--- title: "Cursor AVV: Ja — Was der Anysphere-Auftragsverarbeitungsvertrag regelt" description: "Ja, Cursor bietet einen AVV an — öffentlich unter cursor.com/terms/dpa. Was der Cursor-AVV nach Art. 28 DSGVO regelt und wie deutsche Teams ihn prüfen." image: "https://compound.law/assets/images/og-image-de.webp" source: "https://compound.law/de-DE/tools/cursor-avv/" language: "de" --- ![Cursor AVV Auftragsverarbeitungsvertrag Art. 28 DSGVO für Deutschland](https://compound.law/assets/images/tools/tools_2.webp) tools # Cursor AVV: Ja — Was der Anysphere-Auftragsverarbeitungsvertrag regelt 27\. Oktober 2026 Bietet Cursor einen AVV nach Art. 28 DSGVO? Ja. Cursor (Anysphere) veröffentlicht seinen Auftragsverarbeitungsvertrag öffentlich unter cursor.com/terms/dpa. Der Cursor-AVV deckt den Art.-28-DSGVO-Rahmen ab, enthält die EU-Standardvertragsklauseln und das UK Addendum — und untersagt die Übermittlung besonderer Kategorien personenbezogener Daten. - Der Cursor-AVV ist öffentlich abrufbar — kein Sales-Kontakt und kein Kundenportal nötig. - Er regelt die Verarbeitung personenbezogener Daten durch Anysphere auf Grundlage des Kundenvertrags. - Als Transfermechanismus sind EU-SCCs und das UK Addendum verankert; die Subprozessorenliste liegt im Trust Portal. - Der AVV weist Kunden an, keine besonderen Kategorien personenbezogener Daten zu übermitteln. **Ja — Cursor bietet einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO an und veröffentlicht ihn offen unter `cursor.com/terms/dpa`.** Das Dokument regelt, wie **Anysphere**, das Unternehmen hinter der KI-Code-Plattform Cursor, personenbezogene Daten im Auftrag von Geschäftskunden verarbeitet. Es enthält die **EU-Standardvertragsklauseln** und das **UK Addendum** und zieht bei den Datenkategorien eine klare Grenze: Kunden werden angewiesen, keine sensiblen oder besonderen Kategorien personenbezogener Daten unter dem Vertrag zu übermitteln. Für Beschaffungsteams lautet die praktische Frage daher nicht mehr, ob es den Cursor-AVV gibt, sondern ob seine Regelungen zum geplanten Einsatz in Deutschland passen. Diese Seite ist ein Dokument-Begleiter: Sie geht den AVV klauselweise durch, legt ihn gegen die Art.-28-DSGVO-Checkliste und zeigt, wie er in eine deutsche Beschaffungsakte gehört. Dieser Beitrag ist allgemeine Information und keine Rechtsberatung für den Einzelfall. Für die breitere Anbieterprüfung lesen Sie unsere [Cursor-Übersicht](https://compound.law/de-DE/tools/cursor/); die englischsprachige Analyse finden Sie auf der Seite [Cursor DPA](https://compound.law/en-DE/tools/cursor-dpa/). ## Was der Cursor-AVV regelt: Klauselindex Der Cursor-AVV ist ein kompaktes Dokument, adressiert aber die Pflichtinhalte des **Art. 28 DSGVO**. Legal- und Datenschutzteams sollten jedes Element gegen den konkreten Einsatz prüfen, statt den AVV als Checkbox zu behandeln: | Klauselbereich | Was der Cursor-AVV vorsieht | Was für Ihren Einsatz zu prüfen ist | | ------------------------------ | ------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------- | | Verarbeitungsumfang | Verarbeitung personenbezogener Daten auf Grundlage des Vertrags zwischen Anysphere und dem Kunden | Dass Ihr Kundenvertrag und Tarif tatsächlich unter diesen Umfang fallen | | Rollenverteilung | Anysphere handelt als Auftragsverarbeiter für Kundendaten | Eigene Verantwortlichenrolle im Verzeichnis nach Art. 30 DSGVO dokumentieren | | Transfermechanismus | EU-Standardvertragsklauseln und UK Addendum | Beteiligte Drittstaaten, Supportzugriff, ggf. Transfer Impact Assessment | | Sensible Daten | Ausdrückliche Weisung, keine sensiblen oder besonderen Kategorien zu übermitteln | Bestätigen, dass der Workflow keine Art.