Die Wahl eines Review-Tools ist für Agenturen in Deutschland, Österreich und der Schweiz keine rein funktionale Entscheidung – sie ist eine rechtliche. Die DSGVO schreibt vor wie personenbezogene Daten verarbeitet und wo sie gespeichert werden dürfen. Wer ein Review-Tool aus den USA oder Australien nutzt, riskiert Bußgelder, Vertragsstrafen und Vertrauensverlust bei Kunden.
Dieser Artikel erklärt warum der Hosting-Standort für Review-Tools so entscheidend ist, welche rechtlichen Anforderungen gelten und welche Tools sie erfüllen.
Nicht jedes Review-Tool ist DSGVO-konform. Für Agenturen in Deutschland, Österreich und der Schweiz ist EU-Hosting eine rechtliche Anforderung. Dieser Artikel erklärt welche Tools sie erfüllen und warum.
Was du in diesem Artikel erfährst
- Warum der Hosting-Standort bei Review-Tools rechtlich entscheidend ist
- Welche DSGVO-Anforderungen konkret gelten
- Welche Review-Tools wirklich DSGVO-konform sind
- Worauf du beim Anbieter-Check achten musst
Warum der Hosting-Standort entscheidend ist
Wenn du ein Review-Tool nutzt um Kundenprojekte zu verwalten, werden dort personenbezogene Daten verarbeitet:
- Namen und E-Mail-Adressen der Reviewer
- Kommentare und Feedback-Inhalte
- Metadaten zu Projekten und Dateien
- Unveröffentlichte Kampagneninhalte mit strategischen Markenbotschaften
Werden diese Daten außerhalb der EU gespeichert, entsteht eine sogenannte "Drittlandübermittlung" – und die ist nach der DSGVO nur unter sehr spezifischen Bedingungen zulässig.
Das Schrems-II-Urteil und seine Folgen
2020 hat der Europäische Gerichtshof mit dem Schrems-II-Urteil die Übermittlung personenbezogener Daten in die USA erheblich eingeschränkt. Der Privacy Shield – das frühere Abkommen zwischen EU und USA – wurde für ungültig erklärt.
Seitdem ist die Nutzung von US-amerikanischen Cloud-Diensten ohne zusätzliche Schutzmaßnahmen rechtlich problematisch. Das betrifft nicht nur große Konzerne, sondern jede Kreativagentur die personenbezogene Kundendaten in US-Tools speichert.
Für Australien – wo GoVisually hostet – gibt es noch nicht einmal ein EU-Angemessenheitsbeschluss. Die Situation ist dort noch eindeutiger.
Welche DSGVO-Anforderungen konkret gelten
Für den Einsatz eines Review-Tools müssen drei rechtliche Grundlagen erfüllt sein:
1. Rechtsgrundlage für die Datenverarbeitung
Du brauchst eine Rechtsgrundlage dafür, dass du Kundendaten in einem externen Tool verarbeitest. Im B2B-Bereich ist das in der Regel Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
2. Auftragsverarbeitungsvertrag (AVV)
Nach Art. 28 DSGVO musst du mit jedem Dienstleister der personenbezogene Daten in deinem Auftrag verarbeitet einen AVV abschließen. Dieser Vertrag regelt wie der Anbieter mit deinen Daten umgeht, welche Sicherheitsmaßnahmen er trifft und was im Schadensfall gilt.
Ein AVV nach deutschem Recht muss bestimmte Mindestinhalte haben – allgemeine Standardvertragsklauseln auf Englisch reichen nicht aus.
3. EU-Hosting oder geeignete Garantien
Wenn der Anbieter außerhalb der EU hostet, braucht es zusätzliche Schutzmaßnahmen. Standardvertragsklauseln (SCCs) allein reichen nach dem Schrems-II-Urteil nicht mehr aus – sie müssen durch technische Maßnahmen ergänzt werden.
Die sicherste Lösung: EU-Hosting ohne Drittlandübermittlung.
Welche Review-Tools wirklich DSGVO-konform sind
draftgo.io – DSGVO-konform Made in Germany
draftgo.io hostet auf deutschen Servern und bietet einen AVV nach deutschem Recht. Das ist der stärkste verfügbare Datenschutzstandard für DACH-Agenturen.
- Serverstandort: Deutschland ✓
- AVV: Nach deutschem Recht verfügbar ✓
- Datenschutzerklärung: Auf Deutsch, transparent ✓
- Preis: Agentur-Plan 49€/Monat
Zusätzlich bietet draftgo.io alle Kernfunktionen für professionelle Freigaben: frame-genaues Video-Feedback, PDF-Proofing, Design-Review, kein Account-Zwang für Reviewer.
