Mit KI-Tools wie Lovable lassen sich Websites und Webanwendungen innerhalb kurzer Zeit erstellen. Statt jede Funktion selbst zu programmieren, können Nutzer ihre Anforderungen über natürliche Sprache beschreiben und daraus Code, Benutzeroberflächen und teilweise komplette Anwendungen generieren lassen.
Gerade für Unternehmen fragen uns oft als Datenschutzunternehmen: Lässt sich Lovable DSGVO-konform einsetzen?
Grundsätzlich kann Lovable auch im Unternehmensumfeld eingesetzt werden. Entscheidend ist allerdings, welche Daten mit Lovable verarbeitet werden, welche Funktionen und externen Dienste zum Einsatz kommen und wie die daraus erstellte Anwendung konfiguriert wird.
Datenschutz sollte deshalb nicht erst nach Fertigstellung einer Anwendung berücksichtigt werden, sondern bereits während der Entwicklung.
Was ist Lovable?
Lovable ist eine KI-gestützte Entwicklungsplattform, mit der sich Webanwendungen über Prompts erstellen und weiterentwickeln lassen.
Nutzer beschreiben beispielsweise:
- welche Anwendung sie erstellen möchten,
- welche Funktionen benötigt werden,
- wie bestimmte Bereiche aussehen sollen,
- welche Daten verarbeitet werden,
- welche externen Dienste integriert werden sollen.
Die Plattform generiert daraufhin entsprechenden Code und unterstützt bei der weiteren Entwicklung der Anwendung.
Dabei können verschiedene Daten verarbeitet und an die für die Bereitstellung des Dienstes erforderlichen Systeme übertragen werden. Genau deshalb ist der Einsatz von Lovable auch aus Datenschutzsicht relevant.
Welche Daten können bei Lovable verarbeitet werden?
Welche personenbezogenen Daten tatsächlich verarbeitet werden, hängt stark davon ab, wie Lovable eingesetzt wird.
Bei der Nutzung der Plattform können unter anderem Account- und Kontaktdaten, IP-Adressen, Geräte- und Browserinformationen, Nutzungs- und Telemetriedaten sowie Inhalte aus Projekten verarbeitet werden. Auch Prompts und generierter Code gehören zu den Informationen, die bei der Nutzung der Plattform anfallen können. Lovable beschreibt entsprechende Datenverarbeitungen in seiner Datenschutzerklärung.
Besonders relevant wird dies, wenn Nutzer selbst personenbezogene Informationen in einen Prompt eingeben.
Ein Beispiel:
Statt
„Erstelle eine CRM-Seite für einen Kunden mit Name, Telefonnummer und E-Mail-Adresse.“
sollten möglichst ausschließlich fiktive beziehungsweise anonymisierte Beispieldaten verwendet werden.
Denn sobald reale personenbezogene Daten in einen Prompt eingegeben werden, müssen Unternehmen auch diese Verarbeitung datenschutzrechtlich berücksichtigen.
Keine personenbezogenen Daten unnötig in Prompts eingeben
Eine der wichtigsten Regeln für den datenschutzfreundlichen Einsatz von KI-Tools lautet daher: So wenige personenbezogene Daten wie möglich in Prompts verwenden.
Für die Erstellung einer Anwendung benötigt Lovable normalerweise keine echten Kundendaten.
Statt beispielsweise einen realen Datensatz zu verwenden, können Platzhalter eingesetzt werden:
- Max Mustermann
- max@example.com
- Musterstraße 1
- 0123456789
Noch besser ist es, Daten vollständig abstrakt zu beschreiben.
Anstatt einen bestehenden Kunden inklusive seiner Informationen einzufügen, kann beispielsweise formuliert werden:
„Erstelle eine Kundenübersicht mit den Feldern Vorname, Nachname, geschäftliche E-Mail-Adresse und Unternehmen.“
Für das Ergebnis macht das häufig keinen Unterschied. Aus Datenschutzsicht kann es jedoch einen erheblichen Unterschied machen.
Werden Daten bei Lovable für das KI-Training verwendet?
Bei KI-Plattformen ist die Verwendung eingegebener Daten für das Training von Modellen ein besonders wichtiger Punkt.
Lovable erklärt aktuell auf seiner Security-Seite, dass Kunden-Prompts, Code und Workspace-Daten nicht zum Training eigener Lovable-Modelle verwendet werden. Für eingesetzte externe KI-Anbieter sollen vertragliche Vereinbarungen ebenfalls das Training und die Speicherung von Kundendaten beschränken.
