Für deutsche Unternehmen

Mailchimp und die DSGVO: eine Einschätzung für deutsche Unternehmen

Mailchimp lässt sich in Deutschland einsetzen, sauber wird es aber erst mit echter juristischer Arbeit: einem Transfer Impact Assessment, der laufenden Prüfung der EU-US-Transferlage und einem Auftragsverarbeitungsvertrag (AVV) mit dokumentierten zusätzlichen Garantien. Diese Seite erklärt die Rechtslage, was der Mailchimp-AVV abdeckt und was nicht, und wie eine Self-Hosted Alternative wie Broadcast das Risikoprofil vereinfachen kann, ohne zu übertreiben, was Self-Hosting tatsächlich löst.

Wir sind keine Anwälte und diese Seite ist keine Rechtsberatung. Konkrete Hinweise für Ihr Unternehmen sollten von einem qualifizierten Datenschutzbeauftragten (DSB) oder von einer Rechtsanwältin oder einem Rechtsanwalt kommen.

Für wen diese Seite gedacht ist

Für deutsche Unternehmen, die den Komfort von Mailchimp schätzen, aber die Compliance-Arbeit rund um US-Datentransfers nicht mögen. Wenn Sie Ihre Abonnentendatenbank auf einer Infrastruktur wollen, die Sie selbst kontrollieren: Broadcast ist die Self-Hosted Mailchimp-Alternative für Deutschland, eine DSGVO-freundliche Newsletter-Software, die Ihre Liste, Ihren Server und Ihre SMTP-Wahl in Ihre Hand legt.

Broadcast ansehen: $250 einmalig Ersparnis berechnen

Das Wichtigste in Kürze

  • • Mailchimp ist ein US-Anbieter (Intuit, USA). Die Nutzung durch ein deutsches Unternehmen bedeutet eine Übermittlung personenbezogener Daten in ein Drittland (ein Drittlandtransfer) und löst damit zusätzliche Pflichten nach der DSGVO aus.
  • • In einem BayLDA-Beschwerdeverfahren, das üblicherweise unter dem Aktenzeichen LDA-1085.1-12159/20-IDV geführt und auf den 15. März 2021 datiert wird, hielt die bayerische Aufsichtsbehörde den Mailchimp-Einsatz eines Unternehmens für unzulässig, weil der Verantwortliche nicht geprüft hatte, ob nach Schrems II zusätzliche Garantien erforderlich waren. Der EDSA veröffentlichte die Zusammenfassung des BayLDA am 30. März 2021 erneut. Die Entscheidung betrifft einen Einzelfall, wird aber weithin als Richtungsvorgabe verstanden.
  • • Schrems II (EuGH C-311/18, Juli 2020) hat das Privacy Shield gekippt. Der Nachfolger, das EU-US Data Privacy Framework (2023), verbessert die Lage für zertifizierte US-Anbieter, beendet aber nicht jede rechtliche Diskussion über US-Zugriffsgesetze.
  • • Der US Cloud Act gilt für US-Muttergesellschaften auch dann, wenn die Daten in einem EU-Rechenzentrum liegen. Verträge können Pflichten verteilen und Garantien ergänzen, sie können aber für sich genommen nicht beseitigen, dass ein US-kontrollierter Anbieter US-Verfahren unterliegen kann.
  • • Self-Hosting auf einem deutschen Server (z. B. Hetzner Falkenstein/Nürnberg) kann Drittlandtransfers für Newsletter-Empfängerdaten reduzieren oder vermeiden, sofern Server, SMTP-Anbieter, Backups, Analytics, Support-Tools und Error-Tracking durchgehend mit Auftragsverarbeitern in der EU konfiguriert sind. Das lässt sich einem DSB leichter erklären, es ist aber keine automatische Abkürzung zur Compliance.
Sie wollen die einfachere Infrastruktur-Variante? So funktioniert Broadcast

Auf einen Blick

Frage Mailchimp Broadcast Self-Hosted
Wo liegt die Liste? Mailchimp-/Intuit-Stack Auf Ihrem Server
US-Transferproblem? In der Regel ja, Prüfung erforderlich Mit reinem EU-Stack vermeidbar
Monatlicher Preis pro Abonnent? Ja Nein
Erklärung gegenüber dem DSB Aufwendiger (TIA, SCC, zusätzliche Garantien) Einfachere Infrastruktur
Kontrolle über die Infrastruktur Begrenzt Hoch
Wahl des SMTP-Anbieters Von Mailchimp vorgegeben Sie wählen (EU-Optionen verfügbar)

Die ausführliche Aufschlüsselung folgt weiter unten.

