Prüfstand · Cloud-Speicher & Dateiaustausch Stand:

Dropbox DSGVO-konform nutzen? Prüfstand mit Quellen (Stand Okt. 2026)

Zehn Kriterien, jede Aussage mit Quelle und wörtlichem Zitat. Geprüft am 19. Oktober 2026, nächste Prüfung spätestens am 17. Januar 2027.

von 10 Kriterien erfüllt
6 von 10 Kriterien erfüllt
mit Einschränkung
3 mit Einschränkung
nicht erfüllt oder nicht ausgewiesen
1 nicht erfüllt oder nicht ausgewiesen
Belege mit Zitat
26 Belege mit Zitat

Unser Kurzurteil

Kurzurteil für Dropbox: Mit Auflagen

Dropbox ist in den Team-Tarifen mit Auflagen einsetzbar: Vertragspartner ist eine irische Gesellschaft, der AVV gilt automatisch, Dropbox, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert, und die Zertifikatslage ist sehr gut (ISO 27001, 27017, 27018, 27701, SOC 2, EU Cloud Code of Conduct). Auflagen: Ohne Antrag liegen die Dateien in den USA; den EU-Speicherort gibt es erst ab 10 Lizenzen mit Jahresabrechnung. Und ob Dropbox Modelle für Suche und Zusammenfassungen auch mit Dokumenten von Team-Kunden trainiert, weist Dropbox nicht eindeutig aus. Basic, Plus und andere Einzeltarife eignen sich nicht, weil Dropbox dort selbst Verantwortlicher ist.

Geeigneter Tarif
Geeignet
Geeignet Dropbox Standard/Business, Advanced/Business Plus oder Enterprise; für EU-Speicherort mindestens 10 Lizenzen mit Jahresabrechnung
Ungeeignet
Ungeeignet
Ungeeignet Dropbox Basic, Plus und andere Einzeltarife: Dropbox ist dort Verantwortlicher, nicht Auftragsverarbeiter, und es gibt keinen AVV.

In 30 Sekunden

  • Mit Auflagen: Einsetzbar, aber nur im richtigen Tarif und mit Einstellungen, die Sie selbst vornehmen müssen.
  • Nehmen Sie Dropbox Standard/Business, Advanced/Business Plus oder Enterprise; für EU-Speicherort mindestens 10 Lizenzen mit Jahresabrechnung.
  • Offen bei den Kernkriterien: KI-Training mit Ihren Daten (nicht ausgewiesen).
  • Erster Schritt: Nutzen Sie für Firmendaten nur einen Team-Tarif. Private Basic- oder Plus-Konten für Firmendateien untersagen Sie in Ihrer IT-Richtlinie.
  • 6 erfüllt
  • 3 mit Einschränkung
  • 1 nicht ausgewiesen

Die zehn Kriterien mit Belegen

Aufklappen zeigt Quelle, wörtliches Zitat und Abrufdatum. Bewertet ist der geeignete Tarif.

  1. Erfüllt 01 Vertragspartner Kern · Erfüllt Für Kunden außerhalb Nordamerikas ist die Dropbox International Unlimited Company in Irland Vertragspartnerin. Sie ist bei Team-Kunden Auftragsverarbeiterin.

    Prüffrage: Mit wem schließen Sie den Vertrag, und sitzt er in der EU?

    Maßstab: Grün: Vertragspartner mit Sitz in der EU oder im EWR. Gelb: Sitz außerhalb, Vertrag mit Standardvertragsklauseln. Rot: kein eindeutiger Vertragspartner.

    • Dropbox International Unlimited Company

      Dropbox International Unlimited Company: Customers based outside Canada, Mexico, or the United States, or their territories and possessions.

      Quelle: dropbox.com (öffnet neues Fenster) abgerufen am

    • Auftragsverarbeiter bei Team-Kunden

      Outside of North America, if you are a Dropbox Team customer or use the Dropbox Sign or DocSend team portions of the Services, Dropbox acts as a processor of your data.

