DSGVO- und ISO-27001-qualifizierte Datei-Upload-Dienste mit Bildoptimierung und kundeneigenem Storage
Ein beschaffungsorientierter Vergleich von Transloadit, Cloudinary, ImageKit, Uploadcare und Filestack für Browser-Uploads, Bildverarbeitung und den Export zu Amazon S3, Google Cloud Storage, Microsoft Azure Blob Storage oder einem anderen kundenseitig kontrollierten Ziel.
Nachweise geprüft am: 3. September 2026. Diese Seite verwendet öffentliche Primärquellen der Anbieter. Sicherheitsnachweise, Vertragsbedingungen, Tarife und Preise können sich ändern. Fordern Sie vor einer Beschaffungsentscheidung das aktuelle Zertifikat samt Geltungsbereich, den AVV, die Unterauftragsverarbeiterliste und das Bestellformular an.
Die Kurzantwort
Unter den für diese Seite geprüften öffentlichen Quellen ist Transloadit der einzige Kandidat, der alle Teile der Anforderung gemeinsam dokumentiert: Die Security-Seite nennt eine ISO/IEC-27001-Zertifizierung auf Anbieterebene, die Datenschutzerklärung dokumentiert einen AVV und regionale Verarbeitungsendpunkte, Uppy deckt Browser-Uploads und Vorverarbeitung ab, und native Export-Robots schreiben Workflow-Ergebnisse in S3, GCS, Azure und weitere Ziele.
Die anderen Dienste bleiben relevante Kandidaten, doch ihre Storage-Modelle und öffentlichen ISO-Nachweise sind nicht gleichbedeutend. Cloudinary und ImageKit sind primär verwaltete Bild- und Asset-Plattformen. Uploadcare dokumentiert direkte Optionen für kundeneigenes S3, während die GCS- und Azure-Anleitungen kundeneigenen Backend-Code verwenden. Filestack dokumentiert nativen kundeneigenen Storage über S3, GCS und Azure, doch seine öffentliche ISO-Aussage beschreibt AWS-Einrichtungen statt eines Filestack-Zertifikats.
Was „qualifiziert“ hier bedeutet
Dies ist eine Vorauswahl, keine Compliance-Zertifizierung oder Rechtsberatung. Die Matrix verwendet drei Kennzeichnungen:
- Verifiziert: Die verlinkte Anbieterquelle belegt die Aussage direkt.
- Bedingt: Die Funktion hängt von Tarif, Konfiguration, Kunden-Backend oder Vertrag ab.
- Zu prüfen: Die öffentlichen Quellen belegen die genaue Beschaffungsanforderung nicht. Das bedeutet nicht, dass dem Anbieter die Fähigkeit fehlt; fordern Sie aktuelle private Nachweise an.
ISO erläutert, dass die Umsetzung von ISO/IEC 27001 und der Besitz eines Zertifikats unterschiedliche Aussagen sind. Die Europäische Kommission erläutert, dass die Einhaltung der DSGVO verpflichtend bleibt, auch wenn eine Organisation einen optionalen anerkannten Zertifizierungsmechanismus nutzt. Deshalb behandelt diese Matrix „DSGVO-konform“ nicht als allgemeine Anbieterzertifizierung.
