Was TOPdesk ist

TOPdesk ist eine Software für IT-Service-Management. Sie bündelt Störungs- und Änderungsmanagement, Self-Service-Portal, Wissensdatenbank und Asset-Management und wird auch von Facility-, Personal- und Shared-Service-Abteilungen genutzt. TOPdesk liefert die Software vor allem als Clouddienst aus, daneben gibt es eine Variante zum Selbstbetrieb.

Die Entwicklung begann 1993 in Delft, seit 1997 ist TOPdesk ein eigenes Unternehmen. Es gehört mehrheitlich den Gründern, seit Ende 2023 hält der Finanzinvestor CVC Growth Funds eine Minderheitsbeteiligung. TOPdesk nennt über 5.000 Kunden, die deutsche Niederlassung sitzt seit 2004 in Kaiserslautern.

Wofür es eingesetzt wird

Organisationen nutzen TOPdesk für ihren Servicedesk und für Anfragen an andere interne Dienste. Der Clouddienst läuft in Rechenzentren von Microsoft Azure. Kunden wählen die Region, in der EU unter anderem Deutschland, und alle Umgebungen werden aus Niederlassungen in der EU verwaltet.

Der Hersteller selbst unterliegt europäischem Recht. Rechenzentren und Schlüsselverwaltung liegen aber bei Microsoft, einem US-Konzern. Daten lassen sich während der Laufzeit herunterladen oder als Datenbankexport anfordern, nach Vertragsende werden sie gelöscht.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz als Clouddienst des Herstellers; Fragen zu Selbstbetrieb und Quellcode sind für einen Clouddienst sinngemäß gelesen.

Rechtsraum eingeschränkt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	ja	TOPdesk hat seinen Hauptsitz in Delft (Niederlande) und gehört mehrheitlich den Gründern; CVC Growth Funds hält seit Dezember 2023 nur eine Minderheitsbeteiligung. In Deutschland besteht die TOPdesk Deutschland GmbH in Kaiserslautern. Beleg: TOPdesk accelerates growth with significant inve… · TOPdesk starts a new chapter of growth with inve… · Impressum
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	teilweise	Der Hersteller selbst unterliegt keinem Drittstaatsrecht. Der Dienst läuft aber ausschließlich auf Microsoft Azure; Hostingpartner in der EU sind Microsoft-Tochtergesellschaften (u. a. Microsoft Ireland Operations Limited, Microsoft Deutschland MCIO GmbH), deren Konzernmutter als US-Unternehmen dem CLOUD Act unterliegt. Auch Cloudflare ist als Unterauftragsverarbeiter für den Datenverkehr gelistet. TOPdesk gibt an, Hostinganbieter hätten wegen der Verschlüsselung keinen Zugriff auf Kundendaten. Beleg: SaaS information: Service setup and design
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	nein	Auslegung: Dienst wird vom Anbieter betrieben, Selbstbetrieb des SaaS entfällt. Daten werden mit der Plattformverschlüsselung von Azure und einer zusätzlichen Datenbankverschlüsselung geschützt; die Schlüssel werden in Azure Key Vault verwaltet. Eine Schlüsselhaltung ausschließlich beim Kunden ist nicht dokumentiert. Beleg: SaaS information: Service setup and design
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	teilweise	Laut CVC-Mitteilung vom 12.12.2023 erwarb CVC Growth Funds eine bedeutende Minderheitsbeteiligung; TOPdesk blieb mehrheitlich im Besitz der Gründer. Ein Kontrollwechsel nach November 2024 wurde nicht gefunden. Ein aktueller Beleg aus Handelsregister, GLEIF oder Geschäftsbericht liegt nicht vor, und Sitz und Struktur der beteiligten CVC-Fondsgesellschaft sind nicht angegeben. Beleg: TOPdesk accelerates growth with significant inve… · TOPdesk starts a new chapter of growth with inve…