Die BayLDA-Entscheidung von 2021

Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) ist nach unserem Kenntnisstand die einzige deutsche Aufsichtsbehörde, die den Mailchimp-Einsatz eines konkreten Unternehmens förmlich beanstandet hat. Die Entscheidung ist heute der meistzitierte Bezugspunkt in deutschen DSGVO-Bewertungen von Mailchimp.

Was das BayLDA festgestellt hat

Ein deutsches Unternehmen hatte die E-Mail-Adressen von Newsletter-Empfängern an Mailchimp übermittelt. Das BayLDA prüfte die Übermittlung im Licht von Schrems II und kam zu diesem Ergebnis:

  1. Die Übermittlung an Mailchimp ist eine Übermittlung in ein Drittland (USA).
  2. Nach US-Recht, insbesondere FISA 702, kann Mailchimp als „electronic communication service provider“ einzuordnen und damit zur Mitwirkung gegenüber US-Nachrichtendiensten verpflichtet sein.
  3. Standardvertragsklauseln (SCC) allein genügen nicht. Das exportierende Unternehmen hätte prüfen müssen, ob die SCC angesichts des US-Rechts ein „der Sache nach gleichwertiges“ Schutzniveau bieten, also ein Transfer Impact Assessment (TIA) durchführen müssen.
  4. Da kein solches TIA durchgeführt wurde, war die Übermittlung in diesem konkreten Fall unzulässig.

Quelle: BayLDA-Beschwerdeverfahren, üblicherweise zitiert als Aktenzeichen LDA-1085.1-12159/20-IDV und datiert auf den 15. März 2021; der EDSA hat die Zusammenfassung des BayLDA am 30. März 2021 erneut veröffentlicht. Aktenzeichen und Datum werden von mehreren juristischen Quellen wiedergegeben (SKW Schwarz, Datenrecht.ch). Die Entscheidung betrifft einen konkreten Einzelfall. Sie erklärt Mailchimp in Deutschland nicht generell für unzulässig, wird von deutschen Datenschutzbeauftragten aber weithin als Richtungsvorgabe behandelt.

Praktisch heißt das: Deutsche Unternehmen können Mailchimp einsetzen, belastbar wird der Einsatz aber nur mit dokumentierter Compliance-Arbeit, einschließlich eines TIA mit zusätzlichen Garantien. Viele Unternehmen halten diesen Aufwand für vertretbar, andere nicht und wählen entweder einen Anbieter mit Sitz in der EU oder eine Self-Hosted Alternative.

Schrems II, das EU-US Data Privacy Framework und der Cloud Act

Zwei Gegebenheiten des US-Rechts prägen die Lage bei EU-US-Übermittlungen an jeden US-Anbieter, auch an Mailchimp.

Schrems II und das EU-US Data Privacy Framework

In der Rechtssache C-311/18 (Juli 2020) hat der Gerichtshof der EU das Privacy Shield für ungültig erklärt. Begründung: Das US-Überwachungsrecht (FISA 702, Executive Order 12333) gibt EU-Bürgern keine wirksamen Rechtsbehelfe gegen Datenzugriffe von US-Behörden. SCC bleiben möglich, der Datenexporteur muss aber vor jeder Übermittlung ein Transfer Impact Assessment durchführen und bei Bedarf zusätzliche Garantien umsetzen.

Das EU-US Data Privacy Framework (Juli 2023) ist der Nachfolger des Privacy Shield. Es erlaubt Übermittlungen an zertifizierte US-Unternehmen ohne separate SCC und verbessert die Transferlage für diese Anbieter. Mailchimp gibt an, dass The Rocket Science Group LLC d/b/a Mailchimp von der Data-Privacy-Framework-Zertifizierung von Intuit erfasst ist; der aktuelle DPF-Eintrag für Intuit weist als nächsten Zertifizierungstermin den 12. November 2026 aus, die Zertifizierung erscheint zum Prüfzeitpunkt also aktiv. Das DPF beendet allerdings weder die rechtliche Diskussion über US-Zugriffsgesetze noch mögliche künftige Klagen. Für risikoscheue deutsche Unternehmen bleibt eine reine EU-Infrastruktur oder Self-Hosting oft leichter gegenüber einem DSB zu erklären.

