Für deutsche Unternehmen

ActiveCampaign und die DSGVO: eine Einschätzung für deutsche Unternehmen

Kurz gesagt

ActiveCampaign ist als US-Unternehmen (Chicago) nicht automatisch DSGVO-konform: Für deutsche Verantwortliche entsteht ein Drittlandtransfer, der Schrems II, eine Transfer-Impact-Analyse und den US Cloud Act berührt. SCCs, AVV und DPF-Zertifizierung erfüllen nur das formale Minimum. Wer Abonnenten- und Automationsdaten auf eigener EU-Infrastruktur halten will, kann mit dem selbst-gehosteten Broadcast den Drittlandtransfer für diese Daten vermeiden.

Die vollständige Einschätzung finden Sie weiter unten.

ActiveCampaign ist eine starke Automationsplattform und zugleich ein Unternehmen mit Sitz in den USA (Chicago). Für einen deutschen Verantwortlichen bedeutet das eine Übermittlung personenbezogener Daten in ein Drittland, mit denselben Fragen zu Schrems II, Transfer Impact Assessment und Cloud Act, die auch bei Mailchimp gelten. Diese Seite ordnet die Rechtslage nüchtern ein und zeigt die Alternativen, inklusive einer Self-Hosted-Option.

Wir sind keine Anwälte, und diese Seite ist keine Rechtsberatung. Konkrete Empfehlungen für Ihr Unternehmen gehören in die Hände eines qualifizierten Datenschutzbeauftragten (DSB) oder einer Anwältin.

Für wen diese Seite gedacht ist

Deutsche Unternehmen, Gründerinnen und Gründer sowie technisch versierte Marketer, die die Automationstiefe von ActiveCampaign schätzen, aber den Compliance-Aufwand für US-Datentransfers nicht wollen. Wenn Sie Abonnentendaten auf einer Infrastruktur halten möchten, die Sie selbst kontrollieren, ist Broadcast die Self-Hosted-Alternative für Newsletter und Automationen in Deutschland.

Broadcast ansehen: $250 einmalig Ersparnis berechnen

Das Wichtigste in Kürze

  • • ActiveCampaign LLC hat seinen Sitz in Chicago, USA. Die Nutzung durch ein deutsches Unternehmen bedeutet eine Übermittlung personenbezogener Daten in ein Drittland (einen Drittlandtransfer).
  • • ActiveCampaign stellt Standardvertragsklauseln und einen AVV bereit und ist in der Regel als DPF-zertifiziert gelistet. Das erfüllt das formale Minimum, doch Schrems II verlangt vom Verantwortlichen weiterhin ein Transfer Impact Assessment und die Dokumentation zusätzlicher Schutzmaßnahmen, wo diese nötig sind.
  • • Der US Cloud Act gilt für US-Muttergesellschaften. Verträge können Pflichten zuweisen und Schutzmaßnahmen ergänzen, aber sie können für sich genommen nicht beseitigen, dass ein US-kontrollierter Anbieter US-Rechtsverfahren unterliegen kann.
  • • Postmark (transaktionale E-Mails) gehört zu ActiveCampaign. Wenn Sie ActiveCampaign und Postmark zusammen einsetzen, liegen beide Bausteine unter derselben US-Mutter. Berücksichtigen Sie das bei der Auflistung Ihrer Unterauftragsverarbeiter.
  • • Broadcast auf einem deutschen Server selbst zu hosten kann Drittlandtransfers für Empfänger- und Automationsdaten reduzieren oder ganz vermeiden, sofern Server, SMTP-Anbieter, Backups, Analytics, Support-Tools und Error-Tracking durchgängig mit Verarbeitern in der EU konfiguriert sind. Das ist gegenüber einem Datenschutzbeauftragten leichter zu erklären, aber keine automatische Abkürzung zur Compliance.
Sie wollen die einfachere Infrastruktur? So funktioniert Broadcast

