Generative Text & Wissensarbeit
Langdock
Langdock GmbH · Multimodal
Bewertet: Langdock, Business-Tarif
Zuletzt geprüft: 2026-07-09 · Aktuell
Mit KI-Unterstützung erstellt
Verfügbare Tarife
7 Tage kostenlos, EUR 5 AI-Guthaben inklusive, alle Plattformfunktionen testbar. Keine Kreditkartenpflicht beim Einstieg. Nach Ablauf Wechsel zu Business oder Beendigung erforderlich.
Standard-Seat für Unternehmen bis 1.000 Nutzer, direkt buchbar ohne Sales-Kontakt. Enthält SSO/SCIM/SAML, Audit-Logs API, Governance-Add-on (bis 01.01.2027 kostenlos). Business-Max-Seat für höhere Nutzungsvolumina ebenfalls verfügbar. Preisangabe und Details: https://langdock.com/pricing
Ab 1.000 Nutzer, Custom Pricing, dediziertes Deployment (Single-Tenant ab 2.000 Seats, BYOC, On-Premise). Enthält dedizierte Datenresidenz-Garantie und erweiterte Governance-Kontrollen. Nur auf Anfrage.
4 Kernfragen
Training mit Nutzungsdaten
Nein
Selbst prüfen
Im Business-Tarif verwendet Langdock Kundendaten nicht für das Training oder die Verbesserung von KI-Modellen. Die Absicherung ist dreilagig:
- Security-Seite (https://langdock.com/security): "Customer data is never used to train or improve AI models."
- Datenschutzerklärung (https://langdock.com/privacy-policy): "Your data is not used for training AI models."
- ToS Abschn. 9.2 (https://langdock.com/terms, Version 2.0): "Langdock does not use Customer Content to develop, train or improve AI Models." Zusätzlich bindet Abschn. 9.2 alle Modell-Subprozessoren vertraglich: "such providers are also prohibited from using Customer Content to develop, train or improve their AI Models." OpenAI wird explizit als Beispiel genannt.
Vorbehalt BYOK (ToS Abschn. 10.2): Bei Nutzung von Bring-Your-Own-Key trägt der Kunde die Verantwortung für die Training-Policies des jeweiligen Direkt-Anbieters. Das Langdock-Trainingsverbot und die Subprozessoren-Bindung greifen in diesem Fall nicht. Organisationen, die BYOK einsetzen, müssen die Training-Konditionen des Direkt-Anbieters eigenständig prüfen.
Speicherung ausschließlich EU
Abhängig von der Konfiguration
Einordnung depends-on-config: Die Kundeninhalte (Chats, hochgeladene Dokumente, RAG-Wissensbasis) werden im Standard-Business-Tarif im EU-Speicherort verarbeitet (Microsoft Azure, deutsche Rechenzentren). Eine ausschließliche EU-Speicherung ist jedoch nicht durchgängig gegeben: dauerhaft aktive US-Nebendaten-Subprozessoren und die vom Kunden aktivierbare Global-Deployment-Option verlagern Teile der Verarbeitung außerhalb der EU. Der Speicherort ist damit von der Konfiguration abhängig. Belege für den EU-Standard:
- Security-Seite (https://langdock.com/security): "Every byte of data processed through Langdock is handled on servers located within the European Union. More specifically, Langdock is hosted in the EU on Microsoft Azure in German data centers."
- Datenschutzerklärung (https://langdock.com/privacy-policy): "As a general rule, we process personal data on servers within the European Union."
- DPA (https://langdock.com/de/dpa): Verarbeitung "grundsätzlich innerhalb der Europäischen Union oder einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR)".
Vorbehalt 1 - US-Nebendaten-Subprozessoren (dauerhaft aktiv): Drei US-Subprozessoren verarbeiten Nebendaten auch im Standard-Business: Black Forest Labs Inc. (Bildgenerierung, EU SCCs), Sentry/Functional Software Inc. (Fehlererfassung inkl. IP-Adressen, DPF+SCC), Cloudflare Inc. (DDoS-Schutz/IP-Adressen, DPF+SCC). Quelle: DPA Anlage 2 (https://langdock.com/de/dpa). Daher ist dataLocation als [EU, US] ausgewiesen.
