--- title: "Salesforce DSGVO-konform nutzen: AVV, Datenresidenz und Betriebsrat 2026" description: "Salesforce DSGVO-Leitfaden für Deutschland: AVV abschließen, Frankfurter Rechenzentrum, BSI C5-Zertifizierung und Betriebsrat-Anforderungen 2026." image: "https://compound.law/assets/images/og-image-de.webp" source: "https://compound.law/de-DE/tools/salesforce/" language: "de" --- ![Salesforce DSGVO-Compliance für deutsche Unternehmen](https://compound.law/assets/images/tools/server.webp) tools # Salesforce DSGVO-konform nutzen: AVV, Datenresidenz und Betriebsrat 2026 15\. April 2026 **Ja, Salesforce lässt sich in Deutschland DSGVO-konform betreiben.** Salesforce stellt einen Auftragsverarbeitungsvertrag (AVV) bereit, betreibt Rechenzentren in Frankfurt am Main und verfügt über eine BSI C5-Testatierung — doch diese Schutzmaßnahmen greifen nicht automatisch: Sie müssen den AVV abschließen, die EU-Datenspeicherung aktivieren und Betriebsratsanforderungen vor der Einführung klären. Dieser Leitfaden erläutert die aktuelle Compliance-Lage für Salesforce Sales Cloud, Service Cloud und Marketing Cloud unter der DSGVO und dem deutschen Datenschutzrecht. Zu den spezifischen KI-Funktionen von Salesforce Einstein finden Sie auf unserer gesonderten Seite [Salesforce Einstein DSGVO-Leitfaden](https://compound.law/de-DE/tools/salesforce-einstein/) weitere Informationen. ## Ist Salesforce DSGVO-konform für deutsche Unternehmen? Ja — mit Bedingungen. Salesforce handelt als **Auftragsverarbeiter** im Sinne von Art. 4 Nr. 8 DSGVO, wenn personenbezogene Daten im Auftrag Ihres Unternehmens verarbeitet werden. Als Verantwortliche sind Sie verpflichtet, vier Kernvoraussetzungen zu erfüllen, bevor Sie Salesforce zur Verarbeitung personenbezogener Daten einsetzen: - **Den Salesforce AVV abschließen**, um die Anforderungen des Art. 28 DSGVO zu erfüllen - **Die EU-Datenspeicherung konfigurieren**, damit personenbezogene Daten im Europäischen Wirtschaftsraum (EWR) verbleiben - **Die Unterauftragsverarbeiterliste von Salesforce prüfen** und Drittlandübermittlungen bewerten - **Eine Rechtsgrundlage festlegen** — in der Regel Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) oder berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) — für die CRM-Datenverarbeitung Salesforce ist eine der datenschutzrechtlich ausgereiftesten Unternehmensplattformen auf dem deutschen Markt. Das im **März 2026** aktualisierte Datenschutzaddendum stärkt die Compliance-Dokumentation weiter und macht Salesforce zu einer gut vertretbaren Wahl — vorausgesetzt, die erforderlichen Einrichtungsschritte werden konsequent umgesetzt. ## Salesforce AVV: Inhalt und Abschluss Gemäß **Art. 28 DSGVO** muss jedes Unternehmen, das einen Drittanbieter zur Verarbeitung personenbezogener Daten einsetzt, einen schriftlichen Auftragsverarbeitungsvertrag abgeschlossen haben. In Deutschland wird dieser Vertrag als **Auftragsverarbeitungsvertrag (AVV)** bezeichnet; einzelne Landesdatenschutzbehörden (z. B. LfDI, BayLDA) verwenden auch den Begriff **ADV (Auftragsdatenverarbeitungsvertrag)**. Salesforce hat sein Datenschutzaddendum im **März 2026** umfassend aktualisiert. Das aktuelle Addendum enthält: - Eine präzise Beschreibung aller Verarbeitungstätigkeiten über Salesforce-Produkte hinweg - Kategorien betroffener Personen und verarbeiteter personenbezogener Daten - Technische und organisatorische Maßnahmen (TOMs) nach ISO 27001 und BSI C5 - Regelungen zu Unterauftragsverarbeitern mit Benachrichtigungs- und Genehmigungspflichten - Unterstützung bei der Erfüllung von Betroffenenrechten gemäß Art. 15–22 DSGVO - Verfahren zur Datenlöschung oder -rückgabe nach Vertragsende - Aktualisierte Standardvertragsklauseln für Drittlandübermittlungen **So schließen Sie den Salesforce-AVV ab:** 1. Melden Sie sich bei Salesforce Trust (trust.salesforce.com) oder in Ihrem Salesforce-Konto an 2. Navigieren Sie zum Abschnitt „Rechtsvereinbarungen” oder „Datenschutz” 3. Akzeptieren Sie den Standard-AVV von Salesforce — für die meisten Salesforce-Produkte ist dieser als vorab unterzeichnete Online-Vereinbarung verfügbar und erfordert keine individuelle Verhandlung 4. Laden Sie den unterzeichneten AVV herunter und archivieren Sie ihn für Ihre Compliance-Dokumentation und Ihr Lieferantenmanagement Für deutsche Unternehmen sollte der AVV zudem die Einhaltung des **Bundesdatenschutzgesetzes (BDSG)** abdecken — insbesondere §26 BDSG, wenn in Salesforce Beschäftigtendaten verarbeitet werden (z. B. Leistungsdaten von Vertriebsmitarbeitenden). ## EU-Datenspeicherung: Das Frankfurter Rechenzentrum Salesforce betreibt Rechenzentren in **Frankfurt am Main** als Teil seiner EU-Infrastruktur. Für deutsche Unternehmen mit aktivierter EU-Datenspeicherung werden primäre personenbezogene Daten — CRM-Datensätze, Kontaktinformationen, Kundeninteraktionshistorie — innerhalb des Europäischen Wirtschaftsraums (EWR) gespeichert und verarbeitet. Wichtige Hinweise für deutsche Unternehmen: - **EU-Datenspeicherung ist ein Zusatzfeature oder an Abonnementstufen gebunden** — keine Standardeinstellung. Prüfen Sie, ob Ihr Salesforce-Vertrag diese Option umfasst, und lassen Sie den Datenspeicherort schriftlich bestätigen - **Metadaten und Betriebsdaten** (Logs, Backup-Infrastruktur, Support-Prozesse) können weiterhin Datenflüsse außerhalb des EWR beinhalten — diese sind durch Standardvertragsklauseln im Salesforce-AVV abgedeckt - **Marketing Cloud** verfügte historisch über eine separate Datenspeicherinfrastruktur; klären Sie den EU-Datenspeicherungsumfang für Marketing Cloud gesondert, falls Sie dieses Produkt einsetzen - **Service-Cloud-Contact-Center-Funktionen** und Telefonieintegrationen können Daten über zusätzliche Unterauftragsverarbeiter leiten — prüfen Sie stets die aktuelle Unterauftragsverarbeiterliste, bevor Sie diese Funktionen aktivieren Dokumentieren Sie die bestätigte EU-Datenspeicherungskonfiguration in Ihrem **Verzeichnis der Verarbeitungstätigkeiten (VVT)** gemäß Art. 30 DSGVO. ## Standardvertragsklauseln und EU-US-Datenschutzrahmen Salesforce ist ein US-amerikanisches Unternehmen und verarbeitet bestimmte Daten in den Vereinigten Staaten. Der rechtliche Rahmen für diese Übermittlungen stützt sich auf zwei Mechanismen: **Standardvertragsklauseln (SCC):** Das Salesforce-AVV enthält die aktualisierten EU-Standardvertragsklauseln der Europäischen Kommission vom Juni 2021 (Beschluss 2021/914). Diese Klauseln regeln alle EU-US-Datenübermittlungen und wurden in Reaktion auf das Schrems-II-Urteil des EuGH (*Data Protection Commissioner v. Facebook Ireland und Maximillian Schrems*, C-311/18) aktualisiert. **EU-US-Datenschutzrahmen (Data Privacy Framework, DPF):** Salesforce ist nach dem EU-US-Datenschutzrahmen zertifiziert, der im Juli 2023 in Kraft trat und im Juli 2024 vom EuGH bestätigt wurde. Die DPF-Zertifizierung bietet einen zusätzlichen rechtlichen Mechanismus für transatlantische Datenübermittlungen. Für deutsche Unternehmen gilt: Beide Mechanismen zusammen schaffen eine solide rechtliche Grundlage für transatlantische Salesforce-Datenübermittlungen. Erstellen Sie dennoch eine **Datentransfer-Folgenabschätzung (Transfer Impact Assessment, TIA)**, um Ihre Sorgfaltspflicht nachzuweisen — die deutschen Datenschutzaufsichtsbehörden (insbesondere LfDI, BayLDA und die Berliner Beauftragte für Datenschutz) prüfen US-Cloud-Dienste weiterhin kritisch. ## BSI C5-Testatierung und weitere Sicherheitszertifizierungen **BSI C5** (Cloud Computing Compliance Criteria Catalogue) ist der Sicherheitsstandard des Bundesamts für Sicherheit in der Informationstechnik (BSI) für Cloud-Dienste. Salesforce verfügt über eine BSI C5-Testatierung — ein wesentliches Differenzierungsmerkmal bei deutschen Unternehmensausschreibungen, Behördenverträgen und Einsätzen in regulierten Branchen. Aktuelles Zertifizierungsportfolio von Salesforce für den deutschen Markt: | Zertifizierung | Relevanz | | ---------------- | -------------------------------------------------------------------------------------------------------------------- | | **BSI C5** | Deutscher Cloud-Sicherheitsstandard — bei vielen öffentlichen Ausschreibungen und regulierten Branchen vorausgesetzt | | **ISO 27001** | Internationaler Standard für Informationssicherheitsmanagementsysteme | | **SOC 2 Typ II** | Jährlicher Betriebssicherheitsnachweis — unter NDA vom Salesforce-Account-Team erhältlich | | **ISO 27017** | Cloud-spezifische Sicherheitskontrollen | | **ISO 27018** | Schutz personenbezogener Daten in Cloud-Umgebungen | Fordern Sie für deutsche Ausschreibungen die aktuelle BSI C5-Testatierungsdokumentation direkt von Ihrem Salesforce-Account-Team an. Aktuelle Testatierungen gelten für bestimmte Salesforce-Dienste; prüfen Sie, ob die von Ihnen beschafften Produkte im zertifizierten Geltungsbereich