Auf einen Blick

Frage ActiveCampaign Broadcast Self-Hosted
Wo liegen die Daten? ActiveCampaign / US-Stack Auf Ihrem Server
Problem mit US-Transfer? In der Regel ja, Prüfung nötig Mit reinem EU-Stack vermeidbar
Monatlicher Preis pro Kontakt? Ja Nein
Erklärung gegenüber dem DSB Aufwendiger (TIA, SCCs, zusätzliche Schutzmaßnahmen) Einfachere Infrastruktur-Erklärung
Unterauftragsverarbeiter ActiveCampaign + Postmark + weitere Nur Hoster + SMTP
Automationstiefe Führend im Markt Sequenzen und Segmentierung, weniger vorgefertigte Vorlagen

Schrems II, das EU-US Data Privacy Framework und der Cloud Act

Dieselben zwei Realitäten des US-Rechts, die Mailchimps Transferlage prägen, gelten auch für ActiveCampaign.

Schrems II und das EU-US Data Privacy Framework

In der Rechtssache C-311/18 (Juli 2020) hat der Europäische Gerichtshof das Privacy Shield für ungültig erklärt. SCCs bleiben zulässig, aber der Datenexporteur muss vor jeder Übermittlung ein Transfer Impact Assessment durchführen und, wo nötig, zusätzliche Schutzmaßnahmen umsetzen.

Das EU-US Data Privacy Framework (Juli 2023) ist der Nachfolger des Privacy Shield. ActiveCampaign ist in der Regel als DPF-zertifiziert gelistet, was die Transferlage verbessert, weil Übermittlungen ohne separate SCCs möglich werden. Damit ist die rechtliche Debatte um US-Zugriffsbefugnisse und mögliche künftige Klagen jedoch nicht beendet. Für risikoscheue deutsche Unternehmen bleibt eine reine EU- oder Self-Hosted-Infrastruktur oft einfacher gegenüber einem Datenschutzbeauftragten zu erklären.

Der US Cloud Act

Der Clarifying Lawful Overseas Use of Data Act (2018) verpflichtet US-Unternehmen zur Herausgabe von Daten an US-Behörden, auch wenn diese Daten in einem EU-Rechenzentrum liegen. ActiveCampaign LLC ist ein US-Unternehmen, dieses Risiko besteht also strukturell, unabhängig von vertraglichen Schutzmaßnahmen.

Verträge können Pflichten zuweisen und Schutzmaßnahmen ergänzen, aber sie können für sich genommen nicht beseitigen, dass ein US-kontrollierter Anbieter US-Rechtsverfahren unterliegen kann.

Was der AVV von ActiveCampaign abdeckt, und was nicht

ActiveCampaign stellt ein Data Processing Addendum inklusive Standardvertragsklauseln bereit. Das erfüllt das formale Minimum, aber der AVV allein löst die strukturellen Fragen ebenso wenig wie der von Mailchimp.

Was der AVV abdeckt

  • • Standardvertragsklauseln (Modul 2, Verantwortlicher an Auftragsverarbeiter)
  • • Liste der Unterauftragsverarbeiter (inklusive Postmark)
  • • Technische und organisatorische Maßnahmen (TOM)
  • • Meldepflichten bei Datenpannen
  • • Löschfristen nach Vertragsende

Was der AVV nicht löst

  • • Zugriffe von US-Behörden nach dem Cloud Act
  • • FISA-702-Anordnungen gegen die US-Mutter
  • • Das Transfer Impact Assessment selbst (das muss der Kunde durchführen)
  • • Den von Schrems II geforderten Standard eines „im Wesentlichen gleichwertigen“ Schutzniveaus
  • • Künftige Änderungen im US-Recht oder weitere Klagen gegen das DPF

Eine Anmerkung zu Postmark und gebündeltem US-Risiko

ActiveCampaign hat Postmark 2022 übernommen. Viele ActiveCampaign-Kunden nutzen Postmark zusätzlich für transaktionale E-Mails. Damit laufen Newsletter, Automationen und Transaktionsmails über Auftragsverarbeiter mit derselben US-Mutter.

