Ist Notion AI DSGVO-konform? Beispiele, Kosten und so fängst du an

„Ist Notion AI DSGVO-konform?“ - diese Frage landet auf dem Tisch der Geschäftsführung in dem Moment, in dem jemand im Vertrieb Notion AI bittet, einen Workspace voller Kundennotizen mit Namen, Telefonnummern und Deal-Werten zusammenzufassen. Notion Labs ist ein US-Unternehmen, die Standardregion ist Oregon, und der Datenschutzbeauftragte will wissen, was mit diesen personenbezogenen Daten in der Sekunde passiert, in der sie den Workspace verlassen. Dieser Artikel beantwortet die Frage klar, Stand Oktober 2026: Was die DSGVO verlangt, welche Notion-Tarife einen AVV und EU-Datenresidenz bieten, was Notions eigene Hilfeseiten tatsächlich zu Subunternehmern sagen, und der europäische Weg, die Arbeit erledigt zu bekommen, ohne dass die personenbezogenen Daten jemals Europa verlassen. Das ist keine Rechtsberatung - prüfe die Details mit deinem eigenen Datenschutzbeauftragten.

Ist Notion AI DSGVO-konform?

Notion AI ist nicht automatisch DSGVO-konform, kann aber DSGVO-konform genutzt werden - im richtigen Tarif mit der richtigen Einrichtung. Ob eine konkrete Nutzung konform ist, hängt an drei Dingen, die du bestimmst: dem Tarif (Free und Plus bieten nur eine Notion-AI-Testphase und keinen AVV für Verantwortliche, Business unterzeichnet einen AVV und schließt deine Daten standardmäßig vom Modelltraining aus, Enterprise ergänzt EU-Datenresidenz in Frankfurt und Zero-Data-Retention bei den LLM-Anbietern), dem Verarbeitungsort (standardmäßig US-West-2 in Oregon; EU-Residenz auf Enterprise erlaubt Subunternehmern weiterhin, Daten außerhalb der Region zu verarbeiten) und deinen eigenen Unterlagen (Rechtsgrundlage nach Art. 6 DSGVO, signierter AVV nach Art. 28, Verzeichnis, DSFA bei Bedarf und Kapitel-V-Prüfung des US-Transfers). Ein Notiz-Tool kann dich nicht konform machen, es kann dir nur die Bedingungen geben, unter denen du es sein kannst¹²⁵.

Der DSGVO-konforme Weg mit Superkind

Der schnellste Weg, auf der sicheren Seite der DSGVO zu bleiben, ist, die personenbezogenen Daten von Anfang an in Europa zu halten. Superkind ist der KI-Mitarbeiter für dein Team: Du schreibst Superkind in Outlook oder jeder E-Mail, Microsoft Teams, Slack oder der Superkind-Web-App wie einem Kollegen, und Superkind erledigt die Aufgabe in euren Programmen über 1.500+ Integrationen wie SharePoint, HubSpot, DATEV und Zendesk. Superkind ist in Europa gehostet und verarbeitet, DSGVO-konform, am EU AI Act ausgerichtet und trainiert nie Modelle mit euren Daten. Es arbeitet mit KI-Modellen von OpenAI, Anthropic, Mistral und Google, alle verarbeitet in Europa, und der AVV kommt über das Trust Center.

1. 1

   Du schreibst die Aufgabe

   In Outlook, Teams, Slack oder der Web-App, in normalen Worten: „Fass die Notizen zum Berger-Kunden zusammen und entwirf das Follow-up für Freitag.“ Keine Kundendaten in einen US-Workspace kopiert.

2. 2

   Superkind erledigt sie in euren Systemen

   Es holt die Notizen aus SharePoint oder HubSpot, nutzt euer Firmenwissen (der Kunde, letzte Calls, eure Richtlinie) und folgt euren Regeln, etwa „Rabatte über 10 Prozent brauchen Freigabe der Vertriebsleitung“. Die personenbezogenen Daten bleiben die ganze Zeit in Europa.

3. 3

   Superkind fragt, bevor etwas rausgeht

   Du bekommst den Entwurf mit Freigabe oder Ablehnen. Nichts wird gesendet, gebucht oder geändert ohne dein OK, und dein Kollege kann in Teams oder Slack freigeben, wo immer er arbeitet.

