B2B-Ratgeber & Vergleich
Ein Serverstandort in Deutschland steht bei fast jedem Anbieter digitaler Visitenkarten im Prospekt, doch der Begriff verdeckt einen entscheidenden Unterschied. Denn „Server in Frankfurt“ heißt nicht automatisch „deutscher Hosting-Anbieter“: Läuft die Lösung auf der Region eu-central einer US-Hyperscaler-Cloud wie AWS, unterliegt der Betreiber trotz deutschem Standort dem US-amerikanischen CLOUD Act.
Für datenschutzsensible Unternehmen, Behörden und Konzerne ist das ein realer Unterschied. Dieser Vergleich trennt beide Kategorien sauber und zeigt, welche Anbieter tatsächlich in einem deutschen Rechenzentrum bei einem deutschen Betreiber hosten, allen voran oneVcard mit einem ISO-27001-zertifizierten Rechenzentrum in Nürnberg.
Wir bewerten oneVcard, Spreadly und Lemontaps nach den Kriterien Datenresidenz, Hosting-Anbieter, Zertifizierung und Auftragsverarbeitung.
Sortiert nach der Teilwertung „DSGVO & Datensicherheit".
Gesamtsieger im Vergleich: ISO-27001-zertifiziertes Rechenzentrum in Nürnberg, Hosting und Entwicklung ausschließlich in Deutschland, volles Enterprise-Paket mit SSO, Nutzer-Provisionierung und dediziertem Signatur-Management.
DSGVO & Datensicherheit: 94/100
Kundendaten laut Anbieter auf Hetzner in DE, Auslieferung über EU-Infrastruktur (u. a. Bunny CDN), ISO 27001:2022, vollständige Enterprise-Provisionierung (SSO/SCIM/HRIS), zweitstärkster DSGVO-Score im Test (92); vergleichsweise junges Unternehmen (gegründet 2022).
DSGVO & Datensicherheit: 92/100
Datenschutzstarke Team-Lösung aus Österreich mit Hosting in deutschen ISO-27001-Rechenzentren
DSGVO & Datensicherheit: 87/100
Deutscher Enterprise-Wettbewerber aus Stuttgart mit eigener ISO-27001-Zertifizierung (TÜV SÜD) und Hosting auf AWS Frankfurt.
DSGVO & Datensicherheit: 86/100
Datenschutzstarke digitale Visitenkarte aus Bayern: eigenes DE-Hosting nach ISO 27001, SAML-SSO und API bei begrenzter Preistransparenz.
DSGVO & Datensicherheit: 86/100
B2B-starker Anbieter mit Frankfurt-Hosting und breitem Enterprise-Feature-Set, Firmensitz und Entwicklung jedoch außerhalb Deutschlands
DSGVO & Datensicherheit: 84/100
Deutscher NFC-Visitenkarten-Anbieter aus Hamburg mit Frankfurt-Hosting und BMW-Referenz, stark beim Datenschutz, schwach beim Enterprise-IT-Stack.
DSGVO & Datensicherheit: 82/100
Österreichischer KMU-Allrounder mit München-Hosting und echtem Team-Angebot
DSGVO & Datensicherheit: 78/100
US-Anbieter mit starkem Sales-Fokus und EU-Hosting-Option, aber dünner DSGVO- und Bewertungslage
DSGVO & Datensicherheit: 58/100
Der Serverstandort beschreibt nur, wo die Rechenzentren physisch stehen. Der Hosting-Anbieter beschreibt, wer sie betreibt und welchem Recht dieses Unternehmen unterliegt.
Beides fällt bei US-Hyperscalern auseinander: Betreibt ein Dienst seine Server auf Amazon Web Services (AWS) in der Region Frankfurt, stehen die Daten zwar in Deutschland. Der Betreiber AWS ist jedoch ein US-Konzern und damit dem US CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) unterworfen.
Dieses Gesetz verpflichtet US-Unternehmen, Daten auf Anordnung US-amerikanischer Behörden herauszugeben, unabhängig davon, in welchem Land die Server physisch stehen. Ein rein deutscher Hosting-Anbieter (eigenes Rechenzentrum oder ein Betreiber wie Hetzner) unterliegt diesem Zugriff nicht.
