Lovable ist zertifiziert – ist deine App es damit auch?
SOC 2, ISO 27001, DSGVO: Was Lovables Zertifikate für deine App bedeuten, was nicht, und welche sechs Datenschutz-Fragen du vor dem Launch klären musst.
Grafik: Vibe Coding Bootcamp · Grundlage: die Quellen unten
Du baust dein Produkt mit Lovable, und auf der Website des Tools liest du: SOC 2, ISO 27001, DSGVO. Klingt, als wäre das Thema Datenschutz damit erledigt. Ist es nicht. Lovable hat selbst einen Artikel dazu veröffentlicht, und die Kernaussage ist klar: Die Zertifikate der Plattform gehen nicht auf deine App über.
Das gilt übrigens nicht nur für Lovable, sondern für jedes KI-Tool, mit dem du baust. Hier ist, was das konkret heißt und was du vor dem Launch selbst erledigen musst.
Was die Zertifikate wirklich abdecken
Lovable dokumentiert öffentlich vier Nachweise: SOC 2 Type II, eine ISO-27001:2022-Zertifizierung, DSGVO-Unterstützung und eine AIUC-1-Zertifizierung, einen Standard für Risiken von KI-Agenten.
Alle diese Nachweise haben einen festen Rahmen. Ein unabhängiger Prüfer schaut sich Lovables Systeme und Kontrollen an. Dein Business prüft er nicht, nur weil du auf Lovable baust. Du kannst den SOC-2-Bericht nutzen, um Lovable als Anbieter zu bewerten. Mehr nicht.
Willst du selbst einen SOC-2-Bericht oder eine ISO-Zertifizierung, brauchst du eigene Kontrollen, eigene Nachweise und eine eigene unabhängige Prüfung.
DSGVO: Du bist der Verantwortliche
Bei der DSGVO ist es anders, denn sie ist ein Gesetz, kein Zertifikat. Sie gilt, wenn du an Menschen in der EU verkaufst, egal woher sie kommen. Für Großbritannien gibt es ein eigenes Regelwerk.
Für die personenbezogenen Daten in deiner App bist du laut Lovable in der Regel der Verantwortliche, Lovable ist dein Auftragsverarbeiter. Das heißt: Datensparsamkeit, Zugriffsbeschränkung, Löschfristen, eine Rechtsgrundlage für jede Verarbeitung und Auskunft, Berichtigung oder Löschung auf Anfrage sind deine Aufgabe.
Ein Beispiel: Eine Nutzerin will, dass du ihre Daten löschst. Dann brauchst du einen Ablauf, der die Daten aus deiner Datenbank und aus allen angebundenen Diensten entfernt. Den baust und betreibst du, nicht Lovable.
Sechs Fragen für deinen Datenschutz-Check
Lovable schlägt eine Reihe von Fragen vor. Arbeite sie vor dem Launch durch:
- Welche Daten sammelst du und wozu? Konto, Formulare, Uploads, Daten aus angebundenen Diensten. Nur das, was du brauchst, mit Rechtsgrundlage und Speicherdauer. Einwilligung ist nur eine mögliche Rechtsgrundlage, nicht für alles die richtige.
- Wer entscheidet über die Nutzung? Davon hängt ab, ob du Verantwortlicher oder Auftragsverarbeiter bist und welche Verträge du brauchst.
- Wohin fließen die Daten? Hosting, Datenbank, E-Mail, Analytics, Zahlung, KI-Funktionen. Eine EU-Region für die Datenbank allein reicht nicht als Beleg, dass alles in der EU bleibt.
- Stimmt deine Datenschutzerklärung? Ein generierter Text muss zu deinem echten Setup passen. Neuer Dienst mit Personendaten, neuer Blick in die Erklärung. Mehr dazu in Impressum und Datenschutzerklärung für deine Web-App.
- Kannst du eine Anfrage bearbeiten? Wo liegen die Datensätze, wer kümmert sich, wie prüfst du die Identität?
- Hast du die Zugriffe getestet? Mit getrennten Konten und Rollen: Sieht ein Kunde die Daten eines anderen? Sind Uploads offen?
Für sensible Daten, Kinder oder risikoreiche Verarbeitung reicht diese Liste nicht. Dann brauchst du eine genauere Prüfung.
Lass dir von der KI den Datenplan erstellen
Ein praktischer Tipp aus dem Artikel: Der Chat-Modus von Lovable liest dein Projekt, ohne Code zu ändern. Du kannst ihn bitten, alle Stellen aufzulisten, an denen deine App Nutzerdaten speichert oder weitergibt, und Tabellen zu markieren, die für die falschen Nutzer lesbar sind.
Nimm die Antworten als Startpunkt, nicht als Prüfergebnis. Die KI hilft dir, dein Setup zu verstehen und Prioritäten zu setzen. Die Entscheidungen über deine Nutzer und ihre Daten triffst du.
Was das für deinen Launch bedeutet
„Lovable ist DSGVO-konform“ ist kein Satz für deine Website. Plane die sechs Fragen fest in deinen Launch ein, so wie Domain und Zahlung. Diese Woche: Liste alle Dienste auf, die Personendaten bekommen, und teste deine App mit zwei Konten. Den Rest der Strecke findest du in der Launch-Checkliste.
Dieser Artikel ist eine allgemeine Information, keine Rechtsberatung.
Du willst dein Produkt bauen, absichern und live bringen, mit Begleitung statt allein? Trag dich in die Warteliste fürs Bootcamp ein und schildere uns vorab deine Idee.
Häufige Fragen
Ist meine Lovable-App automatisch DSGVO-konform?
Nein. Lovable stellt Zusagen und Dokumentation für die eigene Datenverarbeitung bereit. Wie deine App personenbezogene Daten erhebt, nutzt, weitergibt und löscht, musst du selbst prüfen und umsetzen.
Wer ist bei einer Lovable-App Verantwortlicher im Sinne der DSGVO?
Für die personenbezogenen Daten in deiner App bist laut Lovable in der Regel du der Verantwortliche und Lovable dein Auftragsverarbeiter. Baust du Software im Auftrag einer anderen Organisation, kannst du selbst Auftragsverarbeiter sein.
Reicht eine EU-Region für die Datenbank aus?
Nicht allein. Eine EU-Region beweist nicht, dass alle angebundenen Dienste wie E-Mail, Analytics, Zahlung oder KI-Funktionen Daten nur in der EU verarbeiten. Du musst den ganzen Datenweg und mögliche Übermittlungen in Drittländer prüfen.
Ein Kunde will meinen SOC-2-Bericht sehen. Kann ich den von Lovable weitergeben?
Lovables Bericht deckt nur Lovable ab. Für einen SOC-2-Bericht über deinen eigenen Service brauchst du eine eigene Prüfung durch eine unabhängige Prüfungsgesellschaft; Lovables Bericht kann dabei in die Anbieterprüfung einfließen.