-9-DSGVO-Daten enthält | | Sub-Auftragsverarbeiter | Liste im Trust Portal, jährliche erneute Prüfung | Aktuelle Liste in der Beschaffungsakte ablegen und Kette bewerten | | Betroffenenrechte | Rahmen für Unterstützung bei Auskunft, Löschung und Berichtigung | Eigene Verfahren für Betroffenenanfragen bleiben Ihre Pflicht | | Sicherheit und Vertraulichkeit | Sicherheitszusagen abgestimmt auf die veröffentlichte Security-Dokumentation | Abgleich mit den eigenen Anforderungen nach Art. 32 DSGVO | | Speicherfristen und Löschung | Löschverhalten gemäß Cursor Terms und Data-Use-Dokumentation | Embeddings und Metadaten aus dem Codebase-Indexing gesondert beachten | Zwei Klauseln verdienen besondere Aufmerksamkeit. Erstens ist die Ausschlussklausel für sensible Daten für einen KI-Anbieter-AVV ungewöhnlich deutlich: Cursor positioniert sich damit für ordentliche Geschäftsdaten, nicht für HR-, Gesundheits- oder vergleichbar sensible Materialien. Zweitens kombinieren die **Transferklauseln** die EU-SCCs mit dem UK Addendum in einem Dokument — das deckt die beiden häufigsten Transferkonstellationen ab, ersetzt aber nicht die eigene Transferdokumentation. Der AVV wirkt zudem mit den produktseitigen Datenschutzfunktionen zusammen. Der **Privacy Mode**, den Cursor für alle Tarife einschließlich Free und Pro anbietet, verändert die Datenflüsse auf der Modellebene: Mit aktiviertem Privacy Mode sollen Kundendaten laut Cursor nicht für Training genutzt und von Modellanbietern weder gespeichert noch zum Training verwendet werden. Ausnahmen bleiben die Missbrauchsprüfung und die Embeddings aus dem Codebase-Indexing. AVV und Privacy Mode sind Ergänzungen, kein Ersatz — der AVV rahmt die Auftragsverarbeiter-Beziehung, der Privacy Mode verändert den Datenfluss. ## Deutsche Rechtslage: Wenn der englische DPA als AVV gilt Anysphere veröffentlicht seine Vertragsdokumente ausschließlich auf Englisch — einen deutschsprachigen AVV gibt es nicht. Das ist bei US-Anbietern der Normalfall und rechtlich unproblematisch, solange drei Punkte stimmen: 1. **Terminologie sauber mappen.** Das **Data Processing Addendum** entspricht funktional dem **Auftragsverarbeitungsvertrag** nach Art. 28 DSGVO. Verwenden Sie in Verarbeitungsverzeichnis, Vendor-Register und Datenschutzdokumentation durchgängig die deutsche Begrifflichkeit und verweisen Sie auf die englische Vertragsfassung mit Version und Datum. 2. **Pflichtinhalte gegenlesen.** Art. 28 DSGVO stellt inhaltliche Mindestanforderungen — nicht Sprachanforderungen. Ein englischsprachiger Vertrag erfüllt die AVV-Pflicht, wenn die Pflichtinhalte vollständig und auf den konkreten Einsatz bezogen abgedeckt sind. Genau das leistet die Checkliste weiter unten. 3. **Nachvollziehbarkeit für Dritte herstellen.** Aufsichtsbehörden, Kunden und Auditoren erwarten eine deutschsprachige bzw. nachvollziehbare Dokumentation der Auftragsverarbeitung. Die Beschaffungsakte sollte deshalb neben dem DPA eine kurze deutsche Zusammenfassung der Rollenverteilung, Datenkategorien, Transferpfade und Subprozessoren enthalten. Praktisch bedeutet das: Der öffentliche Cursor-DPA wird zum **Cursor-AVV**, indem Sie ihn versionieren, in die Beschaffungsakte einbetten und die Pflichtinhalte dokumentiert gegen Ihren Workflow prüfen. Wer mehrere KI-Anbieter parallel betreibt, sollte dieses Muster einheitlich anwenden — der Aufwand pro Anbieter liegt bei korrekter Vorlage im einstelligen Stundenbereich. Den übergeordneten Beschaffungsrahmen mit Anbieterkriterien und Dokumentationsvorlagen beschreibt unser [Leitfaden zur KI-Beschaffung unter der DSGVO](https://compound.law/de-DE/compliance/dsgvo-ki-beschaffung/); die englischsprachige Entsprechung finden Sie in unserem [GDPR AI procurement guide](https://compound.law/en-DE/compliance/gdpr-ai-procurement/). ## Art.-28-DSGVO-Checkliste für den Cursor-AVV Art. 28 Abs. 3 DSGVO schreibt den Mindestinhalt eines Auftragsverarbeitungsvertrags vor. Auf den Cursor-AVV angewendet: - [ ] **Verarbeitung nur nach Weisung** — der AVV bindet Anysphere an den Kundenvertrag; Ihre Einstellungen und Nutzungsregeln sind Teil dieser Weisungen - [ ] **Vertraulichkeitsverpflichtungen** — mit der Verarbeitung betraute Personen unterliegen Vertraulichkeitszusagen - [ ] **Sicherheitsmaßnahmen** — AVV gegen die veröffentlichte Security-Dokumentation und die eigenen Art.-32-Anforderungen abgleichen - [ ] **Subprozessoren-Regime** — Liste im Trust Portal mit jährlicher Neuprüfung; Widerspruchsmechanismus bei neuen Subprozessoren prüfen - [ ] **Unterstützung bei Betroffenenrechten** — abdecken, ob die Unterstützungspflichten Ihre eigenen Verfahren abbilden - [ ] **Löschung oder Rückgabe** — Löschverhalten bei Vertragsende inklusive indizierter Embeddings und Metadaten bestätigen - [ ] **Kontroll- und Informationspflichten** — prüfen, wie Cursor die Einhaltung nachweist und welche Nachweise Sie anfordern können - [ ] **Transfergarantien** — EU-SCCs und UK Addendum vorhanden; Transfer Impact Assessment für Ihre Datenflüsse durchgeführt Bleibt ein Punkt aus dem AVV und der veröffentlichten Dokumentation unbeantwortet, fragen Sie schriftlich beim Anbieter nach — die Antwort gehört in die Beschaffungsakte. ## Cursor-AVV abrufen und abschließen Anders als Anbieter, die ihren AVV in ein Kundenportal einbetten, hält Cursor den Prozess **öffentlich und ohne Gating**: 1. **AVV herunterladen** unter `cursor.com/terms/dpa` und die Fassung mit Zugriffsdatum ablegen. 