--- title: "Hat Canva eine AVV? Ja — Canva-AVV-Leitfaden für Deutschland" description: "Ja — Canva bietet einen Auftragsverarbeitungsvertrag: das Data Processing Addendum. Was der Canva AVV klauselweise regelt und wo deutsche Pflichten ansetzen." image: "https://compound.law/assets/images/og-image-de.webp" source: "https://compound.law/de-DE/tools/canva-avv/" language: "de" --- ![Canva AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_3.webp) tools # Hat Canva eine AVV? Ja — Canva-AVV-Leitfaden für Deutschland 27\. Oktober 2026 Hat Canva eine AVV? Ja. Canva bietet einen Auftragsverarbeitungsvertrag an — das Data Processing Addendum auf canva.com. Es ist Vertragsbestandteil, enthält EU-Standardvertragsklauseln und gilt für Bezahlpläne wie Teams und Enterprise, wenn Canva als Auftragsverarbeiter personenbezogene Daten verarbeitet. - Der Canva AVV ist ein öffentliches Dokument — kein Login, keine Unterschrift, anders als bei portalbasierten Anbieter-AVV. - EU-Standardvertragsklauseln (Modul zwei) sind enthalten; für die SCC gilt irisches Recht. - Subprozessoren-Änderungen: 30 Tage Vorankündigung, nur 10 Tage Widerspruchsfrist — internen Prozess einplanen. - Anhang 1.B erklärt, dass Canva keine sensiblen Daten gezielt verarbeitet — Art.-9-Daten bleiben Ihre Verantwortung. Ja — Canva bietet einen Auftragsverarbeitungsvertrag an. Canva veröffentlicht ihn als **Data Processing Addendum** unter canva.com/policies/data-processing-addendum/; er ist Bestandteil des Canva-Vertrags und gilt automatisch, sobald Canva als Auftragsverarbeiter für Bezahlplan-Kunden wie Canva Teams und Canva Enterprise personenbezogene Daten im Auftrag des Kunden verarbeitet. Für den deutschen Markt ist die Einordnung wichtig: Canva veröffentlicht den Vertrag ausschließlich auf Englisch und nennt ihn **Data Processing Addendum (DPA)** — funktional ist dieses Dokument der **Canva AVV** im Sinne des **Art. 28 DSGVO**. Diese Seite prüft den Vertrag als Beschaffungsdokument: Was regelt jede Klausel, wo erfüllt er die Pflichtinhalte der DSGVO, und wo deutsches Recht und deutsche Beschaffungspraxis eigene Schritte verlangen. Es handelt sich um allgemeine Informationen, keine Rechtsberatung im Einzelfall. Für den AVV-Begriff im Überblick siehe unseren Leitfaden zum [Auftragsverarbeitungsvertrag](https://compound.law/de-DE/compliance/avv-auftragsverarbeitungsvertrag/); für den systematischen Anbietervergleich unsere Seite zur [DSGVO-KI-Beschaffung](https://compound.law/de-DE/compliance/dsgvo-ki-beschaffung/). ## Was der Canva AVV regelt: Klauselindex Canva gliedert den AVV in zwölf nummerierte Abschnitte samt Anhängen und archiviert frühere Fassungen (die Vorgängerversion ist auf den 22. August 2024 datiert). Die Tabelle führt durch die aktuelle Klauselstruktur — die Klauseltitel stehen im Original auf Englisch, weil der Vertrag allein in englischer Sprache veröffentlicht wird. | Klausel | Inhalt | Beschaffungshinweis | | ----------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------- | | §1 Definitions | „European Privacy Laws” umfasst EU-DSGVO, UK GDPR und Schweizer DSG; SCC definiert nach Kommissionsbeschluss (EU) 2021/914 | Die EU-DSGVO ist direkt adressiert, nicht nur US-Datenschutzrecht | | §2.1 Relationship of the parties | Kunde ist Verantwortlicher; Canva verarbeitet ausschließlich als Auftragsverarbeiter auf Weisung | Standard-Rollenverteilung nach Art. 28 Abs. 3 DSGVO — die Verantwortlichkeit bleibt bei Ihnen | | §2.2 Purpose limitation | Verarbeitung nur zum „Permitted Purpose”: Diensterbringung, Vertragserfüllung, dokumentierte Weisungen | Enthält zudem US-Privacy-Law-Zusagen (no-sell/no-share) | | §2.3–2.4 International transfers and SCCs | EU-SCC (Modul zwei, Verantwortlicher zu Auftragsverarbeiter) wird bei Drittlandtransfers Vertragsbestandteil; UK Addendum und Schweiz-Adaptionen inklusive | Clause 17, Option 1: SCC unter irischem Recht; Clause 18(b): irische Gerichte | | §2.5 Confidentiality | Vertraulichkeitspflicht für alle befugten Personen einschließlich Personal und Subunternehmer | Entspricht Art. 28 Abs. 3 lit. b DSGVO | | §2.6 Security | Technische und organisatorische Maßnahmen in Anhang 2, veröffentlicht unter canva.com/policies/technical-and-organisational-measures/ | Canva darf die TOM durch Veröffentlichung anpassen, ohne das Sicherheitsniveau zu senken | | §2.7 Subprocessing | 30 Tage Vorankündigung von Subprozessoren-Änderungen unter canva.com/policies/subprocessors/; Widerspruch an innerhalb von 10 Tagen; Kündigungsrecht; Weitergabe der Pflichten mit voller Haftung von Canva | Die 10-Tage-Frist ist kurz — vor dem Rollout einen Zuständigen benennen | | §2.8 Data subject rights | Unterstützung bei Auskunft, Berichtigung, Widerspruch, Löschung und Datenübertragbarkeit | Entspricht Art. 28 Abs. 3 lit. e DSGVO | | §2.9 DPIA assistance | Mitwirkung bei Datenschutz-Folgenabschätzungen und Aufsichtskonsultation | Unterstützt Art.