DPF-Kollaps-Plan B: 12 EU-Alternativen für US-Tools

Hauptartikel: Schrems II + DPF Update 2026 — dort stehen Stand des Data Privacy Framework, Transfer Impact Assessment und Standardvertragsklauseln im Einzelnen.

Was ein Anbieterwechsel dokumentarisch auslöst

Ein Anbieterwechsel stellt bei jedem der 12 Tools in der Regel dieselben vier Dokumente zur Prüfung: Vertrag mit dem neuen Anbieter, Verarbeitungsverzeichnis, Datenschutzerklärung und TOM-Verweis — welches davon greift, hängt an der Rolle; hinzu kommen die Rollenklärung selbst und, bei voraussichtlich hohem Risiko, die Folgenabschätzung. Wo der neue Anbieter die Daten für Sie verarbeitet, tauscht der Wechsel einen Auftragsverarbeiter gegen einen anderen. Wo dieser Artikel den Eigenbetrieb behandelt — Mattermost in Punkt 3, Zammad in Punkt 7, Kanboard und Wekan in Punkt 10, cal.com in Punkt 11 —, verschiebt sich die Rolle: Dann sind Sie es, der die technischen und organisatorischen Maßnahmen beschreibt, und Auftragsverarbeiter bleiben allenfalls Hoster und Wartungsdienstleister. Ob eine als Open Source bezeichnete Option von Ihnen selbst oder als Dienst eines Anbieters betrieben wird, ist deshalb je Option zu klären.

Warum das Verzeichnis zuerst dran ist: Nach dem BfDI-Tätigkeitsbericht 2024 beginnen 85 % aller Aufsichtsanfragen mit der Vorlage des Verarbeitungsverzeichnisses; die Praxis-Reihenfolge der Prüfung lautet Verzeichnis, Auftragsverarbeitungsvertrag, TOM-Konzept, Folgenabschätzung. Praxisempfehlung: Legen Sie je Wechsel eine Liste der betroffenen Verarbeitungstätigkeiten an, bevor Sie den Vertrag verhandeln — sonst wandert das Tool, und die Dokumentation bleibt beim alten Anbieter stehen.

Neun Fehler tauchen in Verarbeitungsverzeichnissen erfahrungsgemäß immer wieder auf (Praxisbeobachtung) — ein Anbieterwechsel berührt genau die Felder, in denen sie entstehen. Mehrere der folgenden 12 Punkte verweisen auf die Nummern dieser Liste.

Die Produkt-, Preis- und Dauerangaben in den folgenden 12 Punkten stammen aus der Erstfassung vom 02.05.2026 und wurden nicht nachgeführt; die Rechtsangaben sind auf dem Stand der Aktualisierung.

Nicht jede der 12 Alternativen liegt in der EU

Sechs Optionen in fünf der folgenden 12 Punkte tragen ausdrücklich eine Nicht-EU-Kennzeichnung — sie ersetzen einen US-Anbieter, aber nicht zwangsläufig das Drittland-Element. Dieser Artikel kennzeichnet sie ausdrücklich als Nicht-EU-Optionen; die Tabelle sammelt sie, damit sie beim Ausfüllen des Verzeichnisses nicht untergehen. Für Empfänger außerhalb der EU führt die Verzeichnis-Praxis eine eigene Spalte mit der Garantie; als Garantie-Arten nennt sie Standardvertragsklauseln, das Data Privacy Framework und verbindliche interne Datenschutzvorschriften. Welche Garantie im Einzelfall trägt und wie sie zu prüfen ist, behandelt der Hauptartikel.

Zu den übrigen Optionen macht dieser Artikel keine Aussage über den Sitz des Anbieters, die über die Kennzeichnung in den Überschriften der folgenden 12 Punkte hinausgeht. Praxisempfehlung: Erheben Sie je Anbieter die vollständige Liste der eingesetzten Unterauftragsverarbeiter, bevor Sie die Spalte „Drittlandübermittlung" im Verzeichnis auf „keine" setzen.