Der US Cloud Act

Der Clarifying Lawful Overseas Use of Data Act (2018) verpflichtet US-Unternehmen zur Herausgabe von Daten an US-Behörden, auch wenn diese Daten in einem EU-Rechenzentrum liegen.

Konkret: Selbst wenn Mailchimp Ihre Daten ausschließlich in Europa speichern würde, unterläge Intuit als US-Muttergesellschaft weiterhin US-Herausgabeanordnungen.

Das ist die strukturelle Hürde, die Verträge allein nicht vollständig lösen können.

Was der Mailchimp-AVV (Auftragsverarbeitungsvertrag) abdeckt und was nicht

Mailchimp stellt einen AVV (Data Processing Addendum) bereit, der Standardvertragsklauseln enthält und vom Kunden gegengezeichnet werden kann. Damit ist das formale Minimum für eine EU-US-Übermittlung erfüllt, die zugrunde liegenden strukturellen Fragen löst der AVV allein aber nicht.

Was der AVV abdeckt

  • • Standardvertragsklauseln (Modul 2, Verantwortlicher an Auftragsverarbeiter)
  • • Liste der Unterauftragsverarbeiter
  • • Technische und organisatorische Maßnahmen (TOM)
  • • Meldepflichten bei Datenpannen
  • • Löschfristen nach Vertragsende

Was der AVV nicht löst

  • • Zugriffe von US-Behörden nach dem Cloud Act
  • • FISA-702-Anordnungen an die US-Muttergesellschaft
  • • Das Transfer Impact Assessment selbst (das muss der Kunde durchführen)
  • • Den von Schrems II geforderten Maßstab eines „der Sache nach gleichwertigen“ Schutzes
  • • Künftige Änderungen im US-Recht oder weitere Klagen gegen das DPF

Was Self-Hosting am Bild ändert

Broadcast auf einem deutschen Server selbst zu hosten verändert, wo die personenbezogenen Daten liegen und welche Auftragsverarbeiter beteiligt sind. Das ist eine spürbare Vereinfachung, kein Allheilmittel für Compliance. Self-Hosting kann Drittlandtransfers für Newsletter-Empfängerdaten beseitigen, sofern Server, SMTP-Anbieter, Backups, Analytics, Support-Tools und Error-Tracking durchgehend mit Auftragsverarbeitern in der EU konfiguriert sind. Das Bild ändert sich nur so weit, wie sich Ihr gesamter Stack ändert.

Aspekt Mailchimp (SaaS) Broadcast Self-Hosted (EU-Stack)
Drittlandtransfer für Empfängerdaten Ja, in die USA Vermeidbar, wenn der gesamte Stack in der EU liegt
TIA erforderlich Ja, mit dokumentierten zusätzlichen Garantien Nicht erforderlich für Komponenten ohne Drittlandtransfer
Cloud-Act-Risiko Ja (Intuit, USA) Keines auf Datenbank- und Anwendungsebene von Broadcast, wenn bei einem deutschen oder EU-Anbieter gehostet; beim SMTP hängt es von der Anbieterwahl ab
Ihre Rolle Verantwortlicher; Mailchimp ist Auftragsverarbeiter Verantwortlicher; nur das SMTP-Relay (und weitere von Ihnen angebundene Tools) sind Auftragsverarbeiter
AVV erforderlich mit Mailchimp und jedem Unterauftragsverarbeiter Hoster und SMTP-Anbieter (beide in der EU wählbar)
Auskunfts- und Löschanfragen Über die Mailchimp-API Direkt in Ihrer eigenen Datenbank
Serverstandort wählbar Nein Ja (z. B. Hetzner Falkenstein/Nürnberg)

Was Self-Hosting nicht löst: Sie brauchen weiterhin ein Impressum, eine Datenschutzerklärung, Double Opt-in, dokumentierte Löschprozesse, AVVs mit Ihrem Hoster und Ihrem SMTP-Anbieter sowie ein Verzeichnis von Verarbeitungstätigkeiten. Self-Hosting kann die Drittlandtransfer-Frage vereinfachen, es erfüllt die DSGVO-Pflichten aber nicht von allein.

