Grammarly Pro

Grammarly ist ein cloudbasierter KI-Schreibassistent, der Nutzertext in Echtzeit analysiert und Verbesserungsvorschläge liefert. Die Kernfunktion prüft Grammatik, Zeichensetzung und Rechtschreibung; darüber hinaus bietet der Pro-Tarif Stilanalysen, Tonanpassungen sowie generative KI-Funktionen unter der Bezeichnung „AI Prompts" (vormals GrammarlyGO): Texte generieren, umschreiben, kürzen, erweitern und zusammenfassen.

Das Produkt ist über eine Browser-Erweiterung (Chrome, Firefox, Safari, Edge) in nahezu alle Web-Anwendungen integriert, daneben als Desktop-App (Windows, macOS), als Web-Editor auf grammarly.com, als Mobile-Tastatur (iOS, Android) sowie über native Integrationen in Microsoft Word, Google Docs und weitere Bürowerkzeuge verfügbar. Für die KI-Verarbeitung werden Nutzerinhalte an Grammarly-Server (AWS US East) übermittelt.

Die generativen KI-Funktionen basieren teils auf eigenen Modellen, teils auf Drittmodellen von Anthropic, Microsoft Azure und OpenAI, die als Subprozessoren agieren. Laut Grammarly dürfen diese Drittmodell-Provider die Nutzerdaten nicht für eigenes Modelltraining verwenden. Die Subprozessor-Liste auf superhuman.com/legal/subprocessors führt 16 Einträge (Stand: Prüfzeitpunkt Juli 2026); ein Aktualisierungsdatum ist auf der Seite nicht ausgewiesen.

Das Rebranding der Muttergesellschaft zu „Superhuman Platform Inc." erfolgte Oktober/November 2025; der Rechtsträger ist seit dem 29. Oktober 2025 „Superhuman Platform Inc. (formerly known as Grammarly, Inc.)", Delaware-Corporation, San Francisco, CA. Das Produkt trägt weiterhin den Namen „Grammarly" und ist über grammarly.com erreichbar. Quellen: Terms of Service, Privacy and Security FAQs, Subprozessor-Liste, Responsible AI, Rebranding-Ankündigung

Superhuman Platform Inc. (ehem. Grammarly, Inc.) agiert beim Grammarly Pro Einzelnutzer-Tarif nicht als Auftragsverarbeiter im Sinne von Art. 28 DSGVO, da für Individual-Konten kein DPA (Data Privacy Addendum) gilt. Die Terms of Service (Section 3.5) halten ausdrücklich fest: „If you have opened an Account as an individual (i.e., not on behalf of an Entity), Superhuman's Privacy Policy will govern the processing of personal information about you." Damit fehlt für den Pro-Einzelnutzer-Tarif die für den Unternehmenseinsatz nach DSGVO Art. 28 erforderliche Auftragsverarbeitungsvereinbarung.

Dies hat praktische Konsequenzen: Organisationen, die Mitarbeitern Grammarly Pro zur dienstlichen Nutzung bereitstellen oder dulden, verarbeiten personenbezogene Daten (Texteingaben mit Mitarbeiter-, Kunden- oder Personaldaten) ohne vertraglichen Rahmen mit dem Anbieter. Dies ist mit der DSGVO unvereinbar, sofern personenbezogene Daten Dritter im Spiel sind.

Der Anbieter ist US-amerikanisch (Delaware-Corporation, Speicherung AWS US East); der Transfer erfolgt auf Basis des EU-US Data Privacy Framework (DPF, Selbstbescheinigung). Der DPF-Registereintrag ist zum Prüfzeitpunkt nicht per Primärquelle belegbar.

Für Art.-9-Daten gilt laut Privacy Policy ein expliziter HIPAA-Ausschluss: Ohne Business Associate Agreement (BAA, typischerweise Enterprise) dürfen keine Protected Health Information verarbeitet werden. Allgemeine Art.-9-Datenkategorien (Gesundheitsthemen in E-Mails, politische Meinungen in Dokumenten usw.) können strukturell über die Browser-Erweiterung anfallen, ohne dass die Pro-Nutzungsbedingungen hierfür spezifische Schutzmaßnahmen vorsehen.

