# Cloudinary

> Nimmt Bilder und Videos einmal entgegen und liefert sie über die Adresse in passender Größe, im passenden Format und über ein Auslieferungsnetz aus, sodass Varianten nicht mehr von Hand erzeugt und abgelegt werden.

- Anbieter: Cloudinary Ltd., Petah Tikva (Israel), mit Cloudinary Inc. (USA), Cloudinary UK Ltd. und Cloudinary Poland Sp. z o.o.
- Kanonische URL: https://www.convios.com/de/werkzeugkasten/cloudinary
- Sprachfassung: https://www.convios.com/en/toolbox/cloudinary
- Bereich: Inhalt & Web · Cluster: Bild- und Medienauslieferung
- Rolle: Baustein · Herkunft: Etabliert, KI nachgerüstet
- Stand: 2026-08-28 · Geprüft: 2026-08-28 · Autor: Dr. Oliver Gausmann, Convios GmbH
- Werkzeugkasten: https://www.convios.com/de/werkzeugkasten — Markdown: https://www.convios.com/de/werkzeugkasten.md

## Urteil

Verhindert Rückstand: Optimierte Bild- und Videoauslieferung ist Grundlage geworden. Wer sie nicht hat, zahlt mit Ladezeit, Absprüngen und schwächeren Werten in der Suche. Wer sie kauft, ist damit von niemandem zu unterscheiden, weil der Wettbewerb dieselbe Adresse mieten kann. Der Unterschied entsteht eine Ebene höher, im Katalog selbst und in der Frage, wie schnell aus einem Produktfoto eine vollständige Kampagne wird.

## Eignung nach Unternehmensgröße

- Solopreneur: bedingt geeignet — Der kostenlose Tarif mit 25 Guthabenpunkten im Monat trägt eine kleine Seite vollständig. Der Sprung auf 99 Dollar kommt abrupt, sobald Ablage, Umwandlungen und Datenvolumen zusammen das Guthaben aufbrauchen.
- KMU: geeignet — 99 Dollar im Plus-Tarif und 249 Dollar in Advanced bleiben planbar. Vor der Buchung lohnt die Rechnung, wie viele Guthabenpunkte das eigene Datenvolumen frisst, denn Ablage und Auslieferung teilen sich einen Topf.
- Konzern: bedingt geeignet — Alles, was der Einkauf prüft, liegt im Enterprise-Tarif: Anmeldung über SAML 2.0, Auslieferungsprotokolle, Speicherung im Europäischen Wirtschaftsraum, eigene Dienstgütezusage und die Sicherheitsprüfung. Der Auftragsverarbeitungsvertrag wirkt erst ab der Unterschrift unter ein Bestellformular, und an derselben Unterschrift hängt der Widerspruch gegen das Training generativer Modelle.

## Tragfähigkeit des Anbieters

Etabliert: Cloudinary Ltd. ist seit 2012 am Markt, die britische Tochter Cloudinary UK Ltd. seit dem 28.04.2018 unter der Nummer 11334866 eingetragen. Das Unternehmen ist ohne Wagniskapital gewachsen und nennt öffentlich datierte Umsatzmarken. Die einzige große Kapitalmeldung, Blackstone Growth im Februar 2022, war eine Sekundärtransaktion: Anteile wechselten den Besitzer, in die Gesellschaft floss dabei kein Geld. Produktveröffentlichungen laufen bis August 2026 durch, und die Störungshistorie liegt datiert öffentlich vor.

