Welche Apps sind DSGVO-konform? Kriterien & Alternativen

Welche Apps sind DSGVO-konform?

Keine App ist „von sich aus” DSGVO-konform – und keine ist es pauschal nicht. Ob Sie WhatsApp, Zoom oder Google Analytics rechtssicher einsetzen dürfen, entscheidet sich an fünf konkreten Punkten: Gibt es einen Auftragsverarbeitungsvertrag (AVV)? Wo stehen die Server? Existiert für einen US-Transfer eine gültige Grundlage? Verschlüsselt der Dienst angemessen? Und lassen sich Daten exportieren und löschen? Erfüllt ein Dienst diese Punkte, ist er einsetzbar; fehlt einer, wird es heikel. Der Rest ist Prüfung im Einzelfall – dazu unten das Raster, der aktuelle Stand zum EU-US Data Privacy Framework (Juli 2026) und geprüfte Alternativen nach Kategorie mit Preisen und den Fehlern, die 2022 über 100.000 Abmahnungen ausgelöst haben.

„DSGVO-konform” ist eine Frage der Nutzung, nicht der App

Dieselbe Software kann im einen Unternehmen zulässig und im nächsten ein klarer Verstoß sein. Microsoft 365 rein privat genutzt ist unkritisch; im Betrieb ohne AVV und ohne saubere Konfiguration dagegen angreifbar. Der Grund liegt in den Rollen der DSGVO: Sobald ein Dienst personenbezogene Daten in Ihrem Auftrag verarbeitet – für Ihr Unternehmen, Ihre Website, Ihre Kundschaft –, sind Sie die verantwortliche Stelle (Art. 4 Nr. 7). Die App ist nur Auftragsverarbeiterin. Die Pflichten und das Haftungsrisiko bleiben bei Ihnen.

Eine pauschale „Whitelist konformer Apps” bringt deshalb wenig: Tarife, Serverstandorte und Unterauftragsverarbeiter ändern sich, und derselbe Anbieter kann ein datensparsames EU-Produkt und ein datenhungriges US-Produkt im Portfolio haben. Nützlicher ist ein Raster, das Sie auf jeden neuen Dienst anwenden.

Die fünf Kriterien, die wirklich zählen

1. Auftragsverarbeitungsvertrag (AVV). Art. 28 DSGVO verlangt mit jedem Auftragsverarbeiter einen schriftlichen oder elektronischen Vertrag. Seriöse Anbieter stellen ihn zum Download oder per Klick im Konto bereit – bei Google etwa als „Datenverarbeitungszusatz”, bei Microsoft im „Data Protection Addendum”. Gibt es keinen AVV, ist der Dienst für die geschäftliche Verarbeitung personenbezogener Daten praktisch gesperrt.

2. Serverstandort und Drittlandtransfer. Server in der EU/EWR sind der kürzeste Weg zur Konformität. Sitzt der Anbieter in den USA, brauchen Sie eine Transfergrundlage – seit dem 10. Juli 2023 in der Regel das EU-US Data Privacy Framework (dazu gleich mehr). Die Schweiz ist über einen eigenen Angemessenheitsbeschluss abgedeckt, weshalb Schweizer Anbieter wie Threema oder Proton unkompliziert sind.

3. Datensparsamkeit (Art. 5). Erhebt die App nur, was der Zweck erfordert? Ein Messenger, der Ihr komplettes Adressbuch hochlädt, ist kritischer als einer, der ohne Telefonnummer auskommt.

4. Technische und organisatorische Maßnahmen (Art. 32). Angemessene Sicherheit heißt: Verschlüsselung – idealerweise Ende-zu-Ende –, Zugriffskontrolle, Protokollierung. Anbieter dokumentieren das in einem TOM- oder Security-Whitepaper.

5. Betroffenenrechte und Löschkonzept. Können Sie Auskunft (Art. 15) und Löschung (Art. 17) tatsächlich umsetzen? Ein Dienst, aus dem sich Daten weder exportieren noch löschen lassen, macht Ihnen die Erfüllung dieser Pflichten unmöglich.

Kurzformel: AVV + EU-Standort (oder DPF/Schweiz) + Verschlüsselung + Exportierbarkeit = grün. Fehlt ein Baustein, lohnt der genaue Blick.

