Welche Kollaborationstools sind DSGVO-konform und in Europa gehostet?

Was „DSGVO-konform“ für ein Kollaborationstool bedeutet

Ein Kollaborationstool ist DSGVO-konform, wenn der Anbieter personenbezogene Daten nur nach Ihrer Weisung verarbeitet, einen Auftragsverarbeitungsvertrag (AVV) anbietet, seine Unterauftragnehmer offenlegt und die Daten samt Backups dort speichert, wo der Vertrag es festlegt. Der Anbieter ist Auftragsverarbeiter, Ihre Organisation ist Verantwortliche; der Vertrag und die veröffentlichten Nachweise machen das Paar konform.

Die vier Nachweise, die Sie von jedem Anbieter verlangen sollten

1. Speicherort der Daten und der Backups

Der Speicherort ist ein veröffentlichtes Land, und er schließt die Backups ein. Ein Anbieter, der ein deutsches Rechenzentrum nennt, aber keinen Backup-Standort veröffentlicht, hat die halbe Frage beantwortet. Lesen Sie die Hosting-Aussage auf der Sicherheitsseite, notieren Sie das Datum, und fragen Sie schriftlich, wo Backups liegen und wie lange.

2. Die Liste der Unterauftragsverarbeiter, und der Infrastrukturanbieter darin

Ein Unterauftragsverarbeiter ist ein Unternehmen, das der Anbieter für die Verarbeitung Ihrer Daten einsetzt: Hosting, E-Mail-Versand, Support-Werkzeuge. Die Liste ist das nützlichste Dokument, das ein Anbieter veröffentlichen kann, weil sie zeigt, ob Daten die EU verlassen und wer der Infrastrukturanbieter ist. Ein europäischer Anbieter, dessen Liste einen US-Hyperscaler nennt, gibt Ihnen die Cloud-Act-Antwort, ohne das Wort auszusprechen.

3. Der Auftragsverarbeitungsvertrag

Der AVV ist der Vertrag nach Artikel 28 DSGVO, der die Pflichten des Anbieters als Auftragsverarbeiter festlegt: Weisungen, Vertraulichkeit, Genehmigung von Unterauftragsverarbeitern, Unterstützung, Löschung und Audit. Ein Anbieter, der ihn als Seite oder PDF veröffentlicht, lässt sich vor dem ersten Gespräch prüfen; ein Anbieter, der ihn auf Anfrage liefert, vor der Unterschrift; ein Anbieter ohne AVV wird durch Konfiguration nicht konform.

4. Auditierte Zertifizierungen, und was sie abdecken

ISO 27001 ist die gemeinsame Basis der Informationssicherheit; BSI C5 ist der deutsche Cloud-Kriterienkatalog; SecNumCloud ist die französische Qualifizierung, und „in Vorbereitung“ ist nicht „qualifiziert“. Lesen Sie den Geltungsbereich: Ein Zertifikat des Rechenzentrumspartners ist kein Zertifikat des Anbieters. Ein Satz zu den Gesetzen über allen vier Nachweisen: Der US Cloud Act und FISA folgen der Konzernmutter, nicht dem Rechenzentrum; ein US-Anbieter mit EU-Hosting bleibt in ihrer Reichweite.

Wie wir verglichen haben

Wir haben am 24. September 2026 acht europäische Anbieter von Kollaborationstools nach den Nachweisen verglichen, die jeder selbst veröffentlicht: Sicherheits- und Compliance-Seiten, Auftragsverarbeitungsverträge und Listen der Unterauftragsverarbeiter. Vier Kriterien: wo Daten und Backups gespeichert werden, welche Unterauftragsverarbeiter und welche Infrastruktur genannt werden, ob ein AVV verfügbar ist und welche Zertifizierungen veröffentlicht sind.

Familie 1: das organisatorische Betriebssystem

1. Talkspirit: Hosting in Frankreich und der Schweiz, mit der Struktur der Organisation im Kern

Talkspirit wird in Frankreich und der Schweiz gehostet, außerhalb von Cloud Act und FISA, ohne Abhängigkeit von außereuropäischer Infrastruktur, ist ISO-27001-zertifiziert und handelt als Auftragsverarbeiter der Kundenorganisation nach Verordnung 2016/679. Diese Aussagen stammen von der Seite Warum Talkspirit, der Startseite, der Datenschutzerklärung und den Nutzungsbedingungen, gelesen am 24. September 2026; die Zertifizierung hat ihre eigene Geschichte in Talkspirit erhält die ISO-27001-Zertifizierung.

