Ist Zapier DSGVO-konform? AVV, EU-Datenhaltung & Sicherheit
Ist Zapier DSGVO-konform fuer Unternehmen in Deutschland?
Zapier ist in Deutschland DSGVO-konform nutzbar mit abgeschlossenem AVV, Workflow-Pruefung auf Datenkategorien, dokumentiertem US-Datentransfer sowie geklaerten DSFA- und Betriebsratspflichten. Risikoarme Automationen sind vertretbar; sensible Daten erfordern formale Pruefung.
- Jeden Workflow einzeln bewerten — Trigger, Actions, angebundene Apps, Datenkategorien und Logs.
- AVV abschliessen und SCCs, Subprozessoren sowie die tatsaechliche Datenlokation pruefen.
- Risikoreiche Workflows mit Mitarbeiterbezug, Gesundheitsdaten oder Kundenprofiling benoetigen eine DSFA und ggf. Betriebsratsbeteiligung.
Zapier ist DSGVO-konform nutzbar — jedoch mit klaren Bedingungen: Zapier verarbeitet Daten in den USA, bietet aber einen Auftragsverarbeitungsvertrag (AVV) nach DSGVO Art. 28 und auf bezahlten Tarifen EU-Datenhaltung an. Fuer deutsche Unternehmen ist der abgeschlossene AVV Pflicht; ob ein konkreter Einsatz zulaessig ist, haengt zusaetzlich vom Workflow, den Datenkategorien, dem Drittlandtransfer-Mechanismus sowie etwaigen DSFA- oder Betriebsratspflichten ab. Fuer einen Ueberblick ueber Automatisierungs- und Workflow-Tools fuer den deutschen Markt lesen Sie den AI-Tools-Leitfaden.
Kurze Antwort: Ist Zapier DSGVO-konform?
Kurzantwort
Zapier ist in Deutschland DSGVO-konform einsetzbar. Voraussetzungen:
- AVV abschliessen und auf Deckung des konkreten Workflows pruefen.
- Transfermechanismus (SCCs, DPF) und Transferfolgenabschaetzung dokumentieren.
- Workflow-Risikokategorien festlegen — kein einmaliger Plattform-Check.
- Bei Mitarbeiterdaten, Gesundheitsdaten oder umfangreichem Kundenprofiling DSFA und Betriebsratspflichten vorab klaeren.
Dieser Beitrag bietet allgemeine rechtliche Informationen und ersetzt keine Rechtsberatung fuer einen konkreten Einsatz. Fuer angrenzende Fragestellungen lesen Sie auch unsere Seiten zu AI Customer Service Compliance, Zendesk, HubSpot, Make.com und Notion AI.
DSGVO-Anforderungen fuer Ihren Zapier-Einsatz
Die entscheidende Frage lautet nicht, ob Zapier als Plattform abstrakt “DSGVO-konform” ist, sondern ob Ihre konkrete Zapier-Nutzung DSGVO-konform ausgestaltet ist. Das setzt voraus:
- eine klare Rechtsgrundlage nach Art. 6 DSGVO (bei besonderen Kategorien zusaetzlich Art. 9 DSGVO)
- einen wirksam einbezogenen AVV nach Art. 28 DSGVO
- einen tragfaehigen Drittlandtransfer-Mechanismus nach Kapitel V DSGVO — in der Regel SCCs
- angemessene technische und organisatorische Massnahmen (TOMs) nach Art. 32 DSGVO
- eine Datenschutz-Folgenabschaetzung (DSFA) nach Art. 35 DSGVO, soweit erforderlich
Fuer deutsche Unternehmen kommen weitere Rahmenbedingungen hinzu:
- § 87 Abs. 1 Nr. 6 BetrVG bei mitarbeiterbezogenen Automationen mit Ueberwachungspotenzial
- § 26 BDSG bei der Verarbeitung von Beschaeftigtendaten
- Durchsetzungspraxis der deutschen Datenschutzbehoerden (u. a. Baden-Wuerttemberg, Hamburg, Berlin) mit Schwerpunkt auf Auftragsverarbeitung und US-Transfer
Das praktische Ergebnis: Risikoarme interne Automationen sind fuer die meisten Unternehmen vertretbar. Kundendaten-Workflows benoetigen ein sorgfaeltiges Design. Mitarbeiter-, Gesundheits- und Finanzdaten verlangen vor dem Einsatz eine formale Pruefung.
