DSGVO- und ISO-27001-qualifizierte Dateiupload-Services mit Bildoptimierung und Kundenspeicher
Ein beschaffungsorientierter Vergleich von Transloadit, Cloudinary, ImageKit, Uploadcare und Filestack für Browser-Uploads, Bildverarbeitung und Export in Amazon S3, Google Cloud Storage, Microsoft Azure Blob Storage oder ein anderes vom Kunden kontrolliertes Ziel.
Diese Seite stützt sich auf öffentliche Erstanbieter-Dokumentation der Anbieter. Sicherheitsnachweise, Vertragsbedingungen, Tarife und Preise ändern sich. Bevor Sie sich entscheiden, fragen Sie bei jedem Anbieter das aktuelle Zertifikat samt Geltungsbereich, den AVV, die Unterauftragsverarbeiter-Liste und das Bestellformular an.
Die kurze Antwort
Unter den für diese Seite geprüften öffentlichen Quellen ist Transloadit der einzige Kandidat, der jeden Teil der Anforderung an einer Stelle dokumentiert:
- Zertifizierung: Die Sicherheitsseite nennt eine ISO/IEC-27001-Zertifizierung auf Anbieterebene.
- DSGVO: Die Datenschutzerklärung dokumentiert einen AVV und regionale Verarbeitungs-Endpunkte.
- Uploads: Uppy deckt Browser-Uploads und Vorverarbeitung ab.
- Kundenspeicher: Native Export-Robots schreiben Workflow-Ergebnisse nach S3, GCS, Azure und in andere Ziele.
Die anderen Services bleiben nützliche Kandidaten, doch ihre Speichermodelle und öffentlichen ISO-Nachweise sind nicht austauschbar:
- Cloudinary und ImageKit sind in erster Linie verwaltete Bild- und Asset-Plattformen.
- Uploadcare dokumentiert direkte Optionen für Kunden-S3, während die Anleitungen für GCS und Azure auf Backend-Code des Kunden setzen.
- Filestack dokumentiert nativen Kundenspeicher für S3, GCS und Azure, doch seine öffentliche ISO-Aussage beschreibt AWS-Einrichtungen statt eines Filestack-Zertifikats.
Was „qualifiziert“ hier bedeutet
Dies ist eine Shortlist, keine Compliance-Zertifizierung und keine Rechtsauskunft. Jede Zelle in den folgenden Matrizen trägt eines von drei Labels:
- Verified Die verlinkte Anbieterquelle belegt die Aussage direkt.
- Conditional Die Fähigkeit hängt von einem Tarif, einer Konfiguration, einem Kunden-Backend oder einem Vertrag ab.
- Review Die öffentlichen Quellen belegen die genaue Beschaffungsanforderung nicht. Das heißt nicht, dass dem Anbieter die Fähigkeit fehlt. Fragen Sie aktuelle nichtöffentliche Nachweise an.
ISO erläutert, dass die Umsetzung von ISO/IEC 27001 und der Besitz eines Zertifikats unterschiedliche Aussagen sind. Die Europäische Kommission erläutert, dass die DSGVO-Konformität eine Pflicht bleibt, selbst wenn eine Organisation einen optionalen genehmigten Zertifizierungsmechanismus nutzt. Deshalb behandelt diese Seite „DSGVO-konform“ nicht als allgemeine Anbieterzertifizierung.