2. **Einbindung bestätigen** — prüfen Sie, wie der AVV an Ihren Vertrag anknüpft: über die Terms of Service, die beim Kauf des Business-Abos gelten, oder über ein Enterprise-Order-Formular. Der AVV verweist auf den Kundenvertrag; die Abo-Dokumente vervollständigen die Kette. 3. **Version dokumentieren** — AVV-Fassung und Datum im Vendor-Management und im Verzeichnis nach Art. 30 DSGVO festhalten, damit Änderungen bei Verlängerung auffallen. 4. **Bei Verlängerung neu prüfen** — KI-Anbieter passen ihre AVVs an; ein neuerlicher Download-Vergleich dauert Minuten und hält die Akte aktuell. Weil der AVV öffentlich ist, kann die rechtliche Prüfung **vor** jedem Sales-Kontakt abgeschlossen werden — ein echter Geschwindigkeitsvorteil gegenüber Anbietern, deren AVV erst im Portal oder in der Vertragsverhandlung verfügbar wird. Zum Vergleich: Der [Anthropic-AVV](https://compound.law/en-DE/tools/anthropic-dpa/) ist in die Commercial Terms eingebettet und wird über das Kundenportal abgerufen; wie unterschiedlich KI-Anbieter die Art.-28-Compliance dokumentieren, zeigt die Gegenüberstellung von [Claude DPA](https://compound.law/en-DE/tools/claude-dpa/), [Claude-AVV](https://compound.law/de-DE/tools/claude-avv/) und [Asana-AVV](https://compound.law/de-DE/tools/asana-dpa/). ## Wann der Cursor-AVV nicht ausreicht Der AVV beantwortet die Vertragsfrage der Auftragsverarbeitung — nicht die Frage nach der Zulässigkeit des Einsatzes. Diese Pflichten bleiben beim Verantwortlichen: - **Rechtsgrundlage (Art. 6 DSGVO)** — der AVV begründet nie Ihre Rechtsgrundlage für die Verarbeitung. - **Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)** — die Dokumentation des Einsatzes erfolgt durch Ihr Unternehmen. - **DSFA (Art. 35 DSGVO)** — groß angelegte oder sensible Workflows können eine Datenschutz-Folgenabschätzung erfordern, unabhängig vom AVV. - **Mitarbeiterdaten und Mitbestimmung** — Entwickler-Tool-Rollouts können Mitbestimmungsrechte nach § 87 Abs. 1 Nr. 6 BetrVG berühren, sobald Leistungsüberwachung im Raum steht. - **EU-AI-Act-Deployer-Pflichten** — fließt Cursor-assistierter Code in ein Hochrisiko-KI-System, kommen Deployer-Pflichten nach der KI-Verordnung hinzu. ## FAQ ### Hat Cursor eine AVV? Ja. Cursor, betrieben von Anysphere, veröffentlicht einen Auftragsverarbeitungsvertrag unter cursor.com/terms/dpa, der die Anforderungen des Art. 28 DSGVO adressiert. Er regelt die Verarbeitung auf Grundlage des Kundenvertrags, enthält EU-SCCs und das UK Addendum und legt Rahmen für Vertraulichkeit, Subprozessoren und Löschung fest. Ob er für Ihren Rollout genügt, entscheidet sich an Tarif, Datenkategorien und Workflow — daher die klauselweise Prüfung oben. ### Wo kann ich den Cursor-AVV herunterladen? Direkt unter cursor.com/terms/dpa, ohne Gating oder Registrierung. Legen Sie die aktuelle Fassung mit Datum in der Beschaffungsakte ab, bestätigen Sie die Anknüpfung an Ihre Abo-Dokumente und laden Sie bei Verlängerung neu, um Änderungen zu erkennen. Die öffentliche Verfügbarkeit erlaubt die Legal-Prüfung vor dem ersten Anbieterkontakt. ### Lässt der Cursor-AVV besondere Kategorien personenbezogener Daten zu? Nein. Der AVV weist Kunden ausdrücklich an, keine sensiblen oder besonderen Kategorien personenbezogener Daten zu übermitteln. Behandeln Sie das als Planungsgrenze: HR-Unterlagen, Gesundheitsdaten und vergleichbare Art.