      Quelle: dropbox.com (öffnet neues Fenster) abgerufen am

  2. Erfüllt 02 Auftragsverarbeitung (AVV) Kern · Erfüllt Der Data Processing Agreement (Stand 23.08.2024) ist fester Bestandteil des Dropbox Services Agreement für Team-Tarife; ein separates Unterschreiben ist nicht nötig. In Einzeltarifen (Basic, Plus) ist Dropbox Verantwortlicher, einen AVV gibt es dort nicht.

    Prüffrage: Gibt es einen Vertrag nach Art. 28 DSGVO, und wie kommt er zustande?

    Maßstab: Grün: AVV nach Art. 28 DSGVO gilt für den Tarif automatisch oder per Klick. Gelb: nur auf Anfrage oder mit Einschränkungen. Rot: kein AVV.

    Andere Tarife: Nur Team-Tarife (Standard/Business, Advanced/Business Plus, Enterprise).

  3. Erfüllt 03 Unterauftragsverarbeiter · Erfüllt Dropbox veröffentlicht eine Liste (Stand 29.04.2026) mit Abo-Funktion und gewährt 60 Tage für einen Einspruch. Für KI-Funktionen sind mehrere US-Anbieter gelistet, darunter OpenAI, Google und Microsoft.

    Prüffrage: Ist die Liste öffentlich, und werden Änderungen angekündigt?

    Maßstab: Grün: öffentliche Liste und Ankündigung von Änderungen mit Widerspruchsrecht. Gelb: Liste nur im Vertrag oder ohne Ankündigung. Rot: keine Liste.

  4. Mit Einschränkung 04 Datenstandort · Mit Einschränkung Standardmäßig liegen die Dateien in Rechenzentren in den USA. Einen Speicherort in der EU gibt es auf Antrag, aber nur ab 10 Lizenzen, mit Jahresabrechnung und in den Team-Tarifen.

    Prüffrage: Wo liegen die Inhalte, und lässt sich Europa wählen?

    Maßstab: Grün: Inhalte in der EU, als Standard oder im Tarif wählbar. Gelb: EU nur auf Antrag, gegen Aufpreis oder nur teilweise. Rot: keine EU-Option.

    Andere Tarife: EU-Speicherort erst ab 10 Lizenzen, jährlich abgerechnet, Einzelfallprüfung durch Dropbox.

  5. Erfüllt 05 Drittlandübermittlung Kern · Erfüllt Dropbox, Inc. ist seit 23.09.2016 aktiv nach dem EU-U.S. Data Privacy Framework zertifiziert (nächste Rezertifizierung 07.05.2027), auch für Personaldaten. Wo das DPF nicht greift, gelten Standardvertragsklauseln zwischen der irischen und der US-Gesellschaft.

    Prüffrage: Worauf stützt sich die Übermittlung in die USA (DPF, Standardvertragsklauseln)?

    Maßstab: Grün: keine Übermittlung nötig oder Empfänger aktiv im EU-US Data Privacy Framework und Standardvertragsklauseln im Vertrag. Gelb: nur Standardvertragsklauseln. Rot: keine Grundlage.

  6. Nicht ausgewiesen 06 KI-Training mit Ihren Daten Kern · Nicht ausgewiesen Dropbox sagt zu, generative KI-Modelle nicht ohne Einwilligung mit Kundeninhalten zu bauen. Laut Datenschutz-FAQ können aber Modelle für Suche, Sortierung und Zusammenfassungen mit Dokumenten und Metadaten trainiert werden; ob das auch für Team-Kunden gilt und wie es sich abschalten lässt, weist Dropbox nicht aus.

    Prüffrage: Werden Ihre Inhalte zum Training von KI-Modellen genutzt?

    Maßstab: Grün: kein Training mit Ihren Inhalten, ohne dass Sie etwas tun müssen. Gelb: nur per Abschalten (Opt-out). Rot: Training ohne Abschaltmöglichkeit.