Data Privacy Framework 2026: der aktuelle Stand

An dieser Stelle herrscht die meiste Unsicherheit, deshalb der Stand Juli 2026. Das alte Privacy Shield kippte 2020 mit dem Schrems-II-Urteil. Seit dem 10. Juli 2023 gilt als Nachfolger das EU-US Data Privacy Framework (DPF): US-Unternehmen, die sich beim US-Handelsministerium zertifizieren und den DPF-Prinzipien unterwerfen, gelten als angemessenes Datenschutzniveau. Ein Transfer zu einem zertifizierten Anbieter braucht damit keine zusätzlichen Standardvertragsklauseln mehr.

Das Framework stand von Anfang an unter Beschuss. Der französische Abgeordnete Philippe Latombe klagte auf Nichtigkeit – am 3. September 2025 wies das Gericht der EU (EuG) die Klage ab (Rechtssache T-553/23) und bestätigte das DPF. Latombe legte dagegen Rechtsmittel beim Europäischen Gerichtshof ein (Rechtssache C-703/25 P), über das im Juli 2026 noch kein Verhandlungstermin angesetzt ist; auch die Organisation noyb um Max Schrems prüft eine weitere Klage. Bis zu einer gegenteiligen Entscheidung gilt das DPF, doch die EU-Kommission kann es jederzeit aussetzen. Praktische Konsequenz: Verlassen Sie sich nicht blind darauf, aber der pauschale Ausschluss „US-Firma = verboten” ist überholt.

So prüfen Sie in unter einer Minute, ob ein US-Dienst zertifiziert ist:

Öffnen Sie dataprivacyframework.gov und dort die „Data Privacy Framework List”.
Suchen Sie den exakten Firmennamen – etwa „Google LLC” oder „Zoom Communications, Inc.”.
Prüfen Sie den Status: Er muss „Active” sein und den Rahmen „EU-U.S. DPF” abdecken (nicht nur die Schweizer oder UK-Variante).
Achten Sie auf die genaue Gesellschaft: Zertifiziert ist meist die US-Muttergesellschaft (Google LLC), nicht automatisch jede Landestochter oder jedes Einzelprodukt.

Google LLC ist Stand Juli 2026 aktiv zertifiziert – Google Analytics 4 und Google Workspace lassen sich also über das DPF nutzen, für Analytics zusätzlich nur mit Einwilligung.

Geprüfte Alternativen nach Kategorie

Die folgende Tabelle stellt häufig genutzten, im Geschäftskontext kritischen Diensten eine datenschutzfreundliche Alternative gegenüber. Prüfen Sie den AVV im Einzelfall trotzdem – Tarife und Unterauftragsverarbeiter ändern sich.

Kategorie	Kritisch im Business	DSGVO-freundliche Alternative	Kern-Grund
Messenger	WhatsApp (Meta, USA)	Threema Work (CH), Signal	AVV + kein Adressbuch-Upload
E-Mail	Gmail privat, Outlook.com	mailbox.org, Posteo, Proton (CH)	EU-Server + AVV
Cloud	Dropbox, Google Drive	Nextcloud, Tresorit (CH), luckycloud	Ende-zu-Ende + Speicherort EU
Video	Zoom ohne Konfiguration	Jitsi Meet (self-hosted)	kein US-Transfer
Analytics	Universal Analytics ohne Consent	Matomo, etracker, Plausible	cookielos möglich, EU-Server
Newsletter	Mailchimp (USA)	rapidmail, CleverReach, Brevo	AVV + EU-Verarbeitung

Zu den wichtigsten Optionen im Detail:

Messenger. Threema Work (Schweiz) bietet einen AVV und gestaffelte Jahreslizenzen pro Nutzer (Einstiegstarif rund 13 € pro Lizenz und Jahr); die App kommt ohne Telefonnummer und ohne Adressbuch-Zwang aus. Signal ist Ende-zu-Ende-verschlüsselt und extrem datensparsam, bietet aber keinen klassischen AVV – gut für interne oder private Nutzung, für die formale Auftragsverarbeitung fehlt der Vertrag. WhatsApp bleibt im Business heikel: Metadaten fließen an Meta in die USA, der Adressbuch-Upload ist rechtlich umstritten. Mehr dazu in unserem Beitrag zur DSGVO-konformen Kundenkommunikation.