Wann Sie Plan B auslösen — und wie viel Zeit dann bleibt

Ausgelöst wird Plan B mit der Nichtigerklärung des Angemessenheitsbeschlusses — historisch lagen die Übergangsfristen bei 0 bis 3 Monaten (Privacy Shield 2020). Diese Spanne ist der Grund, warum die Reihenfolge vorher feststehen muss: Wechsel am oberen Ende der in diesem Artikel dokumentierten Spanne — bis 6 Monate in Punkt 1, bis 9 Monate in Punkt 2 — lassen sich in 0 bis 3 Monaten nicht vollständig nachholen. Dauerangaben liegen in diesem Artikel nur für die Punkte 1, 2, 6 und 8 vor; für die übrigen acht Wechsel schätzen Sie die Dauer selbst. Praxisempfehlung: Sortieren Sie deshalb nicht nach Dauer, sondern nach Datenart — besondere Kategorien nach Art. 9 DSGVO und Beschäftigtendaten zuerst, danach die Verarbeitungstätigkeiten mit den meisten betroffenen Personen.

Praxisempfehlung: Halten Sie je US-Tool zwei Dokumente schon vor dem Auslösefall bereit — die vom Anbieter gegengezeichneten Standardvertragsklauseln und ein Transfer Impact Assessment mit Datum, Tool, Datenarten und Ergebnis — und legen Sie beides in derselben Ablage ab wie den Auftragsverarbeitungsvertrag. Ob eine Garantie im Einzelfall trägt und wie das Assessment inhaltlich zu führen ist, behandelt der Hauptartikel.

Praxisempfehlung — Übergangs-Strategie für 6 bis 12 Monate, keine gesetzliche Reihenfolge:

1. Sensible Daten zuerst: HR-, Finanz- und besondere Kategorien nach Art. 9 DSGVO sofort zum EU-Anbieter migrieren.
2. Standarddaten vorerst belassen: Marketing- und Kundendaten bleiben beim US-Anbieter, solange das DPF gilt.
3. Sub-Tenant vorhalten: Beim EU-Anbieter parallel einen zweiten Mandanten mit angelegten Nutzern, Rechten und Ordnerstruktur aufbauen, aber ohne Produktivdaten betreiben — vertraglich ist das bereits ein Auftragsverarbeitungsverhältnis (Art. 28 Abs. 3 DSGVO), im Verzeichnis noch keine aktive Verarbeitungstätigkeit.
4. Im Ernstfall produktiv schalten: Sub-Tenant aktivieren, Standarddaten in 4 bis 12 Wochen migrieren.

Der Zeitgewinn liegt genau darin: Statt der bis zu 6 Monate eines vollständigen M365-Wechsels (Punkt 1) bleiben im Ernstfall 4 bis 12 Wochen; bei Punkt 2 mit bis zu 9 Monaten fällt der Gewinn entsprechend größer aus. Dokumentarisch ist der Auslösefall kein Sonderfall — auch eine Notmigration ändert Vertrag, Verzeichnis und Datenschutzerklärung nach denselben Vorgaben, und die Fehlerliste oben gilt unter Zeitdruck erst recht. Praxisempfehlung: Halten Sie die Zuordnung „welches Tool trägt welche Verarbeitungstätigkeit" laufend gepflegt — sie ist im Auslösefall die Migrations-Reihenfolge.

