WORKSPACE.PM vs. Wrike: Der DSGVO-konforme Vergleich – die deutsche Wrike-Alternative im Detail

91 Prozent der deutschen Unternehmen würden einen Cloud-Anbieter aus Deutschland bevorzugen. Tatsächlich nutzen 71 Prozent Angebote aus den USA – und nur 8 Prozent würden das aus freien Stücken tun. Diese Lücke stammt nicht aus einer Anbieterbroschüre, sondern aus dem repräsentativen Bitkom Cloud Report 2026 (603 befragte Unternehmen ab 20 Beschäftigten).

Für IT-Leiter, die heute eine Projektmanagement-Software auswählen, ist das mehr als eine Statistik. Wer ein PPM-System einführt, bindet sich für fünf bis zehn Jahre – mit allen Projektdaten, Kalkulationen, Personalauslastungen und Vertragsunterlagen darin. Die Frage ist deshalb nicht nur, ob ein Tool heute rechtssicher betrieben werden kann, sondern ob es das über die gesamte Nutzungsdauer bleibt.

Dieser Artikel vergleicht Wrike und WORKSPACE.PM entlang der Kriterien, die in Lastenheften und Datenschutz-Folgenabschätzungen tatsächlich auftauchen: Serverstandort, Vertragspartner, Gerichtsstand, Subunternehmer, Zertifizierungen, Funktionstiefe und Gesamtkosten. Alle Aussagen zu Wrike sind mit Primärquellen belegt und mit Abrufdatum versehen.

Das Wichtigste in 60 Sekunden

• Wrike ist ein US-Anbieter. Vertragspartner ist Wrike, Inc. mit Sitz in San Diego, Kalifornien. Es gilt kalifornisches Recht, ausschließlicher Gerichtsstand ist San Diego County (Wrike Terms of Service, § 8.25).
• Ein EU-Rechenzentrum gibt es – in allen Tarifen. Die häufig zu lesende Behauptung, EU-Hosting koste bei Wrike Aufpreis, ist falsch. Wrike weist das EU-Rechenzentrum ausdrücklich für Free, Team, Business, Pinnacle und Apex aus.
• Aber: Laut Wrikes eigenem Help Center sind „certain integrations and features … not available on the EU DC" – welche genau, wird öffentlich nicht gelistet. Und der Wechsel ins EU-Rechenzentrum ist eine Einbahnstraße.
• SSO und Zwei-Faktor-Authentifizierung sind bei Wrike erst ab dem Verhandlungstarif Pinnacle enthalten.
• WORKSPACE.PM wird von der AMNAU GmbH (Hannover) ausschließlich in deutschen Rechenzentren betrieben, ohne Drittstaatentransfer, mit deutschem Gerichtsstand – und ohne Feature-Gating: jeder Account hat in jedem Betriebsmodell den vollen Funktionsumfang.
• Fair bleiben: Wrike ist ein technisch ausgereiftes Produkt mit kritischem Pfad, Baselines und über 130 Integrationen. Wer keine europäischen Souveränitätsanforderungen hat, findet dort eine solide Lösung.

Wrike im Kurzprofil: Was das Tool leistet – und wem es gehört

Wrike ist eine der etabliertesten Work-Management-Plattformen weltweit: nach eigenen Angaben über 20.000 Kunden und mehr als 2 Millionen Nutzer. Die Stärken sind real und sollten nicht kleingeredet werden:

• Ausgereifte Projektsicht: Dynamisches Gantt-Diagramm, Kanban, Tabelle, Workload-Charts
• Kritischer Pfad und Baselines sind ab dem Business-Tarif vorhanden – inklusive Gesamt- und freiem Puffer
• Breites Integrationsökosystem und ausgebaute KI-Funktionen
• Deutsche Oberfläche ist verfügbar (eine von elf UI-Sprachen)

Die häufigste Kritik von Anwendern ist bemerkenswert konsistent über alle Portale hinweg: Komplexität und Lernkurve. Auf G2 (4,2/5 aus 4.539 Bewertungen) sind „steep learning curve" mit 305 Nennungen und „not intuitive" mit 239 Nennungen die häufigsten Kritikpunkte. Auf OMR Reviews – dem deutschsprachigen Portal – steht Wrike bei 3,8/5, mit Kritik am „unübersichtlichen" Setup und am Preismodell für kleinere Unternehmen.

