Zapier, Airtable und die DSGVO: Wie datenschutzkonform sind No-Code-Tools?

Die Automatisierung von Geschäftsabläufen steht bei vielen mittelständischen Unternehmen ganz oben auf der Agenda. Cloud-Plattformen verknüpfen verschiedene Anwendungen miteinander und ersparen Mitarbeitern viel manuelle Tipparbeit. Sobald jedoch Kundendaten, Mitarbeiterinformationen oder Rechnungsdetails im Spiel sind, rückt der Datenschutz in den Fokus. Viele IT-Verantwortliche fragen sich daher, ob und unter welchen Bedingungen sich Plattformen wie Zapier DSGVO-konform einsetzen lassen — eine Frage, die sich nicht pauschal, sondern nur im Einzelfall beantworten lässt.

Die Herausforderung liegt oft im Serverstandort und den rechtlichen Rahmenbedingungen der Anbieter. Dieser Ratgeber gibt einen Überblick über die datenschutzrechtlichen Diskussionspunkte beliebter No-Code-Anwendungen und zeigt, welche Fragen Unternehmen vor dem Einsatz klären sollten.

Wichtiger Hinweis: Die datenschutzrechtliche Bewertung von US-Software hängt stark vom konkreten Einzelfall, den verarbeiteten Datenkategorien und internen Richtlinien ab und sollte vor dem produktiven Einsatz stets mit dem zuständigen Datenschutzbeauftragten oder einer Rechtsberatung geklärt werden.

Welche Datenschutz-Risiken bei No-Code-Tools bestehen

Plattformen, die als Bindeglied zwischen verschiedenen Software-Anwendungen fungieren, verarbeiten oft weitreichende Informationen. Werden beispielsweise Formular-Eingaben von einer Website in ein CRM-System übertragen, fließen Namen, E-Mail-Adressen, IP-Adressen oder Telefonnummern durch die Systeme der Automatisierungsanbieter. Solche Daten sind als personenbezogen einzustufen und durch die Datenschutz-Grundverordnung (DSGVO) besonders geschützt.

Die primären Datenschutz-Risiken bei No-Code-Tools entstehen durch die internationale Datenübermittlung. Die meisten führenden Anbieter haben ihren Hauptsitz in den USA. Sobald personenbezogene Daten aus der Europäischen Union in ein Drittland wie die USA übertragen werden, stellt die DSGVO besondere Anforderungen an das Schutzniveau. Ein zentraler Diskussionspunkt ist dabei der US Cloud Act. Dieses US-Gesetz verpflichtet amerikanische Unternehmen dazu, US-Behörden auf behördliche Anforderung hin Zugriff auf Daten zu gewähren. Diese Verpflichtung besteht unabhängig davon, in welchem Land die Server physisch stehen, was von europäischen Datenschützern kritisch gesehen wird.

Wie datenschutzkonform lässt sich Zapier einsetzen?

Zapier ist einer der bekanntesten Web-Services, um Aktionen zwischen Tausenden verschiedenen Apps zu verknüpfen. Das Unternehmen hinter dem Dienst, die Zapier Inc., hat seinen Sitz in den USA. Ob und in welchem Rahmen der Einsatz im eigenen Unternehmen vertretbar ist, hängt von den verarbeiteten Daten, der Konfiguration und der Vertragslage ab.

Für die Datenübermittlung in die USA existiert mit dem EU-US Data Privacy Framework (DPF) ein Angemessenheitsbeschluss der EU-Kommission. Die Zapier Inc. ist nach diesem Abkommen zertifiziert — ein wichtiger Baustein für den Datentransfer, der die eigene Prüfung aber nicht ersetzt: Der Angemessenheitsbeschluss ist rechtlich nicht unumstritten und die Verantwortung für die Bewertung des Einzelfalls bleibt beim einsetzenden Unternehmen.

Fragen, die Sie vor dem Einsatz mit Ihrem Datenschutzbeauftragten klären sollten

Statt einer pauschalen Freigabe hilft ein strukturierter Blick auf die eigenen Prozesse. Typische Prüffragen sind unter anderem:

• Vertragslage: Liegt ein Auftragsverarbeitungsvertrag (Data Processing Agreement) mit dem Anbieter vor, und deckt er die geplanten Verarbeitungen ab?
• Drittlandtransfer: Reicht die DPF-Zertifizierung für den konkreten Anwendungsfall, oder sind zusätzlich Standardvertragsklauseln (SCC) und eine Datentransfer-Folgenabschätzung (Transfer Impact Assessment) angezeigt?
• Rechtsgrundlage: Auf welcher Grundlage werden die Daten verarbeitet — Einwilligung, Vertragserfüllung oder berechtigtes Interesse?
• Transparenz: Bildet die Datenschutzerklärung ab, dass Daten über den Dienst an ein US-Unternehmen fließen, welche Daten das sind und wie lange sie gespeichert werden?
• Datenkategorien: Fließen besonders sensible Daten (z. B. Gesundheits- oder Finanzdaten) durch die Automatisierung — und lassen sich diese ausklammern?

Diese Liste ist ein Ausgangspunkt für das Gespräch mit der Fachberatung, keine abschließende Aufzählung.

Technische Sicherheitsmaßnahmen des Anbieters

Neben den vertraglichen Fragen spielen die technischen und organisatorischen Maßnahmen (TOMs) eine Rolle. Zapier wird auf Amazon Web Services (AWS) in den USA gehostet. Nach Angaben des Anbieters ist die Kommunikation mit der Webanwendung über TLS 1.2 (und höher) abgesichert, gespeicherte Daten (Data at Rest) werden mit AES-256 verschlüsselt. Zudem verweist das Unternehmen auf Zertifizierungen wie SOC 2 Type II und SOC 3.