    • Keine generativen Modelle ohne Einwilligung

      We will not build generative AI models using customer content without consent.

      Quelle: dropbox.com (öffnet neues Fenster) abgerufen am

    • Training von Such- und Zusammenfassungsmodellen möglich

      These models may be trained on your documents and metadata, and power features within Dropbox such as improved search relevance, auto-sorting and organization features, and document summaries.

      Quelle: help.dropbox.com (öffnet neues Fenster) abgerufen am

    • AVV: Verarbeitung nur zur Leistungserbringung

      Dropbox, Dropbox personnel, and Sub-processors will only Process Customer Data to provide the Services

      Quelle: assets.dropbox.com (öffnet neues Fenster) abgerufen am

  7. Erfüllt 07 Zertifikate · Erfüllt Für die Team-Tarife liegen ISO 27001, 27017, 27018 und 27701 sowie SOC 2 vor; außerdem hält Dropbox den EU Cloud Code of Conduct ein. Ein BSI-C5-Testat weist Dropbox auf der Zertifikatsseite nicht aus.

    Prüffrage: ISO 27001, SOC 2, BSI C5: Was ist nachgewiesen?

    Maßstab: Grün: ISO 27001 oder SOC 2 Typ II nachgewiesen. Gelb: nur Selbstauskunft. Rot: kein Nachweis.

  8. Mit Einschränkung 08 Verwaltung & Kontrolle · Mit Einschränkung Ein Aktivitätsprotokoll gibt es in allen Team-Tarifen, Dateiaktionen werden aber erst ab Advanced/Business Plus protokolliert. Single Sign-on gibt es ebenfalls erst ab Advanced/Business Plus.

    Prüffrage: SSO, Rollen und Audit-Log: Können Sie den Einsatz steuern?

    Maßstab: Grün: SSO, Rollen und Protokoll im geprüften Tarif. Gelb: nur teilweise oder erst im höheren Tarif. Rot: keine zentrale Verwaltung.

    Andere Tarife: SSO und Protokoll von Dateiaktionen erst ab Advanced/Business Plus.

  9. Mit Einschränkung 09 Löschung · Mit Einschränkung Nach einer Kontolöschung beginnt Dropbox nach 30 Tagen mit dem Löschen. Bei Vertragsende löscht Dropbox die Daten nur auf Antrag eines Administrators vor Vertragsende und nennt keine feste Frist; gelöschte Dateien bleiben je nach Tarif 180 oder 365 Tage wiederherstellbar.

    Prüffrage: Werden Daten nach Vertragsende und auf Anforderung gelöscht, und in welcher Frist?

    Maßstab: Grün: Löschfristen nach Vertragsende und auf Anforderung verbindlich genannt. Gelb: Frist offen. Rot: keine Löschzusage.

  10. Erfüllt 10 Betroffenenrechte · Erfüllt Dropbox leitet Anfragen Betroffener an Sie weiter und stellt Werkzeuge bereit, mit denen Sie Auskunft und Löschung selbst erledigen können.

    Prüffrage: Unterstützt der Anbieter Auskunft, Berichtigung und Löschung nach Art. 15 bis 17 DSGVO?

    Maßstab: Grün: Unterstützung vertraglich zugesagt und Export oder Löschung möglich. Gelb: nur allgemeiner Kontaktweg. Rot: keine Unterstützung.

    • Werkzeuge für Betroffenenanfragen

      Dropbox will provide Customer with information or tools that are reasonably designed to enable Customer to fulfill its obligations to respond to these requests

      Quelle: assets.dropbox.com (öffnet neues Fenster) abgerufen am

So setzen Sie Dropbox sauber ein

Die Schritte in dieser Reihenfolge abarbeiten. Was erledigt ist, können Sie abhaken; das bleibt nur in Ihrem Browser.

