cursor.com — 62/100 (Mittleres Datenschutzrisiko)
Zuletzt analysiert
Anysphere, Inc. · cursor.com
Berichtsdetails
Mittleres DatenschutzrisikoCursor (Anysphere) verspricht standardmäßig, Ihre Code-Eingaben nicht für das KI-Training zu verwenden, und verkauft Ihre Daten nicht, erfasst jedoch eine weitreichende Palette an persönlichen Nutzungsdaten, sendet diese mit vagen Übertragungssicherungen in die USA und lässt Schlüsseldetails wie Aufbewahrungsfristen und Rechtsgrundlagen offen.
Die Datenschutzrichtlinie von Cursor (Anysphere, Inc.) deckt ein breites Spektrum der Datenerfassung ab, von Kontodetails bis hin zu allen Benutzereingaben und Vorschlägen. Während die Richtlinie positiv durch das standardmäßige Verbot der Verwendung von Eingaben/Vorschlägen für das Modelltraining und die Zusage, keine Daten zu verkaufen oder zielgerichtete Werbung zu betreiben, hervorsticht, bleiben erhebliche Lücken bestehen. Aufbewahrungsfristen sind undefiniert, die Rechtsgrundlagen für die Verarbeitung werden in einer leeren Tabelle referenziert, Mechanismen für internationale Übermittlungen werden nur durch allgemeine Zusicherungen angegeben, und mehrere kritische Dokumente (Datenschutzübersicht, Cookie-Richtlinie, Unterauftragsverarbeiter-Liste) werden referenziert, aber nicht bereitgestellt. Die breite Erfassung von Eingaben – die in einem Codierungstool proprietäre oder sensible Informationen enthalten können – in Kombination mit der Weitergabe an Modellanbieter und Cloud-Infrastruktur-Partner gibt Anlass zu Bedenken hinsichtlich der Datenminimierung.
Kategoriebewertung
Aufschlüsselung der Richtlinie nach zentralen Compliance-Bereichen. Gut = stark, mittel = gemischt, schlecht = bedenklich.
Die Richtlinie erfasst alle Benutzereingaben und Vorschläge, Geräte-/Protokoll-/Nutzungsdaten und Standortinformationen, ohne die Erfassung klar auf das für die Dienstleistungserbringung zwingend Notwendige zu beschränken.
Die Richtlinie ist klar geschrieben und strukturiert, verweist jedoch auf mehrere externe Dokumente (Datenschutzübersicht, Cookie-Richtlinie, Unterauftragsverarbeiter-Liste), die nicht enthalten sind, und die jurisdiktionsspezifische Tabelle der Rechtsgrundlagen scheint leer zu sein.
Daten werden an eine breite Palette von Dienstleistern weitergegeben, einschließlich Modellanbietern und Cloud-Infrastruktur, aber in der Richtlinie selbst werden keine spezifischen Unterauftragsverarbeiter genannt und die referenzierte Liste ist extern.
Daten von Nutzern aus dem EWR werden auf US-Server übermittelt mit nur einer allgemeinen Zusage zu 'rechtlich gültigen Übermittlungsmechanismen' und einem 'angemessenen Datenschutzniveau' – es wird kein spezifischer Mechanismus (SCCs, DPF, BCRs) identifiziert.
Eingaben und Vorschläge werden standardmäßig ausdrücklich NICHT für das Modelltraining verwendet, mit nur engen Ausnahmen (Sicherheitsüberprüfung, ausdrückliches Feedback oder ausdrückliche Zustimmung), und Nutzer können ihre Präferenzen verwalten.
Die Richtlinie listet Rechte auf Zugang, Löschung, Berichtigung, Datenübertragbarkeit, Widerspruch, Einschränkung und Widerruf der Einwilligung auf, bietet aber nur eine allgemeine E-Mail-Kontaktadresse und erwähnt keinen Datenschutzbeauftragten oder EU-Repräsentanten.
