DSGVO-konforme Tools für Selbstständige: So prüfst du Anbieter
EU-Hosting, AVV, DPF und Datenpannen: Welche Fragen du vor der Nutzung eines Business-Tools stellen solltest und warum ein EU-Server allein nicht genügt.
Ein Tool ist nicht allein deshalb „DSGVO-konform“, weil seine Server in der EU stehen oder ein AVV zum Download bereitliegt. Für deinen konkreten Einsatz zählen die Rechtsgrundlage der Verarbeitung, die Rolle des Anbieters, ein Vertrag zur Auftragsverarbeitung wenn er tatsächlich Auftragsverarbeiter ist, angemessene Sicherheit und die Datenflüsse einschließlich Support und Unterauftragnehmern. Bei Übermittlungen außerhalb des EWR brauchst du zusätzlich eine Grundlage nach Kapitel V DSGVO. Der Europäische Datenschutzausschuss (EDSA) erklärt diese Pflichten für kleine Unternehmen.
Welche Daten und Rollen musst du zuerst klären?
Auch als Einzelunternehmer verarbeitest du häufig personenbezogene Daten: Namen, E-Mail-Adressen, Rechnungsanschriften oder Notizen über Ansprechpartner. Ob eine Information personenbezogen ist, hängt davon ab, ob sie sich auf eine identifizierte oder identifizierbare natürliche Person bezieht (Art. 4 Nr. 1 DSGVO).
Notiere für jeden Dienst, welche Daten du eingibst und warum. Für die Verarbeitung brauchst du eine passende Rechtsgrundlage nach Art. 6 DSGVO, etwa Vertragserfüllung, rechtliche Pflicht oder ein berechtigtes Interesse nach Abwägung. Eine Einwilligung ist nicht die Standardlösung für jede Kundenbeziehung.
Bestimme dann die Rolle des Anbieters:
| Rolle des Dienstes | Typische Folge |
|---|---|
| Er verarbeitet Kundendaten in deinem Auftrag und nach deinen Weisungen. | Du brauchst mit ihm einen Vertrag nach Art. 28 DSGVO und musst seine Garantien und Unterauftragnehmer prüfen. |
| Er entscheidet für eine eigene Verarbeitung selbst über Zwecke und Mittel. | Er ist insoweit eigener Verantwortlicher. Ein AVV ist für diese Verarbeitung nicht das passende Instrument; du musst die Datenweitergabe und deine Informationspflichten prüfen. |
| Beide Seiten bestimmen bestimmte Zwecke und Mittel gemeinsam. | Es können Regeln zur gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO greifen. |
Der EDSA erläutert die Abgrenzung von Verantwortlichen und Auftragsverarbeitern. Ein Anbieter kann je nach Verarbeitung mehr als eine Rolle haben. Deshalb ist „AVV für jedes Tool“ keine verlässliche Regel.
Checkliste vor dem Einsatz eines Tools
- Zweck und Rechtsgrundlage: Welche Daten braucht der Dienst für welche Aufgabe? Welche Grundlage nach Art. 6 DSGVO trägt deine Verarbeitung?
- Rolle und Vertrag: Verarbeitet der Anbieter Daten in deinem Auftrag? Prüfe dann den AVV nach Art. 28 DSGVO, einschließlich Gegenstand, Dauer, Weisungen, Sicherheitsmaßnahmen und Unterauftragnehmern.
- Datenflüsse: Wo werden die Daten gespeichert, gesichert, eingesehen und für Support oder E-Mail-Versand weitergegeben? Ein Rechenzentrum in Deutschland beantwortet diese Frage nicht vollständig.
- Drittlandtransfer: Gibt es Zugriff oder Übermittlung an Empfänger außerhalb des EWR? Prüfe den betroffenen Empfänger und das passende Transferinstrument nach Kapitel V DSGVO.
- Sicherheit und Löschung: Welche Zugriffsrechte, Verschlüsselung, Backups, Löschmöglichkeiten und Verfahren bei Vorfällen bietet der Dienst? Art. 32 DSGVO verlangt Maßnahmen, die zum Risiko passen.