Der Zapier-AVV: Was er enthaelt und worauf Sie achten sollten
Zapier bietet ein Data Processing Addendum (DPA) beziehungsweise AVV-Template als Teil seiner Rechtsunterlagen an. Entscheidend ist nicht nur, ob ein Dokument existiert, sondern ob sein Inhalt Ihren konkreten Einsatz abdeckt.
Auftragsverarbeitungs- versus Verantwortlichkeitsverhaeltnis
Bei den meisten Zapier-Deployments sind Sie der Verantwortliche (Art. 4 Nr. 7 DSGVO) und Zapier der Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO). Das bedeutet: Zapier darf nur auf Ihre Weisung handeln, und Sie bleiben fuer die Rechtmaessigkeit des Verarbeitungszwecks verantwortlich.
Diese Trennung ist in der Praxis jedoch nicht immer trennscharf. Zapier erhebt operative Telemetrie ueber Workflow-Laeufe, kann aggregierte Daten fuer Produktverbesserungen nutzen und gibt Daten unter eigenen Vertragsbedingungen an Subprozessoren weiter. Pruefen Sie den AVV dahingehend, welche Datenfluss-Anteile tatsaechlich auf Auftragsverarbeitungsbasis beruhen und welche ausserhalb dieses Verhaeltnisses fallen.
Subprozessoren und Risikoeinschaetzung
Zapier fuehrt eine oeffentlich zugaengliche Subprozessorenliste. Praktische Schritte bei der Pruefung:
- Liste zum Zeitpunkt Ihrer Bewertung herunterladen oder dokumentieren.
- Notieren, welche Subprozessoren welche Datenkategorien aus Ihren Workflows erhalten.
- Pruefen, ob Subprozessoren in Drittlaendern ohne Angemessenheitsbeschluss sitzen und ob SCCs oder verbindliche interne Datenschutzvorschriften diesen Transfer absichern.
- Aenderungsmechanismus beachten: Zapier muss Sie ueber neue Subprozessoren informieren. Richten Sie intern einen Prozess ein, um diese Meldungen zu pruefen und bei Bedarf Widerspruch einzulegen.
Loeschverpflichtungen
Der AVV muss regeln, was mit Daten nach Vertragsende geschieht: wann Task-Historien geloescht werden, ob Logs bereinigt werden und in welchem Zeitraum. Zapier-Task-Historien koennen personenbezogene Daten enthalten, die den Zweck, fuer den sie angelegt wurden, ueberleben. Stellen Sie sicher, dass die Loeschfristen des AVV mit Ihrer eigenen Aufbewahrungspolitik uebereinstimmen und dass nachgelagerte Kopien in verbundenen Systemen ebenfalls geregelt sind.
Datentransfers in die USA: Verarbeitet Zapier Daten noch in den USA?
Fuer deutsche Unternehmen, die Fragen zu zapier avv dsgvo, zapier schrems ii oder zapier datentransfer usa stellen, lautet die kurze Antwort: Ja, Zapier kann Daten in den USA verarbeiten, und Sie muessen pruefen, ob das fuer Ihre konkreten Workflows akzeptabel ist.
Standardvertragsklauseln (SCCs) im Detail
Zapier setzt die von der Europaeischen Kommission im Juni 2021 verabschiedeten EU-Standardvertragsklauseln (SCCs) fuer die Uebermittlung personenbezogener EWR-Daten in die USA und andere Drittlaender ein. Nach Schrems II genuegen SCCs allein nicht mehr — sie muessen durch eine Transferfolgenabschaetzung (TFA) erganzt werden, die das rechtliche Zugriffsrisiko im Zielland bewertet.
Fuer US-amerikanische SaaS-Anbieter relevante Risikofaktoren:
- US-Ueberwachungsrecht, insbesondere FISA Section 702 und die Schutzmassnahmen unter Executive Order 14086
- Ob Zapier-Mitarbeiter mit US-Standort auf unverschluesselte personenbezogene Daten zugreifen koennen
- Wahrscheinlichkeit, dass Ihre spezifischen Datenkategorien von nachrichtendienstlichem Interesse sind
Bei routinemaessiger Geschaeftsautomation nicht sensibler Daten kommt die Mehrzahl der TFAs zu dem Ergebnis, dass das Restrisiko mit angemessenen Zusatzmassnahmen akzeptabel ist. Bei Workflows mit umfangreichen Kundendatenbanken, Finanzdaten oder behoerdennahen Informationen erfordert die TFA eine tiefere Analyse.
