Wer liest deine KI-Chats mit? 15 Büro-Tools und ihre versteckten KI-Zulieferer

Darum geht es

Wer in Notion den KI-Assistenten etwas fragt, denkt an Notion. Vielleicht noch an OpenAI oder Anthropic. An Fireworks AI denkt kaum jemand. Trotzdem lagen Chat-Verläufe mit Notion AI bei genau diesem US-Dienstleister, der für andere Firmen KI-Modelle ausführt. Fireworks wurde im Oktober zweimal gehackt. Am 9. November bestätigte Notion, dass Chats aus weniger als 1 Prozent der Workspaces betroffen sind, also der gemeinsamen Arbeitsbereiche eines Teams. Bloomberg zufolge arbeitet Fireworks auch mit Cursor „und anderen“ an der Aufarbeitung. Laut The Information wurde auch die Rechts-KI-Firma Harvey informiert.

Die Firmen, die so im Hintergrund mitarbeiten, heißen im Datenschutzrecht Unterauftragsverarbeiter oder Subprozessoren. Das sind Dienstleister, die ein Anbieter einschaltet, um deine Daten zu verarbeiten. Jeder seriöse Anbieter muss sie auflisten. Wir haben diese Listen für 15 Werkzeuge abgerufen, die in deutschen Büros verbreitet sind. Abgerufen wurde am 10. und 11. November 2026. Uns interessierte, welche KI-Rechenanbieter dort stehen, mit welchem Zweck und an welchem Standort. Und was die Listen verschweigen.

Der Abgleich: 15 Werkzeuge, ihre KI-Zulieferer

Vorab zur Methode: Einige Listen laden nur per JavaScript (Cursor, Perplexity) oder liegen als nicht auslesbares PDF vor (Canva, Slack, Miro). Wo wir auf ältere Fassungen oder Drittquellen ausweichen mussten, steht das in der Tabelle.

Gezählt nach den Anbietern aus unserem Recherche-Fokus:

Insgesamt nennen mindestens 10 der 15 Werkzeuge nachprüfbar externe KI-Anbieter. Mit Canva und Cursor, bei denen ältere Fassungen das belegen, sind es 12. Bei 8 Werkzeugen stehen spezialisierte Inferenz-Anbieter auf der Liste. Inferenz heißt: Ein fertiges Modell erzeugt Antworten, die Rechenleistung dafür mietet man bei Spezialfirmen wie Fireworks, Baseten, Groq oder Cerebras.

2023 gegen 2026: Aus der Ausnahme wurde die Regel

Im Mai 2023 hat der Sicherheitsanbieter Nightfall 51 große SaaS-Anbieter untersucht. Nur 9 davon, also rund 18 Prozent, hatten überhaupt einen KI-Subprozessor. Meist war das OpenAI. Sieben Werkzeuge aus unserer Auswahl standen damals ausdrücklich in der Gruppe ohne KI-Zulieferer: Slack, Zoom, Figma, Miro, Atlassian, GitHub und HubSpot. Heute nennen sechs dieser sieben externe KI-Anbieter, oft gleich mehrere. Die Ausnahme ist Slack. Dort laufen die Modelle nach eigener Darstellung in Slacks eigener Cloud. Die Anbieter der Modelle hätten keinen Zugriff auf Kundendaten.

Notion hatte 2023 zwei KI-Subprozessoren (OpenAI, Anthropic). Heute sind es mindestens fünf. Figma ist von null auf 25 Einträge für Figma AI und Weave gewachsen, mehrere Firmen stehen in beiden Listen. Die Kette wird also nicht nur länger, sie wechselt auch häufiger. HubSpot hat Baseten am 16. September angekündigt und ab dem 16. Oktober eingesetzt. Glean meldet gerade Anysphere (die Firma hinter Cursor) und TypeSafe AI als Neuzugänge.

Was „Zero Data Retention“ tatsächlich abdeckt

Mit Zero Data Retention (ZDR) versprechen Anbieter, dass Eingaben und Antworten nicht gespeichert werden. Der Fall Notion zeigt, wie eng dieses Versprechen gefasst sein kann.