Datenhoheit nicht erfüllt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	teilweise	Laut TOPdesk wählt der Kunde die Hosting-Region, in der EU u. a. Deutschland; Daten werden nur nach schriftlicher Bestätigung des Kunden in eine andere Region verschoben, Off-site-Backups liegen an einem anderen Ort derselben Region. Die Angaben stammen aus der SaaS-Dienstbeschreibung; ob sie vertraglich zugesichert sind, ließ sich nicht prüfen, weil AGB und Auftragsverarbeitungsvertrag nicht abrufbar waren. Beleg: SaaS information: Service setup and design · AGB (Deutschland, Übersichtsseite; PDF nicht abr…
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	teilweise	Auslegung: Der SaaS-Dienst läuft nur auf Microsoft Azure; der Kunde wählt die Region, nicht den Anbieter. TOPdesk führt daneben weiterhin eine On-Premises-Variante, wie die Disclosure-Richtlinie (Stand November 2025) mit Verweis auf On-Premises-Kunden zeigt. Beleg: SaaS information: Service setup and design · Coordinated Vulnerability Disclosure · Vendor profile TOPdesk
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	teilweise	Die Dienstbeschreibung nennt Userpilot für In-Produkt-Hinweise mit Interaktionsmetadaten und pseudonymen Kennungen, ohne Inhalte der Umgebung; dieser Dienst ist nicht optional. Daneben gibt es internes Monitoring von Server- und Umgebungsmetriken und ein SIEM. Eine vollständige Beschreibung aller Nutzungsdaten wurde nicht gefunden. Beleg: SaaS information: Service setup and design
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	nicht belegbar	TOPdesk erklärt, Kundendaten würden nie zum Training externer KI-Modelle verwendet, und KI-Funktionen seien standardmäßig ausgeschaltet. Zu eigenen Modellen äußert sich die Seite nicht, und die TOPdesk AI Policy ist nur im Kundenportal verfügbar. Eine vertragliche Regelung ist nicht öffentlich belegt.

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	TOPdesk ist proprietäre Software; ein öffentlicher Quellcode wurde nicht gefunden. Beleg: General terms and conditions (Übersicht NL/US) · Vendor profile TOPdesk
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Der Betrieb setzt die proprietäre TOPdesk-Software bzw. den TOPdesk-Clouddienst voraus. Beleg: SaaS information: Service setup and design · General terms and conditions (Übersicht NL/US)
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	nein	Nach Vertragsende werden die Daten gelöscht, Backups werden höchstens 90 Tage aufbewahrt; ein Weiterbetrieb des Dienstes ist nicht vorgesehen. Beleg: SaaS information: Service setup and design

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	teilweise	TOPdesk lässt jährlich einen SOC-2-Bericht erstellen (Prüfzeitraum 1. April bis 31. März, inkl. Unterauftragnehmern, auf Anfrage). Ein eigenes ISO-27001-Zertifikat wird nicht genannt, nur eine Zuordnung der SOC-2-Kontrollen zu ISO 27001. Für die Azure-Rechenzentren verweist TOPdesk auf Microsofts Zertifikate. Ein BSI-C5-Testat für TOPdesk wurde nicht gefunden. Beleg: SaaS information: Service setup and design
4.2 Öffentlicher Prozess für Sicherheitslücken?	teilweise	Es gibt eine öffentliche Richtlinie zur koordinierten Offenlegung (Stand November 2025) mit Meldeweg (Telefon, Kundenportal, E-Mail an das Sicherheitsteam), Rückmeldung binnen eines Werktags und der Bitte, 90 Tage bis zur Veröffentlichung zu warten; Korrekturen kommen ins nächste Release. Ein öffentliches Verzeichnis von Sicherheitsmeldungen wurde nicht gefunden. Beleg: Coordinated Vulnerability Disclosure · SaaS information: Service setup and design
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	teilweise	TOPdesk ist ein niederländisches Unternehmen mit deutscher Niederlassung (TOPdesk Deutschland GmbH, Kaiserslautern); die SaaS-Umgebungen werden aus Niederlassungen in der EU verwaltet. Die deutschen AGB waren nicht abrufbar, anwendbares Recht und Gerichtsstand sind daher nicht belegt. Beleg: Impressum · SaaS information: Service setup and design · AGB (Deutschland, Übersichtsseite; PDF nicht abr…
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	teilweise	TOPdesk veröffentlicht eine Tabelle der Unterauftragsverarbeiter und kündigt Änderungen vorab auf der SaaS-Wartungsseite an, die Kunden abonnieren können. Standorte werden nur für Hosting-Regionen und TOPdesk-Niederlassungen genannt, nicht je Unterauftragsverarbeiter. Beleg: SaaS information: Service setup and design
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	teilweise	Laut TOPdesk werden alle SaaS-Umgebungen aus der EU verwaltet (Personal in Niederlande, Belgien, Deutschland, Dänemark), und Mitarbeiter greifen nur auf Anfrage des Kunden zu; der Supportzugriff lässt sich auf eine Region beschränken. Die Umgebungen laufen auf Microsoft Azure, dessen Bedingungen Fernzugriff von Microsoft-Personal außerhalb der EU auf Datenverarbeitungssysteme vorbehalten; TOPdesk gibt an, dass Rechenzentrumsbetreiber keine Kundendaten bearbeiten dürfen. Eine vertragliche Zusicherung wurde nicht gefunden. Beleg: SaaS information: Service setup and design · Privacy & Security Terms (Product Terms)

