ActiveCampaign · Stand September 2026
Hak an, welche Bestandteile du nutzt – du bekommst alle Empfänger deiner Daten mit Land und einen fertigen Textblock für dein Verarbeitungsverzeichnis. Belegt, nicht behauptet.
Datenfluss-Prüfer
Die Liste der Unterauftragsverarbeiter steht beim Hersteller nach Anbietern sortiert. Gebraucht wird sie nach Funktionen. Hak an, was du nutzt.
Immer dabei: Konto und E-Mail-Versand. Das lässt sich nicht abwählen – es ist die Plattform selbst.
Keine Rechtsberatung. Das Werkzeug ordnet öffentlich dokumentierte Angaben von ActiveCampaign nach Funktionen. Es prüft nicht, ob dein Einsatz zulässig ist, und ersetzt keine Prüfung deines Falls.
5Empfänger deiner Daten
5 davon verarbeiten ganz oder teilweise in den USA. Das ist kein Ausschlusskriterium – ActiveCampaign ist nach dem EU-U.S. Data Privacy Framework zertifiziert –, aber es gehört in dein Verzeichnis.
Datenspeicherung
ActiveCampaign betreibt seine Infrastruktur bei AWS. Die Region deines Kontos bestimmt, wo gespeichert wird.
wegen: Konto und E-Mail-Versand
Netzwerkdienst
Liegt vor der Plattform und sieht damit jeden Aufruf, auch die aus Europa.
wegen: Konto und E-Mail-Versand
Datenlager für Auswertungen
Speist die Berichte und Auswertungen der Plattform.
wegen: Konto und E-Mail-Versand
KI-Dienst
ActiveCampaign führt OpenAI ausdrücklich als Unterauftragsverarbeiter für KI-Funktionen.
wegen: KI-Funktionen (Active Intelligence)
KI-Dienst
Zweiter KI-Dienst in derselben Liste.
wegen: KI-Funktionen (Active Intelligence)
Konto und E-Mail-Versand: Auch bei einem Konto in der EU-Region: Kontaktdaten werden laut Hersteller weiterhin auch in den USA und an anderen Orten außerhalb der Speicherregion VERARBEITET. Gespeichert in der EU heißt nicht verarbeitet in der EU.
KI-Funktionen (Active Intelligence): Das ist der Punkt, der in den meisten Verzeichnissen fehlt. Wer die eingebaute KI benutzt, hat OpenAI im Boot – das steht in der Unterauftragsverarbeiter-Liste des Herstellers und sonst nirgends.
Für dein Verarbeitungsverzeichnis
Ein Textblock mit Auftragsverarbeiter, Rechtsgrundlage der Übermittlung, genutzten Bestandteilen und allen Empfängern mit Land. Was du selbst ergänzen musst, steht in eckigen Klammern darin.
Empfängerliste aus activecampaign.com/legal/subprocessors, Stand der Herstellerseite 02.04.2026, abgerufen am 01.09.2026. Zertifizierung und Vertragsweg aus activecampaign.com/legal/dpf, Speicherregionen aus activecampaign.com/data-centers.
ActiveCampaign lässt sich DSGVO-konform einsetzen: Es gibt einen Auftragsverarbeitungsvertrag zum Unterzeichnen in den Kontoeinstellungen, eine Zertifizierung nach dem EU-U.S. Data Privacy Framework und ein EU-Rechenzentrum. Entscheidend ist eine Einschränkung, die der Hersteller selbst nennt: Kontaktdaten werden auch bei EU-Speicherung weiterhin in den USA verarbeitet.
Stand der Angaben: 1. September 2026 · geprüft von Advertal, offizieller ActiveCampaign-Partner seit 2017
200+ Unternehmen im Advertal Partner-Netzwerk · offizieller ActiveCampaign-Partner · seit 2017 auf eine Plattform spezialisiert
Auf die Frage, ob ActiveCampaign DSGVO-konform ist, kommt fast immer dieselbe Antwort: „Die Daten liegen auf EU-Servern." Das stimmt – und beantwortet die Frage nicht.
