langdock.com — 78/100 (Geringes Datenschutzrisiko)
Zuletzt analysiert
Langdock GmbH · langdock.com
Berichtsdetails
Geringes DatenschutzrisikoLangdock ist eine datenschutzbewusste, in der EU ansässige KI-Plattform, die die Nutzung Ihrer Inhalte zum Training von KI-Modellen ausdrücklich verbietet und Daten in der EU speichert, obwohl sie sich auf einige US-Unterauftragsverarbeiter stützt und an einigen Stellen vage Aufbewahrungsfristen aufweist.
Die Datenschutzrichtlinie der Langdock GmbH ist gut strukturiert und DSGVO-konform (GDPR), mit starken Zusagen zum KI-Training und zur EU-Datenresidenz. Zu den wichtigsten Stärken gehören eine klare Rolle als Auftragsverarbeiter für Arbeitsbereichsinhalte, eine ausdrückliche Zusage zum Verzicht auf KI-Training und ein ernannter Datenschutzbeauftragter (DPO). Schwächen sind die Abhängigkeit von US-Anbietern (Microsoft, Google) mit nur allgemeinen Verweisen auf Schutzmaßnahmen, vage Aufbewahrungsfristen für mehrere Kategorien und eine Liste von Unterauftragsverarbeitern, auf die verwiesen wird, die aber nicht in den Richtlinientext selbst aufgenommen ist.
Kategoriebewertung
Aufschlüsselung der Richtlinie nach zentralen Compliance-Bereichen. Gut = stark, mittel = gemischt, schlecht = bedenklich.
Für jeden Verarbeitungszweck werden spezifische Datenkategorien aufgelistet; Telemetriedaten werden ausdrücklich anonymisiert und aggregiert, und Zahlungsdaten werden an Stripe ausgelagert.
Für jede Verarbeitungstätigkeit wird die Rechtsgrundlage mit klaren Zweckbeschreibungen angegeben; die Liste der Unterauftragsverarbeiter ist jedoch in das Trust Center ausgelagert und nicht in die Richtlinie eingebettet.
Wichtige Unterauftragsverarbeiter wie Microsoft, Google und Stripe werden namentlich genannt, aber die vollständige Liste ist nur über einen externen Link verfügbar; eine Klausel zur Datenfreigabe bei Fusionen/Übernahmen ist weit gefasst.
Bekennt sich als Regel zur EU-basierten Verarbeitung, erlaubt aber Drittlandübermittlungen „in seltenen Fällen“ mit Standard-Schutzmaßnahmen; die Nutzung von US-Cloud-Anbietern birgt ein inhärentes Übermittlungsrisiko, das nicht vollständig quantifiziert ist.
Stellt ausdrücklich fest: „Ihre Daten werden nicht zum Training von KI-Modellen verwendet“ und dass Inhalte ausschließlich zur Erbringung der vertraglichen Dienstleistungen im Rahmen der DPA (Data Processing Agreement) verarbeitet werden.
Alle Standard-DSGVO-Rechte werden mit klaren Beschreibungen und Kontakt-E-Mail aufgelistet, und die spezifische Aufsichtsbehörde (Berliner Datenschutzbeauftragte) wird namentlich genannt.
Wichtigste Befunde
Bemerkenswerte Klauseln, Probleme oder positive Praktiken (kritische zuerst)
Liste der Unterauftragsverarbeiter ausgelagert und nicht im Richtlinientext
Die Richtlinie verweist auf eine Liste von Unterauftragsverarbeitern im Trust Center, nimmt diese aber nicht inline auf. Nutzer müssen extern navigieren, um zu sehen, wer ihre Daten verarbeitet. Die genannten Anbieter (Microsoft, Google, Stripe) haben ihren Sitz in den USA, was internationale Übermittlungen impliziert, die nicht einzeln detailliert werden.
Vage Aufbewahrungsfristen für mehrere Datenkategorien
Während einige Aufbewahrungsfristen spezifisch sind (30 Tage nach Vertragsende für Nutzerkonten, 10 Jahre für Abrechnung, 6 Monate für Bewerbungen), verwenden andere vage Formulierungen wie „nach Ablauf der gesetzlichen Aufbewahrungsfristen für Geschäftsmitteilungen“, ohne die Dauer anzugeben.
