# RudderStack

> RudderStack sammelt Ereignisse aus Websites, Anwendungen und Servern ein, prüft sie gegen einen hinterlegten Ereignisplan und liefert sie an das eigene Data Warehouse sowie an angeschlossene Zielsysteme aus.

- Anbieter: RudderStack, Inc., San Francisco
- Kanonische URL: https://www.convios.com/de/werkzeugkasten/rudderstack
- Sprachfassung: https://www.convios.com/en/toolbox/rudderstack
- Bereich: GTM & Vertrieb · Cluster: Kundendaten-Plattform
- Rolle: Baustein · Herkunft: Etabliert, KI nachgerüstet
- Stand: 2026-09-04 · Geprüft: 2026-09-04 · Autor: Dr. Oliver Gausmann, Convios GmbH
- Werkzeugkasten: https://www.convios.com/de/werkzeugkasten — Markdown: https://www.convios.com/de/werkzeugkasten.md

## Urteil

Verhindert Rückstand: Gekauft wird eine Zustellkette. Ereignisse gehen an einer Stelle hinein, werden gegen einen Plan geprüft und kommen im eigenen Warehouse und in den Zielsystemen wieder heraus. Wer diese Kette nicht hat, kann Kundendaten weder auswerten noch aktivieren, und jede KI-Anwendung auf Kundendaten steht dann ohne Kontext da. Wer sie hat, liegt damit nirgends vorn. Denselben Weg gehen Twilio Segment und Hightouch, und die Aufrufe sind so weit angeglichen, dass ein Wechsel in beide Richtungen offensteht. Zwei Dinge entscheiden über den Nutzen, und beide bleiben im Haus. Das erste ist der Ereignisplan. Ohne die Festlegung, welche Ereignisse mit welchen Feldern erlaubt sind, transportiert die Kette denselben Datenmüll schneller als vorher, und die Prüfung greift ins Leere. Das zweite ist das Warehouse. Der Anbieter baut bewusst darauf auf und speichert nach eigener Angabe nichts dauerhaft, was den Ausstieg erleichtert und zugleich bedeutet, dass Speicher, Rechenzeit und Modellierung nebenher anfallen und in keiner Rechnung des Anbieters stehen. Ein Punkt gehört vor die Beschaffung. Die Nutzungsbedingungen in Abschnitt 3.2 (f) untersagen es, Namen oder E-Mail-Adressen zusammen mit Telefonnummern oder Postanschriften an den Dienst zu übergeben, ausgenommen die eigenen Nutzer des Kunden, dazu Finanz- und Gesundheitsdaten. Die Sicherheitsseite wirbt im selben Auftritt mit HIPAA und einem unterschriftsfähigen Vertrag über Gesundheitsdaten. Beides steht nebeneinander, geprüft am 04.09.2026, und für eine Kundendaten-Plattform ist das keine Nebensache: genau diese Feldkombinationen sind der übliche Inhalt.

## Eignung nach Unternehmensgröße

- Solopreneur: bedingt geeignet — Der Preis steht dem nicht im Weg. Der kostenlose Tarif nimmt 250.000 Ereignisse im Monat auf, führt 16 Anbindungen für die eigenen Anwendungen, über 200 Ziele und den Weg zurück aus dem Warehouse mit zehn Verbindungen. Was im Weg steht, ist das Warehouse selbst. Ohne Snowflake, BigQuery oder eine vergleichbare Ablage samt jemandem, der Tabellen modelliert, liefert die Kette Daten an eine Stelle, an der niemand damit arbeitet. Der Abgleich mit dem Warehouse läuft im kostenlosen Tarif alle drei Stunden, für Auswertungen reicht das.
- KMU: geeignet — Hier passt der Zuschnitt. Growth beginnt bei 265 US-Dollar im Monat für eine Million Ereignisse, gestaffelt bis 25 Millionen, mit unbegrenzten Nutzern, unbegrenzten Ereignisplänen, getrennten Umgebungen für Entwicklung und Betrieb und einem Abgleich alle 30 Minuten. Es gibt keinen Platzpreis und keine Mindestlaufzeit, bei Jahreszahlung 15 Prozent Nachlass. Die Arbeit im Haus ist der Ereignisplan und die Frage, welches Ziel bei welcher Einwilligung beliefert wird. Wer diese beiden Festlegungen überspringt, hat nach einem halben Jahr eine Kette, die niemand mehr zurückverfolgen kann.
- Konzern: bedingt geeignet — Vier Punkte liegen im teuersten Tarif, und der hat keinen veröffentlichten Preis. Die Anmeldung über den eigenen Verzeichnisdienst, das Zugriffsprotokoll, der Betrieb in einer getrennten Netzumgebung und ein verhandelter Rahmenvertrag gehören sämtlich zu Enterprise, ebenso die Profile und die Bewertungsmodelle. Dazu kommt der Speicherort. Der Auftragsverarbeitungsvertrag lässt die Wahl zwischen Amazon Web Services in der EU und in den Vereinigten Staaten, überlässt sie aber dem Bestellformular und setzt ohne Eintrag die Vereinigten Staaten. Ein über die Website abgeschlossenes Abonnement erzeugt kein Bestellformular. Wer die EU braucht, klärt sie im Vertrag, nicht in den Einstellungen.

