{"id":9472,"date":"2026-09-17T06:46:45","date_gmt":"2026-09-17T06:46:45","guid":{"rendered":"https:\/\/www.zenloop.com\/de\/?p=9472"},"modified":"2026-09-17T06:46:51","modified_gmt":"2026-09-17T06:46:51","slug":"dsgvo-konforme-kundenfeedback-software-checkliste-2026","status":"publish","type":"post","link":"https:\/\/www.zenloop.com\/de\/blog\/dsgvo-konforme-kundenfeedback-software-checkliste-2026\/","title":{"rendered":"DSGVO-konforme Kundenfeedback-Software: Checkliste 2026"},"content":{"rendered":"
\n\t
\n\t\t\n\t\t\n\t\t
\n\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

DSGVO-konforme Kundenfeedback-Software: Checkliste 2026<\/h1>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

<\/p>\n\n\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t\t\t\"Feedback-Header\"\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t<\/div>\n\t\t<\/div>\n<\/section>\n\n
\n\t\t
\n\t\t

<\/h2>\n\t\t\t\t\t\t\t\t
\t\t\t\t\n\t\t\t\t
\n\t\t\t\t\t

Wer Kundenfeedback digital erfasst, verarbeitet personenbezogene Daten \u2013 und damit greift die DSGVO unmittelbar. F\u00fcr Marketing- und CX-Verantwortliche in Europa ist die Frage nach DSGVO-konformen Kundenfeedback-Tools deshalb keine Formalit\u00e4t, sondern ein echtes Auswahlkriterium mit rechtlichen Konsequenzen. Dieser Artikel erkl\u00e4rt, worauf es bei der Toolauswahl ankommt, liefert eine praxistaugliche Checkliste und vergleicht relevante Anbieter nach den Kriterien, die in der Praxis tats\u00e4chlich z\u00e4hlen.<\/p>\n\n\t\t\t\t\t\n\n\t\t\t\t<\/div>\n\t\t\t\n\t\t\t\t\t<\/div>\n\n\t\t\t\t\t\t\t<\/div>\n<\/section>\n\n

\n\t
\n\t\t
\n\t\t\t\t\t\t\t

Inhalte<\/h3>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t
  1. \n\t\t\t\t\t\tWas macht ein Kundenfeedback-Tool DSGVO-konform?<\/a><\/strong>\n\t\t\t\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t
  2. \n\t\t\t\t\t\tCheckliste: 10 Kriterien f\u00fcr DSGVO-konforme Kundenfeedback-Tools<\/a><\/strong>\n\t\t\t\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t
  3. \n\t\t\t\t\t\tVergleichstabelle: DSGVO-konforme Kundenfeedback-Tools 2026<\/a><\/strong>\n\t\t\t\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t
  4. \n\t\t\t\t\t\tDrittstaatentransfer: Warum US-Anbieter besondere Sorgfalt erfordern<\/a><\/strong>\n\t\t\t\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t
  5. \n\t\t\t\t\t\tzenloop als DSGVO-konformes Kundenfeedback-Tool<\/a><\/strong>\n\t\t\t\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t
  6. \n\t\t\t\t\t\tAuftragsverarbeitung (AVV): Was der Vertrag leisten muss<\/a><\/strong>\n\t\t\t\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t
  7. \n\t\t\t\t\t\tISO 27001 und DSGVO: Was der Unterschied ist<\/a><\/strong>\n\t\t\t\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t
  8. \n\t\t\t\t\t\tPraktische Empfehlungen f\u00fcr CX-Teams<\/a><\/strong>\n\t\t\t\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t
  9. \n\t\t\t\t\t\tFAQs<\/a><\/strong>\n\t\t\t\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/ol>\n\t\t\t\t\t\t\n\t\t<\/div>\n\t<\/div>\n<\/section>\n\n
    \n\t\t
    \n\t\t

    Was macht ein Kundenfeedback-Tool DSGVO-konform?<\/h2>\n\t\t\t\t\t\t\t\t
    \t\t\t\t\n\t\t\t\t
    \n\t\t\t\t\t

    <\/span>DSGVO-Konformit\u00e4t ist kein einzelnes Merkmal, sondern ein B\u00fcndel technischer und organisatorischer Anforderungen. Vier Dimensionen sind dabei besonders relevant:<\/p>\n

