Prüfstand · Whiteboard & Zusammenarbeit Stand:

Miro DSGVO-konform nutzen? Prüfstand mit Quellen (Stand Okt. 2026)

Zehn Kriterien, jede Aussage mit Quelle und wörtlichem Zitat. Geprüft am 19. Oktober 2026, nächste Prüfung spätestens am 17. Januar 2027.

von 10 Kriterien erfüllt
6 von 10 Kriterien erfüllt
mit Einschränkung
4 mit Einschränkung
nicht erfüllt oder nicht ausgewiesen
0 nicht erfüllt oder nicht ausgewiesen
Belege mit Zitat
26 Belege mit Zitat

Unser Kurzurteil

Kurzurteil für Miro: Mit Auflagen

Miro ist von den drei Kollaborations-Tools am nächsten an „einsetzbar“: Der AVV gilt in allen Tarifen, die Boards liegen standardmäßig in der EU (Irland, Backup in Deutschland), und RealtimeBoard, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert. Auflagen: Vertraglich darf Miro Eingaben in die KI-Funktionen in Starter- und Business-Tarifen für die Verbesserung nutzen, solange Sie nicht widersprechen; heute betrifft das laut Miro nur den Free-Tarif. KI-Anfragen können außerhalb der EU verarbeitet werden, und KI abschalten, Audit-Logs und SCIM gibt es nur in Enterprise.

Geeigneter Tarif
Geeignet
Geeignet Miro Business (mit SSO) oder Enterprise (Einwilligung statt Widerspruch beim KI-Training, KI abschaltbar, Audit-Logs)
Ungeeignet
Ungeeignet
Ungeeignet Miro Free für Firmendaten: Dort nutzt Miro KI-Eingaben und -Ausgaben standardmäßig zur Verbesserung der KI, bis ein Admin widerspricht.

In 30 Sekunden

  • Mit Auflagen: Einsetzbar, aber nur im richtigen Tarif und mit Einstellungen, die Sie selbst vornehmen müssen.
  • Nehmen Sie Miro Business (mit SSO) oder Enterprise (Einwilligung statt Widerspruch beim KI-Training, KI abschaltbar, Audit-Logs).
  • Offen bei den Kernkriterien: Vertragspartner (mit Einschränkung), KI-Training mit Ihren Daten (mit Einschränkung).
  • Erster Schritt: Nutzen Sie für Firmendaten mindestens Miro Business; Free-Konten von Mitarbeitenden für Kundenprojekte untersagen Sie.
  • 6 erfüllt
  • 4 mit Einschränkung

Die zehn Kriterien mit Belegen

Aufklappen zeigt Quelle, wörtliches Zitat und Abrufdatum. Bewertet ist der geeignete Tarif.

  1. Mit Einschränkung 01 Vertragspartner Kern · Mit Einschränkung Vertragspartner ist die US-Gesellschaft RealtimeBoard, Inc. (dba Miro) oder eine im Auftrag genannte Miro-Tochter. Im AVV tritt RealtimeBoard, Inc. als Datenimporteur auf.

    Prüffrage: Mit wem schließen Sie den Vertrag, und sitzt er in der EU?

    Maßstab: Grün: Vertragspartner mit Sitz in der EU oder im EWR. Gelb: Sitz außerhalb, Vertrag mit Standardvertragsklauseln. Rot: kein eindeutiger Vertragspartner.

  2. Erfüllt 02 Auftragsverarbeitung (AVV) Kern · Erfüllt Das Customer Data Processing Addendum (Stand 17.09.2024) ist über die Nutzungsbedingungen in allen Self-Service-Tarifen und über den Master Cloud Agreement in Enterprise Vertragsbestandteil. Miro handelt darin als Auftragsverarbeiter.

    Prüffrage: Gibt es einen Vertrag nach Art. 28 DSGVO, und wie kommt er zustande?

    Maßstab: Grün: AVV nach Art. 28 DSGVO gilt für den Tarif automatisch oder per Klick. Gelb: nur auf Anfrage oder mit Einschränkungen. Rot: kein AVV.

