Darf ich CapCut im Unternehmen nutzen?

Die folgenden DSGVO-Scores sind Risikoeinschätzungen, keine rechtlichen Bewertungen.

Wichtig: Ein hoher DSGVO-Score bedeutet nicht automatisch einen aufsichtsbehördlich vertretbaren Einsatz im Einzelfall. Entscheidend sind auch die konkrete Nutzung, ein AVV und interne Datenschutzprozesse.

Keine Rechtsberatung. Stand: 2026-10.

Praxisregel: Drei Regeln für den Betriebsalltag.

✅ Was erlaubt ist: Clips aus eigenem Stockmaterial, Produktfotos ohne erkennbare Personen, rechtmäßig nutzbares Material ohne Personenbezug und ohne vertrauliche Inhalte. „Öffentlich verfügbar“ allein genügt nicht.

⚠️ Was vorher geprüft werden muss: Aufnahmen mit Mitarbeitenden, Kunden oder Kundenräumen, unveröffentlichte Produkte, interne Schulungsvideos.

⚠️ Was ohne AVV-Prüfung nicht in die Cloud gehört: alles, was du auch nicht per Mail an einen unbekannten Dienstleister schicken würdest.

Relevantes Tool im Überblick

Dieser Ratgeber behandelt nur CapCut, weil das Tool kostenlos und schnell installiert ist und deshalb leicht ohne Freigabe im Betrieb landen kann. Deshalb steht hier keine Vergleichsliste. Alternativen findest du in unseren Tooltests.

Tabelle seitlich scrollen →

Der Score setzt sich in unserer Methodik vor allem aus dem fehlenden AVV-Nachweis, dem KI-Training ohne dokumentierten Opt-out und den Servern in Drittländern zusammen. Details stehen auf der Seite Methodik. Der Score bezieht sich nur auf Datenschutz und Compliance, nicht auf die Qualität der Schnittfunktionen.

Der Free-Plan bietet sich für Tests mit unkritischem Material an. Ob ein Bezahltarif einen AVV oder Business-Konditionen enthält, ist nach unserer Recherche nicht öffentlich dokumentiert (Stand: 2026-10).

Warum CapCut im Betrieb auftaucht

Wer jede Woche Produktclips für Instagram schneidet, will schnelle Vorlagen, automatische Untertitel und Effekte. CapCut ist kostenlos nutzbar, deshalb kann es passieren, dass eine einzelne Person im Marketing das Tool einsetzt, ohne dass Geschäftsführung oder Datenschutzverantwortliche davon wissen.

Das Problem beginnt beim Upload. Ein Video enthält Gesichter, Stimmen, Namensschilder, Firmenräume und manchmal Bildschirminhalte. Jede dieser Ebenen kann personenbezogene Daten oder Geschäftsgeheimnisse enthalten, und alles liegt nach dem Hochladen auf fremden Servern.

Ein Beispiel: Die Mitarbeiterstory eines Handwerksbetriebs zeigt drei Beschäftigte, die Werkstatt und einen Kundenauftrag im Hintergrund. Für die Beschäftigten kommen das Recht am eigenen Bild und der Beschäftigtendatenschutz ins Spiel. Der Kundenauftrag kann vertraglich vertraulich sein.

Was die Datenschutzerklärung konkret sagt

Grundlage ist die offizielle Privacy Policy von CapCut unter web-sg.capcut.com/clause/privacy-policy?lang=en, zuletzt aktualisiert am 15.04.2026. Wir haben sie im Oktober 2026 direkt dort geprüft. Die wichtigsten Punkte:

• Trainingsklausel: Laut der Richtlinie dürfen Inhalte der Nutzer auch genutzt werden, um Modelle und Algorithmen des maschinellen Lernens zu trainieren und zu verbessern (Stand: 2026-04).
• Rechtsgrundlage und Widerspruch: Für den EWR nennt die Richtlinie „berechtigte Interessen“ als Rechtsgrundlage für die Verbesserung der Dienste und erwähnt ein allgemeines Widerspruchsrecht (Stand: 2026-04).
• Kein eigener KI-Opt-out: Die Richtlinie nennt Einstellungen in der App, Cookie-Steuerung und die Abmeldung von Marketing-Mails. Einen gesonderten Opt-out für KI-Training nennt sie nicht (Stand: 2026-04).
• Kein AVV: Ein Auftragsverarbeitungsvertrag für geschäftliche Nutzung wird in der Datenschutzerklärung nicht erwähnt (Stand: 2026-04), und nach unserer Recherche ist er auch sonst nicht öffentlich dokumentiert (Stand: 2026-10).
• Serverstandorte: CapCut speichert laut Richtlinie Daten auf Servern in Malaysia, Singapur und den USA (Stand: 2026-04).
• EU-Vertreter: Für den EWR nennt die Erklärung die Mikros Information Technology Ireland Limited in Dublin als Vertreter (Stand: 2026-04).