EU-Datenhaltung bei Zapier
Zapier bietet auf Business- und hoeheren Tarifstufen eine EU-Datenhaltungsoption an. Damit werden bestimmte Task-Daten und Workflow-Ausfuehrungsdaten in EU-Infrastruktur gespeichert statt in den USA. EU-Datenhaltung ist jedoch kein Ausschluss jeglicher US-Verarbeitung:
- Supportzugriffe koennen weiterhin aus Laendern ausserhalb des EWR erfolgen
- Bestimmte Infrastrukturkomponenten und Subprozessoren koennen weiterhin US-seitig verarbeiten
- Metadaten und Telemetriedaten sind moeglicherweise nicht durch die Datenhaltungsoption abgedeckt
- Der Umfang der Abdeckung kann je nach Tarifebene variieren
Bevor Sie Zapiers EU-Datenhaltung als Compliance-Argument nutzen, pruefen Sie, welche Datenkategorien in Ihrem Tarif tatsaechlich in der EU verbleiben, welche Subprozessoren nicht neutralisiert werden und ob Ihr AVV die Datenhaltungskonfiguration widerspiegelt.
Post-Schrems-II-Analyse
Das EuGH-Urteil Schrems II vom Juli 2020 hat den Privacy Shield fuer unguelig erklaert und Zusatzmassnahmen fuer US-Transfers verbindlich gemacht. Das EU-US Data Privacy Framework (DPF) von 2023 adressiert dies teilweise fuer zertifizierte US-Unternehmen, ist aber weiterhin juristisch angreifbar und ersetzt nicht die Notwendigkeit einer dokumentierten Transferbewertung. Zapier ist DPF-zertifiziert. Dennoch sollten deutsche Unternehmen:
- Den Transfermechanismus dokumentieren (DPF-Zertifizierung, SCCs oder beides).
- Eine TFA erstellen, die das US-Ueberwachungsrechtsrisiko fuer Ihre Datenkategorien adressiert.
- Zusatzmassnahmen (Verschluesselung, Zugriffskontrollen, Minimierung) umsetzen und dokumentieren.
- Einen Ueberpruefungsrhythmus festlegen, da sich die DPF-Rechtslage weiterentwickelt.
Workflow-Risikobewertung nach der DSGVO
Entscheidend ist nicht eine pauschale Plattformbewertung, sondern die Einordnung jedes Workflows nach den Daten, die er tatsaechlich verarbeitet.
Geringes Risiko: Interne Tool-Integrationen
Diese Workflows verarbeiten in der Regel begrenzte personenbezogene Daten — haeufig nur interne Kennzeichen oder Metadaten. Beispiele:
- Notion-zu-Slack-Benachrichtigungen bei Projektstatus-Aenderungen (nicht sensible Metadaten)
- CRM-Deduplizierungen auf Basis von Unternehmens-E-Mail-Domaenen
- Kalender- und Terminsyncs fuer interne Meetings
- Supply-Chain-Benachrichtigungen auf Basis von Bestands- oder Logistiktriggern (ohne Personenbezug)
- Automatische Erinnerungen fuer Vertrags- oder Aufgabenfristen ohne Personaldaten im Payload
Diese Faelle sind typischerweise auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) stuetzbar, sofern Datenminimierung, Transparenz und AVV vorliegen.
Mittleres Risiko: Kundendaten-Automationen
Diese Workflows beruehren personenbezogene Daten von Kunden oder Interessenten, was hohere Anforderungen an Minimierung, Speicherfristen und Transfer-Risiko mit sich bringt. Beispiele:
- Formulareinreichungs-Routing in ein CRM (Name, E-Mail, Geschaeftskontext)
- Support-Ticket-Kategorisierung und -Routing (kann Freitexte von Kunden enthalten)
- E-Mail-Marketing-Workflow-Trigger (Verhaltens- und Interaktionssignale)
- Lead-Scoring-Automationen, die Daten aus mehreren Quellen zusammenfuehren
Bei mittlerem Risiko sind gezielte Massnahmen relevant: Freitexte moeglichst entfernen, Kennzeichen statt vollstaendiger Datensaetze uebergeben, kurze Aufbewahrung in der Zapier-Task-Historie einstellen und sicherstellen, dass die AVVs der verbundenen Apps konsistent sind. Lesen Sie auch die Leitfaeden zu HubSpot DSGVO und Zendesk DSGVO fuer integrierte Kundendaten-Stacks.