## Tragfähigkeit des Anbieters

Finanziert: Die Gesellschaft sitzt in San Francisco, gilt nach Abschnitt 10.6 der Nutzungsbedingungen dem Recht von Delaware und ist nach den öffentlich verfügbaren Meldungen von Wagniskapital finanziert. Für eine Beschaffung wiegt ein anderer Punkt schwerer als die Kapitalausstattung: der Anbieter führt Unterlagen unterschiedlichen Alters nebeneinander. Der Auftragsverarbeitungsvertrag in der Fassung Februar 2026 bietet Amazon Web Services in der EU an und stützt Übermittlungen auf den EU-US-Datenschutzrahmen. Die Bewertung der Übermittlungsrisiken auf derselben Website trägt das Datum 12.01.2022, beschreibt die Verarbeitung ausschließlich in Verfügbarkeitszonen der Vereinigten Staaten und kennt den Rahmen noch nicht, weil er damals nicht bestand. Wer diesen Punkt prüft, fragt vor der Unterschrift nach, welches der beiden Dokumente den eigenen Vertrag beschreibt.

- Rechtsperson und Sitz: RudderStack, Inc., 631 Howard Street, Floor 5, San Francisco, CA 94105; Recht des Staates Delaware, Gerichtsstand ein Bundesgericht im Northern District of California oder ein Staatsgericht in San Francisco. Ein Impressum führt der Auftritt nicht, das Seitenverzeichnis kennt fünf Rechtsseiten (Quelle: https://www.rudderstack.com/terms-of-service/, Stand 2026-09-04)
- Finanzierung: 56 Mio. US-Dollar in einer als Series B bezeichneten Runde, angeführt von Insight Partners, dazu Kleiner Perkins und S28 Capital; veröffentlicht am 02.02.2022 auf dem Blog des Anbieters, der dort die bis dahin aufgenommene Summe mit 82 Mio. US-Dollar angibt. Eine spätere Runde ist nicht veröffentlicht (Quelle: https://www.rudderstack.com/blog/enabling-the-customer-data-stack-rudderstack-series-b-funding/, Stand 2026-09-04)
- Nachweis Sicherheitsprüfung: SOC 2 Type 2 am 05.04.2021 gemeldet; der Auftragsverarbeitungsvertrag verpflichtet in Abschnitt 9.1 dazu, den Bericht unter Vertraulichkeitsauflagen bereitzustellen. Prüfstelle, Geltungsbereich und Prüfzeitraum stehen auf keiner öffentlich erreichbaren Seite. Eine Zertifizierung nach ISO/IEC 27001 nennt der Anbieter für sich nicht (Quelle: https://www.rudderstack.com/blog/rudderstack-is-now-soc-2-certified-your-trust-is-our-treasure/, Stand 2026-09-04)
- Zertifizierung Datenübermittlung: Zertifizierung unter dem Datenschutzrahmen am 24.11.2025 gemeldet, nach eigener Angabe für den EU-US-Rahmen, dessen britische Erweiterung und den Schweizer Rahmen; der Auftragsverarbeitungsvertrag nennt sie in Abschnitt 6.1 als Übermittlungsgrundlage (Quelle: https://www.rudderstack.com/blog/rudderstack-data-privacy-framework-certification/, Stand 2026-09-04)
- Laufende Entwicklung: Beitrag zur über Infrastrukturbeschreibungen gesteuerten Verwaltung der Ereignispläne am 02.02.2026 veröffentlicht; der Auftragsverarbeitungsvertrag trägt den Stand Februar 2026 (Quelle: https://www.rudderstack.com/blog/new-iac-driven-governance-supports-trustworthy-customer-context/, Stand 2026-09-04)
- Betriebslage: die Statusseite führt getrennte Bestandteile für die Aufnahme und die Verarbeitung in der EU und weist für 90 Tage 100 Prozent beziehungsweise 99,99 Prozent Verfügbarkeit aus; zwischen dem 20.08. und dem 03.09.2026 ist kein Vorfall gemeldet (Quelle: https://status.rudderstack.com/, Stand 2026-09-04)