Für dich als Verantwortliche oder Verantwortlicher folgt daraus: Ohne AVV fehlt dir die vertragliche Grundlage, wenn Dritte in deinem Auftrag personenbezogene Daten verarbeiten. Die Speicherung in Malaysia, Singapur und den USA ist ein Drittlandtransfer, der eine eigene Rechtsgrundlage und Schutzmaßnahmen braucht. Ob und welche solcher Maßnahmen CapCut für Business-Kunden bereithält, ist nach unserer Recherche nicht dokumentiert (Stand: 2026-10).

Wegen der Server in den USA bleibt außerdem die Anwendbarkeit des Cloud Act nicht vollständig ausgeschlossen. Die Konzernmutter ByteDance sitzt in China, wo Artikel 7 des National Intelligence Law von 2017 Organisationen zur Unterstützung nachrichtendienstlicher Arbeit verpflichtet. Ob das CapCut-Daten betrifft, ist öffentlich nicht belegt, und die Datenschutzerklärung nennt China nicht ausdrücklich (Stand: 2026-04). Für die Risikobewertung ist die Konzernstruktur dennoch relevant.

Die separaten Nutzungsbedingungen mit ihren Lizenzklauseln für hochgeladene Inhalte haben wir für diesen Ratgeber nicht ausgewertet. Prüfe sie vor einem Einsatz selbst.

Was „Hochrisiko“ hier bedeutet und was nicht

Im Gespräch fällt schnell der Begriff Hochrisiko. Rechtlich ist ein Hochrisiko-KI-System aber etwas anderes. Anhang III des AI Act zählt bestimmte Anwendungsfälle auf, etwa Personalauswahl, Kreditwürdigkeitsprüfung oder den Zugang zu Bildungseinrichtungen. Videoschnitt für Social Media gehört nicht dazu, und ein Schnittprogramm ist für sich genommen kein Hochrisiko-System.

Bei KI-generierten oder KI-veränderten Videos können dagegen Transparenz- und Kennzeichnungspflichten nach Art. 50 AI Act relevant werden, etwa bei realistisch wirkenden synthetischen Aufnahmen. Laut mehreren Fachquellen gelten diese Pflichten seit dem 2. August 2026 (Stand: 2026-10). Der Digital Omnibus (Verordnung (EU) 2026/1744) hat nach diesen Quellen nicht nur die Hochrisiko-Pflichten für Anhang III auf den 2. Dezember 2027 verschoben. Er hat auch für generative KI-Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, eine Frist bis zum 2. Dezember 2026 für die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 eingeführt (Stand: 2026-10). Die Angaben zu den Annahme- und Veröffentlichungsdaten weichen zwischen den Quellen voneinander ab. Prüfe die Fristen vor dem Einsatz im Originaltext bei EUR-Lex.

Das „Hochrisiko“ für KMU liegt also im Datenschutz und in der Vertraulichkeit, nicht in der AI-Act-Klasse.

Darf ich CapCut im Unternehmen nutzen?

Ein pauschales Ja oder Nein gibt es nicht. Entscheidend ist, was im Video steckt.

Ohne Personenbezug und ohne vertrauliche Inhalte fällt der Arbeitsschritt in der Regel nicht in den Anwendungsbereich der DSGVO. Ein Clip aus reinem Stockmaterial mit eigenem Logo ist dafür ein Beispiel. Hier bleiben vor allem Urheber- und Lizenzfragen.