Hohes Risiko: Mitarbeiterdaten, Gesundheitsdaten, Finanzdaten und umfangreiches Kundenprofiling
Diese Kategorien erfordern eine formale Pruefung vor dem Einsatz:
| Datenkategorie | Warum hohes Risiko | Wichtigste Anforderungen |
|---|---|---|
| Mitarbeiterdaten | § 26 BDSG, § 87 Abs. 1 Nr. 6 BetrVG, Ueberwachungsrisiko | Betriebsratsbeteiligung, klare Rechtsgrundlage, strenge Minimierung |
| Gesundheits-/biometrische Daten | Art. 9 DSGVO (besondere Kategorien) | Explizite Einwilligung oder andere Art.-9-Abs.-2-Grundlage, DSFA |
| Finanzdaten | Vertraulichkeitspflichten, ggf. Bankgeheimnis | Zugriffsrestriktion, Logeinsicht begrenzen, formale Vendor-Pruefung |
| Umfangreiches Kundenprofiling | Art.-22-DSGVO-Regeln, Transparenzpflicht | Mehrstufige Datenschutzerklarung, Widerspruchsrecht, ggf. DSFA |
Bei diesen Kategorien reicht ein generischer Hinweis “Zapier ist DSGVO-konform” als Compliance-Grundlage nicht aus.
DSFA: Wann benoetigt Zapier-Nutzung eine Datenschutz-Folgenabschaetzung?
Nach Art. 35 DSGVO ist eine DSFA erforderlich, bevor eine Verarbeitung mit voraussichtlich hohem Risiko fuer Rechte und Freiheiten natuerlicher Personen aufgenommen wird. Deutsche Datenschutzbehoerden haben klargestellt, dass folgende Zapier-Workflow-Muster typischerweise diese Anforderung ausloesen:
- Systematische Mitarbeiterueberwachung — jeder Workflow, der Mitarbeiterverhaltens-Daten aus mehreren Systemen zusammenfuehrt, Produktivitaetsmetriken erzeugt oder Alarme zu individueller Mitarbeitertaetigkeit ausloest
- Grossmassstabliche Verarbeitung besonderer Datenkategorien — Gesundheits-, biometrische oder Gewerkschaftsdaten in automatisierten Workflows
- Automatisierte Entscheidungen mit erheblichen Auswirkungen — Workflows, die automatisierte Ausgaben fuer Personen ohne menschliche Pruefung ausloesen
- Umfangreiches Kundenprofiling — Zusammenfuehren von Verhaltens-, Transaktions- und Kommunikationsdaten fuer Targeting, Segmentierung oder kreditscoring-aehnliche Zwecke
Die DSFA muss die Verarbeitung beschreiben, Erforderlichkeit und Verhaeltnismaessigkeit bewerten, Risiken benennen und dokumentieren, welche Massnahmen ergriffen werden. Sie muss vor dem Start des Workflows abgeschlossen sein.
Betriebsrat und Mitarbeiterueberwachung nach § 87 BetrVG
Das Betriebsverfassungsgesetz (BetrVG) gilt fuer deutsche Betriebe mit Betriebsrat. § 87 Abs. 1 Nr. 6 BetrVG raumt dem Betriebsrat ein Mitbestimmungsrecht bei der Einfuehrung und Anwendung technischer Einrichtungen ein, die zur Ueberwachung des Verhaltens oder der Leistung der Arbeitnehmer bestimmt sind oder geeignet sind.