## Ausstiegskosten

Mittel: Die Daten sind schon draußen. Der Anbieter baut auf dem Warehouse des Kunden auf und speichert nach eigener Angabe nichts dauerhaft, die Ereignisse liegen also von Anfang an in der eigenen Ablage. Was nach dem Ausstieg fehlt, ist alles darüber: die Umformungen in JavaScript oder Python, die Einstellungen der Ziele, die Ereignispläne mit ihren Regeln für Verstöße und die Profile samt Bewertungsmodellen aus dem teuersten Tarif. Die Aufrufe der Anbindungen folgen derselben Vorlage wie beim älteren Marktbegleiter, das erleichtert den Weg in beide Richtungen. Der Vertrag lässt Zeit: Abschnitt 6.3 der Nutzungsbedingungen stellt die Kundendaten 30 Tage nach dem Ende bereit, Abschnitt 1.6 hält die Einstellungen bei einem pausierten Konto ein Jahr lang vor. Der Aufwand am Tag des Wechsels liegt in den Anwendungen, nicht im Vertrag.

## Regulatorik und Daten

| Punkt | Befund | Belegstand | Stand |
|---|---|---|---|
| Auftragsverarbeitung | öffentlich als Volltext abrufbar, in der Fassung Februar 2026, und über die Nutzungsbedingungen ohne Anfrage und ohne Tarifbindung einbezogen — Der Vertrag liegt unter einer festen Adresse offen aus und ist nach Abschnitt 10 der Nutzungsbedingungen ausdrücklich Bestandteil der Vereinbarung. Er benennt die Rollen eindeutig: der Kunde ist Verantwortlicher oder Auftragsverarbeiter, der Anbieter ausschließlich Auftragsverarbeiter oder Unterauftragsverarbeiter, mit Verarbeitung allein auf dokumentierte Weisung nach Artikel 28 Absatz 3 DSGVO. Abschnitt 2.2 verbietet dem Anbieter zusätzlich, personenbezogene Daten zu verkaufen, für eigene Werbe- oder Auswertungszwecke zu verarbeiten oder eigene Zwecke festzulegen. Für die Betriebsdaten des Kontos gilt eine andere Ordnung, die in Abschnitt 2.4 der Nutzungsbedingungen steht. | belegt | 2026-09-04 |
| Speicherort | Amazon Web Services in der EU oder in den Vereinigten Staaten, die Wahl trifft das Bestellformular; ohne Eintrag gelten die Vereinigten Staaten — Abschnitt 5.3 des Auftragsverarbeitungsvertrags stellt beide Regionen zur Wahl und sagt im selben Absatz, dass ohne eine Angabe im Bestellformular Amazon Web Services in den Vereinigten Staaten der voreingestellte Anbieter ist. Die EU-Region gibt es also, sie kommt aber nicht von selbst, und ein über die Website abgeschlossenes Abonnement erzeugt kein Bestellformular. Dass die Region im Betrieb trägt, zeigt die Statusseite: sie führt Aufnahme und Verarbeitung in der EU als eigene Bestandteile. Die Bewertung der Übermittlungsrisiken auf derselben Website beschreibt die Verarbeitung dagegen ausschließlich in Verfügbarkeitszonen der Vereinigten Staaten und trägt das Datum 12.01.2022. | teilweise belegt | 2026-09-04 |
| Subunternehmer | öffentliche Liste im Auftragsverarbeitungsvertrag, zwei Einträge mit Zweck und Land, dazu 30 Tage Ankündigung vor jedem Wechsel — Eine eigene Seite für Unterauftragnehmer gibt es nicht, das Seitenverzeichnis führt insgesamt fünf Rechtsseiten. Die Liste steht in Abschnitt 5.3 des Auftragsverarbeitungsvertrags und nennt zwei Einträge mit Zweck und Land: Amazon Web Services in der EU und Amazon Web Services in den Vereinigten Staaten, beide als Anbieter der Rechenleistung. Abschnitt 5.4 sagt eine Ankündigung mindestens 30 Tage vor einem neuen Unterauftragnehmer zu, per E-Mail an den Unterzeichner oder über die Website, und räumt 20 Tage für einen begründeten Widerspruch ein. Bleibt der Widerspruch ohne Einigung, kann der Kunde den betroffenen Teil des Dienstes aussetzen. | belegt | 2026-09-04 |