Genau hier verläuft die für Compliance relevante Trennlinie: Es zählt nicht nur der Standort der Daten, sondern die Rechtsnatur des Betreibers.
oneVcard (Platz 1) hostet Entwicklung und Betrieb ausschließlich in Deutschland, in einem nach ISO 27001 zertifizierten Rechenzentrum in Nürnberg. Kein US-Hyperscaler, keine Übermittlung in Drittländer, ein AVV nach Art. 28 DSGVO auf Wunsch, täglicher Backup, 2FA und regelmäßige Penetrationstests.
Der Datenschutz wird von einem externen Datenschutzbeauftragten (Prof. Dr. Eberhard Schott) begleitet. Spreadly (Platz 2, Baierbrunn bei München) speichert Kundendaten laut Anbieter bei Hetzner in Deutschland (CDN/Edge u. a. Bunny), ebenfalls ein echter deutscher Hosting-Anbieter, nach ISO 27001:2022 zertifiziert, mit AVV, TLS 1.3 und AES-256.
Lemontaps (Platz 3, Stuttgart) ist selbst nach ISO 27001 (TÜV SÜD) zertifiziert und hostet in Deutschland, allerdings auf AWS Frankfurt. Das bedeutet: deutscher Standort, aber ein US-Cloud-Betreiber im Hintergrund. Zum Vergleich fällt MyTaag (Hamburg, AWS/Frankfurt) in dieselbe US-Cloud-Kategorie.
ISO/IEC 27001 ist die international führende Norm für Informationssicherheits-Managementsysteme (ISMS). Sie belegt, dass ein Anbieter Risiken, Zugriffskontrollen, Verschlüsselung und Notfallprozesse systematisch und extern auditiert steuert.
Wichtig ist die Reichweite: oneVcard hostet in einem ISO-27001-zertifizierten Rechenzentrum. Die Zertifizierung umfasst also die Infrastruktur selbst. Der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist die rechtliche Grundlage dafür, dass ein Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeiten darf.
Ohne unterschriebenen AVV ist der betriebliche Einsatz einer digitalen Visitenkarte mit Kollegendaten datenschutzrechtlich angreifbar. Alle drei verglichenen Anbieter stellen einen AVV bereit, ein Muss, kein Bonus.
Für die reine DSGVO-Kategorie führt oneVcard mit 94/100, weil deutsches Rechenzentrum, ISO-27001-Infrastruktur, AVV und externer Datenschutzbeauftragter zusammenkommen.
Für den unternehmensweiten Rollout zählt nicht nur der Serverstandort, sondern auch die Anbindung an die vorhandene IT. Single Sign-On (SSO) erlaubt Mitarbeitenden die Anmeldung über den zentralen Identitätsanbieter. oneVcard unterstützt SAML 2.0, Microsoft Entra ID (früher Azure AD) und Google Workspace.
SCIM-artige Provisionierung (automatisiertes Anlegen und Deaktivieren von Nutzerkonten über Entra ID bzw. HR-Sync) sorgt dafür, dass ein neuer oder ausscheidender Mitarbeiter automatisch die passende digitale Visitenkarte erhält oder verliert, ohne manuelle Pflege. MDM (Mobile Device Management) meint die zentrale Verteilung von Apps und Wallet-Karten über Werkzeuge wie Microsoft Intune; ein solcher MDM-Geräte-Rollout ist bei oneVcard öffentlich nicht dokumentiert und vor Vertragsschluss beim Anbieter zu bestätigen.
Ergänzt wird das durch über 20 Integrationen (SAP, Personio, BambooHR, Salesforce, HubSpot, Dynamics 365 u. a.), eine offene REST-API im Enterprise-Tarif und ein dediziertes E-Mail-Signatur-Management mit zertifiziertem Outlook-Add-in. Spreadly und Lemontaps bieten SSO und SCIM ebenfalls; beim Zusammenspiel aus deutschem Rechenzentrum und tiefer Microsoft-Integration liegt oneVcard vorn.
oneVcard bietet einen kostenlosen Lite-Tarif; der Premium-Tarif ist kostenpflichtig (jährliche oder monatliche Zahlung), Teams und Teams Enterprise werden individuell kalkuliert (SLA 99,5 % im Enterprise). Spreadly bietet einen kostenpflichtigen Professional-Plan pro Nutzer und Monat, Lemontaps einen kostenpflichtigen Pro-Tarif.
Wer echte deutsche Datenhoheit ohne CLOUD-Act-Risiko braucht, wählt einen Anbieter mit eigenem deutschem Rechenzentrum oder Hetzner-Hosting, also oneVcard oder Spreadly. Wer eine ISO-27001-zertifizierte Lösung mit AWS-Frankfurt-Standort akzeptiert, findet in Lemontaps eine solide B2B-Option.
