Basecamp und die DSGVO: KI-Training, Speicherort und AVV

Trainiert nicht mit Ihren Daten.

Nein. 37signals sagt, es verwende Ihre Inhalte nicht zum Training von KI-Modellen, und die KI-Anbieter, mit denen es arbeitet, dürfen vertraglich nicht damit trainieren.

Wortlaut des Anbieters: “we don’t use your content to train AI models. The AI providers we work with are also contractually prohibited from training their models on your content.”

Quelle: 37signals.comPrivacy Policy, Artificial intelligenceGeprüft am 19. Oktober 2026

USA. Die Richtlinie besagt, die Produkte seien überwiegend in den USA untergebracht und Daten aus der EU oder dem Vereinigten Königreich würden dorthin übertragen und dort gespeichert. Hosting-Anbieter nicht genannt.

Wortlaut des Anbieters: “Our products and other web properties are primarily housed in the United States.”

Quelle: 37signals.comPrivacy Policy, data transfersGeprüft am 19. Oktober 2026

AVV auf Anfrage.

Ja. 37signals hat ein AVV (Data Processing Addendum) mit Standardvertragsklauseln, veröffentlicht als PDF, HTML und Markdown; es hat Vorrang vor den allgemeinen Bedingungen.

Wortlaut des Anbieters: “37signals has adopted a data processing addendum with Standard Contractual Clauses to help ensure this protection.”

Quelle: 37signals.comPrivacy Policy, international transfersGeprüft am 19. Oktober 2026

Veröffentlicht.

Ja, öffentlich unter https://37signals.com/policies/privacy/basecamp-subprocessors: 12 Einträge. Aufgeführte KI-Anbieter: Anthropic und OpenAI, beschrieben als KI-Assistenzwerkzeuge, die von Mitarbeitenden genutzt werden.

Wortlaut des Anbieters: “The following is a list of personal data subprocessors we use.”

Quelle: 37signals.comBasecamp SubprocessorsGeprüft am 19. Oktober 2026

Nicht gelistet.

Kein Eintrag gefunden für den Suchbegriff '37signals'

Quelle: dataprivacyframework.govSearch '37signals' returned 'Query returned no results'Geprüft am 19. Oktober 2026

Inhalte werden gespeichert, solange das Konto aktiv ist. Gelöschte Elemente bleiben etwa 25 Tage zugänglich und können weitere 30 Tage auf Servern verbleiben; bei Kündigung sind Inhalte sofort nicht mehr zugänglich und werden innerhalb von 60 Tagen gelöscht, wobei auch Backups noch begrenzte Zeit Kopien enthalten.

Wortlaut des Anbieters: “If you choose to cancel your account, your content will become immediately inaccessible and should be purged from our systems in full within 60 days.”

Quelle: 37signals.comPrivacy Policy, What happens when you delete contentGeprüft am 19. Oktober 2026

Keine Sicherheitszertifizierung wie SOC 2 oder ISO 27001 genannt. Die Sicherheitsseite nennt ein PCI-DSS-Konformitätszertifikat (Kartenzahlungen, SAQ-A-Selbstbewertung) und eine veröffentlichte CSA-CAIQ-v4.1-Selbstbewertung.

Wortlaut des Anbieters: “Our current PCI DSS Certificate of Compliance (PDF), issued by SecurityMetrics on our SAQ A self-assessment, is renewed annually.”

Quelle: 37signals.comSecurity policy, billing informationGeprüft am 19. Oktober 2026

Nicht zutreffend: Laut Richtlinie enthalten die Produkte keine eingebauten KI-Funktionen, die Ihre Inhalte verarbeiten, daher gibt es keinen KI-Schalter. Optionale Konnektoren für KI-Assistenten gibt es (basecamp.com/ai).

Wortlaut des Anbieters: “Our products don’t include built-in AI features that process your content”

Quelle: 37signals.comPrivacy Policy, Artificial intelligenceGeprüft am 19. Oktober 2026