| Drittlandübermittlung | Übermittlung in die Vereinigten Staaten möglich; als Grundlage nennt der Vertrag den EU-US-Datenschutzrahmen und zusätzlich die Standardvertragsklauseln von 2021, Module zwei und drei — Abschnitt 6 des Auftragsverarbeitungsvertrags ordnet die Grundlagen einzeln zu. Für die Vereinigten Staaten gilt die Zertifizierung unter dem Datenschutzrahmen, gemeldet am 24.11.2025; die Standardvertragsklauseln nach dem Durchführungsbeschluss 2021/914 sind daneben einbezogen, mit Modul zwei für die Übermittlung vom Verantwortlichen an den Auftragsverarbeiter, Modul drei für die Kette zwischen Auftragsverarbeitern, aktivierter Andockklausel und irischem Recht. Für das Vereinigte Königreich gilt der Zusatz zu den Klauseln als abgeschlossen, für die Schweiz die Klauseln mit den dort verlangten Anpassungen. Wer in der EU speichert, löst die Frage im Bestellformular und braucht die Grundlage nur noch für den Randbetrieb. | belegt | 2026-09-04 |
| Training mit Kundendaten | eigene Zwecke am Kundeninhalt vertraglich ausgeschlossen; das Wort Anlernen fällt in keinem der beiden Verträge, eine Erstreckung auf Modellanbieter fehlt — Zwei Stellen tragen die Aussage. Abschnitt 2.2 des Auftragsverarbeitungsvertrags untersagt dem Anbieter, personenbezogene Daten zu verkaufen, für eigene Werbe- oder Auswertungszwecke zu verarbeiten oder eigene Zwecke festzulegen. Abschnitt 2.4 der Nutzungsbedingungen zieht die Grenze zur zweiten Datenart: die Betriebsdaten des Kontos, also Menge und Art der Ereignisse, eingerichtete Ziele, genutzte Funktionen, Teamgröße, Anmeldehäufigkeit und Sitzungsdauer, sind ausdrücklich keine Kundendaten, enthalten keine Inhalte der Ereignisse und dürfen mit ihnen nicht zusammengeführt werden. Diese Betriebsdaten nutzt der Anbieter nach derselben Stelle für Produktauswertung, Sicherheit, Kundenbindung und Vertrieb. Ein Satz zum Anlernen von Modellen steht in keinem der beiden Dokumente, und da der Anbieter Bewertungsmodelle als Funktion führt, bleibt offen, welche Zusage für die dabei eingesetzten Modellanbieter gilt. | teilweise belegt | 2026-09-04 |
| Aufbewahrung und Löschung | Löschung oder Rückgabe binnen 30 Tagen nach Verlangen, Sicherungskopien höchstens 90 Tage, Löschbestätigung auf Anfrage — Abschnitt 10 des Auftragsverarbeitungsvertrags beziffert beide Fristen: 30 Tage nach dem Verlangen des Kunden für die Löschung oder Rückgabe, für Sicherungskopien der übliche Sicherungszyklus und höchstens 90 Tage. Eine Löschbestätigung gibt es auf Anfrage. Die Nutzungsbedingungen ergänzen zwei weitere Fristen: nach Abschnitt 6.3 stehen die Kundendaten 30 Tage nach dem Ende der Vereinbarung zum Abruf bereit, nach Abschnitt 1.6 bleiben die Einstellungen eines pausierten Kontos ein Jahr erhalten und dürfen danach gelöscht werden. Die Sicherheitsseite sagt, der Anbieter speichere die Daten nicht. Die Fristen im Vertrag zeigen, dass er sie im Betrieb hält, wenn auch kurz. | belegt | 2026-09-04 |
