Lusha Workspace und die DSGVO: KI-Training, Speicherort und AVV

Trainiert teilweise mit Ihren Daten.

Ja, teilweise: Die Bedingungen besagen, dass Lusha Kundendaten nicht zum Training öffentlicher KI nutzt, aber seine KI-Funktionen werden offline trainiert, hauptsächlich mit Kunden-Metadaten, und Lusha analysiert Eingaben und Ausgaben mit Machine Learning, um seine Dienste zu verbessern.

Wortlaut des Anbieters: “Lusha confirms that it will not use Customer Data to train public AI. Notwithstanding the foregoing, AI Features may be trained in Lusha’s local and offline environment for product and research development purposes, mainly with regard to Customers’ metadata.”

Quelle: lusha.comSection 7 Privacy and Artificial IntelligenceGeprüft am 20. Oktober 2026

Irland: Amazon Web Services hostet den Dienst laut der Liste der Unterauftragsverarbeiter, die der AVV einbezieht, in Irland; weitere Unterauftragsverarbeiter sind in Irland und Deutschland aufgeführt.

Wortlaut des Anbieters: “Amazon Web Services, Inc. Hosting Ireland N/A”

Quelle: lusha.comLusha Third-Party Subprocessors tableGeprüft am 20. Oktober 2026

EU-Hosting wählbar.

Ja, per Vertrag: Der AVV beschreibt einen „Europe Service“ (im Order Form definiert), bei dem Lusha keine personenbezogenen Daten in einem Drittland (außerhalb des EWR und anderer genehmigter Länder) verarbeitet. Eine Einstellung zur Selbstbedienung wird nicht beschrieben.

Wortlaut des Anbieters: “Section 3.b of this Part 1 only applies if and to the extent the Customer has purchased the Europe Service.”

Quelle: lusha.comDPA Part 1, section 3 Processing Obligations (Europe Service)Geprüft am 19. Oktober 2026

AVV in den Bedingungen.

Ja. Ein Auftragsverarbeitungsvertrag ist fester Bestandteil des Rahmendienstleistungsvertrags; laut den Nutzungsbedingungen hat er Vorrang vor diesen.

Wortlaut des Anbieters: “This data processing agreement (“DPA”) forms an integral part of the master services agreement”

Quelle: lusha.comDPA preambleGeprüft am 19. Oktober 2026

Veröffentlicht.

Ja, öffentliche Liste unter lusha.com/subprocessors: 27 Einträge (zuletzt aktualisiert im September 2025). Keine KI- oder Modellanbieter aufgeführt; AWS (Hosting), Google, Salesforce und Zoom erscheinen.

Wortlaut des Anbieters: “Lusha’s Subprocessors provide infrastructure, data storage, system logging services, and other tools”

Quelle: lusha.comLusha Third-Party Subprocessors tableGeprüft am 19. Oktober 2026

Nicht gelistet.

Kein Eintrag für den Suchbegriff „Lusha“ gefunden

Quelle: dataprivacyframework.govSearch 'Lusha' returned 'Query returned no results'Geprüft am 19. Oktober 2026

Personenbezogene Kundendaten werden für die Laufzeit des Vertrags gespeichert; bei Beendigung gibt Lusha sie zurück oder löscht sie, mit Ausnahme aggregierter Daten, die für statistische oder finanzielle Zwecke aufbewahrt werden.

Wortlaut des Anbieters: “The period for which the Personal Data will be retained: the period of the Agreement.”

Quelle: lusha.comDPA, Annex: period of retentionGeprüft am 19. Oktober 2026

SOC 2 Type II, ISO 27001, ISO 27701, ISO 27017, ISO 31700, ISO 42001 und TRUSTe Responsible AI (7 genannt), dazu das DSGVO-Siegel von ePrivacyseal.

Wortlaut des Anbieters: “Lusha maintains SOC 2 Type II, ISO 27001, ISO 27701, ISO 27017, ISO 31700, and TRUSTe Responsible AI certifications.”

Quelle: lusha.comCertifications & attestationsGeprüft am 19. Oktober 2026

Ja, laut der KI-Vertrauensseite: ein Opt-out für alle KI-gestützten Funktionen auf Kontoebene sowie detaillierte Steuerung einzelner KI-Funktionen. In welchen Tarifen sie verfügbar sind, ist nicht angegeben.

Wortlaut des Anbieters: “Account-level opt-out of all AI-powered features”

Quelle: lusha.comUser controlsGeprüft am 19. Oktober 2026