-35-Verfahren | | §2.10 Personal data breach | Meldung ohne unangemessene Verzögerung samt Kooperation bei Ihren Meldepflichten | Trägt die Fristenlogik des Art. 33 DSGVO | | §2.11 Deletion | Löschung der Kundendaten bei Vertragsende, vorbehaltlich gesetzlicher Aufbewahrungspflichten | Entspricht Art. 28 Abs. 3 lit. g DSGVO | | §2.12 Audit | Jährliche unabhängige ISO-27001-Audits; Zusammenfassung des Auditberichts auf Anfrage; schriftliche Auditfragen einmal pro Jahr | Audit-Nachweis berichtsbasiert, nicht vor Ort — für regulierte Branchen relevant | | Anhänge | Anhang I (Parteien, Transferbeschreibung, Aufsichtsbehörde), Anhang 2 (TOM), Anhang 3 (Subprozessoren) | Anhang 1.B: Canva verarbeitet absichtlich keine sensiblen Daten | Zwei Details verdienen bei der eigenen Lektüre Aufmerksamkeit. Erstens ist die SCC-Modulwahl explizit: Modul zwei (Verantwortlicher zu Auftragsverarbeiter) gilt, und die SCC gehen dem Hauptvertrag bei Konflikten vor. Zweitens benennt Anhang 1.C als Aufsichtsbehörde die des EWR-Mitgliedstaats, in dem der Kunde niedergelassen ist — für deutsche Unternehmen regelmäßig eine der Landesdatenschutzaufsichtsbehörden. ## Deutsche Rechtslage: Wo der Canva AVV ansetzt und wo Lücken bleiben Der Canva AVV erfüllt die Strukturanforderungen des Art. 28 DSGVO. Für die Beschaffung in Deutschland stellen sich danach vier praktische Fragen — und sie lauten hier anders als bei Anbietern mit deutschem Vertragsschluss. **Englisch als Vertragssprache.** Canva veröffentlicht weder AVV noch AGB in deutscher Sprache. Die DSGVO verlangt keine deutsche Fassung, aber die inhaltliche Prüfung obliegt Ihnen: Stellen Sie sicher, dass jemand mit juristischem Englisch die Klauseln gegen Ihren konkreten Workflow abgleicht, und dokumentieren Sie die geprüfte Version. Nachfragen und Widersprüche laufen auf Englisch an und . **Fremdes Vertragsstatut.** Die einbezogenen SCC unterstehen irischem Recht mit Gerichtsstand Irland; Enterprise-Kunden in Europa, die unter dem Master Services Agreement abschließen, unterliegen im Hauptvertrag dem Recht von England und Wales. Ein deutscher Gerichtsstand oder deutsches Vertragsrecht ist nicht verhandelbar — Canva nimmt nach eigener Erklärung keine Änderungen am MSA an. Wer intern ein deutsches Rechtswahl-Konzept fährt, muss das architektonisch über die DSGVO-Pflichten lösen, nicht über das Vertragsstatut. **Kurze Widerspruchsfristen.** Die 10-Tage-Frist für Subprozessoren-Widersprüche (§2.7(a)) ist mit deutschen Beschaffungs- und Datenschutzprozessen kaum in einem Durchgang zu schaffen. Richten Sie vor dem Rollout eine vertretbare Ausnahme- oder Eskalationsregel ein, damit die Frist nicht faktisch leer läuft. **Audit und TOM in der Praxis.** Der Auditnachweis nach §2.12 ist berichtsbasiert: eine Zusammenfassung des ISO-27001-Auditberichts auf Anfrage sowie schriftliche Auditfragen einmal pro Jahr. Wer in Deutschland einen Aufsichtsauftrag oder Kundenanforderungen mit Vor-Ort-Prüfungen erfüllen muss, sollte diese Grenze früh intern kommunizieren und ergänzende Nachweise — etwa die veröffentlichten TOM — in die Vendor-Akte aufnehmen. **Sensible Daten und KI-Training.** Anhang 1.B erklärt, dass Canva keine sensiblen Daten gezielt erhebt oder verarbeitet — alles Sensible in Designs (Fotos identifizierbarer Personen, Gesundheitsbezüge, HR-Unterlagen) bestimmen und steuern Sie als Kunde. Fließen Art.