Ist Zapier DSGVO-konform? Der US-Haken für Agenturen 2026
Zapier läuft – aber Kundendaten fließen in die USA. Was heißt das für die DSGVO?
Du hast in Zapier ein paar Zaps gebaut, die dir seit Monaten stumm die Arbeit abnehmen: neuer Lead im Formular, Zeile ins CRM, Slack-Nachricht ans Team, Willkommensmail raus. Läuft. Und weil es so reibungslos läuft, denkt niemand mehr darüber nach, was da eigentlich durch die Leitung geht.
Genau da liegt das Problem. Durch deine Zaps fließen Namen, E-Mail-Adressen, Telefonnummern, manchmal ganze Kundengespräche – und Zapier ist ein US-Unternehmen, das diese Daten in den USA verarbeitet. Für dich als Agentur oder Berater heißt das: Du bist der Auftragsverarbeiter deiner Kunden, und du haftest dafür, dass ihre Daten sauber behandelt werden. Dieser Artikel klärt ehrlich, ob Zapier DSGVO-konform einsetzbar ist, wo der Haken sitzt – und was die pragmatische Alternative kostet.
Zapier speichert deine Daten in den USA – das ist der Kern
Zapier, Inc. sitzt in Kalifornien und verarbeitet personenbezogene Daten auf US-Infrastruktur, zusätzlich verteilt auf eine Reihe von Subunternehmern (Sub-Prozessoren). Jeder Datensatz, der durch einen Zap läuft – der Lead-Name, die Kundenmail, die Handynummer – wird also über die USA geleitet und dort zumindest kurzzeitig gespeichert.
Jeder Datensatz aus deinen Zaps – Name, E-Mail, Telefon – wird über US-Server geleitet
Das ist nicht automatisch illegal. Aber es ist ein Drittlandtransfer im Sinne der DSGVO, und für den brauchst du eine Rechtsgrundlage plus dokumentierte Garantien. Ohne die fehlt dir bei der nächsten Anfrage der Datenschutzbehörde – oder eines nervösen Kunden – schlicht die Antwort.
Was Zapier für die DSGVO tatsächlich anbietet
Die gute Nachricht: Zapier ignoriert das Thema nicht. Es gibt konkrete Bausteine, die du nutzen kannst und musst.
- Auftragsverarbeitungsvertrag (AVV/DPA): Zapier stellt ein Data Processing Addendum bereit, das die Anforderungen aus Art. 28 DSGVO abdeckt. Die aktuelle Fassung ist zum 7. April 2026 in Kraft getreten. Ohne unterschriebenen AVV nutzt du Zapier nicht rechtskonform – das ist der erste und wichtigste Schritt.
- EU-US Data Privacy Framework (DPF): Zapier ist unter dem DPF selbst-zertifiziert. Das ist derzeit der offizielle Mechanismus, der Datentransfers in die USA legitimiert.
- Standardvertragsklauseln (SCC): Als Fallback sind zusätzlich die EU-Standardvertragsklauseln in den AVV eingebunden – falls das DPF wegfällt, greifen sie automatisch.
AVV, Data Privacy Framework und Standardvertragsklauseln: die drei Bausteine, mit denen Zapier den Transfer absichert
Klingt beruhigend. Der Haken kommt jetzt.
Der Haken: Das DPF steht auf wackeligem Fundament
Das Data Privacy Framework ist der dritte Anlauf, US-Datentransfers zu legalisieren. Die beiden Vorgänger – Safe Harbor und Privacy Shield – wurden vom Europäischen Gerichtshof kassiert. Auch das DPF steht 2026 unter juristischem Druck und wird angefochten. Es gilt aktuell, aber niemand kann dir garantieren, dass das in zwei Jahren noch so ist.
Der Grund ist immer derselbe: US-Überwachungsgesetze wie FISA 702 und der CLOUD Act erlauben US-Behörden unter bestimmten Bedingungen Zugriff auf Daten, die bei US-Anbietern liegen – auch auf die deiner europäischen Kunden. Ein AVV und ein Framework schützen dich vertraglich, aber sie ändern nichts an dieser technischen und rechtlichen Realität.
Safe Harbor, Privacy Shield, Data Privacy Framework – zwei Vorgänger sind schon gekippt
Und die EU-Datenresidenz, also die Speicherung ausschließlich auf EU-Servern? Die bietet Zapier nicht auf den Standard-Tarifen. Wer sie will, muss mit dem Enterprise-Vertrieb verhandeln. Auf Free, Professional und Team läuft alles über die USA – Punkt.
Die Rechnung, die kaum jemand macht: Zapier-Cloud gegen selbst gehostetes n8n
Viele Agenturen bleiben bei Zapier, weil sie glauben, die datenschutzfreundliche Alternative sei teuer oder kompliziert. Schauen wir uns die echten Zahlen an.
Zapier kostet in der Cloud (Stand 2026):
| Tarif | Preis / Monat | Inkludierte Tasks | Daten liegen in |
|---|---|---|---|
| Free | 0 $ | 100 | USA |
| Professional | 29,99 $ (~28 €) | 750 | USA |
| Team | 103,50 $ (~95 €) | 2.000 | USA |
| Enterprise | auf Anfrage | individuell | EU-Residenz verhandelbar |
Der Knackpunkt: Zapier rechnet pro „Task" ab. Jeder Schritt in einem Zap ist ein Task. Eine mittelgroße Agentur mit ein paar aktiven Automatisierungen ist schnell im Team-Tarif bei rund 95 € im Monat – und die Daten liegen weiter in den USA.
