Cursor AVV: Ja — Was der Anysphere-Auftragsverarbeitungsvertrag regelt

Bietet Cursor einen AVV nach Art. 28 DSGVO?

Ja. Cursor (Anysphere) veröffentlicht seinen Auftragsverarbeitungsvertrag öffentlich unter cursor.com/terms/dpa. Der Cursor-AVV deckt den Art.-28-DSGVO-Rahmen ab, enthält die EU-Standardvertragsklauseln und das UK Addendum — und untersagt die Übermittlung besonderer Kategorien personenbezogener Daten.

• Der Cursor-AVV ist öffentlich abrufbar — kein Sales-Kontakt und kein Kundenportal nötig.
• Er regelt die Verarbeitung personenbezogener Daten durch Anysphere auf Grundlage des Kundenvertrags.
• Als Transfermechanismus sind EU-SCCs und das UK Addendum verankert; die Subprozessorenliste liegt im Trust Portal.
• Der AVV weist Kunden an, keine besonderen Kategorien personenbezogener Daten zu übermitteln.

Ja — Cursor bietet einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO an und veröffentlicht ihn offen unter cursor.com/terms/dpa. Das Dokument regelt, wie Anysphere, das Unternehmen hinter der KI-Code-Plattform Cursor, personenbezogene Daten im Auftrag von Geschäftskunden verarbeitet. Es enthält die EU-Standardvertragsklauseln und das UK Addendum und zieht bei den Datenkategorien eine klare Grenze: Kunden werden angewiesen, keine sensiblen oder besonderen Kategorien personenbezogener Daten unter dem Vertrag zu übermitteln. Für Beschaffungsteams lautet die praktische Frage daher nicht mehr, ob es den Cursor-AVV gibt, sondern ob seine Regelungen zum geplanten Einsatz in Deutschland passen.

Diese Seite ist ein Dokument-Begleiter: Sie geht den AVV klauselweise durch, legt ihn gegen die Art.-28-DSGVO-Checkliste und zeigt, wie er in eine deutsche Beschaffungsakte gehört. Dieser Beitrag ist allgemeine Information und keine Rechtsberatung für den Einzelfall. Für die breitere Anbieterprüfung lesen Sie unsere Cursor-Übersicht; die englischsprachige Analyse finden Sie auf der Seite Cursor DPA.

Was der Cursor-AVV regelt: Klauselindex

Der Cursor-AVV ist ein kompaktes Dokument, adressiert aber die Pflichtinhalte des Art. 28 DSGVO. Legal- und Datenschutzteams sollten jedes Element gegen den konkreten Einsatz prüfen, statt den AVV als Checkbox zu behandeln:

Klauselbereich	Was der Cursor-AVV vorsieht	Was für Ihren Einsatz zu prüfen ist
Verarbeitungsumfang	Verarbeitung personenbezogener Daten auf Grundlage des Vertrags zwischen Anysphere und dem Kunden	Dass Ihr Kundenvertrag und Tarif tatsächlich unter diesen Umfang fallen
Rollenverteilung	Anysphere handelt als Auftragsverarbeiter für Kundendaten	Eigene Verantwortlichenrolle im Verzeichnis nach Art. 30 DSGVO dokumentieren
Transfermechanismus	EU-Standardvertragsklauseln und UK Addendum	Beteiligte Drittstaaten, Supportzugriff, ggf. Transfer Impact Assessment
Sensible Daten	Ausdrückliche Weisung, keine sensiblen oder besonderen Kategorien zu übermitteln	Bestätigen, dass der Workflow keine Art.-9-DSGVO-Daten enthält
Sub-Auftragsverarbeiter	Liste im Trust Portal, jährliche erneute Prüfung	Aktuelle Liste in der Beschaffungsakte ablegen und Kette bewerten
Betroffenenrechte	Rahmen für Unterstützung bei Auskunft, Löschung und Berichtigung	Eigene Verfahren für Betroffenenanfragen bleiben Ihre Pflicht
Sicherheit und Vertraulichkeit	Sicherheitszusagen abgestimmt auf die veröffentlichte Security-Dokumentation	Abgleich mit den eigenen Anforderungen nach Art. 32 DSGVO
Speicherfristen und Löschung	Löschverhalten gemäß Cursor Terms und Data-Use-Dokumentation	Embeddings und Metadaten aus dem Codebase-Indexing gesondert beachten