| Zertifikate | SOC 2 Type 2 nach Anbieterangabe, Bericht auf Anfrage unter Vertraulichkeit; Zertifizierung unter dem Datenschutzrahmen seit 24.11.2025; HIPAA nur im teuersten Tarif — Genannt sind drei Nachweise, und jeder trägt eine Einschränkung. Die Meldung zur Prüfung nach SOC 2 Type 2 stammt vom 05.04.2021; welche Stelle geprüft hat, welcher Geltungsbereich abgedeckt ist und welcher Zeitraum zugrunde liegt, steht auf keiner öffentlich erreichbaren Seite, der Bericht kommt nach Abschnitt 9.1 des Vertrags nur unter Vertraulichkeitsauflagen. Die Zertifizierung unter dem Datenschutzrahmen meldet der Anbieter am 24.11.2025 und beruft sich darauf im Vertrag. Die Erfüllung der Anforderungen für Gesundheitsdaten samt unterschriftsfähigem Vertrag führt die Preisseite ausschließlich unter Enterprise. Eine Zertifizierung nach ISO/IEC 27001 nennt der Anbieter für sich nicht; die Norm taucht auf seinen Seiten nur in erklärenden Beiträgen auf. Das Prüfrecht regelt Abschnitt 9.2: einmal im Jahr, ausschließlich aus der Ferne, weil der Anbieter keinen physischen Standort führt. | teilweise belegt | 2026-09-04 |
| EU-KI-Verordnung, Artikel 50 | Selbstetikett als agentische und KI-native Plattform, ohne jede Erwähnung der Verordnung (EU) 2024/1689 auf den geprüften Seiten — Der Anbieter tritt auf der Startseite als agentische Kundendaten-Plattform auf und führt im teuersten Tarif Identitätsauflösung, Zielgruppenbildung und Bewertungsmodelle. Geprüft wurden am 04.09.2026 alle fünf Rechtsseiten, die Sicherheitsseite, die Preisseite und rund 200 weitere Seiten aus dem Lernbereich und dem Blog, darunter der gesamte Bereich zur Datensicherheit. Die Verordnung (EU) 2024/1689 kommt an keiner dieser Stellen vor, ebenso wenig eine Aussage zu den Transparenzpflichten aus Artikel 50 oder eine Zertifizierung nach ISO/IEC 42001. Für die Praxis ist das tragbar, weil die Bewertungsmodelle im eigenen Warehouse rechnen und niemandem gegenübertreten: die Kennzeichnung setzt der Betreiber selbst, sobald er aus einer Bewertung heraus Kunden anspricht. Eine eigene Festlegung im Ablauf ersetzt die fehlende Zusage. | teilweise belegt | 2026-09-04 |
| Protokollierung | Zugriffsprotokoll nur im teuersten Tarif; Reichweite ist beschrieben, Aufbewahrungsfrist und Ausleitung sind es nicht — Die Dokumentation sagt klar, dass das Protokoll allein zum Enterprise-Tarif gehört, und beschreibt die Reichweite: erfasst werden Nutzer, Handlung, Ziel, Art des Gegenstands und Zeitpunkt, über Quellen, Ziele, Umformungen, Änderungen am Team, die zweite Anmeldestufe und den Arbeitsbereich. Wie lange die Einträge liegen und ob sie sich in ein eigenes System ausleiten lassen, steht dort nicht, und die Preisseite führt den Punkt in ihrem Tarifvergleich gar nicht auf. Geprüft wurden die Preisseite mit dem vollständigen Vergleich, die Sicherheitsseite, die Dokumentation zum Protokoll und der Auftragsverarbeitungsvertrag. Wer Nachweispflichten plant, klärt Frist und Ausleitung vor der Unterschrift. | teilweise belegt | 2026-09-04 |