  3. Erfüllt 03 Unterauftragsverarbeiter · Erfüllt Miro veröffentlicht eine Liste mit zwölf Unterauftragsverarbeitern (Stand 08.07.2026), alle mit Sitz in den USA, darunter OpenAI, Anthropic, Google und Microsoft für die KI-Funktionen. Auf Wunsch informiert Miro 10 Tage vorher, die Einspruchsfrist beträgt 30 Tage.

    Prüffrage: Ist die Liste öffentlich, und werden Änderungen angekündigt?

    Maßstab: Grün: öffentliche Liste und Ankündigung von Änderungen mit Widerspruchsrecht. Gelb: Liste nur im Vertrag oder ohne Ankündigung. Rot: keine Liste.

    • Liste Stand 08.07.2026

      Last updated: 8 July 2026

      Quelle: miro.com (öffnet neues Fenster) abgerufen am

    • 10 Tage Vorabinformation nach Anmeldung

      If Customer elects to be notified at least ten (10) days prior to Miro engaging a new or replacement Subprocessor, Customer must subscribe to such notifications

      Quelle: miro.com (öffnet neues Fenster) abgerufen am

    • 30 Tage Einspruchsfrist

      Customer may object to Miro's appointment of any new or replacement Subprocessor promptly in writing within thirty (30) days after receipt of notice

      Quelle: miro.com (öffnet neues Fenster) abgerufen am

  4. Erfüllt 04 Datenstandort · Erfüllt Der EU-Speicherort ist Standard und in allen Tarifen ohne Aufpreis verfügbar: Primärrechenzentrum in Irland, Backup in Deutschland. Ausnahme: Anfragen an Miro AI können außerhalb der EU verarbeitet werden, gespeichert wird das Ergebnis in der EU.

    Prüffrage: Wo liegen die Inhalte, und lässt sich Europa wählen?

    Maßstab: Grün: Inhalte in der EU, als Standard oder im Tarif wählbar. Gelb: EU nur auf Antrag, gegen Aufpreis oder nur teilweise. Rot: keine EU-Option.

    Andere Tarife: KI-Anfragen können außerhalb der EU verarbeitet werden.

  5. Erfüllt 05 Drittlandübermittlung Kern · Erfüllt RealtimeBoard, Inc. ist seit 25.03.2020 aktiv nach dem EU-U.S. Data Privacy Framework zertifiziert (nächste Rezertifizierung 27.07.2027). Der AVV stützt Übermittlungen in die USA darauf und sieht Standardvertragsklauseln als Rückfallebene vor.

    Prüffrage: Worauf stützt sich die Übermittlung in die USA (DPF, Standardvertragsklauseln)?

    Maßstab: Grün: keine Übermittlung nötig oder Empfänger aktiv im EU-US Data Privacy Framework und Standardvertragsklauseln im Vertrag. Gelb: nur Standardvertragsklauseln. Rot: keine Grundlage.

    • DPF aktiv seit 25.03.2020, fällig 27.07.2027

      EU-U.S. Data Privacy Framework : Active Original Certification Date 03/25/2020 Next Certification Due Date 07/27/2027

      Quelle: dataprivacyframework.gov (öffnet neues Fenster) abgerufen am

    • AVV stützt Übermittlung auf das DPF

      The parties agree that the DPF applies with respect to Restricted Transfers of Customer Personal Data to the US from the EEA and/or Switzerland as Miro is certified under the DPF program

      Quelle: miro.com (öffnet neues Fenster) abgerufen am

    • Standardvertragsklauseln als Rückfallebene

      The parties agree that where the DPF does not apply with respect to a Restricted Transfer, the Standard Contractual Clauses are hereby incorporated

      Quelle: miro.com (öffnet neues Fenster) abgerufen am

  6. Mit Einschränkung 06 KI-Training mit Ihren Daten Kern · Mit Einschränkung In Enterprise braucht Miro Ihre Einwilligung, bevor KI-Eingaben und -Ausgaben zur Verbesserung genutzt werden. In Free, Starter und Business genügt vertraglich ein Widerspruchsrecht; tatsächlich nutzt Miro nach eigener Angabe derzeit nur Daten aus dem Free-Tarif, und dann anonymisiert und ohne Modelltraining.

    Prüffrage: Werden Ihre Inhalte zum Training von KI-Modellen genutzt?

    Maßstab: Grün: kein Training mit Ihren Inhalten, ohne dass Sie etwas tun müssen. Gelb: nur per Abschalten (Opt-out). Rot: Training ohne Abschaltmöglichkeit.

