DSGVO-konforme Projektmanagement- und Workspace-Tools: 34 geprüft

AVV auf Anfrage.

Ja, auf Anfrage: Das Trust Center von Lucid besagt, dass Lucid einen AVV abschließt. Wie er angefordert oder unterzeichnet wird, ist nicht ersichtlich (die Seite mit den Bedingungen auf lucid.co ließ sich nicht lesen).

“Will enter into a DPA”

Quelle: trust.lucid.co · Geprüft am 19. Oktober 2026

Auf der Liste.

Aktiv (Lucid Software Inc.; EU-US DPF, Swiss-US DPF, UK Extension)

Quelle: dataprivacyframework.gov · Geprüft am 19. Oktober 2026

Das Trust Center zeigt 12 Badges: SOC 2 Type II, ISO 27001:2022, ISO 27701, ISO 42001, FedRAMP Moderate, IRAP, PCI und TX-RAMP (8 Audits/Zertifizierungen), dazu CSA, SIG, DSGVO und CCPA. Unternehmensweit.

“ISO 27001:2022 ISO 27701 ISO 42001 PCI SIG SOC 2 Type II TX-RAMP”

Quelle: trust.lucid.co · Geprüft am 19. Oktober 2026

Ja. Admins in Team- und Enterprise-Konten können Lucid AI für alle Nutzer des Kontos ein- oder ausschalten (Admin-Menü, Schalter 'Enable Lucid AI'). KI ist standardmäßig an.

“Admins on Team and Enterprise accounts can control whether or not to give users on their account access to AI features.”

Quelle: help.lucid.co · Geprüft am 19. Oktober 2026

Auf den eigenen Servern oder in der Private Cloud des Kunden: Professional ist eine selbst gehostete Lizenz, Mattermost hostet die Nachrichten also nicht. Eine von Mattermost betriebene Cloud wird nur für den Tarif Enterprise beschrieben.

“Maintain full ownership of your data with deployment on your own infrastructure or private cloud.”

Quelle: mattermost.com · Geprüft am 19. Oktober 2026

EU-Hosting wählbar.

Ja, durch die Wahl des Hostings: Der Kunde kann die Software in einem EU-Rechenzentrum oder einer Private Cloud betreiben. Für Professional wird keine von Mattermost betriebene EU-Region beschrieben.

“Maintain full ownership of your data with deployment on your own infrastructure or private cloud.”

Quelle: mattermost.com · Geprüft am 19. Oktober 2026

AVV auf Anfrage.

Ja. Mattermost bietet einen Data Processing Addendum (Auftragsverarbeitungszusatz) an, der die Kundenbedingungen oder den Master Subscription Agreement ergänzt; eine bevollmächtigte Person unterzeichnet ihn über einen Link auf der DPA-Seite.

“Mattermost offers a Data Processing Addendum that supplements the Customer Terms of Service or any master subscription agreement.”

Quelle: mattermost.com · Geprüft am 19. Oktober 2026

Veröffentlicht.

Ja, öffentlich: https://mattermost.com/subprocessors/ . 13 Drittanbieter als Unterauftragsverarbeiter plus 4 Mattermost-Konzerngesellschaften (zuletzt aktualisiert am 23. Dezember 2024). Aufgeführte KI-Anbieter: Anthropic PBC und OpenAI Inc. (AI Services).

“Mattermost and its affiliates may engage third parties (each a “Subprocessor”) to process your Personal Data.”

Quelle: mattermost.com · Geprüft am 19. Oktober 2026

Auf der Liste.

Aktiv (Mattermost, Inc; EU-US DPF, Swiss-US DPF, UK Extension)

Quelle: dataprivacyframework.gov · Geprüft am 19. Oktober 2026

Wird in der eigenen Datenbank des Kunden gespeichert. Gelöschte Nachrichten werden standardmäßig nur ausgeblendet (Soft Delete); Aufbewahrungsregeln, die nach einer festgelegten Zeit (z. B. 30 oder 90 Tagen) endgültig löschen, werden für Enterprise-Kunden beschrieben; für Professional nicht angegeben.

“Mattermost Enterprise customers can set a global retention policy as well as custom retention policies”

Quelle: docs.mattermost.com · Geprüft am 19. Oktober 2026

2 genannt: SOC 2 Type II (Bericht 2025, Bridge Letter 2026) und ISO 27001 (Zertifikat 2022).

“Mattermost ISO 27001 (2022) Certificate”

Quelle: trust.mattermost.com · Geprüft am 19. Oktober 2026

Ja. Das Plugin AI Agents kann von einem Admin systemweit aktiviert oder deaktiviert werden und funktioniert erst, wenn ein Admin einen LLM-Anbieter einrichtet.

