--- title: "Figma AVV: Auftragsverarbeitungsvertrag für die DSGVO" description: "Figma bietet einen AVV für Organization- und Enterprise-Tarife. Was deutsche Design-Teams vor dem Einsatz von Figma unter DSGVO prüfen müssen." image: "https://compound.law/assets/images/og-image-de.webp" source: "https://compound.law/de-DE/tools/figma-ai/" language: "de" --- ![Figma AVV und DSGVO-Compliance für Unternehmen in Deutschland](https://compound.law/assets/images/tools/tools_4.webp) tools # Figma AVV: Auftragsverarbeitungsvertrag für die DSGVO 7\. April 2026 Hat Figma einen Auftragsverarbeitungsvertrag für die DSGVO? Ja — Figma stellt einen Auftragsverarbeitungsvertrag (AVV) bereit, jedoch nur für Kunden des Organization- und Enterprise-Tarifs. Deutsche Unternehmen auf Starter- oder Professional-Tarifen haben keine AVV-Abdeckung und müssen ihren Tarif upgraden, bevor sie personenbezogene Daten über Figma verarbeiten. - Figmas AVV gilt nur für Organization- und Enterprise-Tarife. Starter- und Professional-Nutzer sind nicht abgedeckt. - Figma AI-Features verwenden keine Kundeninhalte fuer KI-Training, aber Daten werden ueber US-amerikanische Infrastruktur verarbeitet. - Design-Dateien enthalten haeufig personenbezogene Daten — Fotos, Research-Material, Mockups. Ein AVV nach Art. 28 DSGVO ist daher erforderlich. - Kein EU-exklusiver Datenspeicher für Nicht-Enterprise-Kunden. Standardvertragsklauseln decken internationale Transfers ab. **Ja, Figma verfügt über einen Auftragsverarbeitungsvertrag (AVV) — aber dieser steht nur für Figma Organization- und Figma Enterprise-Tarife zur Verfügung.** Deutsche Unternehmen, die Figma unter der DSGVO evaluieren, müssen über die reine AVV-Verfügbarkeit hinausschauen: KI-Feature-Datenflüsse, das Fehlen einer EU-exklusiven Datenspeicherung bei günstigeren Tarifen und Betriebsratsanforderungen müssen vor dem Einsatz geprüft werden. ## Was ist Figma? Figma ist eine cloudbasierte kollaborative Design-Plattform mit Hauptsitz in San Francisco, Kalifornien. Sie bietet Vektor-Design-Tools, Prototyping und Echtzeit-Zusammenarbeit für Produkt- und Marketing-Teams. Im Jahr 2024 führte Figma **Figma AI** ein — eine Suite KI-gestützter Features, darunter KI-unterstützte Layout-Generierung, Content-Entwürfe, Design-Vorschläge und Hintergrundentfernung. **FigJam**, Figmas Online-Whiteboard-Produkt, bietet ebenfalls KI-gestützte Features für Brainstorming und Diagrammerstellung. Da Figma Design-Inhalte — die routinemäßig Fotos, User-Research-Daten und Mockups mit personenbezogenen Daten umfassen — im Auftrag von Geschäftskunden verarbeitet, ist das Unternehmen ein **Auftragsverarbeiter** im Sinne von Art. 28 DSGVO. Vor der Verarbeitung personenbezogener Daten über die Plattform in einem professionellen Kontext ist ein wirksamer Auftragsverarbeitungsvertrag rechtlich zwingend erforderlich. ## Ist Figma DSGVO-konform nutzbar? Figma kann mit der richtigen Tarifstufe und vertraglichen Grundlage DSGVO-konform eingesetzt werden. Der kostenfreie Starter-Tarif und der Professional-Tarif beinhalten keinen AVV und sind nicht für die Verarbeitung personenbezogener Daten in einem geschäftlichen Kontext unter der DSGVO geeignet. Wesentliche Punkte für deutsche Unternehmen: - **AVV-Verfügbarkeit:** Verfügbar für Figma Organization und Figma Enterprise. Starter- und Professional-Nutzer haben keine AVV-Abdeckung. - **KI-Trainingsdaten:** Figma erklärt, keine Kundeninhalte — Design-Dateien, Prototypen oder FigJam-Boards — für das Training von KI-Modellen zu verwenden. Dies gilt für alle kostenpflichtigen Tarife. - **Datenspeicherung:** Figma nutzt AWS als primäre Infrastruktur. Eine EU-exklusive Datenspeicherung ist als Standardfeature nicht verfügbar. Enterprise-Kunden sollten Datenspeicherungskonditionen direkt mit Figma verhandeln. - **Unterauftragsverarbeiter:** Figma veröffentlicht eine Unterauftragsverarbeiterliste, einschließlich AWS für Hosting und verschiedener Anbieter für Analytics und Support. Bei Nutzung von Figma