Zwei Klauseln verdienen besondere Aufmerksamkeit. Erstens ist die Ausschlussklausel für sensible Daten für einen KI-Anbieter-AVV ungewöhnlich deutlich: Cursor positioniert sich damit für ordentliche Geschäftsdaten, nicht für HR-, Gesundheits- oder vergleichbar sensible Materialien. Zweitens kombinieren die Transferklauseln die EU-SCCs mit dem UK Addendum in einem Dokument — das deckt die beiden häufigsten Transferkonstellationen ab, ersetzt aber nicht die eigene Transferdokumentation.

Der AVV wirkt zudem mit den produktseitigen Datenschutzfunktionen zusammen. Der Privacy Mode, den Cursor für alle Tarife einschließlich Free und Pro anbietet, verändert die Datenflüsse auf der Modellebene: Mit aktiviertem Privacy Mode sollen Kundendaten laut Cursor nicht für Training genutzt und von Modellanbietern weder gespeichert noch zum Training verwendet werden. Ausnahmen bleiben die Missbrauchsprüfung und die Embeddings aus dem Codebase-Indexing. AVV und Privacy Mode sind Ergänzungen, kein Ersatz — der AVV rahmt die Auftragsverarbeiter-Beziehung, der Privacy Mode verändert den Datenfluss.

Deutsche Rechtslage: Wenn der englische DPA als AVV gilt

Anysphere veröffentlicht seine Vertragsdokumente ausschließlich auf Englisch — einen deutschsprachigen AVV gibt es nicht. Das ist bei US-Anbietern der Normalfall und rechtlich unproblematisch, solange drei Punkte stimmen:

1. Terminologie sauber mappen. Das Data Processing Addendum entspricht funktional dem Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Verwenden Sie in Verarbeitungsverzeichnis, Vendor-Register und Datenschutzdokumentation durchgängig die deutsche Begrifflichkeit und verweisen Sie auf die englische Vertragsfassung mit Version und Datum.
2. Pflichtinhalte gegenlesen. Art. 28 DSGVO stellt inhaltliche Mindestanforderungen — nicht Sprachanforderungen. Ein englischsprachiger Vertrag erfüllt die AVV-Pflicht, wenn die Pflichtinhalte vollständig und auf den konkreten Einsatz bezogen abgedeckt sind. Genau das leistet die Checkliste weiter unten.
3. Nachvollziehbarkeit für Dritte herstellen. Aufsichtsbehörden, Kunden und Auditoren erwarten eine deutschsprachige bzw. nachvollziehbare Dokumentation der Auftragsverarbeitung. Die Beschaffungsakte sollte deshalb neben dem DPA eine kurze deutsche Zusammenfassung der Rollenverteilung, Datenkategorien, Transferpfade und Subprozessoren enthalten.

Praktisch bedeutet das: Der öffentliche Cursor-DPA wird zum Cursor-AVV, indem Sie ihn versionieren, in die Beschaffungsakte einbetten und die Pflichtinhalte dokumentiert gegen Ihren Workflow prüfen. Wer mehrere KI-Anbieter parallel betreibt, sollte dieses Muster einheitlich anwenden — der Aufwand pro Anbieter liegt bei korrekter Vorlage im einstelligen Stundenbereich. Den übergeordneten Beschaffungsrahmen mit Anbieterkriterien und Dokumentationsvorlagen beschreibt unser Leitfaden zur KI-Beschaffung unter der DSGVO; die englischsprachige Entsprechung finden Sie in unserem GDPR AI procurement guide.