-9-DSGVO-Daten brauchen ein anderes Tool und eine vertiefte rechtliche Prüfung, nicht nur eine AVV-Unterschrift. ### Welcher Transfermechanismus gilt für Cursor-Daten? Der Cursor-AVV enthält die EU-Standardvertragsklauseln und das UK Addendum. Deutsche Unternehmen sollten die Transfergrundlage dokumentieren, erfassen, welche Drittstaaten Daten erhalten können, und die Subprozessorenliste im Trust Portal prüfen. Wo Sensibilität oder interne Vorgaben es verlangen, kommt ein Transfer Impact Assessment hinzu. ### Welche KI-Anbieter bieten AVVs für deutsche Unternehmen? Anthropic (Claude), Asana, Azure OpenAI, DeepL und Cursor veröffentlichen alle AVVs bzw. DPAs, die Art. 28 DSGVO adressieren. Sie unterscheiden sich bei EU-Datenlokation, Speicherverhalten und dem Umgang mit besonderen Datenkategorien. Die richtige Vergleichsgruppe hängt von der Werkzeugkategorie ab — Code-Editoren, Produktivitätsplattformen oder API-Modelle — und gehört dokumentiert in die Beschaffungsakte. ### Brauche ich einen bezahlten Cursor-Tarif, damit der AVV greift? Das AVV-Dokument ist unabhängig vom Tarif öffentlich, aber ein belastbarer Unternehmenseinsatz braucht die Governance-Ebene von Teams oder Enterprise: teamweiter Privacy Mode, Admin-Kontrollen und SSO. Einzelne Pro-Konten können Privacy Mode aktivieren, bieten der Beschaffung aber keine zentrale Durchsetzung und keinen Audit-Trail. ### Wie weise ich den englischen DPA in meiner deutschen Dokumentation aus? Führen Sie ihn als Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit der genauen Vertragsbezeichnung, Fassung und dem Zugriffsdatum. Ergänzen Sie eine kurze deutschsprachige Zusammenfassung von Rollenverteilung, Datenkategorien, Transferpfaden und Subprozessoren — genau diese Zusammenfassung erwarten Aufsichtsbehörden und Auditoren im Zweifel von Ihnen, nicht vom Anbieter. *** Compound Law unterstützt Unternehmen, Startups und In-house-Teams in Deutschland bei **KI-Beschaffung, AVV- und DPA-Prüfung, Transferbewertungen und Governance für Entwickler-Tools**. Wenn Sie Ihren Cursor-Einsatz oder einen anderen KI-Anbietervertrag vor dem Rollout prüfen möchten, [nehmen Sie Kontakt auf](https://compound.law/de-DE/#booking). ## Weitere Tool-Guides [![Canva AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_3.webp)](https://compound.law/de-DE/tools/canva-avv/) [tools](https://compound.law/de-DE/tools/canva-avv/) ### [Hat Canva eine AVV? Ja — Canva-AVV-Leitfaden für Deutschland](https://compound.law/de-DE/tools/canva-avv/) [Ja — Canva bietet einen Auftragsverarbeitungsvertrag: das Data Processing Addendum. Was der Canva AVV klauselweise regelt und wo deutsche Pflichten ansetzen.](https://compound.law/de-DE/tools/canva-avv/) [![ElevenLabs AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/elevenlabs-avv/) [tools](https://compound.law/de-DE/tools/elevenlabs-avv/) ### [Hat ElevenLabs eine AVV? Ja — ElevenLabs-AVV für Deutschland](https://compound.law/de-DE/tools/elevenlabs-avv/) [Ja — ElevenLabs bietet einen Auftragsverarbeitungsvertrag unter elevenlabs.io/dpa. Was der ElevenLabs AVV klauselweise nach Art. 28 DSGVO regelt.](https://compound.law/de-DE/tools/elevenlabs-avv/) [![Synthesia DSGVO-Fakten: KI-Training mit Kundendaten, AVV und EU-Speicherung](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/synthesia/) [tools](https://compound.law/de-DE/tools/synthesia/) ### [Synthesia DSGVO: Trainiert Synthesia auf Kundendaten? AVV & Fakten](https://compound.law/de-DE/tools/synthesia/) [Nein — Synthesia trainiert nicht auf Kundendaten. DSGVO-tauglich für deutsche Firmen: AVV nach Art. 28, EU-Speicherung in Irland. Was Sie prüfen müssen.](https://compound.law/de-DE/tools/synthesia/) [![Claude EU-Hosting Vergleich für Anthropic API, AWS Bedrock und Vertex AI](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-eu-hosting/) [tools](https://compound.law/de-DE/tools/claude-eu-hosting/) ### [Claude EU-Hosting: Wo Claude gehostet ist und was unter DSGVO gilt (2026)](https://compound.law/de-DE/tools/claude-eu-hosting/) [Wo ist Claude gehostet? Direkte Nutzung: US-Speicher als Standard. EU-Regionen gibt es über AWS Bedrock oder Vertex AI – inklusive DSGVO-Prüfpunkte.](https://compound.law/de-DE/tools/claude-eu-hosting/) [![Claude ZDR: Zero Data Retention erklärt — Scope für Anthropic API und Claude Code](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-zdr/) [tools](https://compound.law/de-DE/tools/claude-zdr/) ### [Claude ZDR: Zero Data Retention erklärt — Scope für API und Claude Code](https://compound.law/de-DE/tools/claude-zdr/) [ZDR bedeutet Zero Data Retention — keine dauerhafte Speicherung. Scope für Anthropic API und Claude Code, Policy-Quellen, AVV und DSGVO erklärt.](https://compound.law/de-DE/tools/claude-zdr/) [![HubSpot