AI-Features sind KI-Infrastrukturanbieter als Unterauftragsverarbeiter aufgeführt. - **Standardvertragsklauseln:** Figma enthält im AVV Standardvertragsklauseln (SCCs) für Transfers personenbezogener Daten aus der EU/dem EWR in die USA. ## Hat Figma einen AVV nach Art. 28 DSGVO? Ja. Figma stellt für Organization- und Enterprise-Kunden einen Auftragsverarbeitungsvertrag bereit. Der AVV umfasst die Verarbeitung personenbezogener Daten durch Figma im Auftrag des Geschäftskunden, einschließlich der über Figma AI-Features verarbeiteten Daten. Für deutsche Unternehmen ist der AVV der Ausgangspunkt, nicht der Abschluss der Compliance-Arbeit. Zusätzlich erforderlich: 1. Bestätigung, dass **Standardvertragsklauseln** für Transfers zu Figma (USA) und AWS-Unterauftragsverarbeitern vorliegen. 2. Aktualisierung des **Verzeichnisses von Verarbeitungstätigkeiten** (Art. 30 DSGVO) um Figma. 3. Durchführung einer **Datenschutz-Folgenabschätzung (DSFA)** nach Art. 35 DSGVO, wenn Figma für die Verarbeitung besonderer Kategorien personenbezogener Daten genutzt wird — etwa User-Research mit sensiblen Daten oder Design-Dateien mit Fotos identifizierbarer Personen. 4. Überwachung der Unterauftragsverarbeiter-Benachrichtigungen — Figma informiert Kunden über Änderungen; der interne Prozess muss diese Aktualisierungen erfassen. Als Vergleich: [Canva](https://compound.law/de-DE/tools/canva-ai/) bietet ebenfalls AVV-Abdeckung nur für kostenpflichtige Tarife (Teams und Enterprise) und nutzt SCCs für EU-US-Datentransfers. Für Adobe-Design-Tools verweisen wir auf unseren [Adobe Firefly Compliance-Leitfaden](https://compound.law/de-DE/tools/adobe-firefly/). ## Figma AI-Features und Datenverarbeitung Figma AI, eingeführt auf der Config 2024, ergänzt den Design-Editor um KI-gestützte Funktionen. Diese Features schaffen datenschutzrechtliche Anforderungen, die über die reine Dateispeicherung hinausgehen: **KI-Design-Tools** (Layout-Vorschläge, Content-Befüllung, Design-Generierung) verarbeiten den Inhalt von Design-Frames — einschließlich Bilder, Texte und Struktur — zur Erzeugung von KI-Ausgaben. Dieser Inhalt wird an Figmas KI-Infrastruktur übermittelt. **KI-Content-Entwürfe** generieren Textentwürfe auf Basis des Design-Kontexts. Texte, Beschriftungen und Platzhalterinhalte in einem Design-Frame können als Prompt-Kontext an die KI-Modelle von Figma übermittelt werden. **FigJam AI** bietet KI-gestützte Cluster-Bildung, Zusammenfassungen und Diagrammerstellung. FigJam-Boards können Meeting-Notizen, User-Research-Material, Strategie-Dokumente und andere Inhalte enthalten, die personenbezogene Daten umfassen können. **Wesentlicher Datenschutzpunkt:** Figma erklärt, keine Kundeninhalte für das Training von KI-Modellen zu verwenden. Einzelne KI-Features können in der Regel auf Organisationsebene in Organization- und Enterprise-Tarifen deaktiviert werden. Falls bestimmte KI-Features für den konkreten Einsatzfall nicht geeignet sind, sollte ihre Deaktivierung verifiziert und im Verzeichnis von Verarbeitungstätigkeiten dokumentiert werden. ## Datenspeicherung und internationale Datentransfers Figma hat seinen Hauptsitz in San Francisco und betreibt seine Infrastruktur primär über **Amazon Web Services (AWS)**. Daten europäischer Kunden werden auf AWS-Infrastruktur verarbeitet — auch auf Infrastruktur in den USA. Damit unterliegen über Figma verarbeitete personenbezogene Daten internationalen Transfers nach Kapitel V DSGVO. **Unterauftragsverarbeiter (repräsentativ):** | Unternehmen | Rolle | Standort | | ---------------------- | -------------------------------------------------- | ------------ | | Figma, Inc. | Auftragsverarbeiter (Design-Plattform) | USA | | Amazon Web Services | Unterauftragsverarbeiter (Cloud-Hosting) | USA / Global | | Figma AI-Infrastruktur | Unterauftragsverarbeiter (KI-Feature-Verarbeitung) | USA | Alle Transfers aus der EU/dem EWR basieren auf Standardvertragsklauseln. Die deutschen Datenschutzbehörden haben SCCs als wirksamen Transfermechanismus