Für deutsche Unternehmen

ActiveCampaign und die DSGVO: eine Einschätzung für deutsche Unternehmen

Kurz gesagt

ActiveCampaign ist als US-Unternehmen (Chicago) nicht automatisch DSGVO-konform: Für deutsche Verantwortliche entsteht ein Drittlandtransfer, der Schrems II, eine Transfer-Impact-Analyse und den US Cloud Act berührt. SCCs, AVV und DPF-Zertifizierung erfüllen nur das formale Minimum, und das DPF selbst steht seit Sommer 2026 erneut unter Druck. Wer Abonnenten- und Automationsdaten auf eigener EU-Infrastruktur halten will, kann mit dem selbst-gehosteten Broadcast den Drittlandtransfer für diese Daten vermeiden.

Die vollständige Einschätzung finden Sie weiter unten.

ActiveCampaign ist eine starke Automationsplattform und zugleich ein Unternehmen mit Sitz in den USA (Chicago). Für einen deutschen Verantwortlichen bedeutet das eine Übermittlung personenbezogener Daten in ein Drittland, mit denselben Fragen zu Schrems II, Transfer Impact Assessment und Cloud Act, die auch bei Mailchimp gelten. Diese Seite ordnet die Rechtslage nüchtern ein und zeigt die Alternativen, inklusive einer Self-Hosted-Option.

Wir sind keine Anwälte, und diese Seite ist keine Rechtsberatung. Konkrete Empfehlungen für Ihr Unternehmen gehören in die Hände eines qualifizierten Datenschutzbeauftragten (DSB) oder einer Anwältin.

Für wen diese Seite gedacht ist

Deutsche Unternehmen, Gründerinnen und Gründer sowie technisch versierte Marketer, die die Automationstiefe von ActiveCampaign schätzen, aber den Compliance-Aufwand für US-Datentransfers nicht wollen. Wenn Sie Abonnentendaten auf einer Infrastruktur halten möchten, die Sie selbst kontrollieren, ist Broadcast die Self-Hosted-Alternative für Newsletter und Automationen in Deutschland.

Broadcast ansehen: $250 einmalig Ersparnis berechnen

Das Wichtigste in Kürze

  • • ActiveCampaign LLC hat seinen Sitz in Chicago, USA. Die Nutzung durch ein deutsches Unternehmen bedeutet eine Übermittlung personenbezogener Daten in ein Drittland (einen Drittlandtransfer).
  • • ActiveCampaign stellt Standardvertragsklauseln und einen AVV bereit und ist im DPF-Register als zertifiziert gelistet (Stand September 2026: aktiv, Rezertifizierung in Prüfung). Das erfüllt das formale Minimum, doch Schrems II verlangt vom Verantwortlichen weiterhin ein Transfer Impact Assessment und die Dokumentation zusätzlicher Schutzmaßnahmen, wo diese nötig sind.
  • • Der US Cloud Act gilt für US-Muttergesellschaften. Verträge können Pflichten zuweisen und Schutzmaßnahmen ergänzen, aber sie können für sich genommen nicht beseitigen, dass ein US-kontrollierter Anbieter US-Rechtsverfahren unterliegen kann.
  • • Postmark (transaktionale E-Mails) gehört zu ActiveCampaign. Wenn Sie ActiveCampaign und Postmark zusammen einsetzen, liegen beide Bausteine unter derselben US-Mutter. Berücksichtigen Sie das bei der Auflistung Ihrer Unterauftragsverarbeiter.
  • • Broadcast auf einem deutschen Server selbst zu hosten kann Drittlandtransfers für Empfänger- und Automationsdaten reduzieren oder ganz vermeiden, sofern Server, SMTP-Anbieter, Backups, Analytics, Support-Tools und Error-Tracking durchgängig mit Verarbeitern in der EU konfiguriert sind. Das ist gegenüber einem Datenschutzbeauftragten leichter zu erklären, aber keine automatische Abkürzung zur Compliance.
Sie wollen die einfachere Infrastruktur? So funktioniert Broadcast