Zapier-Workflows koennen § 87 BetrVG ausloesen, auch wenn Ueberwachung nicht der ausgewiesene Zweck ist. Massgeblich ist, ob das Tool Ueberwachung ermoeglicht, nicht ob sie beabsichtigt ist. Typische Ausloser:
- Automationen, die Reaktionszeiten von Mitarbeitern protokollieren (z. B. Zeit von Ticketzuweisung bis Erstveantwortung)
- Workflows, die Aktivitaetsdaten aus Slack, E-Mail oder CRM in ein Fuehrungskrafte-Dashboard zusammenfuehren
- Alert-Logiken basierend auf individueller Inaktivitaet oder SLA-Versto§en
- Integrationen in HR-Tools, die Anwesenheit, Schichtwechsel oder Fehlzeiten tracken
Wo § 87 Abs. 1 Nr. 6 BetrVG greift, muss der Betriebsrat vor der Einfuehrung konsultiert werden und eine Einigung erzielt sein. Der Betrieb ohne dieses Einvernehmen setzt den Arbeitgeber Unterlassungsanspruchen und arbeitsrechtlicher Haftung aus.
Empfehlung: HR, Legal, Privacy und den Betriebsrat fruehzeitig in die Workflow-Konzeption einbinden — bevor ein Workflow gebaut oder ausgerollt wird.
Zapier in bestimmten Branchen
Bestimmte Branchen unterliegen erhoehten Standards, unabhaengig von der allgemeinen Workflow-Risikostufe.
Gesundheitswesen und medizinische Dienstleistungen
Workflows, die Patientendaten, Terminunterlagen, Ueberweisung oder gesundheitsbezogene Inhalte beruehren, fallen unter Art. 9 DSGVO (besondere Kategorien) und teils unter spezifisches deutsches Gesundheitsdatenrecht. Ein Standard-No-Code-Ansatz mit einem US-nahen SaaS-Anbieter ist in diesem Kontext in der Regel kein unproblematischer Ausgangspunkt. Mindestanforderungen: explizite Einwilligung oder gesetzliche Grundlage nach Art. 9 Abs. 2, DSFA, sowie eine Sicherheitspruefung mit verschluesselten Payloads, eingeschraenktem Log-Zugriff und begrenzter Subprozessor-Exposition.
HR und Recruiting
Das deutsche Beschaeftigtendatenschutzrecht nach § 26 BDSG stellt strenge Anforderungen an die Verarbeitung von Arbeitnehmer- und Bewerberdaten. Die Automatisierung von Recruiting-, Onboarding- oder Leistungsdaten-Workflows erfordert eine dokumentierte Rechtsgrundlage fuer jedes Datenelement, konsequente Minimierung und Betriebsratsbeteiligung. Bewerberdaten muessen aktiv geloescht werden — bestehende Loeschfristen muessen auch fuer Daten gelten, die durch Zapier in nachgelagerte Systeme geflossen sind.
Rechts- und Berufsberatung
Anwaltskanzleien und Berufsgeheimnistraeger unterliegen zusaetzlichen Vertraulichkeitspflichten. Die Weiterleitung von Mandatsinformationen, Vertragsinhhalten oder fallbezogenen Daten ueber Drittanbieter-Automation wirft Datenschutzfragen jenseits der DSGVO auf. Pruefen Sie Berufsordnungen, anwaltliches Berufsgeheimnis und ob Mandanteneinwilligung oder besondere Vereinbarungen erforderlich sind, bevor mandantenbezogene Daten ueber Zapier laufen.
Zapier-Alternativen mit besserem EU-Compliance-Profil
Wenn US-Transfer-Risiken, Subprozessor-Reichweite oder EU-Datenhaltungsgrenzen fuer Ihren Anwendungsfall problematisch sind, bieten folgende Alternativen unterschiedliche Compliance-Profile:
| Tool | Zentraler Compliance-Vorteil | Einschraenkungen |
|---|---|---|
| Make.com | EU-Hauptsitz (Tschechien), EU-Rechenzentrumsoption | Kleinere Template-Bibliothek, steilere Lernkurve |
| n8n | Self-Hosting moeglich, offener Quellcode, volle Datenkontrolle | Erfordert technisches Setup und Wartung |
| Pipedream | Quelloffen, Self-Hosting verfuegbar | Weniger ausgereifte Enterprise-Dokumentation |
| Zapier EU Data Residency | Task-Daten bleiben in EU-Infrastruktur | Eliminiert nicht alle US-Subprozessor-Exponierungen |
Keine dieser Alternativen macht AVV, Transferfolgenabschaetzung oder Workflow-Risikobewertung obsolet. Der Vorteil EU-ansaessiger oder selbst gehosteter Tools liegt in der Reduzierung der Transfer-Risikoflaeche, was TFA und DSFA vereinfachen kann.
