Cursor AVV: DSGVO-Compliance für deutsche Unternehmen prüfen
Cursor verfügt über einen Auftragsverarbeitungsvertrag (AVV) für Business- und Enterprise-Kunden. Der AVV ist öffentlich zugänglich unter cursor.com/terms/dpa — kostenlose Hobby-Plan-Nutzer sind nicht abgedeckt und dürfen über das Tool keine personenbezogenen Daten verarbeiten. Deutsche Unternehmen müssen bei der DSGVO-Prüfung von Cursor mehr als nur die AVV-Verfügbarkeit im Blick haben — Datenspeicherort, Sub-Auftragsverarbeiter und Betriebsratsrechte erfordern ebenfalls Aufmerksamkeit.
So erhalten Sie den Cursor AVV
Der Cursor AVV ist öffentlich abrufbar unter cursor.com/terms/dpa — ein gesondertes Verkaufsgespräch ist für die Einsichtnahme nicht erforderlich. Entscheidend ist jedoch, welchen Plan Sie nutzen.
So erhalten Sie den Cursor AVV in drei Schritten:
- Plan überprüfen: Der AVV gilt ausschließlich für Cursor Business- und Enterprise-Abonnenten. Nutzer des kostenlosen Hobby-Plans sind nicht durch den AVV abgedeckt und dürfen Cursor in einem geschäftlichen Kontext nicht zur Verarbeitung personenbezogener Daten einsetzen.
- AVV unter cursor.com/terms/dpa einsehen: Der Vertrag regelt die Anforderungen aus Artikel 28 DSGVO, enthält Standardvertragsklauseln für Datentransfers in die USA und listet die Sub-Auftragsverarbeiter auf. Die aktuelle Sub-Auftragsverarbeiterliste und weitere Trust-Dokumentation sind unter trust.cursor.com abrufbar.
- Gegensignatur bei Bedarf: Für viele Unternehmen reicht die Akzeptanz der Business- oder Enterprise-Vertragsbedingungen aus. Benötigt Ihre Organisation eine gesondert unterzeichnete AVV-Fassung, wenden Sie sich an den Cursor-Vertrieb oder den Rechtsstab.
Transparenz zu Sub-Auftragsverarbeitern: Cursor leitet Code und Eingaben über die APIs von OpenAI und Anthropic weiter. Beide Unternehmen sind im Cursor AVV als Sub-Auftragsverarbeiter aufgeführt. Für EU-Datentransfers gelten Standardvertragsklauseln. Die aktuelle Sub-Auftragsverarbeiterliste finden Sie unter trust.cursor.com. Einen Überblick über den gesetzlichen AVV-Rahmen bietet unsere Seite zum Auftragsverarbeitungsvertrag.
Was ist Cursor?
Cursor ist ein KI-gestützter Code-Editor des US-amerikanischen Unternehmens Anysphere Inc. Er basiert auf VS Code und integriert Large Language Models — darunter Modelle von Anthropic und OpenAI — um intelligente Code-Vervollständigung, Refactoring und chatbasierte Programmierunterstützung anzubieten.
Da Cursor Code-Ausschnitte und Anfragen an KI-APIs von Drittanbietern weiterleitet, ist das Unternehmen im Sinne von Artikel 28 DSGVO als Auftragsverarbeiter einzustufen. Das bedeutet: Jedes Unternehmen, das Cursor in einem professionellen Umfeld einsetzt, muss vor der Verarbeitung personenbezogener Daten einen wirksamen AVV abschließen.
Ist Cursor DSGVO-konform?
Cursor kann mit der richtigen vertraglichen und technischen Einrichtung DSGVO-konform genutzt werden. Anysphere stellt für Business- und Enterprise-Abonnenten einen Auftragsverarbeitungsvertrag bereit, der die Anforderungen des Artikel 28 DSGVO abdeckt. Der kostenlose Hobby-Plan enthält keinen AVV und ist daher für die Verarbeitung personenbezogener Daten in einem unternehmerischen Kontext nicht geeignet.
Die wichtigsten Punkte zur DSGVO-Konformität:
- AVV-Verfügbarkeit: Vorhanden für Business- und Enterprise-Pläne. Nutzer des kostenlosen Hobby-Plans sind nicht abgedeckt.
- Sub-Auftragsverarbeiter: Cursor leitet Anfragen über die APIs von OpenAI und Anthropic weiter. Beide Unternehmen haben ihren Sitz in den USA. Anysphere führt sie als Sub-Auftragsverarbeiter im AVV auf.
- Internationale Datenübermittlung: Code und Kontext, der an KI-Modelle übertragen wird, wird in den USA verarbeitet. Es gelten die Standardvertragsklauseln (SCC) gemäß DSGVO Kapitel V.
- Privacy Mode: Cursor bietet einen Datenschutzmodus (Privacy Mode), der verhindert, dass Code gespeichert oder für das Modelltraining genutzt wird. Diese Einstellung sollte bei jeder Arbeit mit Kundendaten, proprietären Systemen oder personenbezogenen Daten aktiviert werden.