Auf einen Blick

Frage ActiveCampaign Broadcast Self-Hosted
Wo liegen die Daten? ActiveCampaign-Rechenzentrum (EU wählbar), Verarbeitung auch in den USA Auf Ihrem Server
Problem mit US-Transfer? In der Regel ja, Prüfung nötig Mit reinem EU-Stack vermeidbar
Monatlicher Preis pro Kontakt? Ja Nein
Erklärung gegenüber dem DSB Aufwendiger (TIA, SCCs, zusätzliche Schutzmaßnahmen) Einfachere Infrastruktur-Erklärung
Unterauftragsverarbeiter ActiveCampaign + Postmark + weitere Nur Hoster + SMTP
Automationstiefe Führend im Markt Sequenzen und Segmentierung, weniger vorgefertigte Vorlagen

Schrems II, das EU-US Data Privacy Framework und der Cloud Act

Dieselben zwei Realitäten des US-Rechts, die Mailchimps Transferlage prägen, gelten auch für ActiveCampaign.

Schrems II und das EU-US Data Privacy Framework

In der Rechtssache C-311/18 (Juli 2020) hat der Europäische Gerichtshof das Privacy Shield für ungültig erklärt. SCCs bleiben zulässig, aber der Datenexporteur muss vor der Übermittlung ein Transfer Impact Assessment durchführen und, wo nötig, zusätzliche Schutzmaßnahmen umsetzen.

Das EU-US Data Privacy Framework (Juli 2023) ist der Nachfolger des Privacy Shield. ActiveCampaign, LLC ist im DPF-Register als zertifiziert gelistet, was die Transferlage verbessert, weil Übermittlungen ohne separate SCCs möglich werden. Damit ist die rechtliche Debatte um US-Zugriffsbefugnisse und mögliche künftige Klagen jedoch nicht beendet. Für risikoscheue deutsche Unternehmen bleibt eine reine EU- oder Self-Hosted-Infrastruktur oft einfacher gegenüber einem Datenschutzbeauftragten zu erklären.

Der US Cloud Act

Der Clarifying Lawful Overseas Use of Data Act (2018) verpflichtet US-Unternehmen zur Herausgabe von Daten an US-Behörden, auch wenn diese Daten in einem EU-Rechenzentrum liegen. ActiveCampaign LLC ist ein US-Unternehmen, dieses Risiko besteht also strukturell, unabhängig von vertraglichen Schutzmaßnahmen.

Verträge können Pflichten zuweisen und Schutzmaßnahmen ergänzen, aber sie können für sich genommen nicht beseitigen, dass ein US-kontrollierter Anbieter US-Rechtsverfahren unterliegen kann.

Stand: September 2026

Wo das Data Privacy Framework heute steht

  • Das DPF gilt. Der Angemessenheitsbeschluss der Kommission vom 10. Juli 2023 ist in Kraft. Übermittlungen an zertifizierte US-Unternehmen stützen sich weiterhin darauf.
  • Erste Instanz bestätigt. Das Gericht der EU hat die Klage von Philippe Latombe gegen das DPF am 3. September 2025 abgewiesen (Rechtssache T-553/23).
  • Rechtsmittel anhängig. Latombe hat am 31. Oktober 2025 Rechtsmittel beim Gerichtshof eingelegt (C-703/25 P). Das Verfahren ist anhängig.
  • Die FTC als neue Angriffsfläche. Der US Supreme Court hat am 29. Juni 2026 in Trump v. Slaughter mit 6 zu 3 Stimmen entschieden, dass der Kündigungsschutz für FTC-Mitglieder verfassungswidrig ist. Das DPF stützt sich auf die FTC als unabhängige Aufsicht. noyb hat die Kommission deshalb mit Schreiben vom 30. Juni 2026 aufgefordert, den Angemessenheitsbeschluss aufzuheben. Eine eigene Klage hat noyb angekündigt, nach unserem Stand aber noch nicht eingereicht. Laut IAPP hat der EDSA die Kommission am 31. Juli 2026 gebeten, die Folgen des Urteils genau zu prüfen.
  • PCLOB ohne Quorum. Das US Privacy and Civil Liberties Oversight Board ist seit der Abberufung seiner drei demokratischen Mitglieder am 27. Januar 2025 nicht beschlussfähig. Im Juli 2026 war das noch so.
  • Es gibt eine Gegenansicht. Die IAPP hat eine Analyse veröffentlicht, nach der Trump v. Slaughter den Rechtsbehelfsmechanismus des DPF nicht aushebelt. Ob und wann das DPF fällt, ist offen.