Im Data Processing Agreement wird zusätzlich festgehalten, dass personenbezogene Kundendaten nicht zum Trainieren, Fine-Tuning oder zur Entwicklung von KI- beziehungsweise Machine-Learning-Modellen verwendet werden sollen.
Wichtig ist allerdings die Unterscheidung zwischen Customer Personal Data und anderen Service-, Nutzungs- oder aggregierten Daten. Unternehmen sollten deshalb nicht pauschal davon ausgehen, dass sämtliche bei der Nutzung entstehenden Informationen identisch behandelt werden.
Die jeweils aktuellen Vertragsbedingungen und Datenschutzhinweise sollten vor einem produktiven Unternehmenseinsatz geprüft werden.
Auftragsverarbeitungsvertrag mit Lovable
Sobald ein externer Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeitet, kann ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich sein.
Lovable stellt hierfür ein Data Processing Agreement (DPA) bereit. Nach den aktuell veröffentlichten Angaben ist dieses für Business- und Enterprise-Kunden Bestandteil der Nutzung. Darin beschreibt Lovable unter anderem seine Rolle als Auftragsverarbeiter für bestimmte personenbezogene Kundendaten sowie Pflichten hinsichtlich Sicherheit, Unterauftragsverarbeitern und internationaler Datenübermittlungen.
Unternehmen sollten deshalb vor dem produktiven Einsatz insbesondere prüfen:
- Welcher Lovable-Tarif wird eingesetzt?
- Werden personenbezogene Daten verarbeitet?
- Ist ein entsprechender AVV beziehungsweise ein DPA abgeschlossen?
- Welche Unterauftragsverarbeiter werden eingesetzt?
- In welchen Ländern werden die Daten verarbeitet?
Gerade bei der Verarbeitung von Kunden-, Mitarbeiter- oder Nutzerdaten sollte dieser Punkt nicht übersprungen werden.
Datenstandort und Hosting berücksichtigen
Auch der Standort der Datenverarbeitung spielt für die DSGVO eine wichtige Rolle.
Lovable gibt aktuell an, dass Lovable Cloud regionales Hosting unter anderem in der EU, den USA und Australien unterstützt. Nach Angaben des Unternehmens verbleiben Kundendaten standardmäßig innerhalb der ausgewählten Region.
Für europäische Unternehmen kann die Auswahl einer EU-Region deshalb ein wichtiger Bestandteil einer datenschutzfreundlichen Konfiguration sein.
Allerdings sollte nicht ausschließlich betrachtet werden, wo die eigentliche Anwendung gehostet wird.
Eine mit Lovable erstellte Anwendung kann zusätzlich Dienste wie Datenbanken, Analytics-Systeme, Zahlungsanbieter, APIs oder andere KI-Modelle verwenden. Jeder dieser Dienste kann wiederum eigene Datenverarbeitungen und Speicherorte mit sich bringen.
Internationale Datenübermittlungen prüfen
Auch wenn Daten innerhalb der EU gehostet werden, können je nach Konfiguration weitere internationale Datenübermittlungen stattfinden.
Lovable beschreibt in seinem DPA entsprechende Mechanismen für internationale Datentransfers. Für Übermittlungen außerhalb des Europäischen Wirtschaftsraums sieht das DPA unter anderem die EU-Standardvertragsklauseln vor.
Das bedeutet allerdings nicht automatisch, dass jede beliebige mit Lovable erstellte Anwendung datenschutzkonform ist.
Unternehmen müssen zusätzlich die von ihnen selbst eingebundenen Dienste betrachten.
Wird beispielsweise ein externer Analytics-, KI-, E-Mail- oder Datenbankdienst integriert, muss auch dessen Datenverarbeitung separat bewertet werden.
Unterauftragsverarbeiter beachten
Lovable betreibt seine Plattform nicht vollständig ohne weitere Anbieter.
In der Datenschutzerklärung weist das Unternehmen darauf hin, dass verschiedene Unterauftragsverarbeiter beispielsweise für Hosting, Datenbanken, Zahlungen, Support und andere technische Funktionen eingesetzt werden können. Als Beispiele für Integrationen werden unter anderem Supabase und GitHub genannt.