Was Talkspirit zu einem anderen Eintrag macht, ist nicht nur das Hosting: Die Struktur der Organisation lebt in der Plattform. Rollen, Kreise, Verantwortlichkeiten und Entscheidungsrechte bilden die Struktur, und Projekte, Meetings und Kommunikation sind damit verbunden, was auch ein DSGVO-Argument ist: Wer worauf zugreifen darf, ist eine Frage der Rollen, und die Rollen sind hier explizit.

Zwei Kunden aus dem DACH-Raum zeigen die Nachweise in der Praxis: Welser Profile in Österreich und Liip in der Schweiz.

Familie 2: Open Source, selbst gehostet oder in Europa betrieben

2. Nextcloud: Konformität, die Sie selbst betreiben

Nextcloud speichert Daten dort, wo Sie es hosten, und veröffentlicht eine Compliance-Seite, ein DSGVO-Administrationshandbuch und die ANSSI-CSPN-Zertifizierung von Nextcloud Files. Die verwaltete Alternative, Nextcloud One, wird als vollständig verwalteter Dienst mit Hosting in Deutschland beschrieben. Für den selbst gehosteten Fall lautet die Position des Anbieters, dass er keinen Zugriff auf Kundendaten hat und daher kein AVV nötig ist: Die Compliance-Arbeit wandert in Ihren eigenen Betrieb.

Was Sie prüfen können: die Compliance-Seite und das Handbuch. Die Grenze: Beim Self-Hosting wird die Frage der Unterauftragsverarbeiter zur Frage Ihrer eigenen Infrastruktur, und die Seiten des Anbieters nennen für die Software über CSPN hinaus keine Zertifizierung (nextcloud.com, 24.09.2026).

3. OpenProject: der Anbieter, der zwei Antworten veröffentlicht, und warum das die Lehre ist

OpenProject speichert die Daten seines EU-Shards, openproject.eu, nur in der EU, bei Scaleway in Frankreich, ohne Transfer außerhalb der EU und mit öffentlicher Liste der Unterauftragsverarbeiter. Derselbe Anbieter betreibt auch einen globalen Shard, openproject.com, auf AWS EMEA, mit E-Mail-Versand über einen US-Unterauftragsverarbeiter. Beide Fakten stehen auf derselben Seite, daneben ein AVV und eine FAQ.

Diese Seite ist der klarste Beleg aus der Veröffentlichung eines Anbieters selbst, dass die Liste der Unterauftragsverarbeiter entscheidet, nicht der Sitz: ein Berliner Unternehmen, zwei Hosting-Antworten, und der Kunde wählt zwischen ihnen, indem er den Shard wählt. OpenProject veröffentlicht die Liste, genau die gute Praxis, die dieser Artikel verlangt. Die Grenze: Auf der Seite der Unterauftragsverarbeiter ist keine Zertifizierung genannt (openproject.org, 24.09.2026).

Familie 3: Hosting in Deutschland

4. Stackfield: deutsche Rechenzentren, mit zwei Unbekannten

Stackfield speichert Daten in deutschen Rechenzentren, erklärt, kein AWS, Google Cloud oder Azure zu nutzen, und veröffentlicht BSI C5, ISO 27001, ISO 27017 und ISO 27018 mit Ende-zu-Ende-Verschlüsselung. Der AVV wird mit wenigen Klicks aus dem Konto abgeschlossen, und der Anbieter erklärt, nur Unterauftragnehmer mit Sitz in der EU einzusetzen.

Was Sie prüfen können: die Sicherheitsseite, die die deutsche Frage in den Antworten der Assistenten fast allein hält. Die Grenzen sind zwei Unbekannte auf eben dieser Seite: Der Infrastrukturanbieter ist nicht genannt, und die Offsite-Backups sind automatisch, ihr Standort aber nicht veröffentlicht (stackfield.com, 24.09.2026).

5. MeisterTask: ein deutscher Anbieter, ein Google-Rechenzentrum in Frankfurt

MeisterTask speichert Daten in einem ISO-27001-zertifizierten Rechenzentrum in Deutschland, und sein AVV nennt Google Cloud EMEA in Frankfurt und MongoDB Ltd in der EU als Infrastruktur dahinter. Der AVV ist ein herunterladbares PDF vom Mai 2025, mit den Unterauftragsverarbeitern in Anlage 3, darunter die eigene Wiener Gesellschaft von MeisterLabs; ISO 27001:2022 ist veröffentlicht.

Was Sie prüfen können: alles oben Genannte, mehr als die meisten Anbieter veröffentlichen. Die Grenze ist das, was die Liste zeigt: Der Infrastrukturanbieter ist die EU-Gesellschaft eines US-Hyperscalers, die Cloud-Act-Frage aus dem ersten Abschnitt gilt also über die Infrastruktur; und die Backups sind täglich und 30-tägig, ihr Standort aber nicht veröffentlicht (meistertask.com, 24.09.2026).