DSGVO-Konformitaet fuer Marketing Hub und Free CRM](https://compound.law/assets/images/tools/tools_3.webp)](https://compound.law/de-DE/tools/hubspot/) [tools](https://compound.law/de-DE/tools/hubspot/) ### [HubSpot DSGVO-konform? Marketing Hub, Free CRM und AVV](https://compound.law/de-DE/tools/hubspot/) [HubSpot ist fuer den EU-Markt nur DSGVO-konform, wenn AVV, SCC, EU-Datenspeicherung, Rechtsgrundlagen und Betriebsrat sauber geprueft sind.](https://compound.law/de-DE/tools/hubspot/) Tool Library ### Mehr KI-Tools nach Thema durchsuchen Vergleichen Sie weitere Tools, Datenschutzfragen und Einsatzszenarien in unserer vollständigen KI-Tool-Bibliothek. [Alle KI-Tools ansehen](https://compound.law/de-DE/tools/) - [Cursor AVV 2026: Wo Sie ihn finden und was er regelt tools](https://compound.law/de-DE/tools/cursor/) - [DeepSeek DSGVO-konform? Was deutsche Unternehmen wissen müssen tools](https://compound.law/de-DE/tools/deepseek/) - [Zapier DSGVO 2026: AVV, Art. 28 & EU-Datentransfer aktuell tools](https://compound.law/de-DE/tools/zapier/) - [Ist Claude Code DSGVO-konform? AVV, Datenspeicherung und Hosting tools](https://compound.law/de-DE/tools/claude-code-dsgvo/) - [Claude Enterprise Preise: Kein Listenpreis — Angebot, AVV, EU-Grenzen tools](https://compound.law/de-DE/tools/claude-enterprise/) - [Claude DSGVO: Welche Claude-Tarife fuer Unternehmen zulaessig sind tools](https://compound.law/de-DE/tools/claude-dsgvo/) - [Anthropic Standardvertragsklauseln (SCC): DSGVO-Leitfaden Modul 2 und 3 tools](https://compound.law/de-DE/tools/anthropic-scc/) - [Zoom AI Companion DSGVO-Konformität für deutsche Unternehmen tools](https://compound.law/de-DE/tools/zoom/) - [Hat Airtable einen AVV? Ja — aber nur im Enterprise-Plan (DSGVO) tools](https://compound.law/de-DE/tools/airtable-ai/) - [Claude Team vs. Enterprise: Tarifvergleich für Unternehmen in Deutschland tools](https://compound.law/de-DE/tools/claude-team-vs-enterprise/) - [Claude Enterprise für Kanzleien und Rechtsabteilungen tools](https://compound.law/de-DE/tools/claude-enterprise-kanzleien/) - [Anthropic AVV: Datenverarbeitungsvertrag nach Art. 28 DSGVO? tools](https://compound.law/de-DE/tools/anthropic-datenverarbeitungsvertrag/) - [Claude Enterprise für Deutschland — DSGVO-konform & sicher tools](https://compound.law/de-DE/tools/claude-enterprise-deutschland/) - [Anthropic DPA: Art. 28 DSGVO-Prüfung für Deutschland tools](https://compound.law/de-DE/tools/anthropic-dpa/) - [Claude Business DSGVO: Pro, Team und Enterprise im Vergleich tools](https://compound.law/de-DE/tools/claude-business-dsgvo/) ## Häufige Fragen Ja. Cursor, die KI-Code-Plattform des Anbieters Anysphere, veröffentlicht einen Auftragsverarbeitungsvertrag unter cursor.com/terms/dpa, der die Pflichtinhalte des Art. 28 DSGVO adressiert. Er regelt die Verarbeitung im Auftrag des Kunden und enthält die EU-Standardvertragsklauseln und das UK Addendum. Ob er für den konkreten Einsatz ausreicht, hängt von Tarif, Datenarten und Workflow ab. Der Cursor-AVV steht öffentlich unter cursor.com/terms/dpa bereit — ohne Kontaktformular, Gating oder Kundenportal. Das macht die Beschaffungsprüfung unkompliziert. Speichern Sie die aktuelle Fassung mit Datum in der Beschaffungsakte und prüfen Sie bei jeder Vertragsverlängerung, ob Anysphere den Vertrag angepasst hat. Nein. Der öffentliche AVV erklärt ausdrücklich, dass Kunden keine sensiblen oder besonderen Kategorien personenbezogener Daten unter dem Vertrag übermitteln sollen. Deutsche Teams sollten das als harte Grenze lesen: HR-Unterlagen, Gesundheitsdaten und ähnliche Art.-9-DSGVO-Daten gehören nicht in Cursor-Workflows — jedenfalls nicht ohne vertiefte Einzelprüfung. Der AVV enthält die EU-Standardvertragsklauseln (SCCs) und das UK Addendum. Für deutsche Unternehmen ist das der Ausgangspunkt für Drittlandtransfers — ersetzt aber nicht die eigene Dokumentation der beteiligten Länder, die Prüfung der Subprozessorenkette im Trust Portal und die Bewertung, ob der geplante Workflow zu diesem Transfermodell passt. Der AVV selbst ist öffentlich und an keinen Tarif gebunden; er verweist auf den Vertrag zwischen Anysphere und dem Kunden. Für den Unternehmens-Rollout sind Teams oder Enterprise der belastbare Ausgangspunkt, weil nur dort teamweiter Privacy