Hat Cursor einen AVV?
Ja. Anysphere stellt für Cursor Business- und Enterprise-Abonnenten einen Auftragsverarbeitungsvertrag bereit. Der AVV regelt die Verarbeitung personenbezogener Daten, die durch den Editor und die zugrunde liegenden KI-Modelle verarbeitet werden.
Für deutsche Unternehmen ist der AVV notwendig, aber nicht ausreichend. Es ist außerdem zu prüfen:
- Ob Standardvertragsklauseln für Übermittlungen an Anysphere (USA) und dessen Sub-Auftragsverarbeiter (OpenAI, Anthropic) abgeschlossen sind.
- Ob das interne Verzeichnis von Verarbeitungstätigkeiten gemäß Artikel 30 DSGVO um den Einsatz von Cursor ergänzt wurde.
- Ob eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen ist, wenn Cursor besondere Kategorien personenbezogener Daten verarbeitet oder in risikobehafteten Kontexten eingesetzt wird.
Zum Vergleich: Claude Enterprise verarbeitet Daten ausschließlich auf der Infrastruktur von Anthropic mit stärkeren Datenspeicherortgarantien. Die OpenAI API erfordert für den europäischen Einsatz ebenfalls SCC-basierte AVVs.
Datenspeicherort und Sub-Auftragsverarbeiter
Bei der Nutzung von Cursor werden Ihr Code und Ihre Anfragen an die Server von Anysphere übertragen und anschließend — abhängig vom aufgerufenen KI-Modell — an die APIs von OpenAI oder Anthropic weitergeleitet. Das bedeutet, Ihre Daten durchlaufen mindestens zwei US-amerikanische Unternehmen.
Sub-Auftragsverarbeiterkette:
| Unternehmen | Rolle | Standort |
|---|---|---|
| Anysphere Inc. | Auftragsverarbeiter (Cursor-Plattform) | USA |
| OpenAI | Sub-Auftragsverarbeiter (KI-Modell-API) | USA |
| Anthropic | Sub-Auftragsverarbeiter (KI-Modell-API) | USA |
Alle Übermittlungen aus der EU/dem EWR an diese Unternehmen stützen sich auf Standardvertragsklauseln. Die deutschen Datenschutzbehörden (Datenschutzkonferenz) akzeptieren SCCs als gültigen Übermittlungsmechanismus, sofern geeignete ergänzende Maßnahmen getroffen wurden — etwa Verschlüsselung während der Übertragung und im Ruhezustand sowie eine Begrenzung der übermittelten Datenkategorien.
Datenspeicherung: Im Privacy Mode speichert Cursor nach Ende der Sitzung weder Code noch Anfragen. Ohne aktivierten Privacy Mode können Nutzungsdaten und Interaktionsprotokolle zu Zwecken der Serviceverbesserung gespeichert werden. Die aktuellen Speicherfristen sind der Datenschutzerklärung von Cursor zu entnehmen.
Was deutsche Unternehmen vor dem Einsatz von Cursor wissen müssen
Für deutsche Unternehmen gibt es spezifische Compliance-Anforderungen, die über die DSGVO-AVV-Checkliste hinausgehen:
Betriebsratsbeteiligung: Gemäß §87 BetrVG hat der Betriebsrat Mitbestimmungsrechte bei der Einführung technischer Überwachungseinrichtungen. Ein KI-Code-Editor, der Entwickleraktivitäten protokolliert, Nutzungskennzahlen erzeugt oder die Leistungsbewertung beeinflusst, kann diese Mitbestimmungspflicht auslösen. Der Betriebsrat sollte vor dem Rollout von Cursor bei Entwicklern einbezogen werden.
Arbeitsrechtliche Aspekte: Wird Cursor team- oder unternehmensübergreifend eingeführt, empfiehlt sich eine schriftliche Nutzungsrichtlinie, die zulässige Anwendungsfälle, Datenschutzerwartungen und Einschränkungen festlegt. Das gilt besonders für Kanzleien und Beratungsunternehmen, in denen die Mandantenvertraulichkeit an erster Stelle steht.
Mandantencode und Berufsgeheimnispflicht: Rechtsanwälte, Wirtschaftsprüfer und andere Berufsträger mit Verschwiegenheitspflichten müssen KI-Code-Editoren mit besonderer Vorsicht nutzen. Die Weiterleitung mandantenbezogenen Codes oder mandantenbezogener Daten durch Cursor ohne Zustimmung des Mandanten und ohne angemessene Datenschutzmaßnahmen kann eine Verletzung der Berufspflichten darstellen.
EU AI Act: Cursor ist ein Allzweck-KI-Tool. Unter dem EU AI Act werden Allzweck-KI-Systeme, die in Entwicklungsworkflows eingesetzt werden, typischerweise nicht als hochriskant eingestuft. Werden Cursor-Ausgaben jedoch in einer Pipeline genutzt, die folgenreiche Entscheidungen trifft — etwa bei der automatisierten Bereitstellung von Finanzsoftware — ist die Risikoklassifikation des Gesamtsystems zu prüfen. Weitere Informationen finden Sie in unserem Leitfaden zur KI-Codegenerierung und Compliance.