1. Microsoft 365 → Stack-IT (DE) / IONOS Cloud (DE)

Dieser Wechsel tauscht den Auftragsverarbeiter für nahezu alle Büro-Verarbeitungen gleichzeitig aus — der Vertrag ist deshalb der erste Arbeitsschritt, nicht der letzte. Migration 2-6 Monate. Kosten ähnlich. Stack-IT ist Schwarz-Gruppe (Lidl); die Einordnung als datenschutzfokussiert ist eine Anbieterangabe und ersetzt nicht den Nachweis hinreichender Garantien nach Art. 28 Abs. 1 DSGVO. IONOS Cloud (DE) ist die zweite dokumentierte Option; zu Feature-Parität und Preis siehe die FAQ „Welche EU-Alternative ist am besten für M365?" — dokumentarisch gelten für beide Optionen dieselben Schritte. Dokumentarisch heißt das: Vertrag mit dem vollständigen Mindestinhalt nach Art. 28 Abs. 1 und Abs. 3 DSGVO (Katalog in der Tabelle oben), und weil M365 typischerweise mehrere Verarbeitungstätigkeiten gleichzeitig trägt — Lohnabrechnung, Bewerbermanagement, Kundenkommunikation —, ist jede davon einzeln im Verzeichnis nachzuziehen (Art. 30 Abs. 1 DSGVO).

2. Google Workspace → OpenDesk (PHOENIX, DE)

Hier ändert sich vor allem eine Verzeichnis-Zeile, die in der Praxis besonders oft veraltet: die Empfänger-Liste. Migration 3-9 Monate. OpenDesk Bundes-Initiative, Open-Source. Google Workspace ist in VVT-Mustern ein Standardeintrag in der Spalte „Drittlandübermittlungen und Garantien"; nach dem Wechsel muss dieser Eintrag geändert und der alte Anbieter ausgetragen werden. Genau daran scheitern Fehler 1 und 3 der Verzeichnis-Fehlerliste oben: veraltete Empfänger-Listen, weil das abgelöste System nie entfernt wurde, und ein fehlender Drittland-Hinweis bei US-Diensten. Praxisempfehlung: Tragen Sie den alten Anbieter mit Datum aus und versionieren Sie das Verzeichnis — fehlende Versionierung ist Fehler 9 derselben Liste.

3. Slack → Mattermost (selfhosted) / Element (UK) / Rocket.Chat

Diese drei Optionen führen zu drei verschiedenen Rollenbildern, und die Rolle entscheidet, welches Dokument Sie brauchen. Mattermost Open-Source, oft günstiger. Element gut für E2E-Verschlüsselung — halten Sie das Verschlüsselungsniveau in der TOM-Beschreibung fest, auf die Verzeichnis und Vertrag verweisen (Art. 32 Abs. 1 DSGVO); bei NIS2-pflichtigen Einrichtungen gehört Kryptografie zum gesetzlichen Mindestkatalog (§ 30 Abs. 2 BSIG 2025 in Deutschland, § 32 Abs. 4 NISG 2026 in Österreich, anwendbar ab 01.10.2026). Beim ausdrücklich als selfhosted bezeichneten Mattermost verarbeiten Sie selbst: Dann beschreibt das Verzeichnis-Feld zu den technischen und organisatorischen Maßnahmen Ihre eigenen Maßnahmen, und Auftragsverarbeiter sind allenfalls Hoster und Wartungsdienstleister — für die wiederum ein Vertrag nach Art. 28 Abs. 3 DSGVO nötig ist. Bei einem betriebenen Dienst bleibt es beim klassischen Auftragsverarbeitungsverhältnis. Klären Sie deshalb zuerst die Rolle (Prüfpunkt 1). Zu Rocket.Chat macht dieser Artikel keine Angabe zu Sitz und Betriebsmodell — klären Sie beides vor dem Vertrag, weil daran Rolle und Drittland-Eintrag hängen. Zur Kennzeichnung von Element (UK) siehe den Abschnitt oben.