“toggle to enable or disable the plugin system-wide”

Quelle: docs.mattermost.com · Geprüft am 19. Oktober 2026

In der geografischen Region Ihrer Microsoft-365-Organisation (zum Beispiel Americas, EMEA, APAC oder bei neuen Tenants ein Land wie Deutschland); der Admin sieht sie unter Settings > Organization profile > Data location.

“Data in Teams resides in the geographic region associated with your Microsoft 365 or Office 365 organization.”

Quelle: learn.microsoft.com · Geprüft am 19. Oktober 2026

EU-Hosting wählbar.

Ja, über die Tenant-Region: Neue Tenants können Teams-Daten in Ländern wie Frankreich, Deutschland, Italien, Polen und Schweden halten; sonst EMEA. Das kostenpflichtige Multi-Geo-Add-on ist für Abonnements für kleine Unternehmen nicht verfügbar.

“Teams currently offers data residency in Australia, Brazil, Canada, France, Germany, India, Italy, Japan, Norway, Poland, Qatar, South Korea, South Africa, Sweden”

Quelle: learn.microsoft.com · Geprüft am 19. Oktober 2026

AVV in den Bedingungen.

Ja. Der Microsoft Products and Services Data Protection Addendum enthält die Bedingungen für Datenverarbeitung und Sicherheit für abonnierte Produkte und ist ein Zusatz zu den Product Terms.

“the data processing and security terms are defined in Microsoft Online Services Data Protection Addendum (DPA). The DPA is an addendum to the Product Terms site”

Quelle: microsoft.com · Geprüft am 19. Oktober 2026

Auf der Liste.

Aktiv (Microsoft Corporation; EU-US DPF, Swiss-US DPF, UK Extension)

Quelle: dataprivacyframework.gov · Geprüft am 19. Oktober 2026

4 genannt: ISO 27001, ISO 27018, SOC 1 und SOC 2 (SSAE18). Dieselbe Liste nennt außerdem HIPAA und EU Model Clauses.

“These standards are the compliance certifications Teams holds.”

Quelle: learn.microsoft.com · Geprüft am 19. Oktober 2026

Dort, wo der Kunde (oder der von ihm gewählte Hosting-Partner) den Server betreibt: Enterprise wird auf der eigenen Infrastruktur des Kunden installiert, daher hat Nextcloud keine Standardregion.

“The actual compliance with regulations depends on the hosting solution used for Nextcloud Enterprise.”

Quelle: nextcloud.com · Geprüft am 19. Oktober 2026

EU-Hosting wählbar.

Ja, von Grund auf: Der Kunde wählt, wo der Server läuft, auch einen Server im eigenen Land; die Compliance-Seite rät, den Serverstandort in Ihrem Land zu halten.

“Legal compliance: Federal data protection and GDPR-compliant, protecting data sovereignty, keep the server location in your country.”

Quelle: nextcloud.com · Geprüft am 19. Oktober 2026

Kein AVV.

Im üblichen Aufbau nicht nötig: Nextcloud gibt an, dass die Nextcloud GmbH bei selbst gehostetem Enterprise keinen Zugriff auf Kundendaten hat, sodass kein Auftragsverarbeitungsvertrag erforderlich ist. Bei einem gehosteten Aufbau würde ein AVV gelten, es ist aber keiner veröffentlicht.

“Nextcloud is fundamentally designed so that Nextcloud GmbH does not have any access to customer data, removing the need for a data processor or controller agreement”

Quelle: nextcloud.com · Geprüft am 19. Oktober 2026

EU- oder Schweizer Anbieter.

Nicht zutreffend (Anbieter mit Sitz in der EU, Nextcloud GmbH, Stuttgart, Deutschland)

“Nextcloud GmbH (hereinafter collectively referred to as “the controller” or “Nextcloud” or “we” or “us”) as the operator of this website”

Quelle: nextcloud.com · Geprüft am 19. Oktober 2026

Die Compliance-Seite zeigt 7 Badges: PCI DSS, ANSSI CSPN, Blauer Engel, ISO/IEC 27001, BSI C5, REUSE, OpenSSF Best Practices. Sie ergänzt, dass Enterprise nur zusammen mit einer Bereitstellung zertifiziert werden kann und Nextcloud Files CSPN-zertifiziert ist.

“As we do not operate Nextcloud Enterprise for our customers nor control how they use it, as a on-premises hosted solution, Nextcloud Enterprise can only be certified as a whole in combination with a deployment.”

Quelle: nextcloud.com · Geprüft am 19. Oktober 2026

Ja: KI-Funktionen sind optional und laufen nur, wenn ein Administrator die separaten KI-Apps installiert und ein Modell-Backend anbindet; zum Beispiel wird die KI-Textverarbeitung von Mail unter Administration settings > Groupware > Mail eingeschaltet.

