Frame.io und DSGVO: So prüfst du die Datenschutz-Konformität in deiner Agentur

Frame.io ist ein mächtiges Tool für Video-Reviews, doch für Agenturen und Kreativteams im DACH-Raum stellt sich eine zentrale Frage: Wie steht es um die frame.io dsgvo-Konformität? Da es sich um ein Produkt des US-Konzerns Adobe handelt, sind bei der Verarbeitung personenbezogener Daten besondere Sorgfaltspflichten zu erfüllen. Dieser Beitrag gibt dir einen praxisnahen Überblick, welche Punkte du prüfen musst, um eine informierte Entscheidung für deine Projekte zu treffen.

"

Was du wissen solltest: Frame.io ist eine cloudbasierte Plattform für die Zusammenarbeit an Videoinhalten. Seit der Übernahme durch Adobe im Jahr 2021 ist es tief in die Creative Cloud integriert. Für Unternehmen, die der Datenschutz-Grundverordnung (DSGVO) unterliegen, bedeutet der Einsatz eines US-Tools, dass Aspekte wie Datenspeicherung, Drittlandübermittlung und vertragliche Absicherungen genau geprüft werden müssen. Dieser Artikel stellt keine Rechtsberatung dar, sondern dient der Orientierung.

Warum der Datenschutz bei Video-Reviews so wichtig ist

Auf den ersten Blick mag ein Video-Review-Prozess unkritisch erscheinen. Doch bei genauerem Hinsehen wird klar, dass hier oft sensible Daten verarbeitet werden. Deine Aufgabe als verantwortliche Agentur oder Unternehmen ist es, diese Daten zu schützen.

Folgende personenbezogene und vertrauliche Daten können in deinen Review-Prozessen anfallen:

• Visuelle und auditive Daten: Personen (Mitarbeitende, Schauspieler, Interviewpartner) sind im Bild zu sehen oder über ihre Stimme zu identifizieren.
• Metadaten: Namen von Projektbeteiligten, Kommentare und E-Mail-Adressen der Reviewer.
• Vertrauliche Inhalte: Unveröffentlichte Kampagnen, Prototypen, strategische Informationen oder interne Kommunikationsvideos.

Sobald erkennbare Personen oder vertrauliche Geschäftsinformationen im Spiel sind, bewegst du dich im Geltungsbereich der DSGVO. Viele Kundenverträge enthalten zudem spezifische Klauseln zur Vertraulichkeit und zum Speicherort von Daten, die du unbedingt einhalten musst.

Frame.io DSGVO: Die 4 entscheidenden Prüfpunkte für deine Agentur

Um zu bewerten, ob der Einsatz von Frame.io für dein Projekt DSGVO-konform gestaltet werden kann, solltest du vier zentrale Bereiche untersuchen. Die Verantwortung dafür liegt bei dir als „Verantwortlichem“ im Sinne der DSGVO.

1. Speicherort der Daten: Wo liegen deine Dateien?

Der physische Speicherort der Daten ist ein entscheidender Faktor. Die DSGVO stellt hohe Anforderungen an die Übermittlung von personenbezogenen Daten in Länder außerhalb der EU/des EWR („Drittländer“), zu denen auch die USA gehören.

Frame.io ist ein Dienst von Adobe, einem US-Unternehmen. Die Serverinfrastruktur basiert in der Regel auf großen Cloud-Anbietern wie Amazon Web Services (AWS), deren Rechenzentren weltweit verteilt sind. Standardmäßig ist davon auszugehen, dass deine Daten auf US-Servern gespeichert oder zumindest dort verarbeitet werden. Prüfe in der Dokumentation von Adobe oder frage beim Support nach, ob für dein gewähltes Abo-Modell eine Option zur Datenspeicherung ausschließlich in EU-Rechenzentren („Data Residency“) verfügbar ist. Oft ist dies, wenn überhaupt, nur in teuren Enterprise-Plänen der Fall.

2. Auftragsverarbeitungsvertrag (AVV): Die vertragliche Grundlage

Wenn ein externes Unternehmen (wie Adobe) in deinem Auftrag personenbezogene Daten verarbeitet, musst du mit diesem einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO schließen. In der internationalen Praxis wird dieser oft als Data Processing Addendum (DPA) bezeichnet.

Adobe stellt einen solchen Standard-AVV zur Verfügung. Es reicht jedoch nicht aus, diesen nur abzuschließen. Du solltest ihn auch prüfen, um zu verstehen, welche Verpflichtungen Adobe eingeht und welche Unterauftragsverarbeiter (siehe Punkt 4) eingesetzt werden. Dieser Vertrag ist die rechtliche Basis deiner Zusammenarbeit und dokumentiert die Rollen und Pflichten beider Parteien.

3. Drittlandübermittlung: Der Datentransfer in die USA

Die Übermittlung von Daten in die USA ist seit dem „Schrems II“-Urteil des EuGH ein komplexes Thema. Das frühere Abkommen „Privacy Shield“ wurde für ungültig erklärt. Seit 2023 gibt es mit dem EU-US Data Privacy Framework (DPF) einen neuen Angemessenheitsbeschluss, der den Datentransfer erleichtern soll.

Adobe Inc. ist unter diesem Framework zertifiziert. Das schafft eine gültige Rechtsgrundlage für die Datenübermittlung. Dennoch empfehlen Datenschutzexperten weiterhin eine individuelle Risikoabschätzung. Grund dafür ist unter anderem der US-amerikanische CLOUD Act, der US-Behörden unter bestimmten Umständen den Zugriff auf Daten von US-Unternehmen erlaubt, selbst wenn diese auf Servern in der EU gespeichert sind.

