BI-Software und DSGVO: worauf KMU bei der Auswahl achten müssen

Mit der Auswahl einer BI-Software wird auch entschieden, wo die Daten deines Unternehmens liegen und wer auf sie zugreifen kann. Für Unternehmen in der EU sollte DSGVO-Konformität als zentraler Faktor bei der Entscheidung einbezogen werden. Auch außerhalb der EU sind hohe Datenschutzstandards sinnvoll. Es geht dabei darum, die eigenen Daten und die der Kunden zu schützen.

Eine BI-Lösung führt die Daten aus dem ganzen Unternehmen zusammen. Darunter sind sensible Unternehmens- und Kundendaten: Umsatzzahlen, Zahlungsdetails, Kampagnendaten, teils Personaldaten. Sobald diese Daten einen Personenbezug haben, fallen sie unter die DSGVO.

Dabei geht es nicht nur darum, eine gesetzliche Vorgabe zu erfüllen. Ein Datenschutzvorfall kann rechtliche Folgen haben und das Vertrauen der Kunden beschädigen. Beides schadet einem Unternehmen nachhaltig. Deshalb lohnt es sich, das Thema vor der Entscheidung für eine Lösung zu klären und in die Auswahl einzubeziehen.

Typische Daten, die in einer BI-Lösung zusammenlaufen:

• Webanalyse: Besucher, Quellen und Conversions, etwa aus GA4 oder der Search Console
• Werbedaten: Kosten, Klicks und Ergebnisse aus Ads-Konten
• CRM und Vertrieb: Kontakte, Abschlüsse, Pipeline
• Finanzen: Umsatz, Kosten, Deckungsbeiträge
• Personal: je nach Setup auch Auslastung oder Leistung

---

Dieser Artikel erklärt, was die DSGVO bei der Software-Auswahl von dir verlangt, wo deine Daten verarbeitet werden dürfen und was die Optionen bedeuten, worauf du bei der Auswahl achtest und was nach der Entscheidung deine Aufgabe bleibt. Den allgemeinen Auswahlprozess behandeln die Artikel Anforderungen BI Tools definieren und BI-Lösungen bewerten und entscheiden.

---

Was die DSGVO von dir verlangt: deine Rolle und der AVV

Auch wenn ein Anbieter deine Daten speichert und verarbeitet, bleibst du dafür verantwortlich. Die DSGVO trennt zwei Rollen: Du bist der Verantwortliche, der Anbieter wird zum Auftragsverarbeiter. Diese Verantwortung lässt sich nicht an die Software abgeben.

Damit du eine Lösung rechtskonform nutzen kannst, muss zwischen dir und dem Anbieter ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO gelten. Er legt fest, was der Anbieter mit den Daten darf und was nicht.

Fakt

Die Verarbeitung durch einen Auftragsverarbeiter setzt einen Vertrag voraus, der den Verarbeiter unter anderem an die Weisungen des Verantwortlichen bindet und Pflichten zu Vertraulichkeit, Sicherheit und Löschung der Daten regelt.

Quelle

Ein AVV regelt mindestens die Weisungsbindung des Anbieters, die technischen Schutzmaßnahmen, den Umgang mit Subunternehmern, die Löschung der Daten nach Vertragsende und die Unterstützung bei Anfragen der Betroffenen. Die meisten Anbieter stellen einen AVV bereit, teils musst du ihn aktiv bestätigen. Prüfe deshalb vor Vertragsabschluss, ob ein AVV verfügbar ist und welche Maßnahmen er abdeckt. Liegt kein AVV vor, ist der Betrieb nicht rechtskonform.

Wichtig ist außerdem: Der AVV regelt nur die Auftragsverarbeitung. Eine Rechtsgrundlage für die Verarbeitung selbst, etwa nach Art. 6 DSGVO, brauchst du zusätzlich. Darauf kommen wir am Ende zurück.

Wo deine Daten verarbeitet werden: drei Wege und was sie bedeuten

Der Speicherort entscheidet darüber, welche Regeln für deine Daten gelten. Liegen sie in der EU oder im Europäischen Wirtschaftsraum (EWR), gilt die DSGVO unmittelbar. Verlassen sie diesen Raum, spricht man von einer Drittlandübermittlung. Sie ist nur mit einer zusätzlichen Rechtsgrundlage erlaubt.

Für eine BI-Lösung gibt es in der Praxis drei Wege. Sie unterscheiden sich vor allem im Aufwand und im verbleibenden Risiko.

1. Verarbeitung in der EU oder im EWR

Steht der Server in der EU, findet keine Drittlandübermittlung statt. Damit entfällt der zusätzliche Prüf- und Dokumentationsaufwand für den Transfer. Einen AVV brauchst du trotzdem. Zu prüfen ist hier vor allem, ob der Anbieter den EU-Standort vertraglich zusichert.

