Replit DSGVO: Ist Replit datenschutzkonform für deutsche Unternehmen?

Replit kann DSGVO-konform von deutschen Unternehmen eingesetzt werden – jedoch nur mit einem gültigen Auftragsverarbeitungsvertrag (AVV) auf einem kostenpflichtigen Plan und mit dem wesentlichen Vorbehalt, dass Replit derzeit keine EU-Datenhaltung anbietet. Code, Prompts und Projektdaten werden auf US-amerikanischen Servern verarbeitet. Dies macht Replit zu einem anspruchsvolleren Compliance-Fall als Tools mit EU-Infrastruktur – schließt den Einsatz aber nicht grundsätzlich aus. Deutsche Unternehmen müssen vor dem Einsatz AVV, Drittlandstransfer-Basis, KI-Training-Einstellungen und Betriebsratsrechte klären. Eine Übersicht weiterer Entwicklungstools für den deutschen Markt bietet unsere KI-Tools-Übersicht.

Ist Replit DSGVO-konform?

Replit, Inc. – ein US-amerikanisches Unternehmen mit Sitz in San Francisco – stellt für Kunden kostenpflichtiger Pläne einen Auftragsverarbeitungsvertrag und Standardvertragsklauseln bereit. Dies schafft die vertragliche Grundlage für eine DSGVO-konforme Nutzung. DSGVO-Konformität ist jedoch nicht automatisch gegeben: Deutsche Unternehmen müssen konkrete Maßnahmen ergreifen, um eine rechtmäßige Drittlandstransfer-Basis zu begründen, KI-Training-Einstellungen zu verwalten und nationale Anforderungen des Bundesdatenschutzgesetzes (BDSG) zu erfüllen.

Die zentrale Compliance-Herausforderung ist, dass Replit keine EU-Datenhaltungsoption anbietet. Alle Datenverarbeitungen finden auf der US-basierten Infrastruktur von Replit statt, die auf Google Cloud Platform betrieben wird. Dies ist datenschutzrechtlich über Standardvertragsklauseln (Art. 46 DSGVO) zulässig – erfordert aber eine abgeschlossene Transferfolgenabschätzung sowie geeignete Schutzmaßnahmen, bevor die Verarbeitung als datenschutzkonform gelten kann.

Im Vergleich zu Tools mit EU-Datenhaltung wie Azure OpenAI stellt Replits fehlende EU-Infrastruktur ein erhebliches Differenzierungsmerkmal für Unternehmen mit strengen Datenlokalisierungsanforderungen dar.

Auftragsverarbeitungsvertrag (AVV) mit Replit

Replit stellt für Teams- und Enterprise-Kunden einen Auftragsverarbeitungsvertrag bereit. Dieser AVV begründet Replit als Auftragsverarbeiter im Sinne von Art. 28 DSGVO und umfasst:

• Standardvertragsklauseln (SCC): Modul 2 (Verantwortlicher-zu-Auftragsverarbeiter) SCCs für EU-US-Übermittlungen nach den Standardvertragsklauseln der Europäischen Kommission von 2021
• Unterauftragnehmer-Liste: Replit veröffentlicht eine Liste der Unterauftragnehmer, darunter hauptsächlich Cloud-Infrastrukturanbieter wie Google Cloud Platform; die aktuelle Liste ist vor Vertragsabschluss auf Replits Website zu prüfen
• Betroffenenrechte: Replit verpflichtet sich zur Unterstützung bei Auskunfts-, Berichtigungs- und Löschanfragen Betroffener
• Meldepflichten bei Datenpannen: Replit verpflichtet sich zur Benachrichtigung des Verantwortlichen innerhalb von 72 Stunden nach Kenntnisnahme einer Datenpanne, entsprechend Art. 33 DSGVO

Kostenlose Plan-Nutzer sind nicht vom AVV abgedeckt und dürfen personenbezogene Daten nicht im geschäftlichen Kontext über Replit verarbeiten. Nur Kunden mit Replit Teams oder Enterprise können sich auf einen gültigen AVV stützen.