4. Salesforce → Pipedrive (EE) / Hubspot mit EU-DC / Zoho EU-Region

CRM ist regelmäßige Verarbeitung — der Wechsel ist damit verzeichnispflichtig, unabhängig von der Unternehmensgröße. Pipedrive ist ein estnischer Anbieter und einfacher. HubSpot mit EU-Datacenter ab 2024. Die 250-Beschäftigten-Ausnahme des Art. 30 Abs. 5 DSGVO greift nur kumulativ: weniger als 250 Beschäftigte und kein Risiko für die Rechte und Freiheiten der betroffenen Personen und keine regelmäßige Verarbeitung und keine besonderen Kategorien nach Art. 9 oder strafrechtlichen Daten. Maßgeblich ist der amtliche Wortlaut „ein Risiko", nicht „hohes Risiko" — die Schwelle „hohes Risiko" gilt für die Folgenabschätzung nach Art. 35 Abs. 1 DSGVO. Weil Kundenstammdaten regelmäßig verarbeitet werden, entfällt die Ausnahme. Halten Sie je Verarbeitung zusätzlich die Rechtsgrundlage als Praxisfeld fest, etwa Vertrag oder berechtigtes Interesse (Katalog: Art. 6 Abs. 1 DSGVO; Dokumentation aus der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO). Welche der Optionen einen Drittland-Eintrag samt Garantie auslöst, klären Sie nach der Regel im Abschnitt „Nicht jede der 12 Alternativen liegt in der EU".

5. AWS → OVH (FR) / Hetzner (DE) / Stack-IT

Ein Infrastruktur-Wechsel trifft alle darauf laufenden Verarbeitungen gleichzeitig — der Engpass ist deshalb die Auswahl-Dokumentation, nicht der Umzug. Hetzner günstig — der Preis ersetzt nicht den Nachweis hinreichender Garantien nach Art. 28 Abs. 1 DSGVO. OVH Kubernetes-Service. Stack-IT M365-kompatibel. Rechtlich verlangt Art. 28 Abs. 1 DSGVO, nur mit Auftragsverarbeitern zu arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten; welche Nachweise Sie dafür heranziehen, entscheiden und dokumentieren Sie selbst. Danach ist jede betroffene Verarbeitungstätigkeit im Verzeichnis nachzuziehen (Art. 30 Abs. 1 DSGVO). Für NIS2-pflichtige Einrichtungen kommt die Lieferketten-Dimension hinzu — siehe den eigenen Abschnitt weiter unten.

6. Mailchimp → Brevo (FR) / CleverReach (DE) / GetResponse (PL)

Beim Newsletter-Wechsel wandern nicht nur Adressen, sondern Einwilligungen — und die müssen nachweisbar bleiben. Brevo (ehemals Sendinblue) 4-Wochen-Migration. CleverReach ist ein deutscher Anbieter. Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person eingewilligt hat (Art. 7 Abs. 1 DSGVO); der Widerruf muss jederzeit möglich und so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO). Praktisch heißt das: Einwilligungsnachweis samt Zeitpunkt und Quelle migrieren, Abmeldeweg ab dem ersten Versand aus dem neuen System funktionsfähig. In Österreich kommt für unerbetene Nachrichten § 174 TKG 2021 hinzu (Einwilligung, Double-Opt-In). Mailchimp ist zugleich das Standardbeispiel für Fehler 3 der Verzeichnis-Fehlerliste oben, den fehlenden Drittland-Hinweis bei US-Tools — auch dieser Eintrag ist beim Wechsel zu ändern. Drittland-Eintrag: nach der Regel im Abschnitt „Nicht jede der 12 Alternativen liegt in der EU".

7. Zendesk → Freshdesk (IN) / OTRS (DE) / Zammad (DE)

In Support-Systemen entstehen besondere Kategorien erfahrungsgemäß unbemerkt: Kunden schreiben Gesundheitsangaben in Tickets. Zammad Open-Source. Freshdesk adressiert das Mid-Market-Segment, OTRS das Enterprise-Segment. Die Verarbeitung von Gesundheitsdaten und anderen besonderen Kategorien ist grundsätzlich untersagt und nur über die Ausnahmen des Art. 9 Abs. 2 DSGVO zulässig, etwa mit ausdrücklicher Einwilligung (Art. 9 Abs. 1 DSGVO). Ist die Verarbeitung solcher Daten umfangreich, gehört sie zu den Regelfällen der Folgenabschätzung (Art. 35 Abs. 3 DSGVO). Planen Sie außerdem den Zugriff auf die Ticket-Historie: Auskunftsersuchen sind unverzüglich, in jedem Fall binnen eines Monats zu beantworten (Art. 12 Abs. 3 DSGVO) — auch während der Umstellung. Die Wahl entscheidet die Rolle: Soweit Sie OTRS oder Zammad selbst betreiben, beschreiben Sie die TOM selbst und brauchen einen Vertrag nur für Hoster und Wartung; wird die Option als Dienst betrieben, bleibt es beim Auftragsverarbeitungsverhältnis. Drittland-Eintrag: nach der Regel im Abschnitt „Nicht jede der 12 Alternativen liegt in der EU".