2. US-Anbieter mit DPF-Zertifizierung

Seit Juli 2023 erlaubt ein Angemessenheitsbeschluss der EU-Kommission die Übermittlung in die USA, aber nur an Anbieter, die unter dem EU-US Data Privacy Framework (DPF) zertifiziert sind. Ob ein Anbieter zertifiziert ist, prüfst du in der öffentlichen Liste auf dataprivacyframework.gov. Achte dabei auf zwei Punkte: dass der Status auf „active“ steht und dass die Zertifizierung die für dich relevante Datenkategorie abdeckt („Non-HR“ für Kundendaten). Ist beides erfüllt, brauchst du keine Standardvertragsklauseln. Den AVV brauchst du auch hier, und du solltest die Grundlage in deiner Dokumentation benennen.

Zu beachten ist die Vorgeschichte dieses Wegs: Die beiden Vorgängerregelungen Safe Harbor und Privacy Shield wurden vom EuGH gekippt. Das DPF wurde 2025 gerichtlich bestätigt, ein Rechtsmittel ist anhängig. Ein erneutes Kippen ist nicht ausgeschlossen. Das ist kein akutes Verbot, aber ein Planungsrisiko.

3. US- oder Drittland-Anbieter ohne Angemessenheitsbeschluss

Ist ein Anbieter nicht zertifiziert, bleibt der Weg über Standardvertragsklauseln (SCC) und eine eigene Risikoabschätzung (Transfer Impact Assessment). Dabei prüfst du, ob im Zielland ein vergleichbares Schutzniveau besteht, und ergänzt bei Bedarf zusätzliche Maßnahmen. Dieser Weg ist mit dem meisten Aufwand verbunden.

Fakt

Personenbezogene Daten dürfen auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien in ein Drittland übermittelt werden. Der EU-US-Angemessenheitsbeschluss gilt seit Juli 2023 für aktiv und im passenden Umfang zertifizierte Organisationen; das EU-Gericht bestätigte ihn 2025, ein Rechtsmittel ist anhängig.

Quelle

Rund um US-Anbieter halten sich drei Fehlannahmen, die in der Praxis zu Lücken führen:

• Ein US-Anbieter ist automatisch nicht DSGVO-konform. Der erleichterte Transfer gilt nur für ausdrücklich zertifizierte Anbieter.
• Das DPF ersetzt den AVV. Das DPF regelt, wohin Daten übermittelt werden dürfen, der AVV regelt die Auftragsverarbeitung. Beides ist nötig.
• Eine Werbeaussage als Beleg. Ob ein Anbieter zertifiziert ist, prüfst du selbst in der Liste, nicht über das Marketing.

Welcher Weg passt, hängt von deinen Anforderungen, Zielen und deinem Verhältnis von Aufwand zu Risiko ab. Ein EU-Standort spart den Transferaufwand und wird in Ausschreibungen und B2B-Verträgen häufig vorausgesetzt. Ein zertifizierter US-Anbieter kann sinnvoll sein, wenn er ohnehin gesetzt ist. Den dritten Weg wählst du, wenn keine der beiden anderen Optionen verfügbar ist. Für Agenturen mit mehreren Mandanten vertieft der Artikel BI für Agenturen diese Abwägung.

Worauf du bei der Auswahl achtest

Speicherort und AVV sind damit geklärt. Daneben entscheiden technische und organisatorische Punkte darüber, ob eine Lösung im Alltag DSGVO-tauglich ist. Du musst dafür kein Jurist sein. Es reicht, gezielt zu fragen und dir die Antworten schriftlich geben zu lassen.

• Verschlüsselung: Die Daten sollten bei der Übertragung und bei der Speicherung verschlüsselt sein. Das gehört zu den technischen Maßnahmen, die die DSGVO verlangt.
• Rollen- und Rechtemodell: Lege fest, wer welche Daten sieht. Je feiner sich Zugriffe steuern lassen, desto besser begrenzt du den Zugriff auf das Nötige.
• Löschkonzept: Daten sollten sich nach definierten Fristen und auf Anfrage löschen lassen. Das brauchst du für die Speicherbegrenzung und für die Rechte der Betroffenen.
• Subunternehmer: Der Anbieter sollte offenlegen, welche Subdienstleister Zugriff haben. Bei Subunternehmern in den USA gilt dieselbe Transferfrage wie beim Anbieter selbst.
• Betroffenenrechte: Prüfe, ob die Lösung dich dabei unterstützt, Auskunfts-, Lösch- und Exportanfragen zu erfüllen.
• Nachweise: Zertifikate wie ISO 27001 machen Sicherheitsversprechen überprüfbar. Eine Werbeaussage allein ist kein Nachweis.
• Datenexport: Du solltest deine Daten und Modelle vollständig exportieren können. Das senkt die Abhängigkeit vom Anbieter.

Als kompakte Prüfliste für das Anbietergespräch:

Diese Punkte ergänzen den allgemeinen Kriterienkatalog. Wie du Anbieter damit strukturiert vergleichst und gewichtest, zeigen die Artikel Anforderungen BI Tools definieren und BI-Lösungen bewerten und entscheiden.