- Rechtsform und Registereintrag der britischen Tochter: CLOUDINARY UK LTD, Companies-House-Nummer 11334866, eingetragen am 28.04.2018, Sitz 30 Old Bailey, London EC4M 7AU. Muttergesellschaft ist Cloudinary Ltd. in Israel; die Unterauftragnehmer-Liste nennt zusätzlich Cloudinary Inc. (USA) und Cloudinary Poland Sp. z o.o. Eine deutsche Gesellschaft wird nirgends genannt, ein Impressum führt die Seite nicht. (Quelle: https://find-and-update.company-information.service.gov.uk/company/11334866, Stand 2026-08-28)
- Kapitalmeldung 2022 als Sekundärtransaktion: Am 15. und 16.02.2022 meldete die Presse eine Beteiligung von Blackstone Growth über mehr als 100 Mio. US-Dollar bei einer Bewertung von 2 Mrd. US-Dollar. Die Meldungen bezeichnen den Vorgang übereinstimmend als Secondary Investment: Anteile wechselten den Besitzer, frisches Kapital floss der Gesellschaft nicht zu. Ein Teil der Überschriften lässt diese Unterscheidung weg. (Quelle: https://cloudinary.com/newsroom, Stand 2022-02-16)
- Umsatzmarken ohne Wagniskapital, nach eigener Angabe: Die Pressesammlung des Anbieters führt am 15.01.2020 das Überschreiten von 60 Mio. US-Dollar wiederkehrendem Jahresumsatz ohne Wagniskapital und am 10.01.2022 die Marke von 100 Mio. US-Dollar. Am 15.06.2026 erscheint ein Beitragstitel mit 150 Mio. US-Dollar und dem Zusatz, dies sei ohne Investoren erreicht worden. Alle drei Angaben stammen vom Anbieter oder aus Gesprächen mit ihm; ein geprüfter Abschluss liegt öffentlich nicht vor. (Quelle: https://cloudinary.com/newsroom, Stand 2026-06-15)
- Laufende Produktveröffentlichungen: Datierte Mitteilungen 2026: 23.02. Entwickler-Gemeinschaft, 24.03. KI-gestützte Moderation, 29.04. Video-Automatisierung, 05.05. KI-Agenten für die Medienverwaltung, 23.06. Bild zu Video, 05.08. agentennahe Entwicklung. Die Entwicklung läuft also vier Jahre nach der Kapitalmeldung sichtbar weiter. (Quelle: https://cloudinary.com/newsroom, Stand 2026-08-05)
- Allianz mit dem Auslieferungsnetz Akamai: Am 11.06.2025 kündigten Akamai und Cloudinary eine strategische Allianz an. Akamai steht zugleich als Unterauftragnehmer für die Auslieferung in der Liste und bietet mit dem Image and Video Manager ein eigenes Konkurrenzprodukt an. (Quelle: https://cloudinary.com/newsroom, Stand 2025-06-11)
- Einordnung durch Analysten: Am 06.11.2025 meldete der Anbieter die Einstufung als Visionär im Gartner Magic Quadrant für Digital-Asset-Management-Plattformen 2025, nach derselben Einstufung im Vorjahr (Meldung vom 08.01.2025). Die Einordnung betrifft die Medienverwaltung, nicht die Auslieferung. (Quelle: https://cloudinary.com/newsroom, Stand 2025-11-06)
- Nutzerzahlen nach Anbieterangabe: Der Anbieter nennt am 22.07.2026 vier Millionen Entwickler mit einem Zuwachs von 82 Prozent binnen eines Jahres und auf der Unternehmensseite 13.000 Marken. Eine Erhebungsmethode wird nicht genannt, ein Konto ist kein zahlender Kunde. (Quelle: https://cloudinary.com/about, Stand 2026-07-22)
- Öffentliche Störungshistorie: Die Statusseite führt für den Zeitraum 19.03.2025 bis 13.08.2026 fünfzig datierte Vorfälle. Auf 2026 entfallen davon fünf mit der Einstufung major, zuletzt am 12.07.2026 erhöhte Fehlerraten bei Anfragen mit automatischer Bildausrichtung. Der Anbieter sagt eine Verfügbarkeit von 99,9 Prozent zu. (Quelle: https://status.cloudinary.com/history, Stand 2026-08-13)

## Ausstiegskosten

Mittel: Die Ursprungsdateien lassen sich über die Verwaltungsschnittstelle abholen, ab dem Plus-Tarif sichert Cloudinary zusätzlich in einen S3-Speicher des Kunden. Was nach dem Export fehlt, sind die Adressen: die Umwandlung steht im Pfad, also hängen Seiten, Feeds, Newsletter und fremde Zwischenspeicher an einem Adressmuster, das der nächste Anbieter nicht kennt. Dazu kommen benannte Umwandlungen, Upload-Voreinstellungen, strukturierte Metadaten und die automatisch vergebenen Schlagworte.