Da Training standardmäßig aktiviert ist, ergibt sich für die Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) ein Widerspruch: Der Anbieter nutzt Nutzerdaten zur Produktverbesserung, sofern nicht aktiv opt-out vorgenommen wird. Quellen: Terms of Service, Privacy Policy (Superhuman), Superhuman Data Privacy Addendum, Privacy and Security FAQs

Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO): Die Privacy Policy erlaubt Grammarly die Nutzung von Nutzerinhalten für Betrieb, Bereitstellung, Verbesserung, Fehlerbehebung und Entwicklung neuer Produkte (ToS Section 7.2). Das schließt standardmäßig Training ein. Für Organisationen, die Grammarly Pro mit dienstlichen Texten einsetzen, ist die Zweckvereinbarkeit mit dem originären Erhebungszweck (Schreibunterstützung) für die Trainingsnutzung kritisch zu prüfen.

Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): Grammarly erfasst über die Browser-Erweiterung kontinuierlich alle Texteingaben, nicht nur gezielt angeforderte Korrekturen. Auch nach Opt-out aus dem Training werden weiterhin nicht-inhaltliche Schreibstatistiken erhoben. Eine Möglichkeit zur selektiven Aktivierung (z. B. nur für bestimmte Anwendungen) besteht standardmäßig nicht.

Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f DSGVO): TLS 1.2 bei Übertragung und AES-256 im Ruhezustand sind belegt. Mandantentrennung und Least-Privilege-Zugriff sind dokumentiert. Drittmodell-Provider dürfen laut Anbieter keine Nutzerdaten für eigenes Training verwenden; die vertragliche Durchsetzbarkeit dieser Einschränkung für Individual-Pro-Konten ohne DPA ist nicht primärbelegt.

Richtigkeit (Art. 5 Abs. 1 lit. d DSGVO): Generative KI-Ausgaben sind fehleranfällig; bei inhaltlich relevanten Textrevisionen besteht das Risiko sachlich falscher Vorschläge. Nutzer tragen die Verantwortung für die Prüfung vor Verwendung.

Quellen: Terms of Service, Privacy Policy (Superhuman), Security at Grammarly

Rechtsgrundlage für den privaten Einsatz: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) oder lit. b (Vertragserfüllung des Nutzungsvertrags mit Grammarly). Für Privatpersonen, die ausschließlich eigene Texte verarbeiten, besteht kein inherenter Konflikt.

Rechtsgrundlage bei dienstlichem Einsatz: Wird Grammarly Pro durch einen Arbeitgeber bereitgestellt oder geduldet und werden dabei Texte mit Daten Dritter (Kunden, Kollegen, Geschäftspartner) verarbeitet, ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) oder lit. b (Vertragserfüllung) denkbar; eine Einwilligung der betroffenen Dritten ist regelmäßig nicht eingeholt. Die fehlende DPA für Individual-Pro-Konten macht einen regelkonformen Unternehmenseinsatz mit personenbezogenen Daten Dritter faktisch unmöglich, da kein vertraglicher Auftragsverarbeitungsrahmen besteht.

Training als eigenständige Verarbeitung: Die Nutzung von Nutzerinhalten für Grammarly-eigenes Training ist eine Verarbeitung, die über den Schreibunterstützungs-Zweck hinausgeht und einer eigenständigen Rechtsgrundlage bedarf. Die Privacy Policy stützt diese Verarbeitung auf Einwilligung durch Nutzung (Opt-out-Mechanismus); nach DSGVO ist dies eine wirksame Einwilligung nur, wenn sie informiert, freiwillig und jederzeit widerrufbar ist. Der Widerruf ist über die Account-Einstellungen möglich.

Art.-9-Kontext: Sollten besondere Datenkategorien nach Art. 9 DSGVO (Gesundheits-, biometrische, politische Daten) im eingegebenen Text vorkommen, reicht Art. 6 Abs. 1 allein nicht aus; es ist ein Ausnahmetatbestand nach Art. 9 Abs. 2 DSGVO erforderlich. Für PHI gilt laut Privacy Policy ein explizites Verarbeitungsverbot ohne BAA (Enterprise-pflichtig).

Quellen: Terms of Service, Privacy Policy (Superhuman), How We Protect Your Privacy