sota.io
2026-05-15·5 min read·sota.io Team

Salesforce Marketing Cloud EU Alternative 2026: CLOUD Act & GDPR für Marketing Automation

Post #3 in der sota.io EU MarTech Serie — Marketing Automation & CLOUD Act Exposure

Salesforce Marketing Cloud EU Alternative — CLOUD Act GDPR Risk für Marketing Automation

Salesforce Marketing Cloud ist die dominante Enterprise-Marketing-Automation-Plattform. Aber Salesforce Inc. ist eine Delaware Corporation mit Hauptsitz in San Francisco, CA — und das hat weitreichende GDPR-Konsequenzen für europäische Unternehmen, die personenbezogene Marketing-Daten verarbeiten.

Salesforce Inc.: Rechtliche Struktur und CLOUD Act Exposure

Salesforce, Inc.

Das CLOUD Act Problem für Salesforce-Kunden

Der Clarifying Lawful Overseas Use of Data Act (CLOUD Act, 18 U.S.C. §2713) verpflichtet US-Unternehmen, Strafverfolgungsbehörden Zugang zu gespeicherten Kommunikationen und Daten zu gewähren — unabhängig davon, wo die Daten physisch gespeichert sind.

Salesforce hat EU-Rechenzentren in Frankfurt und Paris. Trotzdem gilt:

CLOUD Act §2713(a): "A provider of electronic communication service or 
remote computing service shall comply with the obligations of this chapter 
to preserve, backup, or disclose the contents of a wire or electronic 
communication and any record or other information pertaining to a customer 
or subscriber within such provider's possession, custody, or control, 
regardless of whether such communication, record, or other information 
is located within or outside of the United States."

Für Marketing-Daten konkret: Wenn Salesforce Marketing Cloud Ihre E-Mail-Listen, Verhaltensprofile, Segmentierungsdaten und Kampagnen-Performance-Metriken verarbeitet, kann das US-Justizministerium Zugang zu diesen Daten anfordern — auch wenn sie auf Servern in Frankfurt liegen.

Was ist Salesforce Marketing Cloud?

Salesforce Marketing Cloud (SFMC) ist eine Enterprise-Suite für:

Typische Kunden: Enterprise B2C (>100.000 Kontakte), Multi-Channel-Marketing-Teams, Retail und Financial Services.

GDPR-Risikoanalyse: Salesforce Marketing Cloud

Datenkategorien in SFMC (GDPR-relevant)

Marketing-Automation-Systeme verarbeiten naturgemäß sensitive personenbezogene Daten:

DatenkategorieSFMC-ModulGDPR Art.CLOUD Act Risiko
E-Mail-Adressen + ProfileAll Contact DataArt. 4 Nr. 1, Art. 6HOCH
Verhaltens-TrackingInteraction StudioArt. 4 Nr. 4 (Profiling)HOCH
Purchase HistoryData CloudArt. 6 (1)(b)HOCH
Browser-/Klick-VerhaltenWeb StudioArt. 4 Nr. 4HOCH
Geo-StandortdatenAdvertising StudioArt. 9 (ggf.)SEHR HOCH
Ad-Audience-ListenAdvertising StudioArt. 22 (Profiling)SEHR HOCH

Schrems II und Standardvertragsklauseln

Nach dem EuGH-Urteil C-311/18 (Schrems II, Juli 2020) sind SCCs als Transfermechanismus nur wirksam, wenn der Datenempfänger im Drittland keine behördlichen Zugriffspflichten hat, die dem EU-Datenschutz widersprechen.

Der EDPB Transfer Impact Assessment (TIA) für Salesforce ergibt:

Konsequenz: Europäische DPAs können Salesforce Marketing Cloud-Einsatz für bestimmte Datenkategorien untersagen.

ExactTarget: Die Akquisitions-Geschichte

Salesforce Marketing Cloud ist nicht organisch gewachsen — es basiert auf ExactTarget, einem E-Mail-Marketing-Unternehmen aus Indianapolis, Indiana:

Weitere strategische Akquisitionen die in Marketing Cloud einflossen:

Jede dieser Akquisitionen: US-amerikanische Unternehmen, Delaware/state-incorporated → alle unter CLOUD Act Jurisdiction.