Eigentümerstruktur: Wrike gehört seit dem 7. Juli 2023 der US-Beteiligungsgesellschaft Symphony Technology Group (STG), die das Unternehmen von Vista Equity Partners und Elliott Investment Management übernahm. Zuvor gehörte Wrike zu Citrix (Kaufpreis 2,25 Mrd. USD, 2021). Eine deutsche Niederlassung führt Wrike auf seiner Unternehmensseite nicht.

Praxistipp: Wenn Ihr Einkauf oder Ihre Rechtsabteilung nach dem Vertragspartner fragt, reicht die Antwort „Cloud-Anbieter mit EU-Rechenzentrum" nicht. Lassen Sie sich das Order Form zeigen – dort steht, mit welcher juristischen Person Sie tatsächlich abschließen.

Ist Wrike DSGVO-konform? Die differenzierte Antwort

Kurz: Wrike lässt sich DSGVO-konform betreiben, aber nicht ohne eigene Prüfarbeit. Wrike stellt die notwendigen Instrumente bereit – Auftragsverarbeitungsvertrag, Standardvertragsklauseln, EU-Datenresidenz. Der Restrisikoanteil, den Sie als Verantwortlicher dokumentieren müssen, bleibt aber größer als bei einem Anbieter ohne US-Konzernbezug. Die folgenden fünf Punkte gehören in jede Prüfung.

Wo speichert Wrike die Daten?

Wrike betreibt zwei Regionen: ein US-Rechenzentrum und ein europäisches. Das EU-Rechenzentrum ist laut Help Center in allen Tarifen verfügbar, einschließlich Free. Seit dem 5. Mai 2025 werden neue Konten mit europäischer Registrierungsadresse automatisch dort angelegt.

Ein Serverstandort in Deutschland existiert nicht. Den genauen EU-Standort nennt Wrike aktuell öffentlich nicht; ein Blogbeitrag aus dem Jahr 2016 nannte die Niederlande. Weder das aktuelle Help-Center-Dokument noch das Security-Whitepaper führen ein Land oder eine Stadt auf.

Das Kleingedruckte: Funktionseinschränkungen im EU-Rechenzentrum

Dieser Satz aus Wrikes eigener Dokumentation verdient Aufmerksamkeit:

Welche das sind, wird nicht öffentlich gelistet – Wrike verweist auf den Account Manager. Hinzu kommt: Der Wechsel ist irreversibel. „Once you move your account to the EU DC, that account can't be moved back to the US DC."

Konsequenz: Wer compliance-konform in der EU betreiben will, nimmt bei Wrike möglicherweise ein funktional reduziertes Produkt in Kauf – und erfährt vor Vertragsschluss nicht öffentlich, welche Funktionen betroffen sind. Fragen Sie das schriftlich ab, bevor Sie unterschreiben.

AVV, Standardvertragsklauseln und Data Privacy Framework

Wrike stellt einen Auftragsverarbeitungsvertrag als PDF bereit und stützt Drittlandtransfers auf die EU-Standardvertragsklauseln 2021/914 (Module Two und Three) sowie auf eine Selbstzertifizierung nach dem EU-U.S. Data Privacy Framework.

Belegte Zertifizierungen: ISO/IEC 27001, 27017, 27018, SOC 2 Type II, SOC 3, CSA STAR Level 2, TX-RAMP Level 1. Ein BSI-C5-Testat und eine TISAX-Zertifizierung ließen sich nicht nachweisen – beides sind in öffentlichen Ausschreibungen und in der Automotive-Zulieferkette regelmäßig K.-o.-Kriterien.

