Ist ClickUp DSGVO-konform? Was deutsche Unternehmen prüfen müssen

ClickUp lässt sich datenschutzkonform einsetzen, aber nicht im Auslieferungszustand. Der Anbieter liefert die vertraglichen und technischen Bausteine mit. Ob der Einsatz am Ende der DSGVO entspricht, entscheiden jedoch Festlegungen, die niemand außer Ihnen treffen kann. Dieser Beitrag nennt die vier Punkte, die Sie klären müssen, und die Stellen, an denen ClickUp unterhalb des Enterprise-Tarifs an Grenzen stößt.

Was ClickUp von sich aus mitbringt

Die vertragliche Grundlage besteht bereits, ohne dass Sie etwas unterschreiben müssen. ClickUp bindet sein Data Protection Addendum automatisch in die Nutzungsbedingungen ein. Vertragspartner ist Mango Technologies, Inc. mit Sitz in San Diego, Kalifornien, die Firma hinter der Marke ClickUp. Eine unterzeichnete Fassung für Ihre Unterlagen bekommen Sie auf Anfrage über den Support.

Weiter stellt ClickUp bereit:

• Standardvertragsklauseln in der Fassung von 2021 für Übermittlungen aus dem EWR, ergänzt um das UK International Data Transfer Addendum.
• Eine veröffentlichte Liste der Unterauftragnehmer mit Benachrichtigung bei Änderungen. Sie können neuen Unterauftragnehmern innerhalb von zehn Werktagen widersprechen. Einziges Rechtsmittel bei fehlender Einigung ist die Kündigung.
• Zertifizierungen: SOC 1 Typ 2, SOC 2 Typ 2 und SOC 3, dazu ISO 27001:2022, ISO 27017:2015, ISO 27018:2019 und ISO 27701:2019. Für KI-Managementsysteme zusätzlich ISO 42001.
• Verschlüsselung mit AES-256 im Ruhezustand und TLS 1.2 bei der Übertragung.

Das ist ein solides Fundament und deutlich mehr, als viele kleinere Anbieter vorweisen. ISO 27701 ist dabei besonders relevant, weil dieser Standard ausdrücklich Datenschutzmanagement abdeckt und nicht nur Informationssicherheit.

Wo die tatsächlichen Grenzen liegen

Drei Punkte werden in der Praxis regelmäßig übersehen und sind für die Bewertung wichtiger als jedes Zertifikat.

Der Speicherort ist unterhalb von Enterprise nicht wählbar

ClickUp hostet auf Amazon Web Services. Eine Wahl der Region, für Europa ist das Irland, bietet ClickUp nach eigenen Angaben nur im Enterprise-Tarif an. In den Tarifen Unlimited und Business, also genau dort, wo der Mittelstand einkauft, bestimmen Sie den Speicherort nicht.

Das Data Protection Addendum formuliert das deutlich: ClickUp darf personenbezogene Daten überall dort speichern und verarbeiten, wo das Unternehmen oder seine Unterauftragnehmer Rechenzentren betreiben. Wenn Ihre interne Richtlinie eine Verarbeitung ausschließlich in der EU verlangt, ist das unterhalb von Enterprise nicht darstellbar.

Das Data Privacy Framework taucht im Vertrag nicht auf

Für Übermittlungen in die USA nennt das Data Protection Addendum die Standardvertragsklauseln, nicht das EU-US Data Privacy Framework. Beides sind zulässige Grundlagen, aber sie sind nicht gleichwertig zu dokumentieren:

• Bei einer DPF-Zertifizierung reicht der Nachweis, dass der Empfänger auf der Liste steht.
• Bei Standardvertragsklauseln müssen Sie zusätzlich eine Übermittlungsfolgenabschätzung durchführen und dokumentieren, das sogenannte Transfer Impact Assessment.

Prüfen Sie deshalb vor der Einführung, was Ihre eigene Datenschutzdokumentation voraussetzt. Wenn dort eine DPF-Zertifizierung als Bedingung steht, müssen Sie entweder die Dokumentation anpassen oder eine Übermittlungsfolgenabschätzung ergänzen.

KI-Funktionen verlassen die gewählte Region

Sobald eine Funktion einen Unterauftragnehmer nutzt, und das gilt für ClickUp Brain, findet die Verarbeitung außerhalb der gewählten Hosting-Region statt. Eine gewählte EU-Region schützt die KI-Verarbeitung also nicht.