Was nach der Auswahl deine Aufgabe bleibt

Ein DSGVO-konformes Tool macht dein Unternehmen nicht automatisch konform. Die Software liefert die Bausteine: EU-Standort, AVV, Verschlüsselung, Rollen. Die Prozesse darum herum bleiben deine Aufgabe.

• Rechtsgrundlage je Verarbeitung: Für jede Verarbeitung brauchst du eine Rechtsgrundlage nach Art. 6 DSGVO. Weder das DPF noch der AVV ersetzen sie.
• Verzeichnis von Verarbeitungstätigkeiten: Dokumentiere, welche Daten du zu welchem Zweck verarbeitest. Verlasse dich nicht auf die Ausnahme für kleine Unternehmen.
• Zweckbindung und Löschfristen: Lege fest, wofür Daten genutzt und wann sie gelöscht werden. Das Tool kann das abbilden, entscheiden musst du.
• Rollen tatsächlich vergeben: Ein Rollenmodell schützt nur, wenn du es nutzt. Vergib Zugriffe nach Bedarf und teile Dashboards mit personenbezogenen Daten nicht offen.
• Anfragen der Betroffenen: Sei in der Lage, Auskunfts- und Löschanfragen fristgerecht zu beantworten.

Fakt

Verantwortliche führen ein Verzeichnis ihrer Verarbeitungstätigkeiten. Die Ausnahme für Unternehmen unter 250 Beschäftigten greift nicht, sobald die Verarbeitung personenbezogener Daten nicht nur gelegentlich erfolgt, was bei laufendem Geschäftsbetrieb meist der Fall ist.

Quelle

Gerade bei Self-Service BI ist der letzte Punkt wichtig: Mehr Menschen arbeiten direkt mit Daten, also braucht es klare Regeln, wer was sehen und teilen darf. Welche Leitplanken sich bewährt haben, behandelt der Artikel Self-Service BI.

Häufige Fragen zu BI-Software und DSGVO

Reicht ein EU-Serverstandort, um DSGVO-konform zu sein?

Er löst die Frage der Drittlandübermittlung, aber nicht den Rest. AVV, Rechtsgrundlage und eigene Prozesse brauchst du weiterhin. Der EU-Standort ist eine wichtige Voraussetzung, keine Garantie.

Darf ich überhaupt ein US-Tool einsetzen?

Ja. Entweder ist der Anbieter unter dem DPF zertifiziert, das prüfst du in der öffentlichen Liste mit Blick auf die passende Datenkategorie. Oder du sicherst die Übermittlung über Standardvertragsklauseln und eine Risikoabschätzung ab. Ein AVV ist in beiden Fällen nötig.

Woran erkenne ich, ob ein Anbieter wirklich DSGVO-konform ist?

Nicht an der Werbeaussage. Prüfbar sind der Speicherort oder die DPF-Zertifizierung, ein unterzeichneter AVV, die Liste der Subdienstleister, Sicherheitszertifikate und die Exportmöglichkeit. Lass dir diese Punkte schriftlich geben.

Was passiert, wenn das DPF gekippt wird?

Dann verlieren Übermittlungen, die sich darauf stützen, ihre Grundlage. Du müsstest kurzfristig auf Standardvertragsklauseln umstellen oder zu einem EU-Anbieter wechseln. Wer in der EU verarbeitet, ist davon nicht betroffen.

Muss ich als kleines Unternehmen ein Verarbeitungsverzeichnis führen?

In der Regel ja. Die Ausnahme für Unternehmen unter 250 Beschäftigten greift nur, wenn personenbezogene Daten lediglich gelegentlich verarbeitet werden. Bei laufendem Geschäftsbetrieb ist das selten der Fall.

Fazit

Datenschutz ist bei BI-Software insbesondere für in der EU ansässige Unternehmen ein Auswahlkriterium. Wer ihn vor dem Funktionsvergleich klärt, vermeidet teure Korrekturen und kann gegenüber Kunden klar auftreten.

Der Weg durch das Thema lässt sich in vier Schritten zusammenfassen:

• Rollen klären: Du bist Verantwortlicher, der Anbieter Auftragsverarbeiter, mit AVV nach Art. 28.
• Speicherort entscheiden: Verarbeitung in der EU, DPF-zertifizierter US-Anbieter oder Standardvertragsklauseln mit Risikoabschätzung, und die Grundlage dokumentieren.
• Lösung prüfen: Verschlüsselung, Rollen, Löschkonzept, Subunternehmer, Nachweise und Export anhand der Prüfliste durchgehen.
• Eigene Prozesse aufsetzen: Rechtsgrundlage, Verarbeitungsverzeichnis, Löschfristen und gelebte Rollen bleiben deine Aufgabe.

Welcher Weg der richtige ist, hängt von deiner Situation ab. Entscheidend ist nicht ein bestimmtes Produkt, sondern dass du weißt, wo deine Daten liegen, wer dafür haftet und wie du es belegst.