Mode, Admin-Kontrollen und SSO vorhanden sind. Free- und Pro-Konten können Privacy Mode nur einzeln aktivieren. Nahezu alle unternehmensrelevanten KI-Anbieter veröffentlichen inzwischen DSGVO-taugliche Auftragsverarbeitungsverträge, darunter Anthropic für Claude, Asana, Azure OpenAI, DeepL und Cursor. Für deutsche Käufer entscheiden EU-Datenlokation, Speicherverhalten und besondere Datenkategorien. Vergleichen Sie den Cursor-AVV mit dem Claude- und dem Asana-AVV und dokumentieren Sie das Ergebnis. Funktional ja. Das Data Processing Addendum ist die englischsprachige Entsprechung des Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Anysphere veröffentlicht ausschließlich englischsprachige Vertragsdokumente, daher nutzen deutsche Unternehmen den Cursor-DPA als ihren AVV und übertragen dessen Regelungen in ihr Verarbeitungsverzeichnis und ihre Vendor-Dokumentation. ## Structured data ```json [ { "@context": "https://schema.org", "@type": [ "Organization", "LegalService" ], "@id": "https://compound.law/#organization", "name": "Compound Law", "alternateName": "Compound Law — AI Law Firm", "url": "https://compound.law/", "logo": { "@type": "ImageObject", "url": "https://compound.law/press/logos/PNG/Compound_Law_Icon.png", "width": 1024, "height": 1024 }, "image": "https://compound.law/assets/images/og-image.webp", "description": "Die KI-native Kanzlei in Berlin für Start-ups, Mittelstand und Konzerne: Commercial und Vertragsrecht, Datenschutz, KI-Verordnung, Marken, Gesellschaftsrecht sowie Sanierung und Insolvenz. Jedes Ergebnis prüft ein Anwalt, abgerechnet zum Festpreis.", "foundingDate": "2026", "founder": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] } ], "employee": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Marc Schuba", "jobTitle": "Founding Partner, Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/marc-schuba/", "sameAs": [ "https://www.linkedin.com/in/marcschuba/" ], "knowsAbout": [ "IP- und IT-Recht", "SaaS- und IT-Verträge, IT-Outsourcing", "Software- und Open-Source-Lizenzen", "Datenschutzrecht (DSGVO)", "KI-Recht und KI-Verordnung (AI Act)" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] }, { "@type": "Person", "name": "Philipp Brandt", "jobTitle": "Partner, Rechtsanwalt, Fachanwalt für gewerblichen Rechtsschutz", "url": "https://compound.law/de-DE/lawyers/philipp-brandt/", "sameAs": [ "https://www.linkedin.com/in/philipp-brandt-81b446a/" ], "knowsAbout": [ "Sanierungs- und Insolvenzrecht (Krisenberatung der Geschäftsführung, Schutzschirm- und Planverfahren, Insolvenzverwaltung)", "Gewerblicher Rechtsschutz (Marken, Wettbewerbsrecht, Urheberrecht, Geschäftsgeheimnisse, Lizenzverträge)", "Datenschutzrecht (Datenpannen, Bußgeldverfahren, Auskunft und Schadensersatz)", "Vertriebs- und Handelsrecht (Vertriebsverträge, Kauf und Verkauf von Industrieanlagen)" ] }, { "@type": "Person", "name": "Dr. Markus Dreißigacker", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/markus-dreissigacker/", "sameAs": [ "https://www.linkedin.com/in/markusdreissigacker" ], "knowsAbout": [ "M&A (Due Diligence, Post-Merger-Integration, IPO-Readiness)", "Gesellschaftsrecht (Governance, Gremienarbeit, Restrukturierung)", "Handelsrecht (Kundenverträge, Lieferantenvereinbarungen, NDAs)", "IP (Markenmanagement, IP-Übertragungsverträge)", "Compliance & ESG (Globale Compliance-Programme, Menschenrechte, Nachhaltigkeit)", "Datenschutz (DSGVO-Strategie, DPO-Erfahrung, Datenschutzprogramme)" ] } ], "address": { "@type": "PostalAddress", "addressLocality": "Berlin", "addressCountry": "DE" }, "areaServed": [ "Germany", "Austria", "Switzerland", "European Union", "United Kingdom", "United States", "Singapore" ], "availableLanguage": [ "de", "en" ], "serviceType": [ "AI law firm", "AI-native legal services", "legal counsel for start-ups and growth companies", "legal counsel for mid-sized companies and corporates", "Commercial Law", "Corporate Law", "Employment Law", "Regulatory & Compliance", "Intellectual Property", "Insolvency & Restructuring" ], "hasOfferCatalog": { "@type": "OfferCatalog", "name": "Compound Law services", "itemListElement": [ { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Commercial Contracts", "description": "Battle-tested contracts for your sales process", "serviceType": [ "enterprise