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Anhänge lassen sich jederzeit herunterladen, Datenbankexporte können über My TOPdesk angefordert werden; Backups werden laut Dienstbeschreibung in einem offenen Standard bereitgestellt, Kopien aus dem Backup in üblichen Dateiformaten. Welches Format genau, ist nicht angegeben. Beleg: SaaS information: Service setup and design
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	TOPdesk unterstützt SP-initiiertes Single Sign-on über SAML (Anleitung für Microsoft Entra ID); für Integrationen gibt es eine API mit Anwendungspasswörtern über Basic Authentication und ein Entwicklerportal. Beleg: Microsoft Entra SSO integration with TOPdesk - S… · Gatekeeping your API: protect your data with app… · TOPdesk API (Entwicklerportal)
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	teilweise	Anhänge kann der Kunde selbst herunterladen, ein vollständiger Datenbankexport muss aber über My TOPdesk angefordert werden, eine Kopie aus dem Backup über den SaaS-Hauptansprechpartner. Kosten dafür sind nicht angegeben. Beleg: SaaS information: Service setup and design

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Welches Recht und welcher Gerichtsstand für Verträge in Deutschland gelten und ob die deutsche Niederlassung Vertragspartner ist. Die deutschen AGB waren nicht abrufbar.
Ob Region und Backupstandort vertraglich zugesichert sind oder nur in der Dienstbeschreibung stehen.
Wo die Unterauftragsverarbeiter Userpilot, Cloudflare und 84 Codes Daten verarbeiten.
In welchem Format der Datenbankexport geliefert wird und ob er etwas kostet.
Wie lange TOPdesk On-Premises noch angeboten und gepflegt wird.
Ob die TOPdesk AI Policy das Training eigener Modelle mit Kundendaten vertraglich ausschließt, weil sie nur im Kundenportal MyTOPdesk steht.
Wie die Eigentümerstruktur aktuell im niederländischen Handelsregister (KvK) eingetragen ist, weil nur die Mitteilung von 2023 vorliegt.
Ob Support standardmäßig auch aus Niederlassungen außerhalb der EU geleistet wird, weil die Regionsbeschränkung eine Kundeneinstellung ist.
Ob Hosting-Region, Backup-Standort und Zugriff nur auf Kundenanfrage im Vertrag oder Auftragsverarbeitungsvertrag zugesichert sind, weil die AGB-PDF für automatischen Abruf gesperrt ist und kein AVV öffentlich verlinkt ist.

Fragen vor einer Entscheidung

Ist es für Ihre Daten tragbar, dass der Dienst auf Microsoft Azure läuft und die Schlüssel in Azure Key Vault verwaltet werden?
Welche Region haben Sie gewählt, und ist sie samt Backupstandort in Ihrem Vertrag festgehalten?
Genügt Ihrer Revision ein SOC-2-Bericht, oder verlangen Sie ein ISO-27001-Zertifikat oder ein C5-Testat?
Haben Sie einen vollständigen Datenbankexport einmal angefordert und geprüft, ob Sie ihn ohne TOPdesk auswerten können?

TOPdesk