Für sich genommen ist das kein rechtliches Problem, aber es gehört in ein Transfer Impact Assessment dokumentiert. Postmark bietet EU-Datenhaltung an, was einige operative Bedenken entschärft; das Cloud-Act-Risiko über die US-Mutter bleibt gleich. Wenn Ihr Datenschutzbeauftragter schon bei einem US-Auftragsverarbeiter zögert, sind zwei kumulierte Risiken ein Gespräch wert.

Was sich durch Self-Hosting ändert

Broadcast ist ein selbst-gehostetes Newsletter- und Automationstool. Sie installieren es auf einem Server, den Sie kontrollieren, typischerweise Hetzner in Falkenstein oder Nürnberg, und die Abonnentendatenbank, der Automationsstatus und die Trackingdaten liegen auf diesem Server. Self-Hosting kann Drittlandtransfers für Newsletter- und Automationsdaten vollständig vermeiden, sofern Server, SMTP-Anbieter, Backups, Analytics, Support-Tools und Error-Tracking durchgängig mit Verarbeitern in der EU konfiguriert sind.

Aspekt ActiveCampaign (SaaS) Broadcast Self-Hosted (EU-Stack)
Drittlandtransfer für Empfängerdaten Ja, in die USA Vermeidbar, wenn der gesamte Stack in der EU liegt
TIA erforderlich Ja, mit dokumentierten zusätzlichen Schutzmaßnahmen Nicht erforderlich für Komponenten ohne Drittlandtransfer
Cloud-Act-Risiko Ja (ActiveCampaign LLC, USA) Keines auf Ebene der Broadcast-Datenbank und -Anwendung, wenn bei einem deutschen oder EU-Anbieter gehostet; das SMTP-Risiko hängt von der Anbieterwahl ab
Liste der Unterauftragsverarbeiter ActiveCampaign + Postmark + Analytics + weitere Nur Hoster + SMTP-Anbieter
Automationstiefe Marktführender visueller Builder Sequenzen und Segmente, einfacherer Builder
Preismodell Monatlich pro Kontakt Einmalige Lizenz + EU-Infrastruktur

Was Self-Hosting nicht löst: Sie brauchen weiterhin ein Impressum, eine Datenschutzerklärung, Double Opt-in, dokumentierte Löschprozesse, AVVs mit Ihrem Hoster und Ihrem SMTP-Anbieter sowie ein Verzeichnis von Verarbeitungstätigkeiten. Self-Hosting kann die Frage des Drittlandtransfers vereinfachen, erfüllt die Pflichten der DSGVO aber nicht von allein.

Kostenvergleich

Rechenbeispiel für ein deutsches Unternehmen mit 10.000 Kontakten im Tarif Plus.

ActiveCampaign Plus

10.000 Kontakte

Monatliche Gebühr~$210 / Monat
Kosten pro Jahr~$2.520
Kosten über drei Jahre~$7.560
Dazu kommt interner Compliance-Aufwand für das TIA und die laufende Bewertung der Übermittlung.

Broadcast Self-Hosted

Hetzner CX22 + Amazon SES Frankfurt

Lizenz (einmalig)$250
Hetzner CX22~€5 / Monat
SES für ~40k E-Mails/Monat~$4 / Monat
Gesamt über drei Jahre~$580
Andere Ausgangslage beim Transfer; die Wahl des SMTP-Anbieters bestimmt weiterhin das verbleibende US-Risiko.

Geschätzte Ersparnis über 3 Jahre

~$6.980

Bei einer Liste mit 10.000 Kontakten, im Vergleich von ActiveCampaign Plus (~$7.560 über drei Jahre) mit Broadcast Self-Hosted auf Hetzner CX22 + Amazon SES Frankfurt (~$580 über drei Jahre).

