Hat Canva eine AVV?

Ja. Canva bietet einen Auftragsverarbeitungsvertrag an — das Data Processing Addendum auf canva.com. Es ist Vertragsbestandteil, enthält EU-Standardvertragsklauseln und gilt für Bezahlpläne wie Teams und Enterprise, wenn Canva als Auftragsverarbeiter personenbezogene Daten verarbeitet.

• Der Canva AVV ist ein öffentliches Dokument — kein Login, keine Unterschrift, anders als bei portalbasierten Anbieter-AVV.
• EU-Standardvertragsklauseln (Modul zwei) sind enthalten; für die SCC gilt irisches Recht.
• Subprozessoren-Änderungen: 30 Tage Vorankündigung, nur 10 Tage Widerspruchsfrist — internen Prozess einplanen.
• Anhang 1.B erklärt, dass Canva keine sensiblen Daten gezielt verarbeitet — Art.-9-Daten bleiben Ihre Verantwortung.

Ja — Canva bietet einen Auftragsverarbeitungsvertrag an. Canva veröffentlicht ihn als Data Processing Addendum unter canva.com/policies/data-processing-addendum/; er ist Bestandteil des Canva-Vertrags und gilt automatisch, sobald Canva als Auftragsverarbeiter für Bezahlplan-Kunden wie Canva Teams und Canva Enterprise personenbezogene Daten im Auftrag des Kunden verarbeitet.

Für den deutschen Markt ist die Einordnung wichtig: Canva veröffentlicht den Vertrag ausschließlich auf Englisch und nennt ihn Data Processing Addendum (DPA) — funktional ist dieses Dokument der Canva AVV im Sinne des Art. 28 DSGVO. Diese Seite prüft den Vertrag als Beschaffungsdokument: Was regelt jede Klausel, wo erfüllt er die Pflichtinhalte der DSGVO, und wo deutsches Recht und deutsche Beschaffungspraxis eigene Schritte verlangen. Es handelt sich um allgemeine Informationen, keine Rechtsberatung im Einzelfall. Für den AVV-Begriff im Überblick siehe unseren Leitfaden zum Auftragsverarbeitungsvertrag; für den systematischen Anbietervergleich unsere Seite zur DSGVO-KI-Beschaffung.

Was der Canva AVV regelt: Klauselindex

Canva gliedert den AVV in zwölf nummerierte Abschnitte samt Anhängen und archiviert frühere Fassungen (die Vorgängerversion ist auf den 22. August 2024 datiert). Die Tabelle führt durch die aktuelle Klauselstruktur — die Klauseltitel stehen im Original auf Englisch, weil der Vertrag allein in englischer Sprache veröffentlicht wird.