Klausel zur Datenfreigabe bei Fusionen und Übernahmen ist weit gefasst
Abschnitt 3(b) erlaubt die Datenfreigabe an potenzielle oder tatsächliche Käufer und deren Berater in M&A-Szenarien, vorbehaltlich lediglich der Vertraulichkeitspflichten und Erforderlichkeit. Es werden keine spezifischen Schutzmaßnahmen wie vorherige Benachrichtigung oder Einwilligung erwähnt.
Ausdrückliche Zusage zum Verzicht auf KI-Training
Abschnitt 2(g) stellt unmissverständlich klar, dass Nutzerinhalte (Chats, Projekte) nicht zum Training von KI-Modellen verwendet werden. Dies ist eine starke, datenschutzfreundliche Zusage, die ein zentrales Anliegen bei KI-Plattformen anspricht.
Berechtigtes Interesse für Produkt-E-Mails an bestehende Nutzer verwendet
Abschnitt 2(e) nutzt berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO + § 7 Abs. 3 UWG), um registrierten Nutzern Produkt-Update-E-Mails zu senden, sofern diese nicht widersprechen. Dies ist ein weiches Opt-out-Verfahren anstelle einer ausdrücklichen Einwilligung, was nach deutschem Recht zulässig ist, aber weniger datenschutzfreundlich als ein Opt-in.
Behauptungen zum nicht-personenbezogenen Charakter von Telemetriedaten sind ungeprüft
Abschnitt 2(g) behauptet, Telemetriedaten „ließen keine Rückschlüsse auf einzelne Personen zu“ und „enthielten niemals personenbezogene Daten“, aber aggregierte Nutzungsstatistiken und an Sitzungen gebundene Fehlermeldungen könnten potenziell eine Re-Identifizierung ermöglichen, insbesondere bei kleinen Arbeitsbereichen.
Automatisierte Entscheidungsfindung mit Schutzmaßnahme zur menschlichen Überprüfung
Abschnitt 5 räumt ein, dass die Bot/Spam-Erkennung automatisierte Entscheidungen im Sinne von Art. 22 DSGVO mit erheblicher Auswirkung darstellen kann, bietet jedoch einen klaren Mechanismus zur menschlichen Überprüfung über support@langdock.com. Dies ist eine gut gehandhabte Offenlegung.
Fazit für Nutzer
Ihre Chat- und Workflow-Inhalte auf Langdock werden NICHT zum Training von KI-Modellen verwendet, und Ihr Arbeitgeber (nicht Langdock) kontrolliert diese Daten. Einige Ihrer Konto- und Abrechnungsdaten fließen jedoch an US-basierte Unterauftragsverarbeiter wie Microsoft und Google.
Compliance-Posture
Starke DSGVO-Konformitätsposition mit ernanntem Datenschutzbeauftragtem, ISO 27001- und SOC 2 Typ II-Zertifizierungen sowie klaren Rechtsgrundlagenangaben für jede Verarbeitungstätigkeit. Geringfügige Lücken bei der Transparenz von Unterauftragsverarbeitern und der Spezifität der Aufbewahrungsfristen.
EU-Übermittlungen
Daten werden im Allgemeinen in der EU verarbeitet, aber Übermittlungen in Drittstaaten können „in seltenen Fällen“ unter Verwendung von SCC (Standard Contractual Clauses), Angemessenheitsbeschlüssen oder dem EU-U.S. Data Privacy Framework erfolgen. Die Nutzung von Microsoft und Google als Unterauftragsverarbeiter beinhaltet wahrscheinlich einige US-Übermittlungen, die nicht vollständig detailliert sind.
Erkannte Signale
Konkrete Datenpunkte und Praktiken im Text identifiziert
Textbelege
Direkte Zitate aus der Richtlinie, die diese Befunde stützen
Your data is not used for training AI models.
As a general rule, we process personal data on servers within the European Union. In rare cases, particularly when services are not available in the EU or when you are located outside the EU and contact us, data may be transferred to 'third countries' outside the EU or the European Economic Area.
We delete your user account and associated data upon request or no later than within 30 days after termination of the contractual relationship, unless statutory retention obligations apply.