## Kosten

- Einstieg: Free kostet nichts und nimmt 250.000 Ereignisse im Monat auf, mit zehn Mitgliedern, einer Umgebung für den Betrieb, einem Abgleich mit dem Warehouse alle drei Stunden, zehn Verbindungen zurück aus dem Warehouse und fünf Umformungen. Growth beginnt bei 265 US-Dollar im Monat für eine Million Ereignisse und staffelt sich über drei, fünf, sieben, zehn und 25 Millionen; darüber verweist der Anbieter auf den Vertrieb. Der Tarif bringt unbegrenzte Mitglieder, unbegrenzte Ereignispläne, getrennte Umgebungen für Entwicklung und Betrieb, einen Abgleich alle 30 Minuten und 25 Verbindungen zurück aus dem Warehouse; bei Jahreszahlung gibt es 15 Prozent Nachlass und 30 Tage zum Ausprobieren. Enterprise hat keinen veröffentlichten Preis. (Stand 2026-09-04)
- Teuer wird es: Die Rechnung hängt an einer einzigen Größe, und die wächst mit dem Geschäft. Abgerechnet wird je Ereignis, und ein Ereignis ist nach Abschnitt 5.1 (b) der Nutzungsbedingungen ein einzelner Aufruf, gemessen an der Aufnahmestelle; die Abrechnungssysteme des Anbieters gelten dabei als maßgeblicher Nachweis. Wiederholungen nach Fehlern beim Ziel und eigene Prüfaufrufe zählen nicht mit. Wer Seitenaufrufe ungefiltert einsammelt, zahlt für Daten, die niemand auswertet, und genau dagegen hilft der Ereignisplan. Die zweite Stufe ist ein Sprung, kein Anstieg. Anmeldung über den Verzeichnisdienst, Zugriffsprotokoll, getrennte Netzumgebung, verhandelter Rahmenvertrag, Gesundheitsdaten und die Profile liegen sämtlich in Enterprise, und dieser Tarif hat keinen Preis, den man vorher lesen kann. Dazu die Kosten außerhalb der Rechnung: Speicher und Rechenzeit im eigenen Warehouse fallen an, sobald die Kette läuft.

## Drei Wege im Vergleich

### Twilio Segment kaufen, den Marktstandard

Segment gehört zu Twilio und ist das etablierte Gegenstück; die Aufrufe track, identify, page, screen, group und alias stammen aus dieser Vorlage und werden von den anderen Anbietern nachgebaut. In Konzernen bleibt es meist deshalb, weil es unter einem bestehenden Rahmenvertrag mit einer bereits geprüften Vertragspartei läuft und die eigenen Entwickler die Aufrufe ohnehin kennen. Der Preis ist der Unterschied, den man vor dem Gespräch sieht: die Preisseite nennt für die Kundendaten-Plattform keine Zahl, führt Volumen und Durchsatz als individuell und verweist auf den Vertrieb, geprüft am 04.09.2026. Für die reine Anbindungsstrecke gibt es 14 Tage zum Ausprobieren. Wer vergleichen will, führt also zuerst ein Gespräch.

### Hightouch nehmen und die Entscheidung mitkaufen

Hightouch setzt eine Ebene höher an und verkauft neben dem Transport auch die Entscheidung darüber, wer wann welche Ansprache bekommt; die Werbe- und Lebenszyklus-Bausteine samt maschineller Entscheidung sitzen im selben Werkzeug. Der kostenlose Einstieg deckt zwei aktive Abgleiche zurück aus dem Warehouse ab, unbegrenzt viele Ziele und unbegrenzt viele Nutzer. Bezahlt wird nach Verbrauch, und eine Zahl steht auf der Preisseite nicht, geprüft am 04.09.2026. Aufgegeben wird damit dasselbe wie beim Marktstandard: die Möglichkeit, den Preis zu lesen, bevor man verhandelt. Dazu wandert die Logik, wer angesprochen wird, aus dem eigenen Warehouse in ein fremdes Werkzeug.

### Die Kette selbst bauen, oder den Kern selbst betreiben

Zwei Wege stehen offen, und der zweite sieht billiger aus, als er ist. Der erste ist der echte Eigenbau: die Aufnahmestelle für die Ereignisse läuft auf Cloudflare Pages und Workers, Identitäten und Zwischenstände liegen in Supabase, die Verteilung an die Ziele übernimmt n8n, die Schlüssel dafür liegen in Infisical, PostHog deckt die Produktauswertung ab, geschrieben wird das mit Claude Code. Gerechnet mit 900 Euro Tagessatz und 20 bis 30 Personentagen für einen Stand, der drei bis fünf Ziele zuverlässig bedient, liegt der erste tragfähige Stand bei 18.000 bis 27.000 Euro, dazu der laufende Betrieb; diese Rechnung ist eine Schätzung. Der zweite Weg ist der Selbstbetrieb des Anbietercodes. Der Kern steht unter der Elastic License 2.0 offen und lässt sich in Kubernetes betreiben, die Steuerungsebene bleibt jedoch beim Anbieter: die selbst betreibbare Fassung ist abgekündigt und arbeitet nicht mehr mit den Kernversionen nach 1.2 zusammen. Im offenen Stand fehlen zudem der Weg zurück aus dem Warehouse, die Steuerung der Datenqualität, das Zugriffsprotokoll, die Anmeldung über den Verzeichnisdienst, die Alarmierung und der Betrieb über mehrere Knoten. Gebrochen wird beides an derselben Stelle, den Zielanbindungen. Jedes Ziel hat eigene Feldnamen, eigene Grenzen für die Aufrufhäufigkeit, eigenes Verhalten bei Wiederholungen und ändert das alles ohne Vorwarnung. Über 200 davon pflegt der Anbieter für alle Kunden gemeinsam; im Eigenbau pflegt einer die fünf eigenen, und diese Arbeit hört nie auf. Dazu die Frage, wer die Kette wartet, wenn der Erbauer das Haus verlässt, und wer belegt, dass eine widerrufene Einwilligung an jedem Ziel angekommen ist.

