Make Pro

Make ist eine visuelle No-Code/Low-Code-Automatisierungsplattform. Nutzer erstellen sogenannte "Szenarien": grafische Workflows, in denen Module (App-Verbindungen) miteinander verkettet werden. Jedes Modul repräsentiert eine Aktion in einem Drittdienst (z. B. Google Sheets lesen, Slack-Nachricht senden, HTTP-Request ausführen). Daten fließen als strukturierte Payloads von Modul zu Modul; Make übernimmt dabei Transformation, Filterung und Routing.

Im Pro-Tarif stehen unbegrenzte aktive Szenarien, ein Mindestintervall von 1 Minute, Priority Execution und eine Ausführungslog-Speicherung von 30 Tagen zur Verfügung. Erweiterte Team-Governance (SSO, Audit Logs, Rollen) ist erst ab Teams-Plan verfügbar.

Make bietet eigene KI-Funktionen ("Make AI Toolkit" / Make's AI Provider) sowie Module zur Einbindung von Drittmodellen (OpenAI, Anthropic, Google AI, Azure OpenAI, Groq). Beim Einsatz dieser KI-Module leitet Make die Nutzdaten an die jeweiligen Subprozessoren weiter; deren Datenschutzregime gilt dann zusätzlich zu Makes eigenem.

Execution-Logs enthalten standardmäßig die vollständigen Payload-Daten eines Szenario-Durchlaufs. Per-Szenario kann die Option "Data is confidential" aktiviert werden, um Payload-Daten aus den Logs zu unterdrücken.

Make agiert als Auftragsverarbeiter (Processor) für Kundendaten, die durch Szenarien verarbeitet werden. Dies ist im DPA ("Celonis Data Processing Agreement for Make") und im Privacy Whitepaper explizit so dokumentiert. Vertragspartner und Privacy-Controller ist Celonis Inc. (USA), was einen Drittlandtransfer begründet. Dieser ist über DPF (primär) und SCCs (ergänzend) abgedeckt.

Der DPA ist öffentlich verfügbar und muss nicht gesondert ausgehandelt werden. Für EU-Kunden sind SCCs im C2P-Format verfügbar. Die Daten-EU-Zonierung (AWS Ireland) ist für Pro-Kunden faktisch erreichbar, aber nicht vertraglich garantiert.

Da Make eine offene Plattform ist, können Szenarien beliebige personenbezogene Daten verarbeiten, einschließlich besonderer Datenkategorien nach Art. 9 DSGVO (z. B. Gesundheitsdaten in HR-Automationen, biometrische Daten via Computer-Vision-Integration). Die Einordnung hängt vom konkreten Einsatz ab. Bei Art.-9-Daten ist vor Einsatz eine Datenschutz-Folgenabschätzung (DSFA/DPIA) zu prüfen.

Für Drittmodell-KI-Verarbeitung (OpenAI, Anthropic usw.) fungiert Make als weiterer Auftragsverarbeiter, der Daten an diese Subprozessoren weitergibt. Deren eigene Datenschutzregime gelten dann ebenfalls; die Subprozessorliste (Nov. 2025) dokumentiert diese Kette vollständig. Ob diese Drittmodell-Anbieter Daten zum Training nutzen, richtet sich nach deren eigenen Vereinbarungen mit Make — dazu liegt keine eigene Make-Aussage vor.

Zweckbindung (Art. 5 Abs. 1 lit. b): Make verarbeitet Szenario-Daten im Auftrag des Kunden (Processor-Modell). Der Zweck ergibt sich aus dem Kundenauftrag (Szenario-Konfiguration). Kritisch: Execution-Logs mit vollständigen Payloads werden 30 Tage aufbewahrt. Organisationen müssen sicherstellen, dass dieser Logs-Zweck (Debugging/Monitoring) im Verarbeitungsverzeichnis dokumentiert ist.

Datenminimierung (Art. 5 Abs. 1 lit. c): Szenarien können so konfiguriert werden, dass nur notwendige Datenpunkte weitergeleitet werden (Transformations-/Filter-Module). Make bietet keine technische Erzwingung der Minimierung; dies liegt in der Verantwortung des Szenario-Gestalters. Die "Data is confidential"-Option reduziert Log-Daten, nicht die verarbeiteten Nutzdaten selbst.

Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f): Transportverschlüsselung (TLS 1.2/1.3), AES-256-Ruhezustandsverschlüsselung und separate Credential-Speicherung sind dokumentiert. Fehlende Audit-Logs im Pro-Plan erschweren die Nachweis-Traceability.

Speicherbegrenzung (Art. 5 Abs. 1 lit. e): Execution-Logs: 30 Tage (Pro), dann automatisch gelöscht. Grundsätzlich sachgerecht; Nachbearbeitungsfristen nach Abo-Ende nicht exakt primärbelegt. Ob Kundendaten zum Training eigener Make-Modelle genutzt werden, ist für sonstige Kundendaten (jenseits des AI Toolkits) nicht primärbelegt — bei datenschutzsensibler Nutzung ist Klärung beim Anbieter angezeigt.

Im typischen B2B-Einsatz (Organisation als Verantwortlicher, Make als Auftragsverarbeiter) stützt sich der Einsatz auf Art. 6 Abs. 1 lit. b (Vertragserfüllung / Durchführung vorvertraglicher Maßnahmen) oder Art. 6 Abs. 1 lit. f (berechtigtes Interesse an der Prozessautomatisierung), je nach konkretem Szenario. Der Abschluss eines AVV (DPA) ist Pflicht nach Art. 28 DSGVO; dieser ist bei Make öffentlich verfügbar und sollte formlich abgeschlossen werden.

Bei Einbindung von KI-Modulen (z. B. OpenAI-Anfragen mit personenbezogenen Inhalten) kann ein gesonderter Erlaubnistatbestand für die KI-Verarbeitung erforderlich sein, insbesondere wenn die Drittmodell-Subprozessoren Daten in die USA übermitteln. DPF und SCCs decken den Transfer-Aspekt ab; die Rechtsgrundlage für die Verarbeitung selbst liegt beim verantwortlichen Unternehmen.

Werden Art.-9-Daten (z. B. Gesundheitsdaten) über Szenarien verarbeitet, ist Art. 9 Abs. 2 DSGVO als zusätzliche Grundlage erforderlich; hier ist besondere Vorsicht geboten und eine DSFA zu prüfen.