Kalifornisches Recht, Gerichtsstand San Diego

Der am seltensten geprüfte und zugleich praktisch relevanteste Punkt steht in § 8.25 der Wrike Terms of Service:

Für einen mittelständischen Auftraggeber bedeutet das: Im Streitfall wird in Kalifornien nach kalifornischem Recht verhandelt. Ergänzend regelt § 3.2 eine automatische Verlängerung „at Wrike's then-current rates" – also zu den dann gültigen, nicht zu den ursprünglich vereinbarten Preisen – und schließt anteilige Erstattungen aus.

Subunternehmer: Wer verarbeitet Ihre Daten noch?

Die Subprozessorenliste führt neben AWS, Google Cloud, Cloudflare und Box auch Dienstleister in Kanada und Brasilien sowie – für die KI-Funktionen – vier US-Anbieter (Microsoft/Azure OpenAI, Google, Anthropic, OpenAI).

Darauf sollten Sie achten: Datenresidenz beschreibt, wo die Primärdatenbank liegt. Sie beschreibt nicht, wo Support-Tickets, Transkripte, Analytics-Daten und KI-Anfragen verarbeitet werden. Diese Unterscheidung entscheidet über den Umfang Ihres Transfer Impact Assessments.

Warum „EU-Server" allein kein Compliance-Nachweis ist

Der verbreitetste Denkfehler bei der Toolauswahl lautet: Server in der EU, also DSGVO erledigt. Drei Argumente sprechen dagegen.

Erstens der US CLOUD Act. Er knüpft nicht an die Geografie des Servers an, sondern an die Kontrolle über die Daten. Ein US-Unternehmen kann verpflichtet werden, Daten herauszugeben, die es kontrolliert – unabhängig vom Speicherort. Der Europäische Datenschutzausschuss und der EDSB haben dazu in ihrer gemeinsamen Stellungnahme an den LIBE-Ausschuss festgehalten: „a foreign court order does not, as such, make a transfer lawful under GDPR." Nach Art. 48 DSGVO sind solche Anordnungen nur über ein Rechtshilfeabkommen vollstreckbar. Es entsteht ein Normkonflikt, den kein Vertrag auflöst.

Zweitens die Halbwertszeit von Angemessenheitsbeschlüssen. Der aktuelle Rahmen ist gültig – das Gericht der Europäischen Union hat ihn am 3. September 2025 in der Rechtssache T-553/23 (Latombe) bestätigt. Ein Rechtsmittel vor dem EuGH ist seit Ende Oktober 2025 anhängig, eine Entscheidung steht aus. Zur Einordnung: Zwei Vorgängerabkommen wurden bereits gekippt – Safe Harbor 2015, Privacy Shield 2020. Wer heute eine Zehnjahresentscheidung trifft, entscheidet mit, ob 2029 eine Migration unter Zeitdruck ansteht.

Drittens die Haftungsasymmetrie. Ein DSGVO-Bußgeld von bis zu 4 Prozent des weltweiten Konzernumsatzes trifft den Verantwortlichen – Ihr Unternehmen –, nicht den Auftragsverarbeiter.

Zur Fairness gehört auch die Gegenseite: Ein pauschaler Ausschluss von US-Anbietern ist rechtlich nicht haltbar. Das OLG Karlsruhe hat am 7. September 2022 (15 Verg 8/22) einen entsprechenden Beschluss der Vergabekammer Baden-Württemberg aufgehoben – die bloße Konzernverbindung zu einer US-Mutter rechtfertigt keinen Vergabeausschluss. Es bleibt bei der Einzelfallprüfung. Die Frage ist also nicht „erlaubt oder verboten", sondern: Wie viel Prüf-, Dokumentations- und Restrisikoaufwand wollen Sie dauerhaft tragen?

