Mit KI gebaut, bei Vercel oder Netlify gehostet: So betreibst du deine App DSGVO-konform in Deutschland

Drei Arten von Tools, drei Ausgangslagen

Fast jeden Monat kommt ein neues Werkzeug dazu. Für Datenschutz und Hosting ist aber nicht der Name entscheidend, sondern wie das Tool arbeitet. Grob gibt es drei Arten:

Bei KI-Coding-Tools stellt sich die Hosting-Frage erst, wenn die App veröffentlicht werden soll. Oft landet sie dann bei Vercel oder Netlify, weil das bequem ist, und damit in der dritten Gruppe.

KI-App-Baukästen wie Lovable oder Bolt: Wo liegen die Daten?

Eine App aus einem KI-Baukasten besteht meist aus zwei Teilen: der Oberfläche, die im Browser läuft, und dem Backend mit Datenbank, Nutzerkonten und Dateispeicher. Häufig stellt der Anbieter beides bereit. Die Daten deiner Nutzer liegen dann bei ihm oder seinen Partnern.

Einige Anbieter lassen dich die Region wählen. Lovable zum Beispiel bietet für Lovable Cloud nach eigenen Angaben eine Region in Europa an. Wichtig: Die Region wird beim Einrichten festgelegt und lässt sich danach nicht mehr ändern. Einen Auftragsverarbeitungsvertrag stellt Lovable ebenfalls bereit.

Die Region gilt für die Daten deiner App. Daten rund um dein Konto beim Anbieter, etwa deine Eingaben, können je nach Anbieter trotzdem in die USA gehen. Das steht in dessen Datenschutzerklärung. Prüfe bei deinem Baukasten deshalb:

• In welcher Region liegen Datenbank, Nutzerkonten und Dateien, und lässt sich die EU wählen?
• Gibt es einen Auftragsverarbeitungsvertrag (AVV, englisch Data Processing Agreement)?
• Wer ist der Anbieter, und wo hat er seinen Sitz?
• Kannst du den Code exportieren, zum Beispiel über GitHub?

Hosting-Plattformen wie Vercel und Netlify: bequem, aber US-Anbieter

Vercel und Netlify sind beliebt, weil das Veröffentlichen einer Web-App dort sehr bequem ist. Viele Apps aus KI-Coding-Tools landen genau dort. Beide sind allerdings US-Unternehmen. Vercel zum Beispiel ist nach eigenen Angaben unter dem EU-US Data Privacy Framework zertifiziert und bietet einen Auftragsverarbeitungsvertrag an. Datenschutzrechtlich ist die Nutzung damit grundsätzlich möglich.

Trotzdem gibt es gute Gründe für einen Anbieter in Deutschland: US-Anbieter können nach US-Recht, etwa dem CLOUD Act, zur Herausgabe von Daten verpflichtet werden, auch wenn diese in Europa liegen. Viele Kunden, vor allem Kanzleien, Praxen, Behörden und größere Unternehmen, verlangen deshalb ausdrücklich einen Anbieter mit Sitz und Rechenzentrum in der EU. Und eine Datenschutzerklärung ohne Übermittlung in die USA ist schlicht einfacher.

Was die DSGVO von dir als Betreiber verlangt

Sobald echte Nutzer ihre Daten in deine App eingeben, bist du Verantwortlicher im Sinne der DSGVO. Mit welchem Tool die App gebaut wurde und wo sie läuft, ändert daran nichts. Die wichtigsten Punkte:

• Auftragsverarbeitungsverträge mit allen Dienstleistern, die Daten für dich verarbeiten (Hosting, Datenbank, E-Mail-Versand, Zahlungsanbieter)
• Eine Datenschutzerklärung, die alle eingesetzten Dienste und Übermittlungen nennt
• Technische und organisatorische Maßnahmen: Zugriffsschutz, Verschlüsselung, Backups
• Nur die Daten erheben, die du wirklich brauchst
• Abläufe für Auskunft und Löschung, wenn Nutzer danach fragen