Hosting in Deutschland: Hetzner als naheliegende Wahl

Broadcast läuft auf jedem Ubuntu-Server. Für deutsche Unternehmen, die nach Datensouveränität entscheiden, ist Hetzner eine häufige Wahl: deutsches Unternehmen (Sitz Gunzenhausen), Rechenzentren in Falkenstein und Nürnberg, transparente Preise.

CX22
~€5/Monat

2 vCPU, 4 GB RAM, 40 GB SSD. Bequem für Listen bis ca. 50.000 Empfänger.

CX32
~€9/Monat

4 vCPU, 8 GB RAM, 80 GB SSD. Bequem bis ca. 250.000 Empfänger.

CX42
~€17/Monat

8 vCPU, 16 GB RAM, 160 GB SSD. Für große Listen oder hohe Sendefrequenz.

Preise indikativ, Stand 2026. Hetzner stellt einen DSGVO-konformen AVV bereit. Falkenstein und Nürnberg sind reine Standorte in Deutschland; Hetzner betreibt zusätzlich Standorte in Helsinki und Ashburn (USA), die Sie bei der Bestellung wählen oder meiden können.
Alle empfohlenen Hosting-Anbieter vergleichen →

SMTP-Anbieter und Datenverarbeitung in der EU

Self-Hosting ändert, welche Auftragsverarbeiter in Ihrem Stack beteiligt sind. Ihr SMTP-Relay bleibt aber Auftragsverarbeiter für die Empfängerdaten, die es durchlaufen. Broadcast arbeitet mit jedem SMTP-Anbieter; die Wahl beeinflusst die Transferlage deutlich.

Amazon SES (eu-central-1)

Region Frankfurt

Die Verarbeitung in Deutschland ist wählbar. Das Cloud-Act-Risiko bleibt, weil AWS eine US-Muttergesellschaft hat. Sehr günstig: ca. $0.10 pro 1.000 E-Mails.

Postmark

EU-Region verfügbar

Gehört ActiveCampaign. EU-Datenhaltung ist wählbar. Starke Zustellbarkeit. US-Muttergesellschaft, daher ähnliche Cloud-Act-Fragen wie bei SES.

Mailgun (EU)

Region Frankfurt

Gehört Sinch (schwedische Muttergesellschaft). EU-Datenhaltung. Die schwedische Konzernstruktur verringert Risiken, die mit dem Cloud Act vergleichbar sind, beseitigt sie aber nicht.

Brevo SMTP

Frankreich

Französischer Anbieter, vollständig in der EU. Keine US-Muttergesellschaft. Aus reiner Transfersicht oft die Option, die sich einem DSB am einfachsten erklären lässt.

Mailjet

Frankreich

Gehört Sinch, arbeitet operativ aber französisch, mit Datenverarbeitung in der EU. Eine vernünftige Option für den Mittelstand.

SMTP in Eigenbetrieb

z. B. Postfix auf Hetzner

Maximale Kontrolle, kein zusätzlicher Auftragsverarbeiter. Setzt Erfahrung mit Mailserver-Administration und IP-Reputation voraus.

Alle unterstützten E-Mail-Anbieter vergleichen →

Kostenvergleich

Rechenbeispiel für ein deutsches Unternehmen mit 10.000 Newsletter-Empfängern und wöchentlichem Versand.

Mailchimp Standard

10.000 Kontakte

Monatliche Gebühr~$135 / Monat
Kosten pro Jahr~$1.620
Kosten über drei Jahre~$4.860
Dazu kommt interne Compliance-Arbeit für das TIA und die laufende Transferprüfung.

Broadcast Self-Hosted

Hetzner CX22 + Amazon SES Frankfurt

Lizenz (einmalig)$250
Hetzner CX22~€5 / Monat
SES für ca. 40k E-Mails/Monat~$4 / Monat
Gesamt über drei Jahre~$580
Andere Transferlage; die Wahl des SMTP-Anbieters bestimmt weiterhin das verbleibende US-Risiko.

Geschätzte Ersparnis über 3 Jahre

~$4.280

Bei einem wöchentlichen Newsletter an 10.000 Kontakte, im Vergleich von Mailchimp Standard (ca. $4.860 über drei Jahre) mit Broadcast Self-Hosted auf Hetzner CX22 + Amazon SES Frankfurt (ca. $580 über drei Jahre).

