Bildgenerierung
Canva Business
Canva Pty Ltd · Multimodal
Bewertet: Canva Business, kostenpflichtiger Team-/Organisations-Tarif (früherer Canva Teams, umbenannt 2025)
Zuletzt geprüft: 2026-07-03 · Aktuell
Mit KI-Unterstützung erstellt
Verfügbare Tarife
Kostenloser Einzelnutzer-Tarif mit Basisfunktionen; Self-Signup ohne Kreditkarte. Kein DPA; Inhalte können für KI-Training genutzt werden (opt-out möglich).
Erweiterte Einzelnutzer-Version mit zusätzlichen Templates und KI-Funktionen. Kein DPA; eigener Eintrag erforderlich.
Team-/Organisations-Tarif (früherer "Canva Teams", umbenannt 2025). Enthält Brand Controls, zentrale Team-Verwaltung und Magic Studio. DPA automatisch eingebunden. Bewerteter Tarif dieses Eintrags.
Individualvertrag für größere Teams; SSO, erweiterte Security, Datenresidenz und Audit Logs als Standard. Eigener Bewertungsscope erforderlich.
4 Kernfragen
Training mit Nutzungsdaten
Nur Consumer-Tarif (Enterprise ausgenommen)
Selbst prüfen
Für Canva Business gilt laut AI Product Terms (Stand November 2025): "Teams, Business, Enterprise, and Education accounts have content NEVER used for AI training by default and cannot be opted in." Business-Inhalte sind damit strukturell vom KI-Training ausgeschlossen; eine Opt-in-Möglichkeit existiert nicht. Die Privacy Policy behält sich allgemein ein Training-Recht vor, das durch die AI Product Terms für Business-Konten verdrängt wird. Belegvorbehalt: Der Wortlaut wurde über die Sekundärquelle terms.law bestätigt, die die AI Product Terms vom 28.11.2025 explizit zitiert. Direktverifizierung der Primärseite steht aus (siehe unresolvedQuestions); beim nächsten Review ist die Seite prioritär zu prüfen. [Quelle: https://www.canva.com/policies/ai-product-terms/ (via terms.law); https://www.canva.com/policies/privacy-policy/]
Speicherung ausschließlich EU
Nein
Die Privacy Policy von Canva (direkt abgerufen) benennt explizit folgende Speicherregionen: USA, Australien, Singapur, Europäische Union, Vereinigtes Königreich, Philippinen und Neuseeland sowie weitere Standorte von Subunternehmen. Für den Business-Tarif besteht keine Möglichkeit, die Speicherung auf die EU zu beschränken; diese Option ist ausschließlich dem Enterprise-Tarif vorbehalten. [Quelle: https://www.canva.com/policies/privacy-policy/]
Aufbewahrung & Löschung
Unbefristet gespeichert
Für Canva Business ist während der laufenden Nutzung keine Aufbewahrungsfrist für Designinhalte und Nutzereingaben dokumentiert; die öffentlich zugänglichen Quellen schweigen dazu. Die Privacy Policy nennt für Account-Kündigungen nur "commercially reasonable time" ohne exakte Frist. Das DPA sieht für Customer Personal Data einen automatisierten Löschprozess innerhalb von 28 Tagen auf Anfrage sowie eine Vernichtung nach Vertragsende vor, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Diese 28-Tage-Frist ist eine Post-Termination- bzw. On-Request-Frist, keine Aufbewahrungsfrist für die laufende Nutzung. Da für die aktive Nutzung keine dokumentierte Löschfrist vorliegt, wird die vorsichtigere Einstufung "retained" gewählt. [Quelle: https://www.canva.com/policies/data-processing-addendum/; https://www.canva.com/policies/privacy-policy/]
Drittlandtransfer-Grundlage
Standardvertragsklauseln
Für Canva Business gilt die schwächste belegte Transfergrundlage: Standardvertragsklauseln (SCC). Hintergrund: Canva Pty Ltd (Australien) ist der DSGVO-Verantwortliche; für Australien besteht kein EU-Angemessenheitsbeschluss. Canva Pty Ltd ist nicht im EU-US Data Privacy Framework (DPF) zertifiziert. Die US-Tochter Canva US, Inc. ist DPF-zertifiziert (DPF-Register-Eintrag Nr. 4364), was US-Transfers über diese Gesellschaft absichert; das Hauptrechtsverhältnis läuft jedoch über die australische Mutter. Das DPA für Business-Kunden enthält SCCs als Transfergrundlage ("Standard Contractual Clauses (SCCs) are incorporated by reference and form an integral part of the Addendum", aus dem DPA). Die Privacy Policy verweist zusätzlich auf EU Model Clauses für Drittländer-Transfers. Zusammenfassend: DPF gilt für Canva US, Inc. (US-Transfers); SCCs sichern Transfers an Canva Pty Ltd und andere nicht-DPF-zertifizierte Empfänger. Als schwächste belegte Transfergrundlage ergibt sich: scc. [Quelle: https://www.canva.com/policies/data-processing-addendum/; https://www.canva.com/policies/privacy-policy/; https://www.dataprivacyframework.gov/participant/4364]
Quick-Facts
Überblick
Kurzbeschreibung
Canva Business ist der kostenpflichtige Team-Tarif von Canva Pty Ltd und richtet sich an kleine bis mittelgroße Organisationen. Er umfasst Magic Studio (Magic Write, Magic Media, Magic Design, Dream Lab u. a.) für Text-, Bild- und Video-Generierung sowie Brand Controls und zentrale Team-Verwaltung. Canva Pty Ltd mit Sitz in Sydney, Australien, ist gemäß Privacy Policy der DSGVO-Verantwortliche.
