DSGVO-konforme Kursplattform: Vergleich nach Compliance-Kriterien

Von Alexander Kaminski · Stand: 2026-07-03 · Wie wir recherchieren & bewerten · Änderungsprotokoll

Alle 13 Anbieter im DSGVO-Überblick

Die folgende Tabelle fasst Hauptsitz und dokumentierten DSGVO/Hosting-Status jedes Anbieters zusammen. Die Kurzfassung in der letzten Spalte ist eine Zusammenfassung — die vollständige Formulierung inklusive Quellenlage steht in den Detailseiten der jeweiligen Anbieter und in der Quellenliste unten.

Status-Kategorien: "Ja" = Anbieter nennt konkretes DE/EU-Hosting mit belegbaren Hinweisen. "Teilweise" = Compliance-Bausteine (z. B. DPA, Zertifizierung) vorhanden, aber keine EU-only-Hosting-Zusage. "Behauptet, ungeklärt" = Aussage existiert, ließ sich in der Recherche aber nicht unabhängig technisch bestätigen. "Abhängig vom Hoster" = Software selbst neutral, Serverstandort hängt von der gewählten Installation ab. "Nein" = keine öffentliche EU-Hosting-Zusage gefunden.

US-gehostete Anbieter: das Drittstaaten-Problem

Vier der 13 verglichenen Anbieter haben ihren Hauptsitz in den USA: Kajabi, Skool, Teachable und Circle. Für deutsche Nutzer, die personenbezogene Daten von Kursteilnehmern verarbeiten, bedeutet das strukturell ein Zusatzthema, das bei EU/DE-gehosteten Anbietern in dieser Form nicht entsteht: Werden Daten in einem Drittstaat gespeichert oder verarbeitet, braucht diese Übermittlung nach der DSGVO eine eigene Rechtsgrundlage — üblicherweise Standardvertragsklauseln der EU-Kommission — und seit dem Schrems-II-Urteil des EuGH zusätzlich eine Einzelfallprüfung, ob ergänzende Schutzmaßnahmen nötig sind. Das ist kein Werturteil über die Produkte selbst, sondern ein struktureller Unterschied in der Ausgangslage.

Was die vier US-Anbieter laut den recherchierten Quellen konkret angeben:

• Kajabi (Newport Beach, USA): Keine öffentliche Aussage zu EU-Hosting auf kajabi.com/pricing gefunden. Deutsche Fachquellen benennen US-Server-Speicherung als DSGVO-Risiko für EU-Kunden.
• Skool (Los Angeles, USA): Keine öffentliche EU-Hosting-Zusage oder AVV für Community-Betreiber gefunden; deutsche Community-Diskussion bestätigt fehlendes DPA.
• Teachable (New York, USA (im Hotmart-Konzern)): GDPR-konform laut eigener Aussage (DPA vorhanden, SOC 2 Type II), aber Infrastruktur auf AWS ohne explizite EU-only-Hosting-Zusage.
• Circle (New York, USA): Eigene EU-Datenschutzerklärung nennt explizit Datenspeicherung in den USA über Standard Contractual Clauses — kein EU-Hosting-Angebot.

Diese vier Fälle sind nicht gleich zu bewerten. Teachable etwa dokumentiert öffentlich ein DPA und eine SOC 2 Type II-Zertifizierung — das sind reale, überprüfbare Compliance-Bausteine, die ein gewisses Sicherheitsniveau belegen. Was fehlt, ist eine explizite Zusage, dass die Infrastruktur ausschließlich in der EU läuft. Das ist ein Unterschied im Umfang der Zusage, keine Verurteilung des Anbieters. Circle dagegen benennt in der eigenen EU-Datenschutzerklärung explizit eine Datenspeicherung in den USA über Standardvertragsklauseln — hier ist die Ausgangslage transparent, aber ebenfalls ohne EU-Hosting-Option. Bei Kajabi und Skool wiederum wurde in der Recherche keine öffentliche Aussage zu EU-Hosting oder einem AVV für Kursanbieter gefunden — das ist zunächst eine Lücke in der öffentlich verfügbaren Dokumentation, kein Beleg dafür, dass es keinen AVV gibt. Wer eines dieser Tools ernsthaft erwägt, sollte AVV und Hosting-Details direkt beim Anbieter anfragen statt sich auf Sekundärquellen zu verlassen.

DE/EU-gehostete Anbieter im Vergleich

Auf der anderen Seite stehen Anbieter, die nach eigener oder recherchierter Angabe in Deutschland oder der EU hosten. Memberspot, LearningSuite, Coachy und Reteach geben laut den zitierten Quellen deutsches bzw. EU-Server-Hosting an. Bei Alfima und Flenski existieren entsprechende Behauptungen von Anbieter oder Reviewern, ohne dass sich das in der Recherche unabhängig technisch bestätigen ließ (etwa über ein Rechenzentrums-Zertifikat) — das ist als Lücke markiert, nicht als Widerlegung. Digimember nimmt eine Sonderstellung ein: Als selbst gehostetes WordPress-Plugin läuft die Software auf der eigenen Serverumgebung des Nutzers, wodurch die Frage des Drittstaaten-Transfers zum Anbieter selbst faktisch entfällt — dafür trägt der Nutzer die Verantwortung für die eigene Serverwahl. Moodle ist ähnlich gelagert: Die Software bringt DSGVO-Werkzeuge mit, der Serverstandort hängt aber von der gewählten Installationsart ab; MoodleCloud selbst nennt keinen garantierten EU-Rechenzentrumsstandort.

Wichtig für die Einordnung: DE/EU-Hosting allein ersetzt keine vollständige Compliance-Prüfung. Ein AVV, eine nachvollziehbare Auftragsverarbeitung und die Dokumentation von Sub-Prozessoren gehören unabhängig vom Serverstandort dazu. Der Serverstandort verändert aber, welche zusätzlichen rechtlichen Hürden (Drittstaaten-Transfer, Schrems-II-Prüfung) überhaupt entstehen.

Wie du das für deine Entscheidung nutzt

Wenn Datenschutz für dich oder deine Kunden ein entscheidendes Kriterium ist, lohnt sich eine strukturierte Prüfung statt einer reinen Marketing-Aussage: Gibt es ein AVV zum Download oder auf Anfrage? Nennt der Anbieter einen konkreten, überprüfbaren Rechenzentrumsstandort? Werden Sub-Prozessoren dokumentiert? Bei US-Anbietern zusätzlich: Auf welcher Rechtsgrundlage laufen Datentransfers, und gibt es über Standardvertragsklauseln hinaus zusätzliche technische Schutzmaßnahmen? Die einzelnen Vergleichsseiten zu jedem Anbieter (siehe Tabelle oben) verlinken die jeweiligen Primärquellen für die eigene Prüfung.

Weiterlesen

• Kursplattform-Vergleich: alle Anbieter im Überblick
• Beste Kursplattform: Kriterien und Einordnung
• Kursplattform für Coaches
• Lernplattform für Unternehmen
• LMS-Vergleich für Unternehmen
• Memberspot-Datenblatt mit Quellen
• Methodik: wie diese Seite recherchiert und aktuell gehalten wird