Windsurf / Devin Desktop und die DSGVO: KI-Training, Speicherort und AVV

Trainiert mit Ihren Daten, bis Sie es abschalten.

Ja, sofern ein Admin nicht widerspricht. Cognition darf Kundendaten standardmäßig für das Modelltraining nutzen; bezahlte Tarife (auch Teams) können widersprechen, und im Tarif Teams kann das nur ein Administrator.

Wortlaut des Anbieters: “Cognition may use Customer Data for model training purposes and to improve and enhance the Services. If you subscribe to a paid Service Tier, you may opt out of this use”

Quelle: windsurf.comPlatform Terms of Service, 3.3.1 Use of Customer DataZweite Quelle: windsurf.comGeprüft am 19. Oktober 2026

Sie können das Training abschalten.

Bezahlter Tarif: Widerspruch auf der Einstellungsseite Data Controls. Im Tarif Teams kann nur ein Administrator ihn einschalten. Nach dem Widerspruch werden Daten nicht zum Training genutzt, und bei den Modellanbietern ist Zero Data Retention aktiviert.

Wortlaut des Anbieters: “If you’re on a paid plan, you can opt out at any time on the Data Controls settings page.”

Quelle: windsurf.comPrivacy & Intellectual Property, 'How is your data used to improve Devin?'Geprüft am 19. Oktober 2026

USA. Anhang C des AVV führt die Cloud-Hosts auf: Google Cloud (als nur Windsurf gekennzeichnet) sowie Microsoft Azure und AWS (als nur Devin gekennzeichnet); jede Hosting-Zeile liegt in den USA.

Wortlaut des Anbieters: “Core processing, profile data, logs, and indices”

Quelle: windsurf.comAppendix C: List of SubprocessorsGeprüft am 19. Oktober 2026

AVV in den Bedingungen.

Ja. Der AVV (Data Processing Addendum) ist in den Kundenvertrag einbezogen und gilt, wenn personenbezogene Daten verarbeitet werden; er enthält EU-Standardvertragsklauseln.

Wortlaut des Anbieters: “and is hereby incorporated into the Agreement”

Quelle: windsurf.comData Processing Addendum, opening paragraphGeprüft am 19. Oktober 2026

Veröffentlicht.

Ja, veröffentlicht als Anhang C des AVV (https://windsurf.com/dpa): 17 Zeilen, 15 Unternehmen. KI-Anbieter: OpenAI, Anthropic, Google/Vertex, AWS/Bedrock, xAI, Databricks, Snowflake (einige nur, wenn aktiviert).

Wortlaut des Anbieters: “The following entities to the extent Customer Personal Data is included in the Customer Data submitted as input to The Cognition Platform.”

Quelle: windsurf.comAppendix C: List of SubprocessorsGeprüft am 19. Oktober 2026

Nicht gelistet.

Kein Eintrag gefunden für die Suchbegriffe 'Cognition AI', 'Exafunction'

Quelle: dataprivacyframework.govSearch 'Cognition AI', 'Exafunction' returned 'Query returned no results'Geprüft am 19. Oktober 2026

Kundendaten werden für die Dauer der Kundenbeziehung aufbewahrt; mit ZDR (nach Widerspruch) werden sie nicht auf Datenträger gespeichert und gelöscht, sobald die Ausgabe erzeugt ist. Unterauftragsverarbeiter löschen innerhalb von 30 Tagen nach Ende des AVV.

Wortlaut des Anbieters: “Cognition only retains data processed through Devin for the duration of the relationship with a given Customer”

Quelle: windsurf.comPrivacy & Intellectual Property, 'What data retention policy does Cognition maintain?'Geprüft am 19. Oktober 2026

SOC 2 Type II (seit September 2024). Auf der gelesenen Seite wird keine ISO-Zertifizierung genannt.

Wortlaut des Anbieters: “Cognition has been SOC 2 Type II certified since September 2024.”

Quelle: windsurf.comSecurity, Third-party audits and certificationGeprüft am 19. Oktober 2026

Ja. In Teams und Enterprise können Admins einschränken, welche KI-Modelle Mitglieder nutzen, und einzelne KI-Funktionen ein- oder ausschalten (zum Beispiel quick review, Codemaps, DeepWiki, MCP servers).

Wortlaut des Anbieters: “Which models are available to members in Cascade, Devin Local, Command, and Devin CLI.”

Quelle: docs.devin.aiDevin Desktop admin controls reference, tableGeprüft am 19. Oktober 2026