anerkannt, sofern angemessene Schutzmaßnahmen getroffen werden — insbesondere Verschlüsselung bei der Übertragung und Speicherung sowie Datensparsamkeit. Enterprise-Kunden können Datenspeicherungsvereinbarungen direkt mit dem Figma-Vertrieb verhandeln. Für alle anderen Tarife sind SCCs der primäre rechtliche Mechanismus für internationale Datentransfers. ## Was deutsche Design-Teams wissen müssen Deutsche Unternehmen — insbesondere Produkt-Design-, UX- und Marketing-Teams — sehen sich bei der Nutzung von Figma spezifischen DSGVO-Anforderungen gegenüber: **Betriebsrat-Beteiligung:** Nach **§ 87 Abs. 1 Nr. 6 BetrVG** hat der Betriebsrat Mitbestimmungsrechte bei der Einführung technischer Einrichtungen, die das Verhalten oder die Leistung von Arbeitnehmern überwachen können. Figma erzeugt Nutzungsanalysen, Aktivitätsprotokolle und Kollaborationsdaten, die das Verhalten einzelner Designer nachvollziehbar machen. Wird Figma teamübergreifend eingeführt, kann eine Betriebsratsbeteiligung vor dem Rollout erforderlich sein — insbesondere wenn Nutzungsdaten für Leistungsbewertungen herangezogen werden könnten. **Design-Dateien mit personenbezogenen Daten:** Dies ist das datenschutzrechtlich am häufigsten übersehene Thema. Figma-Dateien enthalten regelmäßig personenbezogene Daten: - **Fotos** erkennbarer Personen in Marketing-Mockups oder Produkt-Prototypen - **User-Research-Daten** — Screenshots, Interview-Notizen, Usability-Test-Aufzeichnungen in FigJam - **Kundendaten** in UI-Prototypen (Namen, E-Mail-Adressen, Kontonummern in Formular-Mockups) Jeder dieser Fälle macht Figma zum Auftragsverarbeiter für die betreffenden Daten. Ein unterzeichneter AVV muss vorliegen, bevor diese Daten in die Plattform eingebracht werden. **Starter- und Professional-Tarif-Lücke:** Viele Designer starten mit dem kostenlosen Starter-Tarif von Figma. Für Starter- oder Professional-Nutzer gibt es keinen AVV — diese Tarife sind für jede berufliche Tätigkeit mit personenbezogenen Daten ungeeignet. Nutzen Mitarbeiter private Figma-Konten für berufliche Arbeit mit Kundendaten oder User-Research-Material, muss dies unmittelbar in der IT- und Datenschutzrichtlinie des Unternehmens adressiert werden. **Agenturen und Auftragsarbeiten:** Design-Agenturen, die Dateien erstellen, die Kundendaten enthalten, müssen Figma als Auftragsverarbeiter für die darin enthaltenen personenbezogenen Daten behandeln. Die AVV-Abdeckung muss sichergestellt sein, und Kundenverträge sollten Datenverarbeitungspflichten adressieren. ## EU AI Act-Anforderungen Figma AI-Features — Layout-Unterstützung, Content-Entwürfe, Design-Generierung — sind kreative Assistenztools. Nach dem **EU AI Act** werden diese in der Regel als **KI-Systeme mit geringem Risiko oder minimalem Risiko** eingestuft. Sie unterstützen menschliche Designer, anstatt autonome Entscheidungen zu treffen, die Einzelpersonen erheblich betreffen. Eine Transparenzpflicht nach dem AI Act greift erst, wenn Figma AI Inhalte erzeugt, die direkt Endnutzern präsentiert werden, die möglicherweise glauben, mit einem Menschen zu interagieren. Die meisten internen Design-Workflows lösen diese Pflicht nicht aus. Einen umfassenden Überblick über KI-Compliance-Pflichten für Unternehmen bietet unser [EU AI Act Compliance-Leitfaden](https://compound.law/de-DE/skills/ki-verordnung-compliance/). ## Unsere Einschätzung Für deutsche Produkt- und Design-Teams ist **Figma Organization oder Enterprise der Mindest-Tarif**, der für eine DSGVO-konforme Nutzung erforderlich ist, wenn Design-Dateien personenbezogene Daten enthalten. Der AVV ist verfügbar, Figma trainiert keine Modelle mit Kundeninhalten, und die Unterauftragsverarbeiter sind dokumentiert. Die Compliance-Schritte entsprechen denen jeder US-amerikanischen SaaS-Plattform: AVV unterzeichnen, SCCs implementieren, Unterauftragsverarbeiter prüfen und den Betriebsrat einbinden, wenn Figma teamübergreifend eingesetzt wird. Die Nutzung des Starter- oder Professional-Tarifs für berufliche