## Regulatorik und Daten

| Punkt | Befund | Belegstand | Stand |
|---|---|---|---|
| Auftragsverarbeitung | öffentlich als PDF, wirksam erst ab Unterschrift unter ein Bestellformular — Der Auftragsverarbeitungsvertrag mit Stand Juni 2026 liegt frei als PDF und ist ordentlich gebaut: Standardvertragsklauseln 2021/914 in den Modulen zwei und drei, britischer Zusatz, Meldung eines Datenvorfalls binnen 72 Stunden, irische Aufsichtsbehörde als zuständige Stelle. Der erste Satz zieht die Grenze: er wirkt mit der Ausführung eines Bestellformulars. Wer das Produkt über die Website mit Kreditkarte bucht, hat kein Bestellformular und damit keinen Auftragsverarbeitungsvertrag. | teilweise belegt | 2026-08-28 |
| Speicherort | AWS, Vereinigte Staaten oder Europäische Union je nach Standort; EWR verbindlich nur für Enterprise-Kunden — Die Datenschutzerklärung nennt AWS-Server in den Vereinigten Staaten oder in der Europäischen Union je nach Standort des Kunden und räumt die Beschränkung auf den Europäischen Wirtschaftsraum ausdrücklich nur Enterprise-Kunden ein. Verarbeitet und zugegriffen wird darüber hinaus in der Europäischen Union, den Vereinigten Staaten, dem Vereinigten Königreich, Singapur und Israel. Die Unterauftragnehmer-Liste bestätigt das für AWS mit dem Zusatz, EU- und APAC-Umgebungen stünden Enterprise-Kunden nach Bedarf offen. | teilweise belegt | 2026-08-28 |
| Subunternehmer | öffentliche Liste mit Zweck, Sitzland und Speicherland, Stand 03.02.2025 — Die Liste nennt 24 Einträge mit Zweck, Sitzland und Speicherland, darunter AWS und Google Cloud für den Betrieb, vier Auslieferungsnetze und OpenAI unter Support und Betrieb. Zwei Punkte halten sie unter der vollen Belegkraft: der Anbieter beschreibt sie selbst als Liste der wichtigsten Unterauftragnehmer, und sie trägt als letzten Stand den 03.02.2025, während seither Moderation, KI-Agenten und Bild-zu-Video hinzugekommen sind. Die Spalte zur Zertifizierung nach dem EU-US-Datenschutzrahmen ist in fast allen Zeilen leer. | teilweise belegt | 2026-08-28 |
| Drittlandübermittlung | Standardvertragsklauseln 2021/914 und EU-US-Datenschutzrahmen, Zuordnung je Empfänger fehlt — Die Grundlagen sind benannt und im Vertrag verankert: Standardvertragsklauseln nach dem Durchführungsbeschluss 2021/914, britischer Zusatz, Selbstzertifizierung von Cloudinary Inc. nach dem EU-US-Datenschutzrahmen samt britischer und schweizerischer Erweiterung. Offen bleibt die Zuordnung. Die Liste der Unterauftragnehmer führt eine eigene Spalte für die Zertifizierung nach dem Datenschutzrahmen und lässt sie fast überall leer, sodass sich je Empfänger nicht ablesen lässt, welche Grundlage trägt. | teilweise belegt | 2026-08-28 |
| Training mit Kundendaten | Ausschluss für generative Modelle nur für Enterprise-Kunden mit Bestellformular — Hier trennen sich zwei Aussagen, und die Trennlinie ist das Bestellformular. Auf die Frage, ob Kundendaten und Inhalte in das Training generativer Modelle einfließen, antwortet der Anbieter: für Enterprise-Kunden, die ein Bestellformular unterschrieben haben, nein, sie gelten als voreingestellt widersprechend. Für alle anderen lautet die allgemeine Antwort, man könne Daten und Inhalte der Nutzer verwenden, um die Dienste bereitzustellen, zu pflegen, weiterzuentwickeln und zu verbessern, in aggregierter und nicht identifizierbarer Form; ausgeschlossen sind ausdrücklich nur Daten mit Personenbezug. Produktfotos, Markenmaterial und Videomaterial tragen keinen Personenbezug. Dazu passt die Nutzungsbedingung, die dem Anbieter die Erlaubnis einräumt, eingestellte Inhalte für das Bereitstellen, Weiterentwickeln und Unterstützen der Dienste zu verwenden. Beide Zusagen stehen auf einer Marketingseite mit häufigen Fragen, nicht im Vertrag. | teilweise belegt | 2026-08-28 |