    Hosting-Standort: EU\/Deutschland vs. Drittstaatentransfer<\/strong>
    \nWerden Daten auf Servern au\u00dferhalb des Europ\u00e4ischen Wirtschaftsraums (EWR) gespeichert oder verarbeitet, liegt ein Drittstaatentransfer vor. Nach     Art. 44 ff. DSGVO<\/a> ist das nur unter bestimmten Voraussetzungen zul\u00e4ssig \u2013 etwa durch Standardvertragsklauseln (SCCs) oder einen Angemessenheitsbeschluss. EU-Hosting, idealerweise auf deutschen Servern, vermeidet dieses Problem strukturell.<\/p>\n

    Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO<\/a><\/strong>
    \nSobald ein externer Dienstleister personenbezogene Daten im Auftrag verarbeitet, ist ein AVV gesetzlich vorgeschrieben. Ohne diesen Vertrag ist die Nutzung des Tools rechtswidrig \u2013 unabh\u00e4ngig davon, wie sicher die Infrastruktur ist. Der AVV muss unter anderem Zweck und Dauer der Verarbeitung, die Weisungsgebundenheit des Auftragnehmers und die Liste der Sub-Auftragsverarbeiter regeln.<\/p>\n

    Verschl\u00fcsselung at rest und in transit<\/strong>
    \nDaten sollten sowohl bei der \u00dcbertragung (TLS\/HTTPS) als auch bei der Speicherung verschl\u00fcsselt sein. Beides gilt heute als Standard, sollte aber in der Datenschutzdokumentation des Anbieters explizit best\u00e4tigt sein.<\/p>\n

    Zertifizierungen als ISMS-Nachweis<\/strong>
    \n    ISO 27001<\/a> ist die bekannteste internationale Norm f\u00fcr Informationssicherheits-Managementsysteme. Eine entsprechende Zertifizierung belegt, dass der Anbieter Informationssicherheit strukturiert organisiert und regelm\u00e4\u00dfig auditiert wird. Sie ersetzt keine DSGVO-Konformit\u00e4t, gilt aber als anerkannter Nachweis f\u00fcr technisch-organisatorische Ma\u00dfnahmen (TOMs) nach Art. 32 DSGVO<\/a>.<\/p>\n\n\t\t\t\t\t\n\n\t\t\t\t<\/div>\n\t\t\t\n\t\t\t\t\t\t\t\n\t\t\t\t

    \n\t\t\t\t\t

    \"\"<\/p>\n\n\t\t\t\t\t\n\n\t\t\t\t<\/div>\n\t\t\t\n\t\t\t\t\t<\/div>\n\n\t\t\t\t\t\t\t<\/div>\n<\/section>\n\n

    \n\t\t
    \n\t\t

    Checkliste: 10 Kriterien f\u00fcr DSGVO-konforme Kundenfeedback-Tools<\/h2>\n\t\t\t\t\t\t\t\t
    \t\t\t\t\n\t\t\t\t
    \n\t\t\t\t\t

    <\/span> Die folgende Checkliste hilft dabei, Anbieter systematisch zu bewerten. Jeden Punkt sollte man aktiv beim Anbieter nachfragen und die Antworten dokumentieren.<\/p>\n

    1. Serverstandort EU oder Deutschland<\/strong>
    \nWerden alle Daten ausschlie\u00dflich auf Servern im EWR gespeichert und verarbeitet? Gibt es ein klares Commitment zu EU-Hosting ohne stille Auslagerung in Drittstaaten?<\/p>\n

    2. AVV nach Art. 28 DSGVO<\/a> vorhanden<\/strong>
    \nStellt der Anbieter einen AVV bereit, der die gesetzlichen Mindestinhalte abdeckt? Ist er ohne aufw\u00e4ndige Verhandlung abschlie\u00dfbar, oder nur auf Enterprise-Ebene verf\u00fcgbar?<\/p>\n

    3. Sub-Auftragsverarbeiter-Liste transparent und aktuell<\/strong>
    \nWelche Drittanbieter setzt der Anbieter selbst ein \u2013 etwa f\u00fcr E-Mail-Versand, Analytics oder Infrastruktur? Sind diese im AVV oder einer \u00f6ffentlich zug\u00e4nglichen Liste aufgef\u00fchrt? Werden \u00c4nderungen vorab kommuniziert?<\/p>\n

    4. Verschl\u00fcsselung at rest und in transit<\/strong>
    \nSind Kundendaten bei der \u00dcbertragung (TLS 1.2 oder h\u00f6her) und bei der Speicherung verschl\u00fcsselt? Ist das in den technischen Datenschutzunterlagen dokumentiert?<\/p>\n