Tätigkeiten mit personenbezogenen Daten empfehlen wir ausdrücklich nicht — es besteht keine AVV-Abdeckung, was ein direktes Risiko nach Art. 28 DSGVO begründet. Compound Law unterstützt bei AVV-Prüfung, SCC-Implementierung, DSFA-Erstellung und Betriebsratsverhandlungen für Figma-Deployments. Erfahren Sie mehr über unsere [rechtliche Expertise](https://compound.law/de-DE/expertise/). *** ## Häufig gestellte Fragen ### Hat Figma einen AVV (Auftragsverarbeitungsvertrag)? Ja. Figma stellt für Organization- und Enterprise-Kunden einen Auftragsverarbeitungsvertrag bereit. Starter- und Professional-Nutzer sind nicht durch einen AVV abgedeckt und dürfen in einem professionellen Kontext unter der DSGVO keine personenbezogenen Daten über Figma verarbeiten. Der AVV muss unterzeichnet vorliegen, bevor Design-Dateien mit personenbezogenen Daten in die Plattform eingebracht werden. ### Ist Figma DSGVO-konform für deutsche Unternehmen? Figma kann auf Organization- oder Enterprise-Tarifen DSGVO-konform genutzt werden: mit unterzeichnetem AVV, Standardvertragsklauseln für US-Datentransfers und einem aktualisierten Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Starter- und Professional-Nutzer haben keine AVV-Abdeckung und müssen ihren Tarif upgraden, bevor personenbezogene Daten verarbeitet werden. ### Trainiert Figma KI-Modelle mit Design-Dateien? Figma erklärt, keine Kundeninhalte — einschließlich Design-Dateien und FigJam-Boards — für das Training von KI-Modellen zu verwenden. Dies gilt für alle kostenpflichtigen Tarife. Die aktuellen Figma-Datenschutzbestimmungen und Nutzungsbedingungen sollten regelmäßig geprüft werden, da sich KI-Trainingsdatenrichtlinien ändern können. ### Wo werden Figma-Daten gespeichert? Figma nutzt Amazon Web Services (AWS) als primäre Cloud-Infrastruktur. Daten europäischer Kunden werden auf AWS-Infrastruktur verarbeitet, einschließlich Infrastruktur in den USA. Die Standardvertragsklauseln im Figma-AVV decken diesen internationalen Transfer nach Art. 46 DSGVO ab. Figma bietet keine EU-exklusive Datenspeicherung als Standardfeature außerhalb von Enterprise-Verhandlungen. ### Braucht der Betriebsrat bei Figma ein Mitbestimmungsrecht? Möglicherweise. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat Mitbestimmungsrechte bei der Einführung technischer Einrichtungen, die das Verhalten oder die Leistung von Arbeitnehmern überwachen können. Wenn Figma teamübergreifend eingesetzt wird und Nutzungsanalysen oder Aktivitätsdaten erzeugt, die Rückschlüsse auf individuelle Leistung ermöglichen, sollte der Betriebsrat vor dem Rollout eingebunden werden. ## Weitere Tool-Guides [![Canva AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_3.webp)](https://compound.law/de-DE/tools/canva-avv/) [tools](https://compound.law/de-DE/tools/canva-avv/) ### [Hat Canva eine AVV? Ja — Canva-AVV-Leitfaden für Deutschland](https://compound.law/de-DE/tools/canva-avv/) [Ja — Canva bietet einen Auftragsverarbeitungsvertrag: das Data Processing Addendum. Was der Canva AVV klauselweise regelt und wo deutsche Pflichten ansetzen.](https://compound.law/de-DE/tools/canva-avv/) [![Cursor AVV Auftragsverarbeitungsvertrag Art. 28 DSGVO für Deutschland](https://compound.law/assets/images/tools/tools_2.webp)](https://compound.law/de-DE/tools/cursor-avv/) [tools](https://compound.law/de-DE/tools/cursor-avv/) ### [Cursor AVV: Ja — Was der Anysphere-Auftragsverarbeitungsvertrag regelt](https://compound.law/de-DE/tools/cursor-avv/) [Ja, Cursor bietet einen AVV an — öffentlich unter cursor.com/terms/dpa. Was der Cursor-AVV nach Art. 28 DSGVO regelt und wie deutsche Teams ihn prüfen.](https://compound.law/de-DE/tools/cursor-avv/) [![ElevenLabs AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/elevenlabs-avv/) [tools](https://compound.law/de-DE/tools/elevenlabs-avv/) ### [Hat ElevenLabs eine AVV? Ja — ElevenLabs-AVV für Deutschland](https://compound.law/de-DE/tools/elevenlabs-avv/) [Ja — ElevenLabs bietet einen Auftragsverarbeitungsvertrag unter