-9-Daten durch Canva, trägt der AVV die Rechtfertigung allein nicht; Sie brauchen eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO und regelmäßig eine DSFA. Beim KI-Training gilt unter dem Master Services Agreement (§1(i)): kein Training mit Kundematerial, außer der Admin aktiviert es ausdrücklich — prüfen Sie die Admin-Einstellungen Ihrer Teams- oder Enterprise-Workspaces und dokumentieren Sie die Konfiguration. Die Plan-Details behandelt unsere Seite zu [Canva und der DSGVO](https://compound.law/de-DE/tools/canva-ai/). Abgrenzung am Rande: Canva veröffentlicht zusätzlich eine separate Service Provider DPA für US-Datenschutzrecht. Für den Einsatz in Deutschland ist der oben geprüfte allgemeine Data Processing Addendum maßgeblich — im Vendor-Register sollte nicht die Service-Provider-Variante landen. ## Art.-28-DSGVO-Checkliste für den Canva AVV Arbeiten Sie diese Schritte vor dem Produktiveinsatz ab und halten Sie die Nachweise im Vendor-Management fest: 1. **Rollenverteilung dokumentieren.** Festhalten, dass Canva als Auftragsverarbeiter nach dem AVV handelt und Ihr Unternehmen für den definierten Workflow Verantwortlicher bleibt. 2. **Pflichtinhalte abgleichen.** Jedes Element des Art. 28 Abs. 3 DSGVO gegen den Klauselindex oben prüfen — Weisungen, Vertraulichkeit, Sicherheit, Subprozessoren, Betroffenenrechte, Pannenmeldung, Löschung und Audit sind adressiert. 3. **Transfers dokumentieren.** SCC-Beiziehung (Modul zwei, irisches Recht), betroffene Drittstaaten und Transferpfade im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO erfassen; bei sensiblen Daten ein Transfer Impact Assessment durchführen. 4. **Subprozessoren-Monitoring einrichten.** Benachrichtigungen nach §2.7(a) abonnieren, die 10-Tage-Widerspruchsfrist intern verkalkern und festlegen, wer neue Subprozessoren bewertet. 5. **Lücken schließen, die der AVV nicht füllt.** Rechtsgrundlage festlegen, DSFA durchführen, sofern erforderlich, bei teamweiten Rollouts mit Nutzungsanalysen den Betriebsrat nach **§ 87 Abs. 1 Nr. 6 BetrVG** einbinden und die KI-Funktionskonfiguration dokumentieren. ## Canva AVV abrufen und abschließen Canva fährt ein **öffentliches, selbstausführendes Modell** — ein spürbarer Unterschied zu portalbasierten Anbieter-AVV. Es gibt kein Login, kein Antragsformular und keine Gegenzeichnung: Der AVV ist dem Vertrag über Ihre Canva-Nutzung beigefügt und gilt automatisch ab Beginn des Abonnements. **Vier Schritte für Ihre Unterlagen:** 1. **Aktuelle Fassung öffnen** unter [canva.com/policies/data-processing-addendum/](https://www.canva.com/policies/data-processing-addendum/) und mit Zugriffsdatum im Vendor-Ordner ablegen. 2. **Version dokumentieren.** Canva archiviert frühere Fassungen; vermerken Sie Version und Zugriffsdatum im Verarbeitungsverzeichnis-Umfeld. 3. **Enterprise-Kunden:** Wer unter dem Master Services Agreement bezieht, findet die DPA-Referenz in den Begriffsbestimmungen (§12(h)); eine PDF-Fassung stellt der Canva-Vertriebskontakt bereit. Das MSA selbst ist änderungsresistent — Markups nimmt Canva nicht an. 4. **Benachrichtigungen aktivieren.** Den Mechanismus nach §2.7(a) nutzen, damit Subprozessoren-Änderungen tatsächlich bei einer benannten Person ankommen. Ausnahme ist der kostenlose Plan: Er wird nicht durch einen AVV abgedeckt, der eine geschäftliche Verarbeitung personenbezogener Daten trägt — deshalb empfiehlt unsere [Canva-DSGVO-Analyse](https://compound.law/de-DE/tools/canva-ai/) Bezahlpläne für jede berufliche Nutzung mit personenbezogenen Daten. ## Canva AVV im Anbietervergleich für deutsche Käufer Die Tabelle stellt den Canva AVV vergleichbaren Anbieterverträgen gegenüber (Stand: Oktober 2026). Prüfen Sie die aktuellen Bedingungen vor der Beschaffungsentscheidung direkt beim jeweiligen Anbieter. | Merkmal | Canva | Claude (Anthropic) | Asana | | -------------------------- | ------------------------------------------------------- | -------------------------------------------------------- | -------------------------------------------------- | | AVV-Zugang | Öffentliche Webseite, automatisch Vertragsbestandteil | In Commercial Terms eingebettet, Abruf über Kundenportal | Automatisch in allen Bezahlplänen enthalten | | SCC für EU-Transfers | Ja — Modul zwei, irisches Recht | Ja — mit Commercial Terms einbezogen | Ja — EU-US-Transfer abgedeckt | | Subprozessoren-Widerspruch | 30 Tage Ankündigung, 10 Tage Widerspruchsfrist | Subprozessorenliste mit Änderungshinweisen | Öffentliche Liste, vertragliches Widerspruchsrecht | | Audit-Nachweis | ISO-27001-Berichtszusammenfassung auf Anfrage, jährlich | Dokumentation auf Anfrage | Widerspruchsrechte plus Auditregelungen | | Kostenloser Plan abgedeckt | Nein | Nein (nur Bezahlprodukte) | Nein | Für deutsche Unternehmen liefern alle drei Anbieter tragfähige Art.