Was ServiceNow ist

ServiceNow ist eine Plattform für IT-Service-Management und Workflow-Automatisierung. Das Unternehmen wurde 2004 in den USA gegründet und hat seinen Sitz in Santa Clara, Kalifornien. Kern ist die Verwaltung von Störungen, Änderungen und Serviceanfragen, ergänzt um eine Konfigurationsdatenbank (CMDB).

Auf derselben Plattform laufen Anwendungen für IT-Betrieb, Kundenservice und Personalwesen sowie eigene Anwendungen, die Unternehmen mit Low-Code-Werkzeugen bauen. ServiceNow betreibt die Plattform als Cloud-Dienst in eigenen Rechenzentren, darunter zwei in Deutschland.

Wofür es eingesetzt wird

Große Unternehmen und Verwaltungen nutzen ServiceNow als zentrales Werkzeug für ihren IT-Service-Desk und verknüpfen darüber Prozesse aus mehreren Abteilungen. Weil viele Abläufe und Daten an einer Stelle liegen, hängt ein großer Teil des Betriebs an dieser Plattform.

Für Kunden mit Souveränitätsanforderungen gibt es mehrere Wege: die Option EU-Services, den Betrieb im eigenen Rechenzentrum mit Private Stack und seit 2026 Partner-Clouds von T-Systems und STACKIT in Deutschland. Die Software bleibt in allen Fällen proprietär und an eine Lizenz von ServiceNow gebunden.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz als Cloud-Dienst für IT-Service-Management, meist in mittleren und großen Organisationen; Fragen zu Selbstbetrieb und Quellcode sind für einen Cloud-Dienst sinngemäß gelesen.

Rechtsraum nicht erfüllt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	nein	Konzernmutter ist die ServiceNow, Inc. mit Sitz in Santa Clara, Kalifornien. Vertragspartner für europäische Kunden ist laut Mustervertrag u. a. die ServiceNow Nederland B.V., eine Tochtergesellschaft. Beleg: Locations (Standorte) · ServiceNow Subscription Service Agreement, Versi…
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	nein	Als US-Anbieter unterliegt ServiceNow dem CLOUD Act (18 U.S.C. § 2713), der Herausgabepflichten unabhängig vom Speicherort vorsieht. ServiceNow nimmt am EU-U.S. Data Privacy Framework teil. Eine öffentliche Aussage von ServiceNow zum Umgang mit Behördenanfragen wurde nicht gefunden. Beleg: 18 U.S. Code § 2713: Required preservation and d… · Trust: Compliance · Trust: Frequently asked questions
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	teilweise	Auslegung: Schutzmaßnahmen im SaaS-Betrieb. Cloud Encryption verschlüsselt die Datenbank und erlaubt kundeneigenes Schlüsselmaterial; laut Doku hält ServiceNow den Schlüssel aber auf eigener Infrastruktur, ein Rückzug des Schlüssels erfordert eine Zusatz-SKU. Der External Key Management Service (Juni 2026) hält den Schlüssel im AWS KMS des Kunden, gilt aber zunächst nur für Field Encryption, also einzelne Felder. Eine Ende-zu-Ende-Verschlüsselung der Plattformdaten gibt es nicht. Selbstbetrieb ist über Private Stack möglich, gehört aber nicht zur bewerteten Ausprägung. Beleg: Docs (Zurich): Cloud Encryption with Key Managem… · External Key Management Service: keep your encry… · Private Stack: deploy the full ServiceNow AI Pla…
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	ja	Anbieter ist die ServiceNow, Inc. (Delaware, Hauptverwaltung Santa Clara, USA), an der New York Stock Exchange notiert. Der Jahresbericht für 2025 nennt keinen beherrschenden Aktionär und keinen Kontrollwechsel; ein solcher ist für November 2024 bis November 2026 nicht ersichtlich. Der Sitz außerhalb der EU ist in 1.1 bewertet. Beleg: Form 10-K für das Geschäftsjahr 2025 (SEC)