Filestage – Enterprise-DSGVO-Konformität
Filestage hostet ebenfalls auf deutschen Servern und ist ISO 27017 zertifiziert. Der stärkste Datenschutzstandard im Proofing-Markt – aber auch der teuerste Einstieg (199€/Monat).
- Serverstandort: Deutschland ✓
- AVV: Verfügbar ✓
- ISO 27017: ✓
- Preis: Ab 199€/Monat
GoVisually – Nicht DSGVO-konform
GoVisually hostet in Australien. Kein EU-Angemessenheitsbeschluss, kein AVV nach deutschem Recht verfügbar.
- Serverstandort: Australien ✗
- Für DACH-Agenturen: Rechtlich problematisch
Krock.io – Nicht DSGVO-konform
Krock.io hostet in den USA. Nach dem Schrems-II-Urteil für DACH-Agenturen ohne zusätzliche Schutzmaßnahmen nicht zulässig.
- Serverstandort: USA ✗
- Für DACH-Agenturen: Rechtlich problematisch
Was du beim Anbieter-Check konkret prüfen solltest
Bevor du ein Review-Tool einführst, prüfe diese fünf Punkte:
Checkliste DSGVO-konformes Review-Tool
☐ Serverstandort bestätigt: Wo stehen die Server konkret? Lass es dir schriftlich bestätigen – nicht nur die Aussage auf der Website.
☐ AVV verfügbar: Bietet der Anbieter einen AVV nach Art. 28 DSGVO in deutschsprachiger Version an?
☐ Sub-Auftragsverarbeiter transparent: Welche Drittanbieter nutzt der Anbieter seinerseits? Diese müssen im AVV aufgeführt sein.
☐ Datenschutzerklärung auf Deutsch: Ist die Datenschutzerklärung transparent und auf Deutsch verfügbar?
☐ Technische Sicherheitsmaßnahmen: Wird die Datenübertragung verschlüsselt? Gibt es Zugriffskontrollen und Audit-Logs?
Vorsicht bei Tools die auf ihrer Website "GDPR compliant" schreiben aber keinen konkreten Serverstandort nennen. Diese Aussage bedeutet nicht zwingend EU-Hosting – sie kann auch bedeuten, dass das Tool Standardvertragsklauseln nutzt, die nach dem Schrems-II-Urteil allein nicht ausreichend sind.
Häufige Fragen zum DSGVO-konformen Review-Tool
Was passiert wenn ich ein nicht-DSGVO-konformes Tool nutze?
Im Ernstfall drohen Bußgelder von bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes. Darüber hinaus können Kunden Vertragsstrafen geltend machen, wenn sie DSGVO-Konformität ihrer Dienstleister vertraglich vorgeschrieben haben.
Reicht es wenn der Anbieter Standardvertragsklauseln (SCCs) nutzt?
Nein – SCCs allein reichen nach dem Schrems-II-Urteil nicht mehr aus. Sie müssen durch technische Maßnahmen ergänzt werden. Die sicherste Option bleibt EU-Hosting ohne Drittlandübermittlung.
Muss ich als kleine Agentur wirklich auf DSGVO achten?
Ja – die DSGVO gilt für alle Unternehmen die personenbezogene Daten von EU-Bürgern verarbeiten, unabhängig von der Größe. Es gibt keine Ausnahme für kleine Agenturen.
Kann ich meinen Kunden gegenüber garantieren dass ihre Daten DSGVO-konform verarbeitet werden?
Wenn du ein Tool mit deutschem Hosting und AVV nach deutschem Recht nutzt – ja. Mit GoVisually oder Krock.io – nein.
Wie aufwändig ist der Wechsel zu einem DSGVO-konformen Tool?
Bei draftgo.io ist der Wechsel in weniger als einer Stunde vollzogen. Kein aufwändiges Onboarding, keine IT-Projekte. Neue Projekte starten direkt im neuen Tool, laufende Projekte werden parallel zu Ende geführt.
Fazit
Für Agenturen in Deutschland, Österreich und der Schweiz ist DSGVO-Konformität bei Review-Tools keine optionale Zusatzanforderung – sie ist eine rechtliche Pflicht. EU-Hosting, AVV nach deutschem Recht und transparente Datenschutzdokumentation sind die Mindestanforderungen.
draftgo.io erfüllt alle diese Anforderungen – zu einem fairen Preis, der auch für kleine Agenturen wirtschaftlich ist. Teste es 14 Tage kostenlos – keine Kreditkarte, sofort einsatzbereit.
Weiterführende Artikel:
Written by
Emilia
Content Producer
Ready to streamline your approval processes?
Get started with draftgo today and see how easy professional collaboration can be.