DSGVO-konforme Kundenfeedback-Software: Checkliste 2026

DSGVO-Konformität ist kein einzelnes Merkmal, sondern ein Bündel technischer und organisatorischer Anforderungen. Vier Dimensionen sind dabei besonders relevant:

Hosting-Standort: EU/Deutschland vs. Drittstaatentransfer
Werden Daten auf Servern außerhalb des Europäischen Wirtschaftsraums (EWR) gespeichert oder verarbeitet, liegt ein Drittstaatentransfer vor. Nach Art. 44 ff. DSGVO ist das nur unter bestimmten Voraussetzungen zulässig – etwa durch Standardvertragsklauseln (SCCs) oder einen Angemessenheitsbeschluss. EU-Hosting, idealerweise auf deutschen Servern, vermeidet dieses Problem strukturell.

Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO
Sobald ein externer Dienstleister personenbezogene Daten im Auftrag verarbeitet, ist ein AVV gesetzlich vorgeschrieben. Ohne diesen Vertrag ist die Nutzung des Tools rechtswidrig – unabhängig davon, wie sicher die Infrastruktur ist. Der AVV muss unter anderem Zweck und Dauer der Verarbeitung, die Weisungsgebundenheit des Auftragnehmers und die Liste der Sub-Auftragsverarbeiter regeln.

Verschlüsselung at rest und in transit
Daten sollten sowohl bei der Übertragung (TLS/HTTPS) als auch bei der Speicherung verschlüsselt sein. Beides gilt heute als Standard, sollte aber in der Datenschutzdokumentation des Anbieters explizit bestätigt sein.

Zertifizierungen als ISMS-Nachweis
ISO 27001 ist die bekannteste internationale Norm für Informationssicherheits-Managementsysteme. Eine entsprechende Zertifizierung belegt, dass der Anbieter Informationssicherheit strukturiert organisiert und regelmäßig auditiert wird. Sie ersetzt keine DSGVO-Konformität, gilt aber als anerkannter Nachweis für technisch-organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO.

Die folgende Checkliste hilft dabei, Anbieter systematisch zu bewerten. Jeden Punkt sollte man aktiv beim Anbieter nachfragen und die Antworten dokumentieren.

1. Serverstandort EU oder Deutschland
Werden alle Daten ausschließlich auf Servern im EWR gespeichert und verarbeitet? Gibt es ein klares Commitment zu EU-Hosting ohne stille Auslagerung in Drittstaaten?

2. AVV nach Art. 28 DSGVO vorhanden
Stellt der Anbieter einen AVV bereit, der die gesetzlichen Mindestinhalte abdeckt? Ist er ohne aufwändige Verhandlung abschließbar, oder nur auf Enterprise-Ebene verfügbar?

3. Sub-Auftragsverarbeiter-Liste transparent und aktuell
Welche Drittanbieter setzt der Anbieter selbst ein – etwa für E-Mail-Versand, Analytics oder Infrastruktur? Sind diese im AVV oder einer öffentlich zugänglichen Liste aufgeführt? Werden Änderungen vorab kommuniziert?

4. Verschlüsselung at rest und in transit
Sind Kundendaten bei der Übertragung (TLS 1.2 oder höher) und bei der Speicherung verschlüsselt? Ist das in den technischen Datenschutzunterlagen dokumentiert?

5. Löschkonzept und Aufbewahrungsfristen
Bietet das Tool konfigurierbare Löschfristen? Können Daten auf Anfrage vollständig und nachweisbar gelöscht werden, um dem Recht auf Vergessenwerden nach Art. 17 DSGVO zu entsprechen?

6. Zertifizierungen und ISMS-Nachweis
Verfügt der Anbieter oder das eingesetzte Rechenzentrum über ISO 27001 oder eine vergleichbare Zertifizierung (z.B. SOC 2, TISAX)? Sind aktuelle Zertifikate auf Anfrage verfügbar?

7. Unterstützung bei Betroffenenrechten
Ermöglicht das Tool die effiziente Umsetzung von Auskunfts-, Berichtigungs- und Löschanfragen nach Art. 15–17 DSGVO? Gibt es dafür Workflows oder zumindest klar definierte Prozesse beim Anbieter?

8. Datenexport und Portabilität
Können alle erfassten Feedbackdaten jederzeit vollständig exportiert werden (Art. 20 DSGVO)? In welchen Formaten? Ist der Export auch bei Vertragsende gewährleistet?