8. HubSpot → Pipedrive / Zoho EU

Funktional ist das ein vergleichsweise kleiner Wechsel; dokumentarisch ist es der, bei dem die Rolle am häufigsten falsch bestimmt wird. Punkt 4 nennt HubSpot mit EU-Datacenter als mögliches Salesforce-Ziel — das ist kein Widerspruch, sondern eine Frage der gebuchten Region und des Datenflusses: Wer HubSpot bereits ohne EU-Datacenter betreibt, wechselt entweder die Region oder das Tool; wer von Salesforce kommt, prüft dieselbe Frage vor der Buchung. Migration 2-4 Monate. Funktional vergleichbar. „Auftragsverarbeitung mit eigentlich gemeinsam Verantwortlichen verwechselt" ist Fehler 4 der Verzeichnis-Fehlerliste oben — und Marketing-Suiten sind in der Praxis ein häufiger Anlass, weil Formulare, Kampagnen und Vertriebsdaten in einem System zusammenlaufen. Bestimmen Sie die Rolle deshalb je Datenfluss, nicht je Tool. Erst danach steht fest, ob ein Vertrag nach Art. 28 Abs. 3 DSGVO das richtige Dokument ist oder die Rolle nach Art. 26 DSGVO zu dokumentieren ist. Für Pipedrive und Zoho EU gilt die Rollenprüfung dieses Punktes ebenso; die Angaben zu Sitz und Region stehen in Punkt 4.

9. Asana → Notion (EU-Hosting) / ClickUp (US, mit EU-Datenboundary)

Ein EU-Hosting-Hinweis ist eine Angabe zum Speicherort — das Verzeichnis verlangt daneben die Kategorien der Empfänger und, falls vorhanden, die Drittlandübermittlung samt Garantie. Notion ab 2024 EU-Hosting verfügbar. Beide Pflichtangaben stehen unabhängig voneinander in Art. 30 Abs. 1 DSGVO; die Auswahl des Anbieters bleibt zusätzlich an Art. 28 Abs. 1 DSGVO gebunden. Projekt-Tools tragen häufig Personaldaten, etwa Aufgabenzuweisungen und Zeitangaben zu benannten Mitarbeitenden — sie gehören damit als eigene Verarbeitungstätigkeit ins Verzeichnis, nicht in eine Sammelzeile; „Sammelverarbeitung Kommunikation" ist Fehler 6 der Liste oben. Drittland-Eintrag: nach der Regel im Abschnitt „Nicht jede der 12 Alternativen liegt in der EU".

10. Trello → Kanboard (selfhosted) / Wekan (Open-Source)

Beide Optionen kommen für den Eigenbetrieb in Betracht; wo Sie selbst betreiben, beschreibt das Verzeichnis-Feld zu den technischen und organisatorischen Maßnahmen ab sofort Ihre eigenen Maßnahmen. Kanboard und Wekan sind Open-Source-Alternativen mit Lite-Funktionsumfang. Art. 30 Abs. 1 DSGVO verlangt eine allgemeine Beschreibung der TOM; sie gehört als Verweis auf ein zentrales TOM-Konzept nach Art. 32 Abs. 1 DSGVO in das Verzeichnis, nicht als kopierter Inhalt je Verarbeitungstätigkeit — die Doppelung ist Fehler 7 der Liste oben. Wer den Betrieb an einen Hoster oder Dienstleister vergibt, braucht für diesen weiterhin einen Vertrag nach Art. 28 Abs. 3 DSGVO. Praxisempfehlung: Halten Sie beim Eigenbetrieb fest, wer intern für Updates und Zugriffsrechte zuständig ist — diese Rolle war vorher Teil des Anbietervertrags.