Vorbehalt 2 - Optionale Global-Deployment-Erweiterung: Bei Aktivierung durch den Kunden wird Verarbeitung außerhalb der EU eröffnet (weitere Microsoft Azure, AWS, Google Cloud, OpenAI und Black Forest Labs Instanzen global, jeweils DPF+SCC/SCCs). Diese Option ist im Standard-Business-Betrieb deaktiviert und sollte für EU-Konformität deaktiviert bleiben.
Aufbewahrung & Löschung
Befristet gespeichert
Im Business-Tarif steuert der Workspace-Admin die Aufbewahrung der Inhaltsdaten. Dokumentierte Fristen:
- DPA Abschn. 11.1 (https://langdock.com/de/dpa): "Der Auftragsverarbeiter löscht die Kundendaten spätestens 30 Tage nach Beendigung des Hauptvertrags." Dieser 30-Tage-Backstop gilt unabhängig von Admin-Einstellungen.
- Datenschutzerklärung (https://langdock.com/privacy-policy): Kundenkonto-Daten werden 30 Tage nach Vertragsende gelöscht; Billing-/Zahlungsdaten unterliegen einer gesetzlichen 10-Jahres-Aufbewahrungspflicht (Ausnahme vom Nutzerkontroll-Prinzip); Server-Logs werden regelmäßig gelöscht.
- Audit-Logs (https://docs.langdock.com/api-endpoints/audit-logs/intro-to-audit-logs-api): Aufbewahrung 90 Tage.
- Microsoft-365-App-Selbstauskunft (https://learn.microsoft.com/de-de/microsoft-365-app-certification/teams/langdock-gmbh-germany): "Datenhaltung nach Kündigung: Nicht beibehalten."
Einordnung: limited-retention. Admins steuern Aufbewahrung und Löschung zwar im laufenden Betrieb, maßgeblich für die Einstufung ist jedoch die dokumentierte anbieterseitige Löschfrist von spätestens 30 Tagen nach Vertragsende (DPA Abschn. 11.1). Weil eine unmittelbare, vom Anbieter bestätigte Löschung beim Anbieter auf Nutzerlöschung im laufenden Betrieb nicht primär dokumentiert ist, wird die vorsichtigere Einstufung gewählt. Billing-Daten (10 Jahre) unterliegen einer gesetzlichen Aufbewahrungspflicht als Ausnahme.
Drittlandtransfer-Grundlage
Standardvertragsklauseln
Im Standard-Business-Tarif stützt sich Langdock auf SCC als schwächste Transfergrundlage (Black Forest Labs Inc., USA, nutzt ausschließlich EU SCCs und UK SCCs, kein DPF). Daher bildet der Enum-Wert "scc" die schwächste Grundlage ab.
Zusätzliche Transfergrundlagen im Business-Standard:
- DPF (EU-US Data Privacy Framework) für Sentry (Functional Software Inc.) und Cloudflare Inc. (jeweils DPF + UK-Extension + Swiss-U.S. DPF + SCCs)
Alle Kern-LLM- und Infrastruktur-Subprozessoren im Standard-Business sind EU-Entitäten (Microsoft Ireland, AWS EMEA SARL/Luxemburg, Google Cloud EMEA/Irland, OpenAI Ireland) - technisch kein Drittlandtransfer für den LLM-Verkehr im Regelbetrieb.
Optionale Global-Deployment-Erweiterung: DPF + SCC für alle globalen Infrastruktur-SPs. Diese Option sollte im Business-Betrieb deaktiviert bleiben.
Quellen: DPA Anlage 2 (https://langdock.com/de/dpa), Datenschutzerklärung (https://langdock.com/privacy-policy, nennt Adequacy Decision, DPF und SCC als Mechanismen).