    Andere Tarife: Enterprise: Einwilligung nötig (grün). Business/Starter: vertraglich Widerspruchslösung. Free: standardmäßig aktiv, Admin kann abschalten.

    • Business/Starter: Widerspruchslösung

      If your use of Miro's Service is not through a subscription to a Miro enterprise plan (e.g. if you are on a free, starter, business, or equivalent plan), and Miro seeks to use your Input and Output for improving its AI Features, including for training or fine tuning underlying models, Miro will provide you with reasonable means to object to such use.

      Quelle: miro.com (öffnet neues Fenster) abgerufen am

    • Enterprise: Einwilligung

      Miro will obtain your consent prior to using your Input and Output for improving its AI Features, including for training or fine tuning underlying models.

      Quelle: miro.com (öffnet neues Fenster) abgerufen am

    • Derzeit nur Free-Tarif betroffen

      Only interaction data from users in the Free Plan are used to improve Miro AI.

      Quelle: help.miro.com (öffnet neues Fenster) abgerufen am

    • Kein Modelltraining mit KI-Interaktionen

      Miro doesn't use AI interactions to train or fine-tune models.

      Quelle: help.miro.com (öffnet neues Fenster) abgerufen am

  7. Erfüllt 07 Zertifikate · Erfüllt Miro ist nach ISO/IEC 27001 und ISO/IEC 42001 (KI-Managementsystem) zertifiziert und hat einen SOC-2-Type-II-Bericht. ISO 27018 oder ein BSI-C5-Testat weist Miro im Trust Center nicht aus.

    Prüffrage: ISO 27001, SOC 2, BSI C5: Was ist nachgewiesen?

    Maßstab: Grün: ISO 27001 oder SOC 2 Typ II nachgewiesen. Gelb: nur Selbstauskunft. Rot: kein Nachweis.

  8. Mit Einschränkung 08 Verwaltung & Kontrolle · Mit Einschränkung Single Sign-on gibt es ab Business. Audit-Logs, SCIM und das Abschalten von Miro AI für die ganze Organisation gibt es nur in Enterprise (und Education).

    Prüffrage: SSO, Rollen und Audit-Log: Können Sie den Einsatz steuern?

    Maßstab: Grün: SSO, Rollen und Protokoll im geprüften Tarif. Gelb: nur teilweise oder erst im höheren Tarif. Rot: keine zentrale Verwaltung.

    Andere Tarife: SSO ab Business; Audit-Logs, SCIM und KI-Abschaltung nur Enterprise.

  9. Mit Einschränkung 09 Löschung · Mit Einschränkung Nach Vertragsende haben Sie 30 Tage zum Export; danach löscht Miro nach seinem Standardzeitplan. Der AVV verweist auf Miros jeweils geltende Löschfristen, nennt aber selbst keine; eine Löschbestätigung gibt es auf schriftliche Anfrage.

    Prüffrage: Werden Daten nach Vertragsende und auf Anforderung gelöscht, und in welcher Frist?

    Maßstab: Grün: Löschfristen nach Vertragsende und auf Anforderung verbindlich genannt. Gelb: Frist offen. Rot: keine Löschzusage.

    • 30 Tage Exportfrist

      During the Subscription Term or within 30 days thereafter, Customer may export its Customer Content from the Service using the export features described in the Documentation

      Quelle: miro.com (öffnet neues Fenster) abgerufen am

    • Löschung nach Miros geltenden Fristen

      Miro shall delete or return to Customer all Customer Personal Data in its possession in accordance with Miro's then-current data deletion timelines and policies

      Quelle: miro.com (öffnet neues Fenster) abgerufen am

  10. Erfüllt 10 Betroffenenrechte · Erfüllt Miro unterstützt Sie bei Anfragen Betroffener und antwortet auf direkt eingehende Anfragen nicht ohne Ihre Zustimmung, sondern leitet sie an Sie weiter.

    Prüffrage: Unterstützt der Anbieter Auskunft, Berichtigung und Löschung nach Art. 15 bis 17 DSGVO?

    Maßstab: Grün: Unterstützung vertraglich zugesagt und Export oder Löschung möglich. Gelb: nur allgemeiner Kontaktweg. Rot: keine Unterstützung.