Aus dem Subprozessor-Monitor

Unterauftragsverarbeiter von Dropbox

Dropbox International Unlimited Company (Irland) / Dropbox, Inc. (USA) veröffentlicht seine Liste nicht so, dass unser Monitor sie täglich automatisch lesen kann (Anmeldung, Bot-Sperre oder nur im Vertragsanhang). Wir prüfen sie deshalb bei jeder Nachprüfung von Hand.

Erfüllt

Stand 19. Oktober 2026: Dropbox veröffentlicht eine Liste (Stand 29.04.2026) mit Abo-Funktion und gewährt 60 Tage für einen Einspruch. Für KI-Funktionen sind mehrere US-Anbieter gelistet, darunter OpenAI, Google und Microsoft.

17 Anbieter im Monitor ansehen

Änderungshistorie

Nächste Prüfung spätestens am 17. Januar 2027.

  1. Erstprüfung

Weiterlesen

Hugo DSB

Jedes Tool im Verzeichnis, jeder AVV an seinem Platz

Mit Hugo DSB dokumentieren Sie Dropbox und alle anderen Dienstleister im Verzeichnis der Verarbeitungstätigkeiten, mit externem Datenschutzbeauftragten an Ihrer Seite.

Hugo DSB ansehen

Einschätzung der frag.hugo Informationssicherheit GmbH auf Basis öffentlicher Angaben von Dropbox International Unlimited Company (Irland) / Dropbox, Inc. (USA), Stand 19. Oktober 2026. Keine Rechtsberatung. Herstellerangaben können sich ändern; maßgeblich sind die verlinkten Originaldokumente. Wie wir prüfen: Methode.

In den Team-Tarifen ja, mit Auflagen. Vertragspartner ist eine irische Gesellschaft, der AVV gilt automatisch, und Dropbox, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert. Ohne Antrag liegen die Dateien aber in den USA. Für Basic, Plus und andere Einzeltarife gibt es keinen AVV.

Ja, für Team-Tarife. Der Data Processing Agreement (Fassung vom 23.08.2024) ist Teil des Dropbox Services Agreement und gilt mit Vertragsschluss. Unterschreiben müssen Sie nichts. Bei Einzelkonten wie Basic oder Plus ist Dropbox selbst Verantwortlicher, einen AVV gibt es dort nicht.

Ja, aber nicht automatisch. Team-Kunden mit mindestens 10 Lizenzen und Jahresabrechnung können die Migration auf EU-Server beim Support beantragen; Dropbox prüft jeden Antrag einzeln. Ohne Antrag liegen die Dateien in Rechenzentren in den USA.

Ja. Dropbox, Inc. ist laut der offiziellen DPF-Liste seit dem 23.09.2016 aktiv zertifiziert, für Personal- und Nicht-Personaldaten. Die nächste Rezertifizierung ist zum 07.05.2027 fällig.

Für generative KI-Modelle nur mit Einwilligung, so steht es in den KI-Grundsätzen von Dropbox. Nach der Datenschutz-FAQ können aber Modelle für Suche, Sortierung und Zusammenfassungen mit Dokumenten und Metadaten trainiert werden. Für sehr vertrauliche Unterlagen sollten Sie das in Ihre Risikobewertung aufnehmen.

Für personenbezogene Firmendaten nein. Bei Basic und Plus ist Dropbox selbst Verantwortlicher, Sie haben keinen AVV und keine Administratorkontrolle. Wer Dropbox beruflich nutzt, braucht einen Team-Tarif.

Weitere kostenlose Werkzeuge

Alle ohne Anmeldung, alle ohne Kosten.

Alle Werkzeuge

Werkzeuge zeigen Lücken. Schließen muss sie jemand.

Wir übernehmen Datenschutz und Informationssicherheit als externer Dienstleister — TÜV-zertifiziert, mit festem Ansprechpartner, ab 79 € im Monat.

Angebot in 60 Sekunden 15 Minuten sprechen