enthalten sind. ## Betriebsrat: Mitbestimmungsrechte bei Salesforce-Einführungen Salesforce-Einführungen lösen häufig **Mitbestimmungsrechte nach §87 Abs. 1 Nr. 6 BetrVG** aus, da die Plattform die technische Überwachung von Mitarbeiterverhalten und -leistung ermöglicht. Typische Szenarien, bei denen eine Betriebsratsbeteiligung erforderlich ist: - **Salesforce Sales Cloud:** Pipeline-Management, Aktivitätsverfolgung, Anrufprotokollierung und Verkaufsperformance-Dashboards ermöglichen die Überwachung der individuellen Leistung und Produktivität von Vertriebsmitarbeitenden - **Salesforce Service Cloud:** Warteschlangenmanagement im Callcenter, Fallbearbeitungszeiten, kundenbezogene Zufriedenheitsbewertungen einzelner Mitarbeitender sowie SLA-Compliance-Tracking sind klassische §87-BetrVG-Anwendungsfälle - **Salesforce Marketing Cloud:** Kampagnenattributionsdaten und E-Mail-Engagement-Metriken, die einzelnen Teammitgliedern zugeordnet werden können **Empfohlenes Vorgehen:** 1. Führen Sie vor der Einführung eine Bewertung aller Salesforce-Funktionen durch, die eine Mitarbeiterüberwachung ermöglichen könnten 2. Binden Sie den Betriebsrat **vor** dem Rollout ein — nicht danach 3. Verhandeln Sie eine **Betriebsvereinbarung**, die zulässige Nutzungsarten, Datenspeicherfristen, Zugriffskontrollen und Mitarbeiterrechte definiert 4. Nutzen Sie Salesforces Admin-Einstellungen, um nicht durch die Betriebsvereinbarung abgedeckte Überwachungsfunktionen zu deaktivieren oder einzuschränken 5. Dokumentieren Sie die Betriebsvereinbarung in Ihrem VVT Die Verhandlung von Betriebsvereinbarungen für Salesforce-Einführungen ist ein zentraler Tätigkeitsschwerpunkt von Compound Law. Den vollständigen rechtlichen Rahmen für die Überwachung von Beschäftigtendaten finden Sie in unserem [Leitfaden zur KI-Mitarbeiterüberwachung](https://compound.law/de-DE/compliance/ai-employee-monitoring/). ## Salesforce Einstein und KI-Funktionen: Eine zusätzliche Compliance-Ebene Salesforce Einstein — Einstein Lead Scoring, Einstein GPT, Conversation Intelligence und weitere KI-gestützte Funktionen — begründet zusätzliche DSGVO-Pflichten über die Basis-CRM-Plattform hinaus. Wesentliche Aspekte umfassen die Anforderungen des Art. 22 DSGVO zu automatisierten Einzelentscheidungen, DSFA-Pflichten bei umfangreicher Profilierung sowie KI-Act-Compliance für Hochrisikoanwendungen in [Professional Services](https://compound.law/de-DE/ai-act/professional-services/) und kundenseitigen Deployments. Den Salesforce-Einstein-Compliance-Rahmen behandeln wir ausführlich auf einer gesonderten Seite. Lesen Sie unseren [Salesforce Einstein DSGVO-Leitfaden](https://compound.law/de-DE/tools/salesforce-einstein/), bevor Sie KI-Funktionen in Ihrer Salesforce-Instanz aktivieren. Für KI-gestützten Kundenservice über Salesforce Service Cloud empfehlen wir zudem unseren [Leitfaden zur KI-Kundenservice-Compliance](https://compound.law/de-DE/compliance/ai-customer-service/). ## Unsere Einschätzung Salesforce ist eine der datenschutzrechtlich ausgereiftesten CRM-Plattformen auf dem deutschen Markt. Das aktualisierte AVV vom März 2026, die BSI C5-Testatierung, das Frankfurter Rechenzentrum und die Zertifizierung nach dem EU-US-Datenschutzrahmen schaffen gemeinsam eine solide rechtliche Grundlage für den Salesforce-Einsatz in Deutschland. Die wesentlichen Compliance-Risiken liegen nicht in der Plattform selbst, sondern in **Konfigurations- und Prozesslücken**: kein AVV-Abschluss vor dem Go-live, Rollout ohne Betriebsratsbeteiligung oder Aktivierung von Einstein-KI-Funktionen ohne Prüfung der Art.-22-DSGVO-Pflichten. **Vor dem Go-live mit Salesforce sollten Sie folgende Schritte abschließen:** 1. Salesforce AVV abschließen und unterzeichnete Ausfertigung archivieren 2. EU-Datenspeicherungskonfiguration schriftlich bestätigen und dokumentieren 3. Salesforce-Unterauftragsverarbeiterliste prüfen und TIA erstellen 4. Salesforce im VVT nach Art. 30 DSGVO mit allen erforderlichen Angaben erfassen 5. Betriebsrat einbinden und Betriebsvereinbarung verhandeln, wo erforderlich 6. Einstein-KI-Funktionen gesondert nach unserem [Einstein-Leitfaden](https://compound.law/de-DE/tools/salesforce-einstein/) prüfen [Kontaktieren Sie Compound Law](https://compound.law/de-DE/#booking) für eine auf Ihre Organisation zugeschnittene Salesforce-DSGVO-Readiness-Prüfung. ## Häufig gestellte Fragen ### Ist Salesforce