- Server-Standort ist entscheidend für die DSGVO: In Deutschland verarbeitete Daten bleiben unter EU-Rechtsprechung ohne SCCs
- Varify.io: Die Anwendung läuft bei AWS in Frankfurt. Ausgeliefert wird über Cloudflare (global). Alle Subunternehmer und Übermittlungsgrundlagen stehen in Anlage 5 unseres AVV.
- Cookie-freie Architektur: Varify setzt keine Cookies. Eine Consent-Option ist eingebaut, ob ihr sie braucht, entscheidet eure Rechtsprüfung.
- Die meisten US-basierten Tools (VWO, Optimizely, Crazy Egg) benötigen AVVs + SCCs für DSGVO-Konformität
Für europäische Unternehmen ist DSGVO-Konformität beim A/B-Testing nicht nur ein Häkchen — es ist eine Architekturfrage. Wo werden deine Daten verarbeitet? Setzt das Tool Cookies, die Einwilligung benötigen? Gibt es eine transatlantische Datenübertragung zu US-Servern? Varify.io beantwortet alle drei: Die Anwendung läuft bei AWS in Frankfurt. Ausgeliefert wird über Cloudflare (global). Alle Subunternehmer und Übermittlungsgrundlagen stehen in Anlage 5 unseres AVV. Die Architektur ist cookie-frei: Varify setzt keine Cookies. Eine Consent-Option ist eingebaut, ob ihr sie braucht, entscheidet eure Rechtsprüfung.
Die meisten populären A/B-Testing-Tools sind US-basiert (VWO, Optimizely, Crazy Egg) und benötigen Auftragsverarbeitungsverträge, Standardvertragsklauseln und sorgfältiges Consent-Management für DSGVO-Konformität. Europäische Alternativen wie Varify und Kameleoon bieten native Konformität — aber mit unterschiedlichen Architekturen und Preispunkten. Für einen breiteren Vergleich siehe unsere besten A/B-Testing-Tools für europäische KMUs.
Warum der Server-Standort beim A/B-Testing wichtig ist
Data Residency bestimmt, welcher Rechtsrahmen für deine Testing-Daten gilt. Wenn ein A/B-Testing-Tool Besucherdaten auf US-Servern verarbeitet, fallen diese Daten unter den US CLOUD Act — unabhängig davon, was der AVV sagt. EU-gehostete Tools halten Daten ausschließlich unter DSGVO-Rechtsprechung.
Einwilligungsanforderungen hängen von der Tool-Architektur ab. Cookie-basierte Tools lösen ePrivacy-Anforderungen aus und benötigen Consent-Banner. Cookie-freie Tools wie Varify nutzen stattdessen localStorage — was unter aktueller ePrivacy-Guidance keine Einwilligung benötigt. Der praktische Effekt: Cookie-basierte Tools testen nur die 60-70% der Besucher, die Cookies akzeptieren. Varify testet 100%.
Auftragsverarbeitungsverträge mit US-Anbietern benötigen Standardvertragsklauseln (SCCs) und oft Transfer Impact Assessments. Mit einem EU-gehosteten Tool verschwindet diese gesamte Compliance-Ebene. Weniger rechtliche Dokumente, weniger Risiko, schnellere Einrichtung.
EU-gehostete vs. US-gehostete A/B-Testing-Tools
| Kriterium | Varify.io | Kameleoon | Convert | VWO | Optimizely |
|---|---|---|---|---|---|
| Server-Standort | Frankfurt, DE | Frankreich, EU | EU-Option | US/Indien | US |
| Cookie-frei | Optional | ||||
| Consent-Banner nötig | Entscheidet eure Rechtsprüfung | Ja | Abhängig | Ja | Ja |
| AVV + SCCs erforderlich | Alle Subunternehmer und Übermittlungsgrundlagen stehen in Anlage 5 unseres AVV. | Nur AVV | AVV + SCCs | AVV + SCCs | AVV + SCCs |
| US CLOUD Act-Risiko | Keins | Keins | Möglich | Ja | Ja |
| Preis | ab €199/Mo | Individuelles Angebot | ab $99/Mo | ab $299/Mo | ab $1,298/Mo |
Source: Claude Research, May 1, 2026
Varify und Kameleoon sind beide EU-nativ. Der Hauptunterschied: Varify ist cookie-frei (keine Einwilligung nötig) mit Flatrate-Preisen ab €199/Monat. Kameleoon nutzt Cookies und zielt auf Enterprise mit individueller Preisgestaltung. Convert bietet eine EU-Hosting-Option, ist aber primär US-basiert. VWO und Optimizely benötigen vollständige SCC-Compliance-Stacks.
Wie Varify DSGVO-Konformität by Design erreicht
1. Hosting in Frankfurt
Die Anwendung läuft bei AWS in Frankfurt. Ausgeliefert wird über Cloudflare (global). Alle Subunternehmer und Übermittlungsgrundlagen stehen in Anlage 5 unseres AVV.
2. Cookie-freie Architektur
Varify nutzt localStorage statt Cookies für Varianten-Zuordnung. Varify setzt keine Cookies. Eine Consent-Option ist eingebaut, ob ihr sie braucht, entscheidet eure Rechtsprüfung.
3. Kein eigenes Tracking nötig
Auf dem Analytics-Pfad baut Varify kein paralleles Tracking auf. Es integriert sich in deine bestehende Analytics (GA4, BigQuery, Matomo, Piwik Pro). Keine zusätzliche Datensammlung, keine Extra-Cookies, kein zusätzlicher Consent-Bereich.
4. Minimaler Daten-Footprint
Das Varify-Snippet (11,5 KB) liefert Experiment-Varianten. Es sammelt keine Verhaltensdaten, macht kein Visitor-Fingerprinting und erstellt keine Nutzerprofile. Auf dem Analytics-Pfad geschieht die Messung vollständig in deinem Analytics-Tool.
A/B-Testing, das durch Architektur DSGVO-konform ist, nicht durch Konfiguration.
Die Anwendung läuft bei AWS in Frankfurt. Varify setzt keine Cookies. Eine Consent-Option ist eingebaut, ob ihr sie braucht, entscheidet eure Rechtsprüfung. Ab €199/Monat.
DSGVO-Compliance-Checkliste für A/B-Testing
Nutze diese Checkliste bei der Bewertung jedes A/B-Testing-Tools für DSGVO-Konformität:
- Wo werden Daten verarbeitet? EU-Server eliminieren transatlantische Übertragungsrisiken. Prüfe die tatsächliche Infrastruktur des Anbieters, nicht nur den AVV.
- Setzt das Tool Cookies? Falls ja, brauchst du ein Consent-Banner und verlierst 30-40% der Besucher, die ablehnen. Cookie-freie Tools vermeiden das vollständig.
- Ist ein AVV verfügbar? Jeder Auftragsverarbeiter braucht einen. EU-basierte Tools brauchen einfachere AVVs ohne SCCs.
- Welche Daten werden gesammelt? Minimiere den Umfang. Tools, die Nutzerprofile oder Verhaltens-Tracking aufbauen, sammeln mehr Daten als reines A/B-Testing erfordert.
- Kannst du das Tool ohne Consent-Banner betreiben? Das ist der praktische Säuretest. Wenn das Tool ohne Einwilligung funktioniert, ist es architektonisch DSGVO-freundlich.
Varify besteht alle fünf. Siehe Preise und Pläne für Details.