Typische Sicherheitslücken in KI-generierten Apps

KI-Werkzeuge bauen schnell funktionierende Apps, achten aber nicht immer auf Sicherheit. Egal ob Baukasten oder Coding-Tool, bei Prüfungen fallen immer wieder dieselben Punkte auf:

• Fehlende oder zu offene Datenbankregeln (Row Level Security), sodass Nutzer fremde Daten lesen können
• Geheime Schlüssel oder Zugangsdaten im Code, der im Browser landet
• Öffentlich zugängliche Dateispeicher mit Dokumenten oder Fotos
• Fehlende Prüfung von Eingaben und fehlende Begrenzung von Anfragen
• Personenbezogene Daten in Protokollen und Fehlermeldungen

Umzug: So nimmst du deinen Code mit

Bei KI-Coding-Tools ist das am einfachsten: Der Code liegt ohnehin in deinem Projekt. Bei Baukästen hängt es vom Anbieter ab. Viele bieten eine Verbindung zu GitHub oder einen Download an. Meist bekommst du ein gewöhnliches Web-Projekt, etwa mit React und TypeScript, das auch ohne den Baukasten läuft.

Bei Vercel und Netlify liegt der Code meist in deinem eigenen Repository. Frameworks wie Next.js oder Nuxt sind Open Source und laufen auf jedem Server mit Node.js oder in einem Docker-Container. Ersetzt werden müssen nur Zusatzdienste der Plattform, zum Beispiel eigene Speicher-, Analyse- oder Konfigurationsdienste.

In der Regel nicht enthalten sind Umgebungsvariablen und geheime Schlüssel. Die müssen auf dem neuen Server neu hinterlegt werden.

Hosting in Deutschland: die Optionen

Bei Apps aus einem Baukasten gibt es einen Zwischenweg: Die Oberfläche zieht auf einen Server in Deutschland, Datenbank und Nutzerkonten bleiben vorerst beim Anbieter, idealerweise in der EU-Region. Das geht schnell, die Abhängigkeit bleibt aber für das Backend. Wer Kundendaten verarbeitet, in einer sensiblen Branche arbeitet oder wachsen will, zieht besser alles um.

Für den vollständigen Betrieb in Deutschland gibt es drei Wege. Coolify ist dabei eine Open-Source-Plattform, die man auf dem eigenen Server installiert und die viel vom Komfort von Vercel oder Netlify mitbringt: Veröffentlichen direkt aus GitHub, eigene Domains und SSL-Zertifikate.

Checkliste für Umzug und Livegang

• Datenstandort geklärt: EU-Region beim Anbieter oder Datenbank in Deutschland
• Auftragsverarbeitungsverträge mit allen Dienstleistern abgeschlossen
• Datenbankregeln geprüft: Jeder Nutzer sieht nur seine eigenen Daten
• Keine geheimen Schlüssel im Browser-Code
• Umgebungsvariablen und Schlüssel auf dem neuen Server hinterlegt
• Zusatzdienste der alten Plattform (Speicher, Analyse, Konfiguration) ersetzt
• Automatisches Veröffentlichen aus GitHub eingerichtet
• Domain und DNS umgestellt, am besten mit kurzer Übergangszeit
• Datenschutzerklärung und Impressum an die eingesetzten Dienste angepasst
• Tägliche Backups eingerichtet und Wiederherstellung getestet
• Updates und Überwachung geregelt: Wer kümmert sich, wenn etwas ausfällt?

So helfe ich dir

Mit dem KI-Code-Check prüfe ich deine App auf genau diese Schwachstellen und erkläre dir die Funde verständlich. Im Managed Hosting betreibe ich sie danach bei Hetzner in Deutschland, egal ob sie aus Lovable, Bolt oder Cursor kommt oder bisher bei Vercel oder Netlify läuft. Den Umzug übernehme ich, danach kümmere ich mich um tägliche Backups, Updates, Sicherheits-Patches und die Überwachung. Über dein Kundenportal behältst du den Überblick, und du bekommst einen Auftragsverarbeitungsvertrag.