DSGVO-konform? Ja. Salesforce stellt einen umfassenden Auftragsverarbeitungsvertrag (aktualisiert März 2026) bereit, betreibt Rechenzentren in Frankfurt am Main, verfügt über BSI C5- und ISO-27001-Zertifizierungen und ist nach dem EU-US-Datenschutzrahmen zertifiziert. DSGVO-Konformität setzt voraus, dass Sie als Verantwortliche den AVV abschließen, die EU-Datenspeicherung konfigurieren und geeignete Rechtsgrundlagen für die Verarbeitung festlegen, bevor Sie die Plattform produktiv einsetzen. ### Hat Salesforce einen AVV für Deutschland? Ja. Salesforce stellt ein Standard-Datenschutzaddendum bereit, das über Salesforce Trust (trust.salesforce.com) und das Salesforce-Vertragsportal zugänglich ist. Dieser AVV erfüllt die Anforderungen des Art. 28 DSGVO und enthält die nach deutschem Datenschutzrecht erforderlichen Bestimmungen. Er erfordert keine individuelle Verhandlung und kann online akzeptiert werden. ### Wo speichert Salesforce Daten von EU-Kunden? Salesforce betreibt Rechenzentren in Frankfurt am Main und weiteren EU-Standorten. Die EU-Datenspeicherung — Verbleib primärer personenbezogener Daten im EWR — ist als Abonnementfunktion verfügbar. Prüfen Sie, ob Ihr Vertrag EU-Datenspeicherung umfasst, aktivieren Sie die entsprechende Einstellung in Ihrer Salesforce-Instanz und lassen Sie den Datenspeicherungsumfang für Ihre spezifische Instanz schriftlich bestätigen. ### Ist Salesforce BSI C5 zertifiziert? Ja. Salesforce verfügt über eine BSI C5-Testatierung für seine Cloud-Dienste. BSI C5 ist der Cloud-Sicherheitsstandard des Bundesamts für Sicherheit in der Informationstechnik und ist bei vielen öffentlichen Ausschreibungen sowie Einsätzen in regulierten Branchen in Deutschland erforderlich. Fordern Sie die aktuelle Testatierungsdokumentation direkt von Ihrem Salesforce-Account-Team an. ### Muss ich den Betriebsrat bei der Salesforce-Einführung einbeziehen? In der Regel ja, wenn Ihre Salesforce-Einführung Funktionen umfasst, die die Überwachung von Mitarbeiterleistung, -verhalten oder -produktivität ermöglichen. Gemäß §87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat bei der Einführung technischer Überwachungssysteme zwingende Mitbestimmungsrechte. Binden Sie den Betriebsrat vor dem Rollout ein und verhandeln Sie eine Betriebsvereinbarung zur Regelung des Salesforce-Einsatzes. *** *Die Informationen auf dieser Seite sind allgemeine Orientierungshilfen zur DSGVO-Compliance beim Einsatz von Salesforce und stellen keine Rechtsberatung dar. Ihre spezifische Situation kann eine individuelle rechtliche Beratung erfordern. [Kontaktieren Sie Compound Law](https://compound.law/de-DE/#booking) für eine maßgeschneiderte Salesforce-DSGVO-Compliance-Prüfung.* ## Weitere Tool-Guides [![Canva AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_3.webp)](https://compound.law/de-DE/tools/canva-avv/) [tools](https://compound.law/de-DE/tools/canva-avv/) ### [Hat Canva eine AVV? Ja — Canva-AVV-Leitfaden für Deutschland](https://compound.law/de-DE/tools/canva-avv/) [Ja — Canva bietet einen Auftragsverarbeitungsvertrag: das Data Processing Addendum. Was der Canva AVV klauselweise regelt und wo deutsche Pflichten ansetzen.](https://compound.law/de-DE/tools/canva-avv/) [![Cursor AVV Auftragsverarbeitungsvertrag Art. 28 DSGVO für Deutschland](https://compound.law/assets/images/tools/tools_2.webp)](https://compound.law/de-DE/tools/cursor-avv/) [tools](https://compound.law/de-DE/tools/cursor-avv/) ### [Cursor AVV: Ja — Was der Anysphere-Auftragsverarbeitungsvertrag regelt](https://compound.law/de-DE/tools/cursor-avv/) [Ja, Cursor bietet einen AVV an — öffentlich unter cursor.com/terms/dpa. Was der Cursor-AVV nach Art. 28 DSGVO regelt und wie deutsche Teams ihn prüfen.](https://compound.law/de-DE/tools/cursor-avv/) [![ElevenLabs AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/elevenlabs-avv/) [tools](https://compound.law/de-DE/tools/elevenlabs-avv/) ### [Hat ElevenLabs eine AVV? Ja — ElevenLabs-AVV für Deutschland](https://compound.law/de-DE/tools/elevenlabs-avv/) [Ja — ElevenLabs bietet einen Auftragsverarbeitungsvertrag unter elevenlabs.io/dpa. Was der ElevenLabs AVV klauselweise nach Art. 28 DSGVO regelt.](https://compound.law/de-DE/tools/elevenlabs-avv/) [![Synthesia DSGVO-Fakten: KI-Training mit Kundendaten, AVV und EU-Speicherung](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/synthesia/) [tools](https://compound.law/de-DE/tools/synthesia/) ### [Synthesia