Quick-Facts
Überblick
Kurzbeschreibung
Langdock ist eine B2B-KI-Plattform der Langdock GmbH (Berlin) für Unternehmen, die KI-gestützten Chat, RAG-Wissensdatenbanken und Workflow-Automatisierung in einem gemeinsamen Arbeitsbereich benötigen. Die Plattform betreibt keine eigenen Sprachmodelle, sondern leitet Anfragen über EU-Entitäten der Anbieter OpenAI, Anthropic, Google, Microsoft, Mistral, Meta und DeepSeek weiter. Im Business-Tarif läuft die Verarbeitung auf Microsoft Azure in deutschen Rechenzentren; ein AVV gilt automatisch ohne Sales-Kontakt.
Verdichtetes Urteil
Langdock (Business-Tarif) ist eine cloudbasierte KI-Plattform mit für DACH-Verhältnisse überdurchschnittlich starker Datenschutz-Grundlage: Das Trainingsverbot ist dreilagig abgesichert (Security-Seite, Datenschutzerklärung, ToS Abschn. 9.2 inkl. Subprozessoren-Bindung), die Kundeninhalte werden standardmäßig in EU-Rechenzentren (Azure Deutschland) verarbeitet, und der AVV gilt automatisch für alle Tarife. Das Restrisiko bleibt mittel: drei dauerhaft aktive US-Subprozessoren für Nebendaten (Sentry, Cloudflare, Black Forest Labs) unter SCC bzw. DPF, nicht öffentlich verifizierbare Zertifikatsdetails, keine dedizierte Datenresidenz-Garantie im Business-Tarif (nur Enterprise) und das BYOK-Szenario, das das Langdock-Trainingsverbot für den jeweiligen Direkt-Anbieter außer Kraft setzt. Eine optionale 'Global Deployment'-Erweiterung würde Datenverarbeitung außerhalb der EU eröffnen und sollte im Business-Betrieb deaktiviert bleiben.
Funktionsbeschreibung
Langdock stellt Unternehmen eine mehrteilige KI-Arbeitsumgebung bereit:
Multi-Modell-Chat und Assistants: Nutzer können über eine einheitliche Oberfläche mit Modellen von OpenAI (GPT-4o, o3), Anthropic (Claude Opus/Sonnet/Haiku über AWS Bedrock EMEA), Google (Gemini über Google Cloud EMEA), Microsoft (Azure OpenAI), Mistral, Meta (Llama) und DeepSeek interagieren. Die Modell-Weiterleitung erfolgt bei Standardkonfiguration über EU-Entitäten der jeweiligen Anbieter; Anthropic-Modelle werden nicht direkt, sondern über Amazon Web Services EMEA SARL (AWS Bedrock, Luxemburg) bereitgestellt.
RAG-Wissensdatenbank: Dokumente, interne Dateien und angebundene Quellen können als Kontext für Anfragen indexiert werden. Die Plattform ermöglicht so unternehmensweite Wissensrecherche auf Basis eigener Inhalte. Eingabedaten umfassen Texte, Dateien (PDF, Office-Formate u.a.) und Integrationen zu Drittdiensten.
Workflows und Agenten: Automatisierte Abläufe lassen sich als Workflows konfigurieren; ein Governance-Add-on (bis 01.01.2027 kostenlos im Business-Tarif) ermöglicht Agent-Review und Compliance-Regeln.
Verarbeitete Datenarten: Nutzerstammdaten (Name, E-Mail), Inhaltsdaten (Chat-Verläufe, hochgeladene Dokumente, Projektkonfigurationen), Audit- und Nutzungsdaten, Billing-Daten sowie technische Metadaten (IP-Adressen, Server-Logs). Fehlererfassung erfolgt über Sentry (Functional Software Inc., USA), DDoS-Schutz über Cloudflare (USA) - beide unter DPF und SCC.
Ausgabedaten: KI-generierte Texte, Zusammenfassungen, Analysen, Workflow-Ergebnisse. Diese verbleiben im privaten Workspace; es gibt keine öffentliche Galerie oder Community-Feed.