“All of these features are completely optional. If you want to have them on your server, you need to install them via separate Nextcloud Apps.”

Quelle: docs.nextcloud.com · Geprüft am 19. Oktober 2026

€204.75 / Nutzer / Jahr.

204,75 € pro Nutzer und Jahr für Ultimate, mindestens 100 Nutzer, Verkauf auf Angebot (kein Self-Serve-Kauf). Umsatzsteuer nicht angegeben.

“Starting at 100 users for 204.75€/user/year”

Quelle: nextcloud.com · Geprüft am 19. Oktober 2026

Die eigene Infrastruktur des Kunden (On-Premises, Private Cloud oder isoliert) beim Tarif Commercial; bei von Rocket.Chat gehosteten Workspaces wählt der Kunde den Standort beim Onboarding (genannte Anbieter: OVH, AWS).

“The customer determines the location where an instance of our hosted offering is deployed during onboarding.”

Quelle: docs.rocket.chat · Geprüft am 19. Oktober 2026

EU-Hosting wählbar.

Ja. Selbst betriebene Installationen halten Daten dort, wo der Kunde sie hostet, und bei von Rocket.Chat gehosteten Workspaces legt der Kunde den Standort beim Onboarding fest; konkrete EU-Regionen werden nicht genannt.

“The customer determines the location where an instance of our hosted offering is deployed during onboarding.”

Quelle: docs.rocket.chat · Geprüft am 19. Oktober 2026

AVV auf Anfrage.

Ja. Ein vorab unterzeichneter Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln ist verfügbar; der Kunde füllt ihn online aus und unterzeichnet ihn (Anforderung per E-Mail-Code, Unterschrift über Zoho Sign). Er deckt das gehostete Angebot sowie Push- und Marketplace-Dienste ab.

“It is pre-signed and only needs to be signed from your end for your compliance purposes.”

Quelle: docs.rocket.chat · Geprüft am 19. Oktober 2026

Veröffentlicht.

Ja, öffentlich: https://docs.rocket.chat/docs/subprocessors (gültig ab 6. März 2025). 12 Zeilen zu Dritten (3 Infrastruktur, 7 dienstspezifisch, 2 Innovation) plus 2 verbundene Unternehmen. Keine KI-Modellanbieter aufgeführt.

“The list below identifies subcontractors (subprocessors) that Rocket.Chat may be used to process personal data while provisioning our services.”

Quelle: docs.rocket.chat · Geprüft am 19. Oktober 2026

Nicht gelistet.

Kein Eintrag für den Suchbegriff 'Rocket.Chat' gefunden

Quelle: dataprivacyframework.gov · Geprüft am 19. Oktober 2026

Der Kunde kann alle Daten exportieren und die Löschung von Konten verlangen. Nach Vertragsende muss der Kunde die Daten innerhalb von 30 Werktagen abrufen; danach darf Rocket.Chat sie unwiederbringlich löschen. Commercial bietet zusätzlich fein abgestufte Richtlinien zur Speicherdauer.

“Customer will retrieve its Data or copies of its Data from Rocket.Chat within thirty (30) business days of the termination or expiration of this Agreement Terms.”

Quelle: docs.rocket.chat · Geprüft am 19. Oktober 2026

Admins verwalten Rocket.Chat AI unter Manage > Workspace > AI Center. KI ist ein kostenpflichtiges Zusatzangebot, für das ein eigenes LLM des Kunden angebunden sein muss; sie läuft also nur, wenn der Kunde sie einrichtet.

“Administrators can manage Rocket.Chat AI from Manage > Workspace > AI Center.”

Quelle: docs.rocket.chat · Geprüft am 19. Oktober 2026

Nichts zu tun beim Training durch Dritte: Smartsheet sagt, Kundendaten würden nicht zum Training von Foundation-Modellen Dritter verwendet. Keine Einstellung und kein Widerspruch beschrieben.

“No, your data never leaves your control, never mixes with other customers, and never trains third-party foundation models.”

Quelle: smartsheet.com · Geprüft am 19. Oktober 2026

AWS in den USA (Virginia/Ohio) für die Commercial-Umgebung, die der Standard ist.

“By default, customers are hosted in AWS East, with regional options available via Smartsheet Regions.”

Quelle: smartsheet.com · Geprüft am 19. Oktober 2026

EU-Hosting wählbar.

Ja: Mit Smartsheet Regions können Kunden in den USA, der EU oder Australien hosten (die EU-Umgebung läuft bei AWS in Deutschland und Irland); die Preis-FAQ verweist auf den Vertrieb, und keine offizielle Seite nennt, welche Tarife es enthalten.