11. Calendly → cal.com (Open-Source) / Doodle (CH)

Terminbuchungs-Widgets liegen auf Ihrer eigenen Website — deshalb kommt zum Datenschutzrecht das Recht des Zugriffs auf Endeinrichtungen hinzu. cal.com Open-Source. Doodle ist ein Schweizer Anbieter; Drittland-Eintrag: nach der Regel im Abschnitt „Nicht jede der 12 Alternativen liegt in der EU". In Deutschland sind die Speicherung von Informationen in der Endeinrichtung und der Zugriff auf bereits gespeicherte Informationen nur mit vorheriger Einwilligung auf Grundlage klarer und umfassender Informationen zulässig; keine Einwilligung ist erforderlich, wenn der alleinige Zweck die Nachrichtenübertragung ist oder der Zugriff unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann (§ 25 Abs. 1 und Abs. 2 TDDDG). In Österreich regelt das § 165 TKG 2021 mit Opt-in für Tracking-Cookies. Prüfen Sie deshalb je Widget, was es auf dem Endgerät ablegt, und ergänzen Sie die Datenschutzerklärung um den neuen Empfänger (Art. 13 DSGVO). Die Wahl entscheidet, welches zweite Dokument dazukommt: Bei cal.com im Eigenbetrieb beschreiben Sie die technischen und organisatorischen Maßnahmen selbst; bei Doodle (CH) ist es der eben genannte Drittland-Eintrag. Die Einwilligungsprüfung für das Widget fällt in beiden Fällen an.

12. DocuSign → SignNow (USA) / Skribble (CH) / Yousign (FR)

Signatur-Plattformen verarbeiten Vertragsdokumente mit Personenbezug — hier entscheidet die Löschfrist, nicht die Migrationsdauer. Skribble bietet die qualifizierte elektronische Signatur (QES) nach der eIDAS-Verordnung; an Vertrag und Verzeichnis ändert das nichts, wohl aber an dem, was Sie zur Aufbewahrung der Signaturdokumente festhalten — die geplante Löschfrist gehört je Datenkategorie ins Verzeichnis. Yousign ist ein französischer Anbieter. Das Verzeichnis verlangt geplante Löschfristen je Datenkategorie (Art. 30 Abs. 1 DSGVO); bei Vertragsunterlagen kollidieren sie regelmäßig mit Aufbewahrungspflichten aus HGB und AO (Deutschland) von 10 Jahren. Diesen Konflikt mit dem Löschungsanspruch aus Art. 17 DSGVO dokumentieren Sie im Verzeichnis, statt ihn offenzulassen — „keine konkrete Angabe" bei Löschfristen ist Fehler 2 der Liste oben. Beim Umzug wandern Altbestände mit: Legen Sie vorab fest, welche Dokumente übernommen und welche im Altsystem gelöscht werden. Die Wahl entscheidet die Löschfrist-Dokumentation zusammen mit dem Drittland-Eintrag; für SignNow (USA), Skribble (CH) und Yousign (FR) gilt der Drittland-Eintrag nach der Regel im Abschnitt „Nicht jede der 12 Alternativen liegt in der EU".

Deutschland und Österreich: was beim Wechsel abweicht

Es weichen sechs Punkte ab: Aufsicht, das österreichische Datengeheimnis, das nationale Recht für den Zugriff auf Endeinrichtungen, die Zusatznorm für Newsletter, die Schwelle für den Datenschutzbeauftragten und die nationalen Sanktionen neben Art. 83 DSGVO. Die Kernpflichten sind dagegen identisch — Art. 28 und Art. 30 DSGVO gelten in beiden Ländern wortgleich, mit denselben Pflichtangaben und ohne abweichende Schwellen oder Fristen.