Praktisch heißt das: Wer Brain einsetzt, sollte gesondert regeln, welche Inhalte darüber verarbeitet werden dürfen, und das im Verzeichnis von Verarbeitungstätigkeiten getrennt führen. Mehr zu den KI-Funktionen und ihrer sinnvollen Eingrenzung steht auf der Seite zur KI-Automatisierung in ClickUp.

Was Sie selbst festlegen müssen

Konform wird der Einsatz nicht durch den Anbieter, sondern durch vier eigene Festlegungen. Diese vier Punkte bearbeiten wir in jeder Einführung mit, und sie sind der Teil, den kein Zertifikat abnimmt.

1. Verzeichnis von Verarbeitungstätigkeiten. ClickUp gehört als eigener Eintrag hinein, mit Zweck, Datenkategorien, Empfängern, Übermittlungsgrundlage und Löschfristen. Wer Brain nutzt, führt die KI-Verarbeitung als getrennten Eintrag.
2. Berechtigungskonzept. Die häufigste Schwachstelle in gewachsenen Workspaces. Wenn alle alles sehen, ist der Grundsatz der Datenminimierung praktisch nicht einzuhalten. Wie sich das mit wachsenden Teams strukturieren lässt, ist ein eigenes Thema in unseren Admin-Schulungen.
3. Löschregeln. ClickUp löscht nichts von selbst. Abgeschlossene Projekte mit personenbezogenen Daten bleiben unbegrenzt liegen, wenn niemand einen Rhythmus festlegt. Das ist der Punkt, an dem Prüfungen am häufigsten hängen bleiben.
4. Datenklassen, die draußen bleiben. Legen Sie ausdrücklich fest, was nicht in ClickUp gehört. Wir empfehlen, besondere Kategorien nach Art. 9 DSGVO, also etwa Gesundheitsdaten und Bewerbungsunterlagen, grundsätzlich im führenden Fachsystem zu lassen und in ClickUp nur zu referenzieren. Das senkt den Prüfaufwand erheblich.

Wann ist ClickUp für Sie darstellbar?

Die folgenden Regeln decken die üblichen Ausgangslagen ab:

• Wenn Sie Projektsteuerung, interne Abläufe und Aufgaben verwalten und personenbezogene Daten auf Ansprechpartner und Mitarbeitende begrenzen, dann ist ClickUp mit den vier Festlegungen oben gut darstellbar.
• Wenn Ihre Richtlinie eine ausschließliche Verarbeitung in der EU verlangt, dann brauchen Sie den Enterprise-Tarif, und auch der deckt die KI-Funktionen nicht ab.
• Wenn Sie regelmäßig besondere Kategorien nach Art. 9 DSGVO verarbeiten wollen, dann gehört dieser Prozess nicht in ClickUp, sondern in ein Fachsystem.
• Wenn Sie im öffentlichen Sektor oder in einem regulierten Umfeld arbeiten, dann klären Sie die Übermittlung in die USA vor der Auswahl, nicht danach. Diese Frage entscheidet die Toolauswahl, nicht die Konfiguration.

Was bei einer Prüfung tatsächlich gefragt wird

Nach unserer Erfahrung aus Einführungsprojekten sind es fast immer dieselben vier Fragen: Liegt ein Auftragsverarbeitungsvertrag vor? Auf welcher Grundlage werden Daten in die USA übermittelt? Wer hat Zugriff worauf? Und wann werden Daten gelöscht?

Die ersten beiden beantwortet ClickUp. Die letzten beiden beantworten Sie, und genau daran scheitern Prüfungen. Ein sauber dokumentiertes Berechtigungskonzept und schriftliche Löschregeln sind in der Praxis wertvoller als jedes weitere Zertifikat des Anbieters.

Zusammengefasst

ClickUp bringt Auftragsverarbeitungsvertrag, Standardvertragsklauseln, Unterauftragnehmerliste und ein breites Zertifizierungsprofil mit. Die Grenzen liegen beim Speicherort unterhalb des Enterprise-Tarifs, beim fehlenden Bezug auf das Data Privacy Framework und bei KI-Funktionen, die die gewählte Region verlassen. Der entscheidende Teil bleibt bei Ihnen: Verzeichnis, Berechtigungen, Löschregeln und die Entscheidung, welche Daten gar nicht erst hinein sollen.

Wenn Sie diese vier Punkte vor der Einführung klären statt danach, ist ClickUp für den typischen mittelständischen Einsatz gut darstellbar. Wir bringen sie in jeder ClickUp Implementierung mit ein und dokumentieren die Festlegungen so, dass Sie sie einer Prüfung vorlegen können. Welches Werkzeug überhaupt zu Ihrer Ausgangslage passt, klärt der Beitrag zum Vergleich von ClickUp, Monday und Asana.