-28-Grundlagen. Die Entscheidung fällt außerhalb der AVV-Existenz: EU-Datenresidenz (Canva bietet Residenzoptionen für Enterprise-Kunden), die KI-Training-Grenze, Audit-Anforderungen der eigenen Branche und wie gut der jeweilige Workflow zu Ihren Datenkategorien passt. Vergleichen Sie im Detail den [Claude AVV](https://compound.law/de-DE/tools/claude-avv/) und den [Asana AVV](https://compound.law/de-DE/tools/asana-dpa/). ## Wann der Canva AVV nicht ausreicht Ein abgeschlossener — genauer: automatisch beigefügter — AVV ist der Eintrittspreis, nicht die Ziellinie. Eine vertiefte Prüfung ist regelmäßig erforderlich, wenn: - Designs oder Prompts **Art.-9-Daten** enthalten — Gesundheitsdaten, biometische Daten oder vergleichbare besondere Kategorien - Canva teamübergreifend genutzt wird und **Nutzungsanalysen oder Aktivitätsprotokolle** anfallen — dann berührt dies Mitbestimmungsrechte nach **§ 87 Abs. 1 Nr. 6 BetrVG** - Ihre Richtlinie **EU-only-Datenresidenz** als harte Zusage verlangt, nicht nur als Enterprise-Option - der Einsatz neben der DSGVO **Transparenz- oder Risikopflichten nach dem EU AI Act** erfüllen muss - branchenspezifische Regeln gelten — etwa in Finanzdienstleistungen, Gesundheitsversorgung oder regulierter Beratung In diesen Szenarien ist der AVV eine Akte unter mehreren: Rechtsgrundlage, Verarbeitungsarchitektur, Transfermechanismus und interne Governance gehören in dieselbe Prüfung. Compound Law berät Unternehmen, Gründer und In-house-Teams in Deutschland zu **DSGVO-Compliance, kommerziellen Verträgen und KI-Beschaffung**. Wenn Sie den Canva AVV oder einen anderen KI-Anbietervertrag vor dem Rollout prüfen lassen möchten, [nehmen Sie Kontakt auf](https://compound.law/de-DE/#booking). ## Weitere Tool-Guides [![Cursor AVV Auftragsverarbeitungsvertrag Art. 28 DSGVO für Deutschland](https://compound.law/assets/images/tools/tools_2.webp)](https://compound.law/de-DE/tools/cursor-avv/) [tools](https://compound.law/de-DE/tools/cursor-avv/) ### [Cursor AVV: Ja — Was der Anysphere-Auftragsverarbeitungsvertrag regelt](https://compound.law/de-DE/tools/cursor-avv/) [Ja, Cursor bietet einen AVV an — öffentlich unter cursor.com/terms/dpa. Was der Cursor-AVV nach Art. 28 DSGVO regelt und wie deutsche Teams ihn prüfen.](https://compound.law/de-DE/tools/cursor-avv/) [![ElevenLabs AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/elevenlabs-avv/) [tools](https://compound.law/de-DE/tools/elevenlabs-avv/) ### [Hat ElevenLabs eine AVV? Ja — ElevenLabs-AVV für Deutschland](https://compound.law/de-DE/tools/elevenlabs-avv/) [Ja — ElevenLabs bietet einen Auftragsverarbeitungsvertrag unter elevenlabs.io/dpa. Was der ElevenLabs AVV klauselweise nach Art. 28 DSGVO regelt.](https://compound.law/de-DE/tools/elevenlabs-avv/) [![Synthesia DSGVO-Fakten: KI-Training mit Kundendaten, AVV und EU-Speicherung](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/synthesia/) [tools](https://compound.law/de-DE/tools/synthesia/) ### [Synthesia DSGVO: Trainiert Synthesia auf Kundendaten? AVV & Fakten](https://compound.law/de-DE/tools/synthesia/) [Nein — Synthesia trainiert nicht auf Kundendaten. DSGVO-tauglich für deutsche Firmen: AVV nach Art. 28, EU-Speicherung in Irland. Was Sie prüfen müssen.](https://compound.law/de-DE/tools/synthesia/) [![Claude EU-Hosting Vergleich für Anthropic API, AWS Bedrock und Vertex AI](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-eu-hosting/) [tools](https://compound.law/de-DE/tools/claude-eu-hosting/) ### [Claude EU-Hosting: Wo Claude gehostet ist und was unter DSGVO gilt (2026)](https://compound.law/de-DE/tools/claude-eu-hosting/) [Wo ist Claude gehostet? Direkte Nutzung: US-Speicher als Standard. EU-Regionen gibt es über AWS Bedrock oder Vertex AI – inklusive DSGVO-Prüfpunkte.](https://compound.law/de-DE/tools/claude-eu-hosting/) [![Claude ZDR: Zero Data Retention erklärt — Scope für Anthropic API und Claude Code](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-zdr/) [tools](https://compound.law/de-DE/tools/claude-zdr/) ### [Claude ZDR: Zero Data Retention erklärt — Scope für API und Claude Code](https://compound.law/de-DE/tools/claude-zdr/) [ZDR