ActiveCampaign betreibt drei Rechenzentrums-Regionen: EU, USA und Asien-Pazifik. Ein Konto aus Deutschland landet in der EU-Region. Auf derselben Seite steht aber auch dieser Satz, und er ist der wichtigste des ganzen Themas: Kontaktdaten werden weiterhin in den Vereinigten Staaten und an anderen Orten außerhalb der Speicherregion verarbeitet.
Speicherung und Verarbeitung sind zwei verschiedene Dinge, und die DSGVO interessiert sich für beide. Wer in seinem Verzeichnis „Speicherort EU" einträgt und es dabei belässt, hat es unvollständig ausgefüllt.
Das ist kein Ausschlusskriterium. ActiveCampaign ist nach dem EU-U.S. Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der EU-Kommission vorliegt – die Übermittlung in die USA ist damit auf einer tragfähigen Grundlage. Es ist ein Dokumentationskriterium: Man muss es wissen und aufschreiben.
Ein zweiter Punkt aus derselben Quelle, der regelmäßig überrascht: Die Region lässt sich nicht wählen. Sie wird beim Anlegen des Kontos automatisch über die IP-Adresse zugewiesen – wörtlich „You cannot change this at this time" –, und eine einmal erfolgte Migration lässt sich nicht rückgängig machen.
Die häufigste Fehlannahme ist, dass ein Konto mit unterzeichnetem Vertrag konform sei. Der Vertrag regelt das Verhältnis zum Anbieter – nicht deinen Umgang mit den Daten.
| Thema | Kommt von ActiveCampaign | Bleibt bei dir |
|---|---|---|
| Auftragsverarbeitungsvertrag | Ein Vertragstext, der sich in den Kontoeinstellungen unterzeichnen lässt. | Unterzeichnen und ablegen. Ein bereitgestellter Vertrag ist kein geschlossener. |
| Übermittlung in die USA | Zertifizierung nach dem EU-U.S. Data Privacy Framework, dazu die UK-Erweiterung und der Swiss-U.S. DPF. | Die Grundlage im Verzeichnis benennen. Standardvertragsklauseln und Transfer-Folgenabschätzung entfallen laut Hersteller dadurch. |
| Speicherort | Drei Regionen, automatische Zuweisung nach IP-Adresse. | Prüfen, in welcher Region dein Konto liegt – und wissen, dass die Verarbeitung darüber hinausgeht. |
| Unterauftragsverarbeiter | Eine öffentliche, datierte Liste mit Anbietern und Ländern. | Die für dich zutreffenden Einträge ins Verzeichnis übernehmen. Das Werkzeug oben nimmt dir die Auswahl ab. |
| Einwilligung | Double-Opt-in-Funktionen, Abmeldelink, Bestätigungsmails. | Einholen, dokumentieren, nachweisen. Die Funktionen tun nichts von allein. |
| Löschung | Kontakte lassen sich löschen, Konten schließen. | Fristen festlegen und einhalten. ActiveCampaign löscht nichts von sich aus. |
| Verzeichnis der Verarbeitungstätigkeiten | Nichts. | Vollständig deine Aufgabe. Der Textblock aus dem Werkzeug oben ist der Anfang, nicht das Ergebnis. |
Quellen: activecampaign.com/legal/dpf, /legal/subprocessors (Stand der Herstellerseite 02.04.2026) und /data-centers, alle abgerufen am 01.09.2026. Diese Übersicht ist keine Rechtsberatung.
Die Unterauftragsverarbeiter-Liste ist öffentlich und übersichtlich. Drei Einträge darin tauchen in deutschen Verarbeitungsverzeichnissen trotzdem fast nie auf.
OpenAI. ActiveCampaign führt OpenAI ausdrücklich als Unterauftragsverarbeiter für KI-Dienste, daneben Amazon Bedrock. Wer die eingebaute KI für Betreffzeilen oder Kampagnenentwürfe nutzt, überträgt damit Daten an einen weiteren US-Anbieter. Das ist zulässig und dokumentiert – aber es gehört ins Verzeichnis, und es fehlt dort praktisch immer.
