Ist Zapier DSGVO-konform? Beispiele, Kosten und so fängst du an

„Ist Zapier DSGVO-konform?“ fragt meist die Datenschutzbeauftragte, wenn sie zum ersten Mal ins Zapier-Konto schaut und zählt: 40 Zaps, die Namen, E-Mail-Adressen und Bestelldaten aus einem Webformular in HubSpot, ein Google Sheet und einen Slack-Kanal schieben. Ein Automatisierungstool bewegt personenbezogene Daten zwischen vielen Systemen und behält von jedem Durchlauf wochenlang eine Kopie. Hier steht, was Zapier bietet, was fehlt, was es kostet und wie du anfängst, Stand Oktober 2026. Keine Rechtsberatung - kläre die Details mit deinem Datenschutzbeauftragten.

Ist Zapier DSGVO-konform?

Zapier ist nicht von sich aus DSGVO-konform oder nicht: Mit Zapiers eingebautem Auftragsverarbeitungsvertrag, sauber gebauten Zaps und deiner eigenen Dokumentation können Unternehmen es DSGVO-konform nutzen. Zapier ist Auftragsverarbeiter für die Inhalte in deinen Zaps, du bist der Verantwortliche¹. Offen sind der Datenstandort USA, die Aufbewahrung des Task-Verlaufs, die Unterauftragsverarbeiter und jede App am anderen Ende eines Zaps.

Automatisieren mit personenbezogenen Daten, verarbeitet in Europa: Superkind

Wenn du Daten zwischen deinen Systemen bewegen willst, ohne Zaps zu bauen, ist Superkind ein Weg. Superkind ist der KI-Mitarbeiter für dein Team: Du schreibst ihm in Outlook oder jeder anderen E-Mail, in Microsoft Teams, Slack oder in der Superkind-Web-App wie einem Kollegen, und er erledigt die Aufgabe in euren Programmen über 1.500+ Integrationen wie HubSpot, Pipedrive, Google Sheets und DATEV. Superkind wird in Europa gehostet, ist DSGVO-konform, an der KI-Verordnung ausgerichtet und trainiert nie Modelle mit euren Daten.

1. 1

   Du schreibst die Aufgabe

   In Outlook, Teams, Slack oder der Web-App, in normalen Worten: „Leg jeden neuen Lead aus dem Webformular in HubSpot an und schreib die erste Antwort.“ Kein Trigger, kein Feld-Mapping.

2. 2

   Superkind erledigt es in euren Systemen

   Superkind liest den Formulareintrag, prüft HubSpot auf einen bestehenden Kontakt, legt ihn an oder aktualisiert ihn und schreibt die Antwort mit eurem Firmenwissen und euren Regeln, etwa „Leads aus Österreich gehen an Nadine“.

3. 3

   Superkind fragt, bevor etwas rausgeht

   Du bekommst den Antwortentwurf mit Freigeben oder Ablehnen. Ohne dein OK geht nichts an den Kunden, und eine Kollegin kann auch in Teams oder Slack freigeben.

4. 4

   Beim nächsten Mal läuft es als Routine

   Was du einmal erklärt hast, läuft weiter, zum Beispiel „Jeder neue Lead - in HubSpot, Antwort vorbereitet, mich fragen“. Jede Aufgabe füttert dein Company Brain.

So fließen personenbezogene Daten durch einen Zap

Verfolge einen neuen Lead aus dem Webformular durch einen typischen Zap.

1. Trigger-App - das Formular-Tool hält den Lead unter seinen eigenen Bedingungen. Zapier fragt neue Einträge ab; das Abfragen kostet keine Tasks⁶.
2. Zapier - der Lead läuft durch Zapiers Systeme auf AWS in den USA. Zapier speichert Zap-Inhalte und Laufdaten 29 bis 69 Tage im Konto, 7 Tage in Logs und bis zu 4 Monate in Backups¹⁴.
3. KI-Schritt (optional) - nutzt der Zap einen KI-Schritt oder Zapier Agents, gehen die Daten an einen von Zapiers KI-Unterauftragsverarbeitern wie OpenAI, Anthropic, Google, Microsoft oder AWS, alle mit Standort USA gelistet³.
4. Aktions-Apps - der Zap schreibt den Lead in HubSpot, ein Sheet und Slack. Ab hier gilt Zapiers AVV nicht mehr; jede App braucht ihren eigenen AVV mit dir².