Klausel	Inhalt	Beschaffungshinweis
§1 Definitions	„European Privacy Laws” umfasst EU-DSGVO, UK GDPR und Schweizer DSG; SCC definiert nach Kommissionsbeschluss (EU) 2021/914	Die EU-DSGVO ist direkt adressiert, nicht nur US-Datenschutzrecht
§2.1 Relationship of the parties	Kunde ist Verantwortlicher; Canva verarbeitet ausschließlich als Auftragsverarbeiter auf Weisung	Standard-Rollenverteilung nach Art. 28 Abs. 3 DSGVO — die Verantwortlichkeit bleibt bei Ihnen
§2.2 Purpose limitation	Verarbeitung nur zum „Permitted Purpose”: Diensterbringung, Vertragserfüllung, dokumentierte Weisungen	Enthält zudem US-Privacy-Law-Zusagen (no-sell/no-share)
§2.3–2.4 International transfers and SCCs	EU-SCC (Modul zwei, Verantwortlicher zu Auftragsverarbeiter) wird bei Drittlandtransfers Vertragsbestandteil; UK Addendum und Schweiz-Adaptionen inklusive	Clause 17, Option 1: SCC unter irischem Recht; Clause 18(b): irische Gerichte
§2.5 Confidentiality	Vertraulichkeitspflicht für alle befugten Personen einschließlich Personal und Subunternehmer	Entspricht Art. 28 Abs. 3 lit. b DSGVO
§2.6 Security	Technische und organisatorische Maßnahmen in Anhang 2, veröffentlicht unter canva.com/policies/technical-and-organisational-measures/	Canva darf die TOM durch Veröffentlichung anpassen, ohne das Sicherheitsniveau zu senken
§2.7 Subprocessing	30 Tage Vorankündigung von Subprozessoren-Änderungen unter canva.com/policies/subprocessors/; Widerspruch an [email protected] innerhalb von 10 Tagen; Kündigungsrecht; Weitergabe der Pflichten mit voller Haftung von Canva	Die 10-Tage-Frist ist kurz — vor dem Rollout einen Zuständigen benennen
§2.8 Data subject rights	Unterstützung bei Auskunft, Berichtigung, Widerspruch, Löschung und Datenübertragbarkeit	Entspricht Art. 28 Abs. 3 lit. e DSGVO
§2.9 DPIA assistance	Mitwirkung bei Datenschutz-Folgenabschätzungen und Aufsichtskonsultation	Unterstützt Art.-35-Verfahren
§2.10 Personal data breach	Meldung ohne unangemessene Verzögerung samt Kooperation bei Ihren Meldepflichten	Trägt die Fristenlogik des Art. 33 DSGVO
§2.11 Deletion	Löschung der Kundendaten bei Vertragsende, vorbehaltlich gesetzlicher Aufbewahrungspflichten	Entspricht Art. 28 Abs. 3 lit. g DSGVO
§2.12 Audit	Jährliche unabhängige ISO-27001-Audits; Zusammenfassung des Auditberichts auf Anfrage; schriftliche Auditfragen einmal pro Jahr	Audit-Nachweis berichtsbasiert, nicht vor Ort — für regulierte Branchen relevant
Anhänge	Anhang I (Parteien, Transferbeschreibung, Aufsichtsbehörde), Anhang 2 (TOM), Anhang 3 (Subprozessoren)	Anhang 1.B: Canva verarbeitet absichtlich keine sensiblen Daten

Zwei Details verdienen bei der eigenen Lektüre Aufmerksamkeit. Erstens ist die SCC-Modulwahl explizit: Modul zwei (Verantwortlicher zu Auftragsverarbeiter) gilt, und die SCC gehen dem Hauptvertrag bei Konflikten vor. Zweitens benennt Anhang 1.C als Aufsichtsbehörde die des EWR-Mitgliedstaats, in dem der Kunde niedergelassen ist — für deutsche Unternehmen regelmäßig eine der Landesdatenschutzaufsichtsbehörden.

Deutsche Rechtslage: Wo der Canva AVV ansetzt und wo Lücken bleiben

Der Canva AVV erfüllt die Strukturanforderungen des Art. 28 DSGVO. Für die Beschaffung in Deutschland stellen sich danach vier praktische Fragen — und sie lauten hier anders als bei Anbietern mit deutschem Vertragsschluss.

Englisch als Vertragssprache. Canva veröffentlicht weder AVV noch AGB in deutscher Sprache. Die DSGVO verlangt keine deutsche Fassung, aber die inhaltliche Prüfung obliegt Ihnen: Stellen Sie sicher, dass jemand mit juristischem Englisch die Klauseln gegen Ihren konkreten Workflow abgleicht, und dokumentieren Sie die geprüfte Version. Nachfragen und Widersprüche laufen auf Englisch an [email protected] und [email protected].

Fremdes Vertragsstatut. Die einbezogenen SCC unterstehen irischem Recht mit Gerichtsstand Irland; Enterprise-Kunden in Europa, die unter dem Master Services Agreement abschließen, unterliegen im Hauptvertrag dem Recht von England und Wales. Ein deutscher Gerichtsstand oder deutsches Vertragsrecht ist nicht verhandelbar — Canva nimmt nach eigener Erklärung keine Änderungen am MSA an. Wer intern ein deutsches Rechtswahl-Konzept fährt, muss das architektonisch über die DSGVO-Pflichten lösen, nicht über das Vertragsstatut.

Kurze Widerspruchsfristen. Die 10-Tage-Frist für Subprozessoren-Widersprüche (§2.7(a)) ist mit deutschen Beschaffungs- und Datenschutzprozessen kaum in einem Durchgang zu schaffen. Richten Sie vor dem Rollout eine vertretbare Ausnahme- oder Eskalationsregel ein, damit die Frist nicht faktisch leer läuft.

