Canva im Unternehmen und die DSGVO

Mit Vertrag und Regelung einzusetzen. Das Datenschutzproblem bei Canva sind nicht die Entwürfe, sondern das, was hochgeladen wird — und darauf sind Gesichter.

• Anbieter: Canva Pty Ltd (Australien)
• Zweck: Grafiken, Präsentationen, Social-Media-Vorlagen
• Verarbeitung in: Australien und USA, mit Serverstandorten je nach Plan
• Eingaben fürs Training: Canva gibt an, Kundeninhalte für generative Funktionen nur mit Zustimmung zu verwenden. Die Einstellung dazu liegt im Konto und ist nicht überall gleich gesetzt.

Welche Daten dort landen#

• hochgeladene Bilder, darunter regelmäßig Fotos von Beschäftigten und Kunden
• Marken- und Vorlagenordner mit internen Materialien
• Konto- und Nutzungsdaten der Beschäftigten

Für die Gestaltungsarbeit selbst unkritisch. Der kritische Teil ist die Abbildung von Personen: Dafür braucht es eine Einwilligung der abgebildeten Person oder eine andere Grundlage, und die hat mit Canva nichts zu tun.

Der Vertrag mit dem Anbieter#

Canva stellt einen Auftragsverarbeitungsvertrag bereit. Australien hat keinen Angemessenheitsbeschluss; die Übermittlung stützt sich auf Standardvertragsklauseln.

Was der Betriebsrat damit zu tun hat#

In der Regel gering, solange keine Leistungsauswertung stattfindet. Relevant wird es, wenn Vorlagen mit Namensnennung zur Erfolgsmessung einzelner Beschäftigter benutzt werden.

Was zu tun ist#

• Den Auftragsverarbeitungsvertrag abschließen und den Serverstandort des gebuchten Plans festhalten.
• Vor dem Hochladen klären, ob für Personenfotos eine Einwilligung vorliegt — schriftlich, nicht mündlich.
• Die Nutzung von Inhalten für generative Funktionen im Konto prüfen und die Entscheidung dokumentieren.
• Ausgeschiedene Beschäftigte aus Markenordnern entfernen; das passiert nicht von selbst.

Wenn es auch anders gehen soll#

• Affinity oder Adobe Express mit europäischer Datenhaltung
• Vorlagen im Haus mit einem lokal installierten Programm

Der Punkt, der bei Canva übersehen wird#

Bei fast allen Werkzeugen dieser Liste ist die heikle Frage, was der Anbieter mit den Daten macht. Bei Canva ist sie eine andere: ob du die Fotos überhaupt hochladen durftest. Ein Markenordner mit Mitarbeiterporträts ist eine Sammlung personenbezogener Daten, für die der Auftragsverarbeitungsvertrag mit Canva nichts hilft — er regelt die Verarbeitung, nicht die fehlende Einwilligung der abgebildeten Person. Das Problem kommt aus dem eigenen Haus und wandert nur nach Australien mit.

Das ist keine Rechtsberatung, sondern eine Einordnung: Wir geben den Stand wieder, soweit er uns bekannt ist. Ob dein Einsatz zulässig ist, hängt vom Einzelfall ab — und bei Beschäftigtendaten zusätzlich von dem, was in deinem Haus vereinbart ist. Wie die Regeln zusammenhängen, steht auf der Übersicht zur Serie.