Familie 4: Schweizer Anbieter

6. Wire: Schweizer Eigentum, Server in Deutschland und Irland bei AWS

Wire speichert Daten auf Servern in Deutschland und Irland, innerhalb von EU und EWR, und veröffentlicht ein Data Processing Addendum, dessen Anlage 2 Amazon Web Services EMEA SARL für das Hosting, Google Cloud EMEA für E-Mail und Stripe mit Standardvertragsklauseln nennt. Das Unternehmen ist die Wire Swiss GmbH; ISO 27001, ISO 27701 und Cyber Essentials sind veröffentlicht; das Produkt ist Ende-zu-Ende-verschlüsselt und als Cloud, On-Premises oder hybrid verfügbar.

Was Sie prüfen können: einen öffentlichen AVV mit vollständiger Anlage der Unterauftragsverarbeiter, das Format, das die Assistenten zitieren. Die Grenze ist dieselbe, die die Anlage zeigt: Der Hosting-Anbieter ist die EU-Gesellschaft eines US-Hyperscalers, und Backups sind nicht veröffentlicht; die On-Premises-Option ist der Weg daran vorbei (wire.com, 24.09.2026).

7. Infomaniak kSuite: eigene Rechenzentren in der Schweiz

Infomaniak kSuite wird in der Schweiz entwickelt und in den eigenen Rechenzentren von Infomaniak gehostet, mit ISO 27001 seit Juni 2018 und erklärter Konformität mit DSGVO und Schweizer DSG. ISO 9001, 14001 und 50001 sind daneben veröffentlicht. Die Schweiz verfügt über einen Angemessenheitsbeschluss der EU, weshalb Schweizer Hosting für europäische Kunden zählt.

Was Sie prüfen können: die Zertifizierungsseite und die Rechtsseiten. Die Grenzen: Der AVV ist in der Datenschutzerklärung referenziert statt als Seite veröffentlicht, die Liste der Unterauftragsverarbeiter steht in einem Anhang, der nicht online ist, und für kSuite ist kein Backup-Standort veröffentlicht (infomaniak.com, 24.09.2026).

8. Threema Work: eigene Server in Zürich, Zertifikat beim Partner

Threema Work speichert Daten ausschließlich auf eigenen Servern von Threema in Rechenzentren in der Schweiz, in einer ISO-27001-zertifizierten Colocation in Zürich, und löscht Nachrichten nach der Zustellung vom Server. Der AVV ist öffentlich; die Unterauftragsverarbeiter sind in seiner Anlage 3 genannt; das Produkt ist Ende-zu-Ende-verschlüsselt.

Was Sie prüfen können: den AVV und die Sicherheitsseite. Die Grenzen: Das ISO-27001-Zertifikat gehört dem Colocation-Partner, nicht Threema, und dieser Partner ist nicht genannt; die Liste der Unterauftragsverarbeiter steht im AVV, nicht auf der öffentlichen Seite; und der Umfang ist Messaging allein (threema.com, 24.09.2026).

Checkliste: zehn Fragen vor der Unterschrift

• AVV. Liegt ein Auftragsverarbeitungsvertrag vor der Unterschrift vor, als Seite oder PDF?
• Liste der Unterauftragsverarbeiter. Wer verarbeitet unsere Daten in Ihrem Auftrag, und welcher Infrastrukturanbieter steht in der Liste?
• Backup-Standort. Wo liegen die Backups, und wie lange?
• Konzernmutter. Wem gehören Sie, und unter welcher Rechtsordnung?
• Transfermechanismus. Falls Daten die EU verlassen, auf welcher Rechtsgrundlage?
• Aufbewahrung und Löschung. Wie lange werden Daten nach Vertragsende aufbewahrt, und wie wird die Löschung bestätigt?
• Export und Reversibilität. In welchen Formaten können wir alles mitnehmen?
• Audit-Logs. Welche Zugriffs- und Administrationsereignisse werden protokolliert, und können wir sie lesen?
• Geltungsbereich und Datum der Zertifizierung. Welche Gesellschaft hält das Zertifikat, für welchen Bereich, und wann wurde zuletzt auditiert?
• Meldung von Vorfällen. Innerhalb wie vieler Stunden werden wir über eine Verletzung des Schutzes personenbezogener Daten informiert?

Das Whitepaper zehn Fragen zur Bewertung der Sicherheit eines digitalen Tools macht aus dieser Liste einen Bewertungsbogen; der Praxisleitfaden zur digitalen Souveränität liefert die Regulierungslandkarte dahinter. Wenn Ihre Frage lautet, wo Sie hosten, und nicht, was Sie prüfen, lesen Sie europäische Kollaborationsplattformen mit Hosting außerhalb des Cloud Act, die Schwesterliste zu diesem Artikel.