Replit Core

Replit ist eine vollständig browserbasierte Cloud-IDE mit integrierter KI-Schicht. Im Core-Tarif stehen Replit Agent (agentische App-Generierung aus Texteingaben), Replit AI (Chat-Assistent, Code-Vervollständigung, vormals Ghostwriter) sowie das Hosting-Ökosystem zur Verfügung.

Die KI-Funktionen basieren auf Modellen Dritter: Anthropic (Claude-Modelle), OpenAI (GPT- und O-Modelle), Google (Gemini-Modelle) und OpenRouter als Routing-Schicht. Für bezahlte Modell-Endpoints ist laut Replit-Dokumentation Training durch die Modell-Provider deaktiviert ("paid endpoints training disabled"). Die ToS sieht eine Trainingserlaubnis für den Content öffentlicher Apps unabhängig davon vor; ob Replit davon tatsächlich Gebrauch macht, ist für Core-Consumer nicht primärbelegt.

Ein wesentliches Merkmal gegenüber reinen Code-Editoren: Replit hostet die erzeugten Applikationen (Deployments), serverseitige Datenbanken und Secrets/Umgebungsvariablen. Damit verarbeitet Replit potenziell auch Nutzerdaten der betriebenen Anwendungen, Zugangsdaten und Datenbankinhalte. Secrets werden verschlüsselt im Google Cloud Secret Manager gespeichert (AES-256 at rest, TLS in transit).

Die Infrastruktur basiert primär auf Google Cloud Platform (USA); optional werden Ressourcen in der Region Indien (Asia-South1) bereitgestellt. Eine EU-Speicherregion ist nicht dokumentiert.

Apps im persönlichen Workspace eines Core-Nutzers werden standardmäßig als öffentlich veröffentlicht. Private Deployments (Workspace-only oder Only-you) sind konfigurierbar, aber nicht der Default.

Quellen: replit.com/terms-of-service, replit.com/privacy-policy, docs.replit.com/features/integrations/replit-ai-integrations, docs.replit.com/teams/information-security/overview

Replit, Inc. (Foster City, CA) agiert bei Einsatz durch eine Organisation als Auftragsverarbeiter für alle in die Plattform eingebrachten Daten. Dies umfasst nicht nur Code und KI-Prompts, sondern auch Inhalte gehosteter Applikationen, Datenbanken und Secrets. Für den Core-Tarif (persönliche Nutzung unter den Terms of Service) ist ein AVV nicht primärbelegt; das DPA ist ausdrücklich Teil des Commercial Agreement für kommerzielle Nutzer. Verarbeitete Daten können Geschäftsgeheimnisse, Zugangsdaten und personenbezogene Daten umfassen. Der Drittlandtransfer in die USA findet über alle 45 US-basierten Subprozessoren statt. SCCs sind im DPA (EU-Kommissionsbeschluss 2021/914, Module 2 und 3) verankert; das DPA gilt jedoch nur für Commercial-Agreement-Kunden. Da das DPA für Core-Consumer nicht gesichert gilt und ein DPF-Eintrag nicht per Primärquelle belegbar ist (PP und DPA erwähnen DPF nicht), ist keine gesicherte Transfergrundlage für den Core-Consumer-Scope primärbelegt. Als EU-DSGVO-Vertreter nach Art. 27 ist DataRep (datarep.com/replit) benannt.

Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO): Replit nutzt den Content öffentlich veröffentlichter Apps für die Verbesserung der Dienste einschließlich LLM-Training (ToS-Klausel). Für Entwickler, die im Core-Tarif Apps deployen, die Daten Dritter (z. B. App-Nutzer) verarbeiten, ergibt sich eine potenzielle Zweckbindungs-Spannung: Die Weiterverwendung von App-Content zu Trainingszwecken geht über den unmittelbaren Bereitstellungszweck hinaus. Quelle: replit.com/terms-of-service

Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): Das erweiterte Verarbeitungsmodell (IDE + Hosting + Datenbanken + Secrets) erhöht das Datenvolumen, das Replit serverseitig verarbeitet, über das für Code-Assistenz unmittelbar notwendige Maß hinaus. Organisationen sollten prüfen, ob produktive Daten in Replit-gehosteten Apps das Minimum der notwendigen Verarbeitung übersteigen.

Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f DSGVO): TLS 1.2+ für Transit und AES-256 at rest sind primärbelegt. Secrets werden im Google Cloud Secret Manager verschlüsselt gespeichert. SOC 2 Type II belegt einen Mindestsicherheitsstandard. Ein Nachweis für Zugriffskontrollen von Replit-Mitarbeitern auf gehostete Inhalte ist nicht öffentlich dokumentiert. Quelle: docs.replit.com/teams/information-security/overview

Typische Rechtsgrundlage bei Eigenentwicklung: Nutzt ein Entwickler den Core-Tarif für eigene, nicht-personenbezogene Projekte, ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung mit Replit) oder lit. f (berechtigtes Interesse) denkbar. Enthält die entwickelte Anwendung keine personenbezogenen Daten, ist die DSGVO für den Entwicklungs-Vorgang nicht primär einschlägig.

Kritische Konstellation (Produktivdaten in gehosteten Apps): Wenn die mit Replit Core gebaute und betriebene Anwendung personenbezogene Daten verarbeitet (z. B. Nutzerdaten einer Web-App), entsteht ein Auftragsverarbeitungsverhältnis zwischen der Organisation (Verantwortlicher) und Replit (Auftragsverarbeiter). Für dieses Verhältnis fehlt im Core-Tarif ein AVV; eine Rechtsgrundlage nach Art. 28 DSGVO ist dann nicht gesichert. In diesem Fall ist entweder auf den Teams/Enterprise-Tarif (mit Commercial Agreement und DPA) zu wechseln oder ein separater AVV mit Replit auszuhandeln.

Drittlandtransfer: Für den Core-Consumer-Tarif ist keine gesicherte Transfergrundlage primärbelegt. Das DPA verankert SCCs, gilt aber nur für Commercial-Agreement-Kunden. Ein DPF-Eintrag ist nicht per Primärquelle belegbar. Bis zur Klärung des DPA-Status (s. unresolvedQuestions) fehlt die formale Transfergrundlage für diesen Tarif. Quelle: replit.com/dpa, replit.com/commercial-agreement