Twenty ist ein quelloffenes CRM, entwickelt von einem Pariser Produktteam und positioniert als die offene Alternative zu Salesforce. Der Code liegt unter github.com/twentyhq/twenty unter AGPL-3.0 (einzelne mit @license Enterprise markierte Dateien stehen unter einer separaten Twenty.com Commercial License, die SDK-Pakete unter MIT) und hat 54.000 GitHub-Sterne überschritten. Die Gründer Félix Malfait, Charles Bochet und Thomas des Francs durchliefen Y Combinator S23 und sammelten im November 2024 eine Seed-Runde über 5 Millionen USD unter Führung von Runa Capital ein, mit Angels von HubSpot, Front, Cal.com, Sentry und Photoroom. Funktional ist es ein entwicklernahes CRM statt einer Vertriebssuite: unbegrenzte eigene Objekte, Felder und Ansichten, Tabellen-, Kanban- und Kalenderansichten, Workflows und KI-Agenten, beidseitige E-Mail- und Kalendersynchronisation, REST- und GraphQL-APIs, Webhooks und ein MCP-Server.
Die Konzernstruktur muss ein europäischer Käufer genau lesen. Twenty SAS (SIREN 914 989 041, eingetragen am 24. Juni 2022 im 20. Pariser Arrondissement) beschäftigt das Produktteam und hält das Software-IP, und die im Quellcode veröffentlichte AVV-Konfiguration nennt Twenty.com SAS, 9 rue des Colonnes, 75002 Paris als Auftragsverarbeiter für die EU-Region nach französischem Recht, ohne SCC-Anhang, da standardmäßig nichts den EWR verlässt. Die kommerziellen Bedingungen des verwalteten Dienstes sind jedoch die der Twenty.com PBC, einer Public Benefit Corporation aus Delaware mit Zustellanschrift in San Francisco, nach dem Recht von Delaware, und die Datenschutzerklärung sagt ausdrücklich, dass Twenty in den Vereinigten Staaten ansässig ist. Das ist eine US-Muttergesellschaft über einer französischen Tochter, weshalb die Eigentümerschaft als EU-Sitz mit US-Finanzierung geführt wird und nicht als EU-eigen, und weshalb das CLOUD-Act-Risiko Erheblich ist. Die Datenhaltung selbst ist sauber: sämtliche Kundendatensätze, Backups und Logs liegen auf AWS eu-central-1 in Frankfurt, Audit-Logs in ClickHouse (ebenfalls in Deutschland verarbeitet), Cloudflare davor für CDN und WAF, Sentry für Fehlerüberwachung in den USA, und optionale KI-Funktionen gehen nur dann an Anthropic, OpenAI oder Mistral, wenn ein Workspace sie aktiviert. AWS ist der ausschlaggebende Punkt: ein US-eigener Hyperscaler hält die Daten im Ruhezustand, eine EU-Region beseitigt das Risiko also nicht. Das Trust Center unter trust.twenty.com weist SOC 2 Type 2 und GDPR-Status sowie ein Unterauftragsverarbeiter-Register mit Verarbeitungsorten aus, die zugrunde liegenden Richtliniendokumente stehen jedoch hinter einer Zugriffsanfrage, und der AVV hat keine öffentliche URL: eine Workspace-Administration erzeugt und unterzeichnet ihn direkt in der Anwendung unter Settings > DPA, was nach unserer AVV-Zugänglichkeitsregel die Bewertung bereits vor dem CLOUD-Act-Abzug auf 4 deckelt.
Die Preise sind in USD ausgewiesen, eine EUR-Preisliste gibt es nicht: Pro für 9 USD pro Nutzer und Monat (entspricht €8), Organization für 19 USD pro Nutzer und Monat mit zeilenbasierten Berechtigungen, SAML/OIDC-SSO, eigener Domain und Audit-Logs, sowie Enterprise ab 50.000 USD pro Jahr mit Single-Tenant-Isolierung, IP-Freigabelisten und SCIM. Einen kostenlosen gehosteten Tarif gibt es nicht, nur eine 30-tägige Testphase ohne Karte. Die Produktoberfläche liefert 33 Sprachkataloge aus, darunter Französisch, Deutsch, Spanisch, Italienisch, Niederländisch, Polnisch und die nordischen Sprachen. Am besten geeignet für technische Teams, die ein anpassbares CRM wollen, das sie forken, erweitern und später mitnehmen können. Wer in der Beschaffung eine US-Muttergesellschaft oder einen US-eigenen Hyperscaler ausschließen muss, hostet Twenty besser selbst auf Hetzner, OVHcloud oder Scaleway, was den US-Vertrag und AWS vollständig entfernt, oder sieht sich centralstationCRM (DE), weclapp (DE) oder Teamleader (BE) in dieser Kategorie an.