Matrix zu Sicherheit und Verträgen
| Kriterium | Transloadit | Cloudinary | ImageKit | Uploadcare | Filestack |
|---|---|---|---|---|---|
| Sicherheitszertifizierung auf Anbieterebene | Verifiziert: Die Security-Seite nennt ISO/IEC-27001-Zertifizierung und SOC 2 Type II. Fordern Sie aktuelles Zertifikat beziehungsweise Prüfbericht und Geltungsbereich an. | Zu prüfen: Die aktuelle Trust-Seite nennt SOC 2 Type 2, aber nicht ISO 27001. Eine ältere datierte Trust-Seite tat dies; fordern Sie das aktuelle Zertifikat und dessen Geltungsbereich an. | Zu prüfen: Die Trust-Seite bezeichnet ImageKit als nach ISO 27001 konform und unabhängig geprüft, verlinkt jedoch kein Zertifikat. Fordern Sie Zertifikat, Version und Geltungsbereich an. | Zu prüfen: Das Trust Center nennt SOC 2 Type II, HIPAA und DSGVO. Das Security Whitepaper ordnet ISO-27001-Kontrollen Infrastrukturbetreibern zu, nicht einem Uploadcare-Zertifikat. | Zu prüfen: Filestack veröffentlicht ein Schreiben zum SOC-2-Prüfstatus. Die Security-Erklärung ordnet die ISO-27001-Zertifizierung AWS-Rechenzentren zu, nicht Filestack. |
| DSGVO-Rolle und AVV | Verifiziert: Datenschutzerklärung und AVV-Abschnitt (English) beschreiben Verantwortlichen-/Auftragsverarbeiterrollen und einen gegengezeichneten AVV auf Anfrage. | Verifiziert: Cloudinary veröffentlicht einen DPA und erläutert seine Auftragsverarbeiterpflichten in der Datenschutzerklärung. | Verifiziert: Die DSGVO-Seite beschreibt Verantwortlichen-/Auftragsverarbeiterrollen und einen DPA mit SCCs auf Anfrage. | Verifiziert: Die DSGVO-Seite nennt DPA und SCCs für die Kundenverarbeitung. | Zu prüfen: Die Datenschutzerklärung behandelt Auftragsverarbeitung, DSGVO-Rechte und internationale Übermittlungen. Ein aktueller öffentlicher Produkt-DPA wurde nicht gefunden; fordern Sie den geltenden AVV und die Übermittlungsbedingungen an. |
Matrix zu Upload und Bildverarbeitung
| Kriterium | Transloadit | Cloudinary | ImageKit | Uploadcare | Filestack |
|---|---|---|---|---|---|
| Browser-Uploader | Verifiziert: Uppy bietet einen modularen Browser-Uploader mit fortsetzbaren Uploads und Transloadit-Integration. | Verifiziert: Das Upload Widget unterstützt Browser-Uploads aus lokalen und entfernten Quellen. | Verifiziert: Der Web-Quickstart dokumentiert Browser-Uploads in die Media Library einschließlich Uppy-Integration. | Verifiziert: Der File Uploader ist eine Webkomponente mit Quellenauswahl und Bildeditor. | Verifiziert: Der File Picker bietet Web-Uploads aus lokalen und verbundenen Quellen. |
| Vorverarbeitung im Browser | Verifiziert: Uppy bietet Bildbearbeitung und Komprimierung im Browser vor dem Upload. | Verifiziert: Das Upload Widget unterstützt clientseitige Bildskalierung vor dem Upload. | Zu prüfen: ImageKit dokumentiert Vorverarbeitung in mobilen SDKs, doch der geprüfte Web-Quickstart belegt keine gleichwertige browserseitige Vorverarbeitung. Upload-Transformationen sind eine separate serverseitige Funktion. | Verifiziert: Image Shrink skaliert und komprimiert Bilder per Canvas im Browser neu, vorbehaltlich der dokumentierten Grenzen. | Verifiziert: Der File Picker dokumentiert lokale Bildabmessungen und Skalierung vor dem Upload. |
| Serverseitige Bildverarbeitung | Verifiziert: Bildverarbeitung deckt Skalierung, Zuschnitt, Formatkonvertierung, Optimierung und kombinierbare Workflows ab. | Verifiziert: Cloudinary dokumentiert serverseitige Bildtransformationen. | Verifiziert: ImageKit dokumentiert automatische Optimierung und serverseitige Bildtransformationen. | Verifiziert: Uploadcare bietet eine Bildtransformations-API für Skalierung und Zuschnitt. | Verifiziert: Die Processing API von Filestack transformiert Bilder und andere Dateien. |
| URL-Transformationen | Bedingt: Smart CDN kombiniert ein signiertes Template, URL-Parameter und Caching; es ist optional und nicht der einzige Verarbeitungsweg. | Verifiziert: Die Transformation Reference von Cloudinary definiert URL-basierte Auslieferungstransformationen. | Verifiziert: Die Transformationssyntax von ImageKit wendet Transformationen über URL-Parameter oder Pfadanweisungen an. | Verifiziert: Die Transformations-API von Uploadcare nutzt URL-Operationen für die verarbeitete Auslieferung. | Verifiziert: Die Processing API von Filestack kodiert Aufgaben in Auslieferungs-URLs und liefert transformierte Assets über das CDN zurück. |