Basierend auf Beispielpreisen und angenommener Nutzung. ActiveCampaign-Preise Stand Anfang 2026; prüfen Sie die aktuellen Anbieterpreise, bevor Sie eine Kaufentscheidung treffen. Verdoppelt sich die Liste auf 20.000 Kontakte, verdoppeln sich die ActiveCampaign-Kosten annähernd, während die Kosten beim Self-Hosting weitgehend gleich bleiben.

Häufige Fragen

Ein klares Ja oder Nein gibt es nicht. ActiveCampaign stellt SCCs und einen AVV bereit und ist in der Regel DPF-zertifiziert. Das erfüllt das formale Minimum. Strukturell bleibt die Übermittlung an ein US-Unternehmen bestehen, und Schrems II verlangt ein Transfer Impact Assessment. Ob Ihr konkreter Einsatz vertretbar ist, hängt von einer dokumentierten Risikobewertung und zusätzlichen Schutzmaßnahmen ab.
EU-Datenhaltung entschärft einige operative Bedenken, ändert aber nichts am strukturellen Cloud-Act-Bild: ActiveCampaign LLC ist eine US-Mutter, US-Herausgabeanordnungen können also weiterhin Daten in EU-Regionen erreichen. Das DPF verbessert die Transferlage für zertifizierte US-Anbieter, beendet die rechtliche Debatte aber nicht.
Ehrliche Antwort: nicht Funktion für Funktion. ActiveCampaign hat den tiefsten Automations-Builder in diesem Marktsegment. Broadcast deckt Sequenzen (DRIP), Segmentierung, Tags, benutzerdefinierte Felder, bedingte Versände und ereignisgesteuerte Automationen ab, genug für die große Mehrheit der Newsletter- und Onboarding-Strecken, mit einfacherer Bedienung. Teams, die stark auf visuelle Automationen mit vielen Verzweigungen setzen, bevorzugen ActiveCampaign womöglich schon wegen des Builders.
ActiveCampaign unterstützt den CSV-Export von Kontakten inklusive Tags und benutzerdefinierten Feldern. Broadcast importiert CSV-Dateien direkt. Automationen werden manuell neu aufgebaut, denn das Exportformat von ActiveCampaign ist nicht portierbar. Für die meisten Teams ist ein Umzug in ein bis zwei Tagen realistisch.
Postmark gehört zu ActiveCampaign und ist in der Regel DPF-zertifiziert, EU-Datenhaltung ist verfügbar. Wegen der US-Mutter gelten dieselben Cloud-Act-Überlegungen. Mit Broadcast können Sie jeden SMTP-Anbieter wählen: Brevo oder Mailjet aus Frankreich für einen reinen EU-Stack, oder SES Frankfurt beziehungsweise Postmark EU, wenn EU-Datenhaltung mit einer US-Mutter für Sie vertretbar ist.

Ein einfacheres Infrastrukturmodell für deutsche Newsletter und Automationen.

Broadcast macht Sie nicht automatisch DSGVO-konform. Es gibt Ihnen ein einfacheres Infrastrukturmodell: Ihre Liste, Ihr Server, Ihre Datenbank, Ihr gewählter SMTP-Anbieter.

Einmalige Lizenz. Keine Staffelung pro Kontakt. Kein US-Auftragsverarbeiter für Anwendung und Datenbank.

Broadcast ansehen: $250 einmalig Ersparnis berechnen

Weiterlesen

Mailchimp und die DSGVO
Schrems II, Cloud Act, AVV und die strukturellen Fragen
Mailchimp Alternative Deutschland
Sechs DSGVO-freundliche Optionen im Vergleich
E-Mail-Marketing selbst hosten
Der DSGVO-Stack für deutsche Unternehmen

Still deciding?

Comparisons cover the tradeoffs. How To covers whether Broadcast does the specific thing you need, organized by what you are trying to accomplish rather than by feature name. If the answer is no, it says no.

Browse How To Segment subscribers Branch a sequence Bring an existing list