Audit und TOM in der Praxis. Der Auditnachweis nach §2.12 ist berichtsbasiert: eine Zusammenfassung des ISO-27001-Auditberichts auf Anfrage sowie schriftliche Auditfragen einmal pro Jahr. Wer in Deutschland einen Aufsichtsauftrag oder Kundenanforderungen mit Vor-Ort-Prüfungen erfüllen muss, sollte diese Grenze früh intern kommunizieren und ergänzende Nachweise — etwa die veröffentlichten TOM — in die Vendor-Akte aufnehmen.

Sensible Daten und KI-Training. Anhang 1.B erklärt, dass Canva keine sensiblen Daten gezielt erhebt oder verarbeitet — alles Sensible in Designs (Fotos identifizierbarer Personen, Gesundheitsbezüge, HR-Unterlagen) bestimmen und steuern Sie als Kunde. Fließen Art.-9-Daten durch Canva, trägt der AVV die Rechtfertigung allein nicht; Sie brauchen eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO und regelmäßig eine DSFA. Beim KI-Training gilt unter dem Master Services Agreement (§1(i)): kein Training mit Kundematerial, außer der Admin aktiviert es ausdrücklich — prüfen Sie die Admin-Einstellungen Ihrer Teams- oder Enterprise-Workspaces und dokumentieren Sie die Konfiguration. Die Plan-Details behandelt unsere Seite zu Canva und der DSGVO.

Abgrenzung am Rande: Canva veröffentlicht zusätzlich eine separate Service Provider DPA für US-Datenschutzrecht. Für den Einsatz in Deutschland ist der oben geprüfte allgemeine Data Processing Addendum maßgeblich — im Vendor-Register sollte nicht die Service-Provider-Variante landen.

Art.-28-DSGVO-Checkliste für den Canva AVV

Arbeiten Sie diese Schritte vor dem Produktiveinsatz ab und halten Sie die Nachweise im Vendor-Management fest:

1. Rollenverteilung dokumentieren. Festhalten, dass Canva als Auftragsverarbeiter nach dem AVV handelt und Ihr Unternehmen für den definierten Workflow Verantwortlicher bleibt.
2. Pflichtinhalte abgleichen. Jedes Element des Art. 28 Abs. 3 DSGVO gegen den Klauselindex oben prüfen — Weisungen, Vertraulichkeit, Sicherheit, Subprozessoren, Betroffenenrechte, Pannenmeldung, Löschung und Audit sind adressiert.
3. Transfers dokumentieren. SCC-Beiziehung (Modul zwei, irisches Recht), betroffene Drittstaaten und Transferpfade im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO erfassen; bei sensiblen Daten ein Transfer Impact Assessment durchführen.
4. Subprozessoren-Monitoring einrichten. Benachrichtigungen nach §2.7(a) abonnieren, die 10-Tage-Widerspruchsfrist intern verkalkern und festlegen, wer neue Subprozessoren bewertet.
5. Lücken schließen, die der AVV nicht füllt. Rechtsgrundlage festlegen, DSFA durchführen, sofern erforderlich, bei teamweiten Rollouts mit Nutzungsanalysen den Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG einbinden und die KI-Funktionskonfiguration dokumentieren.

Canva AVV abrufen und abschließen

Canva fährt ein öffentliches, selbstausführendes Modell — ein spürbarer Unterschied zu portalbasierten Anbieter-AVV. Es gibt kein Login, kein Antragsformular und keine Gegenzeichnung: Der AVV ist dem Vertrag über Ihre Canva-Nutzung beigefügt und gilt automatisch ab Beginn des Abonnements.