    • Unterstützung bei Betroffenenanfragen

      Miro shall reasonably cooperate with Customer to enable Customer to respond to any requests, complaints or other communications from data subjects

      Quelle: miro.com (öffnet neues Fenster) abgerufen am

So setzen Sie Miro sauber ein

Die Schritte in dieser Reihenfolge abarbeiten. Was erledigt ist, können Sie abhaken; das bleibt nur in Ihrem Browser.

Aus dem Subprozessor-Monitor

Unterauftragsverarbeiter von Miro

RealtimeBoard, Inc. (dba Miro), USA veröffentlicht seine Liste nicht so, dass unser Monitor sie täglich automatisch lesen kann (Anmeldung, Bot-Sperre oder nur im Vertragsanhang). Wir prüfen sie deshalb bei jeder Nachprüfung von Hand.

Erfüllt

Stand 19. Oktober 2026: Miro veröffentlicht eine Liste mit zwölf Unterauftragsverarbeitern (Stand 08.07.2026), alle mit Sitz in den USA, darunter OpenAI, Anthropic, Google und Microsoft für die KI-Funktionen. Auf Wunsch informiert Miro 10 Tage vorher, die Einspruchsfrist beträgt 30 Tage.

17 Anbieter im Monitor ansehen

Änderungshistorie

Nächste Prüfung spätestens am 17. Januar 2027.

  1. Erstprüfung

Weiterlesen

Hugo DSB

Jedes Tool im Verzeichnis, jeder AVV an seinem Platz

Mit Hugo DSB dokumentieren Sie Miro und alle anderen Dienstleister im Verzeichnis der Verarbeitungstätigkeiten, mit externem Datenschutzbeauftragten an Ihrer Seite.

Hugo DSB ansehen

Einschätzung der frag.hugo Informationssicherheit GmbH auf Basis öffentlicher Angaben von RealtimeBoard, Inc. (dba Miro), USA, Stand 19. Oktober 2026. Keine Rechtsberatung. Herstellerangaben können sich ändern; maßgeblich sind die verlinkten Originaldokumente. Wie wir prüfen: Methode.

Ab dem Business-Tarif ja, mit Auflagen. Der AVV gilt in allen Tarifen, die Boards liegen standardmäßig in der EU, und RealtimeBoard, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert. Einschränkungen gibt es bei der KI: Anfragen an Miro AI können außerhalb der EU verarbeitet werden, und abschalten lässt sie sich nur in Enterprise.

Standardmäßig in der EU: Das Primärrechenzentrum steht in Irland, das Backup in Deutschland. Das gilt für alle Tarife ohne Aufpreis. Andere Regionen (USA, Australien, Japan) gibt es nur in Enterprise.

Ja. Das Customer Data Processing Addendum ist über die Nutzungsbedingungen in allen Self-Service-Tarifen und über den Master Cloud Agreement in Enterprise Vertragsbestandteil. Sie müssen es nicht separat unterschreiben.

Nach Miros eigener Angabe nutzt Miro heute nur KI-Interaktionen aus dem Free-Tarif zur Verbesserung, anonymisiert und ohne Modelltraining. Vertraglich behält sich Miro für Starter und Business eine Nutzung mit Widerspruchsrecht vor. Nur in Enterprise braucht Miro vorher Ihre Einwilligung.

Zentral nur in Enterprise und Education: Dort stellen Admins in der Admin-Konsole unter Miro AI ein, dass niemand die KI nutzen kann. In Business regeln Sie das über eine verbindliche KI-Richtlinie für Ihre Mitarbeitenden.

Ja. RealtimeBoard, Inc., die Betreibergesellschaft von Miro, ist laut der offiziellen DPF-Liste seit dem 25.03.2020 aktiv zertifiziert. Die nächste Rezertifizierung ist zum 27.07.2027 fällig.

Weitere kostenlose Werkzeuge

Alle ohne Anmeldung, alle ohne Kosten.

Alle Werkzeuge

Werkzeuge zeigen Lücken. Schließen muss sie jemand.

Wir übernehmen Datenschutz und Informationssicherheit als externer Dienstleister — TÜV-zertifiziert, mit festem Ansprechpartner, ab 79 € im Monat.

Angebot in 60 Sekunden 15 Minuten sprechen