Matrix zu Sicherheit und Vertrag
| Kriterium | Transloadit | Cloudinary | ImageKit | Uploadcare | Filestack |
|---|---|---|---|---|---|
| Sicherheitszertifizierung auf Anbieterebene | Verified Die Sicherheitsseite nennt die ISO/IEC-27001-Zertifizierung und SOC 2 Type II. Fordern Sie das aktuelle Zertifikat bzw. den Bericht samt Geltungsbereich an. | Review Die aktuelle Trust-Seite listet SOC 2 Type 2, nennt aber ISO 27001 nicht. Eine ältere datierte Trust-Seite tat dies; fordern Sie das aktuelle Zertifikat samt Geltungsbereich an. | Review Die Trust-Seite besagt, ImageKit sei konform mit ISO 27001 und unabhängig auditiert, verlinkt aber kein Zertifikat. Fordern Sie Zertifikat, Version und Geltungsbereich an. | Review Das Trust Center listet SOC 2 Type II, HIPAA und DSGVO. Das Sicherheits-Whitepaper ordnet ISO-27001-Kontrollen Infrastrukturanbietern zu, nicht einem Uploadcare-Zertifikat. | Review Filestack veröffentlicht ein Schreiben zum SOC-2-Auditstatus. Die Sicherheitserklärung ordnet die ISO-27001-Zertifizierung AWS-Rechenzentren zu, nicht Filestack. |
| DSGVO-Rolle und AVV | Verified Die Datenschutzerklärung und der AVV-Abschnitt (English) beschreiben die Rollen Verantwortlicher/Auftragsverarbeiter und einen auf Anfrage gegengezeichneten AVV. | Verified Cloudinary veröffentlicht einen AVV und erläutert seine Pflichten als Auftragsverarbeiter in der Datenschutzerklärung. | Verified Die DSGVO-Seite beschreibt die Rollen Verantwortlicher/Auftragsverarbeiter und einen AVV mit SCCs auf Anfrage. | Verified Die DSGVO-Seite nennt den AVV und die SCCs, die für die Verarbeitung von Kundendaten gelten. | Review Die Datenschutzerklärung behandelt Verarbeitungstätigkeiten, DSGVO-Rechte und internationale Übermittlungen. Ein aktueller öffentlicher Produkt-AVV wurde nicht gefunden; fordern Sie den maßgeblichen AVV und die Übermittlungsbedingungen an. |
Matrix zu Upload und Bildverarbeitung
| Kriterium | Transloadit | Cloudinary | ImageKit | Uploadcare | Filestack |
|---|---|---|---|---|---|
| Browser-Dateiuploader | Verified Uppy bietet einen modularen Browser-Dateiuploader mit fortsetzbaren Uploads und einer Transloadit-Integration. | Verified Das Upload Widget unterstützt Browser-Uploads aus lokalen und entfernten Quellen. | Verified Der Web-Schnellstart dokumentiert Browser-Uploads in die Media Library, einschließlich Uppy-Integration. | Verified Der File Uploader ist eine Web Component mit Quellenauswahl und Bildeditor. | Verified Der File Picker bietet Web-Uploads aus lokalen und verbundenen Quellen. |
| Vorverarbeitung im Browser | Verified Uppy bietet Bildbearbeitung und Komprimierung im Browser vor dem Upload. | Verified Das Upload Widget unterstützt clientseitige Bildskalierung vor dem Upload. | Review ImageKit dokumentiert Vorverarbeitung in mobilen SDKs, doch der geprüfte Web-Schnellstart belegt keine gleichwertige Vorverarbeitung im Browser. Upload-Transformationen sind ein separates serverseitiges Feature. | Verified Image Shrink ändert Bildgrößen und komprimiert Bilder im Browser per Canvas neu, vorbehaltlich dokumentierter Grenzen. | Verified Der File Picker dokumentiert lokale Bildabmessungen und Optionen zur Größenänderung vor dem Upload. |
| Serverseitige Bildverarbeitung | Verified Bildverarbeitung umfasst Größenänderung, Zuschneiden, Formatkonvertierung, Optimierung und kombinierbare Workflows. | Verified Cloudinary dokumentiert serverseitige Bildtransformationen. | Verified ImageKit dokumentiert automatische Optimierung und serverseitige Bildtransformationen. | Verified Uploadcare bietet eine API für Bildtransformationen zur Größenänderung und zum Zuschneiden. | Verified Die Processing API von Filestack transformiert Bilder und andere Dateien. |
| URL-Transformationen | Conditional Smart CDN kombiniert ein signiertes Template, URL-Parameter und Caching; es ist optional und nicht der einzige Verarbeitungsweg. | Verified Die Transformationsreferenz von Cloudinary definiert URL-basierte Auslieferungstransformationen. | Verified Die Transformationssyntax von ImageKit wendet Transformationen über URL-Parameter oder Pfaddirektiven an. | Verified Die Transformations-API von Uploadcare nutzt URL-Operationen für die verarbeitete Auslieferung. | Verified Die Processing API von Filestack codiert Aufgaben in Auslieferungs-URLs und liefert transformierte Assets über ihr CDN zurück. |
Matrix zu Speicher, Datenresidenz und Preisen