4. 4

   Beim nächsten Mal läuft es als Routine

   Was du einmal erklärt hast, läuft weiter, zum Beispiel „Jeden Montag die offenen Accounts zusammenfassen und Risiken markieren“. Jede Aufgabe baut euer Company Brain weiter aus, und dieses Wissen bleibt, auch wenn Leute gehen.

Wie Notion AI und die DSGVO zusammenpassen

Die DSGVO verbietet Notion AI nicht. Sie legt dir, dem Unternehmen, als Verantwortlichem Pflichten auf. Sechs Teile entscheiden, ob eine konkrete Nutzung konform ist.

1. Du bist der Verantwortliche und brauchst eine Rechtsgrundlage - wenn du personenbezogene Daten eines Kunden oder Mitarbeiters in ein Tool gibst, brauchst du eine Rechtsgrundlage nach Art. 6 DSGVO, meist Vertrag, rechtliche Verpflichtung oder berechtigtes Interesse nach Abwägung. Besondere Kategorien wie Gesundheits- oder Gewerkschaftsdaten brauchen eine zusätzliche Grundlage nach Art. 9⁶.
2. Wo die Daten verarbeitet werden - standardmäßig läuft Notion auf AWS US-West-2 (Oregon). EU-Datenresidenz in Frankfurt (eu-central-1, Backup Irland) gibt es nur im Enterprise-Tarif. Auch dort steht in Notions eigener Hilfe, dass Kundendaten, die von Subunternehmern verarbeitet werden, einschließlich der LLM-Anbieter für Notion AI, weiter außerhalb der gewählten Datenregion verarbeitet werden können².
3. Der Auftragsverarbeitungsvertrag (AVV, englisch DPA) - Art. 28 DSGVO verlangt einen Verarbeitungsvertrag mit jedem Anbieter, der personenbezogene Daten für dich verarbeitet. Notion unterzeichnet einen AVV auf den Business-Tarifen; der Free-Zugang ist standardmäßig nicht auf einen Verantwortlichen-AVV ausgelegt⁷.
4. Training mit deinen Daten - Notions AI-Safety-Seite sagt, dass weder Workspace-Daten noch personenbezogene Informationen zum Training der Modelle verwendet werden und dass die Verträge mit Subunternehmern das Training mit Kundendaten verbieten. Es gibt eine Opt-in-Ausnahme, das AI-LEAP-Programm, bei dem Kunden Workspace-Daten gegen frühen Zugang teilen können³.
5. Verzeichnis und DSFA - du führst die Verarbeitung im Verzeichnis von Verarbeitungstätigkeiten (Art. 30) und machst eine Datenschutz-Folgenabschätzung (Art. 35), wenn die Nutzung voraussichtlich hohe Risiken birgt, etwa umfangreiche Verarbeitung personenbezogener Daten oder automatisierte Entscheidungen mit echter Wirkung auf Menschen⁸⁹.
6. Kapitel-V-Prüfung des US-Transfers - weil Notion Labs ein US-Unternehmen ist und die Verarbeitung durch Subunternehmer die gewählte Datenregion verlassen kann, prüfst du auch den internationalen Transfer nach Kapitel V der DSGVO (ab Art. 44), typischerweise über das EU-US Data Privacy Framework und die Standardvertragsklauseln im AVV¹⁰.

Notion AI Tarife und DSGVO im Vergleich

Diese Tabelle zeigt, wie die Notion-Tarife bei den Punkten stehen, die über die DSGVO-Eignung von Notion AI entscheiden, mit Superkind in der ersten Zeile zum Vergleich. Es ist eine Übersicht auf Tarif-Ebene, keine Compliance-Freigabe: deine eigene Rechtsgrundlage und Dokumentation gelten weiter.

Stand: Oktober 2026. Notion-Quellen: Preis-Seite⁵, Datenresidenz-Hilfe², Notion-AI-Sicherheitspraktiken¹. Prüfe die aktuellen Bedingungen für deinen Account bei Notion und deinem Datenschutzbeauftragten.

Kurz gesagt: Die Tarife, zu denen man zuerst greift (Free und Plus), passen am schlechtesten zu personenbezogenen Daten, Business unterzeichnet einen AVV, hält die Daten aber in den USA, und Enterprise mit Frankfurt-Residenz ist das einzige Notion-Setup, das die Inhalte at rest in Europa speichert. Die LLM-Calls, die Notion AI antreiben, werden weiter von OpenAI und Anthropic in den USA verarbeitet. Superkind startet auf der europäischen Seite dieser Fragen.