Zendesk. Der Herstellersupport läuft über ein US-Ticketsystem. Der praktische Punkt ist nicht der Vertrag, sondern die Gewohnheit: In ein Support-Ticket legt man einen Screenshot, und auf dem Screenshot stehen echte Kontaktdaten. Damit ist die Übermittlung erfolgt, unabhängig davon, wo das Konto liegt.
Cloudflare. Ein Netzwerkdienst mit Sitz in den USA liegt vor der Plattform und sieht jeden Aufruf. Das ist bei fast jedem modernen Dienst so und selten ein Problem – aber es ist ein Empfänger, und Vollständigkeit ist im Verzeichnis der halbe Zweck.
Und ein vierter Fall, der rechtlich anders liegt: der MCP-Server. Wer Claude oder ChatGPT über die MCP-Schnittstelle an sein Konto hängt, hat keinen weiteren Unterauftragsverarbeiter von ActiveCampaign – sondern einen eigenen Auftragsverarbeiter. Der Vertrag dafür ist deiner, nicht ihrer. Das ist der sauberste Schnitt der ganzen Liste und der am leichtesten übersehene.
Fünf Schritte, danach ist der Ordner vollständig. Der erste dauert zwei Minuten und wird trotzdem am häufigsten vergessen.
In den Einstellungen des ActiveCampaign-Kontos. Der Hersteller weist ausdrücklich darauf hin, dass sich der Vertrag dort unterzeichnen lässt – es braucht keine Anfrage beim Support. Danach die unterzeichnete Fassung ablegen, wo sie im Prüfungsfall auffindbar ist.
Die Zuweisung erfolgte automatisch nach IP-Adresse. Wer sein Konto im Ausland oder über ein VPN angelegt hat, sitzt möglicherweise nicht in der EU-Region – und kann das nicht selbst ändern. Im Zweifel beim Support erfragen und die Antwort aufbewahren.
Das Werkzeug oben auf dieser Seite dreht die Herstellerliste von Anbietern auf Funktionen um und erzeugt einen Textblock. Was du selbst ergänzen musst – Rechtsgrundlage, Personengruppen, Datenkategorien, Löschfristen –, steht darin in eckigen Klammern.
Double Opt-in aktiv, Abmeldelink im Fußbereich, Anmeldezeitpunkt und Wortlaut protokolliert. Die Formulierungen dafür stehen unter Texte für die Newsletter-Anmeldung, der Fußbereich unter Abmeldelink und Footer.
ActiveCampaign löscht nichts von allein. Leg fest, wann ein Kontakt ohne Reaktion entfernt wird, und bau es als Automation. Ohne Frist wächst der Bestand – und mit ihm die Rechnung, weil nach Kontakten bezahlt wird.
Die DSGVO verbietet US-Anbieter nicht. Sie verlangt eine tragfähige Grundlage und Dokumentation – und in manchen Branchen kommt eine interne Regel dazu, die strenger ist als das Gesetz.
Der Rahmen steht. Diese drei Punkte entscheiden, ob er in der Praxis hält.
Einwilligungstext, Bestätigungsmail und das, was protokolliert werden muss – samt dem Satz zur Messung von Öffnungen, der fast überall fehlt.
Die zwei Abmelde-Tags – und welcher davon den Kontakt auf die Ausschlussliste setzt, sodass er sich nicht mehr anmelden kann.
Der MCP-Server verbindet Claude oder ChatGPT mit dem Konto. 50 Werkzeuge, 24 davon schreibend – und ein eigener Auftragsverarbeiter, nicht deren Unterauftragsverarbeiter.