Quellen: https://langdock.com/security, https://langdock.com/de/dpa, https://langdock.com/models
Funktionen
- Multi-Modell-Chat: OpenAI, Anthropic (über AWS Bedrock EMEA), Google, Mistral, Meta, DeepSeek über einheitliche Oberfläche
- RAG-Wissensdatenbank: Dokumente und interne Quellen als Modell-Kontext indexierbar
- Assistants: vorkonfigurierte, rollenbezogene KI-Assistenten für Fachbereiche
- Workflow-Automatisierung und Agenten mit Governance-Add-on
- SSO/SCIM/SAML: im Business-Tarif inklusive (Quelle: https://langdock.com/pricing)
- RBAC: rollenbasierte Zugriffskontrolle auf Workspace-Ebene
- Audit-Logs API: Export in SIEM, 90-Tage-Retention (https://docs.langdock.com/api-endpoints/audit-logs/intro-to-audit-logs-api)
- AVV automatisch für alle Tarife (ToS Abschn. 16, https://langdock.com/terms)
- EU-Speicherort Standard: Microsoft Azure, deutsche Rechenzentren
- Bring-Your-Own-Key (BYOK) für eigene Modell-API-Schlüssel (Business-Tarif)
- Governance-Add-on: Agent-Review, Compliance-Regeln, automatisierte Checks (bis 01.01.2027 kostenlos im Business-Tarif)
Preismodell
Subscription-Modell, per Seat pro Monat. Business-Tarif direkt buchbar ohne Sales-Kontakt; Business-Max-Seat für höhere Nutzungsvolumina. Enterprise mit Custom Pricing. Aktuelle Preise: https://langdock.com/pricing
Datenschutz (DSGVO)
Verarbeitete Daten
- Nutzerstammdaten (Name, E-Mail-Adresse, Organisationszugehörigkeit)
- Inhaltsdaten (Chat-Verläufe, Prompts, KI-Antworten, hochgeladene Dokumente, Projektkonfigurationen, Assistants-Definitionen)
- RAG-Indexdaten (indexierte Unternehmensdokumente, Wissensdatenbank-Inhalte)
- Nutzungs- und Metadaten (Zeitstempel, Gerätefingerabdruckdaten, Zugriffszeiten, API-Nutzungsvolumen)
- Technische Betriebsdaten (Server-Logs, Fehlererfassungsdaten inkl. IP-Adressen über Sentry, IP-Adressen für DDoS-Schutz über Cloudflare)
- Billing- und Zahlungsdaten (Rechnungsadresse, Zahlungsabwicklung)
- Integrationsdaten aus angebundenen Drittdiensten (nur bei entsprechender Konfiguration durch den Kunden)
Datenschutzrechtliche Einordnung
Langdock GmbH agiert gegenüber dem einsetzenden Unternehmen als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Der AVV (Version 2.0) wird automatisch mit Vertragsschluss wirksam, ohne dass ein separater Sales-Kontakt oder eine separate Unterzeichnung erforderlich ist (ToS Abschn. 16, https://langdock.com/terms; bestätigt durch https://docs.langdock.com/administration/legal-compliance).
Verarbeitungsort im Standard-Business: EU (Microsoft Azure, deutsche Rechenzentren). Personenbezogene Daten werden grundsätzlich innerhalb der EU/des EWR verarbeitet (DPA und Datenschutzerklärung). Ausnahme: Drei dauerhaft aktive US-Subprozessoren für Nebendaten (Sentry, Cloudflare, Black Forest Labs) mit Drittlandtransfer unter DPF und/oder SCC (DPA Anlage 2, https://langdock.com/de/dpa). Daher sind EU und US als dataLocation ausgewiesen.
Keine dedizierte Datenresidenz-Garantie im Business-Tarif: Business läuft als Multi-tenant-Deployment auf geteilter Azure-Infrastruktur (EU); eine vertraglich zugesicherte Residenz-Garantie oder ein dediziertes Single-Tenant-Deployment ist erst ab Enterprise (2.000 Seats) verfügbar (https://langdock.com/enterprise).
Trainingsverbot: Vertragliches Verbot in ToS Abschn. 9.2 schließt Training auf Kundendaten aus und erstreckt sich auf alle Modell-Subprozessoren. Bei BYOK (ToS Abschn. 10.2) gilt dieses Verbot nicht für den Direkt-Anbieter.