EU-native Alternativen zu Salesforce Marketing Cloud

1. Brevo (Sendinblue) — Paris, Frankreich

Rechtsform: Brevo SAS (Société par Actions Simplifiée) Hauptsitz: 7 rue de Madrid, 75008 Paris, Frankreich Gründung: 2007 als Newsletter2Go CLOUD Act: Nicht anwendbar — französisches Unternehmen, kein US-Parent

Funktionsumfang:

GDPR-Vorteile:

Limitierungen vs. SFMC:

Preismodell:

2. Emarsys (jetzt SAP SE) — Wien, Österreich / Walldorf, Deutschland

Rechtsform nach Akquisition: Teil von SAP SE (Societas Europaea, eingetragen in Deutschland) SAP SE Hauptsitz: Dietmar-Hopp-Allee 16, 69190 Walldorf, Deutschland Emarsys-Gründung: 2000 in Wien, Österreich Akquisition: Oktober 2020, Kaufpreis: 430 Mio. USD

Das entscheidende Detail: SAP SE ist eine Societas Europaea (SE) — die europäische Aktiengesellschaft. SAP hat keine US-Muttergesellschaft. Das bedeutet:

Emarsys-Funktionsumfang (Enterprise):

GDPR-Vorteile:

Für wen geeignet: Enterprise B2C mit >500.000 Kontakten, bestehende SAP-Infrastruktur, Retail/E-Commerce/Financial Services.

# Emarsys API: Contact erstellen (EU-native, kein CLOUD Act)
import requests

emarsys_api_key = "your_api_key"
emarsys_api_secret = "your_api_secret"

# WSSE Authentication (Emarsys-spezifisch)
import hashlib, time, secrets, base64

nonce = secrets.token_hex(16)
timestamp = time.strftime('%Y-%m-%dT%H:%M:%S+00:00', time.gmtime())
digest = base64.b64encode(
    hashlib.sha1(f"{nonce}{timestamp}{emarsys_api_secret}".encode()).digest()
).decode()

headers = {
    "X-WSSE": f'UsernameToken Username="{emarsys_api_key}", '
              f'PasswordDigest="{digest}", '
              f'Nonce="{nonce}", '
              f'Created="{timestamp}"'
}

# Kontakt anlegen (SAP SE Infrastruktur, EU-Recht)
contact_data = {
    "key_id": "3",  # 3 = E-Mail Feld
    "contacts": [{
        "3": "max.mustermann@example.de",
        "1": "Max",
        "2": "Mustermann",
        "31": "de"  # Sprache
    }]
}

response = requests.put(
    "https://api.emarsys.net/api/v2/contact",
    json=contact_data,
    headers=headers
)
# Keine CLOUD Act Exposure — SAP SE (Walldorf, DE) ist Rechtsträger

3. Evalanche — München, Deutschland

Rechtsform: SC-Networks GmbH Hauptsitz: Bavariaring 43, 80336 München, Deutschland Gründung: 1999 CLOUD Act: Nicht anwendbar — deutsches GmbH, kein US-Nexus

Besonderheiten:

Schwäche: Internationalisierung schwächer (primär DACH), kein nativer englischsprachiger Support

4. Bloomreach Engagement (vormals Exponea) — Bratislava / USA-HQ

Achtung: Bloomreach Inc. hat Hauptsitz in Mountain View, CA (Delaware Corp) — CLOUD Act NICHT eliminiert! Bloomreach Engagement ist die EU-Komponente, aber der Rechtsträger ist US-amerikanisch.

→ Kein vollständiger EU-nativer Ersatz. Für vollständige CLOUD-Act-Freiheit: Brevo oder Emarsys bevorzugen.