Was Zapier heute bietet

Sieben Fakten von Zapiers eigenen Seiten entscheiden, wie es zur DSGVO passt.

1. Ein AVV ohne extra Papierkram - die Nutzungsbedingungen binden das Data Processing Addendum ein (gültig ab 27. August 2026); eine unterschriebene PDF lässt sich über Dropbox Sign erzeugen. Eigene AVV-Vorlagen von Kunden unterschreibt Zapier nicht¹².
2. Übermittlung unter dem Data Privacy Framework - Zapier ist unter dem EU-US-, UK- und Swiss-US-DPF zertifiziert, mit Standardvertragsklauseln im AVV als Rückfallebene¹².
3. Datenstandort - Zapier hostet Daten auf AWS-Servern in den USA. Auf die Frage, ob Daten nur in der EU gespeichert werden können, antwortet Zapier: „Zapier does not support this option“¹.
4. Eine veröffentlichte Liste der Unterauftragsverarbeiter - die Fassung ab 23. Oktober 2026 nennt 23 Unterauftragsverarbeiter für Infrastruktur und Betrieb, davon acht KI-Anbieter, dazu Support-Tools und fünf Zapier-Tochterfirmen. Änderungen kündigt Zapier 14 Tage vorher an, mit Widerspruchsrecht²³.
5. Aufbewahrung des Task-Verlaufs - Zap-Inhalte und Laufdaten bleiben 29 bis 69 Tage im Konto; in Enterprise (und dem älteren Company-Tarif) stellst du 7 bis 30 Tage ein. Gespräche und Aktivitätslogs von Agents bleiben, bis du den Agent löschst¹⁴.
6. KI und Training - Zapiers KI-Unterauftragsverarbeiter nutzen Kundeninhalte nicht zum Training, und Zapier nutzt bei OpenAI Zero Data Retention. Zapier selbst darf anonymisierte „Derived Data“ zum Modelltraining nutzen, solange du nicht widersprichst; Enterprise- und Company-Konten sind automatisch ausgenommen³⁵.
7. Verwaltung und Sicherheit - Berichte nach SOC 2 Type 2 und SOC 3, ein EU-Vertreter nach Art. 27 DSGVO in Hamburg, SAML-SSO ab Team, SCIM und eigene Aufbewahrungsfristen in Enterprise¹⁶.

Was für den Einsatz im Unternehmen fehlt

Die vertragliche Grundlage steht. Die Lücken entstehen durch die Automatisierung selbst und durch deinen Tarif.

• Kein EU-Datenstandort - wenn deine Richtlinie Speicherung oder Verarbeitung in der EU verlangt, kann Zapier das nicht bieten. Die Übermittlung in die USA ist unter dem DPF zulässig, gehört aber ins Verarbeitungsverzeichnis¹⁹.
• Kopien jedes Durchlaufs - jeder Zap-Lauf behält die übertragenen Inhalte wochenlang, und unterhalb von Enterprise lässt sich das nicht verkürzen. Testdaten bleiben, bis du den Zap löschst⁴.
• Ein AVV für jede App in der Kette - Zapiers AVV endet dort, wo die Daten Zapier verlassen. Ein Ablauf über Formular-Tool, HubSpot, Google Sheets und Slack bedeutet vier weitere Verträge zum Prüfen².
• Training-Widerspruch in kleineren Tarifen - in Free, Professional und Team ist der Widerspruch gegen Derived Data ein Formular, das du selbst einreichen musst; nur Enterprise- und Company-Konten sind automatisch ausgenommen⁵.
• Keine sensiblen Daten - laut AVV ist der Dienst nicht für sensible Daten gedacht, und regulierte Gesundheitsdaten unterstützt Zapier nicht. Gesundheitsdaten oder andere Daten nach Art. 9 brauchen einen anderen Weg¹².
• Regeln statt Urteilsvermögen - ein Zap macht genau das, wofür er gebaut wurde. Freigaben, Teamregeln und Kundenwissen musst du Schritt für Schritt einbauen; Zapier führt Freigabe-Anfragen als Beta-Funktion⁶.

Zapier-Tarife und Alternativen im Vergleich

Stand: Oktober 2026. Wo jede Option bei den Punkten steht, die für die DSGVO entscheiden, nach den eigenen Seiten der Anbieter^1345678. Keine Compliance-Freigabe.