| Kriterium | Transloadit | Cloudinary | ImageKit | Uploadcare | Filestack |
|---|---|---|---|---|---|
| Exportziele | Verified Native Dateiexport-Robots schreiben Ergebnisse nach S3, GCS, Azure, SFTP, FTP und in andere Ziele; ein Workflow kann mehrere Speicher ansteuern. | Conditional Cloudinary dokumentiert S3, GCS und Azure als Upload-Quellen, Primärspeicher oder Backup, abhängig von Tarif und Sonderkonfiguration. Als generischer Export mit mehreren Zielen pro Workflow ist dies nicht dokumentiert. | Conditional Die Trust-Seite dokumentiert schreibgeschützte Kunden-Origins und ein Backup in Kunden-S3 nahezu in Echtzeit. Die geprüften Quellen belegen keinen nativen Export der Media Library nach GCS oder Azure. | Conditional Direkter Kunden-S3-Speicher und Kopieren sind in der S3-Integration dokumentiert. Die Anleitungen für GCS und Azure übertragen Dateien über Backend-Code des Kunden. | Verified Externer Speicher unterstützt Kunden-S3, GCS, Azure, Dropbox und Rackspace in kostenpflichtigen Tarifen. |
| Speicher-Eigentum | Verified Kundenspeicher kann nach dem Export das dauerhafte führende System sein. Die Datenschutzerklärung (English) erläutert, dass Transloadit Dateien vorübergehend verarbeitet und die Aufbewahrung der Ergebnisse davon abhängt, ob Dateien exportiert werden. | Conditional Cloudinary bietet normalerweise verwalteten Asset-Speicher; Kunden-Buckets können stattdessen im dokumentierten Tarif bzw. Setup als Origin, Primärspeicher oder Backup dienen. | Conditional Originale können in einem schreibgeschützten Kunden-Origin bleiben, während Uploads in die Media Library ImageKit-Speicher nutzen, sofern kein Kunden-S3-Backup konfiguriert ist. | Conditional Uploadcare-Speicher ist der Standard. Direkter Kunden-S3-Speicher ist eine Enterprise-Option; das Kopieren nach S3 beendet für sich genommen nicht die Verarbeitungs- und Speicherrolle von Uploadcare. | Conditional Von Filestack verwaltetes S3 ist das Standardziel; kostenpflichtige Tarife können kundeneigenen Speicher wählen. |
| Regionale Verarbeitung | Verified Die Datenschutzerklärung (English) dokumentiert die Regionen US East, Irland und Singapur und besagt, dass ein ausdrücklich angegebener regionaler Endpunkt eine Assembly in dieser Region hält. | Conditional Cloudinary dokumentiert Rechenzentren in US, EU und AP sowie regionale Hostnamen für zutreffende Enterprise-Setups; prüfen Sie Speicher, Verarbeitung, Logs und Failover im Bestellformular. | Conditional Die DSGVO-Seite listet wählbare Verarbeitungsregionen. Die Trust-Seite nennt isolierten Speicher, aber ein mögliches Failover in eine andere Region, während einige Konto- und Log-Daten separat behandelt werden. | Review Die öffentliche Unterauftragsverarbeiter-Liste und die Übermittlungsbewertung beschreiben internationale Übermittlungen, doch die geprüften Quellen belegen keine vom Kunden wählbaren, festgelegten Verarbeitungsregionen. | Conditional Filestack gibt an, dass sein Haupt-Rechenzentrum und seine Datenbank in Northern Virginia liegen, während Kundenspeicher in einer anderen Region liegen kann. Ein regionaler Bucket allein belegt keine regionale Verarbeitung. |
| Preismodell | Verified Nutzungsbasierte GB-Tarife; die Preisseite listet ein kostenloses Community-Kontingent, Lite für 29 $ pro Monat mit 15 GB inklusive und 2 $ je zusätzlichem GB, Pro für 54 $ pro Monat bei jährlicher Abrechnung bzw. 69 $ bei monatlicher Zahlung sowie individuelle Enterprise-Tarife. | Verified Ein Credit-Modell, das Transformationen, Speicher und Bandbreite kombiniert; die Preisseite listet Free, Plus für 99 $ pro Monat bzw. 89 $ pro Monat bei jährlicher Abrechnung sowie Enterprise. | Verified Einheiten für Bandbreite, Speicher und Erweiterungen; die Preisseite listet Free, Lite ab 9 $ pro Monat, Pro ab 89 $ pro Monat und Enterprise. | Verified Operationen, Traffic und Speicher; die Preisseite listet Free, Pro ab 66 $ pro Monat, Business und Enterprise. | Verified Tarifkontingente, Überschreitungen und optionale Add-ons; die Preisseite listet Free, Start ab 69 $ pro Monat, Grow, Scale und Enterprise. |
Einstiegspreise sind keine Produktionspreise. Die öffentlichen Tarifseiten definieren keine Stufe, die anbieterübergreifend vergleichbar wäre. Ein gleichwertiges Angebot muss daher Ihr Volumen, Ihre Transformationen, Egress, Speicher, Support, Regionen, Sicherheitsfunktionen und die Konfiguration des Kundenspeichers abdecken.