4. Unterauftragsverarbeiter: Wer hat noch Zugriff auf die Daten?

Kaum ein großer Softwareanbieter erbringt alle Leistungen selbst. Frame.io bzw. Adobe nutzt für den Betrieb der Plattform weitere Dienstleister, sogenannte Unterauftragsverarbeiter (Sub-processors). Das können Anbieter für Hosting, E-Mail-Versand oder Analyse-Tools sein.

Im AVV von Adobe findest du eine Liste dieser Unterauftragsverarbeiter. Prüfe diese Liste: Wo haben diese Unternehmen ihren Sitz? Werden Daten auch an Dienstleister in weiteren Drittländern übermittelt? Eine transparente Auflistung ist ein gutes Zeichen, aber sie erweitert den Kreis der Unternehmen, die potenziell auf deine Daten zugreifen könnten. Auch wenn das Management solcher Ketten Standard ist, solltest du dir dieser Komplexität bewusst sein, gerade wenn du besonders sensible Projekte wie einen Dreh für eine Bank oder ein Pharmaunternehmen abwickelst.

Risikoabwägung: Wann ist der Einsatz von Frame.io vertretbar?

Eine pauschale Ja- oder Nein-Antwort gibt es nicht. Die Entscheidung hängt von einer dokumentierten Risikoabwägung ab, die du für dein Unternehmen und deine Projekte durchführen musst.

• Geringes Risiko: Du arbeitest an einer reinen Produktanimation ohne Personenbezug oder an einem Social-Media-Clip mit Stock-Material. Die Inhalte sind nicht streng vertraulich. In solchen Fällen kann der Einsatz nach Abschluss des AVV und auf Basis des DPF vertretbar sein.
• Hohes Risiko: Du produzierst einen Imagefilm mit Interviews von Mitarbeitenden, einen Werbespot mit Schauspielern oder ein internes HR-Video. Die Daten sind eindeutig personenbezogen und sensibel. Hier musst du das Risiko des US-Datentransfers besonders sorgfältig gegen den Nutzen abwägen und prüfen, ob deine Kunden oder die betroffenen Personen dem zustimmen. Gerade bei großen Projekten kann es wichtig sein, unnötige Risiken zu vermeiden, die aus unklaren Projektgrenzen entstehen. Ein sauber definierter Prozess hilft dir, Scope Creep zu verhindern und auch rechtliche Rahmenbedingungen von Anfang an festzulegen.

Sprich diese Abwägung unbedingt mit deinem Datenschutzbeauftragten und im Zweifel auch mit deinen Kunden ab. Oft ist es hilfreich, das Thema Datenschutz proaktiv in einem Feedbackgespräch mit dem Kunden zu klären.

Die Alternative: Online Proofing mit Datenspeicherung in der EU

Wenn du die Risiken eines US-Datentransfers minimieren möchtest, ist eine europäische Alternative eine überlegenswerte Option. Hier kommt draftgo ins Spiel, eine Proofing-Plattform, die speziell für die Anforderungen des DACH-Marktes entwickelt wurde.

draftgo ist eine DSGVO-konforme Lösung, bei der deine Daten auf EU-Servern im Rechenzentrum Frankfurt gespeichert werden. Du erhältst standardmäßig einen AVV nach Art. 28 DSGVO. Wie jeder moderne Softwaredienst nutzt auch draftgo spezialisierte internationale Unterauftragsverarbeiter für bestimmte Funktionen. Diese Übermittlungen sind jedoch transparent im AVV aufgeführt und über EU-Standardvertragsklauseln bzw. das DPF rechtlich abgesichert. Der entscheidende Unterschied ist der primäre Speicherort deiner Kern- und Projektdaten in Deutschland. Einen direkten Frame.io-Vergleich findest du ebenfalls bei uns.

FAQ: Häufige Fragen zu Frame.io und der DSGVO

### Ist Frame.io durch die Adobe-Übernahme automatisch DSGVO-konform?

Nein. Eine Übernahme ändert nichts an der technischen Infrastruktur oder den rechtlichen Rahmenbedingungen eines Dienstes. Die Prüfpunkte (Speicherort, AVV, Drittlandtransfer) bleiben dieselben. Die Integration in die Adobe-Welt bedeutet lediglich, dass nun die Datenschutzprozesse und Verträge von Adobe gelten.

### Reicht das EU-US Data Privacy Framework für die DSGVO aus?

Das DPF schafft eine wichtige Rechtsgrundlage für den Datentransfer in die USA. Es ersetzt jedoch nicht deine Pflicht, eine eigene Risikoabschätzung durchzuführen. Kritiker weisen darauf hin, dass die grundlegenden US-Überwachungsgesetze weiterhin bestehen und das Abkommen zukünftig erneut juristisch angefochten werden könnte.

### Was ist der CLOUD Act und betrifft er mich?

Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) erlaubt es US-Sicherheitsbehörden, von US-Unternehmen die Herausgabe von Daten zu verlangen, unabhängig davon, wo diese Daten gespeichert sind. Dieses Gesetz ist einer der Hauptgründe, warum Datenschutzexperten bei der Nutzung von US-Diensten zur Vorsicht raten, da es im Widerspruch zu den Prinzipien der DSGVO stehen kann.

Deine Aufgabe ist es, eine informierte und dokumentierte Entscheidung zu treffen. Analysiere die Art deiner Projekte, sprich mit deinem Datenschutzbeauftragten und wäge die Funktionalität von Frame.io gegen die rechtlichen Anforderungen und Risiken ab.

Mit draftgo kannst du deine Kreativ-Workflows auf einer Plattform managen, die den Fokus auf Datenschutz und europäische Standards legt. Kostenlos testen