Für Unternehmen ist daher nicht nur die Frage relevant:
„Ist Lovable datenschutzkonform?“
Vielmehr sollte gefragt werden:
„Welche Dienste sind an meiner konkreten Lovable-Anwendung beteiligt und welche Daten erhalten diese?“
Das gilt insbesondere für Anwendungen, in denen Nutzer selbst personenbezogene Daten eingeben können.
Die mit Lovable erstellte Website ist nicht automatisch DSGVO-konform
Ein häufiger Denkfehler besteht darin, Datenschutz ausschließlich auf die Entwicklungsplattform zu beziehen.
Selbst wenn Lovable selbst datenschutzfreundlich konfiguriert wurde, bedeutet das nicht automatisch, dass die damit erstellte Website oder Anwendung DSGVO-konform ist.
Die fertige Anwendung muss separat geprüft werden.
Relevant sind beispielsweise:
- Cookies
- Tracking-Tools
- externe Schriftarten
- eingebettete Videos
- Kontaktformulare
- Newsletter
- Login-Systeme
- Datenbanken
- Zahlungsanbieter
- externe APIs
- Analyse-Tools
- KI-Funktionen
Wer beispielsweise über Lovable Google Analytics, Meta Pixel oder andere Tracking-Technologien integriert, muss sich weiterhin um eine entsprechende Consent-Lösung kümmern.
Lovable nimmt dem Betreiber diese datenschutzrechtliche Verantwortung nicht automatisch ab.
Formulare und personenbezogene Daten richtig absichern
Besonders wichtig sind Formulare.
Eine einfache Unternehmenswebsite kann beispielsweise ein Kontaktformular enthalten, über das Nutzer folgende Daten übermitteln:
- Name
- E-Mail-Adresse
- Telefonnummer
- Unternehmen
- Nachricht
In diesem Moment verarbeitet die erstellte Anwendung personenbezogene Daten.
Es sollte deshalb geprüft werden:
Wo werden diese Informationen gespeichert?
Werden sie beispielsweise in einer Datenbank gespeichert, muss auch deren Anbieter und Hosting-Konfiguration berücksichtigt werden.
Wer erhält die Daten?
Werden Formularanfragen zusätzlich per E-Mail versendet oder an ein CRM übertragen, entstehen weitere Datenverarbeitungen.
Wie lange werden die Daten gespeichert?
Personenbezogene Daten sollten nicht unbegrenzt gespeichert werden, wenn dafür kein Zweck mehr besteht.
Wer kann auf die Daten zugreifen?
Zugriffsrechte sollten auf die tatsächlich erforderlichen Personen begrenzt werden.
Besondere Vorsicht bei sensiblen Daten
Noch wichtiger wird eine Datenschutzprüfung, wenn mit der Anwendung besondere Kategorien personenbezogener Daten verarbeitet werden.
Dazu können beispielsweise Gesundheitsdaten, biometrische Informationen oder andere besonders geschützte Daten nach Art. 9 DSGVO gehören.
Für einen einfachen Prototyp sollte deshalb möglichst vollständig auf echte sensible Daten verzichtet werden.
Bei produktiven Anwendungen, die solche Informationen verarbeiten sollen, sind deutlich umfangreichere technische und organisatorische Maßnahmen sowie eine individuelle rechtliche Prüfung erforderlich.
Datenschutz durch Technikgestaltung berücksichtigen
Die DSGVO verlangt mit „Privacy by Design“ und „Privacy by Default“, Datenschutz bereits bei der technischen Gestaltung eines Systems zu berücksichtigen.
Gerade bei KI-gestützter Entwicklung ist dieser Grundsatz besonders sinnvoll.
Statt eine komplette Anwendung zu bauen und anschließend sämtliche Datenschutzprobleme zu korrigieren, sollten entsprechende Anforderungen bereits Bestandteil der Prompts und technischen Architektur sein.
Lovable kann beispielsweise angewiesen werden:
- nur erforderliche Datenfelder anzulegen,
- optionale Felder als optional zu behandeln,
- Daten nicht unnötig lange zu speichern,
- Zugriffsmöglichkeiten einzuschränken,
- Löschfunktionen vorzusehen,
- externe Dienste nur bei tatsächlichem Bedarf einzubinden.
KI-gestützte Entwicklung ersetzt damit keine Datenschutzkonzeption. Datenschutzanforderungen sollten vielmehr Teil der Entwicklungsanforderungen werden.
Datenschutzerklärung für Lovable-Anwendungen
Auch eine mit Lovable erstellte Website oder Webanwendung benötigt eine Datenschutzerklärung, wenn personenbezogene Daten verarbeitet werden.