NIS2-pflichtige Einrichtungen: der Wechsel ist Lieferkettensicherheit

Wer unter NIS2 fällt, behandelt den Anbieterwechsel zusätzlich als Lieferketten-Thema: Sicherheit der Lieferkette gehört zum gesetzlichen Mindestkatalog der Risikomanagementmaßnahmen (§ 30 Abs. 2 BSIG 2025 in Deutschland, § 32 Abs. 4 NISG 2026 in Österreich (anwendbar ab 01.10.2026), Art. 21 Abs. 2 der NIS-2-Richtlinie). Im selben Katalog stehen Kryptografie und Verschlüsselung, Zugriffskontrolle und Multi-Faktor-Authentifizierung — alles Punkte, die bei einem Toolwechsel neu konfiguriert werden.

Ob Sie darunterfallen, entscheidet in Deutschland § 28 BSIG 2025 und hängt für Unternehmen an einer Art nach den Anlagen: Als besonders wichtige Einrichtung gelten sonstige Einrichtungen einer in Anlage 1 bestimmten Art, die mindestens 250 Mitarbeiter beschäftigen oder einen Jahresumsatz von über 50 Mio. Euro und zudem eine Jahresbilanzsumme von über 43 Mio. Euro aufweisen; daneben erfasst § 28 Abs. 1 BSIG 2025 Betreiber kritischer Anlagen sowie — größenunabhängig — qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries und DNS-Diensteanbieter. Als wichtige Einrichtung gelten Einrichtungen einer in Anlage 1 oder Anlage 2 bestimmten Art, die mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. Euro aufweisen, soweit sie nicht bereits besonders wichtige Einrichtung sind (§ 28 Abs. 2 BSIG 2025). In Österreich unterscheidet § 25 Abs. 2 und Abs. 3 NISG 2026 mit denselben Zahlenwerten zwischen großen und mittleren Unternehmen; die Einstufung als wesentliche oder wichtige Einrichtung folgt aus § 24 NISG 2026 und setzt ebenfalls eine Art nach Anlage 1 oder Anlage 2 voraus.

Die Entscheidung ist Chefsache: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen und haften bei Pflichtverletzung ihrer Einrichtung für schuldhaft verursachte Schäden (§ 38 Abs. 1 bis Abs. 3 BSIG 2025); in Österreich haben die Leitungsorgane die Einhaltung sicherzustellen und zu beaufsichtigen (§ 31 Abs. 1 und Abs. 2 NISG 2026). Bei Verstößen gegen die Risikomanagement- und Meldepflichten liegt der Bußgeldrahmen in Deutschland bei bis zu 10 Mio. Euro für besonders wichtige und bis zu 7 Mio. Euro für wichtige Einrichtungen; bei einem Gesamtumsatz von mehr als 500 Mio. Euro sind abweichend bis zu 2 % beziehungsweise 1,4 % des weltweiten Gesamtumsatzes möglich (§ 65 Abs. 5 Nr. 1, Abs. 6 und Abs. 7 BSIG 2025). Für Verwaltungsübertretungen nach § 45 Abs. 1 NISG 2026 beträgt die Geldstrafe in Österreich bis zu 10 Mio. Euro oder bis zu 2 % des gesamten weltweiten Jahresumsatzes für wesentliche und bis zu 7 Mio. Euro oder bis zu 1,4 % für wichtige Einrichtungen, je nachdem, welcher Betrag höher ist (§ 45 Abs. 2 und Abs. 3 NISG 2026). Die österreichischen Pflichten nach dem NISG 2026 sind ab 01.10.2026 anwendbar.