The processors used in the Langdock platform can be found in our list of sub-processors in our Trust Center.
In the context of a merger, acquisition, or sale, data may also be shared with the prospective or actual acquirer and their advisors. Such disclosure occurs only to the extent necessary and subject to confidentiality obligations.
Fehlend oder unklar
- Vollständige Liste der Unterauftragsverarbeiter mit Übermittlungsmechanismen für jeden
- Spezifische Aufbewahrungsfristen für Support-Kommunikation und Social-Media-Daten
- Details zu welchen Drittlandübermittlungen tatsächlich erfolgen und mit welchen Anbietern
- Cookie-Kategorien und spezifische verwendete Cookies
- Verfahren zur Datenverletzungsbenachrichtigung
- DSFA (Datenschutz-Folgenabschätzung) - Referenzen
- Spezifische Details zu verwendeten Verschlüsselungsstandards
Fragen zum Nachfragen
- Welche Unterauftragsverarbeiter verarbeiten Daten außerhalb der EU und welche spezifischen Übermittlungsmechanismen (SCC, DPF-Zertifizierung) sind für jeden vorhanden?
- Wie lauten die genauen Aufbewahrungsfristen für Support-Kommunikation, Social-Media-Nachrichten und Telemetriedaten?
- Wie werden Telemetriedaten anonymisiert und wurde eine Re-Identifizierungsrisikobewertung durchgeführt, insbesondere für kleine Arbeitsbereiche?
- Werden die Betroffenen im Falle einer M&A-Transaktion benachrichtigt, bevor ihre Daten an den Käufer weitergegeben werden?
- Welche spezifischen Cookies und Tracking-Technologien werden derzeit auf der Website zusätzlich zu den technisch erforderlichen eingesetzt?
- Wie schnell reagiert Langdock auf Anfragen zu Betroffenenrechten (Auskunft, Löschung, Portabilität) und gibt es einen automatisierten Self-Service-Mechanismus?
Diese Analyse teilen
Jeder mit diesem Link kann das Ergebnis oben einsehen.
Entwickelt von DentroChat
100 % europäischer KI-Chat für alle
Chatte mit KI, arbeite mit Dateien, generiere Bilder und suche im Web. Daten bleiben in Europa.
Weitere analysierte Datenschutzerklärungen
Alle anzeigeneuropealternatives.com
78/100
Geringes DatenschutzrisikoEurope Alternatives ist ein datenschutzfreundliches Verzeichnis, das fast keine personenbezogenen Daten erfasst. Durch das Klicken auf Partnerlinks können Ihre Daten jedoch an Dritte weitergegeben werden – einschließlich potenziell außerhalb der EU –, ohne dass klare Schutzmaßnahmen beschrieben werden.
Bericht ansehen →berlin.de
80/100
Geringes DatenschutzrisikoDie Datenschutzerklärung der Berliner Senatskanzlei ist grundsätzlich stark, verwendet eine Zwei-Klick-Lösung für Drittanbieter-Medien und anonymisiert IPs, obwohl sie für einige Subunternehmer außerhalb des EWR auf Standardvertragsklauseln vertraut und Klarheit bezüglich KI-Trainings fehlt.
Bericht ansehen →greenpt.com
82/100
Geringes DatenschutzrisikoGreenPT bietet eine starke EU-Datensouveränität und minimales Tracking, aber die Richtlinie ist verdächtig still darüber, ob Ihre Chat-Daten für das Training von KI-Modellen verwendet werden, und sie verlässt sich auf eine schwache Schutzmaßnahme für US-basierte Suchübertragungen.
Bericht ansehen →duckduckgo.com
82/100
Geringes DatenschutzrisikoDuckDuckGo hält sein Versprechen des Nicht-Trackings für die Kernsuche und das Browsen ein, aber seine wachsenden optionalen Funktionen (Duck.ai, Sync & Backup) und die Microsoft-Werbepartnerschaft führen Datenflüsse ein, die in der Richtlinie nicht vollständig erklärt werden, insbesondere in Bezug auf KI-Training und Schutzmaßnahmen bei internationalen Übermittlungen.
Bericht ansehen →