richtlinie.

Weitere kostenlose Werkzeuge

Alle ohne Anmeldung, alle ohne Kosten.

Alle Werkzeuge

Werkzeuge zeigen Lücken. Schließen muss sie jemand.

Wir übernehmen Datenschutz und Informationssicherheit als externer Dienstleister — TÜV-zertifiziert, mit festem Ansprechpartner, ab 79 € im Monat.

Angebot in 60 Sekunden 15 Minuten sprechen