E-Mail. mailbox.org (Server in Berlin) kostet Geschäftskunden im Tarif Standard rund 3 € pro Postfach und Monat – inklusive AVV, eigener Domain und PGP-Verschlüsselung; Posteo (ebenfalls Deutschland, Ökostrom) kostet 1 € pro Monat und speichert keine IP-Adressen. Proton Mail (Schweiz) liefert Ende-zu-Ende-Verschlüsselung, für Firmen mit Business-Tarif und Data Processing Agreement. Tuta (früher Tutanota, Hannover) verschlüsselt Postfachinhalt und Kalender und protokolliert keine IP-Adressen.

Cloud & Dateiablage. Nextcloud – quelloffen, auf eigenem Server oder bei einem deutschen Hoster – gibt Ihnen volle Kontrolle über den Speicherort. Tresorit (Schweiz) und luckycloud (Berlin) sind Ende-zu-Ende-verschlüsselte Dropbox-Alternativen mit AVV. Welche deutschen Anbieter sich für größere Setups eignen, zeigt unsere Übersicht der führenden Cloud-Anbieter in Deutschland.

Videokonferenzen. Jitsi Meet läuft selbst gehostet ohne Konto und ohne US-Transfer. Zoom und Cisco Webex sind mit AVV und passender Konfiguration einsetzbar; Zoom ist DPF-zertifiziert. Aktivieren Sie im Admin-Bereich die EU-Datenverarbeitung.

Website-Analyse. Matomo – selbst gehostet – behält alle Daten bei Ihnen und läuft oft cookielos, also ohne Consent-Banner. etracker (Hamburg) und Plausible (EU-gehostet) sind datensparsame Alternativen. Google Analytics 4 ist über das DPF nutzbar, aber nur mit Einwilligung. Lädt das Tracking trotz Banner zu früh, hilft Google Analytics wird von Borlabs Cookie nicht blockiert.

Newsletter. rapidmail (Freiburg), CleverReach (Rastede) und Brevo (EU) bieten AVV und EU-Verarbeitung. Mailchimp (USA) ist über das DPF möglich, verlangt aber sorgfältige Einwilligungsdokumentation – für die meisten deutschen Websites ist ein EU-Anbieter der einfachere Weg.

Google Fonts & Co.: die Abmahn-Klassiker

Ein Muster verursacht bis heute die meisten Abmahn- und Bußgeldrisiken: US-Ressourcen, die ohne Einwilligung und vor dem Klick auf „Akzeptieren” laden.

Google Fonts dynamisch eingebunden. Das LG München I sprach am 20. Januar 2022 (Az. 3 O 17493/20) 100 € Schadensersatz zu, weil eine Website Schriften vom Google-Server nachlud und dabei die IP-Adresse ungefragt in die USA übertrug. Es folgte 2022 eine Welle von über 100.000 automatisierten Abmahnungen. Das LG München I stufte dieses Geschäftsmodell am 30. März 2023 als rechtsmissbräuchlich ein (Az. 4 O 13063/22) – der Kläger hatte die betroffenen Seiten per Crawler gezielt aufgespürt, statt sie tatsächlich zu besuchen –, sodass die Abmahn-Industrie versiegte. Das Datenschutzproblem selbst bleibt aber bestehen. Lösung: Schriften lokal hosten.

/* fonts.css – lokal ausgeliefert, kein Google-Server */
@font-face {
  font-family: "Inter";
  src: url("/fonts/inter-regular.woff2") format("woff2");
  font-weight: 400;
  font-display: swap;
}

In WordPress erledigt das ein Plugin wie OMGF, das Google Fonts automatisch lokal ablegt; bei individuell gebauten Themes binden Sie die .woff2-Dateien direkt ein und entfernen jeden Aufruf von fonts.googleapis.com.

US-Analytics, -Karten oder reCAPTCHA ohne Einwilligung. Google Analytics, Google Maps oder reCAPTCHA, die vor der Einwilligung laden, sind ein klassischer Consent-Verstoß. Solche Skripte müssen blockiert bleiben, bis der Nutzer zustimmt – wie das sauber gelingt, zeigen die optimalen Einstellungen für Borlabs Cookie und speziell die Anleitung zu reCAPTCHA in Borlabs Cookie.
WhatsApp auf dem Firmenhandy mit Zugriff auf Kundenkontakte – ohne AVV und mit Adressbuch-Übertragung an Meta.
AVV nicht abgeschlossen, obwohl der Anbieter ihn bereitstellt. Das Dokument liegt oft ungenutzt im Konto.