bedeutet Zero Data Retention — keine dauerhafte Speicherung. Scope für Anthropic API und Claude Code, Policy-Quellen, AVV und DSGVO erklärt.](https://compound.law/de-DE/tools/claude-zdr/) [![HubSpot DSGVO-Konformitaet fuer Marketing Hub und Free CRM](https://compound.law/assets/images/tools/tools_3.webp)](https://compound.law/de-DE/tools/hubspot/) [tools](https://compound.law/de-DE/tools/hubspot/) ### [HubSpot DSGVO-konform? Marketing Hub, Free CRM und AVV](https://compound.law/de-DE/tools/hubspot/) [HubSpot ist fuer den EU-Markt nur DSGVO-konform, wenn AVV, SCC, EU-Datenspeicherung, Rechtsgrundlagen und Betriebsrat sauber geprueft sind.](https://compound.law/de-DE/tools/hubspot/) Tool Library ### Mehr KI-Tools nach Thema durchsuchen Vergleichen Sie weitere Tools, Datenschutzfragen und Einsatzszenarien in unserer vollständigen KI-Tool-Bibliothek. [Alle KI-Tools ansehen](https://compound.law/de-DE/tools/) - [Cursor AVV 2026: Wo Sie ihn finden und was er regelt tools](https://compound.law/de-DE/tools/cursor/) - [DeepSeek DSGVO-konform? Was deutsche Unternehmen wissen müssen tools](https://compound.law/de-DE/tools/deepseek/) - [Zapier DSGVO 2026: AVV, Art. 28 & EU-Datentransfer aktuell tools](https://compound.law/de-DE/tools/zapier/) - [Ist Claude Code DSGVO-konform? AVV, Datenspeicherung und Hosting tools](https://compound.law/de-DE/tools/claude-code-dsgvo/) - [Claude Enterprise Preise: Kein Listenpreis — Angebot, AVV, EU-Grenzen tools](https://compound.law/de-DE/tools/claude-enterprise/) - [Claude DSGVO: Welche Claude-Tarife fuer Unternehmen zulaessig sind tools](https://compound.law/de-DE/tools/claude-dsgvo/) - [Anthropic Standardvertragsklauseln (SCC): DSGVO-Leitfaden Modul 2 und 3 tools](https://compound.law/de-DE/tools/anthropic-scc/) - [Zoom AI Companion DSGVO-Konformität für deutsche Unternehmen tools](https://compound.law/de-DE/tools/zoom/) - [Hat Airtable einen AVV? Ja — aber nur im Enterprise-Plan (DSGVO) tools](https://compound.law/de-DE/tools/airtable-ai/) - [Claude Team vs. Enterprise: Tarifvergleich für Unternehmen in Deutschland tools](https://compound.law/de-DE/tools/claude-team-vs-enterprise/) - [Claude Enterprise für Kanzleien und Rechtsabteilungen tools](https://compound.law/de-DE/tools/claude-enterprise-kanzleien/) - [Anthropic AVV: Datenverarbeitungsvertrag nach Art. 28 DSGVO? tools](https://compound.law/de-DE/tools/anthropic-datenverarbeitungsvertrag/) - [Claude Enterprise für Deutschland — DSGVO-konform & sicher tools](https://compound.law/de-DE/tools/claude-enterprise-deutschland/) - [Anthropic DPA: Art. 28 DSGVO-Prüfung für Deutschland tools](https://compound.law/de-DE/tools/anthropic-dpa/) - [Claude Business DSGVO: Pro, Team und Enterprise im Vergleich tools](https://compound.law/de-DE/tools/claude-business-dsgvo/) ## Häufige Fragen Ja. Canva stellt einen Auftragsverarbeitungsvertrag bereit — das Data Processing Addendum unter canva.com/policies/data-processing-addendum/. Er ist Vertragsbestandteil und gilt automatisch, wenn Canva als Auftragsverarbeiter personenbezogene Daten verarbeitet, für Bezahlpläne wie Teams und Enterprise. Der kostenlose Plan trägt eine geschäftliche Verarbeitung nicht. Grundsätzlich ja. Der Canva AVV adressiert die Pflichtinhalte des Art. 28 Abs. 3 DSGVO: Weisungsgebundenheit, Vertraulichkeit, Sicherheitsmaßnahmen, Subprozessoren, Betroffenenrechte, Meldung von Datenpannen, Löschung und Audit. Ob er für Ihren Einsatz ausreicht, hängt davon ab, ob Rollen, Datenkategorien, Transferpfade und Subprozessoren zu Ihrem konkreten Canva-Workflow passen. Nein. Der Canva AVV ist dem Vertrag über Ihre Canva-Nutzung beigefügt und wird automatisch Vertragsbestandteil — eine Gegenzeichnung entfällt. Praktisch wichtig ist stattdessen: Speichern Sie die aktuelle Fassung mit Datum, dokumentieren Sie die Version im Vendor-Register und abonnieren Sie die Subprozessoren-Benachrichtigungen. Für die im Canva AVV einbezogenen Standardvertragsklauseln gilt irisches Recht; Gerichtsstand ist Irland (Clause 17, Option 1 und Clause 18(b)). Enterprise-Kunden in Europa, die unter dem Canva Master Services Agreement contracten, unterliegen im Hauptvertrag dem Recht von England und Wales. Bei Konflikten geht der AVV dem Hauptvertrag vor. Nein. Die hier beschriebene AVV-Praxis betrifft die