6 Prüfpunkte vor jedem Wechsel

Vor jedem der 12 Wechsel beantworten Sie dieselben 6 Fragen — sie entscheiden, welche Dokumente Sie anfassen müssen. Die Reihenfolge ist die Praxisstruktur dieses Artikels, keine gesetzliche Reihenfolge; wann die einzelne Pflicht greift, steht in der jeweiligen Fundstelle.

1. Rolle: Sind Sie Verantwortlicher (Art. 4 Nr. 7), Auftragsverarbeiter (Art. 4 Nr. 8) oder gemeinsam Verantwortliche (Art. 26 DSGVO)? Alles Weitere hängt daran.
2. Vertrag: Bietet der Anbieter hinreichende Garantien für geeignete technische und organisatorische Maßnahmen, und deckt der Vertrag den Mindestinhalt ab (Art. 28 Abs. 1 und Abs. 3 DSGVO)? Bei Anbietern mit Drittlandbezug gilt zusätzlich die Plan-B-Disziplin aus dem Abschnitt „Wann Sie Plan B auslösen" (Praxisempfehlung): prüfen, ob Standardvertragsklauseln und Transfer Impact Assessment im Bestand vorliegen.
3. Verzeichnis: Welche Verarbeitungstätigkeiten sind betroffen, und sind Empfänger, Übermittlungen samt Garantien, Löschfristen und TOM-Verweis nachgezogen (Art. 30 Abs. 1 DSGVO; als Auftragsverarbeiter Art. 30 Abs. 2 DSGVO)?
4. Datenarten: Fallen besondere Kategorien an (Art. 9 Abs. 1 DSGVO)? Schwelle und Regelfälle der Folgenabschätzung: siehe Dokumenten-Tabelle oben (Art. 35 Abs. 1 und Abs. 3 DSGVO). In Deutschland zieht eine DSFA-pflichtige Verarbeitung die Benennung eines Datenschutzbeauftragten ohne Personenschwelle nach sich (§ 38 Abs. 1 Satz 2 BDSG); in Österreich folgt die Benennungspflicht allein aus Art. 37 DSGVO.
5. Betroffenenrechte während der Umstellung: Bleiben Auskunft, Berichtigung und Löschung binnen eines Monats bedienbar (Art. 12 Abs. 3 DSGVO)? Zur Verlängerung und zur Parallelphase siehe die FAQ „Was passiert mit Auskunftsersuchen während der Migration?".
6. KI-Funktionen im Ersatz-Tool: Die KI-Verordnung gilt seit dem 2. August 2026 grundsätzlich (Art. 113 KI-VO). Enthält das neue Tool KI-Funktionen, ist zu prüfen, ob es unter Art. 50 KI-VO fällt; die Transparenzpflichten treffen nur die dort genannten Systeme: Anbieter müssen sicherstellen, dass zur direkten Interaktion mit natürlichen Personen bestimmte KI-Systeme diese darüber informieren, dass sie mit einem KI-System interagieren, und synthetische Audio-, Bild-, Video- oder Textinhalte maschinenlesbar als künstlich erzeugt kennzeichnen (Abs. 1 und Abs. 2); Betreiber müssen bei Emotionserkennung und biometrischer Kategorisierung die betroffenen Personen informieren und bei Deepfakes offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden (Abs. 3 und Abs. 4).

Wenn bei der Migration etwas schiefgeht: Meldefristen

Eine Datenpanne während der Umstellung folgt dem normalen Meldeweg — 72 Stunden ab Kenntnis an die zuständige Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO), Benachrichtigung der Betroffenen bei voraussichtlich hohem Risiko (Art. 34 Abs. 1 DSGVO). Die Meldung an die Aufsichtsbehörde hat unverzüglich und möglichst binnen 72 Stunden ab Kenntnis zu erfolgen, sofern ein Risiko für die Rechte und Freiheiten nicht unwahrscheinlich ist. Praxisempfehlung: Führen Sie während der Migrationsphase ein Übergabeprotokoll je Datenbestand — es liefert im Ernstfall die Meldeangaben zu Datenkategorien und ungefährer Zahl betroffener Personen.