Verdichtetes Urteil
Canva Business bietet generative KI-Funktionen (Text, Bild, Video) in einem Team-Tarif mit zentraler Admin-Verwaltung. Für den Business-Tarif ist ein DPA automatisch eingebunden; Business-Inhalte sind laut AI Product Terms strukturell vom KI-Training ausgeschlossen. Datentransfers in Drittländer stützen sich auf Standardvertragsklauseln (SCC), da Canva Pty Ltd als Hauptrechtsträger nicht DPF-zertifiziert ist und für Australien kein EU-Angemessenheitsbeschluss besteht. Organisationen sollten den Einsatz auf die Verarbeitung vertraulicher Daten prüfen: Brand Controls konfigurieren, Mitarbeiter zu Sharing-Einstellungen anweisen und die Subprozessorkette (u. a. OpenAI, Google, Black Forest Labs) in die Risikobeurteilung einbeziehen.
Funktionsbeschreibung
Canva Business stellt sämtliche Funktionen des Magic-Studio-Pakets bereit. Magic Write generiert Texte auf Basis von Eingaben (Prompts); Magic Media und Dream Lab erzeugen Bilder und Videos aus Textbeschreibungen; Magic Design erstellt Layouts. Die KI-Kette setzt auf Dritt-Modelle: OpenAI (Sprachmodelle), Google LLC (KI-Dienste), Black Forest Labs/FLUX und Leonardo.AI (Bildgenerierung) sowie Canva Austria GmbH (Foto-/Video-KI). Eingaben (Freitext-Prompts, hochgeladene Bilder, Dokumente) werden an diese Subprozessoren weitergeleitet.
Im Business-Tarif kommen Brand Controls hinzu: Administratoren können Vorlagen sperren, Farbpaletten vorgeben und Sharing-Berechtigungen einschränken. Designs sind standardmäßig privat; Nutzer können sie gezielt freigeben oder veröffentlichen. Die zentrale Team-Verwaltung erlaubt Rollen- und Rechtevergabe.
Canva speichert Daten in den USA, Australien, Singapur, der EU, dem Vereinigten Königreich, den Philippinen und Neuseeland sowie bei weiteren Dienstleistern. Datenresidenz ist nur im Enterprise-Tarif vertraglich festlegbar.
Funktionen
- Magic Write: KI-gestützte Textgenerierung und -bearbeitung
- Magic Media / Dream Lab: Text-zu-Bild- und Text-zu-Video-Generierung
- Magic Design: automatisches Layout aus Eingabedaten
- Brand Controls: Admin-seitige Einschränkung von Vorlagen, Farben und Sharing
- Zentrale Team-Verwaltung mit Rollen- und Rechtevergabe
- Geteilte Team-Vorlagen und Markenidentität
- Audit Logs (Beta, nur für ausgewählte Business-Kunden)
Einsatzszenarien
- Marketing-Teams erstellen Kampagnenmaterial und Social-Media-Grafiken mit KI-gestützten Design-Tools.
- Interne Kommunikation: Mitarbeiter gestalten Präsentationen und Berichte ohne externe Agentur.
- Brand Management: Administratoren sichern Markenkonformität durch Brand Controls und gesperrte Vorlagen.
- Generierung von Bild- und Videomaterial für Produkt- oder HR-Kommunikation per Textprompt.
Zielgruppen
- KMU und mittelgroße Unternehmen
- Marketing- und Kommunikationsteams
- HR- und interne Kommunikationsabteilungen
- Kreativteams ohne eigene Designabteilung
Typische Nutzung
- Design-Erstellung
- Bildgenerierung
- Textgenerierung
- Videogenerierung
- Team-Kollaboration
- Brand Management
Preismodell
Subscription-Modell, pro Nutzer und Monat; kein Seat-Minimum. Aktuelle Preise auf https://www.canva.com/pricing/ (Stand lastReviewed). Verfügbare Tarife: Free (kostenlos), Pro (Einzelperson), Business (Team), Enterprise (Individualvertrag).