Wichtigste Befunde
Bemerkenswerte Klauseln, Probleme oder positive Praktiken (kritische zuerst)
Weitreichende Erfassung von Benutzereingaben und Vorschlägen ohne klare Minimierung
Abschnitt 1(A) besagt, dass alle Eingaben (vom Nutzer übermittelte Inhalte) und Vorschläge (KI-generierte Antworten) erfasst werden. Bei einem Codierungstool können Eingaben proprietären Quellcode, API-Schlüssel, Zugangsdaten oder andere sensible Daten enthalten. Die Richtlinie beschreibt keine technischen Maßnahmen, um zu filtern oder zu minimieren, was von den Eingaben aufbewahrt wird, sondern nur, dass sie vollständig erfasst werden.
Vage und undefinierte Aufbewahrungsfristen
Abschnitt 4 besagt nur, dass Daten 'so lange aufbewahrt werden, wie es notwendig ist, um den Service effektiv zu betreiben und legitime geschäftliche Bedürfnisse zu unterstützen', und dass 'die angemessene Aufbewahrungsfrist variiert'. Es werden keine spezifischen Zeitrahmen oder Kriterien für eine Datenkategorie angegeben, was es Nutzern unmöglich macht zu verstehen, wie lange ihre Daten gespeichert bleiben.
Mechanismus für internationale Übermittlungen nicht spezifiziert
Abschnitt 6 räumt ein, dass Daten von EWR-Nutzern auf US-Server übermittelt werden, stellt aber nur fest, dass 'wir Daten nur gemäß rechtlich gültigen Übermittlungsmechanismen übermitteln' und 'wir ein angemessenes Datenschutzniveau verlangen'. Der spezifische Rechtsmechanismus (Standardvertragsklauseln, EU-US Data Privacy Framework-Zertifizierung, Binding Corporate Rules) wird nicht identifiziert, was eine DSGVO-Transparenzanforderung ist.
Jurisdiktionsspezifische Tabelle der Rechtsgrundlagen ist leer oder wird nicht bereitgestellt
Abschnitt 7 verweist auf eine Tabelle, die 'diese Datenschutzrichtlinie ergänzt, indem sie zusätzliche Details über den Zweck der Datenerfassung, die Art der erfassten Daten und die Rechtsgrundlage liefert', aber der Tabelleninhalt ist im bereitgestellten Text nicht enthalten. Ohne dies sind die Anforderungen von Artikel 13 DSGVO zur Angabe von Rechtsgrundlagen nicht erfüllt.
Ausnahme für Sicherheitsüberprüfung könnte Datennutzung über Nutzererwartungen hinaus ausweiten
Die erste Ausnahme in Abschnitt 2 von der Regel gegen das Training erlaubt die Verwendung von Eingaben/Vorschlägen, die 'für eine Sicherheitsüberprüfung markiert wurden', um 'unsere Fähigkeit zu verbessern, unsere Nutzungsbedingungen zu erkennen und durchzusetzen'. Dies ist eine potenziell weitreichende Ausnahme, die ein Modelltraining an Nutzerdaten ohne ausdrückliche Einwilligung ermöglichen könnte, wenn dies als Sicherheitsbedenken eingestuft wird.
Kein Datenschutzbeauftragter oder EU-Repräsentant identifiziert
Die Richtlinie bietet nur eine allgemeine Kontakt-E-Mail (hi@cursor.com) und identifiziert keinen Datenschutzbeauftragten, EU-Repräsentanten nach Artikel 27 DSGVO oder eine dedizierte Datenschutzkontaktrolle, was angesichts der Verarbeitung von Daten von EWR-Bürgern erforderlich sein kann.