Ein sensibler Punkt beim Einsatz moderner Software ist zudem das Training künstlicher Intelligenz. Zapier bietet Unternehmenskunden an, dass diese automatisch vom Datentraining für KI-Modelle ausgeschlossen werden; Nutzer anderer Tarife können diesem Training laut Anbieter über ein Formular widersprechen (Opt-out).

Die Situation um Airtable und die DSGVO in Deutschland

Neben reinen Automatisierungsdiensten kommen häufig No-Code-Datenbanken zum Einsatz. Möchte man Datenbanken wie Airtable im Hinblick auf die DSGVO in Deutschland bewerten, zeigen sich ähnliche Fragestellungen. Airtable verarbeitet als relationale Datenbank oft Kundendaten, Mitarbeiterinformationen oder Projekt-Details.

Standardmäßig speichert Airtable alle Kundendaten auf US-amerikanischen AWS-Servern. Die viel gefragte Option zur Datenresidenz in der EU (Speicherung in Frankfurt am Main mit Backups in Dublin) bietet Airtable derzeit ausschließlich Kunden im hochpreisigen Enterprise Scale Plan an. Für kleinere Teams, die den Standard- oder Business-Plan (zwischen 20 und 54 US-Dollar pro Nutzer im Monat) nutzen, verbleiben die Daten in den USA.

Auch hier bilden ein Data Processing Addendum (DPA) und gegebenenfalls die EU-Standardvertragsklauseln die vertragliche Basis. Für typische, nicht-sensible interne Workflows bewerten viele Unternehmen den Einsatz nach einer eigenen Risikoabschätzung als vertretbar. Sobald jedoch besondere Datenkategorien (wie Gesundheitsdaten) verarbeitet werden, wird der Einsatz auf amerikanischen Servern häufig kritischer gesehen — auch das ist eine Frage der Bewertung im Einzelfall.

Wann eine individuelle Systemarchitektur der bessere Weg ist

Wenn Unternehmen ihre Freigabeprozesse digitalisieren oder veraltete Dateisysteme wie eine alte Access-Datenbank ablösen möchten, scheinen No-Code-Tools zunächst eine schnelle Lösung zu sein. Je tiefer diese Werkzeuge jedoch in die Kernprozesse eingreifen, desto höher wird der Verwaltungsaufwand für Datenschutz, Berechtigungsmanagement und Compliance.

Sobald strikte Anforderungen an die Datenhaltung in Deutschland bestehen oder sensible Daten verarbeitet werden, stoßen amerikanische Cloud-Dienste an Grenzen, die viele Unternehmen nicht mehr tragen wollen. In solchen Szenarien ist die Entwicklung einer spezifischen Software-Lösung oft zielführender. Eine auf den Mittelstand ausgerichtete Individualentwicklung erlaubt es, Hosting-Umgebungen in zertifizierten deutschen Rechenzentren frei zu wählen. Das reduziert die Abhängigkeit von Drittland-Transfers erheblich — und damit auch den wiederkehrenden Prüfaufwand rund um Cloud Act und Transfer Impact Assessments.

Zudem passen sich individuelle Web-Applikationen exakt an bestehende Freigabeprozesse an, ohne dass das Unternehmen seine Arbeitsweise an die Limitierungen eines Standard-Baukastens anpassen muss. Langfristig kann das datenschutzrechtliche Risiken verringern und senkt zugleich die laufenden Lizenzkosten für stark wachsende Nutzerzahlen, wie sie bei Enterprise-Plänen von Cloud-Anbietern oft anfallen.

Häufige Fragen zur Cloud-Automatisierung

Was ist ein Auftragsverarbeitungsvertrag (AVV)?

Ein Auftragsverarbeitungsvertrag regelt die Rechte und Pflichten zwischen einem Unternehmen und einem externen Dienstleister, der weisungsgebunden personenbezogene Daten verarbeitet. Er soll sicherstellen, dass der Dienstleister die Daten durch angemessene Sicherheitsmaßnahmen schützt.

Nutzt Zapier meine Daten für das Training von KI?

Zapier bietet für Unternehmenskunden nach eigenen Angaben einen automatischen Ausschluss vom Datentraining an. Kunden anderer Tarife können das Training ihrer Daten für KI-Modelle über ein entsprechendes Formular deaktivieren (Opt-out).

Wo speichert Airtable seine Daten?

In den regulären Team- und Business-Tarifen speichert Airtable die Daten standardmäßig in den USA auf AWS-Servern. Eine Speicherung in europäischen Rechenzentren (Frankfurt) ist derzeit Kunden im Enterprise Scale Plan vorbehalten.

Sind US-amerikanische Tools in Deutschland verboten?

Nein, der Einsatz ist nicht pauschal verboten. Mit dem EU-US Data Privacy Framework (DPF) und den Standardvertragsklauseln existieren rechtliche Mechanismen für den Datentransfer. Ob sie im konkreten Fall ausreichen, muss das einsetzende Unternehmen selbst bewerten — am besten gemeinsam mit dem Datenschutzbeauftragten.

Wie lange werden Daten bei Automatisierungsdiensten gespeichert?

Personenbezogene Daten dürfen nicht länger gespeichert werden, als es für den eigentlichen Zweck notwendig ist. Bei Zapier können Daten nach Ablauf der Nutzung gelöscht werden; laut Anbieter löscht das System nicht mehr benötigte Durchlaufdaten nach gewissen Zeiträumen automatisch oder auf manuelle Anfrage.