    5. L\u00f6schkonzept und Aufbewahrungsfristen<\/strong>
    \nBietet das Tool konfigurierbare L\u00f6schfristen? K\u00f6nnen Daten auf Anfrage vollst\u00e4ndig und nachweisbar gel\u00f6scht werden, um dem Recht auf Vergessenwerden nach     Art. 17 DSGVO<\/a> zu entsprechen?<\/p>\n

    6. Zertifizierungen und ISMS-Nachweis<\/strong>
    \nVerf\u00fcgt der Anbieter oder das eingesetzte Rechenzentrum \u00fcber     ISO 27001<\/a> oder eine vergleichbare Zertifizierung (z.B. SOC 2, TISAX)? Sind aktuelle Zertifikate auf Anfrage verf\u00fcgbar?<\/p>\n

    7. Unterst\u00fctzung bei Betroffenenrechten<\/strong>
    \nErm\u00f6glicht das Tool die effiziente Umsetzung von Auskunfts-, Berichtigungs- und L\u00f6schanfragen nach     Art. 15<\/a>\u201317 DSGVO? Gibt es daf\u00fcr Workflows oder zumindest klar definierte Prozesse beim Anbieter?<\/p>\n

    8. Datenexport und Portabilit\u00e4t<\/strong>
    \nK\u00f6nnen alle erfassten Feedbackdaten jederzeit vollst\u00e4ndig exportiert werden (    Art. 20 DSGVO<\/a>)? In welchen Formaten? Ist der Export auch bei Vertragsende gew\u00e4hrleistet?<\/p>\n

    9. Standardvertragsklauseln (SCCs) bei US-Anbietern<\/strong>
    \nFalls der Anbieter ein US-Unternehmen ist oder US-Infrastruktur nutzt: Werden die     aktuellen SCCs der EU-Kommission von 2021<\/a> eingesetzt? Liegt ein Transfer Impact Assessment (TIA) vor?<\/p>\n

    10. Rechenschaftspflicht und Dokumentation<\/strong>
    \nStellt der Anbieter Unterlagen bereit, die die eigene Rechenschaftspflicht nach     Art. 5 Abs. 2 DSGVO<\/a> unterst\u00fctzen \u2013 etwa Verarbeitungsverzeichnis-Vorlagen, Unterst\u00fctzung bei der Datenschutz-Folgenabsch\u00e4tzung (DSFA) oder technische Dokumentation?<\/p>\n\n\t\t\t\t\t\n\n\t\t\t\t<\/div>\n\t\t\t\n\t\t\t\t\t\t\t\n\t\t\t\t

    \n\t\t\t\t\t

    \"\"<\/p>\n\n\t\t\t\t\t\n\n\t\t\t\t<\/div>\n\t\t\t\n\t\t\t\t\t<\/div>\n\n\t\t\t\t\t\t\t<\/div>\n<\/section>\n\n

    \n\t\t
    \n\t\t

    Vergleichstabelle: DSGVO-konforme Kundenfeedback-Tools 2026<\/h2>\n\t\t\t\t\t\t\t\t
    \t\t\t\t\n\t\t\t\t
    \n\t\t\t\t\t

    <\/span>Die folgende Tabelle gibt einen \u00dcberblick \u00fcber relevante Anbieter nach den wichtigsten DSGVO-Kriterien. Hinweis:<\/strong> Zertifizierungen und Hosting-Konfigurationen k\u00f6nnen sich \u00e4ndern. Aktuelle Nachweise sollten immer direkt beim Anbieter angefordert werden.<\/p>\n\n\n\n\n\n\n\n\n
    \n