Sobald Beschäftigte erkennbar sind, kommt Beschäftigtendatenschutz ins Spiel. Eine Einwilligung im Arbeitsverhältnis ist wegen der Abhängigkeit nur eingeschränkt tragfähig (vgl. § 26 Abs. 2 BDSG) und muss im Einzelfall geprüft werden. Bei Kundenaufnahmen kommen Vertraulichkeitsklauseln und das Geschäftsgeheimnisgesetz hinzu. Gesundheitsbezogene Angaben können besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO darstellen und sollten mit besonderer Sorgfalt verarbeitet werden. Bei Gesichtern greift Art. 9 vor allem dann, wenn sie technisch zur eindeutigen Identifizierung verarbeitet werden, nicht bei jedem Foto automatisch.

Kurz gesagt: Wenn Menschen oder Kundenprojekte im Video vorkommen, brauchst du fast immer: einen Vertrag mit dem Anbieter, der regelt, was mit den Daten passiert. Dazu eine Klärung, ob die Daten das Land verlassen dürfen, und die Zustimmung der gezeigten Personen. Fehlt eines davon, bleibt das Material besser außerhalb des Tools.

Was KMU stattdessen tun können

Wer trotzdem mit CapCut arbeiten will, hat mehrere Wege. Keiner ersetzt die Einzelfallprüfung.

1. Material trennen: Nur Inhalte ohne Personen und ohne Kundenbezug in CapCut bearbeiten. Alles andere in einem anderen Werkzeug schneiden.
2. Interne Regel festlegen: Eine kurze Richtlinie, welche Inhalte hochgeladen werden dürfen, verhindert Schatten-IT. Hintergründe zur unkontrollierten Tool-Nutzung findest du im Lexikon unter Shadow AI.
3. Lokale Schnittsoftware prüfen: Programme, die Videos auf dem eigenen Rechner verarbeiten, vermeiden den Upload. Prüfe dennoch, ob ihre Cloud-Funktionen oder die Telemetrie Daten übertragen.
4. Anbieter mit AVV vergleichen: Frage bei jedem Alternativtool konkret nach AVV, Serverstandort und KI-Training.

Prüffragen vor dem Einsatz

Diese fünf Fragen solltest du im Einzelfall beantworten können:

• Sind im Material Menschen erkennbar oder hörbar?
• Enthält es Informationen, die vertraglich oder als Geschäftsgeheimnis geschützt sind?
• Liegt ein AVV vor, der genau diese Nutzung und diesen Tarif abdeckt?
• Ist der Transfer in Drittländer durch eine Rechtsgrundlage und Schutzmaßnahmen abgesichert?
• Wer im Betrieb hat die Nutzung freigegeben und dokumentiert?

Kannst du eine Frage nicht beantworten, ist das ein Signal für weitere Prüfung, nicht für Weitermachen.

Methodik

Die Aussagen zu Serverstandorten, Trainingsklausel, Rechtsgrundlage und EU-Vertreter stammen aus der offiziellen Privacy Policy von CapCut (web-sg.capcut.com/clause/privacy-policy?lang=en, Stand 15.04.2026, abgerufen im Oktober 2026). Die Angaben zu den AI-Act-Fristen beruhen auf mehreren Fachquellen (Stand: 2026-10) und sind vor einer Entscheidung im Originaltext bei EUR-Lex zu prüfen. Scores sind Risikoeinschätzungen, keine Rechtsgutachten, und dieser Beitrag ist keine Rechtsberatung (Stand: 2026-10). Wie wir bewerten, erklärt die Seite Methodik unter /methodik.

Fazit & Empfehlung

CapCut eignet sich aus DSGVO-Sicht für unkritisches Material ohne Personenbezug. Für alles andere entsteht ein erheblicher zusätzlicher Prüfaufwand. Der Score von 3,5 bildet das ab, und die Einordnung im Einzelfall muss individuell geprüft werden.

Wir empfehlen kleinen Betrieben, mit drei Schritten zu starten: erstens Personen und Kundenmaterial aus CapCut heraushalten, zweitens eine kurze interne Regel schreiben, drittens vor jeder geschäftlichen Ausweitung AVV, Serverstandort und Trainingsklausel schriftlich beim Anbieter anfragen.

Du willst nicht jeden Vertrag selbst prüfen? Unsere Tooltests zeigen pro KI-Tool: AVV, DPA, KI-Training, Cloud-Act-Risiko, DSGVO-Score.