Kurz gesagt: Zapier liefert den Vertrag und eine klare Liste der Unterauftragsverarbeiter, aber keinen EU-Standort, und unterhalb von Enterprise lässt sich der Task-Verlauf nicht verkürzen. Mehr Optionen findest du bei den Zapier-Alternativen und im Vergleich der KI-Automatisierungsplattformen.

Beispiele: Zapier und die DSGVO in der Praxis

Vier Situationen und was jeweils nötig ist, angefangen mit dem europäischen Weg.

1. Superkind: Beste Gesamtlösung für Teams in Deutschland und der EU

Daniel bittet Superkind in Teams, jeden neuen Lead aus dem Kontaktformular zu bearbeiten. Superkind prüft HubSpot auf Dubletten, legt den Kontakt an und zeigt Daniel die Antwort, bevor sie rausgeht. Die Daten werden in Europa verarbeitet, es gibt kein Training damit, und den AVV gibt es über das Trust Center. Wie das im Alltag läuft, zeigt der KI-Vertriebsassistent. Das Urteil stützt sich auf Kriterien, die du prüfen kannst:

• Arbeitet dort, wo du schon arbeitest - Outlook, Gmail, Microsoft Teams, Slack und die Web-App.
• Erledigt die Aufgabe in euren Programmen - 1.500+ Integrationen wie HubSpot, Pipedrive, Google Sheets, DATEV und Personio.
• Fragt nach Freigabe - bevor etwas gesendet, gebucht oder außerhalb des Teams geändert wird.
• Lernt mit und behält euer Wissen - Kunden, Preise und Abläufe bleiben in eurem Company Brain.
• EU-First - gehostet und verarbeitet in Europa, DSGVO-konform, an der KI-Verordnung ausgerichtet, kein Training, AVV.
• Unbegrenzte Nutzer - ab 50 EUR pro Monat für die ganze Firma, Stand Oktober 2026.
• Wächst zu euren eigenen Apps - eigene Lösungen auf derselben Plattform, wenn es komplexer wird.

2. Marketing auf Zapier Team mit Lead-Zaps

Das Marketing schiebt Leads aus dem Webformular mit Zapier Team in HubSpot und Slack. Der AVV gilt, und die Übermittlung in die USA läuft unter dem DPF¹². Offen bleiben: der Widerspruch gegen Derived Data⁵, die AVVs von Formular-Tool und Slack und ein Eintrag pro Zap im Verarbeitungsverzeichnis.

3. Das private Zapier-Konto eines Kollegen

Jemand hat in einem kostenlosen Konto einen Zap gebaut, der jede neue Bestellung mit Name und Adresse in eine private Tabelle kopiert. Niemand hat den Überblick, und wenn die Person geht, läuft der Zap weiter. Mach die Regel ausdrücklich: Firmendaten nur in Firmenkonten.

4. HR automatisiert Bewerbungen

HR will Bewerberdaten von der Karriereseite an Personio und Slack schicken. Bewerbungen können Gesundheitsdaten enthalten, Zapiers AVV sagt, dass der Dienst nicht für sensible Daten gedacht ist, und eine DSFA nach Art. 35 DSGVO kann fällig sein²⁹. Siehe DSFA für KI-Agenten.

Was ein DSGVO-konformes Zapier-Setup braucht (und was es kostet)

Vier Punkte, von denen keiner von selbst passiert.

• Eine Übersicht der Zaps - welche Zaps personenbezogene Daten bewegen, zwischen welchen Apps, in wessen Konto.
• Verträge entlang der Kette - Zapiers AVV plus der AVV jeder angebundenen App (Art. 28 DSGVO)²⁹.
• Eine Entscheidung zu Aufbewahrung und Training - alte Testdaten löschen, den Verlauf verkürzen, wo dein Tarif es erlaubt, den Widerspruch gegen Derived Data einreichen⁴⁵.
• Verarbeitungsverzeichnis und DSFA - Zapier und die Übermittlung in die USA ins Verzeichnis aufnehmen (Art. 30), bei hohem Risiko eine DSFA machen (Art. 35) und alle schulen, die KI-Schritte bauen (Art. 4 KI-Verordnung)⁹¹⁰.

Was Zapier kostet

Stand: Oktober 2026. Zapier-Listenpreise in US-Dollar, ohne Steuern, bei jährlicher Zahlung (monatlich kostet mehr)⁶. Zapier rechnet nach Tasks ab: Jede erfolgreiche Aktion in einem Zap zählt als ein Task.

