Lovable

Lovable ist eine vollständig cloud-gehostete Plattform (lovable.dev), die über ein Prompt-Interface vollständige Web-Applikationen generiert. Nutzer beschreiben ihre Anforderung in natürlicher Sprache; Lovable erzeugt daraus Frontend-Code (HTML, CSS, React), Backend-Logik und Datenbankschemas sowie die Verbindung zu Supabase als Datenbankinfrastruktur.

Die KI-Inferenz erfolgt nicht über eigene Modelle, sondern über eine Multi-Provider-Strategie: Anthropic Claude, Google Vertex AI, OpenAI und AWS Bedrock werden gemäß der Anbieter-Sicherheitsdokumentation genutzt. Prompts, generierter Code und Projektdaten werden an diese Drittanbieter übermittelt.

Im Pro-Tarif stehen 100 monatliche Credits zur Verfügung. Projekte sind standardmäßig auf den eigenen Workspace beschränkt (nicht öffentlich). Veröffentlichte Apps erhalten eine öffentliche URL, auf die jeder Inhaber des Links zugreifen kann. Benutzerdefinierte Domains sind im Pro-Plan möglich. SSO, Audit Logs und feingranulare Projektzugriffsbeschränkungen (nur eingeladene Nutzer) sind Business/Enterprise vorbehalten.

Lovable speichert Kundendaten auf Supabase-Infrastruktur. Die Infrastruktur nutzt Google Cloud Platform und Cloudflare für Produktionsworkloads. Regionen EU, US und Australien sind wählbar, jedoch ist kein EU-Region-Default für den Pro-Tarif dokumentiert und keine vertragliche Datenresidenzgarantie für Pro belegt.

Lovable Labs Incorporated (Delaware, USA) ist für Free- und Pro-Nutzer als datenschutzrechtlicher Verantwortlicher im Sinne der DSGVO zu betrachten, mit der schwedischen Lovable Labs AB als EU-Repräsentanz (Art. 27 DSGVO). Für Organisationen, die Lovable zur Verarbeitung personenbezogener Daten ihrer Kunden oder Mitarbeiter einsetzen, müsste Lovable als Auftragsverarbeiter tätig werden (Art. 28 DSGVO), was ein DPA voraussetzt. Im Pro-Tarif ist das DPA jedoch nicht automatisch verfügbar, sondern nur auf Anfrage. Prompts und Projektdaten werden an US-basierte KI-Drittanbieter (Anthropic, OpenAI, Google, AWS Bedrock) weitergeleitet, für die Lovable keine Kontrollverantwortung über Datenpraktiken übernimmt. Die Transfergrundlage in die USA sind SCCs. Datenkategorien nach Art. 9 DSGVO können verarbeitet werden, wenn Nutzer entsprechende Inhalte in Prompts oder Anwendungen einbinden; das ist vom konkreten Einsatz abhängig. Für den Einsatz in Organisationen mit geschäftlichen personenbezogenen Daten ist eine DSFA nach Art. 35 DSGVO zu prüfen.

Zweckbindung (Art. 5 Abs. 1 lit. b): Lovable räumt sich in den Nutzungsbedingungen eine breite Lizenz zur Nutzung von Kundendaten für "business purposes" ein, explizit einschließlich Training. Diese Zweckausweitung über den eigentlichen Service hinaus ist für den Pro-Tarif ohne aktiven Opt-out der Default-Zustand und steht im Spannungsverhältnis zum Zweckbindungsgrundsatz, sofern die Verarbeitung nicht auf Einwilligungsbasis erfolgt.

Datenminimierung (Art. 5 Abs. 1 lit. c): Lovable verarbeitet nur die Daten, die Nutzer aktiv einbringen (Prompts, Code, Projektinhalte). Eine strukturelle Übererfassung ist nicht belegt. Jedoch werden Nutzungsmetriken über PostHog erfasst, was den Anwendern nicht ohne Weiteres bewusst ist.

Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f): Daten werden AES-256 at rest und TLS 1.3 in transit verschlüsselt. Secrets werden feldweiser Verschlüsselung via Google Cloud KMS unterworfen. Die Zertifizierungen (SOC 2, ISO 27001) stützen eine grundlegende Sicherheitsarchitektur. Der Zugriff auf Workspace-Daten durch Subprozessoren (insbesondere die KI-Drittanbieter) ist nicht vertraglich beschränkt, und Lovable erklärt, keine Kontrolle über Drittanbieter-Datenpraktiken zu haben.

Für Privatnutzer und Freelancer (eigene Daten): Die Verarbeitung erfolgt auf Grundlage des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Training mit Nutzungsdaten ist im Pro-Tarif Standard; ein Opt-out ist per E-Mail möglich, setzt aber aktives Handeln voraus. Ohne Opt-out stützt Lovable das Training auf die in den Nutzungsbedingungen eingeräumte Lizenz, nicht auf eine eigenständige DSGVO-Rechtsgrundlage.

Für Organisationen, die Lovable mit personenbezogenen Daten Dritter einsetzen: Lovable agiert als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Das erfordert ein DPA. Im Pro-Tarif ist das DPA nur auf Anfrage verfügbar, nicht automatisch vereinbart. Eine eigenständige Rechtsgrundlage für die Datenübermittlung an Drittmodell-Anbieter ist in den Lovable-Bedingungen nicht transparent belegt; die Privacy Policy verweist Nutzer auf die Policies der AI-Provider und stellt klar, dass Lovable keine Kontrolle darüber hat.

Drittlandtransfer (Art. 44 ff.): Transfers in die USA sind durch SCCs abgedeckt. Das DPA für Pro ist jedoch nur auf Anfrage verfügbar; ohne abgeschlossenes DPA fehlt die vollständige vertragliche Absicherung für den Drittlandtransfer im Auftragsverarbeitungskontext.