Bezahlpläne — Canva Teams und Canva Enterprise. Kostenlose Konten sind nicht in einer Weise durch einen AVV abgedeckt, die eine geschäftliche Verarbeitung personenbezogener Daten trägt. Das entspricht dem Muster bei anderen Anbietern wie Anthropic. Der Canva AVV ist als öffentliche Webseite unter canva.com/policies/data-processing-addendum/ abrufbar — kein Login erforderlich. Canva archiviert frühere Fassungen, und die Subprozessorenliste sowie die technischen und organisatorischen Maßnahmen liegen auf angrenzenden Policy-Seiten. Enterprise-Kunden unter dem MSA können über ihre Vertriebskontakte eine PDF-Fassung anfordern. Mehrere KI-Anbieter veröffentlichen für Deutschland taugliche AVV — darunter Canva, Anthropic (Claude), OpenAI und Asana. Der Unterschied liegt seltener in der AVV-Existenz als in EU-Datenresidenz, Widerspruchsrechten, Audit-Zugang und KI-Trainings-Ausschluss. Vergleichen Sie Canva AVV, Claude AVV und Asana AVV im Detail — und dokumentieren Sie den Vergleich in Ihrer Beschaffungsakte. ## Structured data ```json [ { "@context": "https://schema.org", "@type": [ "Organization", "LegalService" ], "@id": "https://compound.law/#organization", "name": "Compound Law", "alternateName": "Compound Law — AI Law Firm", "url": "https://compound.law/", "logo": { "@type": "ImageObject", "url": "https://compound.law/press/logos/PNG/Compound_Law_Icon.png", "width": 1024, "height": 1024 }, "image": "https://compound.law/assets/images/og-image.webp", "description": "Die KI-native Kanzlei in Berlin für Start-ups, Mittelstand und Konzerne: Commercial und Vertragsrecht, Datenschutz, KI-Verordnung, Marken, Gesellschaftsrecht sowie Sanierung und Insolvenz. Jedes Ergebnis prüft ein Anwalt, abgerechnet zum Festpreis.", "foundingDate": "2026", "founder": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] } ], "employee": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Marc Schuba", "jobTitle": "Founding Partner, Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/marc-schuba/", "sameAs": [ "https://www.linkedin.com/in/marcschuba/" ], "knowsAbout": [ "IP- und IT-Recht", "SaaS- und IT-Verträge, IT-Outsourcing", "Software- und Open-Source-Lizenzen", "Datenschutzrecht (DSGVO)", "KI-Recht und KI-Verordnung (AI Act)" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] }, { "@type": "Person", "name": "Philipp Brandt", "jobTitle": "Partner, Rechtsanwalt, Fachanwalt für gewerblichen Rechtsschutz", "url": "https://compound.law/de-DE/lawyers/philipp-brandt/", "sameAs": [ "https://www.linkedin.com/in/philipp-brandt-81b446a/" ], "knowsAbout": [ "Sanierungs- und Insolvenzrecht (Krisenberatung der Geschäftsführung, Schutzschirm- und Planverfahren, Insolvenzverwaltung)", "Gewerblicher Rechtsschutz (Marken, Wettbewerbsrecht, Urheberrecht, Geschäftsgeheimnisse, Lizenzverträge)", "Datenschutzrecht (Datenpannen, Bußgeldverfahren, Auskunft und Schadensersatz)", "Vertriebs- und Handelsrecht (Vertriebsverträge, Kauf und Verkauf von Industrieanlagen)" ] }, { "@type": "Person", "name": "Dr. Markus Dreißigacker", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/markus-dreissigacker/", "sameAs": [ "https://www.linkedin.com/in/markusdreissigacker" ], "knowsAbout": [ "M&A (Due Diligence, Post-Merger-Integration, IPO-Readiness)", "Gesellschaftsrecht (Governance, Gremienarbeit, Restrukturierung)", "Handelsrecht (Kundenverträge, Lieferantenvereinbarungen, NDAs)", "IP (Markenmanagement, IP-Übertragungsverträge)", "Compliance & ESG (Globale Compliance-Programme, Menschenrechte, Nachhaltigkeit)", "Datenschutz (DSGVO-Strategie, DPO-Erfahrung, Datenschutzprogramme)" ] } ], "address": { "@type": "PostalAddress", "addressLocality": "Berlin", "addressCountry": "DE" }, "areaServed": [ "Germany", "Austria", "Switzerland", "European Union", "United Kingdom", "United States", "Singapore" ], "availableLanguage": [ "de", "en" ], "serviceType": [ "AI law firm", "AI-native legal services", "legal counsel for start-ups and growth companies", "legal counsel for mid-sized companies and corporates", "Commercial Law", "Corporate Law", "Employment Law", "Regulatory & Compliance", "Intellectual Property", "Insolvency & Restructuring" ], "hasOfferCatalog": { "@type": "OfferCatalog", "name": "Compound Law services", "itemListElement": [ { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Commercial