| Aufbewahrung und Löschung | Löschung personenbezogener Daten binnen 30 Tagen nach Vertragsende, Sicherungskopien ausgenommen — Abschnitt 10 des Auftragsverarbeitungsvertrags beziffert die Frist mit 30 Tagen nach Beendigung oder Ablauf und nimmt im selben Atemzug Kopien aus laufender Sicherung und Archivierung aus. Die Datenschutzerklärung ergänzt für die Inhalte selbst, sie würden nach Beendigung oder Deaktivierung gelöscht, ohne Frist und mit dem Hinweis, der Anbieter verantworte keine Sicherung; Auslieferungsprotokolle bleiben ohne genannte Frist erhalten, damit ein Konto wieder aufgenommen werden kann. | teilweise belegt | 2026-08-28 |
| Zertifikate | SOC 2 Type II (Deloitte), ISO 27001 (Prüfsiegel IQC 2025), ISO/IEC 42001, ISO 14001; Berichte nur auf Anfrage — Vier Nachweise werden benannt, die Vertrauensseite trägt ein Prüfsiegel für ISO 27001 mit der Jahresangabe 2025. Zwei Einschränkungen bleiben. Berichte und Zertifikate gibt der Anbieter nach Abschnitt 9.2 des Auftragsverarbeitungsvertrags nur auf schriftliche Anfrage heraus, höchstens einmal im Jahr; Zertifikatsnummer, ausstellende Stelle und Geltungsbereich stehen öffentlich nirgends. Und der Anhang zwei desselben Vertrags mit Stand Juni 2026 nennt die Fassung ISO/IEC 27001:2013, deren Übergangsfrist zur Fassung 2022 am 31.10.2025 endete, und formuliert im selben Absatz einmal zertifiziert und einmal angelehnt an. | teilweise belegt | 2026-08-28 |
| EU-KI-Verordnung, Artikel 50 | Zertifizierung nach ISO/IEC 42001 genannt, C2PA-Herkunftsdaten bei allen generativen Umwandlungen voreingestellt — Der Anbieter gibt an, nach ISO/IEC 42001 für Managementsysteme künstlicher Intelligenz zertifiziert zu sein, und hängt nach eigener Darstellung bei allen generativen Umwandlungen Herkunftsdaten nach dem C2PA-Standard an, ohne dass der Betreiber etwas dafür tun muss. Genau das trägt die Kennzeichnungspflicht für künstlich erzeugte Inhalte aus Artikel 50 der KI-Verordnung. Die Verordnung selbst wird auf keiner der geprüften Seiten beim Namen genannt, und zur Zertifizierung fehlen Nummer und ausstellende Stelle. Der Verweis in den Nutzungsbedingungen auf eine AI-Trust-Seite führt auf diese Marketingseite mit häufigen Fragen. | belegt | 2026-08-28 |
| Protokollierung | Auslieferungsprotokolle nur im Enterprise-Tarif, Reichweite und Frist nicht veröffentlicht — Der Tarifvergleich führt Auslieferungsprotokolle zusammen mit Bereitstellungsschnittstellen, Anmeldung über SAML 2.0 und eigener Dienstgütezusage im Block, der ausschließlich für Enterprise gilt. Welche Ereignisse erfasst werden, wie lange sie vorgehalten und wie sie in eigene Systeme ausgeleitet werden, steht öffentlich nicht. Wer Nachweispflichten planen muss, kann das aus den veröffentlichten Unterlagen nicht tun. | teilweise belegt | 2026-08-28 |