WORKSPACE.PM: Datenhoheit als Architekturentscheidung, nicht als Tarifoption

WORKSPACE.PM wird von der AMNAU GmbH in Hannover entwickelt und betrieben (HRB 228100, Amtsgericht Hannover). Die Unterschiede zum US-Modell sind keine Zusatzoptionen, sondern folgen aus der Architektur:

• Ausschließlich deutsche Rechenzentren. Keine Übermittlung in Drittstaaten, keine Verarbeitung außerhalb der EU. Vertragsverhältnis nach EU-Recht, Gerichtsstand Deutschland.
• Drei Betriebsmodelle mit identischem Funktionsumfang: SaaS, Managed Hosting mit dediziertem Server oder echtes On-Premises via Docker in Ihrer eigenen Infrastruktur.
• Kein Feature-Gating. Wörtlich von der Preisseite: „Keine Editionen, kein Feature-Gating: Jeder Account arbeitet immer mit dem vollen Funktionsumfang." SSO (SAML 2.0/OIDC), SCIM, LDAP-Sync und MFA per Passkey sind enthalten – nicht in einem Verhandlungstarif versteckt.
• AVV nach Art. 28 DSGVO standardmäßig bereit, mit vorab prüfbarer Unterauftragnehmerliste; TOM-Übersicht nach Art. 32 DSGVO auf Anfrage.
• Ehrlich bleiben bei ISO 27001: Zertifiziert ist der Betreiber der Rechenzentren, nicht die AMNAU GmbH selbst. Wrike ist als Unternehmen ISO-27001-zertifiziert. Wer hier sauber vergleicht, gewinnt an Glaubwürdigkeit – und wer es verschweigt, verliert sie im ersten Audit.
• KI mit Wahlfreiheit: Der Assistent lässt sich mit Claude, OpenAI, Gemini, DeepSeek, Mistral oder lokalen Modellen betreiben. Mit eigenem Schlüssel laufen Anfragen über Ihren Anbieter; lokale Modelle bleiben vollständig im Haus.

WORKSPACE.PM vs. Wrike: Der Direktvergleich

Preisvergleich: Was 50 Nutzer wirklich kosten

Der eigentliche Punkt liegt nicht in der Differenz der Listenpreise, sondern in der Struktur: Bei Wrike ist der ausgewiesene Preis nicht der Endpreis. Wer Zwei-Faktor-Authentifizierung erzwingen will – in vielen ISMS eine Mindestanforderung –, muss in den Verhandlungstarif Pinnacle wechseln. Sicherheitsfunktionen wie Wrike Lock (eigene Schlüsselverwaltung) sind kostenpflichtige Add-ons.

Auswahlkriterien: Zwölf Prüffragen für Ihr Lastenhef

Diese Liste ist bewusst anbieterneutral formuliert. Legen Sie sie jedem Anbieter vor – auch uns.

1. Wer ist der Vertragspartner laut Order Form, und wo hat er seinen Sitz?
2. Welches Recht gilt, und wo ist der Gerichtsstand?
3. In welchem Land steht das Rechenzentrum – benannt, nicht nur „EU"?
4. Gibt es Funktionsunterschiede zwischen den Hosting-Regionen? Bitte schriftlich und vollständig.
5. Welche Subunternehmer sind eingebunden, in welchen Ländern, für welchen Zweck?
6. Wo werden Support-Tickets, Transkripte, Analytics- und KI-Anfragen verarbeitet?
7. Liegt ein AVV nach Art. 28 DSGVO mit TOM-Anlage nach Art. 32 vor?
8. Welche Zertifizierungen bestehen – und wer genau ist zertifiziert: der Anbieter oder sein Hoster?
9. Liegt ein BSI-C5-Testat vor? (Bei öffentlichen Auftraggebern nach EVB-IT Cloud regelmäßig Pflicht.)
10. Sind SSO und MFA im angebotenen Tarif enthalten oder erfordern sie ein Upgrade?
11. In welcher Währung wird abgerechnet, und wie verlängert sich der Vertrag?
12. Wie sieht das Exit-Management aus: Exportformate, Fristen, Migrationsunterstützung?