In fünf Schritten selbst prüfen

Zweck klären. Welche personenbezogenen Daten verarbeitet die App – und braucht sie diese wirklich?
AVV suchen und abschließen. Auf der Anbieter-Website unter „Datenschutz”/„Legal” oder im Konto. Kein AVV, kein geschäftlicher Einsatz.
Standort und Transfergrundlage prüfen. EU/EWR ist einfach; USA nur mit aktiver DPF-Zertifizierung des konkreten Anbieters (siehe Lookup oben); Schweiz per Angemessenheitsbeschluss.
TOM und Löschbarkeit checken. Ist die Verschlüsselung dokumentiert? Lassen sich Daten exportieren und löschen?
Dokumentieren. Jeder Dienst gehört ins Verzeichnis von Verarbeitungstätigkeiten (Art. 30) und – sofern für Besucher sichtbar – in die Datenschutzerklärung.

Unsere Einordnung: Für die meisten kleinen und mittleren Unternehmen ist der pragmatischste Weg „EU zuerst”. Wo ein guter EU- oder Schweizer Dienst existiert (E-Mail, Cloud, Newsletter, Analytics), sparen Sie sich die gesamte DPF-Debatte und das Risiko einer künftigen Gerichtsentscheidung. US-Dienste über das DPF lohnen sich dort, wo es schlicht keine gleichwertige Alternative gibt – dann aber sauber mit AVV, Consent und Dokumentation.

FAQ

Gibt es ein offizielles „DSGVO-konform”-Siegel für Apps? Nein. Es existieren freiwillige Zertifizierungen nach Art. 42 DSGVO, aber kein verpflichtendes staatliches Siegel. Werbeaussagen wie „100 % DSGVO-konform” sind Marketing – prüfen Sie AVV, Serverstandort und Verschlüsselung selbst.

Darf ich US-Dienste wie Zoom oder Google 2026 noch einsetzen? Ja, wenn der konkrete Anbieter unter dem EU-US Data Privacy Framework aktiv zertifiziert ist und Sie einen AVV abgeschlossen haben. Für Tracking und andere nicht notwendige Verarbeitung brauchen Sie zusätzlich die Einwilligung über ein Consent-Tool. Das DPF wurde im September 2025 gerichtlich bestätigt, ein Rechtsmittel beim EuGH ist aber noch offen.

Ist WhatsApp im Unternehmen erlaubt? Für die reine interne Kommunikation ohne Kundendaten ist das Risiko gering. Sobald Sie über die private WhatsApp mit Kundschaft kommunizieren und deren Kontakte im Adressbuch stehen, fehlt der AVV und der Adressbuch-Upload an Meta ist problematisch. Für den Kundenkontakt sind Threema Work oder ein DSGVO-fähiger Business-Kanal die sichere Wahl.

Reicht Ende-zu-Ende-Verschlüsselung für DSGVO-Konformität aus? Nein. Verschlüsselung ist eine wichtige Maßnahme nach Art. 32, ersetzt aber nicht AVV, Rechtsgrundlage, Betroffenenrechte und Dokumentation. Alle Bausteine müssen zusammenpassen.

Worin unterscheiden sich kostenlose und Business-Versionen bei der DSGVO? Kostenlose Consumer-Tarife (Gmail privat, Zoom Basic, WhatsApp) bieten meist keinen AVV und finanzieren sich teils über Datenauswertung. Erst die Business- und Enterprise-Tarife enthalten die vertraglichen Zusicherungen, die Sie für den geschäftlichen Einsatz brauchen. Der Wechsel in den passenden Tarif ist oft die eigentliche Konformitätsmaßnahme.

Muss ich jeden Dienst in die Datenschutzerklärung schreiben? In die Datenschutzerklärung gehören alle Dienste, deren Verarbeitung für Websitebesucher sichtbar wird (Analytics, Karten, Schriften, Formular-Tools). Rein interne Werkzeuge – etwa Ihr E-Mail-Postfach – nennen Sie stattdessen im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30.