elevenlabs.io/dpa. Was der ElevenLabs AVV klauselweise nach Art. 28 DSGVO regelt.](https://compound.law/de-DE/tools/elevenlabs-avv/) [![Synthesia DSGVO-Fakten: KI-Training mit Kundendaten, AVV und EU-Speicherung](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/synthesia/) [tools](https://compound.law/de-DE/tools/synthesia/) ### [Synthesia DSGVO: Trainiert Synthesia auf Kundendaten? AVV & Fakten](https://compound.law/de-DE/tools/synthesia/) [Nein — Synthesia trainiert nicht auf Kundendaten. DSGVO-tauglich für deutsche Firmen: AVV nach Art. 28, EU-Speicherung in Irland. Was Sie prüfen müssen.](https://compound.law/de-DE/tools/synthesia/) [![Claude EU-Hosting Vergleich für Anthropic API, AWS Bedrock und Vertex AI](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-eu-hosting/) [tools](https://compound.law/de-DE/tools/claude-eu-hosting/) ### [Claude EU-Hosting: Wo Claude gehostet ist und was unter DSGVO gilt (2026)](https://compound.law/de-DE/tools/claude-eu-hosting/) [Wo ist Claude gehostet? Direkte Nutzung: US-Speicher als Standard. EU-Regionen gibt es über AWS Bedrock oder Vertex AI – inklusive DSGVO-Prüfpunkte.](https://compound.law/de-DE/tools/claude-eu-hosting/) [![Claude ZDR: Zero Data Retention erklärt — Scope für Anthropic API und Claude Code](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-zdr/) [tools](https://compound.law/de-DE/tools/claude-zdr/) ### [Claude ZDR: Zero Data Retention erklärt — Scope für API und Claude Code](https://compound.law/de-DE/tools/claude-zdr/) [ZDR bedeutet Zero Data Retention — keine dauerhafte Speicherung. Scope für Anthropic API und Claude Code, Policy-Quellen, AVV und DSGVO erklärt.](https://compound.law/de-DE/tools/claude-zdr/) Tool Library ### Mehr KI-Tools nach Thema durchsuchen Vergleichen Sie weitere Tools, Datenschutzfragen und Einsatzszenarien in unserer vollständigen KI-Tool-Bibliothek. [Alle KI-Tools ansehen](https://compound.law/de-DE/tools/) - [HubSpot DSGVO-konform? Marketing Hub, Free CRM und AVV tools](https://compound.law/de-DE/tools/hubspot/) - [Cursor AVV 2026: Wo Sie ihn finden und was er regelt tools](https://compound.law/de-DE/tools/cursor/) - [DeepSeek DSGVO-konform? Was deutsche Unternehmen wissen müssen tools](https://compound.law/de-DE/tools/deepseek/) - [Zapier DSGVO 2026: AVV, Art. 28 & EU-Datentransfer aktuell tools](https://compound.law/de-DE/tools/zapier/) - [Ist Claude Code DSGVO-konform? AVV, Datenspeicherung und Hosting tools](https://compound.law/de-DE/tools/claude-code-dsgvo/) - [Claude Enterprise Preise: Kein Listenpreis — Angebot, AVV, EU-Grenzen tools](https://compound.law/de-DE/tools/claude-enterprise/) - [Claude DSGVO: Welche Claude-Tarife fuer Unternehmen zulaessig sind tools](https://compound.law/de-DE/tools/claude-dsgvo/) - [Anthropic Standardvertragsklauseln (SCC): DSGVO-Leitfaden Modul 2 und 3 tools](https://compound.law/de-DE/tools/anthropic-scc/) - [Zoom AI Companion DSGVO-Konformität für deutsche Unternehmen tools](https://compound.law/de-DE/tools/zoom/) - [Hat Airtable einen AVV? Ja — aber nur im Enterprise-Plan (DSGVO) tools](https://compound.law/de-DE/tools/airtable-ai/) - [Claude Team vs. Enterprise: Tarifvergleich für Unternehmen in Deutschland tools](https://compound.law/de-DE/tools/claude-team-vs-enterprise/) - [Claude Enterprise für Kanzleien und Rechtsabteilungen tools](https://compound.law/de-DE/tools/claude-enterprise-kanzleien/) - [Anthropic AVV: Datenverarbeitungsvertrag nach Art. 28 DSGVO? tools](https://compound.law/de-DE/tools/anthropic-datenverarbeitungsvertrag/) - [Claude Enterprise für Deutschland — DSGVO-konform & sicher tools](https://compound.law/de-DE/tools/claude-enterprise-deutschland/) - [Anthropic DPA: Art. 28 DSGVO-Prüfung für Deutschland tools](https://compound.law/de-DE/tools/anthropic-dpa/) ## Häufige Fragen Ja. Figma stellt für Organization- und Enterprise-Kunden einen Auftragsverarbeitungsvertrag bereit. Starter- und Professional-Kunden sind nicht durch einen AVV abgedeckt und dürfen unter