Fireworks schreibt in seinem Update vom 9. November:

Wir haben keine Auswirkungen auf Inference, Training SDK und Nexus festgestellt, die standardmäßig alle Zero Data Retention sind.

Getroffen hat es andere Bereiche: Rechnungs- und Kontodaten, Ressourcen-Metadaten und bei manchen Konten gespeicherte Geheimnisse, Datensätze und unfertige Modelle. Der Weg führte über einen externen Cloud-Anbieter, bei dem Fireworks Rechner für Forschung und Entwicklung betreibt, bis auf eine interne Anwendung. Ausgesetzt sind seitdem ausgerechnet Uploads für Batch-Inferenz (viele Anfragen gesammelt auf einmal) und datensatzbasiertes Training. Diese beiden Wege speichern Daten.

Notion nutzte Fireworks laut eigener Meldung für zwei Dinge. Fireworks war allgemeiner Anbieter für Open-Weight-Modelle in Notion AI. Und es lief dort Klassifikationsjobs für „Insights“, eine Statistik für Admins der Business- und Enterprise-Tarife darüber, wofür das Team KI nutzt. Auf Notions Liste steht Fireworks nur als Rechenleistung „für das Ausführen großer Sprachmodelle“. Dass dafür Chat-Verläufe bei Fireworks als Datensatz lagen, verrät dieser Zweck nicht. Wie die Chats genau dorthin kamen, haben weder Notion noch Fireworks gesagt. Auf Hacker News vermuten Nutzer einen Batch-Datensatz wegen günstigerer Preise. Belegt ist das nicht. Auch die erste Einschätzung hielt nicht lange: Zunächst hieß es, betroffen seien nur synthetische Testdaten. Erst am 8. November kamen echte Chats dazu.

Dazu kommt eine Einschränkung, die viele übersehen. Laut Notions eigener Hilfeseite gilt ZDR bei den meisten Modellen nur für Enterprise-Kunden. Bei Free, Plus und Business behalten KI-Anbieter Daten „30 Tage oder weniger“.

Bei Cursor hängt alles am „Privacy Mode“. Ist er an, gibt es laut Cursor ZDR-Verträge „mit allen Anbietern“. Ausgenommen sind Inhalte, die Missbrauchsfilter auslösen, sie können zur Prüfung gespeichert werden. Ist er aus, dürfen „einige unserer Inferenzanbieter“ Ein- und Ausgaben vorübergehend speichern, „um unsere Inferenzleistung zu verbessern“. Gelöscht werden sie „nach der Nutzung“, eine Frist nennt Cursor nicht. Bis zur Fassung vom 9. Juni 2026 standen in diesem Satz die Namen Baseten, Together AI und Fireworks. In der Fassung vom 15. Juli fehlen sie, das zeigt die Änderungshistorie bei ConductAtlas. Die heutige englische Sicherheitsseite nennt überhaupt keinen Anbieter mehr und verweist auf ein Trust-Portal, das ohne JavaScript leer bleibt. Ältere, von Suchmaschinen erfasste Fassungen nannten noch Standorte, etwa Fireworks in den USA, Europa und Japan. Die Aussagen schließen sich formal nicht aus. Für Nutzer ist aber kaum noch nachvollziehbar, welcher Anbieter in welchem Modus was speichert.

Wie es konkreter geht, zeigt Figma: Daten würden nur im flüchtigen Arbeitsspeicher verarbeitet, der Zwischenspeicher werde „automatisch innerhalb von zwei Stunden“ geleert. Ob das stimmt, kann niemand von außen prüfen. Aber es ist eine überprüfbare Zusage.

Vage Zwecke, „Global“ als Standort

Die Listen erfüllen formal ihre Pflicht. Für eine Risikoabschätzung taugen sie wenig. Die Zweckangaben lauten „AI model provider“ (Figma), „LLM Provider“ (Glean), „AI Inference and AI Services“ (GitHub) oder „Artificial intelligence services“ (Gamma). Ob dort nur gerechnet wird oder ob Daten liegen bleiben, steht nirgends. Ebenso wenig, ob sie fürs Nachtrainieren (Fine-Tuning) oder für Auswertungen wie bei Notion genutzt werden. Beim Standort steht bei Notion für Fireworks, Baseten und Anthropic schlicht „Global“. GitHub ist mit „USA, Deutschland, Island“ für Fireworks eine positive Ausnahme. Zoom sagt laut Whitepaper, dass bei EU-Kunden im Modus „ZM+“ keine Inhalte an externe Modellanbieter gehen. Und die Zulieferer haben eigene Zulieferer. Beim Fireworks-Einbruch war es ein ungenannter Cloud-Anbieter, der auf keiner Kundenliste auftaucht.

