Zapier

Zapier ist eine visuelle Workflow-Automatisierungsplattform, die über einen browserbasierten Editor Abläufe zwischen Tausenden von Diensten verknüpft. Nutzer erstellen sogenannte Zaps: gerichtete Abfolgen aus einem Trigger (Auslöser-Ereignis in einer App) und einer oder mehreren Actions (Aktionen in anderen Apps). Typische Einsätze sind Datentransfers zwischen CRM, E-Mail, Kalender, Formularen, Datenbanken und Kommunikationsdiensten.

Im Professional-Tarif sind mehrstufige Zaps (Multi-Step), Premium-App-Integrationen, bedingte Logik (Paths) und bis zu 2.000 Tasks pro Monat verfügbar. SSO, Audit Logs und Custom Data Retention sind dem Team- bzw. Enterprise-Tarif vorbehalten.

Für KI-gestützte Workflows enthält Zapier die Funktion "AI by Zapier": Diese erlaubt es, KI-Schritte direkt in Zaps einzubinden. Im Hintergrund werden dabei externe Modelle genutzt, darunter OpenAI, Anthropic, Google Gemini, Azure OpenAI und Amazon Bedrock. Zapier betreibt keine eigenen Sprachmodelle. Zusätzlich bietet Zapier einen KI-Assistenten (Copilot), einen Chatbot-Builder und AI Canvas als separate Produkte mit ebenfalls extern bezogenen Modell-Backends. Wenn Nutzer einen eigenen API-Key eines Modellanbieters einbinden, gilt das Datenregime des jeweiligen Anbieters, nicht das Zapier-Subprozessor-Regime.

Im typischen Einsatz verarbeitet Zapier die Inhalte der verbundenen Anwendungen: Freitexte (E-Mails, Formulareingaben, Nachrichten), strukturierte Daten (CRM-Felder, Datenbankeinträge), Dateien und Anhänge sowie die in KI-Schritten übergebenen Prompts und Modellantworten. Die Zap-History (Ausführungsprotokoll mit Input- und Output-Daten) wird standardmäßig 29 bis 69 Tage vorgehalten.

Zapier, Inc. agiert beim Betrieb der Zapier-Plattform als Auftragsverarbeiter gegenüber den Nutzern (Verantwortliche). Das DPA ist öffentlich zugänglich und steht allen Kunden zur Verfügung (kein Enterprise-Gate). Der Eintrag bewertet den Professional-Tarif des Cloud-Dienstes (operatingModel: cloud-saas). Für self-hosted Installationen, sofern von Zapier angeboten, würde ein anderes Datenschutzregime gelten; dies ist bei Zapier nicht der Fall (reine Cloud-SaaS).

Datenarten: Als generische Automatisierungsplattform kann Zapier grundsätzlich alle Datenkategorien verarbeiten, die Nutzer in ihre Zaps einschleusen, einschließlich besonderer Kategorien nach Art. 9 DSGVO. Die datenschutzrechtliche Einordnung hängt vom konkreten Einsatzfall ab.

Speicherort: AWS US-East-1 ist der dokumentierte Primärspeicherort für alle Tarife einschließlich Professional. Eine EU-Datenspeicheroption ist für den Professional-Tarif nicht verfügbar; dataStorageEuOnly=no und dataResidencyGuaranteed=no bilden den belegten Ist-Zustand ab.

Drittlandtransfer: Als US-Anbieter findet ein Drittlandtransfer statt. Zapier ist aktiver DPF-Teilnehmer (Participant-ID 4425); SCCs sind zusätzlich im DPA als Fallback verankert. Die DPA-PDF (ältere Version) enthält noch das 2010er SCC-Modell; das 2026-Update dürfte das 2021er SCC-Modul enthalten, konnte jedoch nicht im Volltext geprüft werden.

KI-Subprozessoren: Für "AI by Zapier" sind externe Modell-Anbieter (OpenAI, Anthropic, Google, Azure OpenAI, Amazon Bedrock) als Subprozessoren eingesetzt. Diese dürfen laut Subprozessor-Seite keine Kundendaten zum Training nutzen. Bei Nutzung eigener API-Keys durch den Nutzer entsteht eine direkte Beziehung zum Modell-Anbieter; Zapier ist in dieser Konstellation nicht Auftragsverarbeiter für die Modell-Verarbeitung.