Unsere Einschätzung
Für deutsche Unternehmen ist Cursor mit der richtigen Einrichtung ein praktikabler Einsatz. Der AVV ist verfügbar, der Privacy Mode existiert, und die Sub-Auftragsverarbeiterkette ist dokumentiert. Die verbleibenden Lücken entsprechen denen anderer US-amerikanischer KI-Tools: SCCs müssen vorhanden sein, Privacy Mode sollte zur Datenminimiierung aktiviert werden, und der Betriebsrat sollte vor dem Rollout einbezogen werden.
Der kostenlose Hobby-Plan von Cursor empfehlen wir für professionelle Tätigkeiten mit Kundendaten, proprietärem Code oder personenbezogenen Daten ausdrücklich nicht — es fehlt die AVV-Abdeckung. Business- oder Enterprise-Pläne sind der geeignete Ausgangspunkt für Unternehmen aus dem DACH-Raum.
Compound Law unterstützt Sie bei der AVV-Prüfung, SCC-Implementierung, Datenschutz-Folgenabschätzung und Betriebsratsverhandlungen für den Cursor-Einsatz.
Häufig gestellte Fragen
Speichert Cursor meinen Code?
Im Privacy Mode speichert Cursor nach Ende der Sitzung weder Code noch Anfragen. Ohne aktivierten Privacy Mode können Interaktionsdaten von Anysphere und dessen Sub-Auftragsverarbeitern zu Zwecken der Serviceverbesserung gespeichert werden. Aktivieren Sie den Privacy Mode, wenn Sie mit sensiblem, proprietärem oder mandantenbezogenem Code arbeiten.
Ist Cursor DSGVO-konform für deutsche Unternehmen?
Cursor kann mit der richtigen Einrichtung DSGVO-konform eingesetzt werden: unterzeichneter AVV (verfügbar für Business/Enterprise-Pläne), Standardvertragsklauseln für US-Datentransfers, aktivierter Privacy Mode und aktualisiertes Verarbeitungsverzeichnis. Der kostenlose Hobby-Plan enthält keinen AVV und ist für den geschäftlichen Einsatz unter der DSGVO nicht geeignet.
Hat Cursor einen Auftragsverarbeitungsvertrag (AVV)?
Ja. Anysphere stellt für Business- und Enterprise-Kunden einen Auftragsverarbeitungsvertrag gemäß Artikel 28 DSGVO bereit. Dieser muss vor dem Einsatz von Cursor in einem Kontext unterzeichnet werden, in dem personenbezogene Daten verarbeitet werden.
Können deutsche Entwickler Cursor bei der Arbeit nutzen?
Ja, sofern die Compliance-Voraussetzungen erfüllt sind: AVV abgeschlossen, Privacy Mode aktiviert, Betriebsrat ggf. einbezogen und Nutzungsrichtlinie erstellt. Cursor sollte nicht zur Verarbeitung von Kundendaten oder Daten, die der Verschwiegenheitspflicht unterliegen, eingesetzt werden, ohne dass eine gesonderte rechtliche Prüfung erfolgt ist.
Welche Daten übermittelt Cursor an KI-Modelle?
Cursor überträgt Code-Kontext, Eingaben und den Gesprächsverlauf an die genutzten KI-Modell-APIs (OpenAI oder Anthropic), um Antworten zu generieren. Der genaue Umfang der übermittelten Daten hängt vom Modell und dem verwendeten Kontextfenster ab. Im Privacy Mode werden diese Daten nach der Sitzung nicht gespeichert.
Wo finde ich den Cursor AVV?
Der Cursor Auftragsverarbeitungsvertrag ist öffentlich unter cursor.com/terms/dpa abrufbar und gilt für Business- und Enterprise-Abonnenten. Die Sub-Auftragsverarbeiterliste und Trust-Dokumentation sind unter trust.cursor.com veröffentlicht. Benötigt Ihre Organisation eine gesondert unterzeichnete AVV-Fassung, wenden Sie sich an den Cursor-Vertrieb oder Rechtsstab.
Sind OpenAI und Anthropic als Sub-Auftragsverarbeiter im Cursor AVV aufgeführt?
Ja. Sowohl OpenAI als auch Anthropic sind im Cursor AVV als Sub-Auftragsverarbeiter gelistet. Für Datentransfers aus der EU/dem EWR an diese US-amerikanischen Unternehmen gelten Standardvertragsklauseln. Deutsche Unternehmen sollten die aktuelle Sub-Auftragsverarbeiterliste unter trust.cursor.com vor dem Rollout prüfen und Cursors Sub-Auftragsverarbeiterkette in ihr Verzeichnis von Verarbeitungstätigkeiten aufnehmen.
