Die Wahl eines Review-Tools ist für Agenturen in Deutschland, Österreich und der Schweiz keine rein funktionale Entscheidung – sie ist eine rechtliche. Die DSGVO schreibt vor wie personenbezogene Daten verarbeitet und wo sie gespeichert werden dürfen. Wer ein Review-Tool einsetzt, ohne Speicherort, Auftragsverarbeitung und Drittlandübermittlungen geprüft zu haben, riskiert Bußgelder, Vertragsstrafen und Vertrauensverlust bei Kunden.
Dieser Artikel erklärt, welche Rolle der Hosting-Standort für Review-Tools spielt, welche rechtlichen Anforderungen gelten und wie du Anbieter prüfst.
Nicht jedes Review-Tool ist DSGVO-konform. Entscheidend sind der Speicherort der Daten, ein Auftragsverarbeitungsvertrag (AVV), offengelegte Unterauftragsverarbeiter und abgesicherte Drittlandübermittlungen. Dieser Artikel zeigt, worauf du achten musst.
Was du in diesem Artikel erfährst
- Welche Rolle der Hosting-Standort bei Review-Tools rechtlich spielt
- Welche DSGVO-Anforderungen konkret gelten
- Wie bekannte Review-Tools bei Speicherort und AVV abschneiden
- Worauf du beim Anbieter-Check achten musst
Warum der Hosting-Standort wichtig ist
Wenn du ein Review-Tool nutzt um Kundenprojekte zu verwalten, werden dort personenbezogene Daten verarbeitet:
- Namen und E-Mail-Adressen der Reviewer
- Kommentare und Feedback-Inhalte
- Metadaten zu Projekten und Dateien
- Unveröffentlichte Kampagneninhalte mit strategischen Markenbotschaften
Werden diese Daten außerhalb der EU gespeichert oder verarbeitet, entsteht eine sogenannte "Drittlandübermittlung" – und die ist nach der DSGVO nur unter bestimmten Voraussetzungen zulässig (Art. 44 ff. DSGVO).
Das Schrems-II-Urteil und seine Folgen
2020 hat der Europäische Gerichtshof mit dem Schrems-II-Urteil die Übermittlung personenbezogener Daten in die USA erheblich eingeschränkt. Der Privacy Shield – das frühere Abkommen zwischen EU und USA – wurde für ungültig erklärt.
Seit Juli 2023 gibt es mit dem EU-US Data Privacy Framework wieder einen Angemessenheitsbeschluss – er gilt für US-Unternehmen, die sich darunter zertifiziert haben. Daneben bleiben die EU-Standardvertragsklauseln eine anerkannte Grundlage, ergänzt um eine Prüfung des Schutzniveaus im Zielland. US-Dienste sind also nicht automatisch unzulässig – du musst aber wissen, welche Grundlage dein Anbieter nutzt.
Für Australien – wo GoVisually hostet – gibt es keinen EU-Angemessenheitsbeschluss. Übermittlungen dorthin brauchen daher Standardvertragsklauseln und eine Einzelfallprüfung.
Welche DSGVO-Anforderungen konkret gelten
Für den Einsatz eines Review-Tools müssen drei rechtliche Grundlagen erfüllt sein:
1. Rechtsgrundlage für die Datenverarbeitung
Du brauchst eine Rechtsgrundlage dafür, dass du Kundendaten in einem externen Tool verarbeitest. Im B2B-Bereich ist das in der Regel Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
2. Auftragsverarbeitungsvertrag (AVV)
Nach Art. 28 DSGVO musst du mit jedem Dienstleister der personenbezogene Daten in deinem Auftrag verarbeitet einen AVV abschließen. Dieser Vertrag regelt wie der Anbieter mit deinen Daten umgeht, welche Sicherheitsmaßnahmen er trifft und was im Schadensfall gilt.
