ActiveCampaign expandiert nach Europa: Was das für DACH-Unternehmen bedeutet

ActiveCampaign betreibt einen europäischen Engineering-Hub in Krakau (Polen) – das 7. globale Büro des Unternehmens. Für DACH-Unternehmen ändert das vor allem zwei Dinge: Die Produktentwicklung berücksichtigt europäische Anforderungen stärker, und die Datenschutzbasis hat sich durch das EU-U.S. Data Privacy Framework (DPF) substanziell verbessert. Der wichtigste Handlungsbedarf liegt trotzdem auf deiner Seite: ein sauberes Compliance-Setup in deinem Account.

Das Wichtigste in Kürze

• ActiveCampaign eröffnete seinen Krakauer Hub als 7. globale Niederlassung; Schwerpunkt ist Engineering und Produktentwicklung, nicht DACH-Vertrieb.
• Die rechtliche Grundlage für Datentransfers EU → USA ist das Data Privacy Framework (DPF), das den Datentransfer EU → USA rechtlich abdeckt – separate Standardvertragsklauseln entfallen damit.
• Trotzdem ist ein Auftragsverarbeitungsvertrag (AVV/DPA) mit ActiveCampaign Pflicht, bevor Kundendaten verarbeitet werden – er ist nicht durch das DPF abgedeckt.
• EU-primäre Datenspeicherung ohne US-Berührung ist nur im Enterprise-Tarif über die EU Data Cloud möglich und muss aktiv beantragt werden.

Was der Krakauer Hub von ActiveCampaign tatsächlich ist

ActiveCampaign kündigte den Krakauer Hub zu Jahresbeginn an und eröffnete ihn noch im gleichen Jahr. Krakau ist der 7. Standort weltweit – die anderen sechs liegen in den USA, in Irland, Australien, Brasilien und Costa Rica. Das Besondere an Polen: Es ist kein Vertriebsbüro, sondern ein reiner Entwicklungs- und Produkt-Hub. Eingestellt werden Ingenieure, Product Manager und technische Fachkräfte, die an der Plattform selbst arbeiten.

Für DACH-Unternehmen bedeutet das eine andere Art von Nähe als ein lokales Vertriebsbüro. Keine eigene DACH-Niederlassung, kein deutschsprachiges Kundensupport-Team vor Ort, keine gesonderte DACH-Produktlinie. Was entsteht: ein Engineering-Team, das zeitzonenkompatibel mit europäischen Kunden arbeitet und europäische Anforderungen aus eigener Anschauung kennt – weil die Entwickler selbst in der EU leben und unter DSGVO-Bedingungen arbeiten.

Die Zeitzonenkompatibilität ist konkret messbar. Krakau liegt in der Zeitzone CET/CEST, dieselbe wie Berlin, Wien und Zürich. Bugs, die morgens gemeldet werden, können von einem Krakauer Team noch am selben Arbeitstag bearbeitet werden – ohne Umweg über US-Abendstunden. Das wirkt sich auf die Reaktionszeiten beim Enterprise-Support aus, verändert aber nicht das Angebot für Standard-Tarife grundlegend.

Gleichzeitig ist Polen EU-Mitglied. Das bedeutet, dass das Krakauer Team DSGVO-Anforderungen nicht als externe Compliance-Vorgabe betrachtet, sondern als gelebten Rechtsrahmen. Das zeigt sich in der Art, wie neue Features konzipiert werden: Einwilligungsdokumentation, Double-Opt-in-Flows und Consent-Management-Optionen wurden in den Jahren seit der Hub-Eröffnung schrittweise ausgebaut.

Wie ActiveCampaign die DSGVO-Anforderungen von DACH-Unternehmen abdeckt

Die entscheidende Europäisierung auf der Datenschutzseite fand schon vor dem Krakau-Hub statt. Das ist wichtig, weil viele DACH-Nutzer das EU-U.S. Data Privacy Framework noch nicht vollständig in ihr Compliance-Setup integriert haben – obwohl es bereits gilt.