Datenhoheit eingeschränkt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	teilweise	ServiceNow betreibt ein Rechenzentrumspaar in Deutschland und bietet die Option EU-Services, mit der in der EU gehostete Daten ausschließlich in der EU verarbeitet werden sollen; ServiceNow nennt dafür „notwendige, aber begrenzte Ausnahmen“, ohne sie aufzuzählen. Eine Transfer-Folgenabschätzung eines Kunden (Sekundärquelle) nennt Speicherung in Irland und den Niederlanden innerhalb von EU/EWR. Vertragstext zum Speicherort und zu Backups wurde nicht gefunden. Beleg: Press room: ServiceNow invests in growth in Germ… · ServiceNow announces multimillion euro investmen… · ServiceNow launches its Protected Platform for t… · Executive Summary Transfer Impact Assessment Ser…
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	teilweise	Auslegung: Lässt sich die Plattform außerhalb der ServiceNow-Rechenzentren betreiben? Mit Private Stack betreiben Kunden oder Partner die Plattform in eigener Infrastruktur, Kunden verwalten Hardware, Datenbank, Netzwerk und Betriebssystem. Funktionen wie AI Gateway oder Cloud Encryption fehlen dort, der Einstieg läuft über das Account-Team und einen kostenpflichtigen Workshop. Als Partner-Clouds gibt es T-Systems (zertifiziert September 2026) und STACKIT; der Dienstleister ist damit nicht frei wählbar, sondern auf von ServiceNow zugelassene Partner beschränkt. Beleg: Private Stack: deploy the full ServiceNow AI Pla… · T-Systems geht live als Sovereign Partner Cloud… · Sovereign ServiceNow · ServiceNow on STACKIT
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	teilweise	Usage Insights erfasst Nutzungsdaten auf der Instanz. Auch bei Abschalten des Dashboards per Systemeigenschaft werden Daten weiter für aggregierte Kennzahlen gesammelt, die laut Doku für Dienstbetrieb und Produktentwicklung genutzt werden. Vollständig abschalten lässt sich die Erfassung nur über einen Supportfall bei ServiceNow. Eine vollständige Liste der übermittelten Telemetriedaten wurde nicht gefunden. Beleg: Docs (Zurich): Tracking controls and data collec…
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	teilweise	ServiceNow nutzt laut Dokumentation geteilte Kundendaten, um die eigenen Now-LLMs fortlaufend zu verbessern. Kunden müssen dafür in der Now-Assist-Konsole widersprechen (Opt-out); ausgenommen sind nur GCC- und selbst gehostete Instanzen. Der Auftragsverarbeitungszusatz begrenzt die Nutzung auf die vereinbarten Zwecke, regelt KI-Training aber nicht ausdrücklich. Beleg: Docs (Zurich): User data usage policy for Now As… · Docs: Opt out of data sharing for Now Assist · Data Processing Addendum, Version 03MAY2024

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	ServiceNow ist proprietäre Software; der Quellcode der Kernfunktionen steht nicht unter einer OSI-Lizenz zur Verfügung. Das gilt auch für Private Stack. Beleg: ServiceNow Subscription Service Agreement, Versi… · Private Stack: deploy the full ServiceNow AI Pla…
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Der Betrieb setzt ein Abonnement des Subscription Service voraus; auch Private Stack erhält Anwendungssoftware, Upgrade-Pakete und Support von ServiceNow. Beleg: ServiceNow Subscription Service Agreement, Versi… · Private Stack: deploy the full ServiceNow AI Pla…
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	nein	Nach Vertragsende stellt ServiceNow die Kundendaten auf schriftliche Anfrage innerhalb von 45 Tagen im eigenen Datenbank-Exportformat bereit und löscht sie danach. Ein Weiterbetrieb ohne Abonnement ist nicht vorgesehen. Beleg: ServiceNow Subscription Service Agreement, Versi… · ServiceNow General Terms and Conditions, Version…

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	ja	ServiceNow ist seit 2012 nach ISO/IEC 27001 zertifiziert (aktuell nach ISO/IEC 27001:2022, Rezertifizierung alle drei Jahre), dazu ISO/IEC 27017, 27018, 27701 und 42001 sowie SOC 1 und SOC 2. Ein BSI-C5-Testat wird mit dem Jahr 2020 genannt; ob ein aktueller C5-Bericht vorliegt, ist auf der Seite nicht angegeben. Beleg: Trust: Compliance
4.2 Öffentlicher Prozess für Sicherheitslücken?	ja	ServiceNow betreibt ein Programm zur koordinierten Offenlegung (Meldung an disclosure@servicenow.com), ein Bug-Bounty-Programm auf Einladung und ist CVE Numbering Authority. Sicherheitshinweise veröffentlicht ServiceNow in seiner Knowledge Base, etwa im Juli 2026 zu CVE-2026-6875 (laut kanadischem Cyber Centre aktiv ausgenutzt). Feste Fristen für Patches nennt die Seite nicht. Beleg: Coordinated Vulnerability Disclosure · ServiceNow security advisory (AV26-693), Update 1
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	ja	Laut Mustervertrag von November 2022 ist für Europa die ServiceNow Nederland B.V. Vertragspartner, es gilt irisches Recht mit Gerichtsstand Dublin. Mit der Option EU-Services sollen Kunden Support von EU-Teams erhalten. Ob der Mustervertrag der aktuellen Fassung entspricht und ob deutsches Recht vereinbart werden kann, wurde nicht geprüft. Beleg: ServiceNow Subscription Service Agreement, Versi… · ServiceNow announces multimillion euro investmen…
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	teilweise	Laut Auftragsverarbeitungszusatz (Version 03MAY2024, Abschnitte 6.1 bis 6.3) liegt die Liste der Unterauftragsverarbeiter als öffentliches PDF vor; neue Unterauftragsverarbeiter werden mindestens 30 Tage vorher schriftlich angekündigt, mit Widerspruchs- und Kündigungsrecht. Ob die Liste Standorte enthält, war nicht prüfbar, weil das PDF nicht abgerufen werden konnte; die Trust-FAQ nennt nur pauschal Konzerngesellschaften u. a. in USA, Australien und Indien. Beleg: Data Processing Addendum, Version 03MAY2024 · Trust: Frequently asked questions
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	nein	ServiceNow setzt laut Trust-FAQ verbundene Unternehmen weltweit, u. a. in USA, Australien und Indien, für Bereitstellung und 24x7-Support ein. Mit dem Plugin „SNC Access Control“ kann der Kunde Anmeldungen von Support-Personal an seiner Instanz von seiner Erlaubnis abhängig machen; autorisiertes Betriebspersonal kann aber weiterhin administrative Tätigkeiten an Servern und Datenbanken ausführen. Eine Transfer-Folgenabschätzung eines Kunden (Sekundärquelle) bestätigt Fernzugriffe von Personal außerhalb von EU/EWR im Ausnahmefall, ohne eine Freigabe je Zugriff zu nennen. Beleg: Trust: Frequently asked questions · Docs (Zurich): Explore ServiceNow access control · Executive Summary Transfer Impact Assessment Ser…