Standardmäßiges Opt-out vom KI-Training ist ein starkes Positivum
Abschnitt 2 stellt ausdrücklich fest: 'Wir verwenden Eingaben oder Vorschläge nicht, um unsere Modelle zu trainieren, oder erlauben Dritten, sie für das Training zu verwenden, es sei denn: (1) sie für eine Sicherheitsüberprüfung markiert wurden... (2) Sie sie uns ausdrücklich melden... oder (3) Sie ihrer Verwendung für solche Trainingszwecke ausdrücklich zugestimmt haben.' Dies ist ein datenschutzfreundlicher Standard, der die Industriestandards für KI-Tools übertrifft.
Fazit für Nutzer
Ihr Code und Ihre Prompts werden standardmäßig nicht für das Training von Cursors KI verwendet, was ein seltener und willkommener Schutz ist, aber alles, was Sie eingeben, fließt dennoch durch ihre Systeme, kann für Sicherheitsüberprüfungen eingesehen werden und Ihre Daten werden ohne klare rechtliche Sicherheiten in die USA gesendet.
Compliance-Posture
Teilweise konform mit DSGVO-Prinzipien; stark bei der Zweckbindung für KI-Training, aber schwach bei der Datenminimierung, Speicherbegrenzung und der Spezifität internationaler Übermittlungen.
EU-Übermittlungen
Daten werden ausdrücklich in die USA übermittelt. Die Richtlinie besagt, dass Übermittlungen 'rechtlich gültige Übermittlungsmechanismen' verwenden und ein 'angemessenes Datenschutzniveau' erfordern, gibt aber nicht an, ob auf Standardvertragsklauseln, das EU-US Data Privacy Framework oder andere Mechanismen zurückgegriffen wird. Dies ist eine erhebliche Lücke für die DSGVO-Konformität.
Erkannte Signale
Konkrete Datenpunkte und Praktiken im Text identifiziert
Textbelege
Direkte Zitate aus der Richtlinie, die diese Befunde stützen
We do not use Inputs or Suggestions to train our models, or permit third parties to use them for training, unless: (1) they are flagged for security review (in which case we may analyze them to improve our ability to detect and enforce our Terms of Service), (2) you explicitly report them to us (for example, as Feedback), or (3) you've explicitly agreed to their use for such training purposes.
Anysphere retains your personal data only for as long as necessary to operate the Service effectively and to support legitimate business needs such as legal compliance, safety, dispute resolution, and enforcement of our agreements.
For users in the European Economic Area, ('EEA'), when you access our Service, your personal data may be transferred to our United States servers to other countries outside the EEA and the UK. Where information is transferred outside the EEA or the UK, we require an adequate level of data protection.
We do not 'sell' or 'share' personal data for cross-contextual behavioral advertising, and we do not process personal data for 'targeted advertising' purposes (as those terms are defined under applicable US state privacy laws).
The Service allows you to submit content ('Inputs'), which generate responses ('Suggestions') based on your Inputs. If you include personal data or reference external content in your Inputs, we will collect that information and it may be reproduced in the Suggestions we provide.
Fehlend oder unklar
- Spezifische Rechtsgrundlagen für jeden Verarbeitungszweck (Artikel 13 Absatz 1 Buchstabe c DSGVO)
- Spezifische Aufbewahrungsfristen oder Kriterien pro Datenkategorie
- Identifizierung eines Datenschutzbeauftragten
- Identifizierung eines EU-Repräsentanten nach Artikel 27 DSGVO
- Spezifischer Mechanismus für internationale Übermittlungen (SCCs, DPF, BCRs)
- Inhalt der jurisdiktionsspezifischen Offenlegungstabelle, auf die in Abschnitt 7 verwiesen wird
- Datenschutzübersichtsdokument, auf das in der Einleitung für Modelltraining-Details verwiesen wird
- Details zur Cookie-Richtlinie
- Inhalt der Unterauftragsverarbeiter-Liste
- Details zur Funktionsweise und zum Umfang der Kennzeichnung für Sicherheitsüberprüfungen
- Ob DSFA durchgeführt wurden
Fragen zum Nachfragen
- Auf welchen spezifischen rechtlichen Übermittlungsmechanismus stützen Sie sich für EWR-zu-US-Datenübermittlungen (Standardvertragsklauseln, EU-US Data Privacy Framework oder andere), und können Sie die entsprechende Dokumentation bereitstellen?