5. Plezi — Lyon, Frankreich

Rechtsform: Plezi SAS Hauptsitz: Lyon, Frankreich Spezialisierung: B2B Content Marketing Automation CLOUD Act: Nicht anwendbar — französisches Unternehmen

Eignung: Mittelständische B2B-Unternehmen, Content-getriebenes Marketing, HubSpot-Alternative für kleinere Teams.

6. Webmecanik — Grenoble, Frankreich

Rechtsform: Webmecanik SAS Hauptsitz: Grenoble, Frankreich Basis: Open-Source (Mautic) + EU-Hosting CLOUD Act: Nicht anwendbar — französisches Unternehmen, Mautic-Open-Source

Vorteil: Open-Source-Basis (Mautic) + EU-Hosting = maximale Kontrolle + keine Vendor-Lock-in-Risiken.

Migrations-Checkliste: Salesforce Marketing Cloud → EU-native

# Migration-Roadmap Script: SFMC → Brevo/Emarsys
class SFMCMigrationChecklist:
    """GDPR-compliant migration from Salesforce Marketing Cloud to EU-native alternative."""
    
    phases = {
        "phase_1_assessment": {
            "duration": "2-4 Wochen",
            "tasks": [
                "SFMC Daten-Audit: Kontaktvolumen, Segmente, Journey-Logiken",
                "Custom Activities & Integrations inventarisieren",
                "API-Abhängigkeiten dokumentieren (SFMC AMPscript/SSJS)",
                "Journey-Komplexität bewerten (einfach/mittel/enterprise)",
                "GDPR TIA für SFMC erstellen (CLOUD Act Risikobewertung)"
            ]
        },
        "phase_2_data_migration": {
            "duration": "4-8 Wochen", 
            "tasks": [
                "Kontakt-Export via SFMC Data Extract Activity (CSV/SFTP)",
                "Custom Data Extensions → neue DB-Struktur mappen",
                "Einwilligungsstatus (Opt-in/Out) exakt übertragen (GDPR Art. 7)",
                "Engagement-Historie exportieren (Öffnungen, Klicks, Bounces)",
                "Importvalidierung: Deduplizierung, Format-Checks"
            ],
            "gdpr_critical": [
                "Nur Kontakte mit dokumentiertem Consent übertragen",
                "Consent-Datum und -Quelle mitexportieren",
                "Re-Permission-Kampagne für ältere Einwilligungen erwägen"
            ]
        },
        "phase_3_template_migration": {
            "duration": "2-4 Wochen",
            "tasks": [
                "HTML-Templates von AMPscript auf neuen Template-Syntax umschreiben",
                "Dynamic Content Rules übersetzen",
                "Send Classification → Sender-Profile neu anlegen",
                "Bounce/Suppression Lists übertragen"
            ]
        },
        "phase_4_journey_rebuild": {
            "duration": "4-12 Wochen (je nach Komplexität)",
            "tasks": [
                "Journey-Map der bestehenden Journeys erstellen",
                "Entry Sources (API Events, List Events) neu konfigurieren",
                "Wait Activities und Entscheidungsknoten nachbauen",
                "Exit Criteria und Goals übertragen",
                "A/B Test Logiken neu aufsetzen"
            ]
        },
        "phase_5_validation": {
            "duration": "2-4 Wochen",
            "tasks": [
                "Parallelbetrieb SFMC + neue Plattform (Read-Only SFMC)",
                "Seed-List Tests für alle Journey-Steps",
                "Deliverability-Checks (SPF/DKIM/DMARC für neue IPs)",
                "Reporting-Parität validieren",
                "IP-Warming für neue dedizierte IPs"
            ]
        }
    }
    
    total_migration_duration = "14-32 Wochen (Enterprise)"
    cost_savings_estimate = "60-80% gegenüber SFMC Enterprise-Pricing"
    
    def get_recommended_alternative(self, company_size: str, erp_system: str) -> str:
        if company_size == "enterprise" and "sap" in erp_system.lower():
            return "Emarsys (SAP SE DE Corp) — native Integration, kein CLOUD Act"
        elif company_size in ["enterprise", "midmarket"] and "b2c" in erp_system.lower():
            return "Brevo + SAP/Salesforce CRM Connector"
        elif company_size == "midmarket" and "b2b":
            return "Evalanche (SCE München GmbH) — B2B-optimiert, DSGVO-eingebaut"
        else:
            return "Brevo SAS Paris — beste Kombination aus Features + EU-native + Preis"