Empfehlung nach Größe:

- Solopreneur: Mit Free anfangen, aber erst, wenn ein Warehouse steht und jemand die Tabellen pflegt.
- KMU: Growth nehmen und im selben Zug den Ereignisplan festschreiben, bevor das erste Ziel angeschlossen wird.
- Konzern: Vor der Unterschrift die EU-Region ins Bestellformular schreiben und die Feldbeschränkung aus Abschnitt 3.2 (f) gegen den eigenen Datenbedarf halten.

## Einordnung

- Setzt Methode um: [GTM-Stack mit Signal-Routing](https://www.convios.com/de/methodik/gtm-stack-signal-routing) — Die Methode verlangt eine Stelle, an der die Signale zusammenlaufen, bevor eine Bewertung über den nächsten Schritt entscheidet, und genau diese Stelle ist die Kundendaten-Plattform.
- Setzt Methode um: [Lead-Scoring: beste Leads zu besten Closern](https://www.convios.com/de/methodik/lead-scoring-routing) — Eine Bewertung ist nur so gut wie die Felder, aus denen sie rechnet; der geprüfte Ereignisplan entscheidet darüber, ob diese Felder überhaupt vollständig ankommen.
- Setzt Methode um: [Datenmonetarisierung: verbessern, umhüllen, verkaufen](https://www.convios.com/de/methodik/data-monetization-improve-wrap-sell) — Die Methode verlangt vor jeder Dateninitiative einen benannten Wertnachweis, und dieses Werkzeug gehört ausschließlich auf den ersten Weg, den eigenen Betrieb verbessern.
- Setzt Methode um: [AI-GTM-Reifegrad (4 Levels)](https://www.convios.com/de/methodik/ai-gtm-reifegrad) — Ohne verlässlichen Kundenkontext bleibt jede Stufe oberhalb der ersten unerreichbar, weil die Modelle sonst auf lückenhaften Daten entscheiden.
- Alternative: [PostHog](https://www.convios.com/de/werkzeugkasten/posthog)
- Alternative: n8n
- Verdrängt: Selbstgebaute Skripte, die Ereignisse je Ziel einzeln nachbauen, Zählpixel, die in jeder Anwendung einzeln gepflegt werden, Nächtliche Ausleitungen aus der Datenbank in einzelne Vertriebswerkzeuge