Fireworks ist auch kein Einzelfall. Die Sicherheitsfirma Wiz zählte in ihrem Bericht „Black October“ zunächst neun KI-Entwicklerplattformen mit Vorfällen im Oktober. Mit Nachträgen bis zum 10. November sind es 16 namentlich genannte. Das Muster: Angreifer suchen gezielt gespeicherte Umgebungsvariablen mit KI-Zugangsschlüsseln, um damit LLMjacking zu betreiben, also fremde KI-Zugänge auf Kosten der Opfer weiterzuverkaufen.

Was dir die DSGVO als Firmenkunde gibt

Für Unternehmen, die diese Werkzeuge einsetzen, regelt Art. 28 DSGVO die Kette. Der Anbieter darf keinen weiteren Auftragsverarbeiter einschalten ohne „vorherige gesonderte oder allgemeine schriftliche Genehmigung“. Bei der üblichen allgemeinen Genehmigung muss er über jede beabsichtigte Änderung informieren, und du kannst Einspruch erheben (Abs. 2). Die Datenschutzpflichten müssen an den Unterauftragnehmer weitergereicht werden, und der Erstanbieter haftet für ihn (Abs. 4). Dazu kommen Auskunftsrechte zum Nachweis (Abs. 3 lit. h). Nach Art. 33 Abs. 2 muss ein Auftragsverarbeiter eine Datenpanne „unverzüglich“ melden. Der Europäische Datenschutzausschuss (EDSA) hat 2024 in seiner Stellungnahme 22/2024 klargestellt, dass Verantwortliche auch Unterauftragnehmer jenseits der ersten Stufe identifizieren können sollen.

In der Praxis sieht das so aus: GitHub kündigt neue Subprozessoren mindestens 30 Tage vorher an. Canva ebenfalls 30 Tage, danach bleiben zehn Tage für einen Widerspruch, am Ende steht meist nur ein Kündigungsrecht. Gamma verschickt Änderungen auf Anfrage per E-Mail an legal@gamma.app. Wer diese Benachrichtigungen nicht abonniert, bekommt Wechsel schlicht nicht mit. Im Fall Notion lagen zwischen dem Einbruch über den Cloud-Zulieferer (24. Oktober) und der Meldung von Fireworks an Notion (2. November) neun Tage. Bis die Kunden Bescheid wussten (9. November), vergingen weitere sieben. Ob das „unverzüglich“ war, müssen Aufsichtsbehörden beurteilen. Ob europäische Behörden informiert wurden, hat Notion nicht gesagt.

Unser Fazit

Unsere Einschätzung: Das Problem sind nicht fehlende Listen, sondern Listen ohne Aussagekraft. Fireworks stand bei Notion korrekt eingetragen, und die ZDR-Zusage für die Inferenz war nach allem, was bekannt ist, nicht falsch. Trotzdem lagen echte Chats dort, weil eine Zusatzfunktion außerhalb dieser Zusage lief. Wer KI-Werkzeuge im Unternehmen einsetzt, sollte deshalb pro Werkzeug drei Fragen stellen: Welche Daten landen bei welchem Zulieferer auch im Ruhezustand, also gespeichert statt nur verarbeitet? Gilt ZDR für alle Funktionen oder nur für die Inferenz? Und in welchem Tarif? Nützlich ist außerdem, Änderungsmeldungen zu abonnieren und eigene Zugangsdaten nie in KI-Chats einzufügen.

Offen bleibt einiges. Cursor hat nicht öffentlich gesagt, ob es selbst betroffen ist. Notion nennt weder die Zahl der Chats noch den Zeitraum. Und bei DeepL und Perplexity konnten wir die Listen nicht frei einsehen. Das ist für sich schon ein Befund.