Jotform und die DSGVO: KI-Training, Speicherort und AVV

Trainiert nicht mit Ihren Daten.

Nein für Jotform selbst: Die KI-Nutzungsbedingungen besagen, dass Jotform Ihre Daten nicht zum Training seiner KI- oder Sprachmodelle nutzt. Seine externen KI-Anbieter (etwa OpenAI) können mit Daten trainieren; Jotform macht dazu kein Versprechen.

Wortlaut des Anbieters: “We will not use your data to train our AI or language models.”

Quelle: jotform.comAI Terms of Use, data and privacy paragraphGeprüft am 20. Oktober 2026

Standardmäßig USA: Formulardaten liegen auf Servern in den USA, in Rechenzentren von Google Cloud (Iowa) und AWS (Virginia).

Wortlaut des Anbieters: “Form data is stored on servers located in the United States.”

Quelle: jotform.comInformation we collect, From Our CustomersGeprüft am 19. Oktober 2026

EU-Hosting wählbar.

Ja. Kunden können den Speicher im Tab Data der Kontoeinstellungen auf EU-Server in Frankfurt, Deutschland (betrieben von Google) umstellen; das Konto zieht dann zu eu.jotform.com um. Nicht angegeben, ob jeder Tarif dies hat.

Wortlaut des Anbieters: “You can store your data in the EU by enabling the appropriate option in the Data tab of your account settings.”

Quelle: jotform.comStore data in the EUGeprüft am 19. Oktober 2026

AVV auf Anfrage.

Ja. Ein von Jotform vorab unterzeichneter AVV (Data Processing Addendum) ist per Self-Service verfügbar; der Kunde ergänzt eine elektronische Signatur, und er wird automatisch an Jotform gesendet.

Wortlaut des Anbieters: “a Data Processing Addendum (DPA), which is a self-serve and easy-to-execute document pre-signed by Jotform. It only requires an electronic signature from the user.”

Quelle: jotform.comSign a DPAGeprüft am 19. Oktober 2026

Veröffentlicht.

Ja, öffentlich unter https://www.jotform.com/subprocessors/ mit 7 Einträgen (Amazon Web Services, Deepgram, ElevenLabs, Google, HubSpot, OpenAI, Twilio). KI-Anbieter: OpenAI, Google, Deepgram, ElevenLabs.

Wortlaut des Anbieters: “Processing regions vary by sub-processor and service”

Quelle: jotform.comJotform Subprocessors tableGeprüft am 19. Oktober 2026

Auf der Liste.

Aktiv (Jotform Inc.; EU-US DPF, Swiss-US DPF, UK Extension)

Quelle: dataprivacyframework.govSearch 'Jotform'Geprüft am 19. Oktober 2026

Personenbezogene Kontodaten werden gespeichert, solange das Konto besteht; nach Schließen und Depublizieren der Formulare werden sie nach einem Monat gelöscht, und inaktive Konten werden noch ein Jahr verschlüsselt aufbewahrt und dann gelöscht. Backup-Snapshots werden 30 Tage aufbewahrt.

Wortlaut des Anbieters: “If you close your account and make your forms publicly unavailable through your account dashboard, your personal info will be deleted after one month.”

Quelle: jotform.comHow long we retain your informationGeprüft am 19. Oktober 2026

PCI DSS Service Provider Level 1 wird genannt. Die SOC-2-Zertifizierung gilt nur für die dedizierte Enterprise-Umgebung; andere Tarife sind laut Anbieter 'aligned' mit SOC 2. ISO 27001 wird nicht genannt. StateRAMP befindet sich in einem Snapshot-Programm.

Wortlaut des Anbieters: “Jotform’s dedicated environment aligns with the five SOC 2 Trust Service Principles: security, confidentiality, availability, privacy, and processing integrity.”

Quelle: jotform.comSOC 2 Compliance / PCI CertificationGeprüft am 19. Oktober 2026