Was ein deutsches Unternehmen jetzt tun sollte

Nichts überstürzen, aber vorbereitet sein. Dokumentieren Sie Ihr Transfer Impact Assessment für ActiveCampaign (und Postmark, falls im Einsatz) so, dass es auch ohne DPF trägt. Kennen Sie Ihre Rückfallebene: Standardvertragsklauseln mit den zusätzlichen Garantien, die Schrems II verlangt, oder ein Wechsel zu einer Lösung ohne US-Transfer. Stimmen Sie beides mit Ihrem DSB ab, bevor ein Gericht den Zeitplan vorgibt.

Was passiert, wenn das Data Privacy Framework fällt? Szenario und Checkliste für den DSB →

Quellen: Rechtsmittel C-703/25 P (ABl. C/2025/6610), Trump v. Slaughter, No. 25-332, noyb-Schreiben vom 30. Juni 2026, PCLOB, IAPP zum EDSA-Schreiben, IAPP-Gegenansicht. Informationen, keine Rechtsberatung.

Was der AVV von ActiveCampaign abdeckt, und was nicht

ActiveCampaign stellt ein Data Processing Addendum inklusive Standardvertragsklauseln bereit. Das erfüllt das formale Minimum, aber der AVV allein löst die strukturellen Fragen ebenso wenig wie der von Mailchimp.

Was der AVV abdeckt

  • • Standardvertragsklauseln (Modul 2, Verantwortlicher an Auftragsverarbeiter)
  • • Liste der Unterauftragsverarbeiter
  • • Technische und organisatorische Maßnahmen (TOM)
  • • Meldepflichten bei Datenpannen
  • • Löschfristen nach Vertragsende

Was der AVV nicht löst

  • • Zugriffe von US-Behörden nach dem Cloud Act
  • • FISA-702-Anordnungen gegen die US-Mutter
  • • Das Transfer Impact Assessment selbst (das muss der Kunde durchführen)
  • • Den von Schrems II geforderten Standard eines „im Wesentlichen gleichwertigen“ Schutzniveaus
  • • Künftige Änderungen im US-Recht oder weitere Klagen gegen das DPF

Eine Anmerkung zu Postmark und gebündeltem US-Risiko

ActiveCampaign hat Postmark 2022 übernommen. Viele ActiveCampaign-Kunden nutzen Postmark zusätzlich für transaktionale E-Mails. Damit laufen Newsletter, Automationen und Transaktionsmails über Auftragsverarbeiter mit derselben US-Mutter.

Für sich genommen ist das kein rechtliches Problem, aber es gehört in ein Transfer Impact Assessment dokumentiert. Postmark hostet in den USA und bietet nach unserem Stand keine EU-Region. Beide Übermittlungen gehen also in die USA, und beide hängen an derselben US-Mutter. Wenn Ihr Datenschutzbeauftragter schon bei einem US-Auftragsverarbeiter zögert, sind zwei kumulierte Risiken ein Gespräch wert.

Was sich durch Self-Hosting ändert

Broadcast ist ein selbst-gehostetes Newsletter- und Automationstool. Sie installieren es auf einem Server, den Sie kontrollieren, typischerweise Hetzner in Falkenstein oder Nürnberg, und die Abonnentendatenbank, der Automationsstatus und die Trackingdaten liegen auf diesem Server. Self-Hosting kann Drittlandtransfers für Newsletter- und Automationsdaten vollständig vermeiden, sofern Server, SMTP-Anbieter, Backups, Analytics, Support-Tools und Error-Tracking durchgängig mit Verarbeitern in der EU konfiguriert sind.

