Recht

DSGVO und Community-Plattformen: die nüchterne Einordnung

Kurz gesagt

Fast alle Community-Plattformen sind US-Anbieter — was das datenschutzrechtlich bedeutet, was die DSGVO von dir als Betreiber verlangt und welche Prüfschritte vor der Buchung stehen. Bewusst ohne Plattform-Links und ohne pauschale Ja/Nein-Urteile.

Das Grundproblem in einem Absatz

Fast alle großen Community-Plattformen — Skool, Circle, Mighty Networks, Heartbeat, Podia, Bettermode, auch Discord — sind US-Anbieter. Wer als Community-Betreiber personenbezogene Daten seiner Mitglieder (Namen, E-Mail-Adressen, Beiträge, Zahlungsinformationen) dort verarbeiten lässt, überträgt Daten in ein Drittland im Sinne der DSGVO — und ist dafür als Verantwortlicher selbst in der Pflicht, nicht die Plattform.

Was die DSGVO konkret verlangt

Auftragsverarbeitungsvertrag (Art. 28 DSGVO): Die Plattform verarbeitet Mitgliederdaten in deinem Auftrag — dafür braucht es einen AVV (englisch: Data Processing Agreement, DPA). Prüfe vor der Buchung, ob der Anbieter einen bereitstellt; bei US-SaaS-Anbietern ist das üblicherweise Teil der Vertragsdokumente.
Rechtsgrundlage für den Drittlandtransfer (Kapitel V DSGVO): Für Übermittlungen in die USA kommt seit Juli 2023 der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (DPF) in Betracht — er gilt aber nur für US-Unternehmen, die sich dort zertifiziert haben. Ob dein Anbieter dabei ist, zeigt die offizielle DPF-Liste (Quelle unten). Ist er es nicht, braucht es Standardvertragsklauseln samt Transfer-Folgenabschätzung.
Informationspflichten (Art. 13 DSGVO): Deine Mitglieder müssen in deiner Datenschutzerklärung erfahren, welche Plattform ihre Daten verarbeitet und wo.
Datenminimierung: Erhebe im Onboarding nur, was die Community wirklich braucht — jedes Pflichtfeld mehr ist ein Pflichtfeld, das du rechtfertigen musst.

Die praktische Checkliste vor der Plattform-Buchung

Stellt der Anbieter einen AVV/DPA zum Abschluss bereit?
Ist der Anbieter in der DPF-Liste zertifiziert — oder bietet er Standardvertragsklauseln an?
Lässt sich das Onboarding datensparsam konfigurieren (wenige Pflichtfelder)?
Hast du die Plattform in deiner Datenschutzerklärung benannt?
Bei Zahlungsabwicklung über die Plattform: Wer ist Vertragspartner der Mitglieder, und wessen Datenschutzhinweise gelten im Checkout?

Gibt es den EU-Weg?

Wer den Drittlandtransfer ganz vermeiden will, hat es im Community-Bereich schwer: Der Markt der Community-first-Plattformen ist amerikanisch. Realistische Annäherungen sind deutsche Suiten mit Community-Baustein wie EASY2 oder selbst gehostete Lösungen — beides mit deutlichen Abstrichen beim Funktionsumfang. Die Übersicht: deutsche Community-Plattformen.

Häufige Fragen

Ist Skool DSGVO-konform?

Pauschal lässt sich das nicht beantworten: Skool ist ein US-Anbieter, entscheidend sind AVV, der aktuelle DPF-Zertifizierungsstatus und dein konkreter Einsatz. Prüfe beides über die offiziellen Quellen (DPF-Liste, Vertragsdokumente des Anbieters) — und dokumentiere die Prüfung.

Brauche ich einen AVV mit meiner Community-Plattform?

Ja — die Plattform verarbeitet personenbezogene Daten deiner Mitglieder in deinem Auftrag, das ist der Lehrbuchfall von Art. 28 DSGVO. Seriöse SaaS-Anbieter stellen den AVV/DPA als Teil ihrer Vertragsdokumente bereit.

Was ist das EU-US Data Privacy Framework?

Ein Angemessenheitsbeschluss der EU-Kommission von Juli 2023: Datenübermittlungen an US-Unternehmen, die sich unter dem DPF zertifiziert haben, gelten als angemessen geschützt. Die Zertifizierung ist je Unternehmen — ob dein Anbieter dabei ist, zeigt die offizielle Liste unter dataprivacyframework.gov.

Muss ich meine Mitglieder über die Plattform informieren?

Ja, nach Art. 13 DSGVO gehört in deine Datenschutzerklärung, welche Plattform die Daten verarbeitet, auf welcher Rechtsgrundlage und wohin Daten übermittelt werden — einschließlich des Drittlandtransfers, falls der Anbieter in den USA sitzt.

Quellen

Verordnung (EU) 2016/679 (DSGVO) — konsolidierte Fassung — EUR-Lex; insbesondere Art. 13, 28 und Kapitel V
EU-US Data Privacy Framework — offizielle Teilnehmerliste — Zertifizierungsstatus je US-Unternehmen prüfen
Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (10.07.2023) — EUR-Lex

Belege sind die offiziellen Preisseiten der Anbieter (als Nennung mit Abrufdatum) sowie Gesetze und Behörden; andere Vergleichs- oder Ratgeberseiten zitieren wir nicht. Zuletzt geprüft: August 2026. Angaben ohne Gewähr.