Das EU-U.S. Data Privacy Framework als rechtliche Grundlage

ActiveCampaign ist nach dem EU-U.S. DPF zertifiziert, das als Angemessenheitsbeschluss der EU-Kommission in Kraft trat. Das DPF ist ein Angemessenheitsbeschluss der EU-Kommission: Die USA wurden für diese zertifizierten Unternehmen als Land mit angemessenem Datenschutzniveau anerkannt. Der praktische Effekt ist erheblich. Für EU-Unternehmen, die Daten an ActiveCampaign übertragen, entfällt die Pflicht, separate Standardvertragsklauseln (SCCs) abzuschließen oder ein Transfer Impact Assessment (TIA) durchzuführen. Der Datentransfer läuft über den DPF-Rahmen.

Für Unternehmen in der Schweiz gilt zusätzlich das Swiss-U.S. Data Privacy Framework, das ebenfalls gilt. Schweizer Unternehmen sind damit auf demselben Rechtsstand wie ihre EU-Kollegen und können Daten an ActiveCampaign übertragen, ohne separate SCCs zu benötigen.

Das DPF hat allerdings eine politische Geschichte. Es ist der Nachfolger von Privacy Shield (2020 vom EuGH für ungültig erklärt) und Safe Harbor (2015 aufgehoben). Wer das Thema in seiner rechtlichen Tiefe betreut – zum Beispiel als Datenschutzbeauftragter oder in regulierten Branchen –, sollte die Entwicklungen beobachten. Konkret: Ob die politischen Rahmenbedingungen, unter denen das DPF ausgehandelt wurde, dauerhaft stabil bleiben. Das ist keine Warnung gegen ActiveCampaign, sondern ein Hinweis auf eine legitime Rechtsabwägung, die regelmäßig neu bewertet werden sollte.

Als Alternative zum DPF bietet ActiveCampaign weiterhin Standardvertragsklauseln (SCCs, Modul 2: Controller zu Processor) an. Wer SCCs bevorzugt, muss einen Auftragsverarbeitungsvertrag (DPA) mit ActiveCampaign abschließen, der die SCCs enthält – das ist dann dasselbe Dokument, das ohnehin Pflicht ist.

Der Auftragsverarbeitungsvertrag (AVV) – warum er trotzdem Pflicht ist

Das DPF hebt die AVV-Pflicht nicht auf. Wer ActiveCampaign im Sinne der DSGVO Artikel 28 als Auftragsverarbeiter einsetzt – und das tust du als Nutzer fast immer –, braucht einen abgeschlossenen Auftragsverarbeitungsvertrag. ActiveCampaign stellt ihn unter activecampaign.com/legal/dpa zur Verfügung. Du kannst ihn dort direkt annehmen; er wird automatisch deinem Konto zugeordnet.

Wichtig ist die Reihenfolge: Den AVV abschließen, bevor du Kontaktdaten importierst. In der Praxis ist das häufig umgekehrt – erst werden Daten importiert, dann kommt die Frage nach der DSGVO-Konformität. Einblick in Setups, die wir bei Advertal überprüfen, zeigt: Ein fehlender oder nicht dokumentierter AVV ist der häufigste einzelne Compliance-Fehler in deutschen ActiveCampaign-Accounts. Er ist technisch einfach zu beheben, aber wenn er fehlt, ist die gesamte bisherige Verarbeitung rückwirkend problematisch.

Zur Dokumentation: Nach dem Abschluss des AVV kannst du eine PDF-Bestätigung herunterladen. Lege sie mit Datum intern ab. Wenn du einen Datenschutz-Audit durchläufst, musst du nachweisen, dass der AVV zum Zeitpunkt der Datenverarbeitung abgeschlossen war. Ein Screenshot mit Datum in der Datenschutzdokumentation genügt.

EU Data Cloud: Wann die Enterprise-Option sinnvoll ist

ActiveCampaign bietet im Enterprise-Tarif die Möglichkeit, Daten primär innerhalb der EU zu speichern – die sogenannte EU Data Cloud. Das bedeutet, dass Kontaktdaten und Aktivitäten in EU-Rechenzentren abgelegt werden, ohne dass sie routinemäßig in US-Systeme repliziert werden. Welche Konsequenzen das für die Preisgestaltung hat, ist im Überblick zu ActiveCampaign-Preisen für DACH-Unternehmen beschrieben.