Aspekt ActiveCampaign (SaaS) Broadcast Self-Hosted (EU-Stack)
Drittlandtransfer für Empfängerdaten Ja, in die USA Vermeidbar, wenn der gesamte Stack in der EU liegt
TIA erforderlich Ja, mit dokumentierten zusätzlichen Schutzmaßnahmen Nicht erforderlich für Komponenten ohne Drittlandtransfer
Cloud-Act-Risiko Ja (ActiveCampaign LLC, USA) Keines auf Ebene der Broadcast-Datenbank und -Anwendung, wenn bei einem deutschen oder EU-Anbieter gehostet; das SMTP-Risiko hängt von der Anbieterwahl ab
Liste der Unterauftragsverarbeiter ActiveCampaign + Postmark + Analytics + weitere Nur Hoster + SMTP-Anbieter
Automationstiefe Marktführender visueller Builder Sequenzen und Segmente, einfacherer Builder
Preismodell Monatlich pro Kontakt Einmalige Lizenz + EU-Infrastruktur

Was Self-Hosting nicht löst: Sie brauchen weiterhin ein Impressum, eine Datenschutzerklärung, Double Opt-in, dokumentierte Löschprozesse, AVVs mit Ihrem Hoster und Ihrem SMTP-Anbieter sowie ein Verzeichnis von Verarbeitungstätigkeiten. Self-Hosting kann die Frage des Drittlandtransfers vereinfachen, erfüllt die Pflichten der DSGVO aber nicht von allein.

Kostenvergleich

Rechenbeispiel für ein deutsches Unternehmen mit 10.000 Kontakten im Tarif Plus.

ActiveCampaign Plus

10.000 Kontakte

Monatliche Gebühr~$189 / Monat
Kosten pro Jahr~$2.268
Kosten über drei Jahre~$6.804
Dazu kommt interner Compliance-Aufwand für das TIA und die laufende Bewertung der Übermittlung.

Broadcast Self-Hosted

Hetzner CX23 + Amazon SES Frankfurt

Lizenz (einmalig)$250
Hetzner CX23€5,49 (~$6) / Monat
SES für ~40k E-Mails/Monat~$4 / Monat
Gesamt über drei Jahre~$610
Andere Ausgangslage beim Transfer; die Wahl des SMTP-Anbieters bestimmt weiterhin das verbleibende US-Risiko.

Geschätzte Ersparnis über 3 Jahre

~$6.190

Bei einer Liste mit 10.000 Kontakten, im Vergleich von ActiveCampaign Plus (~$6.804 über drei Jahre) mit Broadcast Self-Hosted auf Hetzner CX23 + Amazon SES Frankfurt (~$610 über drei Jahre: $250 Lizenz, 36 × $6 Server, 36 × $4 SES).

Basierend auf Beispielpreisen und angenommener Nutzung. ActiveCampaign-Preis Stand September 2026 (Plus, 10.000 Kontakte, bei jährlicher Zahlung; monatlich gezahlt ist es teurer), Hetzner-Preis Stand September 2026 (netto, nach der Preisanpassung vom 15. Juni 2026), umgerechnet mit ca. 1,10 $ pro Euro; prüfen Sie die aktuellen Anbieterpreise, bevor Sie eine Kaufentscheidung treffen. Bei 20.000 Kontakten kostet ActiveCampaign Plus $329 statt $189 im Monat, während die Kosten beim Self-Hosting weitgehend gleich bleiben.