Zweckbindung (Art. 5 Abs. 1 lit. b): Zapier verarbeitet Nutzerdaten für die Vertragserfüllung (Betrieb der Plattform). Zusätzlich findet standardmäßig eine Nutzung für "data training" statt, aus der sich Professional-Nutzer per Formular abmelden können. Was Zapier konkret unter "data training" subsumiert (eigene Modelloptimierung, Plattformverbesserung, Weitergabe an KI-Subprozessoren), ist nicht vollständig abgegrenzt. Die KI-Subprozessoren-Beschränkung ("Customer Content will not be used by artificial intelligence subprocessors for modeling purposes") ist klar; die Eigennutzung durch Zapier selbst ist weniger transparent. Quelle: Data Privacy Overview, Subprozessoren

Datenminimierung (Art. 5 Abs. 1 lit. c): Als generische Automatisierungsplattform verarbeitet Zapier genau die Daten, die Nutzer in Zaps einschleusen. Datenminimierung liegt in der Verantwortung der Nutzer-Workflows; Zapier selbst erhebt keine zusätzlichen Nutzerdaten über das für den Plattformbetrieb Notwendige hinaus (soweit dokumentiert).

Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f): Verschlüsselung at rest (AES-256) und in transit (TLS 1.2+) sind belegt. Mandantentrennung auf Konto-Ebene ist dokumentiert. SOC 2 Type II als unabhängiges Testat vorhanden. Quelle: Zapier Security-Seite

Speicherbegrenzung (Art. 5 Abs. 1 lit. e): Zap-History wird standardmäßig 29-69 Tage vorgehalten, dann automatisch gelöscht. Im Professional-Tarif ist keine benutzerdefinierte Retention-Einstellung verfügbar. Löschung nach Konto-Kündigung "on request" laut DPA (§12), ohne konkrete Frist. Quelle: Customize data retention, DPA PDF

Typische Rechtsgrundlage für den Einsatz: Wenn eine Organisation Zapier Professional für interne Geschäftsprozesse einsetzt (Workflow-Automatisierung, App-Integration), trägt die Vertragserfüllung (Art. 6 Abs. 1 lit. b) oder das berechtigte Interesse (Art. 6 Abs. 1 lit. f) die Verarbeitung, soweit keine besonders schutzwürdigen Daten betroffen sind. Bei Verarbeitung personenbezogener Daten Dritter (Kunden, Mitarbeiter) in Zaps ist der Nutzer Verantwortlicher; Zapier agiert als Auftragsverarbeiter.

Auftragsverarbeitung (Art. 28): Zapier, Inc. ist als Auftragsverarbeiter zu betrachten; das DPA steht für alle Kunden bereit und ist abzuschließen. Der Volltext der aktuellen DPA-Version (wirksam 07.04.2026) war nicht direkt einsehbar; Struktur und Kernklauseln sind aus der lesbaren PDF-Vorgängerversion bekannt. Quelle: DPA Seite, DPA PDF

Art. 9-Daten: Bei Zaps, die besondere Datenkategorien (Gesundheitsdaten, biometrische Daten, politische Überzeugungen o.a.) verarbeiten, ist ein Art.-9-Erlaubnisgrund erforderlich. Eine DSFA (Art. 35) ist in solchen Konstellationen wahrscheinlich obligatorisch.

Drittlandsicherheit: Zapier ist DPF-Teilnehmer (Participant-ID 4425, Primärquelle: dataprivacyframework.gov). SCCs sind zusätzlich im DPA verankert. US-Hosting (AWS US-East-1) ist die einzige Speicherregion im Professional-Tarif; ein Drittlandtransfer findet stets statt. Quelle: Data Privacy Overview, DPF Register

Training-Opt-out und Rechtsgrundlage: Die standardmäßige Datennutzung für "data training" im Professional-Tarif (vor Opt-out) bedarf einer eigenen Rechtsgrundlage. Da Zapier das Opt-out-Verfahren anbietet, ist Einwilligung oder berechtigtes Interesse denkbar; der genaue Rahmen ist Zapiers Datenschutzdokumentation nicht vollständig zu entnehmen.