Art.-28-DSGVO-Checkliste für den Cursor-AVV

Art. 28 Abs. 3 DSGVO schreibt den Mindestinhalt eines Auftragsverarbeitungsvertrags vor. Auf den Cursor-AVV angewendet:

• Verarbeitung nur nach Weisung — der AVV bindet Anysphere an den Kundenvertrag; Ihre Einstellungen und Nutzungsregeln sind Teil dieser Weisungen
• Vertraulichkeitsverpflichtungen — mit der Verarbeitung betraute Personen unterliegen Vertraulichkeitszusagen
• Sicherheitsmaßnahmen — AVV gegen die veröffentlichte Security-Dokumentation und die eigenen Art.-32-Anforderungen abgleichen
• Subprozessoren-Regime — Liste im Trust Portal mit jährlicher Neuprüfung; Widerspruchsmechanismus bei neuen Subprozessoren prüfen
• Unterstützung bei Betroffenenrechten — abdecken, ob die Unterstützungspflichten Ihre eigenen Verfahren abbilden
• Löschung oder Rückgabe — Löschverhalten bei Vertragsende inklusive indizierter Embeddings und Metadaten bestätigen
• Kontroll- und Informationspflichten — prüfen, wie Cursor die Einhaltung nachweist und welche Nachweise Sie anfordern können
• Transfergarantien — EU-SCCs und UK Addendum vorhanden; Transfer Impact Assessment für Ihre Datenflüsse durchgeführt

Bleibt ein Punkt aus dem AVV und der veröffentlichten Dokumentation unbeantwortet, fragen Sie schriftlich beim Anbieter nach — die Antwort gehört in die Beschaffungsakte.

Cursor-AVV abrufen und abschließen

Anders als Anbieter, die ihren AVV in ein Kundenportal einbetten, hält Cursor den Prozess öffentlich und ohne Gating:

1. AVV herunterladen unter cursor.com/terms/dpa und die Fassung mit Zugriffsdatum ablegen.
2. Einbindung bestätigen — prüfen Sie, wie der AVV an Ihren Vertrag anknüpft: über die Terms of Service, die beim Kauf des Business-Abos gelten, oder über ein Enterprise-Order-Formular. Der AVV verweist auf den Kundenvertrag; die Abo-Dokumente vervollständigen die Kette.
3. Version dokumentieren — AVV-Fassung und Datum im Vendor-Management und im Verzeichnis nach Art. 30 DSGVO festhalten, damit Änderungen bei Verlängerung auffallen.
4. Bei Verlängerung neu prüfen — KI-Anbieter passen ihre AVVs an; ein neuerlicher Download-Vergleich dauert Minuten und hält die Akte aktuell.

Weil der AVV öffentlich ist, kann die rechtliche Prüfung vor jedem Sales-Kontakt abgeschlossen werden — ein echter Geschwindigkeitsvorteil gegenüber Anbietern, deren AVV erst im Portal oder in der Vertragsverhandlung verfügbar wird. Zum Vergleich: Der Anthropic-AVV ist in die Commercial Terms eingebettet und wird über das Kundenportal abgerufen; wie unterschiedlich KI-Anbieter die Art.-28-Compliance dokumentieren, zeigt die Gegenüberstellung von Claude DPA, Claude-AVV und Asana-AVV.

Wann der Cursor-AVV nicht ausreicht

Der AVV beantwortet die Vertragsfrage der Auftragsverarbeitung — nicht die Frage nach der Zulässigkeit des Einsatzes. Diese Pflichten bleiben beim Verantwortlichen:

• Rechtsgrundlage (Art. 6 DSGVO) — der AVV begründet nie Ihre Rechtsgrundlage für die Verarbeitung.
• Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) — die Dokumentation des Einsatzes erfolgt durch Ihr Unternehmen.
• DSFA (Art. 35 DSGVO) — groß angelegte oder sensible Workflows können eine Datenschutz-Folgenabschätzung erfordern, unabhängig vom AVV.
• Mitarbeiterdaten und Mitbestimmung — Entwickler-Tool-Rollouts können Mitbestimmungsrechte nach § 87 Abs. 1 Nr. 6 BetrVG berühren, sobald Leistungsüberwachung im Raum steht.
• EU-AI-Act-Deployer-Pflichten — fließt Cursor-assistierter Code in ein Hochrisiko-KI-System, kommen Deployer-Pflichten nach der KI-Verordnung hinzu.