Praxistipp: Fragen 4, 6 und 10 werden in Standard-Lastenheften fast nie gestellt – und sind erfahrungsgemäß diejenigen, bei denen sich Angebote am deutlichsten unterscheiden.

Wechsel von Wrike zu WORKSPACE.PM: So läuft die Migration

Einen dedizierten Ein-Klick-Import aus Wrike gibt es nicht – und niemand sollte Ihnen einen versprechen. Der realistische Weg:

1. Export aus Wrike über die integrierte Export-Funktion bzw. die Wrike-API (Aufgaben, Ordner, Zeiterfassung, Anhänge).
2. Strukturaufnahme: Projektstruktur, Rollen und Berechtigungen sauber abbilden – der Umstieg ist der beste Zeitpunkt, gewachsene Ordnerlogik aufzuräumen.
3. Import über CSV/Excel oder die REST-API (/v1). Für klassische Terminplanung besteht zusätzlich ein MS-Project-Austausch.
4. Parallelbetrieb für ein bis zwei Sprints oder Berichtszyklen, danach harter Schnitt.
5. Compliance-Dokumentation: AVV, TOM-Übersicht und Unterauftragnehmerliste für Datenschutzbeauftragten und Betriebsrat bereitstellen – bei einem Anbieter ohne Drittstaatentransfer entfällt das Transfer Impact Assessment.

Konsequenz: Der Aufwand liegt selten in der Datenübernahme, sondern in der Rollen- und Rechtestruktur. Planen Sie dafür mehr Zeit ein als für den Import.

Fazit: Wann Wrike passt – und wann nicht

Bleiben Sie bei Wrike, wenn Ihr Unternehmen international aufgestellt ist, englischsprachig arbeitet, keine besonderen Souveränitätsanforderungen hat, das breite Integrationsökosystem aktiv nutzt und die Compliance-Prüfung mit SCC, DPF und einem gepflegten Transfer Impact Assessment ohnehin routiniert betreibt. Wrike ist ein ausgereiftes Produkt, und das gilt es anzuerkennen.

Prüfen Sie eine deutsche Alternative, wenn mindestens einer dieser Punkte auf Sie zutrifft: Sie sind öffentlicher Auftraggeber oder beliefern die öffentliche Hand. Sie arbeiten nach V-Modell XT, HERMES oder Automotive SPICE. Sie brauchen echtes Multiprojekt- und Portfoliomanagement mit Ressourcenkonflikten, Szenarien und quantifizierter Risikobewertung statt Aufgabenverwaltung. Sie wollen On-Premises betreiben können. Oder Sie möchten die Frage nach dem Drittstaatentransfer künftig gar nicht mehr beantworten müssen.

Der ehrlichste Satz zum Schluss: Die Entscheidung fällt selten allein am Datenschutz. Sie fällt daran, ob ein Tool die Steuerungstiefe hat, die Ihr PMO braucht – und ob es diese Tiefe auch dann noch hat, wenn Sie sie compliance-konform betreiben.

Häufige Fragen zu Wrike, DSGVO und Alternativen

Ist Wrike DSGVO-konform? Wrike lässt sich DSGVO-konform betreiben. Der Anbieter stellt einen AVV nach Art. 28 DSGVO, EU-Standardvertragsklauseln und eine EU-Datenresidenz bereit. Da Vertragspartner ein US-Unternehmen ist, bleiben ein Transfer Impact Assessment und die Dokumentation des Restrisikos beim Verantwortlichen – also bei Ihnen.