9. Standardvertragsklauseln (SCCs) bei US-Anbietern
Falls der Anbieter ein US-Unternehmen ist oder US-Infrastruktur nutzt: Werden die aktuellen SCCs der EU-Kommission von 2021 eingesetzt? Liegt ein Transfer Impact Assessment (TIA) vor?

10. Rechenschaftspflicht und Dokumentation
Stellt der Anbieter Unterlagen bereit, die die eigene Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO unterstützen – etwa Verarbeitungsverzeichnis-Vorlagen, Unterstützung bei der Datenschutz-Folgenabschätzung (DSFA) oder technische Dokumentation?

Die folgende Tabelle gibt einen Überblick über relevante Anbieter nach den wichtigsten DSGVO-Kriterien. Hinweis: Zertifizierungen und Hosting-Konfigurationen können sich ändern. Aktuelle Nachweise sollten immer direkt beim Anbieter angefordert werden.

US-Anbieter unterliegen dem CLOUD Act, der US-Behörden unter bestimmten Voraussetzungen Zugriff auf Daten ermöglicht – auch wenn diese physisch auf EU-Servern liegen. Das EU-US Data Privacy Framework (DPF), das seit 2023 gilt, schafft zwar einen neuen Angemessenheitsbeschluss für zertifizierte US-Unternehmen. Die Rechtslage bleibt aber volatil: Das DPF wurde politisch und juristisch bereits mehrfach in Frage gestellt.

Für CX-Teams in Deutschland und Europa bedeutet das konkret: Ein US-Anbieter kann DSGVO-konform genutzt werden, aber nur mit erhöhtem Aufwand. SCCs, ein Transfer Impact Assessment und eine lückenlose Dokumentation sind Pflicht, keine Option. Bei einem EU-Anbieter mit EU-Hosting entfällt dieser Aufwand strukturell.

Das ist kein grundsätzliches Argument gegen US-Anbieter – aber ein realer Unterschied in der Compliance-Last für das eigene Team.

zenloop ist ein deutsches Unternehmen mit Sitz in Schönefeld in der Berlin-Region. Die Plattform erfasst Kundenfeedback – primär über NPS-Umfragen – an kritischen Punkten der Customer Journey und nutzt KI-gestützte Analyse, um Handlungsoptionen zu identifizieren und automatisch auszulösen: etwa das gezielte Ansprechen unzufriedener Kunden oder die Aktivierung von Promotoren für Advocacy-Programme.

Aus DSGVO-Perspektive sind folgende Punkte belegt:

• EU-Hosting: Daten werden in der EU gespeichert und verarbeitet.
• Deutsches Unternehmen: Sitz in Deutschland, damit direkt deutschem und europäischem Datenschutzrecht unterworfen.
• AVV nach Art. 28 DSGVO: Ein Auftragsverarbeitungsvertrag ist verfügbar.
• DSGVO-konforme Architektur: Die Plattform ist für den Einsatz in europäischen Unternehmen konzipiert.

Was zenloop nicht beansprucht: Eine eigene ISO-27001-Zertifizierung ist öffentlich nicht bestätigt. CX-Teams, für die eine solche Zertifizierung ein Auswahlkriterium ist, sollten das direkt beim Anbieter erfragen und die aktuellen technischen Datenschutzunterlagen anfordern.

Für Unternehmen, die ein NPS-fokussiertes Feedback-Tool mit deutschem Hosting und einem verfügbaren AVV suchen, ist zenloop ein relevanter Kandidat – mit einem klaren strukturellen Vorteil gegenüber US-Anbietern, bei denen Drittstaatentransfer-Anforderungen zusätzlichen Compliance-Aufwand erzeugen.

Der AVV ist kein optionales Dokument, sondern gesetzliche Pflicht. Art. 28 DSGVO schreibt vor, was er enthalten muss:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung
• Art der personenbezogenen Daten und Kategorien betroffener Personen
• Pflichten und Rechte des Verantwortlichen
• Weisungsgebundenheit des Auftragsverarbeiters
• Vertraulichkeitsverpflichtung der Mitarbeiter
• Technische und organisatorische Maßnahmen (TOMs)
• Regelungen zu Sub-Auftragsverarbeitern
• Unterstützungspflichten bei Betroffenenrechten und Datenpannen
• Löschung oder Rückgabe der Daten nach Vertragsende

Ein AVV, der diese Punkte nicht vollständig abdeckt, schützt das eigene Unternehmen nicht. Bevor ein Feedback-Tool-Vertrag unterzeichnet wird, sollte der AVV deshalb von der eigenen Datenschutzabteilung oder dem Datenschutzbeauftragten geprüft werden.