Contracts", "description": "Battle-tested contracts for your sales process", "serviceType": [ "enterprise contracts", "MSA", "DPA", "sales contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "International Employment", "description": "Compliant hiring across borders", "serviceType": [ "international employment", "hiring abroad", "employment contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "VSOP/ESOP Setup", "description": "Employee participation that actually works", "serviceType": [ "VSOP", "ESOP", "employee stock options", "equity incentives" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Funding Round Support", "description": "Clean legal for your next raise", "serviceType": [ "funding round", "term sheet", "SHA", "due diligence", "cap table" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Corporate Housekeeping", "description": "Get your legal house in order", "serviceType": [ "corporate governance", "board resolutions", "shareholder register" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Data Protection & Privacy", "description": "GDPR compliance that doesn't slow you down", "serviceType": [ "GDPR", "data protection", "privacy", "DPA", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI Act Compliance", "description": "Navigate EU AI regulation", "serviceType": [ "AI Act", "AI compliance", "AI governance", "EU AI regulation" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "IP & Competition", "description": "Protect and enforce what you've built", "serviceType": [ "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Fractional General Counsel", "description": "In-house legal without the full-time cost", "serviceType": [ "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "FinTech Compliance", "description": "Navigate financial regulation", "serviceType": [ "fintech compliance", "BaFin", "banking regulation", "AML", "KYC" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Legal Retainer", "description": "Predictable legal support when you need it", "serviceType": [ "legal retainer", "legal subscription", "ongoing legal support" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "M&A Preparation", "description": "Get ready for acquisition interest", "serviceType": [ "M&A preparation", "acquisition", "due diligence", "exit" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Restructuring & Insolvency", "description": "From the first liquidity check to the restructuring itself", "serviceType": [ "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } } ] }, "contactPoint": { "@type": "ContactPoint", "contactType": "sales", "email": "contact@compound.law", "availableLanguage": [ "English", "German" ], "areaServed": [ "DE", "AT", "CH", "EU", "GB", "US", "SG" ] }, "email": "contact@compound.law", "sameAs": [ "https://www.linkedin.com/company/compoundlawfirm", "https://x.com/CompoundLawFirm" ], "knowsAbout": [ "Commercial Contracts", "enterprise contracts", "MSA", "DPA", "sales contracts", "International Employment", "international employment", "hiring abroad", "employment contracts", "VSOP/ESOP Setup", "VSOP", "ESOP", "employee stock options", "equity incentives", "Funding Round Support", "funding round", "term sheet", "SHA", "due diligence", "cap table", "Corporate Housekeeping", "corporate governance", "board resolutions", "shareholder register", "Data Protection & Privacy", "GDPR", "data protection", "privacy", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR", "AI Act Compliance", "AI Act", "AI compliance", "AI governance", "EU AI regulation", "IP & Competition", "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance", "Fractional General Counsel", "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer", "FinTech Compliance", "fintech compliance", "BaFin", "banking regulation", "AML", "KYC", "Legal Retainer", "legal subscription", "ongoing legal support", "M&A Preparation", "M&A preparation", "acquisition", "exit", "Restructuring & Insolvency", "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ] }, { "@context": "https://schema.org", "@type": "Article", "headline": "Hat Canva eine AVV? Ja — Canva-AVV-Leitfaden für Deutschland", "description": "Ja — Canva bietet einen Auftragsverarbeitungsvertrag: das Data Processing Addendum. Was der Canva AVV klauselweise