Wo speichert Wrike meine Daten? Wrike betreibt ein US- und ein EU-Rechenzentrum. Seit Mai 2025 werden neue Konten mit europäischer Adresse automatisch dem EU-Rechenzentrum zugewiesen. Den genauen EU-Standort nennt Wrike öffentlich nicht; ein Blogbeitrag von 2016 nannte die Niederlande.

Hat Wrike einen Serverstandort in Deutschland? Nein. Wrike weist kein Rechenzentrum in Deutschland aus und führt auch keine deutsche Niederlassung auf. Wer deutschen Serverstandort als Anforderung im Lastenheft hat, muss auf einen anderen Anbieter ausweichen.

Fällt Wrike unter den US CLOUD Act? Als US-Unternehmen unterliegt Wrike grundsätzlich US-Recht, einschließlich des CLOUD Act. Dieser knüpft an die Kontrolle über Daten an, nicht an den Speicherort. EDSA und EDSB haben klargestellt, dass eine Anordnung einer Drittstaatsbehörde für sich genommen keinen Übermittlungstatbestand nach der DSGVO schafft – es entsteht ein Normkonflikt.

Welches Recht gilt für meinen Wrike-Vertrag? Kalifornisches Recht. Die Terms of Service sehen in § 8.25 den ausschließlichen Gerichtsstand in den State- und Federal-Gerichten in San Diego County, Kalifornien, vor.

Ist EU-Hosting bei Wrike nur im teuersten Tarif enthalten? Nein – das ist ein verbreitetes Missverständnis. Das EU-Rechenzentrum ist in allen Tarifen verfügbar, einschließlich Free. Einschränkend gilt jedoch, dass laut Wrike bestimmte Integrationen und Funktionen dort nicht zur Verfügung stehen.

Sind SSO und Zwei-Faktor-Authentifizierung bei Wrike enthalten? Nein, beides ist laut Wrikes Tarifvergleich erst ab Pinnacle verfügbar – einem Tarif ohne Listenpreis. Wer MFA unternehmensweit erzwingen will, muss dies in die Kostenrechnung einbeziehen.

Hat Wrike ein BSI-C5-Testat oder eine TISAX-Zertifizierung? Für beides ließ sich kein öffentlicher Nachweis finden. Wrike weist ISO 27001, 27017, 27018, SOC 2 Type II, SOC 3, CSA STAR Level 2 und TX-RAMP Level 1 aus. Für öffentliche Auftraggeber nach EVB-IT Cloud und für Automotive-Zulieferer kann das ein Ausschlusskriterium sein.

Was kostet Wrike pro Nutzer – und welche Kosten kommen dazu? Team kostet 10 USD, Business 25 USD pro Nutzer und Monat bei jährlicher Abrechnung; Pinnacle und Apex nur auf Anfrage. Abgerechnet wird auch auf der deutschen Preisseite in US-Dollar. Hinzu kommen Add-ons wie Wrike Whiteboard (15 USD/Nutzer/Monat) sowie Integrate, Sync, Datahub und Wrike Lock zu individuellen Preisen.

Welche Projektmanagement-Software ist DSGVO-konform? Prüfen Sie fünf Dinge: Sitz des Vertragspartners, anwendbares Recht und Gerichtsstand, benannter Serverstandort, vollständige Subunternehmerliste inklusive KI- und Support-Dienstleistern sowie ein AVV nach Art. 28 DSGVO mit TOM-Anlage. Anbieter ohne Drittstaatentransfer ersparen Ihnen zusätzlich das Transfer Impact Assessment.

---

WORKSPACE.PM 30 Tage kostenlos testen

Eigener Mandant mit vollem Funktionsumfang – ohne Kreditkarte, ohne Kündigungsfrist.

Betrieb in deutschen Rechenzentren · DSGVO-konform

Jetzt kostenlos testen · Erkundungstermin vereinbaren

---

Alle Angaben zu Wrike wurden am 10. August 2026 anhand öffentlich zugänglicher Primärquellen von Wrike, Inc. erhoben.