Speicherbegriffe, die leicht verwechselt werden
- Origin: Der Service liest Originale aus Ihrem Bucket, in der Regel ohne die Eigentümerschaft zu verlagern.
- Primärspeicher: Neu hochgeladene Assets werden als ihr dauerhafter Hauptspeicherort in den gewählten Kunden-Bucket geschrieben.
- Backup: Eine Kopie wird in den Kundenspeicher geschrieben, während der Asset-Speicher des Anbieters aktiv bleibt.
- Workflow-Export: Ausgewählte Verarbeitungsergebnisse werden nach Abschluss eines Jobs in ein oder mehrere Ziele geschrieben.
„Bring your own bucket“ kann jedes der vier Modelle bedeuten. Unabhängig davon, welches ein Anbieter bietet, fragen Sie nach, ob temporäre Dateien, Caches, abgeleitete Assets, Metadaten, Logs und Failover-Kopien auf der Infrastruktur des Anbieters verbleiben.
Empfohlene Prüfungen bei der Beschaffung
- Besorgen Sie sich das aktuelle ISO/IEC-27001-Zertifikat, die ausstellende Stelle, die Version, das Ablaufdatum und die Erklärung zur Anwendbarkeit. Bestätigen Sie, dass der beauftragte Service und die relevante Betreibergesellschaft im Geltungsbereich liegen.
- Prüfen Sie den AVV, die SCCs, die Unterauftragsverarbeiter-Liste, den Löschplan, die Vorfallbedingungen und die Auditrechte.
- Zeichnen Sie den tatsächlichen Datenpfad: Browser, Upload-Endpunkt, temporärer Speicher, Verarbeitungsregion, Cache, Logs, Exportziel und Löschung.
- Testen Sie genau die Speicheroperation, die Sie benötigen. Ein S3-Origin, ein S3-Backup und der Export jedes abgeleiteten Assets nach S3 sind unterschiedliche Architekturen.
- Kalkulieren Sie eine produktionsnahe Last statt des günstigsten kostenpflichtigen Tarifs: Upload-Volumen, Transformationen, Egress, Speicher, Operationen, Add-ons, Support und Überschreitungen.
Wann Transloadit am besten passt
Transloadit passt am besten, wenn kundenkontrollierter Speicher das endgültige Ziel ist und die Verarbeitungsschicht kombinierbar bleiben muss: einmal hochladen, validieren, optimieren oder konvertieren und jedes Ergebnis in einen oder mehrere Speicher exportieren. Beginnen Sie mit der praxisnahen Anleitung zu Dateiupload, Bildoptimierung und S3 (English) und prüfen Sie anschließend gemeinsam mit Ihren Security- und Plattform-Teams die Seiten zu Sicherheit, Datenschutz und AVV (English) und Dateiexport.
Wenn Ihre Hauptanforderung ein verwaltetes DAM mit URL-basierter Bildauslieferung ist, passen Cloudinary oder ImageKit möglicherweise besser. Wenn die Breite der Picker oder ein bestimmter Speicher-Connector die Entscheidung bestimmt, verdienen Uploadcare oder Filestack womöglich einen Proof of Concept. Die richtige Antwort hängt vom verifizierten Datenpfad und vom Vertrag ab, nicht von der längsten Feature-Checkliste.