Welche Inhalte dort erforderlich sind, hängt von der konkreten Anwendung ab.
Neben den üblichen Angaben nach Art. 13 beziehungsweise Art. 14 DSGVO können beispielsweise Informationen erforderlich sein über:
- Hosting
- Kontaktformulare
- Benutzerkonten
- Datenbanken
- eingesetzte Analyse-Dienste
- Zahlungsanbieter
- externe APIs
- KI-Funktionen
- internationale Datenübermittlungen
- Speicherdauer
- Rechtsgrundlagen der Verarbeitung
Dabei sollte die Datenschutzerklärung die tatsächliche technische Umsetzung widerspiegeln.
Ein automatisch generierter Standardtext reicht nicht aus, wenn er nicht zu den eingesetzten Diensten passt.
Technische Sicherheit nicht vergessen
Datenschutz und IT-Sicherheit hängen eng miteinander zusammen.
Lovable beschreibt verschiedene Sicherheitsmaßnahmen wie Verschlüsselung von Secrets, rollenbasierte Zugriffsrechte, logische Trennung von Workspaces und Projekten sowie Sicherheits- und Dependency-Scans. Das Unternehmen nennt außerdem unter anderem SOC 2 Type II und ISO 27001 im Zusammenhang mit seinen Sicherheitsmaßnahmen.
Trotzdem bleibt der Betreiber einer erstellten Anwendung für deren sichere Konfiguration verantwortlich.
Besonders wichtig sind:
- sichere Authentifizierung,
- korrekte Datenbankregeln,
- eingeschränkte Zugriffsrechte,
- sichere API-Schlüssel,
- keine Secrets im Frontend,
- regelmäßige Updates,
- Prüfung von Abhängigkeiten,
- Schutz von Administratorbereichen.
Ein von einer KI generierter Code sollte deshalb nicht ungeprüft produktiv eingesetzt werden.
Lovable datenschutzkonform einsetzen: praktische Checkliste
Für einen möglichst datenschutzfreundlichen Einsatz von Lovable sollten Unternehmen insbesondere folgende Punkte berücksichtigen:
- Personenbezogene Daten in Prompts vermeiden: Für Entwicklung und Tests möglichst fiktive oder anonymisierte Daten verwenden.
- AVV beziehungsweise DPA prüfen: Bei einer Auftragsverarbeitung sollte die entsprechende vertragliche Grundlage vorhanden sein.
- Datenstandort festlegen: Wenn möglich eine für den Anwendungsfall geeignete EU-Datenregion wählen.
- Unterauftragsverarbeiter prüfen: Berücksichtigen, welche weiteren Anbieter an der Verarbeitung beteiligt sind.
- Externe Integrationen kontrollieren: Analytics, Datenbanken, APIs, Zahlungsanbieter und KI-Dienste separat bewerten.
- Datenminimierung umsetzen: Nur personenbezogene Informationen erheben, die tatsächlich benötigt werden.
- Zugriffsrechte begrenzen: Nicht jeder Mitarbeiter oder Nutzer sollte Zugriff auf sämtliche Daten erhalten.
- Consent-Management berücksichtigen: Einwilligungspflichtige Technologien dürfen nicht einfach ohne Zustimmung geladen werden.
- Datenschutzerklärung erstellen: Sämtliche tatsächlich eingesetzten Dienste und Verarbeitungen berücksichtigen.
- Anwendung vor Veröffentlichung prüfen: Insbesondere Netzwerkverbindungen, Cookies, Datenbankrechte, Formulare und externe Skripte kontrollieren.
Ist Lovable DSGVO-konform?
Die Frage lässt sich nicht pauschal mit Ja oder Nein beantworten.
Lovable stellt verschiedene Funktionen und vertragliche Mechanismen bereit, die einen datenschutzkonformen Einsatz unterstützen können. Dazu gehören unter anderem ein DPA für bestimmte Tarife, regionale Datenhaltung, Sicherheitsmaßnahmen und Regelungen zum Umgang mit personenbezogenen Kundendaten.
Ob die Nutzung tatsächlich DSGVO-konform erfolgt, hängt jedoch wesentlich vom jeweiligen Unternehmen und dem konkreten Anwendungsfall ab.
Besonders entscheidend ist, welche Daten in Lovable eingegeben werden und welche Daten die fertige Anwendung anschließend verarbeitet.