Basiert auf Beispielpreisen und Nutzungsannahmen. Mailchimp-Preise mit Stand Anfang 2026; prüfen Sie die aktuellen Anbieterpreise vor einer Kaufentscheidung. Eine Verdopplung der Liste auf 20.000 Kontakte verdoppelt die Mailchimp-Kosten in etwa, die Kosten beim Self-Hosting bleiben weitgehend gleich.

Häufige Fragen

Eine saubere Ja-oder-Nein-Antwort gibt es nicht. Mailchimp stellt SCC und einen AVV bereit, damit ist das formale Minimum für eine EU-US-Übermittlung erfüllt. Strukturell bleibt die Übermittlung bestehen, und Schrems II verlangt ein Transfer Impact Assessment. Das BayLDA hat 2021 einen konkreten deutschen Einsatz für unzulässig gehalten, weil kein TIA durchgeführt worden war. Ob Ihr konkreter Einsatz belastbar ist, hängt von Ihrer dokumentierten Risikobewertung und den zusätzlichen Garantien ab, die Sie umsetzen.
Das DPF (Juli 2023) verbessert die Transferlage für zertifizierte US-Anbieter, darunter Mailchimp, weil Übermittlungen ohne separate SCC möglich sind. Es beendet allerdings weder die rechtliche Diskussion über US-Zugriffsgesetze noch mögliche künftige Klagen. Für risikoscheue deutsche Unternehmen bleibt eine reine EU-Infrastruktur oder Self-Hosting oft leichter gegenüber einem DSB zu erklären.
Sie installieren Broadcast auf einem Server, den Sie kontrollieren (z. B. Hetzner Falkenstein). Die Newsletter-Datenbank liegt in Ihrem Verantwortungsbereich. Wenn Hoster, SMTP-Anbieter, Backups, Analytics, Support-Tools und Error-Tracking alle in der EU liegen, lassen sich Drittlandtransfers für Empfängerdaten reduzieren oder vermeiden. Einen AVV mit Mailchimp brauchen Sie nicht mehr, wohl aber mit Ihrem Hoster und Ihrem SMTP-Anbieter.
Mailchimp erlaubt den CSV-Export der gesamten Audience inklusive Tags und benutzerdefinierter Felder. Broadcast importiert CSV-Dateien direkt. Für typische Listen (bis ca. 50.000 Empfänger) rechnen Sie mit etwa einem halben Tag von Anfang bis Ende, inklusive Server-Einrichtung und DNS-Konfiguration. Automationen werden manuell nachgebaut, einen automatischen Konverter gibt es nicht.
Diese Pflichten bestehen unabhängig davon, welches Tool Sie einsetzen. Broadcast unterstützt Double Opt-in nativ (Bestätigungs-E-Mails mit Link). Impressum, Datenschutzerklärung und Cookie-Banner sind Themen Ihrer Website, nicht Ihres E-Mail-Tools. Self-Hosting ändert daran nichts.
Die Pflicht zur Benennung folgt aus § 38 BDSG und Art. 37 DSGVO, maßgeblich sind Art und Umfang der Verarbeitung, nicht das eingesetzte Tool. Wenn Sie heute einen DSB brauchen, brauchen Sie ihn auch mit Broadcast. Das Gespräch mit einem DSB ist allerdings oft einfacher, wenn die Daten auf Ihrem eigenen deutschen Server liegen.

Ein einfacheres Infrastrukturmodell für deutsche Newsletter.

Broadcast macht Sie nicht automatisch DSGVO-konform. Es gibt Ihnen ein einfacheres Infrastrukturmodell: Ihre Liste, Ihr Server, Ihre Datenbank, Ihr gewählter SMTP-Anbieter.

Einmalige Lizenz. Keine Staffelpreise pro Abonnent. Kein Auftragsverarbeiter mit US-Sitz für die Anwendungs- oder Datenbankebene.

Broadcast ansehen: $250 einmalig Ersparnis berechnen

Weiterführende Beiträge

Mailchimp Alternative Deutschland
Sechs DSGVO-freundliche Optionen im Vergleich
ActiveCampaign & DSGVO
Schrems II, Cloud Act und die Optionen
E-Mail-Marketing selbst hosten
Der DSGVO-Stack für deutsche Unternehmen

Still deciding?

Comparisons cover the tradeoffs. How To covers whether Broadcast does the specific thing you need, organized by what you are trying to accomplish rather than by feature name. If the answer is no, it says no.

Browse How To Segment subscribers Branch a sequence Bring an existing list