Für Unternehmen mit besonders hohen Anforderungen – etwa aus regulierten Branchen oder nach BSI-Grundschutz-Anforderungen – empfiehlt sich eine rechtliche Prüfung des aktuellen Replit-AVV durch den betrieblichen Datenschutzbeauftragten. Was ein DSGVO-konformer AVV im Einzelnen enthalten muss, erläutert unser Leitfaden zum Auftragsverarbeitungsvertrag.

EU-Datenhaltung: Wo Replit Daten speichert

Dies ist die wichtigste Compliance-Frage für deutsche Unternehmen. Replit bietet derzeit keine EU-Datenhaltungsoption. Daten werden auf Replits US-amerikanischer Infrastruktur gespeichert und verarbeitet, die auf Google Cloud Platform mit Rechenzentren in den USA betrieben wird.

Für deutsche Unternehmen und Behörden mit strengen Datenlokalisierungsvorgaben bedeutet das konkret:

• Code-Snippets, Prompt-Verläufe und Projektdateien werden in US-amerikanischen Rechenzentren gespeichert
• Personenbezogene Daten in Code oder Kontext werden außerhalb der EU und des Europäischen Wirtschaftsraums verarbeitet
• Drittlandsübermittlungen in die USA müssen durch Standardvertragsklauseln und eine Transferfolgenabschätzung abgedeckt sein

Transferfolgenabschätzung (TFA): Nach dem EuGH-Urteil in der Sache Schrems II (Rs. C-311/18) ist für jede Übermittlung personenbezogener Daten in die USA eine Transferfolgenabschätzung erforderlich. Darin muss das Risiko des Zugriffs durch US-Nachrichtendienste – insbesondere aufgrund von FISA Section 702 – bewertet werden. Replit, Inc. als US-amerikanisches Unternehmen unterliegt solchen behördlichen Anordnungen. Die TFA muss dieses Risiko dokumentieren und die ergriffenen Schutzmaßnahmen, wie Verschlüsselung bei Übertragung und Speicherung sowie Datensparsamkeit, nachweisen.

Prüfen Sie außerdem, ob Replit, Inc. unter dem EU-US-Datenschutzrahmen (Data Privacy Framework, DPF) zertifiziert ist. Eine DPF-Zertifizierung würde die Drittlandstransfer-Basis vereinfachen, auch wenn angesichts laufender Rechtsstreitigkeiten gegen den DPF eine TFA weiterhin empfehlenswert ist.

Viele deutsche IT-Sicherheitsrichtlinien, insbesondere im öffentlichen Sektor und in der Finanzbranche, schreiben EU-Datenhaltung ausdrücklich vor. Prüfen Sie, ob Ihr Unternehmen solchen internen oder regulatorischen Vorgaben unterliegt, bevor Sie Replit einsetzen.

Replit KI-Funktionen und DSGVO

Replits KI-Funktionen – insbesondere Replit AI (früher Ghostwriter), die KI-Codevervollständigung und Replit Agent – werfen spezifische DSGVO-Fragen zur Datenverarbeitung und zum KI-Modelltraining auf.

Trainiert Replit KI-Modelle mit meinem Code?

Die Antwort hängt vom genutzten Plan ab:

• Kostenlose Plan-Nutzer: Replits Nutzungsbedingungen erlauben die Verwendung von Interaktionen und Code zur Dienstverbesserung, was KI-Modelltraining einschließen kann. Kostenlose Nutzer dürfen nicht davon ausgehen, dass ihr Code vom Training ausgeschlossen ist.
• Teams- und Enterprise-Nutzer: Replit verpflichtet sich, Code und Inhalte kostenpflichtiger Kunden nicht für das KI-Modelltraining zu verwenden. Diese Zusage ist zum Zeitpunkt des Vertragsabschlusses im aktuellen AVV und in den Nutzungsbedingungen zu verifizieren.

Dokumentieren Sie die Version der Bedingungen, auf die Sie sich stützen, da sich die Datenschutzzusagen bei KI-Coding-Tools regelmäßig weiterentwickeln.