Fazit: Datenschutz bei Lovable von Anfang an berücksichtigen
Lovable kann die Entwicklung von Websites und Webanwendungen erheblich beschleunigen. Datenschutzanforderungen verschwinden dadurch allerdings nicht.
Unternehmen sollten insbesondere darauf achten, keine unnötigen personenbezogenen Daten in Prompts einzugeben, die vertraglichen Grundlagen zu prüfen, geeignete Hosting-Regionen auszuwählen und sämtliche externen Integrationen der fertigen Anwendung zu kontrollieren.
Besonders wichtig ist die Unterscheidung zwischen Lovable als Entwicklungsplattform und der mit Lovable entwickelten Anwendung.
Eine technisch datenschutzfreundlich konfigurierte Entwicklungsumgebung macht eine Anwendung nicht automatisch DSGVO-konform. Formulare, Datenbanken, Tracking, Cookies, externe APIs und weitere Dienste müssen weiterhin individuell bewertet werden.
Wer Datenschutz bereits bei der Planung und Entwicklung berücksichtigt, kann Lovable jedoch deutlich kontrollierter im Unternehmensumfeld einsetzen.
Hinweis: Dieser Beitrag stellt keine Rechtsberatung dar. Die konkrete datenschutzrechtliche Bewertung hängt von der eingesetzten Lovable-Konfiguration, den verarbeiteten Daten und dem jeweiligen Anwendungsfall ab.
FAQ zu Lovable und Datenschutz
Ist Lovable DSGVO-konform?
Lovable stellt verschiedene Funktionen und vertragliche Mechanismen für den Einsatz unter der DSGVO bereit. Ob die konkrete Nutzung DSGVO-konform ist, hängt jedoch davon ab, welche Daten verarbeitet werden, welche Tarife und Einstellungen verwendet werden und welche zusätzlichen Dienste in die Anwendung integriert sind.
Darf ich personenbezogene Daten in Lovable eingeben?
Personenbezogene Daten sollten nur dann verarbeitet werden, wenn dies für den jeweiligen Zweck erforderlich und datenschutzrechtlich zulässig ist. Für Entwicklung, Tests und Prompts empfiehlt es sich, nach Möglichkeit ausschließlich fiktive, anonymisierte oder entsprechend pseudonymisierte Daten zu verwenden.
Werden meine Daten von Lovable zum KI-Training verwendet?
Lovable erklärt aktuell, dass Kunden-Prompts, Code und Workspace-Daten nicht zum Training seiner Modelle verwendet werden. Im DPA wird zudem festgehalten, dass personenbezogene Kundendaten nicht für das Training oder Fine-Tuning von KI- und ML-Modellen eingesetzt werden. Die jeweils aktuellen Bedingungen und die genaue Einordnung verschiedener Datenarten sollten dennoch geprüft werden.
Gibt es bei Lovable einen Auftragsverarbeitungsvertrag?
Ja. Lovable stellt ein Data Processing Agreement bereit. Nach den derzeit veröffentlichten Angaben ist dieses bei Business- und Enterprise-Tarifen Bestandteil der Nutzung.
Können Lovable-Daten innerhalb der EU gespeichert werden?
Lovable gibt an, für Lovable Cloud regionale Datenhaltung unter anderem innerhalb der EU anzubieten. Unternehmen sollten dennoch zusätzlich prüfen, welche externen KI-Anbieter, Datenbanken, APIs und sonstigen Dienste ihre konkrete Anwendung verwendet.
Ist eine mit Lovable erstellte Website automatisch DSGVO-konform?
Nein. Auch eine mit Lovable erstellte Website muss hinsichtlich Cookies, Tracking, Formularen, Datenbanken, externen Diensten, Consent-Management und Datenschutzerklärung geprüft werden. Die Verwendung von Lovable allein stellt keine DSGVO-Konformität der fertigen Website sicher.
Braucht eine mit Lovable erstellte Website eine Datenschutzerklärung?
Sobald über die Website personenbezogene Daten verarbeitet werden, müssen die entsprechenden Informationspflichten der DSGVO berücksichtigt werden. Welche Dienste und Verarbeitungen in der Datenschutzerklärung aufgeführt werden müssen, hängt von der konkreten technischen Umsetzung ab.
Sie möchten Ihr Unternehmen datenschutzrechtlich sicher aufstellen? Mehr über uns als Datenschutzexperten erfahren.
.webp)
