Usercentrics
Zusammenfassung aus Eigentümerschaft und CLOUD-Act-Risiko.
-
EU-souverän In EU-/EWR-/Schweizer Eigentum und betrieben, ohne erkennbares CLOUD-Act-Risiko.
-
EU-ansässig EU-betrieben, mit höchstens geringfügigem oder vorübergehendem US-Bezug.
-
EU-gehostet Dieser Eintrag EU-Hosting verfügbar, aber ein US-Mutterkonzern oder Hyperscaler-Unterauftragsverarbeiter erzeugt ein materielles Risiko.
-
US-verbunden Von einem US-Unternehmen betrieben, direkt der US-Jurisdiktion unterworfen.
Munich-based CMP (founded 2017); 2.4M sites / 8.8B monthly consents; merged with Cookiebot in September 2021; ISO 27001 + SOC 2, runs on Google Cloud (Frankfurt and Belgium).
Usercentrics bietet EU-Hosting in Deutschland, doch ein US-Mutterkonzern oder Unterauftragsverarbeiter hinterlässt ein materielles CLOUD-Act-Risiko. Gelistet unter Cookie-Einwilligung.
Bewertungsnotizen
Usercentrics GmbH (Sendlinger Str. 7, Munich DE, AG München HRB 241272, founded 2017) is ISO/IEC 27001:2022 certified and SOC 2 Type 2 attested since August 2025, and consolidated the DACH cookie-consent market by merging with Cybot/Cookiebot in September 2021. The published DPA is explicit that the CMP runs on Google Cloud — Google Cloud EMEA Ltd (Dublin) is sub-processor #1, APIs and databases sit primarily Frankfurt and Belgium, and static assets ride Google's global CDN cache — with BunnyWay d.o.o. (Slovenia) and Hetzner Online GmbH (Germany) as the other two named sub-processors. Core consent data therefore rests with a US-owned hyperscaler under SCCs, which is what keeps cloud_act_exposure at material; the CDN in the widget path itself is EU-operated, unlike sibling product Cookiebot. The previously recorded Vista Equity Partners acquisition could not be substantiated on re-verification — see verification_notes.
Befund
- CLOUD Act
- CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich Dieser Eintrag US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
-
- Eigentümer
- Eigentümerschaft
Wo die letztliche Kontrolle über das Betreiberunternehmen liegt.
-
EU-Eigentum In der EU ansässig und EU-kontrolliert; keine nennenswerte US-Beteiligung.
-
EU-Sitz, US-finanziert Dieser Eintrag EU-Hauptsitz, aber von US-Risikokapital oder -Private-Equity kontrolliert.
-
EU-Tochter, US-Mutter Europäische Betriebsgesellschaft im Eigentum einer US-Muttergesellschaft.
-
US-Eigentum Das Betreiberunternehmen selbst hat seinen Hauptsitz in den USA.
-
Sonstige Eine Nicht-EU-Jurisdiktion. Schweizer/EWR-Eigentum gilt hier als europäisch; UK und andere nicht.
-
- Unterauftragsverarbeiter
- — nicht offengelegt
Geprüfte Signale
-
EU-/Angemessenheits-Hosting: Ja
-
EU-/Angemessenheits-Betreiber: Ja
-
Keine US-CLOUD-Act-Exposition: Nein
-
Öffentlicher AVV: Ja
-
Unterauftragsverarbeiter offengelegt: Ja
-
Open-Source-Clients: Nein
-
Zertifizierung durch Dritte: Ja
Springen zu
Über Usercentrics
Usercentrics GmbH (Sendlinger Str. 7, Munich, Germany; AG München HRB 241272; founded 2017) consolidated the DACH cookie-consent market when it merged with Cookiebot / Cybot in September 2021. Together the group serves 2.4M websites and 600K+ customers. The product line includes Usercentrics Web CMP (entry tier from 7 € per month, billed monthly and excluding VAT) and Usercentrics App CMP for mobile. ISO/IEC 27001:2022 certified and SOC 2 Type 2 attested since August 2025. A Vista Equity Partners acquisition was recorded on this listing in May 2026 and could not be substantiated on re-verification: the company's own about-us page describes it as backed by venture investors (Full In Partners, ALSTIN, Cavalry Ventures) against €27.2M of total funding, Wikipedia lists the rounds and no acquirer, and the legal notice names no parent. This listing therefore asserts no acquirer and records ownership as EU-Sitz, US-finanziert, a flag that itself needs a paid-database check. The infrastructure point stands on its own: the published DPA is explicit that the CMP runs on Google Cloud, with Google Cloud EMEA Ltd (Dublin) as the first-named sub-processor and APIs and databases sitting primarily in Frankfurt and Belgium, so core consent data rests with a US-owned hyperscaler under SCCs even though the CDN in the widget path is EU-operated.
Unterauftragsverarbeiter-Karte · nicht offengelegt
Rahmenwerke & Zertifizierungen
Funktionsmatrix
Tabelle 1Funktionen von Usercentrics
Integration & Zugriff
Compliance & Governance
Preise & Tarife
Öffentliche Dokumente
Alternativen in dieser Kategorie
-
Deutschland · 23 €/Mt.EU-souveränCLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines Dieser Eintrag EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Öffentl. AVV: Ja Subprozessoren: Ja Open Source: Nein -
-
Dänemark · 7 €/Mt.EU-gehostetCLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich Dieser Eintrag US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Öffentl. AVV: Ja Subprozessoren: Ja Open Source: Nein -
-
FrankreichEU-gehostetCLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich Dieser Eintrag US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Öffentl. AVV: Nein Subprozessoren: Ja Open Source: Nein -
| Produkt | Souveränität | CLOUD Act | Signale | Ab |
|---|---|---|---|---|
ConsentManager
Deutschland
|
EU-souverän | CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
|
Öffentl. AVV: Ja
Subprozessoren: Ja
Open Source: Nein
|
23 €/Mt. |
Cookiebot
Dänemark
|
EU-gehostet | CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
|
Öffentl. AVV: Ja
Subprozessoren: Ja
Open Source: Nein
|
7 €/Mt. |
Didomi
Frankreich
|
EU-gehostet | CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
|
Öffentl. AVV: Nein
Subprozessoren: Ja
Open Source: Nein
|
— |