Matrix zu Storage, Datenresidenz und Preisen
| Kriterium | Transloadit | Cloudinary | ImageKit | Uploadcare | Filestack |
|---|---|---|---|---|---|
| Exportziele | Verifiziert: Native Dateiexport-Robots schreiben Ergebnisse in S3, GCS, Azure, SFTP, FTP und weitere Ziele; ein Workflow kann mehrere Speicher ansteuern. | Bedingt: Cloudinary dokumentiert S3, GCS und Azure je nach Tarif und Sonderkonfiguration als Uploadquelle, primären Storage oder Backup. Dies ist nicht als allgemeiner Export eines Workflows in mehrere Ziele dokumentiert. | Bedingt: Die Trust-Seite dokumentiert schreibgeschützte Kunden-Origins und nahezu synchrone Backups in Kunden-S3. Die geprüften Quellen belegen keinen nativen Media-Library-Export zu GCS oder Azure. | Bedingt: Direkter Kunden-S3-Storage und Kopieren sind in der S3-Integration dokumentiert. Die Anleitungen für GCS und Azure übertragen Dateien über kundeneigenen Backend-Code. | Verifiziert: Externer Storage unterstützt in kostenpflichtigen Tarifen kundeneigenes S3, GCS, Azure, Dropbox und Rackspace. |
| Eigentum und Rolle des Storage | Verifiziert: Kundenspeicher kann nach dem Export das dauerhafte führende System sein. Die Datenschutzerklärung (English) erläutert die temporäre Verarbeitung durch Transloadit und dass die Ergebnisaufbewahrung davon abhängt, ob Dateien exportiert werden. | Bedingt: Cloudinary stellt üblicherweise verwalteten Asset-Storage bereit; je nach dokumentiertem Tarif und Setup können Kunden-Buckets stattdessen Origin, primärer Speicher oder Backup sein. | Bedingt: Originale können in einer schreibgeschützten Kunden-Origin verbleiben; Uploads in die Media Library nutzen dagegen ImageKit-Storage, sofern kein Kunden-S3-Backup konfiguriert ist. | Bedingt: Uploadcare-Storage ist Standard. Direkter kundeneigener S3-Storage ist eine Enterprise-Option; das Kopieren nach S3 entfernt nicht automatisch die Verarbeitungs- oder Storage-Rolle von Uploadcare. | Bedingt: Von Filestack verwaltetes S3 ist das Standardziel; kostenpflichtige Tarife können kundeneigenen Storage wählen. |
| Regionale Verarbeitung | Verifiziert: Die Datenschutzerklärung (English) dokumentiert Regionen in US East, Irland und Singapur und erklärt, dass ein expliziter regionaler Endpunkt eine Assembly in dieser Region hält. | Bedingt: Cloudinary dokumentiert Rechenzentren in den USA, der EU und AP sowie regionale Hostnamen für passende Enterprise-Setups; prüfen Sie Storage, Verarbeitung, Logs und Failover im Bestellformular. | Bedingt: Die DSGVO-Seite nennt auswählbare Verarbeitungsregionen. Die Trust-Seite weist auf isolierten Storage, aber mögliches Failover in eine andere Region hin; einige Konto- und Logdaten werden separat behandelt. | Zu prüfen: Die öffentliche Unterauftragsverarbeiterliste und das Transfer Impact Assessment beschreiben internationale Übermittlungen, belegen aber keine kundenseitig auswählbaren, fest gebundenen Verarbeitungsregionen. | Bedingt: Filestack gibt an, dass sich Hauptrechenzentrum und Datenbank in Northern Virginia befinden, während kundeneigener Storage in einer anderen Region liegen kann. Ein regionaler Bucket allein belegt keine regionale Verarbeitung. |
| Preismodell | Verifiziert: Nutzungsbasierte GB-Tarife; die Preisseite nennt eine kostenlose Community-Freimenge, Lite für $29/Monat mit 15 GB inklusive und $2 pro zusätzlichem GB, Pro für $54/Monat bei jährlicher Abrechnung oder $69 bei monatlicher Abrechnung sowie individuelle Enterprise-Tarife. | Verifiziert: Credit-Modell aus Transformationen, Storage und Bandbreite; die Preisseite nennt Free, Plus für $99/Monat beziehungsweise $89/Monat bei jährlicher Abrechnung und Enterprise. | Verifiziert: Einheiten für Bandbreite, Storage und Erweiterungen; die Preisseite nennt Free, Lite ab $9/Monat, Pro ab $89/Monat und Enterprise. | Verifiziert: Operationen, Traffic und Storage; die Preisseite nennt Free, Pro ab $66/Monat, Business und Enterprise. | Verifiziert: Tarifkontingente, Mehrverbrauch und optionale Add-ons; die Preisseite nennt Free, Start ab $69/Monat, Grow, Scale und Enterprise. |
Einstiegspreise sind keine produktionsäquivalenten Preise. Ein vergleichbares Angebot muss das benötigte Volumen, Transformationen, Egress, Storage, Support, Regionen, Sicherheitsfunktionen und die Kunden-Storage-Konfiguration umfassen. Die öffentlichen Tarifseiten definieren keine allgemeingültige produktionsäquivalente Stufe.
