Asana AI Studio (Advanced)

Asana ist eine cloudbasierte Work-Management-Plattform (Aufgaben, Projekte, Portfolios, Ziele). AI Studio ist die integrierte No-Code-Plattform, mit der Admins und Power-User KI-gesteuerte Workflows konfigurieren: Intake-Formulare, Aufgaben-Routing, automatische Klassifikation, Eskalation und Status-Updates werden über natürlichsprachliche Anweisungen eingerichtet, ohne Programmierung. AI Studio nutzt Drittanbieter-LLMs von OpenAI und Anthropic via API. Zugriffsrechte innerhalb von AI Studio folgen dem bestehenden Asana-Berechtigungsmodell (RBAC).

Im Advanced-Tarif ist AI Studio Basic mit 75.000 AI-Credits pro Abrechnungskonto und Monat enthalten. Kostenpflichtige Erweiterungen (AI Studio Plus: 100.000 Credits/Monat; AI Studio Pro: 5 Mio. Credits/Quartal) sind als Add-on buchbar.

Asana verarbeitet zwei Kategorien von KI-bezogenen Daten: Nutzdaten (Aufgabeninhalte, Formulareingaben, Freitext-Prompts), die an Dritt-LLMs weitergeleitet werden, sowie Metadaten zur Nutzung der Plattform, die Asana für eigene ML-Modelle verwendet. Letzteres ist über die Admin Console deaktivierbar.

Vom bewerteten Scope klar abzugrenzen sind: die Tarife Personal, Starter, Enterprise und Enterprise+; Asana Intelligence-Einzelfeatures außerhalb von AI Studio mit abweichendem Datenregime; sowie die Asana-API als eigenständiger Entwicklervertrag.

Für Asana AI Studio im Advanced-Tarif ist Asana, Inc. (Delaware, USA) Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Ein DPA steht ausdrücklich für den Advanced-Tarif bereit (asana.com/privacy: "Asana offers our Starter, Advanced, Enterprise, and Enterprise+ customers a Data Processing Addendum"). Contracting entity ist Asana, Inc.; eine separate EWR-Vertragseinheit ist nicht belegt. Für Datenschutz-Streitigkeiten gilt irisches Recht; die Irish DPC ist zuständige Aufsichtsbehörde gemäß DPA.

Drittlandtransfers in die USA finden statt (Primärspeicherung USA); die Transfergrundlage ist das EU-US Data Privacy Framework (thirdCountryTransferBasis=dpf) mit SCC als Fallback. EU-Datenresidenz ist für den Advanced-Tarif nicht verfügbar.

Asana nutzt Metadaten für eigene ML-Modelle (opt-out möglich). Dritt-LLM-Provider (OpenAI, Anthropic) trainieren vertraglich nicht mit Kundendaten und müssen diese nach jeder Query löschen. Subprozessoren sind vollständig offengelegt.

Art.-9-DSGVO-Daten (Gesundheits-, biometrische oder politische Daten) können technisch in AI-Studio-Prompts und Aufgabeninhalten vorkommen; dies hängt vom konkreten Einsatz ab. Eine strukturelle Nutzung für Art.-9-Szenarien ist nicht dokumentiert, aber auch nicht ausgeschlossen.

Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO): Asana verarbeitet Kundendaten zur Diensterbringung (DPA) und Nutzungsmetadaten für eigene ML-Modelle (Privacy Statement). Beide Zwecke sind dokumentiert. Die LLM-Provider verarbeiten Daten nur zur Abfragebearbeitung (Query-Scope) und löschen danach; der Zweck ist vertraglich eng begrenzt. Für KI-Agent-Workflows sollten Unternehmen die verarbeiteten Datenarten und Zwecke in einer DSFA (Art. 35 DSGVO) dokumentieren, wenn sensible Daten betroffen sind.

Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): AI-Studio-Prompts enthalten typischerweise Aufgabeninhalte, Formulardaten und Prozesskontext. Unternehmen sollten die Prompts auf das zur Automatisierung notwendige Minimum beschränken und keine personenbezogenen Drittdaten (Kundendaten, HR-Daten) einbeziehen, die nicht zwingend erforderlich sind.

Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f DSGVO): Verschlüsselung (TLS 1.2 / AES-256) ist für die Asana-Infrastruktur (AWS) belegt. Subprozessoren (Anthropic, OpenAI, AWS Bedrock, Google Vertex) sind vollständig offengelegt; das DPA enthält entsprechende Auftragsverarbeiter-Regelungen für Dritte.

Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO): DPA verfügbar, ISO 27001 / SOC 2 Type II belegt. Zertifikats-Geltung für den Advanced-Tarif ist aus öffentlichen Quellen nicht explizit bestätigt (Vorbehalt in certificationsNote).

Rechtsgrundlage im B2B-Kontext (Art. 6 Abs. 1 lit. b DSGVO): Asana verarbeitet Kundendaten auf Basis des Subscriber Agreement (Vertragserfüllung) und des DPA (Auftragsverarbeitung). Für die Nutzung durch eine Organisation zur Verarbeitung eigener Geschäftsprozess-Daten trägt der Subscriber Agreement die Verarbeitung.

Metadaten-Training durch Asana (Art. 6 Abs. 1 lit. f DSGVO): Asana stützt die Nutzung von Plattform-Metadaten für eigene ML-Modelle auf berechtigtes Interesse; ein Opt-out ist über die Admin Console möglich. Unternehmen sollten den Opt-out aktivieren, wenn keine Rechtsgrundlage für diese Verarbeitung besteht.

Drittlandtransfer (Art. 44 ff. DSGVO): Transfer in die USA auf Basis des EU-US Data Privacy Framework (Art. 45 DSGVO, Angemessenheitsbeschluss) und ergänzend SCC Module 2 und 3 (Art. 46 DSGVO). Die DPF-Zertifizierung ist im offiziellen Register bestätigt (Participant #6372).

Einsatz mit Art.-9-DSGVO-Daten: Falls AI-Studio-Workflows Art.-9-Daten verarbeiten (z.B. Gesundheitsdaten in HR-Workflows), ist eine explizite Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO erforderlich; eine DSFA nach Art. 35 DSGVO ist zu prüfen.