der DSGVO in einem professionellen Kontext keine personenbezogenen Daten über Figma verarbeiten. Figma kann auf Organization- oder Enterprise-Tarifen DSGVO-konform genutzt werden: mit unterzeichnetem AVV, Standardvertragsklauseln für US-Datentransfers und aktualisierten Verzeichnissen von Verarbeitungstätigkeiten. Starter- und Professional-Nutzer haben keine AVV-Abdeckung. Figma erklärt, keine Kundeninhalte — einschließlich Design-Dateien und FigJam-Boards — für das Training von KI-Modellen zu verwenden. Dies gilt für alle kostenpflichtigen Tarife. Die aktuellen Figma-Nutzungsbedingungen sollten regelmäßig geprüft werden, da sich KI-Trainingsdatenrichtlinien ändern können. Figma nutzt Amazon Web Services (AWS) als primäre Cloud-Infrastruktur. Daten europäischer Kunden werden auf AWS-Infrastruktur verarbeitet, einschließlich Infrastruktur in den USA. Standardvertragsklauseln im Figma-AVV decken diesen internationalen Transfer ab. Figma bietet kein EU-exklusives Datenspeichermodell für Standard-Tarife. Eine DSFA nach Art. 35 DSGVO ist erforderlich, wenn Figma fuer besondere Kategorien personenbezogener Daten genutzt wird — z. B. Gesundheitsdaten oder Fotos erkennbarer Personen in User-Research. Bei internen Design-Workflows ohne besondere Datenkategorien ist eine DSFA in der Regel nicht verpflichtend. ## Structured data ```json [ { "@context": "https://schema.org", "@type": [ "Organization", "LegalService" ], "@id": "https://compound.law/#organization", "name": "Compound Law", "alternateName": "Compound Law — AI Law Firm", "url": "https://compound.law/", "logo": { "@type": "ImageObject", "url": "https://compound.law/press/logos/PNG/Compound_Law_Icon.png", "width": 1024, "height": 1024 }, "image": "https://compound.law/assets/images/og-image.webp", "description": "Die KI-native Kanzlei in Berlin für Start-ups, Mittelstand und Konzerne: Commercial und Vertragsrecht, Datenschutz, KI-Verordnung, Marken, Gesellschaftsrecht sowie Sanierung und Insolvenz. Jedes Ergebnis prüft ein Anwalt, abgerechnet zum Festpreis.", "foundingDate": "2026", "founder": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] } ], "employee": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Marc Schuba", "jobTitle": "Founding Partner, Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/marc-schuba/", "sameAs": [ "https://www.linkedin.com/in/marcschuba/" ], "knowsAbout": [ "IP- und IT-Recht", "SaaS- und IT-Verträge, IT-Outsourcing", "Software- und Open-Source-Lizenzen", "Datenschutzrecht (DSGVO)", "KI-Recht und KI-Verordnung (AI Act)" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] }, { "@type": "Person", "name": "Philipp Brandt", "jobTitle": "Partner, Rechtsanwalt, Fachanwalt für gewerblichen Rechtsschutz", "url": "https://compound.law/de-DE/lawyers/philipp-brandt/", "sameAs": [ "https://www.linkedin.com/in/philipp-brandt-81b446a/" ], "knowsAbout": [ "Sanierungs- und Insolvenzrecht (Krisenberatung der Geschäftsführung, Schutzschirm- und Planverfahren, Insolvenzverwaltung)", "Gewerblicher Rechtsschutz (Marken, Wettbewerbsrecht, Urheberrecht, Geschäftsgeheimnisse, Lizenzverträge)", "Datenschutzrecht (Datenpannen, Bußgeldverfahren, Auskunft und Schadensersatz)", "Vertriebs- und Handelsrecht (Vertriebsverträge, Kauf und Verkauf von Industrieanlagen)" ] }, { "@type": "Person", "name": "Dr. Markus Dreißigacker", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/markus-dreissigacker/", "sameAs": [ "https://www.linkedin.com/in/markusdreissigacker" ], "knowsAbout": [ "M&A (Due Diligence, Post-Merger-Integration, IPO-Readiness)", "Gesellschaftsrecht (Governance, Gremienarbeit, Restrukturierung)", "Handelsrecht (Kundenverträge, Lieferantenvereinbarungen, NDAs)", "IP (Markenmanagement, IP-Übertragungsverträge)", "Compliance & ESG (Globale Compliance-Programme, Menschenrechte, Nachhaltigkeit)", "Datenschutz (DSGVO-Strategie, DPO-Erfahrung, Datenschutzprogramme)" ] } ], "address": { "@type": "PostalAddress", "addressLocality": "Berlin", "addressCountry": "DE" }, "areaServed": [ "Germany", "Austria", "Switzerland", "European Union", "United Kingdom", "United States", "Singapore" ], "availableLanguage": [ "de", "en" ], "serviceType": [ "AI law firm", "AI-native legal services", "legal counsel for start-ups and growth companies", "legal counsel for mid-sized companies and corporates", "Commercial Law", "Corporate Law", "Employment Law", "Regulatory & Compliance", "Intellectual Property", "Insolvency & Restructuring" ], "hasOfferCatalog": { "@type": "OfferCatalog", "name": "Compound Law services", "itemListElement": [ { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Commercial Contracts", "description": "Battle-tested contracts for your sales process", "serviceType": [ "enterprise contracts", "MSA", "DPA", "sales contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "International Employment", "description": "Compliant hiring across borders", "serviceType": [ "international employment", "hiring abroad", "employment contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "VSOP/ESOP Setup", "description": "Employee participation that actually works", "serviceType": [ "VSOP", "ESOP", "employee stock options", "equity incentives" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Funding Round Support", "description": "Clean legal for your next raise", "serviceType": [ "funding round", "term sheet", "SHA", "due diligence", "cap table" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Corporate Housekeeping", "description": "Get your legal house in order", "serviceType": [ "corporate governance", "board resolutions", "shareholder register" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Data Protection & Privacy", "description": "GDPR compliance that doesn't slow you down", "serviceType": [ "GDPR", "data protection", "privacy", "DPA", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI Act Compliance", "description": "Navigate EU AI regulation", "serviceType": [ "AI Act", "AI compliance", "AI governance", "EU AI regulation" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "IP & Competition", "description": "Protect and enforce what you've built", "serviceType": [ "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Fractional General Counsel", "description": "In-house legal without the full-time cost", "serviceType": [ "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "FinTech Compliance", "description": "Navigate financial regulation", "serviceType": [ "fintech compliance", "BaFin", "banking regulation", "AML", "KYC" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Legal Retainer", "description": "Predictable legal support when you need it", "serviceType": [ "legal retainer", "legal subscription", "ongoing legal support" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "M&A Preparation", "description": "Get ready for acquisition interest", "serviceType": [ "M&A preparation", "acquisition", "due diligence", "exit" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Restructuring & Insolvency", "description": "From the first liquidity check to the restructuring itself", "serviceType": [ "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } } ] }, "contactPoint": { "@type": "ContactPoint", "contactType": "sales", "email": "contact@compound.law", "availableLanguage": [ "English", "German" ], "areaServed": [ "DE", "AT", "CH", "EU", "GB", "US", "SG" ] }, "email": "contact@compound.law", "sameAs": [ "https://www.linkedin.com/company/compoundlawfirm", "https://x.com/CompoundLawFirm" ], "knowsAbout": [ "Commercial Contracts", "enterprise contracts", "MSA", "DPA", "sales contracts", "International Employment", "international employment", "hiring abroad", "employment contracts", "VSOP/ESOP Setup", "VSOP", "ESOP", "employee stock options", "equity incentives", "Funding Round Support", "funding round", "term sheet", "SHA", "due diligence", "cap table", "Corporate Housekeeping", "corporate governance", "board resolutions", "shareholder register", "Data Protection & Privacy", "GDPR", "data protection", "privacy", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR", "AI Act Compliance", "AI Act", "AI compliance", "AI governance", "EU AI regulation", "IP & Competition", "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance", "Fractional General Counsel", "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer", "FinTech Compliance", "fintech compliance", "BaFin", "banking regulation", "AML", "KYC", "Legal Retainer", "legal subscription", "ongoing legal support", "M&A Preparation", "M&A preparation", "acquisition", "exit", "Restructuring & Insolvency", "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ] }, { "@context": "https://schema.org", "@type": "Article", "headline": "Figma AVV: Auftragsverarbeitungsvertrag für die DSGVO", "description": "Figma bietet einen AVV für Organization- und Enterprise-Tarife. Was deutsche Design-Teams vor dem Einsatz von Figma unter DSGVO prüfen müssen.", "image": "https://compound.law/assets/images/tools/tools_4.webp", "datePublished": "2026-04-07T00:00:00.000Z", "dateModified": "2026-04-07T00:00:00.000Z", "author": { "@type": "Person", "name": "Dr. Markus Dreißigacker", "image": "https://compound.law/assets/images/team/markusdreissigacker.webp" }, "publisher": { "@type": "Organization", "@id": "https://compound.law/#organization", "name": "Compound Law" }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://compound.law/de-DE/tools/figma-ai/" } }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://compound.law/de-DE/" }, { "@type": "ListItem", "position": 2, "name": "KI-Tools", "item": "https://compound.law/de-DE/tools/" }, { "@type": "ListItem", "position": 3, "name": "Figma AVV: Auftragsverarbeitungsvertrag für die DSGVO", "item": "https://compound.law/de-DE/tools/figma-ai/" } ] }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Hat Figma einen AVV (Auftragsverarbeitungsvertrag)?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. Figma stellt für Organization- und Enterprise-Kunden einen Auftragsverarbeitungsvertrag bereit. Starter- und Professional-Kunden sind nicht durch einen AVV abgedeckt und dürfen unter der DSGVO in einem professionellen Kontext keine personenbezogenen Daten über Figma verarbeiten." } }, { "@type": "Question", "name": "Ist Figma DSGVO-konform für deutsche Unternehmen?", "acceptedAnswer": { "@type": "Answer", "text": "Figma kann auf Organization- oder Enterprise-Tarifen DSGVO-konform genutzt werden: mit unterzeichnetem AVV, Standardvertragsklauseln für US-Datentransfers und aktualisierten Verzeichnissen von Verarbeitungstätigkeiten. Starter- und Professional-Nutzer haben keine AVV-Abdeckung." } }, { "@type": "Question", "name": "Trainiert Figma KI-Modelle mit Design-Dateien?", "acceptedAnswer": { "@type": "Answer", "text": "Figma erklärt, keine Kundeninhalte — einschließlich Design-Dateien und FigJam-Boards — für das Training von KI-Modellen zu verwenden. Dies gilt für alle kostenpflichtigen Tarife. Die aktuellen Figma-Nutzungsbedingungen sollten regelmäßig geprüft werden, da sich KI-Trainingsdatenrichtlinien ändern können." } }, { "@type": "Question", "name": "Wo werden Figma-Daten gespeichert?", "acceptedAnswer": { "@type": "Answer", "text": "Figma nutzt Amazon Web Services (AWS) als primäre Cloud-Infrastruktur. Daten europäischer Kunden werden auf AWS-Infrastruktur verarbeitet, einschließlich Infrastruktur in den USA. Standardvertragsklauseln im Figma-AVV decken diesen internationalen Transfer ab. Figma bietet kein EU-exklusives Datenspeichermodell für Standard-Tarife." } }, { "@type": "Question", "name": "Brauche ich für Figma eine DSFA?", "acceptedAnswer": { "@type": "Answer", "text": "Eine DSFA nach Art. 35 DSGVO ist erforderlich, wenn Figma fuer besondere Kategorien personenbezogener Daten genutzt wird — z. B. Gesundheitsdaten oder Fotos erkennbarer Personen in User-Research. Bei internen Design-Workflows ohne besondere Datenkategorien ist eine DSFA in der Regel nicht verpflichtend." } } ] } ] ```