Der Unterschied, den kaum jemand kennt
ActiveCampaign kostet über das Advertal Partner-Netzwerk exakt so viel wie im Direktbezug. Du startest deinen Account über uns oder verknüpfst deinen bestehenden; Preis und Funktionsumfang bleiben unverändert. Dazu bekommst du einen persönlichen Ansprechpartner auf Deutsch – ohne Aufschlag, ohne zusätzliche Vertragsbindung. Der offizielle Support von ActiveCampaign bleibt dir daneben erhalten.
Die Plattform lässt sich DSGVO-konform einsetzen. Sie stellt einen Auftragsverarbeitungsvertrag bereit, ist nach dem EU-U.S. Data Privacy Framework zertifiziert und speichert Daten europäischer Kunden in einem EU-Rechenzentrum. Konform wird der Einsatz dadurch aber nicht automatisch: Einwilligung, Nachweis, Löschfristen und das Verarbeitungsverzeichnis bleiben deine Aufgabe.
In den Einstellungen deines eigenen Kontos. ActiveCampaign weist ausdrücklich darauf hin, dass sich der Data Processing Addendum dort unterzeichnen lässt – eine Anfrage beim Support ist nicht nötig. Das ist der Punkt, an dem die meisten unnötig Zeit verlieren, weil sie einen Vertrag per E-Mail anfordern.
Gespeichert ja, wenn dein Konto der EU-Region zugewiesen wurde. Verarbeitet nicht ausschließlich: ActiveCampaign schreibt selbst, dass Kontaktdaten weiterhin in den USA und an anderen Orten außerhalb der Speicherregion verarbeitet werden. Speicherung und Verarbeitung sind zwei verschiedene Dinge, und beide gehören ins Verzeichnis.
Nein. Die Zuweisung erfolgt automatisch über die IP-Adresse beim Anlegen des Kontos; der Hersteller schreibt dazu „You cannot change this at this time". Eine einmal durchgeführte Migration lässt sich außerdem nicht rückgängig machen. Wer sein Konto über ein VPN oder aus dem Ausland angelegt hat, sollte die Region erfragen.
Laut Hersteller nicht. Durch die Zertifizierung nach dem EU-U.S. Data Privacy Framework – für das ein Angemessenheitsbeschluss vorliegt – können Kunden aus der EU, dem Vereinigten Königreich und der Schweiz personenbezogene Daten übermitteln, ohne zusätzlich Standardvertragsklauseln zu schließen oder eine Transfer-Folgenabschätzung durchzuführen.
Die öffentliche Liste nennt Amazon Web Services für die Speicherung, Cloudflare als Netzwerkdienst, Snowflake als Datenlager, Zendesk und Zight für den Support sowie Twilio für SMS und OpenAI und Amazon Bedrock für die KI-Funktionen. Welche davon dich betreffen, hängt davon ab, was du nutzt – das Werkzeug oben auf dieser Seite stellt es zusammen.
Wenn du die eingebauten KI-Funktionen nutzt: ja. ActiveCampaign führt OpenAI als Unterauftragsverarbeiter für KI-Dienste. Das ist dokumentiert und zulässig, fehlt aber in fast jedem Verarbeitungsverzeichnis. Wer die KI-Funktionen nicht braucht, hat diesen Empfänger auch nicht.
Geprüft von
Tom Wenk arbeitet seit 2017 ausschließlich mit ActiveCampaign. Mit Advertal betreut er heute über 200 Unternehmen im deutschsprachigen Raum, sitzt im ActiveCampaign Customer Advisory Board und im Partner Advisory Subcommittee und hat über 280 kostenlose Tutorials zur Plattform veröffentlicht. Die Angaben auf dieser Seite stammen aus dieser Praxis und aus Quellen, die wir am 1. September 2026 selbst geprüft haben.
Wir gehen den Datenschutzteil mit dir durch: Vertrag unterzeichnet, Region geklärt, Empfänger vollständig, Einwilligung und Löschfristen sauber. Für Accounts im Partner-Netzwerk gehört das zur Betreuung – kostenfrei und auf Deutsch.
Kostenfreies GesprächAuch spannend: die ActiveCampaign Agentur, der kostenlose Kurs und unsere Fallstudien.