Checkliste: Zapier DSGVO-Readiness fuer deutsche Unternehmen
Nutzen Sie diese Liste vor dem Einsatz jedes produktiven Zapier-Workflows, der personenbezogene Daten verarbeitet.
Vertrag und Rechtsgrundlage:
- Zapier AVV abgeschlossen oder akzeptiert
- Rechtsgrundlage nach Art. 6 DSGVO fuer jeden Workflow dokumentiert
- Bei besonderen Kategorien: Grundlage nach Art. 9 Abs. 2 DSGVO dokumentiert
- Transfermechanismus bestaetigt (SCCs, DPF-Zertifizierung oder beides)
- Transferfolgenabschaetzung (TFA) fuer US-uebertragene Daten erstellt
Workflow-Gestaltung:
- Workflow vollstaendig dokumentiert: Trigger, Actions, verbundene Apps, Felder, Logs, Speicherfristen
- Datenminimierung umgesetzt — nur notwendige Felder werden uebertragen
- Freitextinhalte soweit moeglich unterdrueckt oder entfernt
- Task-History-Aufbewahrungsfristen konfiguriert und Loeschung getestet
- AVVs der verbundenen Apps auf Konsistenz geprueft
Risikobewertung:
- Workflow als geringes, mittleres oder hohes Risiko eingestuft
- Bei hohem Risiko: DSFA nach Art. 35 DSGVO erstellt
- Bei Mitarbeiterdaten oder Ueberwachungspotenzial: Betriebsratsbeteiligung eingeleitet
- Branchenspezifische Anforderungen geprueft (Gesundheit, HR, Rechtsberatung)
Dokumentation:
- Genehmigter Use Case ins Verzeichnis der Verarbeitungstaetigkeiten (Art. 30 DSGVO) aufgenommen
- Beschraenkungen, Datenkategorien, Rechtsgrundlage und Pruef-Datum dokumentiert
- Subprozessorenliste geprueft und in internem Vendor-Register erfasst
FAQ
Ist Zapier DSGVO-konform?
Ja, mit Bedingungen. Zapier verarbeitet Daten in den USA, bietet aber einen AVV nach DSGVO Art. 28 und auf bezahlten Tarifen EU-Datenhaltung an. Fuer deutsche Unternehmen bedeutet DSGVO-Compliance: AVV abschliessen, Drittlandtransfer dokumentieren (SCCs, DPF), jeden Workflow auf Datenkategorien pruefen und bei Bedarf DSFA oder Betriebsrat einbeziehen.
Hat Zapier einen AVV (Auftragsverarbeitungsvertrag)?
Ja. Zapier bietet ein oeffentlich zugaengliches Data Processing Addendum (DPA) an, das als AVV nach Art. 28 DSGVO eingesetzt werden kann. Pruefen Sie dabei Rollenverteilung, Subprozessoren, Loeschfristen und Transferklauseln — die blosse Existenz des Dokuments genuegt nicht.
Speichert Zapier Daten in der EU?
Zapier bietet auf bezahlten Tarifen eine EU-Datenhaltungsoption fuer Task-Daten und bestimmte Ausfuehrungsdaten an. EU-Datenhaltung bedeutet jedoch nicht, dass alle Verarbeitungen in der EU bleiben: Supportzugriffe, Subprozessoren und Metadaten koennen weiterhin ausserhalb des EWR verarbeitet werden. Pruefen Sie, welche Daten Ihr Tarif tatsaechlich abdeckt.
Ist Zapier sicher fuer Kundendaten?
Zapier verschluesselt Daten bei Uebertragung und Speicherung, bietet rollenbasierte Zugriffskontrollen und eine oeffentliche Subprozessorenliste. Technische Sicherheit und DSGVO-Zulaessigkeit sind jedoch zwei getrennte Anforderungen — ein Workflow kann technisch sicher, aber ohne gueltigen AVV und Rechtsgrundlage dennoch unzulaessig sein.
Was bedeutet Zapier DSGVO-Compliance fuer deutsche Unternehmen?
Gemeint ist die rechtliche und operative Pruefung, ob ein konkreter Zapier-Workflow unter der DSGVO zulässig ist. Praktisch geht es um Rechtsgrundlage, AVV, Drittlandtransfer, Subprozessoren, Datenminimierung, Speicherfristen, Sicherheit und — bei deutschen Besonderheiten — Betriebsrats- und BDSG-Anforderungen.