regelt und wo deutsche Pflichten ansetzen.", "image": "https://compound.law/assets/images/tools/tools_3.webp", "datePublished": "2026-10-27T00:00:00.000Z", "dateModified": "2026-10-27T00:00:00.000Z", "author": { "@type": "Person", "name": "Julian Jantze", "image": "https://compound.law/assets/images/team/julianjantze.webp" }, "publisher": { "@type": "Organization", "@id": "https://compound.law/#organization", "name": "Compound Law" }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://compound.law/de-DE/tools/canva-avv/" } }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://compound.law/de-DE/" }, { "@type": "ListItem", "position": 2, "name": "KI-Tools", "item": "https://compound.law/de-DE/tools/" }, { "@type": "ListItem", "position": 3, "name": "Hat Canva eine AVV? Ja — Canva-AVV-Leitfaden für Deutschland", "item": "https://compound.law/de-DE/tools/canva-avv/" } ] }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Hat Canva eine AVV?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. Canva stellt einen Auftragsverarbeitungsvertrag bereit — das Data Processing Addendum unter canva.com/policies/data-processing-addendum/. Er ist Vertragsbestandteil und gilt automatisch, wenn Canva als Auftragsverarbeiter personenbezogene Daten verarbeitet, für Bezahlpläne wie Teams und Enterprise. Der kostenlose Plan trägt eine geschäftliche Verarbeitung nicht." } }, { "@type": "Question", "name": "Ist der Canva AVV nach Art. 28 DSGVO ausreichend?", "acceptedAnswer": { "@type": "Answer", "text": "Grundsätzlich ja. Der Canva AVV adressiert die Pflichtinhalte des Art. 28 Abs. 3 DSGVO: Weisungsgebundenheit, Vertraulichkeit, Sicherheitsmaßnahmen, Subprozessoren, Betroffenenrechte, Meldung von Datenpannen, Löschung und Audit. Ob er für Ihren Einsatz ausreicht, hängt davon ab, ob Rollen, Datenkategorien, Transferpfade und Subprozessoren zu Ihrem konkreten Canva-Workflow passen." } }, { "@type": "Question", "name": "Muss ich den Canva AVV unterschreiben?", "acceptedAnswer": { "@type": "Answer", "text": "Nein. Der Canva AVV ist dem Vertrag über Ihre Canva-Nutzung beigefügt und wird automatisch Vertragsbestandteil — eine Gegenzeichnung entfällt. Praktisch wichtig ist stattdessen: Speichern Sie die aktuelle Fassung mit Datum, dokumentieren Sie die Version im Vendor-Register und abonnieren Sie die Subprozessoren-Benachrichtigungen." } }, { "@type": "Question", "name": "Welches Recht gilt für den Canva AVV?", "acceptedAnswer": { "@type": "Answer", "text": "Für die im Canva AVV einbezogenen Standardvertragsklauseln gilt irisches Recht; Gerichtsstand ist Irland (Clause 17, Option 1 und Clause 18(b)). Enterprise-Kunden in Europa, die unter dem Canva Master Services Agreement contracten, unterliegen im Hauptvertrag dem Recht von England und Wales. Bei Konflikten geht der AVV dem Hauptvertrag vor." } }, { "@type": "Question", "name": "Gilt der Canva AVV für den kostenlosen Plan?", "acceptedAnswer": { "@type": "Answer", "text": "Nein. Die hier beschriebene AVV-Praxis betrifft die Bezahlpläne — Canva Teams und Canva Enterprise. Kostenlose Konten sind nicht in einer Weise durch einen AVV abgedeckt, die eine geschäftliche Verarbeitung personenbezogener Daten trägt. Das entspricht dem Muster bei anderen Anbietern wie Anthropic." } }, { "@type": "Question", "name": "Wo finde ich den Canva AVV?", "acceptedAnswer": { "@type": "Answer", "text": "Der Canva AVV ist als öffentliche Webseite unter canva.com/policies/data-processing-addendum/ abrufbar — kein Login erforderlich. Canva archiviert frühere Fassungen, und die Subprozessorenliste sowie die technischen und organisatorischen Maßnahmen liegen auf angrenzenden Policy-Seiten. Enterprise-Kunden unter dem MSA können über ihre Vertriebskontakte eine PDF-Fassung anfordern." } }, { "@type": "Question", "name": "Welche KI-Anbieter bieten AVV für deutsche Unternehmen an?", "acceptedAnswer": { "@type": "Answer", "text": "Mehrere KI-Anbieter veröffentlichen für Deutschland taugliche AVV — darunter Canva, Anthropic (Claude), OpenAI und Asana. Der Unterschied liegt seltener in der AVV-Existenz als in EU-Datenresidenz, Widerspruchsrechten, Audit-Zugang und KI-Trainings-Ausschluss. Vergleichen Sie Canva AVV, Claude AVV und Asana AVV im Detail — und dokumentieren Sie den Vergleich in Ihrer Beschaffungsakte." } } ] } ] ```