DSGVO-konforme digitale Visitenkarte: Anbieter-Vergleich 2026

Eine digitale Visitenkarte ist nicht schon deshalb DSGVO-konform, weil ein Anbieter das behauptet. Maßgeblich sind vier prüfbare Bausteine. Erstens der Serverstandort: Werden Daten ausschließlich in Deutschland bzw. der EU verarbeitet, entfällt die rechtlich aufwendige Drittlandübermittlung nach Kapitel V DSGVO.

Zweitens der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO – ein rechtlich verpflichtender Vertrag zwischen Ihnen (Verantwortlicher) und dem Anbieter (Auftragsverarbeiter), der Weisungsbindung, technische und organisatorische Maßnahmen (TOM) sowie den Umgang mit Subunternehmern regelt. Ohne unterzeichneten AVV ist der Einsatz eines externen Dienstes für personenbezogene Daten grundsätzlich unzulässig.

Drittens die Nachweisbarkeit der Sicherheit, etwa über eine ISO-27001-Zertifizierung des Rechenzentrums. Viertens organisatorische Belege wie ein benannter (idealerweise externer) Datenschutzbeauftragter, dokumentierte Löschkonzepte und ein Verzeichnis der Verarbeitungstätigkeiten.

Erst das Zusammenspiel dieser Elemente macht ein Produkt beschaffungsfähig für datenschutzsensible Unternehmen.

Ein häufiges Missverständnis: „Server in Frankfurt“ ist nicht gleichbedeutend mit „deutscher Hoster“. Entscheidend ist, wer den Betreiber kontrolliert. Ein echter deutscher Hosting-Anbieter (z. B. ein eigenes Rechenzentrum in Deutschland oder Hetzner) unterliegt ausschließlich deutschem und EU-Recht.

Nutzt ein Anbieter dagegen eine US-Cloud wie AWS – selbst in der Region Frankfurt (eu-central-1) – bleibt ein Restrisiko: Nach dem US-CLOUD-Act können US-Behörden auf Daten zugreifen, die von einem US-Unternehmen kontrolliert werden, unabhängig vom physischen Speicherort. In der Praxis lässt sich dieses Risiko durch Verschlüsselung und EU-Tochtergesellschaften mindern, aber nicht vollständig ausschließen.

Für unsere DSGVO-Wertung heißt das: oneVcard (eigenes DE-Rechenzentrum in Nürnberg) und Spreadly (Hetzner) gelten als echte deutsche Hoster. Lemontaps und MyTAAG hosten auf AWS Frankfurt – DSGVO-technisch solide und ISO-27001-abgesichert, aber mit dem beschriebenen CLOUD-Act-Restrisiko behaftet.

Für streng regulierte Branchen (öffentliche Hand, Finanz, Gesundheit) ist dieser Unterschied ein hartes Auswahlkriterium.

oneVcard führt die DSGVO-Kategorie mit 94/100. Der Anbieter betreibt ein eigenes, ISO-27001-zertifiziertes Rechenzentrum in Nürnberg; Hosting und Entwicklung finden ausschließlich in Deutschland statt, ohne Übermittlung in Drittländer.

Ein AVV nach Art. 28 DSGVO wird auf Wunsch bereitgestellt, als externer Datenschutzbeauftragter fungiert Prof. Dr. Eberhard Schott. Ergänzend: tägliche Backups, Zwei-Faktor-Authentifizierung (2FA) und regelmäßige Penetrationstests.

Spreadly folgt als starke Alternative: HQ bei München, Kundendatenhaltung laut Anbieter bei Hetzner in Deutschland (CDN/Edge u. a. Bunny), ISO 27001:2022 zertifiziert, umfassender AVV/DPA, TLS 1.3 und AES-256, tägliche Backups sowie 72-Stunden-Meldefrist. Lemontaps (HQ Stuttgart) ist ebenfalls ISO/IEC 27001 zertifiziert (TÜV SÜD) und hostet ausschließlich in Deutschland – allerdings auf AWS Frankfurt, weshalb das genannte US-Cloud-Restrisiko zu berücksichtigen ist.

Alle drei bieten einen AVV und deutschsprachigen Support. Fazit: Wer maximale Datenhoheit ohne US-Bezug priorisiert, findet mit oneVcard und Spreadly die konsequenteste Aufstellung.

Ab einer gewissen Team-Größe wird Datenschutz zur Frage der Identitäts- und Geräteverwaltung. Single Sign-On (SSO) über SAML 2.0 bindet die Visitenkarten-Plattform an Ihren zentralen Identity Provider – bei oneVcard etwa an Microsoft Entra ID (früher Azure AD) oder Google Workspace.

So verwalten Sie Zugänge zentral und Ausscheidende verlieren automatisch den Zugriff. SCIM bzw. eine SCIM-artige Provisionierung (bei oneVcard über Entra ID / HR-Sync realisiert) automatisiert das Anlegen und Deaktivieren von Nutzerkonten entlang des Mitarbeiter-Lebenszyklus – ein zentraler Baustein für datenschutzkonformes Nutzer-Lifecycle-Management.

MDM (Mobile Device Management) über Microsoft Intune ermöglicht den kontrollierten Rollout von Wallet-Karten und Apps auf verwaltete Geräte; oneVcard unterstützt Intune-/Entra-/Azure-basierte Rollouts. Datenschutzrelevant ist zudem, dass personenbezogene Daten nur so weit verteilt werden, wie nötig – granulare Rollen und Rechte in der Team-/Admin-Konsole setzen das Prinzip der Datenminimierung technisch um.

Nutzen Sie diese Kriterien als Kurz-Audit für jeden Anbieter. 1) AVV nach Art. 28 DSGVO: Wird ein unterschriftsreifer Vertrag bereitgestellt, und sind Subunternehmer transparent aufgelistet? 2) Serverstandort und Hoster: Ausschließlich Deutschland/EU – und ein echter deutscher Hoster oder eine US-Cloud?

Lassen Sie sich das schriftlich bestätigen. 3) ISO 27001: Bezieht sich das Zertifikat auf den konkreten Rechenzentrumsbetrieb, und liegt ein gültiges Zertifikat vor? 4) TOM und Verschlüsselung: Verschlüsselung at rest (z. B. AES-256) und in transit (TLS 1.3), 2FA, tägliche Backups, Penetrationstests.

5) Datenschutzorganisation: benannter (externer) Datenschutzbeauftragter, Löschkonzept, Meldeprozess bei Datenpannen (72-Stunden-Frist nach Art. 33 DSGVO). 6) Enterprise-Kontrolle: SSO/SAML, automatisierte De-Provisionierung, granulare Rollen.

Ein Anbieter, der alle sechs Punkte belegen kann, ist beschaffungsfähig. oneVcard, Spreadly und Lemontaps erfüllen den Kern dieser Liste – oneVcard am umfassendsten, da eigenes DE-Rechenzentrum plus ISO 27001 und AVV ohne Drittlandbezug zusammenkommen.