Datenschutz (DSGVO)
Verarbeitete Daten
- Freitext-Prompts für Textgenerierung (Magic Write)
- Hochgeladene Bilder und Grafiken für Design-Bearbeitung und Bildgenerierung
- Hochgeladene Dokumente und PDFs (Quelle für Magic Write / Textbearbeitung)
- Textbeschreibungen für Video- und Bildgenerierung (Magic Media, Dream Lab)
- Team-Metadaten (Nutzerkonten, Rollen, Zugriffsrechte)
- Brand-Assets (Logos, Farbpaletten, Vorlagen)
Datenschutzrechtliche Einordnung
Canva Pty Ltd (Australien) agiert als DSGVO-Verantwortlicher (Privacy Policy, direkt abgerufen). Im Business-Tarif fungiert Canva als Auftragsverarbeiter für Customer Data gemäß DPA, das automatisch in den Vertrag eingebunden ist. Die Verarbeitung betrifft Nutzereingaben, hochgeladene Medien und Design-Inhalte, die an KI-Subprozessoren weitergeleitet werden.
Drittlandtransfers: Hauptrechtsverhältnis über Canva Pty Ltd (Australien, kein EU-Angemessenheitsbeschluss). SCCs im DPA verankert; DPF gilt nur für Canva US, Inc. (US-Subprozessor). Datenresidenz-Garantien bestehen nicht für Business; Speicherorte umfassen USA, Australien, EU, UK, APAC.
Training: Business-Inhalte strukturell vom KI-Training ausgeschlossen (AI Product Terms), Primärquelle direkt nicht verifizierbar.
Besonderheit: Kein SSO für Business. Audit Logs nur in Beta. Die Subprozessorkette (insb. OpenAI, Google) bedingt eine Weitergabe von Nutzerdaten in die USA auf SCC-Basis.
Art. 5 DSGVO (Grundsätze)
Zweckbindung (Art. 5 Abs. 1 lit. b): Das DPA beschränkt die Verarbeitung von Customer Data auf den vereinbarten Zweck (Bereitstellung des Dienstes). Business-Inhalte werden laut AI Product Terms nicht für KI-Training verwendet, ein Zweck, der über die Dienstleistung hinausginge. Nicht abschließend prüfbar, ob alle KI-Subprozessoren dieselbe Zweckbindung einhalten.
Datenminimierung (Art. 5 Abs. 1 lit. c): Die Plattform verarbeitet nur die vom Nutzer eingegebenen oder hochgeladenen Daten. Admins können Brand Controls konfigurieren, um den Umfang geteilter Inhalte zu begrenzen. Keine automatische Erfassung über den Dienstzweck hinaus belegt.
Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f): TLS 1.2+ im Transport, AES-256 at Rest (Security-Seite). ISO 27001 und SOC 2 Type II als organisatorische Nachweise. Zugriffskontrolle im Business-Tarif ohne SSO; Audit Logs nur im Beta-Stadium. Daraus ergeben sich Nachweis-Lücken.
Speicherbegrenzung (Art. 5 Abs. 1 lit. e): 28-Tage-Löschprozess aus DPA nach Vertragsende bzw. auf Anfrage; für die laufende Nutzung keine dokumentierte Frist. Lücke: Privacy Policy nennt nur "commercially reasonable time".
Art. 6 DSGVO (Rechtsgrundlagen)
Vertragserfüllung (Art. 6 Abs. 1 lit. b): Grundlage für Mitarbeiter-Accounts im Rahmen des Business-Vertrags (Arbeitgeber-Arbeitnehmer-Verhältnis). Gilt für interne Nutzung durch Beschäftigte.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Könnte als Rechtsgrundlage für interne Kommunikations- und Kreativprozesse herangezogen werden. Interessenabwägung ist organisationsseitig zu dokumentieren, insb. bei Eingaben, die Personenbezug haben.
Einwilligung (Art. 6 Abs. 1 lit. a): Nicht erforderlich für den typischen Betriebseinsatz. Wird relevant, wenn externe Personen (z. B. Kunden) über Canva-generierte Inhalte betroffen sind.
Auftragsverarbeitung (Art. 28): DPA ist für Business automatisch eingebunden. Subprozessoren gemäß Liste vom 11.02.2026 sind vertraglich eingebunden. Für Weitergabe an KI-Subprozessoren (OpenAI, Google, Black Forest Labs) gelten die im DPA enthaltenen SCCs. Organisations-seitig: Subprozessorliste regelmäßig prüfen; Canva benachrichtigt bei Änderungen.
Nachvollziehbarkeit
Reviewer
Edison Labs - AI-Dashboard Research