Replit Agent und DSGVO

Replit Agent ist eine autonome KI-Funktion, die Code in einer Projektumgebung lesen, schreiben und ausführen kann. Aus DSGVO-Sicht birgt Replit Agent erhöhte Risiken, wenn er Zugriff auf Code, Konfigurationsdateien oder Datenbanken hat, die personenbezogene Daten enthalten. Vor der Aktivierung von Replit Agent ist Folgendes zu prüfen:

1. Welche personenbezogenen Daten sind in der Replit-Projektumgebung vorhanden?
2. Stellt die automatisierte Verarbeitung durch Replit Agent ein Profiling oder eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO dar?
3. Auf welche Rechtsgrundlage stützt sich die Verarbeitung durch Replit Agent, soweit personenbezogene Daten berührt werden?
4. Wird durch den Umfang und die Art des Agent-Zugriffs eine Datenschutz-Folgenabschätzung ausgelöst?

Was deutsche Unternehmen vor dem Einsatz von Replit prüfen müssen

Vor der Einführung von Replit im deutschen Unternehmen sind folgende Schritte abzuarbeiten:

1. Kostenpflichtigen Plan wählen: Sicherstellen, dass Replit Teams oder Enterprise genutzt wird. Die kostenlose Plan-Nutzung ist für personenbezogene Daten im Unternehmenskontext nicht DSGVO-konform.
2. AVV abschließen: Den Auftragsverarbeitungsvertrag von Replit abrufen und unterzeichnen. Prüfen, ob Standardvertragsklauseln für EU-US-Übermittlungen und die aktuelle Unterauftragnehmer-Liste enthalten sind.
3. Transferfolgenabschätzung durchführen: Das Risiko des US-Behördenzugriffs auf von Replit verarbeitete Daten bewerten und Schutzmaßnahmen dokumentieren, insbesondere Verschlüsselung bei Übertragung und Speicherung, Pseudonymisierung und Datensparsamkeit.
4. KI-Training-Ausschluss verifizieren: Schriftlich bestätigen – im AVV oder in der Datenschutzrichtlinie –, dass Replit keinen Code von Teams- oder Enterprise-Kunden für das KI-Modelltraining verwendet. Version der Bedingungen dokumentieren.
5. Verzeichnis der Verarbeitungstätigkeiten (VVT) aktualisieren: Nach Art. 30 DSGVO Replit als Auftragsverarbeiter im VVT erfassen. Kategorien personenbezogener Daten, Verarbeitungszweck, Rechtsgrundlage und Übermittlungsgrundlage dokumentieren.
6. Datenschutz-Folgenabschätzung (DSFA): Bei Verarbeitung besonderer Kategorien personenbezogener Daten, umfangreicher Mitarbeiterdaten oder in Hochrisikokontexten ist eine DSFA nach Art. 35 DSGVO vor dem Einsatz erforderlich.
7. Betriebsrat einbinden: Nach §87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat Mitbestimmungsrechte bei der Einführung technischer Einrichtungen, die geeignet sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. Wenn Replit Entwickleraktivitäten protokolliert oder für Leistungsbeurteilungen genutzt werden könnte, ist vor dem Rollout eine Betriebsvereinbarung erforderlich. Darin sollten erlaubte Anwendungsfälle, Datensparsamkeitsvorgaben und Datenkategorien geregelt sein, die nicht in Replit eingegeben werden dürfen.
8. Nutzungsrichtlinie festlegen: Definieren, welche Datenkategorien in Replit eingegeben werden dürfen – insbesondere zu Kundencode, personenbezogenen Daten von Kunden und Betriebsgeheimnissen. Für Berufsgeheimnisträger wie Rechtsanwälte oder Wirtschaftsprüfer ist diese Richtlinie besonders wichtig.