- Wie lauten die spezifischen Aufbewahrungsfristen für jede Kategorie personenbezogener Daten, insbesondere für Eingaben und Vorschläge?
- Nach welchen spezifischen Kriterien wird eine Eingabe 'für eine Sicherheitsüberprüfung markiert', und können Sie Statistiken darüber bereitstellen, wie oft diese Ausnahme angewendet wird?
- Wer ist Ihr benannter Datenschutzbeauftragter oder EU-Repräsentant, und wie können Betroffene diese direkt kontaktieren?
- Können Sie die vollständige Unterauftragsverarbeiter-Liste einschließlich der Modellanbieter bereitstellen und angeben, welche Unterauftragsverarbeiter Zugriff auf Benutzereingaben haben?
- Haben Sie eine Datenschutz-Folgenabschätzung für die Verarbeitung von Benutzereingaben durchgeführt, angesichts der Möglichkeit sensibler oder proprietärer Code-Inhalte?
- Wie lauten die spezifischen Rechtsgrundlagen (Einwilligung, berechtigtes Interesse, Vertragserfüllung) für jeden in Abschnitt 2 aufgeführten Verarbeitungszweck?
- Wie funktioniert der Mechanismus 'Ihre Präferenzen verwalten' für das KI-Training Opt-in/Opt-out technisch, und ist er standardmäßig für alle Nutzer aktiviert?
Diese Analyse teilen
Jeder mit diesem Link kann das Ergebnis oben einsehen.
Entwickelt von DentroChat
100 % europäischer KI-Chat für alle
Chatte mit KI, arbeite mit Dateien, generiere Bilder und suche im Web. Daten bleiben in Europa.
Weitere analysierte Datenschutzerklärungen
Alle anzeigenapp.klang.ai
62/100
Mittleres DatenschutzrisikoKlang AI erfasst potenziell sensible Audio- und Videoinhalte, teilt diese mit mehreren KI-Anbietern und behält sich das Recht vor, Ihre hochgeladenen Daten ohne Opt-out-Möglichkeit zur Verbesserung der eigenen Algorithmen zu nutzen — allerdings findet die meiste Verarbeitung in der EU statt, und es werden Vereinbarungen zur Datennichtspeicherung (Zero Data Retention) mit den KI-Unterauftragsverarbeitern durchgesetzt.
Bericht ansehen →eustella.com
62/100
Mittleres Datenschutzrisikoeustella gibt starke Datenschutzversprechen — kein Datenverkauf, keine Weitergabe an Dritte, kein KI-Training mit Ihren Daten und die gesamte Verarbeitung bleibt in der EU — aber dies ist Marketingtext, keine verbindliche Datenschutzerklärung, und entscheidende Details zu Datenerhebung, Aufbewahrung, Unterauftragsverarbeitern und Nutzerrechten fehlen im bereitgestellten Text.
Bericht ansehen →lhv.com
62/100
Mittleres DatenschutzrisikoLHV Bank erhebt eine umfassende Palette an persönlichen und finanziellen Daten, teilt sie weitreichend mit Betrugsvorbeugungsagenturen und Zahlungsintermediären und stützt sich schwer auf berechtigte Interessen für Marketing und Analysen – sie deckt jedoch DSGVO-Rechte ab und nutzt manuelle Überprüfungen für Profilierungsentscheidungen.
Bericht ansehen →cake.com
62/100
Mittleres DatenschutzrisikoCAKE.com bietet standardmäßige EU-Datenrechte und Übertragungssicherheiten, erhebt jedoch im Namen der Arbeitgeber, die als Datenverantwortliche für ihre Mitarbeiter fungieren, hochgradig invasive Arbeitsplatzüberwachungsdaten – wie Screenshots, Hintergrundstandort und App-Nutzung.
Bericht ansehen →