    Anbieter<\/h4>\n<\/td>\n

    		\n

    Hosting-Standort<\/h4>\n<\/td>\n

    		\n

    Zertifizierungen \/ Nachweise<\/h4>\n<\/td>\n

    		\n

    Besonderheit<\/h4>\n<\/td>\n<\/tr>\n

    zenloop<\/strong><\/td>\nDeutschland \/ EU<\/td>\nAVV<\/a> nach Art. 28 DSGVO verf\u00fcgbar; EU-Hosting<\/td>\nDeutsches Unternehmen (Sitz Sch\u00f6nefeld, Berlin-Region); DSGVO-konforme: Daten bleiben in der EU, deutsches Recht gilt direkt \u2013 am wenigsten Aufwand f\u00fcr dich<\/td>\n<\/tr>\n
    easyfeedback<\/strong><\/td>\nDeutschland<\/td>\nTISAX-Zertifizierung; Rechenzentrum Cronon GmbH ISO-27001-zertifiziert<\/td>\nExplizit auf den deutschen Mittelstand ausgerichtet; Rechenzentrum in Deutschland<\/td>\n<\/tr>\n
    LimeSurvey<\/strong><\/td>\nVariabel, u. a. Deutschland oder Finnland (bei Cloud-Hosting)<\/td>\nAbh\u00e4ngig vom Hosting-Modell<\/td>\nCloud-Kunden k\u00f6nnen Deutschland\/Finnland als EU-Standort w\u00e4hlen; bei Self-Hosting (Community Edition) liegt der Standort komplett in eigener Verantwortung<\/td>\n<\/tr>\n
    Qualtrics<\/strong><\/td>\nUSA (EU-Optionen verf\u00fcgbar)<\/td>\nISO 27001, ISO 42001<\/td>\nUS-Unternehmen; EU-Rechenzentren vorhanden, aber Drittstaatentransfer-Risiko je nach Konfiguration; SCCs erforderlich<\/td>\n<\/tr>\n
    Medallia<\/strong><\/td>\nUSA (EU-Optionen verf\u00fcgbar)<\/td>\nZertifizierungen laut Anbieterangabe \u2013 bitte direkt best\u00e4tigen lassen<\/td>\nUS-Unternehmen; \u00e4hnliche Konstellation wie Qualtrics<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\t\t\t\t\t\n\n\t\t\t\t<\/div>\n\t\t\t\n\t\t\t\t\t<\/div>\n\n\t\t\t\t\t\t\t<\/div>\n<\/section>\n\n
    \n\t\t
    \n\t\t

    Drittstaatentransfer: Warum US-Anbieter besondere Sorgfalt erfordern<\/h2>\n\t\t\t\t\t\t\t\t
    \t\t\t\t\n\t\t\t\t
    \n\t\t\t\t\t

    <\/span>US-Anbieter unterliegen dem CLOUD Act<\/a>, der US-Beh\u00f6rden unter bestimmten Voraussetzungen Zugriff auf Daten erm\u00f6glicht \u2013 auch wenn diese physisch auf EU-Servern liegen. Das EU-US Data Privacy Framework (DPF)<\/a>, das seit 2023 gilt, schafft zwar einen neuen Angemessenheitsbeschluss f\u00fcr zertifizierte US-Unternehmen. Die Rechtslage bleibt aber volatil: Das DPF wurde politisch und juristisch bereits mehrfach in Frage gestellt.<\/p>\n

    F\u00fcr CX-Teams in Deutschland und Europa bedeutet das konkret: Ein US-Anbieter kann DSGVO-konform genutzt werden, aber nur mit erh\u00f6htem Aufwand. SCCs, ein Transfer Impact Assessment und eine l\u00fcckenlose Dokumentation sind Pflicht, keine Option. Bei einem EU-Anbieter mit EU-Hosting entf\u00e4llt dieser Aufwand strukturell.<\/p>\n

    Das ist kein grunds\u00e4tzliches Argument gegen US-Anbieter \u2013 aber ein realer Unterschied in der Compliance-Last f\u00fcr das eigene Team.<\/p>\n\n\t\t\t\t\t\n\n\t\t\t\t<\/div>\n\t\t\t\n\t\t\t\t\t\t\t\n\t\t\t\t

    \n\t\t\t\t\t

    \"\"<\/p>\n\n\t\t\t\t\t\n\n\t\t\t\t<\/div>\n\t\t\t\n\t\t\t\t\t<\/div>\n\n\t\t\t\t\t\t\t<\/div>\n<\/section>\n\n

    \n\t\t
    \n\t\t

    zenloop als DSGVO-konformes Kundenfeedback-Tool<\/h2>\n\t\t\t\t\t\t\t\t
    \t\t\t\t\n\t\t\t\t
    \n\t\t\t\t\t

    <\/span>zenloop ist ein deutsches Unternehmen mit Sitz in Sch\u00f6nefeld in der Berlin-Region. Die Plattform erfasst Kundenfeedback \u2013 prim\u00e4r \u00fcber NPS-Umfragen \u2013 an kritischen Punkten der Customer Journey und nutzt KI-gest\u00fctzte Analyse, um Handlungsoptionen zu identifizieren und automatisch auszul\u00f6sen: etwa das gezielte Ansprechen unzufriedener Kunden oder die Aktivierung von Promotoren f\u00fcr Advocacy-Programme.<\/p>\n

    Aus DSGVO-Perspektive sind folgende Punkte belegt:<\/p>\n