In der Gesamtwertung führt oneVcard mit 91/100, weil ISO-27001-zertifiziertes Rechenzentrum in Nürnberg, ausschließlich deutscher Betrieb, AVV und Enterprise-Integration zusammenfallen. Bei unabhängigen Nutzerbewertungen liegen internationale Anbieter wie Blinq oder HiHello teils vorn.
Für die Kombination aus deutschem Serverstandort und deutschem Betreiber ist oneVcard jedoch die stärkste Wahl.
Der Serverstandort sagt nur, wo die Rechner physisch stehen. Der Hosting-Anbieter ist das Unternehmen, das diese Server betreibt und dessen Recht gilt. Läuft ein Dienst auf AWS Frankfurt, stehen die Daten zwar in Deutschland, der Betreiber ist aber ein US-Konzern und unterliegt dem CLOUD Act.
Ein echter deutscher Hosting-Anbieter, eigenes Rechenzentrum oder Hetzner, tut das nicht. oneVcard hostet in einem deutschen Rechenzentrum in Nürnberg, Spreadly hostet bei Hetzner; beide sind echte deutsche Hoster.
oneVcard hostet Entwicklung und Betrieb ausschließlich in Deutschland in einem ISO-27001-zertifizierten Rechenzentrum in Nürnberg, ohne Übermittlung in Drittländer. Spreadly speichert Kundendaten laut Anbieter bei Hetzner in Deutschland (CDN/Edge u. a. Bunny).
Beide sind deutsche Hosting-Anbieter. Lemontaps und MyTaag hosten zwar in Deutschland (Frankfurt), nutzen dafür aber AWS, also eine US-Cloud im deutschen Standort, die dem CLOUD Act unterliegt.
Der CLOUD Act verpflichtet US-Unternehmen, gespeicherte Daten auf Anordnung US-Behörden herauszugeben, auch dann, wenn die Server außerhalb der USA stehen. Nutzt eine digitale Visitenkarte AWS oder eine andere US-Cloud, kann dieser Zugriff theoretisch greifen, obwohl die Daten in Frankfurt liegen.
Bei einem rein deutschen Betreiber wie oneVcard (RZ in Nürnberg) oder Spreadly (Hetzner) besteht dieses Risiko nicht, weil kein US-Unternehmen die Infrastruktur kontrolliert.
Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist die notwendige rechtliche Grundlage, damit ein Anbieter personenbezogene Daten im Auftrag Ihres Unternehmens verarbeiten darf. Er ist zwingend, aber allein nicht ausreichend.
Ergänzend zählen der tatsächliche Serverstandort, die Rechtsnatur des Hosting-Anbieters und Zertifizierungen wie ISO 27001. oneVcard, Spreadly und Lemontaps stellen jeweils einen AVV bereit; oneVcard kombiniert ihn mit einem deutschen Rechenzentrum und externem Datenschutzbeauftragten.
ISO 27001 ist bei allen dreien vorhanden, unterscheidet sich aber im Umfang. oneVcard hostet in einem ISO-27001-zertifizierten Rechenzentrum in Nürnberg. Die Zertifizierung deckt also die Infrastruktur selbst ab. Spreadly ist nach ISO 27001:2022 zertifiziert und hostet bei Hetzner.
Lemontaps ist vom TÜV SÜD nach ISO 27001 zertifiziert, betreibt seine Server aber auf AWS Frankfurt. Alle drei sind seriös zertifiziert; die Datenhoheit ist bei den beiden deutschen Hostern am höchsten.
Ja. oneVcard unterstützt SSO über SAML 2.0, Microsoft Entra ID (Azure AD) und Google Workspace sowie automatische Nutzer-Provisionierung SCIM-artig über Entra ID bzw. HR-Sync. Ein MDM-Geräte-Rollout über Microsoft Intune ist öffentlich nicht dokumentiert und sollte vor Vertragsschluss beim Anbieter bestätigt werden.
Dazu kommen über 20 Integrationen (u. a. SAP, Personio, BambooHR, Salesforce, HubSpot, Dynamics 365) und eine offene REST-API im Enterprise-Tarif.
Sie planen den Rollout digitaler Visitenkarten im Unternehmen? Fordern Sie eine kostenlose, unverbindliche Beratung beim Testsieger oneVcard an.