Vier Schritte für Ihre Unterlagen:

1. Aktuelle Fassung öffnen unter canva.com/policies/data-processing-addendum/ und mit Zugriffsdatum im Vendor-Ordner ablegen.
2. Version dokumentieren. Canva archiviert frühere Fassungen; vermerken Sie Version und Zugriffsdatum im Verarbeitungsverzeichnis-Umfeld.
3. Enterprise-Kunden: Wer unter dem Master Services Agreement bezieht, findet die DPA-Referenz in den Begriffsbestimmungen (§12(h)); eine PDF-Fassung stellt der Canva-Vertriebskontakt bereit. Das MSA selbst ist änderungsresistent — Markups nimmt Canva nicht an.
4. Benachrichtigungen aktivieren. Den Mechanismus nach §2.7(a) nutzen, damit Subprozessoren-Änderungen tatsächlich bei einer benannten Person ankommen.

Ausnahme ist der kostenlose Plan: Er wird nicht durch einen AVV abgedeckt, der eine geschäftliche Verarbeitung personenbezogener Daten trägt — deshalb empfiehlt unsere Canva-DSGVO-Analyse Bezahlpläne für jede berufliche Nutzung mit personenbezogenen Daten.

Canva AVV im Anbietervergleich für deutsche Käufer

Die Tabelle stellt den Canva AVV vergleichbaren Anbieterverträgen gegenüber (Stand: Oktober 2026). Prüfen Sie die aktuellen Bedingungen vor der Beschaffungsentscheidung direkt beim jeweiligen Anbieter.

Merkmal	Canva	Claude (Anthropic)	Asana
AVV-Zugang	Öffentliche Webseite, automatisch Vertragsbestandteil	In Commercial Terms eingebettet, Abruf über Kundenportal	Automatisch in allen Bezahlplänen enthalten
SCC für EU-Transfers	Ja — Modul zwei, irisches Recht	Ja — mit Commercial Terms einbezogen	Ja — EU-US-Transfer abgedeckt
Subprozessoren-Widerspruch	30 Tage Ankündigung, 10 Tage Widerspruchsfrist	Subprozessorenliste mit Änderungshinweisen	Öffentliche Liste, vertragliches Widerspruchsrecht
Audit-Nachweis	ISO-27001-Berichtszusammenfassung auf Anfrage, jährlich	Dokumentation auf Anfrage	Widerspruchsrechte plus Auditregelungen
Kostenloser Plan abgedeckt	Nein	Nein (nur Bezahlprodukte)	Nein

Für deutsche Unternehmen liefern alle drei Anbieter tragfähige Art.-28-Grundlagen. Die Entscheidung fällt außerhalb der AVV-Existenz: EU-Datenresidenz (Canva bietet Residenzoptionen für Enterprise-Kunden), die KI-Training-Grenze, Audit-Anforderungen der eigenen Branche und wie gut der jeweilige Workflow zu Ihren Datenkategorien passt. Vergleichen Sie im Detail den Claude AVV und den Asana AVV.

Wann der Canva AVV nicht ausreicht

Ein abgeschlossener — genauer: automatisch beigefügter — AVV ist der Eintrittspreis, nicht die Ziellinie. Eine vertiefte Prüfung ist regelmäßig erforderlich, wenn:

• Designs oder Prompts Art.-9-Daten enthalten — Gesundheitsdaten, biometische Daten oder vergleichbare besondere Kategorien
• Canva teamübergreifend genutzt wird und Nutzungsanalysen oder Aktivitätsprotokolle anfallen — dann berührt dies Mitbestimmungsrechte nach § 87 Abs. 1 Nr. 6 BetrVG
• Ihre Richtlinie EU-only-Datenresidenz als harte Zusage verlangt, nicht nur als Enterprise-Option
• der Einsatz neben der DSGVO Transparenz- oder Risikopflichten nach dem EU AI Act erfüllen muss
• branchenspezifische Regeln gelten — etwa in Finanzdienstleistungen, Gesundheitsversorgung oder regulierter Beratung

In diesen Szenarien ist der AVV eine Akte unter mehreren: Rechtsgrundlage, Verarbeitungsarchitektur, Transfermechanismus und interne Governance gehören in dieselbe Prüfung.

Compound Law berät Unternehmen, Gründer und In-house-Teams in Deutschland zu DSGVO-Compliance, kommerziellen Verträgen und KI-Beschaffung. Wenn Sie den Canva AVV oder einen anderen KI-Anbietervertrag vor dem Rollout prüfen lassen möchten, nehmen Sie Kontakt auf.