Alternativen wenn Replit nicht ausreichend konform ist

Für deutsche Unternehmen, bei denen EU-Datenhaltung zwingend erforderlich ist oder US-Drittlandstransfers nicht akzeptiert werden können:

• GitHub Copilot: Microsofts KI-Coding-Assistent, für Business- und Enterprise-Pläne mit starkem AVV und EU-Datenboundary-Infrastruktur, insbesondere bei Integration in GitHub Enterprise oder Azure DevOps.
• Cursor: Privacy Mode für Sitzungsdaten verfügbar; AVV deckt Business- und Enterprise-Abonnenten ab. Unterauftragnehmer sind US-basiert (OpenAI, Anthropic), aber Anysphere veröffentlicht transparente Trust-Dokumentation unter trust.cursor.com.
• Self-hosted Modelle: Open-Source-Coding-LLMs wie Code Llama oder DeepSeek Coder, betrieben lokal oder auf EU-Cloud-Infrastruktur, eliminieren das US-Übermittlungsrisiko vollständig – allerdings mit höherem Betriebsaufwand für Infrastruktur und Modellaktualisierungen.

Häufig gestellte Fragen

Ist Replit DSGVO-konform?

Replit kann DSGVO-konform auf kostenpflichtigen Teams- oder Enterprise-Plänen mit abgeschlossenem AVV und Standardvertragsklauseln für EU-US-Übermittlungen genutzt werden. Die fehlende EU-Datenhaltung ist die zentrale Compliance-Herausforderung. Die kostenlose Plan-Nutzung ist für geschäftliche personenbezogene Daten nicht DSGVO-konform. Deutsche Unternehmen müssen außerdem eine Transferfolgenabschätzung und eine Betriebsratskonsultation vor dem Einsatz durchführen.

Hat Replit einen AVV (Auftragsverarbeitungsvertrag)?

Ja. Replit stellt für Teams- und Enterprise-Kunden einen Auftragsverarbeitungsvertrag bereit. Dieser deckt die Anforderungen von Art. 28 DSGVO ab, einschließlich Weisungsgebundenheit, Unterauftragnehmer-Genehmigung, technisch-organisatorischer Maßnahmen, Meldepflichten und Unterstützung bei Betroffenenrechten. Er enthält Standardvertragsklauseln für EU-US-Übermittlungen. Kostenlose Plan-Nutzer sind nicht abgedeckt.

Trainiert Replit KI-Modelle mit meinem Code?

Für Teams- und Enterprise-Kunden verpflichtet sich Replit, Kundendaten nicht für das KI-Modelltraining zu verwenden. Kostenlose Plan-Nutzer haben diesen Schutz nicht. Verifizieren Sie die aktuelle Zusage in Replits AVV und Datenschutzrichtlinie zum Zeitpunkt des Vertragsabschlusses und dokumentieren Sie die Version, auf die Sie sich stützen.

Kann Replit in Deutschland eingesetzt werden?

Ja, mit dem richtigen Compliance-Setup: kostenpflichtiger Plan mit AVV, Standardvertragsklauseln und Transferfolgenabschätzung für den US-Datentransfer, bestätigter KI-Training-Ausschluss, aktualisiertes VVT, DSFA bei Hochrisikoverarbeitung und Betriebsratskonsultation nach §87 BetrVG vor dem Rollout. Unternehmen mit strengen EU-Datenlokalisierungsrichtlinien – etwa im öffentlichen Sektor oder in regulierten Branchen – sollten die oben genannten Alternativen prüfen.

Welche Rechtsgrundlage gilt für die Verarbeitung von Entwickler-Code in Replit?

Für typische Produktivitätszwecke im Beschäftigungskontext kommen als Rechtsgrundlage am ehesten die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) – sofern Replit unmittelbar die vertraglich geschuldete Tätigkeit des Entwicklers unterstützt – oder berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) unter Abwägung der betroffenen Interessen in Betracht. Eine Einwilligung der Beschäftigten ist im Arbeitsverhältnis nach deutschem Recht wegen des strukturellen Machtgefälles in der Regel nicht als freiwillig anzusehen und daher als Rechtsgrundlage ungeeignet. Dokumentieren Sie die gewählte Rechtsgrundlage je Anwendungsfall – insbesondere wenn Replit Agent oder Aktivitätsdaten eine überwachungsähnliche Verarbeitung ermöglichen.

---

Sie möchten Replit DSGVO-konform in Ihrem deutschen Unternehmen einsetzen? Kontaktieren Sie Compound Law für AVV-Prüfung, Transferfolgenabschätzung und Betriebsratsberatung.