“Smartsheet Regions lets you choose — US, EU, or Australia — so you can meet regional compliance requirements”

Quelle: smartsheet.com · Geprüft am 20. Oktober 2026

AVV in den Bedingungen.

Ja. Smartsheet hat einen Standard-AVV (Data Processing Addendum), der die EU-Standardvertragsklauseln enthält; er ist von den Rechtsseiten aus verlinkt.

“the SCCs are incorporated as part of Smartsheet’s standard DPA as detailed below.”

Quelle: smartsheet.com · Geprüft am 19. Oktober 2026

Auf der Liste.

Aktiv (Smartsheet Inc.; EU-US DPF, Swiss-US DPF, UK Extension)

Quelle: dataprivacyframework.gov · Geprüft am 19. Oktober 2026

KI-Prompts und -Ausgaben werden mit den Sheet-Daten gespeichert und innerhalb von 180 Tagen nach Vertragsende gelöscht; Smartsheet darf sie für Support und Missbrauchserkennung behalten. KI-Anbieter speichern sie nicht über die Erzeugung einer Antwort hinaus.

“Input prompts and generated outputs are deleted by”

Quelle: smartsheet.com · Geprüft am 19. Oktober 2026

4 genannt: SOC 2, ISO 27001, ISO 27701 und FedRAMP; ISO 42001 (KI-Management) wird laut Angabe angestrebt, nicht gehalten. Die Nutzung für HIPAA erfordert einen BAA im Enterprise-Tarif.

“Smartsheet adheres to leading security and compliance frameworks, including SOC 2, ISO 27001, ISO 27701, and FedRAMP.”

Quelle: smartsheet.com · Geprüft am 19. Oktober 2026

Ja. Systemadministratoren wählen im Admin-Center über die KI-Aktivierungssteuerung, welche KI-Funktionen für Endnutzer aktiviert werden.

“system administrators can choose which AI capabilities are activated for end users using AI activation controls in the admin center.”

Quelle: smartsheet.com · Geprüft am 19. Oktober 2026

€22 / Nutzer / Monat.

Business: 22 € pro Mitglied/Monat bei monatlicher Abrechnung oder 17 € bei jährlicher (die Seite zeigt '2217€'); ab 3 Mitgliedern; Umsatzsteuer nicht angegeben.

“2217€ per Member/month £1915 per Member/month ¥3,2002,500 per Member/month”

Quelle: smartsheet.com · Geprüft am 19. Oktober 2026

Trainiert nicht mit Ihren Daten.

Nein, für Todoists eigene Nutzung: Die Datenschutzerklärung sagt, erhobene Informationen, auch über KI-Tools, würden nicht genutzt, um allgemeine oder nicht personalisierte KI- oder Machine-Learning-Modelle zu entwickeln, zu verbessern oder zu trainieren. Training durch seine externe LLM-Anbieter wird nicht genannt.

“However, we do not use information we collect from you, including via artificial intelligence tools, to develop, improve, or train generalized/non-personalized artificial intelligence or machine learning models.”

Quelle: todoist.com · Geprüft am 19. Oktober 2026

Nichts abzuschalten: Der Tarif trainiert nicht mit Ihren Daten.

Nichts zu tun für Todoists eigenes Training: Die Datenschutzerklärung sagt, erhobene Informationen würden nicht zum Training allgemeiner KI- oder Machine-Learning-Modelle genutzt.

“we do not use information we collect from you, including via artificial intelligence tools, to develop, improve, or train generalized/non-personalized artificial intelligence or machine learning models.”

Quelle: todoist.com · Geprüft am 19. Oktober 2026

USA, auf Servern von Amazon Web Services.

“We use Amazon Web Services (AWS) servers to host all user data.”

Quelle: todoist.com · Geprüft am 19. Oktober 2026

Nicht gelistet.

Kein Eintrag gefunden für den Suchbegriff 'Doist'

Quelle: dataprivacyframework.gov · Geprüft am 19. Oktober 2026

Informationen werden so lange aufbewahrt, wie es für die genannten Zwecke nötig ist. Wird ein Konto gelöscht, werden die Daten aus den Produktivsystemen entfernt, und meist bleibt nur eine verschlüsselte Backup-Kopie für 90 Tage. Eine Einstellung zur Speicherdauer von KI-Prompts wird nicht genannt.

“upon deleting your account, all your Information will be removed from our production systems. Usually, only an encrypted copy of your Information will remain on our backup archives for 90 days”

Quelle: todoist.com · Geprüft am 19. Oktober 2026

1 genannt: SOC 2 Type II (zertifiziert Stand Dezember 2025). Der Bericht liegt im Trust Center.

“Yes. Todoist is SOC2 Type II certified as of December 2025.”

Quelle: todoist.com · Geprüft am 19. Oktober 2026