Figma Professional

Figma ist eine cloudbasierte Design- und Kollaborationsplattform, die primär über den Browser sowie Desktop-Apps (Windows, macOS) und Mobile-Apps (iOS, Android) zugänglich ist. Der Professional-Tarif adressiert bezahlte Teams und enthält den vollen Figma-Design-Funktionsumfang: vektorbasiertes UI/UX-Design, Prototyping, Komponentenbibliotheken, Dev Mode (Code-Inspect für Entwickler), FigJam (kollaboratives Whiteboard mit Sticky Notes, Formen, Abstimmungen) sowie Slides (Präsentationen) und Figma Make (KI-gestützte Webseiten-Erstellung, publiziert standardmäßig als "Anyone on the web").

KI-Funktionen im Professional-Tarif (unter der Bezeichnung "Figma AI") umfassen: automatisches Umbenennen von Schichten, Hintergrund entfernen/erweitern (Bildbearbeitung), Visual Search (semantische Asset-Suche), Textwerkzeuge (generieren, kürzen, übersetzen), FigJam-Funktionen (Summarize, Generate, Sort), Layout-Hilfen und First Draft (UI-Generierung aus Prompts). Der Figma-Agent (Canvas-Chat) ist dem Enterprise- und Organization-Tarif vorbehalten. KI-Inferenz erfolgt serverseitig: Prompts und Outputs werden an Fremdmodell-Anbieter (Anthropic, OpenAI, Google Vertex, Microsoft Azure) weitergeleitet, die diese nach Aussage von Figma ausschließlich in flüchtigem Speicher verarbeiten und nicht für eigenes Modelltraining verwenden dürfen. Weave (KI-Bildgenerierung) nutzt zusätzlich Bria AI, BytePlus und Kling AI als Subprozessoren.

Im Professional-Tarif stehen 3.000 KI-Credits pro Monat zur Verfügung; Dev-Seats kosten weniger als Full-Seats und haben eingeschränkten Funktionszugang. Dateiinhalte liegen auf AWS S3, Metadaten und Nutzerdaten auf AWS RDS, primär in den USA. EU-seitige Datenresidenz (Frankfurt als Primär-, Dublin als Backup-Region) ist technisch vorhanden, aber vertraglich nur im Enterprise-Tarif buchbar. Quellen: Preisseite, KI-Ansatz, KI-Einstellungen, SOC 3

Figma agiert gegenüber Professional-Kunden als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Das DPA ist über die Nutzungsbedingungen (ToS § 1.2) automatisch eingebunden und enthält EU-Standardvertragsklauseln (Module 2 und 3) sowie eine DPF-Selbstbescheinigung. Damit besteht für den Professional-Tarif eine vertragliche Grundlage für die Auftragsverarbeitung, was diesen Tarif von vielen Consumer-orientierten Einstiegstarifen unterscheidet.

Verarbeitete Daten können je nach Nutzung gewöhnliche personenbezogene Daten (Name, E-Mail, Profilbilder, Account-Metadaten) sowie indirekt in Design-Dateien enthaltene Personendaten (Fotos, Mockups mit Nutzerdaten, UX-Research-Material) umfassen. Besondere Kategorien nach Art. 9 DSGVO (z. B. biometrische Erkennungsmerkmale, Gesundheitsdaten) sind technisch möglich, wenn entsprechende Inhalte in Design-Dateien oder Whiteboards eingebracht werden, sind aber kein typischer Anwendungsfall.

Der Primärspeicher liegt in den USA; die Drittlandtransfer-Grundlage ist DPF (primär) und SCC (subsidiär). Da kein EU-Speicher für den Professional-Tarif verfügbar ist und KI-Training standardmäßig aktiviert ist, bestehen besondere Sorgfaltspflichten bei der Verarbeitung von Kunden- oder Mitarbeiterdaten über die Plattform.

Zweckbindung (Art. 5 Abs. 1 lit. b): Figma verarbeitet Nutzerdaten für die Leistungserbringung und, sofern nicht deaktiviert, für KI-Modelltraining. Im Professional-Tarif ist KI-Content-Training standardmäßig aktiv; ohne Admin-Opt-out werden Design-Inhalte auch für Trainingszwecke genutzt, was über den ursprünglichen Verarbeitungszweck (Kollaborationsplattform) hinausgehen kann. Organisationen sollten den Trainingszweck in ihrer DSGVO-Dokumentation berücksichtigen.

Datenminimierung (Art. 5 Abs. 1 lit. c): Figma erhält Zugriff auf alle in der Plattform abgelegten Design-Dateien, Kommentare und KI-Prompt-Eingaben. Im Professional-Tarif besteht keine granulare Steuerung, welche Projekte oder Dateien von KI-Funktionen ausgeschlossen werden. Nutzende sollten sensitive Inhalte nicht in Figma ablegen, wenn kein Opt-out aktiv ist.

Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f): Figma implementiert AES-256-Verschlüsselung at rest und TLS in transit (laut SOC 3, Stand Dezember 2022). 39 Subprozessoren sind außerhalb des EWR tätig; die Transfermechanismen (DPF, SCC) sind im DPA verankert. Im Professional-Tarif fehlt SAML-SSO, was die Zugriffskontrolle im Vergleich zu Organization/Enterprise-Tarifen einschränkt.

Speicherbegrenzung (Art. 5 Abs. 1 lit. e): Eine spezifische Aufbewahrungsfrist für KI-Verarbeitungsdaten ist nicht primärquellenseitig dokumentiert; die Privacy Policy nennt als allgemeinen Grundsatz eine bedarfsgesteuerte Aufbewahrung. Für Löschanfragen sieht die Privacy Policy Anonymisierung oder Löschung vor, ohne Fristangabe.

Rechtsgrundlage für den Einsatz durch Organisationen: Der Einsatz von Figma Professional im Unternehmenskontext basiert typischerweise auf Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, soweit die Plattform zur Erbringung einer Dienstleistung genutzt wird) oder lit. f (berechtigtes Interesse des Unternehmens an effizienter Zusammenarbeit), jeweils in Verbindung mit einem Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Das DPA ist für Professional-Kunden über ToS § 1.2 automatisch eingebunden.

KI-Training als eigener Verarbeitungszweck: Sofern KI-Content-Training aktiviert ist, nutzt Figma Inhalte für eigene Trainingszwecke. Dies ist eine eigenständige Verarbeitung durch Figma als (Teil-)Verantwortlichen, für die eine eigene Rechtsgrundlage auf Seiten von Figma einschlägig sein muss (typischerweise berechtigtes Interesse nach Art. 6 Abs. 1 lit. f). Organisationen sollten prüfen, ob dies mit ihrer eigenen Datenschutz-Dokumentation vereinbar ist.

Drittlandtransfer: Für die Übermittlung personenbezogener Daten in die USA stützt Figma sich auf DPF (Art. 45 DSGVO) und subsidiär auf SCC (Art. 46 DSGVO), beides im DPA und in der DTIA dokumentiert. Der DPF-Registereintrag war zum Prüfzeitpunkt nicht per Direktsichtung verifizierbar; die Selbstbescheinigung ist in Privacy Policy und DPA belegt.