Die EU Data Cloud ist keine Standardoption und muss aktiv angefragt und konfiguriert werden. Für die meisten DACH-Unternehmen ist der DPF-Rahmen mit abgeschlossenem AVV ausreichend. Die EU Data Cloud ist sinnvoll für:

• Unternehmen, die mit besonders sensiblen Personendaten arbeiten, zum Beispiel im Gesundheitsbereich oder bei Finanzdienstleistungen
• Unternehmen, deren Datenschutzbeauftragter oder Rechtsabteilung EU-primäre Speicherung explizit als Anforderung definiert
• Unternehmen, die in öffentliche Ausschreibungen oder Zertifizierungsprozesse eingebunden sind, die US-Datenverarbeitung ausschließen

Ein Vorbehalt, der offen kommuniziert werden sollte: Auch die EU Data Cloud schützt nicht vor dem Zugriff US-amerikanischer Behörden unter dem Cloud Act. Das ist kein ActiveCampaign-spezifisches Problem, sondern ein strukturelles Merkmal aller US-Anbieter, die in der EU operieren. Wer das ausschließen muss, kommt mit keinem US-Anbieter ans Ziel.

Was sich für DACH-Nutzer in der Praxis seit der Europäisierung ändert

Engineering mit europäischem Kontext

Das Krakauer Team entwickelt Features, ohne auf den US-Arbeitstag warten zu müssen. Das beschleunigt Bugfixes und macht europäische Anforderungen sichtbarer in Produktentscheidungen. Sichtbar geworden ist das bei Consent-Management-Funktionen: doppeltes Opt-in mit konfigurierbarer Bestätigungs-E-Mail, explizite Einwilligungsdokumentation im Kontaktprotokoll und DSGVO-konforme Abmeldeprozesse wurden in der Plattform ausgebaut.

Was durch den Hub nicht entsteht: deutschsprachige Oberflächen, native DATEV-Integration oder steuerrechtliche Funktionen für den DACH-Markt. Das sind Lücken, die weiterhin über Zapier, Make oder eigene Integrationen überbrückt werden müssen. Wer diese Grenzen kennt, kann realistisch planen, anstatt auf Features zu warten, die nicht kommen werden.

Support in europäischen Geschäftszeiten

Der Support von ActiveCampaign liegt im Enterprise-Tarif bei dedizierten Ansprechpartnern. Im Standard-Support gibt es Verbesserungen durch das europäische Team, aber kein vollständig deutschsprachiges Support-Angebot. Das ist eine wichtige Unterscheidung: Zeitzonenkompatibilität verbessert Reaktionszeiten; sie ersetzt keine Sprachkompetenz in der Kundenbetreuung.

Wer auf deutschsprachige technische Betreuung angewiesen ist, löst das durch einen zertifizierten ActiveCampaign-Partner, der als Ansprechpartner für technische Fragen zwischengeschaltet ist und Eskalationen zum ActiveCampaign-Team koordiniert. Das ist kein Workaround, sondern das Modell, auf das der Partner-Kanal ausgelegt ist.

So überprüfst du dein ActiveCampaign-Setup auf DSGVO-Konformität

Die folgende Schritt-für-Schritt-Prüfung deckt die häufigsten Lücken ab, die in Account-Audits auftauchen. Du kannst sie als einmalige Checkliste durcharbeiten oder als Grundlage für einen jährlichen Datenschutz-Check nutzen.

1. AVV abschließen und dokumentieren: Rufe activecampaign.com/legal/dpa auf, melde dich an und akzeptiere den Auftragsverarbeitungsvertrag. Prüfe danach unter Einstellungen → Sicherheit → Datenschutz, ob der Vertrag deinem Konto zugeordnet ist. Lade die PDF-Version herunter und lege sie mit Datum in deiner Datenschutzdokumentation ab.
2. Double Opt-in aktivieren: Gehe zu Formulare → jeweiliges Formular → Einwilligung → Bestätigungs-E-Mail aktivieren. Teste den Prozess mit einer eigenen E-Mail-Adresse und prüfe, ob die Bestätigung ankommt und der Kontakt erst nach dem Klick als bestätigt gilt.
3. Einwilligungsdokumentation prüfen: Öffne einen Testkontakt, wechsle zu CRM → Aktivität und prüfe, ob Opt-in-Ereignisse mit Zeitstempel und Quelle protokolliert werden. Fehlen diese Einträge, ist die Einwilligung im Streitfall nicht nachweisbar.
4. Verarbeitungsgrundlage dokumentieren: Lege ein benutzerdefiniertes Kontaktfeld „Verarbeitungsgrundlage" an und befülle es beim Import oder bei der Automation mit einem Wert wie „Newsletter-Einwilligung", „Vertragsdurchführung" oder „Berechtigtes Interesse". So kannst du bei einem Audit für jeden Kontakt die Rechtsgrundlage nachweisen.
5. Tracking-Consent absichern: Prüfe, ob dein Consent-Management-Tool ActiveCampaign Site Tracking als Kategorie „Statistik" oder „Marketing" abdeckt. Ohne Consent-Banner, der dieses Tracking einschließt, verstößt du gegen die ePrivacy-Anforderungen – unabhängig vom AVV.
6. Löschroutine einrichten: Baue eine Automation, die inaktive Kontakte (zum Beispiel über 24 Monate keine Aktivität, kein aktiver Vertragsbezug) in eine Überprüfungsliste verschiebt. ActiveCampaign hat keine automatische Speicherfristenfunktion; du musst das selbst abbilden.