contracts", "MSA", "DPA", "sales contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "International Employment", "description": "Compliant hiring across borders", "serviceType": [ "international employment", "hiring abroad", "employment contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "VSOP/ESOP Setup", "description": "Employee participation that actually works", "serviceType": [ "VSOP", "ESOP", "employee stock options", "equity incentives" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Funding Round Support", "description": "Clean legal for your next raise", "serviceType": [ "funding round", "term sheet", "SHA", "due diligence", "cap table" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Corporate Housekeeping", "description": "Get your legal house in order", "serviceType": [ "corporate governance", "board resolutions", "shareholder register" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Data Protection & Privacy", "description": "GDPR compliance that doesn't slow you down", "serviceType": [ "GDPR", "data protection", "privacy", "DPA", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI Act Compliance", "description": "Navigate EU AI regulation", "serviceType": [ "AI Act", "AI compliance", "AI governance", "EU AI regulation" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "IP & Competition", "description": "Protect and enforce what you've built", "serviceType": [ "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Fractional General Counsel", "description": "In-house legal without the full-time cost", "serviceType": [ "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "FinTech Compliance", "description": "Navigate financial regulation", "serviceType": [ "fintech compliance", "BaFin", "banking regulation", "AML", "KYC" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Legal Retainer", "description": "Predictable legal support when you need it", "serviceType": [ "legal retainer", "legal subscription", "ongoing legal support" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "M&A Preparation", "description": "Get ready for acquisition interest", "serviceType": [ "M&A preparation", "acquisition", "due diligence", "exit" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Restructuring & Insolvency", "description": "From the first liquidity check to the restructuring itself", "serviceType": [ "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } } ] }, "contactPoint": { "@type": "ContactPoint", "contactType": "sales", "email": "contact@compound.law", "availableLanguage": [ "English", "German" ], "areaServed": [ "DE", "AT", "CH", "EU", "GB", "US", "SG" ] }, "email": "contact@compound.law", "sameAs": [ "https://www.linkedin.com/company/compoundlawfirm", "https://x.com/CompoundLawFirm" ], "knowsAbout": [ "Commercial Contracts", "enterprise contracts", "MSA", "DPA", "sales contracts", "International Employment", "international employment", "hiring abroad", "employment contracts", "VSOP/ESOP Setup", "VSOP", "ESOP", "employee stock options", "equity incentives", "Funding Round Support", "funding round", "term sheet", "SHA", "due diligence", "cap table", "Corporate Housekeeping", "corporate governance", "board resolutions", "shareholder register", "Data Protection & Privacy", "GDPR", "data protection", "privacy", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR", "AI Act Compliance", "AI Act", "AI compliance", "AI governance", "EU AI regulation", "IP & Competition", "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance", "Fractional General Counsel", "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer", "FinTech Compliance", "fintech compliance", "BaFin", "banking regulation", "AML", "KYC", "Legal Retainer", "legal subscription", "ongoing legal support", "M&A Preparation", "M&A preparation", "acquisition", "exit", "Restructuring & Insolvency", "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ] }, { "@context": "https://schema.org", "@type": "Article", "headline": "Cursor AVV: Ja — Was der Anysphere-Auftragsverarbeitungsvertrag regelt", "description": "Ja, Cursor bietet einen AVV an — öffentlich unter cursor.com/terms/dpa. Was der Cursor-AVV nach Art. 28 DSGVO regelt und wie deutsche Teams ihn