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Listen und Datensätze lassen sich als CSV, Excel, PDF, JSON und (für Administratoren) XML exportieren, auch automatisiert über REST- und SOAP-Schnittstellen. Das sind offene Dateiformate, das Datenmodell ist aber ServiceNow-spezifisch. Bei Vertragsende liefert ServiceNow die Daten im eigenen Datenbank-Exportformat, das öffentlich nicht beschrieben ist. Beleg: Docs (Yokohama): Exporting data · ServiceNow Subscription Service Agreement, Versi…
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	Multi-Provider SSO unterstützt SAML 2.0 und OpenID Connect; Daten sind über dokumentierte REST- und SOAP-Schnittstellen erreichbar. Beleg: Docs (Zurich): Multi-Provider single sign-on (SSO) · Docs (Yokohama): Exporting data
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	teilweise	Kunden können Daten jederzeit selbst über Export und Schnittstellen abrufen. Der vollständige Datenbankexport bei Vertragsende ist laut Mustervertrag kostenlos, erfolgt aber nur auf schriftliche Anfrage innerhalb von 45 Tagen, also mit Mitwirkung von ServiceNow. Beleg: Docs (Yokohama): Exporting data · ServiceNow Subscription Service Agreement, Versi… · ServiceNow General Terms and Conditions, Version…

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Wie die Option EU-Services vertraglich geregelt ist und ob sie auch Support außerhalb der Geschäftszeiten sowie Diagnose- und Backupdaten umfasst.
Ob das BSI-C5-Testat aktuell ist. ServiceNow nennt nur das Jahr 2020.
Welche Vertragsfassung und welches Recht für deutsche Kunden gelten. Eingesehen wurde ein Mustervertrag von 2022 mit irischem Recht.
Welche Zugriffsrechte ServiceNow auf Instanzen in den Partner-Clouds von T-Systems und STACKIT behält.
In welchem Format ServiceNow die Daten bei Vertragsende ausliefert.
Ob die Liste der Unterauftragsverarbeiter von ServiceNow Standorte enthält, weil das PDF (servicenow-subprocessors.pdf) wegen robots-Sperre nicht abgerufen werden konnte.
Ob die Option EU-Services Supportzugriffe aus Drittländern vertraglich ausschließt, weil nur Blog, Pressemitteilung und eine Kundenbewertung vorliegen.
Ob der Speicherort von Kundendaten und Backups (Rechenzentrumspaar, Region) im Bestellformular oder im DPA von ServiceNow vertraglich festgelegt ist, weil DPA und Vertragstext der EU-Services nicht öffentlich eingesehen werden konnten.
Welche „notwendigen, aber begrenzten Ausnahmen“ der EU-Services gelten, weil ServiceNow sie öffentlich nicht aufzählt.

Fragen vor einer Entscheidung

Welche Daten aus Service-Desk, CMDB und Personalprozessen dürfen bei einem Anbieter liegen, der auf Anordnung von US-Behörden zur Herausgabe verpflichtet werden kann?
Ist die Option EU-Services für Ihre Instanz aktiviert, und regelt Ihr Vertrag auch Support-, Diagnose- und Backupdaten?
Wäre Private Stack oder eine Partner-Cloud für Sie eine Alternative, und auf welche Funktionen müssten Sie dort verzichten?
Wie würden Sie Ihre Daten und Prozessdefinitionen bei einem Wechsel innerhalb von 45 Tagen nach Vertragsende vollständig übernehmen?

ServiceNow