## Kosten

- Einstieg: Kostenlos mit 25 Guthabenpunkten im Monat, 3 Nutzern und 1 Konto. Plus kostet 99 Dollar im Monat, bei Jahreszahlung 89, und enthält 225 Punkte. Advanced kostet 249 Dollar, bei Jahreszahlung 224, und enthält 600 Punkte. Ein Punkt entspricht 1.000 Umwandlungen oder 1 GB Ablage oder 1 GB ausgeliefertem Bildvolumen. (Stand 2026-08-28)
- Teuer wird es: Das Guthaben ist ein gemeinsamer Topf. Ablage, Umwandlungen und ausgeliefertes Volumen zehren daran gleichzeitig, also frisst eine Verkehrsspitze das Budget der Ablage mit auf. Videovolumen wird nur in bezahlten Tarifen zwei zu eins angerechnet. Anmeldung über SAML 2.0, Auslieferungsprotokolle, Speicherung im Europäischen Wirtschaftsraum und eine eigene Dienstgütezusage liegen allein im Enterprise-Tarif, und die Suche über mehr als zehn Millionen Objekte kann nach Anbieterangabe zusätzlich kosten.

## Drei Wege im Vergleich

### Adobe Experience Manager Assets oder Akamai Image and Video Manager

Konzerne bleiben bei Adobe, weil das Asset-System an Freigabe, Rechte und Kampagnenplanung gekoppelt ist, also an Vorgänge außerhalb der Auslieferung. Akamai liefert die Optimierung als Zusatz zu einem Auslieferungsnetz, das ohnehin unter Vertrag steht, und spart damit einen Vertrag, eine Rechnung und eine Sicherheitsprüfung. Kurios daran: Akamai und Cloudinary haben am 11.06.2025 eine Allianz angekündigt, und Akamai steht zugleich als Unterauftragnehmer in Cloudinarys eigener Liste.

### ImageKit

ImageKit kostet 9 Dollar im Lite-Tarif und 89 Dollar im Pro-Tarif, führt Datenvolumen und Ablage getrennt und rechnet Mehrverbrauch nach, statt bei einem festen Guthaben abzuriegeln. Pro enthält 225 GB Datenvolumen und 225 GB Ablage, wofür bei Cloudinary 225 Punkte für beides zusammen reichen müssen. Aufgeben muss man dafür die Tiefe der Videostrecke, die Breite der Anbindungen und den Vertragsweg, an dem bei Cloudinary Auftragsverarbeitung und Trainings-Widerspruch hängen.

### Objektspeicher, Umwandlungsdienst und eigenes Auslieferungsnetz

Der Weg ist real und wird oft gegangen: Originale in einen Objektspeicher wie Supabase Storage, davor ein quelloffener Umwandlungsdienst wie imgproxy oder Thumbor, davor Cloudflare als Auslieferungsnetz, verdrahtet mit n8n und gebaut mit Claude Code. Für statische Seiten deckt Astro mit seiner Bildstrecke die Varianten schon beim Bauen ab. Am Zuschneiden scheitert das nie. Es scheitert an vier Stellen: das Verwerfen der Zwischenspeicher über alle abgeleiteten Varianten hinweg, die Rechteschicht für Material, das nicht öffentlich sein darf, die Videoumwandlung mit anpassungsfähigem Datenstrom, und die Rufbereitschaft für eine Strecke, die vor jeder einzelnen Seite steht. Der fünfte Punkt kommt später: die Wartung, wenn der Erbauer das Haus verlassen hat.