prüfen.", "image": "https://compound.law/assets/images/tools/tools_2.webp", "datePublished": "2026-10-27T00:00:00.000Z", "dateModified": "2026-10-27T00:00:00.000Z", "author": { "@type": "Person", "name": "Julian Jantze", "image": "https://compound.law/assets/images/team/julianjantze.webp" }, "publisher": { "@type": "Organization", "@id": "https://compound.law/#organization", "name": "Compound Law" }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://compound.law/de-DE/tools/cursor-avv/" } }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://compound.law/de-DE/" }, { "@type": "ListItem", "position": 2, "name": "KI-Tools", "item": "https://compound.law/de-DE/tools/" }, { "@type": "ListItem", "position": 3, "name": "Cursor AVV: Ja — Was der Anysphere-Auftragsverarbeitungsvertrag regelt", "item": "https://compound.law/de-DE/tools/cursor-avv/" } ] }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Hat Cursor eine AVV?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. Cursor, die KI-Code-Plattform des Anbieters Anysphere, veröffentlicht einen Auftragsverarbeitungsvertrag unter cursor.com/terms/dpa, der die Pflichtinhalte des Art. 28 DSGVO adressiert. Er regelt die Verarbeitung im Auftrag des Kunden und enthält die EU-Standardvertragsklauseln und das UK Addendum. Ob er für den konkreten Einsatz ausreicht, hängt von Tarif, Datenarten und Workflow ab." } }, { "@type": "Question", "name": "Wo finde ich den Cursor-AVV zum Download?", "acceptedAnswer": { "@type": "Answer", "text": "Der Cursor-AVV steht öffentlich unter cursor.com/terms/dpa bereit — ohne Kontaktformular, Gating oder Kundenportal. Das macht die Beschaffungsprüfung unkompliziert. Speichern Sie die aktuelle Fassung mit Datum in der Beschaffungsakte und prüfen Sie bei jeder Vertragsverlängerung, ob Anysphere den Vertrag angepasst hat." } }, { "@type": "Question", "name": "Deckt der Cursor-AVV besondere Kategorien personenbezogener Daten ab?", "acceptedAnswer": { "@type": "Answer", "text": "Nein. Der öffentliche AVV erklärt ausdrücklich, dass Kunden keine sensiblen oder besonderen Kategorien personenbezogener Daten unter dem Vertrag übermitteln sollen. Deutsche Teams sollten das als harte Grenze lesen: HR-Unterlagen, Gesundheitsdaten und ähnliche Art.-9-DSGVO-Daten gehören nicht in Cursor-Workflows — jedenfalls nicht ohne vertiefte Einzelprüfung." } }, { "@type": "Question", "name": "Welcher Transfermechanismus gilt im Cursor-AVV?", "acceptedAnswer": { "@type": "Answer", "text": "Der AVV enthält die EU-Standardvertragsklauseln (SCCs) und das UK Addendum. Für deutsche Unternehmen ist das der Ausgangspunkt für Drittlandtransfers — ersetzt aber nicht die eigene Dokumentation der beteiligten Länder, die Prüfung der Subprozessorenkette im Trust Portal und die Bewertung, ob der geplante Workflow zu diesem Transfermodell passt." } }, { "@type": "Question", "name": "Welchen Cursor-Tarif brauche ich für den AVV?", "acceptedAnswer": { "@type": "Answer", "text": "Der AVV selbst ist öffentlich und an keinen Tarif gebunden; er verweist auf den Vertrag zwischen Anysphere und dem Kunden. Für den Unternehmens-Rollout sind Teams oder Enterprise der belastbare Ausgangspunkt, weil nur dort teamweiter Privacy Mode, Admin-Kontrollen und SSO vorhanden sind. Free- und Pro-Konten können Privacy Mode nur einzeln aktivieren." } }, { "@type": "Question", "name": "Welche KI-Anbieter bieten AVVs für deutsche Unternehmen?", "acceptedAnswer": { "@type": "Answer", "text": "Nahezu alle unternehmensrelevanten KI-Anbieter veröffentlichen inzwischen DSGVO-taugliche Auftragsverarbeitungsverträge, darunter Anthropic für Claude, Asana, Azure OpenAI, DeepL und Cursor. Für deutsche Käufer entscheiden EU-Datenlokation, Speicherverhalten und besondere Datenkategorien. Vergleichen Sie den Cursor-AVV mit dem Claude- und dem Asana-AVV und dokumentieren Sie das Ergebnis." } }, { "@type": "Question", "name": "Ist der Cursor-DPA dasselbe wie ein deutscher AVV?", "acceptedAnswer": { "@type": "Answer", "text": "Funktional ja. Das Data Processing Addendum ist die englischsprachige Entsprechung des Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Anysphere veröffentlicht ausschließlich englischsprachige Vertragsdokumente, daher nutzen deutsche Unternehmen den Cursor-DPA als ihren AVV und übertragen dessen Regelungen in ihr Verarbeitungsverzeichnis und ihre Vendor-Dokumentation." } } ] } ] ```