- Dokumentation: Halte deine Entscheidung, die Anbieterunterlagen und die gewählte Konfiguration fest. Prüfe sie nach wesentlichen Änderungen erneut.
Eine öffentlich abrufbare Datenschutzseite ist ein Ausgangspunkt, aber kein Beleg für jede deiner Einstellungen. Besonders bei optionalen Funktionen können sich Empfänger und Datenarten ändern.
EU-Hosting, US-Anbieter und Schrems II
EU-Hosting kann Datenflüsse vereinfachen. Es schließt einen Drittlandtransfer aber nicht automatisch aus: Auch Support-Zugriff oder ein Unterauftragnehmer außerhalb des EWR kann relevant sein. Maßgeblich ist der tatsächliche Weg der personenbezogenen Daten. Die EDSA-Leitlinien zu internationalen Übermittlungen helfen bei der Einordnung.
Für die USA gilt seit Juli 2023 ein Angemessenheitsbeschluss im Rahmen des EU-US Data Privacy Framework (DPF). Er ist nicht automatisch auf jeden US-Anbieter, jede Konzerngesellschaft und jede Verarbeitung anwendbar. Prüfe, ob der konkrete US-Empfänger aktuell in der offiziellen DPF-Liste steht und die betreffende Datenart abgedeckt ist. Der EDSA beschreibt die Prüfung für Unternehmen.
Fehlt ein anwendbarer Angemessenheitsbeschluss, können geeignete Garantien wie die EU-Standardvertragsklauseln nach Art. 46 DSGVO in Betracht kommen. Ob weitere Maßnahmen nötig sind, hängt von der konkreten Übermittlung und den Bedingungen im Drittland ab. Der EDSA erklärt die Transferinstrumente. Ein AVV nach Art. 28 ersetzt diese Prüfung nicht.
Drei unterschiedliche Wege – mit prüfbaren Beispielen
Die Beispiele erfüllen verschiedene Aufgaben und sind keine austauschbaren Alternativen. Sie zeigen, welche Information du vor einer Auswahl aus den Unterlagen des jeweiligen Anbieters entnehmen kannst:
| Aufgabe und Beispiel | Belegbarer Ausgangspunkt | Was du selbst noch prüfen musst |
|---|---|---|
| Rechnungen und Kontakte: SaaS Rebels | Datenschutzerklärung nennt Hetzner-Hosting in Deutschland, Supabase-Datenbank in Frankfurt und mögliche Drittlandbezüge weiterer Dienste; AVV für Kundendaten. | Ob deine Datenarten und Einstellungen zum Dienst passen; eigene Rechtsgrundlage und Informationspflichten. |
| Zeiterfassung: Toggl Track | Toggl stellt einen DPA/AVV bereit. Laut Sicherheitsrichtlinie befindet sich die Verarbeitungsinfrastruktur in Iowa, USA. | Tatsächliche Vertragspartei, Datenflüsse, Unterauftragnehmer und Transfergrundlage für deinen Fall. |
| Website-Analyse: Matomo On-Premise | Die Anleitung von Matomo beschreibt die Installation auf dem eigenen Server. | Hosting-Vertrag, Einstellungen, Sicherheit, Zugriffe und die Rechtsgrundlage der Webanalyse. Eigenbetrieb macht den Einsatz nicht automatisch rechtmäßig. |
Eine Tabelle „Anbieter X: DSGVO-konform“ wäre ohne Prüfung des konkreten Vertrags, der gebuchten Region, Unterauftragnehmer, Funktionen und aktuellen Zertifizierung irreführend. Anbieter ändern ihre Infrastruktur und Vertragsunterlagen. Dokumentiere, welche Fassung du geprüft hast.
Welche Pflichten bleiben bei dir?
Der Dienst kann dich unterstützen, die Verantwortung für deine Nutzung aber nicht übernehmen. Für regelmäßig verarbeitete Kundendaten ist ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO in der Praxis meist erforderlich. Die Ausnahme für Organisationen mit weniger als 250 Beschäftigten greift nur, wenn die Verarbeitung gelegentlich ist, voraussichtlich kein Risiko für Betroffene birgt und keine besonderen Datenkategorien nach Art. 9 oder Strafdaten nach Art. 10 umfasst. Der EDSA erklärt das Verzeichnis und die begrenzte Ausnahme.