DSGVO: Trainiert Synthesia auf Kundendaten? AVV & Fakten](https://compound.law/de-DE/tools/synthesia/) [Nein — Synthesia trainiert nicht auf Kundendaten. DSGVO-tauglich für deutsche Firmen: AVV nach Art. 28, EU-Speicherung in Irland. Was Sie prüfen müssen.](https://compound.law/de-DE/tools/synthesia/) [![Claude EU-Hosting Vergleich für Anthropic API, AWS Bedrock und Vertex AI](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-eu-hosting/) [tools](https://compound.law/de-DE/tools/claude-eu-hosting/) ### [Claude EU-Hosting: Wo Claude gehostet ist und was unter DSGVO gilt (2026)](https://compound.law/de-DE/tools/claude-eu-hosting/) [Wo ist Claude gehostet? Direkte Nutzung: US-Speicher als Standard. EU-Regionen gibt es über AWS Bedrock oder Vertex AI – inklusive DSGVO-Prüfpunkte.](https://compound.law/de-DE/tools/claude-eu-hosting/) [![Claude ZDR: Zero Data Retention erklärt — Scope für Anthropic API und Claude Code](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-zdr/) [tools](https://compound.law/de-DE/tools/claude-zdr/) ### [Claude ZDR: Zero Data Retention erklärt — Scope für API und Claude Code](https://compound.law/de-DE/tools/claude-zdr/) [ZDR bedeutet Zero Data Retention — keine dauerhafte Speicherung. Scope für Anthropic API und Claude Code, Policy-Quellen, AVV und DSGVO erklärt.](https://compound.law/de-DE/tools/claude-zdr/) Tool Library ### Mehr KI-Tools nach Thema durchsuchen Vergleichen Sie weitere Tools, Datenschutzfragen und Einsatzszenarien in unserer vollständigen KI-Tool-Bibliothek. [Alle KI-Tools ansehen](https://compound.law/de-DE/tools/) - [HubSpot DSGVO-konform? Marketing Hub, Free CRM und AVV tools](https://compound.law/de-DE/tools/hubspot/) - [Cursor AVV 2026: Wo Sie ihn finden und was er regelt tools](https://compound.law/de-DE/tools/cursor/) - [DeepSeek DSGVO-konform? Was deutsche Unternehmen wissen müssen tools](https://compound.law/de-DE/tools/deepseek/) - [Zapier DSGVO 2026: AVV, Art. 28 & EU-Datentransfer aktuell tools](https://compound.law/de-DE/tools/zapier/) - [Ist Claude Code DSGVO-konform? AVV, Datenspeicherung und Hosting tools](https://compound.law/de-DE/tools/claude-code-dsgvo/) - [Claude Enterprise Preise: Kein Listenpreis — Angebot, AVV, EU-Grenzen tools](https://compound.law/de-DE/tools/claude-enterprise/) - [Claude DSGVO: Welche Claude-Tarife fuer Unternehmen zulaessig sind tools](https://compound.law/de-DE/tools/claude-dsgvo/) - [Anthropic Standardvertragsklauseln (SCC): DSGVO-Leitfaden Modul 2 und 3 tools](https://compound.law/de-DE/tools/anthropic-scc/) - [Zoom AI Companion DSGVO-Konformität für deutsche Unternehmen tools](https://compound.law/de-DE/tools/zoom/) - [Hat Airtable einen AVV? Ja — aber nur im Enterprise-Plan (DSGVO) tools](https://compound.law/de-DE/tools/airtable-ai/) - [Claude Team vs. Enterprise: Tarifvergleich für Unternehmen in Deutschland tools](https://compound.law/de-DE/tools/claude-team-vs-enterprise/) - [Claude Enterprise für Kanzleien und Rechtsabteilungen tools](https://compound.law/de-DE/tools/claude-enterprise-kanzleien/) - [Anthropic AVV: Datenverarbeitungsvertrag nach Art. 28 DSGVO? tools](https://compound.law/de-DE/tools/anthropic-datenverarbeitungsvertrag/) - [Claude Enterprise für Deutschland — DSGVO-konform & sicher tools](https://compound.law/de-DE/tools/claude-enterprise-deutschland/) - [Anthropic DPA: Art. 28 DSGVO-Prüfung für Deutschland tools](https://compound.law/de-DE/tools/anthropic-dpa/) ## Häufige Fragen Ja. Salesforce stellt einen umfassenden Auftragsverarbeitungsvertrag (aktualisiert März 2026) bereit, betreibt Rechenzentren in Frankfurt am Main, verfügt über BSI C5- und ISO-27001-Zertifizierungen und ist nach dem EU-US-Datenschutzrahmen zertifiziert. DSGVO-Konformität setzt voraus, dass Sie als Verantwortliche den AVV abschließen, die EU-Datenspeicherung konfigurieren und geeignete Rechtsgrundlagen für die Verarbeitung festlegen, bevor Sie die Plattform produktiv einsetzen. Ja. Salesforce stellt ein Standard-Datenschutzaddendum bereit, das über Salesforce Trust (trust.salesforce.com) und das Salesforce-Vertragsportal zugänglich ist. Dieser AVV erfüllt die Anforderungen des Art. 28 DSGVO und enthält die nach deutschem Datenschutzrecht erforderlichen Bestimmungen. Er erfordert keine individuelle Verhandlung und kann online akzeptiert werden. Salesforce betreibt Rechenzentren in Frankfurt am Main und