Grok (SuperGrok)

Grok SuperGrok ist ein cloudbasierter KI-Assistent, der auf den Grok-4-Modellen von xAI basiert (Textmodell Grok 4, Bildgenerierungsmodell Aurora). Nutzer interagieren per Texteingabe, Bild- und Dokumenten-Upload, Spracheingabe (Voice Mode) und Kameraeingabe (live visuelle Analyse) mit dem System.

Der Dienst unterstützt Textgenerierung, Zusammenfassungen, Übersetzungen, Codegenerierung, Bildgenerierung (Aurora-Modell), Websuche (DeepSearch, DeeperSearch), Videoverarbeitung und Sprachein-/-ausgabe. Typische Einsatzszenarien sind Recherche, Texterstellung, Coding-Assistenz und Bildgenerierung.

Im SuperGrok-Tarif ($30/Monat oder $300/Jahr) stehen folgende Modalitäten zur Verfügung: Text (128K-Kontextfenster), Bilder (PNG/JPEG/GIF/WebP), Videos (MP4/MOV/WebM, bis 5 Minuten), Voice Mode (TTS/STT), Dokumente (PDF/DOCX bis 25 MB). Zusatzfunktionen: Think Mode, Expert Mode, Memory, Projects, Tasks, Companions (3D-Charaktere) und Build (Coding-Agent, Vorabstart-Phase). Kontingent: ca. 100 Prompts pro 2 Stunden.

Daten werden serverseitig auf xAI-eigener Infrastruktur (Colossus-Cluster, Memphis/Tennessee) und Oracle Cloud Infrastructure (OCI) verarbeitet. Business-Funktionen wie zentrale Nutzerverwaltung, SSO oder Audit-Logs sind nicht Bestandteil des SuperGrok-Consumer-Tarifs.

Grok SuperGrok agiert im Consumer-Betrieb als Verantwortlicher (xAI / X.AI LLC) gegenüber dem Endnutzer im Rahmen der Nutzungsbedingungen. Controller für EWR-Nutzer ist X.AI LLC (USA) gemäß Europa-PP-Addendum (eff. 24.04.2025). EU-Vertreter nach Art. 27 DSGVO: Lionheart Squared (Europe) Ltd, 2 Pembroke House, Upper Pembroke Street 28-32, Dublin D02 EK84, Irland.

Ein Auftragsverarbeitungsverhältnis nach DSGVO Art. 28 kommt für den Consumer-Tarif nicht zustande: Das xAI DPA (x.ai/legal/data-processing-addendum) ist ausschließlich auf API-Kunden und Business-Services begrenzt; ein eigenständiger Consumer-AVV für SuperGrok ist nicht belegt.

Für Organisationen, die SuperGrok durch Mitarbeitende für berufliche Zwecke nutzen lassen, fehlt die rechtliche Grundlage für eine DSGVO-konforme Auftragsverarbeitung. Der Einsatz mit personenbezogenen Daten Dritter (Kunden, Mitarbeitende) ist in diesem Tarif ohne AVV nicht rechtssicher. Die US-Datenspeicherung (Memphis, Tennessee) ohne EU-Datenresidenz-Option verstärkt diesen Befund.

Drittlandtransfers stützen sich auf SCCs (stark indiziert aus Europa-PP-Addendum, für Consumer-Scope nicht verbatim belegt). Für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) ist der Einsatz ohne spezifische Rechtsgrundlage und ohne AVV in der Regel unzulässig. Der Trainingsstatus ist nicht per Primärquelle belegbar.

Zweckbindung (Art. 5 Abs. 1 lit. b): Der Default-Trainingsstatus von SuperGrok ist nicht per Primärquelle belegbar. Wenn Konversationsdaten standardmäßig zur Modellverbesserung genutzt werden, geht das über den Vertragszweck mit dem Endnutzer hinaus. Für Organisationen, die SuperGrok für ihre Mitarbeitenden bereitstellen, ist die Zweckbindung ohne AVV nicht steuerbar. Verantwortliche können das Nutzungsverhalten des Anbieters nicht vertraglich beschränken.

Datenminimierung (Art. 5 Abs. 1 lit. c): SuperGrok bietet keine technische Beschränkung der eingabefähigen Datenmenge oder -kategorie. Nutzer können Art.-9-Daten eingeben; das System warnt nicht. Die Einhaltung der Datenminimierung liegt vollständig beim Nutzer bzw. der Organisation.

Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f): Ohne primärbelegt verfügbare Consumer-spezifische Sicherheitszertifizierungen (SOC-2-Scope für Consumer nicht belegt; Trust Center nur unter NDA zugänglich) lässt sich Integrität und Vertraulichkeit für den SuperGrok-Tarif nicht aus Drittprüfungen ableiten. Der Share-Link-Vorfall (August 2025: 370.000+ indexierte Konversationen ohne noindex-Schutz) stellt einen konkreten Vertraulichkeits-Vorfall dar.

Speicherbegrenzung (Art. 5 Abs. 1 lit. e): Aktive Konversationen werden ohne anbieterseitige Befristung gespeichert, bis der Nutzer aktiv löscht. 30-Tage-Nachlauffrist nach Nutzerlösch-Aktion belegt. Safety/Legal-Ausnahme erlaubt längere Aufbewahrung.

Einsatz für private Zwecke: Nutzer, die SuperGrok ausschließlich für private Zwecke ohne Personenbezug Dritter nutzen, handeln außerhalb des sachlichen DSGVO-Anwendungsbereichs (Art. 2 Abs. 2 lit. c DSGVO, Haushaltsausnahme).

Einsatz im beruflichen Kontext: Sobald Arbeitnehmer SuperGrok im Rahmen ihrer Tätigkeit für den Arbeitgeber nutzen und dabei personenbezogene Daten Dritter verarbeiten, wird die Organisation zum Verantwortlichen. Mögliche Rechtsgrundlagen: Art. 6 Abs. 1 lit. b (Vertragserfüllung), lit. f (berechtigtes Interesse). Für einen rechtskonformen Einsatz wäre ein AVV nach Art. 28 DSGVO erforderlich, der für diesen Tarif nicht verfügbar ist.

Einwilligung (Art. 6 Abs. 1 lit. a): Eine Einwilligung betroffener Dritter in die Verarbeitung durch xAI (US-Server, unklarer Trainingsstatus) ist in der Praxis kaum einzuholen und würfe im beruflichen Kontext Zweifel an der Freiwilligkeit auf. Diese Rechtsgrundlage trägt den Dauerbetrieb nicht.

Fazit: Für den gewerblichen Einsatz mit Drittdaten fehlt im SuperGrok-Consumer-Tarif die strukturelle Voraussetzung (AVV); ein DSGVO-konformer Betrieb als Auftragsverarbeitung ist unter diesen Bedingungen nicht herstellbar.