Kritische Datenkategorien: Die Plattform ermöglicht technisch die Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO (z.B. Gesundheitsdaten in medizinischen Anwendungsfällen); ob solche Daten tatsächlich verarbeitet werden, hängt vom Einsatzszenario des Kunden ab (art9DataPossible: depends-on-use).
Art. 5 DSGVO (Grundsätze)
Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO): Langdock verarbeitet Kundendaten ausschließlich zur Erbringung der vertragsgemäßen Leistungen. Das Trainingsverbot (ToS Abschn. 9.2, https://langdock.com/terms) schließt eine Sekundärnutzung für Modellentwicklung aus. Die DPA (https://langdock.com/de/dpa) regelt die Weisungsgebundenheit gemäß Art. 28 DSGVO. Microsoft-365-App-Selbstauskunft bestätigt: "Verarbeiten Sie Kundendaten zu einem sekundären Zweck? Nein."
Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): Verarbeitete Datenkategorien umfassen Nutzerstammdaten, Inhaltsdaten, Nutzungsmetadaten und Betriebsdaten. Fehlererfassungs- (Sentry) und DDoS-Daten (Cloudflare) umfassen IP-Adressen; eine Minimierung dieser Hilfsdaten liegt nicht beim Kunden. Die Daten sind für die Kernfunktion des Dienstes erforderlich.
Richtigkeit (Art. 5 Abs. 1 lit. d DSGVO): KI-generierte Ausgaben können unrichtig sein (Halluzinationen). Der Einsatz als alleinige Entscheidungsgrundlage ohne menschliche Prüfung ist nicht empfehlenswert.
Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f DSGVO): AES-256-Verschlüsselung at rest, TLS 1.2+ in transit (https://langdock.com/security). Multi-tenant-Architektur im Business-Tarif; Mandantentrennung auf Infrastrukturebene durch Azure. SSO/SCIM/SAML und RBAC verfügbar. Jährliche Penetrationstests laut Microsoft-Selbstauskunft (https://learn.microsoft.com/de-de/microsoft-365-app-certification/teams/langdock-gmbh-germany).
Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO): Kundendaten werden spätestens 30 Tage nach Vertragsende gelöscht (DPA Abschn. 11.1). Billing-Daten unterliegen gesetzlicher 10-Jahres-Aufbewahrungspflicht. Audit-Logs 90 Tage. Server-Logs werden regelmäßig gelöscht (Datenschutzerklärung).
Art. 6 DSGVO (Rechtsgrundlagen)
Rechtsgrundlagen für das einsetzende Unternehmen:
Im Unternehmenseinsatz (B2B) ist die typische Rechtsgrundlage für die Verarbeitung gegenüber Beschäftigten Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktivitätssteigerung und Prozessautomatisierung) oder, bei expliziter Einwilligung der Beschäftigten, Art. 6 Abs. 1 lit. a DSGVO. Für kundenbezogene Daten kommt Art. 6 Abs. 1 lit. b (Vertragserfüllung) oder lit. f in Betracht.
Auftragsverarbeitung: Gegenüber Langdock GmbH liegt ein Auftragsverarbeitungsverhältnis nach Art. 28 DSGVO vor. Der AVV ist automatisch Teil des Vertrags (ToS Abschn. 16, https://langdock.com/terms). Das einsetzende Unternehmen bleibt Verantwortlicher; Langdock ist Auftragsverarbeiter.
Hinweis zu BYOK: Bei Nutzung von Bring-Your-Own-Key (ToS Abschn. 10.2) wird der Direkt-API-Anbieter ggf. zu einem weiteren Auftragsverarbeiter; das einsetzende Unternehmen muss für diesen Anbieter eigenständig einen AVV sicherstellen und die Rechtsgrundlagen prüfen.
Besondere Datenkategorien (Art. 9 DSGVO): Sofern Beschäftigte oder Kunden des einsetzenden Unternehmens besondere Datenkategorien in Langdock eingeben (z.B. Gesundheitsdaten, biometrische Daten), ist eine explizite Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO erforderlich. Dies liegt in der Verantwortung des einsetzenden Unternehmens als Verantwortlichem.
Nachvollziehbarkeit
Reviewer
ai-research / claude-sonnet-4-6