Empfehlung nach Größe:

- Solopreneur: Kostenloser Tarif, oder bei einer statischen Seite die Bildstrecke von Astro und gar kein Vertrag.
- KMU: Kaufen, Plus oder Advanced, und vorher das eigene Datenvolumen in Guthabenpunkte umrechnen.
- Konzern: Kaufen, aber das Bestellformular vor den ersten Daten unterschreiben: Auftragsverarbeitung, EWR-Speicherung und der Widerspruch gegen Modelltraining hängen alle daran. Protokolle und Anmeldung über SAML gleich mit einpreisen.

## Einordnung

- Setzt Methode um: [70/20/10 Creative-Reskinning](https://www.convios.com/de/methodik/creative-reskinning) — Die Methode vervielfältigt das, was nachweislich wirkt, und genau daran hängt die Auslieferung: solange jede Abwandlung ein neuer Export ist, bleibt die Zahl der Tests von der Kapazität der Grafik abhängig statt von der Nachfrage.
- Setzt Methode um: [Value-Metric-Pricing](https://www.convios.com/de/methodik/value-metric-pricing) — Der Guthabenpunkt, der wahlweise 1.000 Umwandlungen, 1 GB Ablage oder 1 GB Auslieferung deckt, ist ein Lehrbeispiel für eine Wertmetrik und dafür, wie eine geteilte Einheit die Rechnung des Kunden unvorhersehbar macht.
- Setzt Methode um: [Regulatorik-Dichte-Test](https://www.convios.com/de/methodik/regulatorik-dichte-test) — Hier zeigt sich, wozu der Test da ist: Auftragsverarbeitung, EWR-Speicherung, Protokolle und der Widerspruch gegen Modelltraining hängen alle an derselben Unterschrift, und wer das erst im Einkauf merkt, hat die Daten längst drin.
- Alternative: [Astro](https://www.convios.com/de/werkzeugkasten/astro)
- Alternative: [Cloudflare Pages](https://www.convios.com/de/werkzeugkasten/cloudflare-pages)
- Verdrängt: Bildskalierung im eigenen Anwendungsserver, Von Hand erzeugte Varianten im Dateisystem, Getrennte Strecke für die Videoumwandlung

## Belege

- Tarife, Guthabenlogik und Preise — https://cloudinary.com/pricing (Stand 2026-08-28)
- Enterprise-gebundene Leistungen: Anmeldung über SAML 2.0, Auslieferungsprotokolle, eigene Dienstgütezusage — https://cloudinary.com/pricing/compare-plans (Stand 2026-08-28)
- Auftragsverarbeitungsvertrag, Standardvertragsklauseln, Löschfristen, Prüfrechte, technische Maßnahmen — https://cloudinary-marketing-res.cloudinary.com/image/upload/v1780332751/Cloudinary_Data_Processing_Agreenent_DPA_June_2026.pdf (Stand 2026-08-28)
- Speicherort, Verarbeitung in Drittländern, Löschung der Inhalte, öffentliche Voreinstellung hochgeladener Dateien — https://cloudinary.com/privacy (Stand 2026-08-28)
- Unterauftragnehmer mit Zweck und Land, Stand der Liste — https://cloudinary.com/trust/subprocessors (Stand 2026-08-28)
- Modelltraining auf Kundeninhalten, Widerspruch für Enterprise, ISO/IEC 42001, C2PA-Herkunftsdaten — https://cloudinary.com/products/cloudinary_ai/faq (Stand 2026-08-28)
- Nutzungsrecht an eingestellten Inhalten, anwendbares Recht und Gerichtsstand — https://cloudinary.com/tou (Stand 2026-08-28)
- Zertifikate, Verfügbarkeitszusage und Prüfsiegel — https://cloudinary.com/trust (Stand 2026-08-28)
- Registereintrag der britischen Tochter — https://find-and-update.company-information.service.gov.uk/company/11334866 (Stand 2026-08-28)
- Preise und Inklusivmengen des KI-nativen Gegenstücks ImageKit — https://imagekit.io/plans (Stand 2026-08-28)