Häufige Fragen

Ein klares Ja oder Nein gibt es nicht. ActiveCampaign stellt SCCs und einen AVV bereit und ist im DPF-Register als zertifiziert gelistet. Das erfüllt das formale Minimum. Strukturell bleibt die Übermittlung an ein US-Unternehmen bestehen, und Schrems II verlangt ein Transfer Impact Assessment. Ob Ihr konkreter Einsatz vertretbar ist, hängt von einer dokumentierten Risikobewertung und zusätzlichen Schutzmaßnahmen ab.
ActiveCampaign bietet regionale Rechenzentren an, auch in der EU. Laut ActiveCampaign werden Kontaktdaten aber weiterhin auch in den USA und an anderen Orten außerhalb der Hosting-Region verarbeitet. Die EU-Datenhaltung entschärft also einige operative Bedenken, beseitigt den Drittlandtransfer aber nicht und ändert nichts am strukturellen Cloud-Act-Bild: ActiveCampaign, LLC ist ein US-Unternehmen, US-Herausgabeanordnungen können also weiterhin Daten in EU-Regionen erreichen. Das DPF verbessert die Transferlage für zertifizierte US-Anbieter, beendet die rechtliche Debatte aber nicht.
Ja, Stand September 2026 gilt das DPF, und Übermittlungen an zertifizierte US-Anbieter wie ActiveCampaign können sich darauf stützen. Es steht aber unter Druck. Das Gericht der EU hat es am 3. September 2025 bestätigt (T-553/23), das Rechtsmittel C-703/25 P ist beim EuGH anhängig. Nach dem Urteil Trump v. Slaughter vom 29. Juni 2026 hat noyb die Kommission am 30. Juni 2026 aufgefordert, den Angemessenheitsbeschluss aufzuheben. Es gibt auch die Gegenansicht, dass der Rechtsbehelfsmechanismus des DPF bestehen bleibt. Dokumentieren Sie Ihr TIA so, dass es auch ohne DPF trägt, und kennen Sie Ihre Rückfallebene.
Ehrliche Antwort: nicht Funktion für Funktion. ActiveCampaign hat den tiefsten Automations-Builder in diesem Marktsegment. Broadcast deckt Sequenzen (DRIP), Segmentierung, Tags, benutzerdefinierte Felder, bedingte Versände und ereignisgesteuerte Automationen ab, genug für die große Mehrheit der Newsletter- und Onboarding-Strecken, mit einfacherer Bedienung. Teams, die stark auf visuelle Automationen mit vielen Verzweigungen setzen, bevorzugen ActiveCampaign womöglich schon wegen des Builders.
ActiveCampaign unterstützt den CSV-Export von Kontakten inklusive Tags und benutzerdefinierten Feldern. Broadcast importiert CSV-Dateien direkt. Automationen werden manuell neu aufgebaut, denn das Exportformat von ActiveCampaign ist nicht portierbar. Für die meisten Teams ist ein Umzug in ein bis zwei Tagen realistisch.
Postmark gehört seit 2022 zu ActiveCampaign, hostet in den USA und bietet nach unserem Stand keine EU-Region. Es gelten also dieselben Transfer- und Cloud-Act-Überlegungen. Mit Broadcast können Sie jeden SMTP-Anbieter wählen: Brevo oder Mailjet aus Frankreich ohne US-Muttergesellschaft (prüfen Sie deren Unterauftragsverarbeiter), oder SES Frankfurt, wenn EU-Verarbeitung mit einer US-Mutter für Sie vertretbar ist.

Ein einfacheres Infrastrukturmodell für deutsche Newsletter und Automationen.

Broadcast macht Sie nicht automatisch DSGVO-konform. Es gibt Ihnen ein einfacheres Infrastrukturmodell: Ihre Liste, Ihr Server, Ihre Datenbank, Ihr gewählter SMTP-Anbieter.

Einmalige Lizenz. Keine Staffelung pro Kontakt. Kein US-Auftragsverarbeiter für Anwendung und Datenbank.

Broadcast ansehen: $250 einmalig Ersparnis berechnen

Weiterlesen

Mailchimp und die DSGVO
Schrems II, Cloud Act, AVV und die strukturellen Fragen
Wenn das Data Privacy Framework fällt
Szenario und Checkliste für US-Tools
Mailchimp Alternative Deutschland
Sechs DSGVO-freundliche Optionen im Vergleich
MailerLite & DSGVO
EU-Anbieter, Eigentümer und Kosten
CleverReach Alternative
Abo-Preise gegen einmalige Lizenz
E-Mail-Marketing selbst hosten
Der DSGVO-Stack für deutsche Unternehmen

Still deciding?

Comparisons cover the tradeoffs. How To covers whether Broadcast does the specific thing you need, organized by what you are trying to accomplish rather than by feature name. If the answer is no, it says no.

Browse How To Segment subscribers Branch a sequence Bring an existing list