FAQ

Hat Cursor eine AVV?

Ja. Cursor, betrieben von Anysphere, veröffentlicht einen Auftragsverarbeitungsvertrag unter cursor.com/terms/dpa, der die Anforderungen des Art. 28 DSGVO adressiert. Er regelt die Verarbeitung auf Grundlage des Kundenvertrags, enthält EU-SCCs und das UK Addendum und legt Rahmen für Vertraulichkeit, Subprozessoren und Löschung fest. Ob er für Ihren Rollout genügt, entscheidet sich an Tarif, Datenkategorien und Workflow — daher die klauselweise Prüfung oben.

Wo kann ich den Cursor-AVV herunterladen?

Direkt unter cursor.com/terms/dpa, ohne Gating oder Registrierung. Legen Sie die aktuelle Fassung mit Datum in der Beschaffungsakte ab, bestätigen Sie die Anknüpfung an Ihre Abo-Dokumente und laden Sie bei Verlängerung neu, um Änderungen zu erkennen. Die öffentliche Verfügbarkeit erlaubt die Legal-Prüfung vor dem ersten Anbieterkontakt.

Lässt der Cursor-AVV besondere Kategorien personenbezogener Daten zu?

Nein. Der AVV weist Kunden ausdrücklich an, keine sensiblen oder besonderen Kategorien personenbezogener Daten zu übermitteln. Behandeln Sie das als Planungsgrenze: HR-Unterlagen, Gesundheitsdaten und vergleichbare Art.-9-DSGVO-Daten brauchen ein anderes Tool und eine vertiefte rechtliche Prüfung, nicht nur eine AVV-Unterschrift.

Welcher Transfermechanismus gilt für Cursor-Daten?

Der Cursor-AVV enthält die EU-Standardvertragsklauseln und das UK Addendum. Deutsche Unternehmen sollten die Transfergrundlage dokumentieren, erfassen, welche Drittstaaten Daten erhalten können, und die Subprozessorenliste im Trust Portal prüfen. Wo Sensibilität oder interne Vorgaben es verlangen, kommt ein Transfer Impact Assessment hinzu.

Welche KI-Anbieter bieten AVVs für deutsche Unternehmen?

Anthropic (Claude), Asana, Azure OpenAI, DeepL und Cursor veröffentlichen alle AVVs bzw. DPAs, die Art. 28 DSGVO adressieren. Sie unterscheiden sich bei EU-Datenlokation, Speicherverhalten und dem Umgang mit besonderen Datenkategorien. Die richtige Vergleichsgruppe hängt von der Werkzeugkategorie ab — Code-Editoren, Produktivitätsplattformen oder API-Modelle — und gehört dokumentiert in die Beschaffungsakte.

Brauche ich einen bezahlten Cursor-Tarif, damit der AVV greift?

Das AVV-Dokument ist unabhängig vom Tarif öffentlich, aber ein belastbarer Unternehmenseinsatz braucht die Governance-Ebene von Teams oder Enterprise: teamweiter Privacy Mode, Admin-Kontrollen und SSO. Einzelne Pro-Konten können Privacy Mode aktivieren, bieten der Beschaffung aber keine zentrale Durchsetzung und keinen Audit-Trail.

Wie weise ich den englischen DPA in meiner deutschen Dokumentation aus?

Führen Sie ihn als Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit der genauen Vertragsbezeichnung, Fassung und dem Zugriffsdatum. Ergänzen Sie eine kurze deutschsprachige Zusammenfassung von Rollenverteilung, Datenkategorien, Transferpfaden und Subprozessoren — genau diese Zusammenfassung erwarten Aufsichtsbehörden und Auditoren im Zweifel von Ihnen, nicht vom Anbieter.

---

Compound Law unterstützt Unternehmen, Startups und In-house-Teams in Deutschland bei KI-Beschaffung, AVV- und DPA-Prüfung, Transferbewertungen und Governance für Entwickler-Tools. Wenn Sie Ihren Cursor-Einsatz oder einen anderen KI-Anbietervertrag vor dem Rollout prüfen möchten, nehmen Sie Kontakt auf.