weiteren EU-Standorten. Die EU-Datenspeicherung — Verbleib primärer personenbezogener Daten im EWR — ist als Abonnementfunktion verfügbar. Prüfen Sie, ob Ihr Vertrag EU-Datenspeicherung umfasst, aktivieren Sie die entsprechende Einstellung in Ihrer Salesforce-Instanz und lassen Sie den Datenspeicherungsumfang für Ihre spezifische Instanz schriftlich bestätigen. Ja. Salesforce verfügt über eine BSI C5-Testatierung für seine Cloud-Dienste. BSI C5 ist der Cloud-Sicherheitsstandard des Bundesamts für Sicherheit in der Informationstechnik und ist bei vielen öffentlichen Ausschreibungen sowie Einsätzen in regulierten Branchen in Deutschland erforderlich. Fordern Sie die aktuelle Testatierungsdokumentation direkt von Ihrem Salesforce-Account-Team an. In der Regel ja, wenn Ihre Salesforce-Einführung Funktionen umfasst, die die Überwachung von Mitarbeiterleistung, -verhalten oder -produktivität ermöglichen. Gemäß §87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat bei der Einführung technischer Überwachungssysteme zwingende Mitbestimmungsrechte. Binden Sie den Betriebsrat vor dem Rollout ein und verhandeln Sie eine Betriebsvereinbarung zur Regelung des Salesforce-Einsatzes. --- \*Die Informationen auf dieser Seite sind allgemeine Orientierungshilfen zur DSGVO-Compliance beim Einsatz von Salesforce und stellen keine Rechtsberatung dar. Ihre spezifische Situation kann eine individuelle rechtliche Beratung erfordern. \[Kontaktieren Sie Compound Law]\(/de-DE/#booking) für eine maßgeschneiderte Salesforce-DSGVO-Compliance-Prüfung.\* ## Structured data ```json [ { "@context": "https://schema.org", "@type": [ "Organization", "LegalService" ], "@id": "https://compound.law/#organization", "name": "Compound Law", "alternateName": "Compound Law — AI Law Firm", "url": "https://compound.law/", "logo": { "@type": "ImageObject", "url": "https://compound.law/press/logos/PNG/Compound_Law_Icon.png", "width": 1024, "height": 1024 }, "image": "https://compound.law/assets/images/og-image.webp", "description": "Die KI-native Kanzlei in Berlin für Start-ups, Mittelstand und Konzerne: Commercial und Vertragsrecht, Datenschutz, KI-Verordnung, Marken, Gesellschaftsrecht sowie Sanierung und Insolvenz. Jedes Ergebnis prüft ein Anwalt, abgerechnet zum Festpreis.", "foundingDate": "2026", "founder": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] } ], "employee": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Marc Schuba", "jobTitle": "Founding Partner, Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/marc-schuba/", "sameAs": [ "https://www.linkedin.com/in/marcschuba/" ], "knowsAbout": [ "IP- und IT-Recht", "SaaS- und IT-Verträge, IT-Outsourcing", "Software- und Open-Source-Lizenzen", "Datenschutzrecht (DSGVO)", "KI-Recht und KI-Verordnung (AI Act)" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] }, { "@type": "Person", "name": "Philipp Brandt", "jobTitle": "Partner, Rechtsanwalt, Fachanwalt für gewerblichen Rechtsschutz", "url": "https://compound.law/de-DE/lawyers/philipp-brandt/", "sameAs": [ "https://www.linkedin.com/in/philipp-brandt-81b446a/" ], "knowsAbout": [ "Sanierungs- und Insolvenzrecht (Krisenberatung der Geschäftsführung, Schutzschirm- und Planverfahren, Insolvenzverwaltung)", "Gewerblicher Rechtsschutz (Marken, Wettbewerbsrecht, Urheberrecht, Geschäftsgeheimnisse, Lizenzverträge)", "Datenschutzrecht (Datenpannen, Bußgeldverfahren, Auskunft und Schadensersatz)", "Vertriebs- und Handelsrecht (Vertriebsverträge, Kauf und Verkauf von Industrieanlagen)" ] }, { "@type": "Person", "name": "Dr. Markus Dreißigacker", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/markus-dreissigacker/", "sameAs": [ "https://www.linkedin.com/in/markusdreissigacker" ], "knowsAbout": [ "M&A (Due Diligence, Post-Merger-Integration, IPO-Readiness)", "Gesellschaftsrecht (Governance, Gremienarbeit, Restrukturierung)", "Handelsrecht (Kundenverträge, Lieferantenvereinbarungen, NDAs)", "IP (Markenmanagement, IP-Übertragungsverträge)", "Compliance & ESG (Globale Compliance-Programme, Menschenrechte, Nachhaltigkeit)", "Datenschutz (DSGVO-Strategie, DPO-Erfahrung, Datenschutzprogramme)" ] } ], "address": { "@type": "PostalAddress", "addressLocality": "Berlin", "addressCountry": "DE" }, "areaServed": [ "Germany", "Austria", "Switzerland", "European Union", "United Kingdom", "United States", "Singapore" ], "availableLanguage": [ "de", "en" ], "serviceType": [ "AI law firm", "AI-native legal services", "legal counsel for start-ups and growth companies", "legal counsel for mid-sized companies and corporates", "Commercial Law", "Corporate Law", "Employment Law", "Regulatory & Compliance", "Intellectual Property", "Insolvency & Restructuring" ], "hasOfferCatalog": { "@type": "OfferCatalog", "name": "Compound Law services", "itemListElement": [ { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Commercial Contracts", "description": "Battle-tested contracts for your sales process", "serviceType": [ "enterprise contracts", "MSA", "DPA", "sales contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "International Employment", "description": "Compliant hiring across borders", "serviceType": [ "international employment", "hiring abroad", "employment contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "VSOP/ESOP Setup", "description": "Employee participation that actually works", "serviceType": [ "VSOP", "ESOP", "employee stock options", "equity incentives" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Funding Round Support", "description": "Clean legal for your next raise", "serviceType": [ "funding round", "term sheet", "SHA", "due diligence", "cap table" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Corporate Housekeeping", "description": "Get your legal house in order", "serviceType": [ "corporate governance", "board resolutions", "shareholder register" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Data Protection & Privacy", "description": "GDPR compliance that doesn't slow you down", "serviceType": [ "GDPR", "data protection", "privacy", "DPA", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI Act Compliance", "description": "Navigate EU AI regulation", "serviceType": [ "AI Act", "AI compliance", "AI governance", "EU AI regulation" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "IP & Competition", "description": "Protect and enforce what you've built", "serviceType": [ "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Fractional General Counsel", "description": "In-house legal without the full-time cost", "serviceType": [ "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "FinTech Compliance", "description": "Navigate financial regulation", "serviceType": [ "fintech compliance", "BaFin", "banking regulation", "AML", "KYC" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Legal Retainer", "description": "Predictable legal support when you need it", "serviceType": [ "legal retainer", "legal subscription", "ongoing legal support" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "M&A Preparation", "description": "Get ready for acquisition interest", "serviceType": [ "M&A preparation", "acquisition", "due diligence", "exit" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Restructuring & Insolvency", "description": "From the first liquidity check to the restructuring itself", "serviceType": [ "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } } ] }, "contactPoint": { "@type": "ContactPoint", "contactType": "sales", "email": "contact@compound.law", "availableLanguage": [ "English", "German" ], "areaServed": [ "DE", "AT", "CH", "EU", "GB", "US", "SG" ] }, "email": "contact@compound.law", "sameAs": [ "https://www.linkedin.com/company/compoundlawfirm", "https://x.com/CompoundLawFirm" ], "knowsAbout": [ "Commercial Contracts", "enterprise contracts", "MSA", "DPA", "sales contracts", "International Employment", "international employment", "hiring abroad", "employment contracts", "VSOP/ESOP Setup", "VSOP", "ESOP", "employee stock options", "equity incentives", "Funding Round Support", "funding round", "term sheet", "SHA", "due diligence", "cap table", "Corporate Housekeeping", "corporate governance", "board resolutions", "shareholder register", "Data Protection & Privacy", "GDPR", "data protection", "privacy", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR", "AI Act Compliance", "AI Act", "AI compliance", "AI governance", "EU AI regulation", "IP & Competition", "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance", "Fractional General Counsel", "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer", "FinTech Compliance", "fintech compliance", "BaFin", "banking regulation", "AML", "KYC", "Legal Retainer", "legal subscription", "ongoing legal support", "M&A Preparation", "M&A preparation", "acquisition", "exit", "Restructuring & Insolvency", "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ] }, { "@context": "https://schema.org", "@type": "Article", "headline": "Salesforce DSGVO-konform nutzen: AVV, Datenresidenz und Betriebsrat 2026", "description": "Salesforce DSGVO-Leitfaden für Deutschland: AVV abschließen, Frankfurter Rechenzentrum, BSI C5-Zertifizierung und Betriebsrat-Anforderungen 2026.", "image": "https://compound.law/assets/images/tools/server.webp", "datePublished": "2026-04-15T00:00:00.000Z", "dateModified": "2026-04-15T00:00:00.000Z", "author": { "@type": "Person", "name": "Julian Jantze", "image": "https://compound.law/assets/images/team/julianjantze.webp" }, "publisher": { "@type": "Organization", "@id": "https://compound.law/#organization", "name": "Compound Law" }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://compound.law/de-DE/tools/salesforce/" } }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://compound.law/de-DE/" }, { "@type": "ListItem", "position": 2, "name": "KI-Tools", "item": "https://compound.law/de-DE/tools/" }, { "@type": "ListItem", "position": 3, "name": "Salesforce DSGVO-konform nutzen: AVV, Datenresidenz und Betriebsrat 2026", "item": "https://compound.law/de-DE/tools/salesforce/" } ] }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Ist Salesforce DSGVO-konform?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. Salesforce stellt einen umfassenden Auftragsverarbeitungsvertrag (aktualisiert März 2026) bereit, betreibt Rechenzentren in Frankfurt am Main, verfügt über BSI C5- und ISO-27001-Zertifizierungen und ist nach dem EU-US-Datenschutzrahmen zertifiziert. DSGVO-Konformität setzt voraus, dass Sie als Verantwortliche den AVV abschließen, die EU-Datenspeicherung konfigurieren und geeignete Rechtsgrundlagen für die Verarbeitung festlegen, bevor Sie die Plattform produktiv einsetzen." } }, { "@type": "Question", "name": "Hat Salesforce einen AVV für Deutschland?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. Salesforce stellt ein Standard-Datenschutzaddendum bereit, das über Salesforce Trust (trust.salesforce.com) und das Salesforce-Vertragsportal zugänglich ist. Dieser AVV erfüllt die Anforderungen des Art. 28 DSGVO und enthält die nach deutschem Datenschutzrecht erforderlichen Bestimmungen. Er erfordert keine individuelle Verhandlung und kann online akzeptiert werden." } }, { "@type": "Question", "name": "Wo speichert Salesforce Daten von EU-Kunden?", "acceptedAnswer": { "@type": "Answer", "text": "Salesforce betreibt Rechenzentren in Frankfurt am Main und weiteren EU-Standorten. Die EU-Datenspeicherung — Verbleib primärer personenbezogener Daten im EWR — ist als Abonnementfunktion verfügbar. Prüfen Sie, ob Ihr Vertrag EU-Datenspeicherung umfasst, aktivieren Sie die entsprechende Einstellung in Ihrer Salesforce-Instanz und lassen Sie den Datenspeicherungsumfang für Ihre spezifische Instanz schriftlich bestätigen." } }, { "@type": "Question", "name": "Ist Salesforce BSI C5 zertifiziert?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. Salesforce verfügt über eine BSI C5-Testatierung für seine Cloud-Dienste. BSI C5 ist der Cloud-Sicherheitsstandard des Bundesamts für Sicherheit in der Informationstechnik und ist bei vielen öffentlichen Ausschreibungen sowie Einsätzen in regulierten Branchen in Deutschland erforderlich. Fordern Sie die aktuelle Testatierungsdokumentation direkt von Ihrem Salesforce-Account-Team an." } }, { "@type": "Question", "name": "Muss ich den Betriebsrat bei der Salesforce-Einführung einbeziehen?", "acceptedAnswer": { "@type": "Answer", "text": "In der Regel ja, wenn Ihre Salesforce-Einführung Funktionen umfasst, die die Überwachung von Mitarbeiterleistung, -verhalten oder -produktivität ermöglichen. Gemäß §87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat bei der Einführung technischer Überwachungssysteme zwingende Mitbestimmungsrechte. Binden Sie den Betriebsrat vor dem Rollout ein und verhandeln Sie eine Betriebsvereinbarung zur Regelung des Salesforce-Einsatzes. --- *Die Informationen auf dieser Seite sind allgemeine Orientierungshilfen zur DSGVO-Compliance beim Einsatz von Salesforce und stellen keine Rechtsberatung dar. Ihre spezifische Situation kann eine individuelle rechtliche Beratung erfordern. [Kontaktieren Sie Compound Law](/de-DE/#booking) für eine maßgeschneiderte Salesforce-DSGVO-Compliance-Prüfung.*" } } ] } ] ```