GDPR Risk Score: Salesforce Marketing Cloud

DimensionScore (1-5)Begründung
Rechtsträger5/5Delaware Corp → maximale CLOUD Act Exposure
Datenlokalität2/5EU-Rechenzentren vorhanden (Frankfurt/Paris)
Behördenzugriff-Risiko5/5CLOUD Act §2713 ohne EU-Ausnahme
SCCs-Wirksamkeit3/5Vorhanden aber nach Schrems II fraglich
Datenkategorie-Sensitivität4/5Marketing-Profiles + Behavioral Tracking = hoch
Gesamt-GDPR-Risiko19/25 (HOCH)Datentransfer-Risiko erheblich

Was EU DPAs zu Salesforce Marketing Cloud sagen

Die europäischen Datenschutzbehörden haben sich bisher nicht explizit zu Salesforce Marketing Cloud geäußert, aber die Grundsätze sind klar:

EDPB-Leitlinien 05/2021 (SCCs und Drittlandtransfers):

Österreichische DSB (Bescheid 2022-0.015.655 bezüglich Google Analytics):

Prinzip: Wenn der US-Provider technisch auf die Daten zugreifen kann, ist der Transfer rechtswidrig — unabhängig von SCCs. Anwendung: Gilt analog für jeden US-Marketing-Automation-Provider mit EU-Servern aber US-Mutterkonzern.

Fazit der DPAs: EU-Server ≠ EU-Schutz. Rechtsträger entscheidet.

Was Salesforce selbst sagt

Salesforce hat eine Government Data Request Policy und veröffentlicht Transparenzberichte. In 2023 hat Salesforce weltweit X Government Data Requests erhalten. Die Existenz dieser Policy bestätigt: US-Behörden können Zugang anfordern, und Salesforce muss compliance leisten.

Salesforce Data Processing Addendum: Enthält SCCs gemäß EU-Kommissions-Entscheidung 2021/914, aber wie oben beschrieben: nach Schrems II fraglich ob SCCs + CLOUD Act vereinbar.

Fazit: Wann welche Lösung?

SzenarioEmpfehlungRechtsträger
Enterprise B2C, SAP-ERP-StackEmarsysSAP SE (Walldorf, DE)
SMB/Midmarket, Multi-ChannelBrevoBrevo SAS (Paris, FR)
B2B Marketing Automation (DACH)EvalancheSC-Networks GmbH (München, DE)
Open-Source + EU-HostingWebmecanikWebmecanik SAS (Grenoble, FR)
Budget-bewusst + B2BPleziPlezi SAS (Lyon, FR)

Salesforce Marketing Cloud bleibt eine technisch herausragende Plattform — aber die rechtliche Struktur als Delaware Corporation macht GDPR-Compliance für europäische Unternehmen zu einem permanenten Risikofaktor, der mit zunehmender DPA-Durchsetzung (EDPB 2024-Aktionsplan) nicht kleiner wird.

Der entscheidende Unterschied: Emarsys (SAP SE) ist die einzige Enterprise-Marketing-Automation-Plattform mit einem EU-Rechtsträger (Societas Europaea, DE). Für alle anderen Szenarien bietet Brevo SAS das optimale Verhältnis aus Funktionsumfang, EU-Compliance und Preis.

sota.io ist eine EU-native Platform-as-a-Service für Entwickler — deploy auf Hetzner-Infrastruktur in Deutschland, ohne CLOUD Act Exposure, ohne US-Parent. Mehr unter sota.io.

EU-Native Hosting

Ready to move to EU-sovereign infrastructure?

sota.io is a German-hosted PaaS — no CLOUD Act exposure, no US jurisdiction, full GDPR compliance by design. Deploy your first app in minutes.

Start free — no credit cardView pricing