## Belege

- Rechtsperson, Anschrift, anwendbares Recht und Gerichtsstand, Ereignisbegriff und Abrechnung in Abschnitt 5.1 (b), Betriebsdaten des Kontos in Abschnitt 2.4, Feldbeschränkung in Abschnitt 3.2 (f), Bereitstellung der Kundendaten 30 Tage nach dem Ende in Abschnitt 6.3, Aufbewahrung der Einstellungen ein Jahr in Abschnitt 1.6 — https://www.rudderstack.com/terms-of-service/ (Stand 2026-09-04)
- Fassung Februar 2026, Rollenverteilung nach Artikel 28 DSGVO, Verbot eigener Zwecke in Abschnitt 2.2, Unterauftragnehmerliste mit zwei Einträgen und Voreinstellung Vereinigte Staaten in Abschnitt 5.3, Ankündigungs- und Widerspruchsfristen in Abschnitt 5.4, Übermittlungsgrundlagen in Abschnitt 6, Prüfrecht in Abschnitt 9, Löschfristen 30 und 90 Tage in Abschnitt 10 — https://www.rudderstack.com/data-privacy-addendum/ (Stand 2026-09-04)
- Tarife Free, Growth ab 265 US-Dollar für eine Million Ereignisse und Enterprise auf Anfrage, Volumenstufen, Abgleichzeiten, Zahl der Verbindungen und Umformungen, Zuordnung von Anmeldung über den Verzeichnisdienst, Gesundheitsdaten, getrennter Netzumgebung und Profilen zu Enterprise — https://www.rudderstack.com/pricing/ (Stand 2026-09-04)
- Aussage, der Anbieter speichere die Daten nicht, Nennung von Anmeldung über den Verzeichnisdienst, verschlüsseltem Tunnel, Rechteverwaltung und Zugriffsprotokoll, sowie von SOC 2 Type 2 und der Erfüllung der Anforderungen für Gesundheitsdaten mit unterschriftsfähigem Vertrag — https://www.rudderstack.com/security/ (Stand 2026-09-04)
- Zugriffsprotokoll ausschließlich im Enterprise-Tarif, erfasst werden Nutzer, Handlung, Ziel, Art des Gegenstands und Zeitpunkt über Quellen, Ziele, Umformungen, Team, zweite Anmeldestufe und Arbeitsbereich; keine Angabe zu Aufbewahrungsfrist und Ausleitung — https://www.rudderstack.com/docs/dashboard-guides/audit-logs/ (Stand 2026-09-04)
- Im offenen Stand fehlen der Weg zurück aus dem Warehouse, die Steuerung der Datenqualität, Ereigniskennzahlen, das Zugriffsprotokoll, die Anmeldung über den Verzeichnisdienst, der Betrieb in getrennter Netzumgebung, Alarmierung, Einladungen ins Team und der Betrieb über mehrere Knoten; die selbst betreibbare Steuerungsebene ist abgekündigt und arbeitet nicht mehr mit Kernversionen nach 1.2 — https://www.rudderstack.com/docs/get-started/rudderstack-open-source/hosted-vs-open-source/ (Stand 2026-09-04)
- Der Kern rudder-server steht unter der Elastic License 2.0 und lässt sich über Docker und Kubernetes betreiben, für den Betrieb empfiehlt der Anbieter Kubernetes — https://github.com/rudderlabs/rudder-server (Stand 2026-09-04)
- Finanzierung von 56 Mio. US-Dollar unter Führung von Insight Partners mit Kleiner Perkins und S28 Capital, veröffentlicht am 02.02.2022, Gesamtsumme bis dahin 82 Mio. US-Dollar nach derselben Meldung — https://www.rudderstack.com/blog/enabling-the-customer-data-stack-rudderstack-series-b-funding/ (Stand 2026-09-04)
- Zertifizierung unter dem Datenschutzrahmen gemeldet am 24.11.2025, nach Anbieterangabe für den EU-US-Rahmen, dessen britische Erweiterung und den Schweizer Rahmen — https://www.rudderstack.com/blog/rudderstack-data-privacy-framework-certification/ (Stand 2026-09-04)
- SOC 2 Type 2 gemeldet am 05.04.2021 — https://www.rudderstack.com/blog/rudderstack-is-now-soc-2-certified-your-trust-is-our-treasure/ (Stand 2026-09-04)
- Die Bewertung der Übermittlungsrisiken trägt das Datum 12.01.2022 und beschreibt die Verarbeitung ausschließlich in Verfügbarkeitszonen der Vereinigten Staaten — https://www.rudderstack.com/data-transfer-impact-assessment/ (Stand 2026-09-04)
- Getrennte Bestandteile für Aufnahme und Verarbeitung in der EU mit 100 Prozent und 99,99 Prozent Verfügbarkeit über 90 Tage, kein Vorfall zwischen dem 20.08. und dem 03.09.2026 — https://status.rudderstack.com/ (Stand 2026-09-04)
- Twilio Segment nennt für die Kundendaten-Plattform keinen Preis, führt Volumen und Durchsatz als individuell und verweist auf den Vertrieb; für die Anbindungsstrecke gibt es 14 Tage zum Ausprobieren — https://www.twilio.com/en-us/pricing/customer-data (Stand 2026-09-04)
- Hightouch rechnet nach Verbrauch und veröffentlicht keine Zahl; der kostenlose Einstieg deckt zwei aktive Abgleiche zurück aus dem Warehouse ab, bei unbegrenzten Zielen und Nutzern — https://hightouch.com/pricing (Stand 2026-09-04)