Die Alternative ist ein selbst gehostetes n8n auf einem europäischen Server (z. B. bei einem deutschen Hoster). Der Server kostet dich – je nach Last – etwa 5 bis 15 € im Monat. Es gibt keine Task-Limits, und die Daten verlassen die EU nie. Der Unterschied über ein Jahr:
- Zapier Team: rund 95 € × 12 = ca. 1.140 € pro Jahr, Daten in den USA
- Self-hosted n8n: rund 10 € × 12 = ca. 120 € pro Jahr, Daten in der EU
Das ist der Faktor 10 – bei besserer Datenschutzlage. Der Preis ist nicht das Setup und die Wartung, die ein n8n-Server braucht. Genau hier lohnt sich die Frage: selbst aufsetzen oder aufsetzen lassen?
So setzt du Zapier DSGVO-konform ein – die Kurzcheckliste
Wenn du bei Zapier bleibst, arbeite diese Punkte ab:
- AVV abschließen. Das Data Processing Addendum von Zapier akzeptieren und dokumentieren – ohne das geht nichts.
- Verzeichnis von Verarbeitungstätigkeiten pflegen. Halt fest, welche Zaps welche personenbezogenen Daten verarbeiten.
- Datensparsamkeit im Zap. Schick nur die Felder durch, die du wirklich brauchst. Keine ganze Kundenakte, wenn nur die E-Mail-Adresse nötig ist.
- Sensible Daten aussortieren. Gesundheits-, Finanz- oder Mandatsdaten gehören nicht durch ein US-Tool.
- Transferrisiko dokumentieren. Ein kurzes Transfer Impact Assessment zeigt, dass du dir Gedanken gemacht hast – das erwarten Behörden inzwischen.
Das ist kein Hexenwerk, aber es ist Pflicht. Und es ist der Unterschied zwischen „wir nutzen halt Zapier" und „wir haben Zapier sauber im Griff".
Fazit: DSGVO-konform ja – aber nicht von allein
Zapier ist mit unterschriebenem AVV, DPF-Zertifizierung und Standardvertragsklauseln grundsätzlich DSGVO-konform einsetzbar. Aber „einsetzbar" heißt nicht „automatisch sauber". Die Daten liegen in den USA, das rechtliche Fundament DPF wackelt, und die eigentliche Arbeit – AVV, Datensparsamkeit, Dokumentation – bleibt an dir hängen.
Für viele Agenturen ist die ehrlichere Antwort deshalb nicht „Zapier ja oder nein", sondern: die sensiblen Workflows auf eine EU-Lösung wie selbst gehostetes n8n umziehen und Zapier nur noch für Unkritisches nutzen. Bei uns bei DigitalXShift bauen wir genau solche Automatisierungen – eine 5-köpfige Dev-Agentur hat darüber 35 bis 50 abrechenbare Stunden im Monat zurückgewonnen, ein B2B-SaaS-Gründer 52 Stunden. Der Datenschutz war dabei kein Nachgedanke, sondern von Anfang an eingebaut.
Schau dir diese Woche einmal ehrlich an: Durch welchen deiner Zaps laufen die sensibelsten Kundendaten – und würdest du das einem Datenschutzbeauftragten mit ruhigem Gewissen erklären? Wenn du dabei ins Grübeln kommst, ist das der Prozess, den du zuerst absichern solltest. Mehr dazu, wie wir das umsetzen, findest du auf digitalxshift.com.
Ist Zapier DSGVO-konform?
Ja, aber nur mit unterschriebenem AVV (Data Processing Addendum), das die Anforderungen aus Art. 28 DSGVO abdeckt. Zapier stützt Datentransfers in die USA auf das EU-US Data Privacy Framework und ergänzende Standardvertragsklauseln. Ohne AVV nutzt du Zapier nicht rechtskonform.
Wo speichert Zapier meine Daten?
In den USA und bei US-Subunternehmern. Eine EU-Datenresidenz gibt es nicht auf den Standard-Tarifen (Free, Professional, Team), sondern nur über den Enterprise-Vertrieb auf Anfrage.
Brauche ich einen AVV mit Zapier?
Ja, zwingend. Sobald durch deine Zaps personenbezogene Daten deiner Kunden laufen, bist du Auftragsverarbeiter und musst den AVV von Zapier abschließen und dokumentieren.
Was ist die datenschutzfreundlichste Alternative zu Zapier?
Ein selbst gehostetes n8n auf einem europäischen Server. Die Daten verlassen die EU nie, es gibt keine Task-Limits, und die laufenden Kosten liegen mit rund 5 bis 15 € im Monat deutlich unter den Zapier-Tarifen – dafür fällt Aufwand für Einrichtung und Wartung an.
Reicht das EU-US Data Privacy Framework als Absicherung?
Aktuell ja, es gilt 2026 weiterhin. Aber es steht juristisch unter Druck und wurde – wie seine Vorgänger Safe Harbor und Privacy Shield – bereits angefochten. Verlass dich nicht allein darauf: Standardvertragsklauseln und ein dokumentiertes Transferrisiko gehören dazu.