Warum ist der Zapier-AVV fuer die DSGVO wichtig?
Der AVV ist erforderlich, weil Art. 28 DSGVO bei Auftragsverarbeitung entsprechende vertragliche Regelungen verlangt. Die Pruefung sollte nicht bei der Existenz des Dokuments enden, sondern Rollenverteilung, TOMs, Loeschung, Subprozessoren und Transferklauseln umfassen — und ob der AVV auf den konkreten Workflow zutrifft.
Werden Daten bei Zapier in die USA uebermittelt?
Ja. Servicedaten koennen in den USA verarbeitet werden. Zapier nutzt SCCs und nimmt am EU-US Data Privacy Framework teil. Eine dokumentierte Transferfolgenabschaetzung fuer Ihre Datenkategorien bleibt jedoch erforderlich. EU-Datenhaltungsoptionen reduzieren, aber eliminieren nicht alle US-Verarbeitungsanteile.
Wann benoetigt eine Zapier-Nutzung eine DSFA?
Eine DSFA ist nach Art. 35 DSGVO erforderlich, wenn ein Workflow systematisch Mitarbeiterverhalten ueberwacht, besondere Datenkategorien grossmassstablich verarbeitet, automatisierte Entscheidungen mit erheblichen Auswirkungen trifft oder umfangreiches Kundenprofiling betreibt. Deutsche Datenschutzbehoerden sehen ueberwachungsnahe Automationen als ausreichend, um die DSFA-Pflicht auszuloesen.
Kann Zapier fuer Mitarbeiterdaten in Deutschland genutzt werden?
In bestimmten Faellen ja, aber mit erheblichem Pruefaufwand. § 26 BDSG regelt die Verarbeitung von Beschaeftigtendaten. § 87 Abs. 1 Nr. 6 BetrVG kann eine Betriebsratsbeteiligung erfordern, bevor Workflows mit Ueberwachungspotenzial eingefuehrt werden. Unbeabsichtigte Ueberwachungseffekte sind rechtlich genauso relevant wie beabsichtigte. Einbindung von HR und Rechtsberatung vor dem Einsatz ist dringend empfohlen.
Wie sicher ist Zapier beim Umgang mit Kundeninformationen?
Zapier verschluesselt Daten bei Uebertragung und Speicherung, bietet rollenbasierte Zugriffskontrollen und Auditlogs. Fuer den sicheren Umgang mit Kundeninformationen sind AVV, Transfermechanismus und konsequente Datenminimierung im Workflow entscheidend. Technische Sicherheit und DSGVO-Zulaessigkeit sind zwei getrennte Anforderungen — beide muessen erfuellt sein.
Ist Zapier fuer DSGVO-konforme Automation im Gesundheitsbereich oder HR geeignet?
Gesundheits- und HR-Workflows unterliegen erhoehten Anforderungen. Gesundheitsdaten sind besondere Kategorien nach Art. 9 DSGVO und erfordern spezifische Rechtsgrundlagen, eine DSFA und deutlich strengere Kontrollen. HR-Workflows fallen unter § 26 BDSG und koennen Betriebsratsbeteiligung ausloesen. Ein Standard-No-Code-Setup ist in beiden Kontexten ohne formale Pruefung kein sicherer Ausgangspunkt.
Was sind DSGVO-konforme Alternativen zu Zapier?
Make.com (EU-Hauptsitz), n8n (Open Source, Self-Hosting) und Pipedream (quelloffen, Self-Hosting moeglich) bieten unterschiedliche Risikoprofile. Der Hauptvorteil liegt in der Reduzierung des US-Transferrisikos, was TFA und DSFA vereinfachen kann. Keine Alternative macht AVV, Transferbewertung oder Workflow-Pruefung ueberfluessig. Lesen Sie dazu auch Make.com DSGVO-Compliance.
Dieser Beitrag bietet allgemeine rechtliche Informationen fuer deutsche Unternehmen, die Zapier bewerten. Er ersetzt keine Rechtsberatung fuer einen konkreten Einsatz. Compound Law beraet Unternehmen und Gruender in Deutschland zu DSGVO, Commercial Contracts, Arbeitsrecht und AI-Compliance. Wenn Sie einen Zapier-Einsatz, einen AVV oder einen sensiblen Workflow pruefen moechten, kontaktieren Sie uns.
