Perplexity Pro

Perplexity Pro ist ein cloudbasierter KI-Suchdienst, der Nutzerfragen in natürlicher Sprache entgegennimmt und durch Kombination aus Echtzeit-Websuche und großen Sprachmodellen strukturierte Antworten mit Quellenangaben erzeugt. Im Pro-Tarif stehen neben dem hauseigenen Sonar-Modell (Llama-basiert) auch Frontier-Modelle wie GPT-4o, Claude-Varianten und andere zur Auswahl. Nutzereingaben umfassen typischerweise Texteingaben (Suchanfragen, Folgefragen), optional hochgeladene Dateien und Bilder. Suchanfragen werden gegen öffentlich erreichbare Webseiten geprüft; die Quellen der Antwort werden inline zitiert. Das Pages-Feature erlaubt es Nutzern, Rechercheergebnisse aktiv als öffentlich erreichbare Webseiten zu publizieren. Threads (Gesprächsverläufe) sind standardmäßig nur für den eingeloggten Nutzer sichtbar und können per Link aktiv geteilt werden. Alle Verarbeitung findet auf Infrastruktur von Perplexity AI in den USA statt (primär AWS, ergänzend Microsoft Azure).

Perplexity AI, Inc. (San Francisco, US) agiert im Verhältnis zu Consumer-Pro-Nutzern als Verantwortlicher im Sinne der DSGVO. Für den Consumer-Tarif steht kein AVV/DPA zur Verfügung; der Anbieter verarbeitet personenbezogene Daten (Suchanfragen, Kontodaten, Metadaten) auf US-Infrastruktur auf Basis eigener Datenschutzerklärung. Die Rechtsgrundlage für die Verarbeitung durch Perplexity ist das Vertragsverhältnis mit dem Nutzer (Art. 6 Abs. 1 lit. b DSGVO) für die Kernfunktion sowie berechtigte Interessen für Sicherheits- und Qualitätszwecke. Für das Modelltraining (standardmäßig aktiv, Opt-out möglich gemäß Privacy Policy) kann eine Einwilligung oder ein berechtigtes Interesse als Grundlage herangezogen werden; der Opt-out-Ansatz ist datenschutzrechtlich kritisch, da eine aktive Widerspruchsmöglichkeit vorgesehen ist, aber keine ausdrückliche Einwilligung eingeholt wird. Organisationen, die den Dienst für Mitarbeiter bereitstellen oder im beruflichen Kontext nutzen, stehen vor dem Problem, dass sie als Verantwortliche für die Eingaben ihrer Mitarbeiter gelten, aber keinen AVV mit Perplexity abschließen können. Der Einsatz mit personenbezogenen oder vertraulichen Daten ist ohne belastbare Rechtsgrundlage und ohne AVV aus DSGVO-Sicht nicht zulässig.

Zweckbindung (Art. 5 Abs. 1 lit. b): Suchanfragen werden nicht nur zur Beantwortung der Anfrage verarbeitet, sondern auch für Modelltraining eingesetzt (standardmäßig aktiv, Opt-out möglich gemäß Privacy Policy). Organisationen müssen sicherstellen, dass Nutzer über diesen Zusatzzweck informiert sind und ggf. widersprechen.

Datenminimierung (Art. 5 Abs. 1 lit. c): Der Dienst speichert Metadaten, Suchanfragen und Interaktionsdaten umfassend. Eine Nutzungsrichtlinie, die den Umfang der Eingaben beschränkt, ist für datenschutzkonforme Nutzung erforderlich.

Speicherbegrenzung (Art. 5 Abs. 1 lit. e): Die Aufbewahrungsfrist für Suchanfragen bei aktivem Konto ist nicht explizit dokumentiert; die Privacy Policy verwendet die allgemeine Formulierung "so lange angemessen notwendig". Dies ist mit dem Grundsatz der Speicherbegrenzung schwer vereinbar.

Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f): SOC 2 Type II bestätigt ein grundlegendes Sicherheitsniveau. Die fehlende ISO-27001-Bestätigung und unklare Subprozessor-Transparenz erzeugen Restrisiken. Der offene Klagevorwurf (Doe v. Perplexity AI, Inc., No. 3:26-cv-02803, N.D. Cal., 31. März 2026) zur Tracker-Praxis ist sicherheitsrelevant, aber nicht abschließend geklärt.

Für Consumer-Nutzer als Privatpersonen ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) die naheliegendste Grundlage für die Kerndienst-Verarbeitung. Für das Modelltraining (standardmäßig aktiv, Opt-out möglich) käme Art. 6 Abs. 1 lit. f (berechtigtes Interesse) oder eine aktive Einwilligung (Art. 6 Abs. 1 lit. a) in Betracht; ein Opt-out-Default ist bei berechtigtem Interesse grundsätzlich möglich, aber von der Interessenabwägung und Transparenz abhängig.

Für Organisationen/Arbeitgeber, die Perplexity Pro für Mitarbeiter einsetzen: Ohne AVV ist eine Auftragsverarbeitungskonstellation nicht vertraglich abgesichert. Art. 6 Abs. 1 lit. f (berechtigtes Interesse der Organisation) könnte die Verarbeitung der Mitarbeiter-Suchanfragen durch die Organisation tragen, aber die Weiterverarbeitung durch Perplexity zu Trainingszwecken liegt außerhalb des Kontrollbereichs der Organisation. Der Einsatz in diesem Kontext ist ohne Enterprise-DPA aus Rechtsgrundlagensicht problematisch.