Ein AVV muss die Mindestinhalte nach Art. 28 Abs. 3 DSGVO enthalten, etwa Gegenstand und Dauer der Verarbeitung, technische und organisatorische Maßnahmen und die Liste der Unterauftragsverarbeiter. Eine deutschsprachige Fassung nach deutschem Recht erleichtert dir die Prüfung.
3. EU-Hosting oder geeignete Garantien
Werden Daten außerhalb der EU gespeichert oder von Dienstleistern dort verarbeitet, braucht es eine Grundlage nach Art. 44 ff. DSGVO: einen Angemessenheitsbeschluss (für zertifizierte US-Unternehmen das EU-US Data Privacy Framework) oder Standardvertragsklauseln (SCCs), gegebenenfalls ergänzt um zusätzliche Schutzmaßnahmen.
Liegen die Projektdaten selbst auf Servern in der EU, bleibt der Kern deiner Daten im Geltungsbereich der DSGVO. Ganz ohne Dienstleister außerhalb der EU arbeiten allerdings die wenigsten Cloud-Tools – entscheidend ist, dass sie offengelegt und abgesichert sind.
Wie bekannte Review-Tools abschneiden
draftgo.io – DSGVO-konform, entwickelt in Deutschland
draftgo.io speichert Datenbank und Dateien auf EU-Servern im Rechenzentrum Frankfurt und stellt jedem Kunden einen AVV nach Art. 28 DSGVO (deutsches Recht) bereit. Einige Dienstleister – etwa für die Auslieferung der Anwendung, den Mailversand und KI-Funktionen – haben ihren Sitz in den USA. Sie sind im AVV offen aufgeführt, und Übermittlungen sind über EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework abgesichert.
- Serverstandort: EU (Rechenzentrum Frankfurt) ✓
- AVV: Nach Art. 28 DSGVO, deutsches Recht ✓
- Unterauftragsverarbeiter: Offen im AVV aufgeführt ✓
- Datenschutzerklärung: Auf Deutsch, transparent ✓
- Preis: Agentur-Plan 49€/Monat
Zusätzlich bietet draftgo.io alle Kernfunktionen für professionelle Freigaben: frame-genaues Video-Feedback, PDF-Proofing, Design-Review, kein Account-Zwang für Reviewer.
Filestage – Enterprise-DSGVO-Konformität
Filestage hostet nach eigenen Angaben auf Servern in Deutschland und ist ISO 27017 zertifiziert. Ein hoher Datenschutzstandard im Proofing-Markt – aber auch der teuerste Einstieg (199€/Monat).
- Serverstandort: Deutschland ✓
- AVV: Verfügbar ✓
- ISO 27017: ✓
- Preis: Ab 199€/Monat
GoVisually – Hosting in Australien
GoVisually hostet in Australien. Für Australien gibt es keinen EU-Angemessenheitsbeschluss, ein AVV nach deutschem Recht ist nicht verfügbar.
- Serverstandort: Australien ✗
- Für DACH-Agenturen: Drittlandübermittlung sorgfältig prüfen
Krock.io – Hosting in den USA
Krock.io hostet in den USA. Ob der Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist oder Standardvertragsklauseln anbietet, solltest du vor dem Einsatz prüfen.
- Serverstandort: USA
- Für DACH-Agenturen: AVV und Grundlage der Drittlandübermittlung prüfen
Was du beim Anbieter-Check konkret prüfen solltest
Bevor du ein Review-Tool einführst, prüfe diese sechs Punkte:
Checkliste DSGVO-konformes Review-Tool
☐ Serverstandort bestätigt: Wo stehen die Server konkret? Lass es dir schriftlich bestätigen – nicht nur die Aussage auf der Website.
☐ AVV verfügbar: Bietet der Anbieter einen AVV nach Art. 28 DSGVO in deutschsprachiger Version an?
☐ Sub-Auftragsverarbeiter transparent: Welche Drittanbieter nutzt der Anbieter seinerseits? Diese müssen im AVV aufgeführt sein.