Typische Fehler bei der DSGVO-Einrichtung von ActiveCampaign

AVV nicht dokumentiert

Das häufigste Problem in Audits. Der AVV wurde akzeptiert, aber niemand hat einen Nachweis darüber gespeichert. Wer einen Datenschutz-Audit durchläuft oder eine Behördenanfrage bekommt, muss nachweisen, dass der Vertrag zum Zeitpunkt der Datenverarbeitung abgeschlossen war. Datum und Dokumentenversion gehören in die Datenschutzdokumentation.

Single Opt-in für Newsletter-Formulare

ActiveCampaign schaltet Single Opt-in als Standard. Das reicht für E-Mail-Newsletter in Deutschland nicht aus; hier ist Double Opt-in rechtlich notwendig. Nicht jedes Formular muss umgestellt werden – B2B-Kontaktanfragen funktionieren auf anderer Rechtsgrundlage. Die Unterscheidung zwischen Newsletter-Einwilligung und Vertragsdurchführung lohnt sich, bevor du alles pauschal auf Double Opt-in umstellst und Conversion-Raten einbrichst.

Tracking-Scripts ohne Consent-Abdeckung

ActiveCampaign Site Tracking setzt Cookies und protokolliert Seitenbesuche. Ohne einen Consent-Banner, der dieses Tracking explizit abdeckt, verstößt du gegen ePrivacy-Anforderungen. Das ist unabhängig von DSGVO-Konformität im engeren Sinne. Prüfe, ob dein Consent-Tool ActiveCampaign als Subprozessor in der richtigen Kategorie eingetragen hat.

Kontaktlisten ohne dokumentierte Verarbeitungsgrundlage

Importierte Kontakte aus Messe-Leads, Partneranfragen oder CRM-Exporten brauchen eine dokumentierte Verarbeitungsgrundlage. Fehlt sie, ist jede E-Mail an diese Kontakte rechtlich angreifbar. Ein einfaches Importprotokoll mit Datum, Quelle und angenommener Rechtsgrundlage reicht für die meisten Szenarien aus.

Keine Löschroutine für inaktive Kontakte

DSGVO Artikel 5 Absatz 1 Buchstabe e verlangt Datensparsamkeit. Kontakte, die seit Jahren nicht interagiert haben und für die kein Vertragszweck mehr besteht, dürfen nicht unbegrenzt gespeichert werden. ActiveCampaign bietet keine automatische Löschfunktion; eine eigene Automation ist Pflicht. Die einfachste Variante: ein jährlicher Export der inaktiven Kontakte in eine separate Liste, manuelle Prüfung, dann Löschung über ActiveCampaign → Kontakte → Massenaktion → Löschen.

Wann ActiveCampaign für DACH-Unternehmen nicht die richtige Wahl ist

Wenn dein Datenschutzbeauftragter US-Datenverarbeitung grundsätzlich ausschließt – zum Beispiel bei Mandanten aus dem öffentlichen Sektor oder bei Zertifizierungen, die spezifische Anforderungen an Subprozessoren stellen –, ist ActiveCampaign auch mit der EU Data Cloud kein sicheres Terrain. Hier sind europäische Anbieter wie Brevo (Sitz in Frankreich) oder CleverReach (Deutschland) besser positioniert. Mit ihnen entfällt die US-Datentransfer-Frage vollständig.