Storage-Begriffe, die nicht gleichgesetzt werden sollten
- Origin: Der Dienst liest Originale aus Ihrem Bucket, meist ohne das Eigentum zu verlagern.
- Primärer Storage: Neu hochgeladene Assets werden als dauerhafter Hauptspeicher in den gewählten Kunden-Bucket geschrieben.
- Backup: Eine Kopie landet im Kundenspeicher, während der Asset-Store des Anbieters aktiv bleibt.
- Workflow-Export: Ausgewählte Verarbeitungsergebnisse werden nach Abschluss eines Jobs in ein oder mehrere Ziele geschrieben.
Klären Sie, ob temporäre Dateien, Caches, Derivate, Metadaten, Logs und Failover-Kopien auf der Infrastruktur des Anbieters verbleiben. „Bring your own bucket“ beantwortet diese Fragen allein nicht.
Empfohlene Beschaffungsprüfungen
- Fordern Sie das aktuelle ISO/IEC-27001-Zertifikat, die Zertifizierungsstelle, Version, Laufzeit und Anwendbarkeitserklärung an. Bestätigen Sie, dass der gebuchte Dienst und die relevante Gesellschaft im Geltungsbereich liegen.
- Prüfen Sie AVV, SCCs, Unterauftragsverarbeiter, Löschfristen, Incident-Bedingungen und Auditrechte.
- Zeichnen Sie den tatsächlichen Datenpfad: Browser, Upload-Endpunkt, temporärer Storage, Verarbeitungsregion, Cache, Logs, Exportziel und Löschung.
- Testen Sie genau die benötigte Storage-Operation. Eine S3-Origin, ein S3-Backup und der Export jedes Derivats nach S3 sind verschiedene Architekturen.
- Kalkulieren Sie einen produktionsgleichen Workload mit Uploadvolumen, Transformationen, Egress, Storage, Operationen, Add-ons, Support und Mehrverbrauch – nicht nur den günstigsten Bezahlplan.
Wann Transloadit am besten passt
Transloadit passt besonders gut, wenn kundenseitig kontrollierter Storage das endgültige Ziel ist und die Verarbeitungsschicht kombinierbar bleiben soll: einmal hochladen, validieren, optimieren oder konvertieren und jedes Ergebnis in einen oder mehrere Speicher exportieren. Beginnen Sie mit dem praxisnahen Leitfaden zu Datei-Upload, Bildoptimierung und S3 (English) und prüfen Sie anschließend Security, Datenschutz und AVV (English) sowie Dateiexport mit Ihren Security- und Plattformteams.
Wenn Ihre Hauptanforderung ein verwaltetes DAM mit URL-zentrierter Bildauslieferung ist, passen Cloudinary oder ImageKit womöglich besser. Wenn die Auswahlbreite des Pickers oder ein bestimmter Kunden-Storage-Connector ausschlaggebend ist, verdienen Uploadcare oder Filestack einen Proof of Concept. Entscheidend sind der verifizierte Datenpfad und der Vertrag, nicht die längste Featureliste.