☐ Drittlandübermittlung abgesichert: Sitzen Dienstleister außerhalb der EU, und auf welcher Grundlage (Data Privacy Framework, Standardvertragsklauseln) werden Daten übermittelt?
☐ Datenschutzerklärung auf Deutsch: Ist die Datenschutzerklärung transparent und auf Deutsch verfügbar?
☐ Technische Sicherheitsmaßnahmen: Wird die Datenübertragung verschlüsselt? Gibt es Zugriffskontrollen und Audit-Logs?
Vorsicht bei Tools die auf ihrer Website "GDPR compliant" schreiben aber keinen konkreten Serverstandort nennen. Diese Aussage bedeutet nicht zwingend EU-Hosting. Frag nach Speicherort, AVV und der Liste der Unterauftragsverarbeiter – erst daraus ergibt sich, ob und wie Daten in Drittländer übermittelt werden.
Häufige Fragen zum DSGVO-konformen Review-Tool
Was passiert wenn ich ein nicht-DSGVO-konformes Tool nutze?
Im Ernstfall drohen Bußgelder von bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes. Darüber hinaus können Kunden Vertragsstrafen geltend machen, wenn sie DSGVO-Konformität ihrer Dienstleister vertraglich vorgeschrieben haben.
Reicht es, wenn der Anbieter Standardvertragsklauseln (SCCs) nutzt?
SCCs sind eine anerkannte Grundlage für Drittlandübermittlungen. Seit dem Schrems-II-Urteil muss zusätzlich geprüft werden, ob das Schutzniveau im Zielland ausreicht, und gegebenenfalls ergänzende Maßnahmen vereinbart werden. Für US-Unternehmen, die unter dem EU-US Data Privacy Framework zertifiziert sind, gilt seit Juli 2023 ein Angemessenheitsbeschluss.
Muss ich als kleine Agentur wirklich auf DSGVO achten?
Ja – die DSGVO gilt für alle Unternehmen die personenbezogene Daten von EU-Bürgern verarbeiten, unabhängig von der Größe. Es gibt keine Ausnahme für kleine Agenturen.
Kann ich meinen Kunden gegenüber garantieren dass ihre Daten DSGVO-konform verarbeitet werden?
Zusagen kannst du, was du geprüft hast: Speicherort, AVV, Unterauftragsverarbeiter und deren Absicherung. Mit draftgo hast du dafür alles schriftlich – Daten auf EU-Servern in Frankfurt und einen AVV mit vollständiger Liste der Dienstleister. Bei GoVisually (Australien) oder Krock.io (USA) musst du die Drittlandübermittlung selbst bewerten.
Wie aufwändig ist der Wechsel zu einem DSGVO-konformen Tool?
Bei draftgo.io ist der Wechsel in weniger als einer Stunde vollzogen. Kein aufwändiges Onboarding, keine IT-Projekte. Neue Projekte starten direkt im neuen Tool, laufende Projekte werden parallel zu Ende geführt.
Fazit
Für Agenturen in Deutschland, Österreich und der Schweiz ist DSGVO-Konformität bei Review-Tools keine optionale Zusatzanforderung – sie ist eine rechtliche Pflicht. Ein geprüfter Speicherort, ein AVV nach Art. 28 DSGVO, offengelegte Unterauftragsverarbeiter und abgesicherte Drittlandübermittlungen sind die Mindestanforderungen. Dieser Beitrag ersetzt keine Rechtsberatung – im Zweifel hilft dein Datenschutzbeauftragter.
draftgo.io erfüllt diese Anforderungen – mit Daten auf EU-Servern in Frankfurt und einem transparenten AVV – zu einem fairen Preis, der auch für kleine Agenturen wirtschaftlich ist. Teste es 14 Tage kostenlos – keine Kreditkarte, sofort einsatzbereit.
Weiterführende Artikel:
Geschrieben von
Emilia
Content Producer
Bereit, deine Freigabeprozesse zu optimieren?
Starte noch heute mit draftgo und erlebe, wie einfach professionelle Zusammenarbeit sein kann.