Wenn dein Marketing-Team ausschließlich auf Deutsch arbeiten will und eine vollständig deutschsprachige Plattform erwartet, wird ActiveCampaign frustrieren. Die Oberfläche ist primär auf Englisch; Übersetzungen existieren für Teile der Benutzeroberfläche, aber nicht durchgehend. Das ist kein Deal-Breaker für Teams, die mit Software-Englisch vertraut sind, aber ein realistisches Hindernis für Teams ohne diese Erfahrung.

Wenn dein Kontaktvolumen unter etwa 500 liegt und du keine komplexeren Automatisierungen planst, ist ActiveCampaign preislich überdimensioniert. Für diesen Einstieg gibt es leichter zu bedienende und günstigere Alternativen.

Das heißt nicht, dass ActiveCampaign für DACH-Unternehmen die falsche Wahl ist – für wachstumsorientierte Unternehmen mit echtem Automatisierungsbedarf ist es eines der leistungsfähigsten verfügbaren Werkzeuge. Aber die Entscheidung sollte auf diesen Parametern basieren, nicht auf der Erwartung, dass ein europäischer Hub rechtliche Compliance automatisch liefert.

Häufige Fragen

Speichert ActiveCampaign meine Kundendaten in Europa?

Standardmäßig werden Daten auf US-Servern gespeichert; der Datentransfer ist über das EU-U.S. Data Privacy Framework rechtlich abgedeckt. Wer EU-primäre Speicherung benötigt, kann im Enterprise-Tarif die EU Data Cloud beantragen – das ist keine Standardeinstellung, sondern muss aktiv konfiguriert werden. Für die meisten DACH-Unternehmen reicht der DPF-Rahmen in Verbindung mit einem abgeschlossenen AVV aus.

Brauche ich als deutsches Unternehmen weiterhin einen AVV mit ActiveCampaign?

Ja. Das EU-U.S. Data Privacy Framework ersetzt nicht den Auftragsverarbeitungsvertrag nach DSGVO Artikel 28. Das DPF regelt den rechtlichen Rahmen für den Datentransfer in die USA; der AVV regelt, wie ActiveCampaign als Auftragsverarbeiter mit deinen spezifischen Daten umgeht. Beides ist getrennt und muss separat abgeschlossen werden. Den AVV findest du unter activecampaign.com/legal/dpa.

Was ist der Unterschied zwischen DPF-Zertifizierung und EU Data Cloud?

Das DPF ist ein rechtlicher Rahmen: Es ist ein Angemessenheitsbeschluss der EU-Kommission, der für zertifizierte US-Anbieter den Datentransfer EU → USA ohne separate SCCs erlaubt. Die EU Data Cloud ist ein technisches Feature: Es verlagert den primären Speicherort der Daten in die EU. Ersteres ist die rechtliche Grundlage des Transfers; Letzteres ist die physische Infrastrukturentscheidung. Beide können kombiniert werden, sind aber unabhängig voneinander nutzbar.

Zählt die DPF-Zertifizierung auch für die Schweiz?

Ja. ActiveCampaign ist zusätzlich nach dem Swiss-U.S. Data Privacy Framework zertifiziert, das ebenfalls gilt. Schweizer Unternehmen können Daten auf dieser Grundlage an ActiveCampaign übertragen, ohne separate SCCs abzuschließen. Der AVV ist auch für Schweizer Unternehmen Pflicht – der DPF regelt den Transfer, nicht die Auftragsverarbeitungsbeziehung.

Die Europa-Expansion von ActiveCampaign ist kein Schalter, der Compliance automatisch herstellt. Sie ist ein Signal, dass der Anbieter europäische Anforderungen ernst nimmt und in die entsprechende technische und personelle Infrastruktur investiert. Die wichtigste Aufgabe für DACH-Unternehmen ist nicht, auf neue Features zu warten, sondern das bestehende Setup sauber aufzustellen: AVV abgeschlossen, Double Opt-in aktiv, Tracking-Consent dokumentiert, Löschroutine gebaut. Wer das hat, kann die Automations-Möglichkeiten von ActiveCampaign im DACH-Kontext vollständig ausschöpfen – und wer dabei Unterstützung sucht, findet bei Advertal als ActiveCampaign-Partner genau diesen Aufbau.