Am Task-Limit pausiert Zapier deine Zaps oder wechselt zur Abrechnung pro Task zu einem höheren Satz⁶. Der echte Preis hängt davon ab, wie viele Aktionen deine Zaps ausführen, nicht von der Zahl der Nutzer.

Datenschutz und EU-Hosting

Für Leads, Bestellungen oder Bewerberdaten, die zwischen CRM, Buchhaltung und Posteingang wandern, werden die personenbezogenen Daten ab der ersten Aufgabe in Europa verarbeitet, mit Freigabe, bevor etwas das Team verlässt.

Was Superkind kostet

Stand: Oktober 2026. Preise zzgl. MwSt., für die ganze Firma mit unbegrenzt vielen Nutzern.

• Free - 0 EUR mit einmalig bis zu 150 EUR Guthaben zum Start. Keine Kreditkarte, kein Verkaufsgespräch, alle Funktionen und Verbindungen.
• Business - ab 50 EUR pro Monat für 25.000 Credits. 100 EUR für 50.000 Credits ist die beliebteste Stufe, dann 200 EUR und 500 EUR. Kein Preis pro Platz, ungenutzte Credits gehen einen Monat mit, eigene Apps inklusive, monatlich kündbar.
• Enterprise - individueller Preis für euer Volumen, persönlicher Support mit SLA, SSO/SCIM und Audit-Log, AVV und Hilfe beim Security-Review, Zahlung per Rechnung.
• Was Credits bringen - eine Frage kostet 10-50 Credits, eine Aufgabe 50-500 Credits und ein Lauf eures eigenen Agenten 1.000-5.000 Credits. 100 EUR reichen für bis zu 1.000 Aufgaben oder 5.000 Fragen.

So fängst du an

Drei Schritte für diese Woche:

Von der ersten Aufgabe zur eigenen App

Mit Superkind bleiben die Daten von der ersten Aufgabe bis zur eigenen App in Europa. Vier Stufen, am Lead-Beispiel:

1. 1

   In Minuten startklar

   Kostenlos anmelden, den ersten Lead aus dem Webformular in Teams oder per E-Mail weitergeben und zusehen, wie Superkind ihn in HubSpot anlegt.

2. 2

   Aus Aufgaben werden Abläufe

   Was du einmal erklärt hast, läuft als Routine weiter, zum Beispiel jeder neue Lead innerhalb einer Stunde bearbeitet. Bevor eine Antwort rausgeht, fragt Superkind nach Freigabe.

3. 3

   Lernt ab Tag 1 mit

   Jede Aufgabe macht Superkind schlauer. Eure Kunden, Preise und wer welche Region betreut, landen in eurem Company Brain, und dieses Wissen geht nie verloren.

4. 4

   Die eigene App, ohne neu anzufangen

   Wenn es komplexer wird, baust du eigene Lösungen, Apps und Integrationen auf dem, was Superkind schon weiß, zum Beispiel eure eigene Lead-App mit Bewertung und Wiedervorlage: deine Super App. Selbst gebaut oder mit uns. Alles gehört euch.

Fazit

Zapier lässt sich DSGVO-konform nutzen: Der AVV steckt in den Nutzungsbedingungen, die Übermittlung läuft unter dem Data Privacy Framework, und die Liste der Unterauftragsverarbeiter ist öffentlich. Offen bleiben der Datenstandort USA, ein Task-Verlauf, der wochenlang bleibt, der Training-Widerspruch unterhalb von Enterprise und ein AVV für jede App in jedem Zap. Wenn du dieselbe Arbeit in Europa erledigen lassen willst, mit Freigabe, bevor etwas rausgeht, verbindet sich Superkind mit HubSpot, Pipedrive, DATEV und 1.500+ Integrationen, ab 50 EUR pro Monat für unbegrenzt viele Nutzer (Stand Oktober 2026). Liste diese Woche deine Zaps mit personenbezogenen Daten auf und gib Superkind dann den ersten davon als Aufgabe zum Vergleich.

Häufige Fragen

Henri Jung

Mitgründer von Superkind, dem KI-Mitarbeiter, dem Teams in Outlook, Teams und Slack schreiben. Henri hilft Unternehmen, vom kleinen Team bis zum Mittelstand, ihre Routinearbeit an KI abzugeben - ohne neue Tools, Berater oder eigenes KI-Team.