Informiere Betroffene nach Art. 13 und 14 DSGVO über deine Verarbeitungen. Eine Datenschutzerklärung kann dafür ein Baustein sein, muss aber zu deinen tatsächlichen Datenflüssen passen. Lege außerdem fest, wann du Daten löschst und welche gesetzlichen Aufbewahrungspflichten entgegenstehen.
Bei einer Datenpanne gilt keine automatische Meldepflicht für jeden Vorfall. Dokumentiere und bewerte die Verletzung. Als Verantwortlicher meldest du sie der Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, sofern ein Risiko für Rechte und Freiheiten natürlicher Personen nicht unwahrscheinlich ist. Bei hohem Risiko sind grundsätzlich auch die Betroffenen zu informieren. Ein Auftragsverarbeiter muss den Verantwortlichen unverzüglich unterrichten. Das erläutert der EDSA-Leitfaden zu Datenpannen.
Wie ist SaaS Rebels einzuordnen?
Für die Website und Plattform nennt unsere Datenschutzerklärung Hetzner in Deutschland als Hoster. Sie beschreibt zugleich Supabase für die Tool-Datenbank in der EU-Region Frankfurt, Auth0/Okta für die Anmeldung, Stripe für Zahlungen und SendGrid/Twilio für E-Mails. Bei einzelnen Diensten sind mögliche Drittlandzugriffe oder Übermittlungen und deren Absicherung beschrieben. Deshalb wäre die Behauptung „alle Daten bleiben ausschließlich in Deutschland oder der EU“ zu weit.
Wenn du in SaaS Rebels Daten deiner eigenen Kunden in Rechnungen, Kontakten oder anderen Tools verarbeitest, bist du dafür grundsätzlich Verantwortlicher; SaaS Rebels ist insoweit Auftragsverarbeiter. Der AVV und die Datenschutzerklärung zeigen die vertragliche Regelung und die eingesetzten Dienste. Prüfe beide Dokumente zusammen mit deiner eigenen Verarbeitung, bevor du Kundendaten übernimmst.
Häufige Fragen
Reicht ein Serverstandort in Deutschland für DSGVO-Konformität?
Nein. Du brauchst unter anderem eine Rechtsgrundlage, passende Verträge für echte Auftragsverarbeitung, angemessene Sicherheit und eine Prüfung der tatsächlichen Datenflüsse. Der Speicherort allein sagt nichts über Support-Zugriffe oder weitere Empfänger.
Brauche ich für jedes Business-Tool einen AVV?
Nur soweit der Anbieter personenbezogene Daten in deinem Auftrag verarbeitet. Bei einem Dienst, der für einen bestimmten Vorgang selbst Verantwortlicher ist, ist ein AVV für diesen Vorgang nicht die richtige Lösung. Entscheidend ist die tatsächliche Rolle, nicht der Name des Tools.
Darf ich ein US-Tool einsetzen?
Das kann zulässig sein. Prüfe zuerst deine Rechtsgrundlage und die Rolle des Dienstes. Bei einem Transfer in die USA verifiziere den konkreten DPF-Empfänger oder prüfe andere zulässige Transferinstrumente und gegebenenfalls ergänzende Maßnahmen. Ein einmalig kopiertes DPF-Siegel reicht nicht als laufende Prüfung.
Muss ich jede Datenpanne binnen 72 Stunden melden?
Nein. Eine Meldung an die Aufsichtsbehörde entfällt nach Art. 33 DSGVO nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten natürlicher Personen führt. Dokumentiere jeden Vorfall und die Risikobewertung; melde einen meldepflichtigen Vorfall unverzüglich und möglichst binnen 72 Stunden.
Nächster Schritt
Notiere für deine drei wichtigsten Tools jeweils Datenarten, Zweck, Anbieterrolle, Empfänger, AVV und mögliche Drittlandtransfers. Für die Rechnungserstellung kannst du anschließend SaaS Rebels ausprobieren und anhand unserer Datenschutzerklärung und des AVV prüfen, ob der Dienst zu deinem Fall passt.