Beispiele: Notion AI und DSGVO in der Praxis

Fünf realistische Setups, vom ganzen Team in Europa bis zur vertriebsbegleiteten Enterprise-Migration. Jedes zeigt, was du tun müsstest, um konform zu bleiben.

1. Das ganze Team arbeitet DSGVO-konform mit Superkind

Daniel im Vertrieb schreibt Superkind in Teams: „Fass die Notizen zum Berger-Kunden zusammen und entwirf das Follow-up.“ Superkind holt die Notizen aus SharePoint und HubSpot, entwirft die Mail mit eurer Richtlinie und fragt Daniel vor dem Versand nach Freigabe. Die personenbezogenen Daten werden die ganze Zeit in Europa verarbeitet, es gibt kein Training darauf, und der AVV liegt über das Trust Center vor. Superkind nutzt Modelle von OpenAI, Anthropic, Mistral und Google, verarbeitet in Europa, und bindet über 1.500+ Integrationen Systeme wie HubSpot, Zendesk und DATEV an. Wie das im Vertrieb läuft, zeigt der KI-Vertriebsassistent. Stand Oktober 2026 startest du kostenlos mit einmalig bis zu 150 EUR Guthaben.

2. Eine Person auf Notion Plus mit AI-Testphase

Der Gründer nutzt Notion Plus für 10 USD pro Mitglied und Monat, um Firmennotizen zu führen, und testet Notion AI in der enthaltenen Trial⁵. Für allgemeine Notizen in Ordnung, Plus ist aber standardmäßig nicht auf einen Verantwortlichen-AVV ausgelegt, es gibt keine EU-Datenresidenz, und die AI-Testphase sollte keine Kundenlisten, Rechnungen mit personenbezogenen Daten oder Mitarbeiterakten berühren.

3. Ein kleines Team auf Notion Business

Fünfzehn Kolleg:innen bekommen Notion-Business-Seats für 20 USD pro Mitglied und Monat, inklusive Notion Agent, AI Meeting Notes und Enterprise Search Beta⁵. Business unterzeichnet einen AVV und schließt eure Daten standardmäßig vom Modelltraining aus, es kann also mit personenbezogenen Daten eingesetzt werden, wenn ihr den AVV unterzeichnet, die Kontrollen setzt und den US-Transfer dokumentiert. Offener Punkt bleibt der Verarbeitungsort: Business hat keine EU-Datenresidenz, die Daten laufen weiter primär über Oregon.

4. Notion Enterprise mit Frankfurt-Residenz

Eine größere Organisation richtet einen neuen Enterprise-Workspace mit EU-Central-1 (Frankfurt) als Datenregion ein, unterzeichnet den AVV, macht eine DSFA und ergänzt KI-Kompetenzschulungen²⁹. Seiteninhalte, hochgeladene Dateien, der Suchindex und Bot-Dateien liegen at rest in Europa, und die LLM-Anbieter laufen mit Zero-Data-Retention. Der Punkt, den Notion selbst nennt: KI-Inferenz durch Subunternehmer kann weiter außerhalb der Datenregion stattfinden, das muss im Verzeichnis stehen.

5. Enterprise-Migration für einen bestehenden Workspace

Ein Team nutzt Notion Business seit zwei Jahren und bucht die vertriebsbegleitete Migration in die EU-Region². Solange die Migration vom Account-Team nicht bestätigt ist, bleibt der Workspace in den USA; danach wechselt er nach Frankfurt. Nicht alle Daten ziehen mit: Account-Informationen, Nutzungsdaten, Notion Calendar, Notion Mail und Beta Services bleiben außerhalb der Region, das muss der Datenschutzbeauftragte im Verzeichnis listen.

Was DSGVO-konforme KI braucht (und was es kostet)

Egal welches Tool du wählst, die DSGVO gibt dir die gleiche kurze Checkliste. Nichts davon ist auf irgendeinem Tarif automatisch.

• Eine Rechtsgrundlage - benenne deine Grundlage nach Art. 6 für jede Nutzung und eine zusätzliche nach Art. 9 für besondere Kategorien wie Gesundheits- oder Gewerkschaftsdaten⁶.
• Ein Auftragsverarbeitungsvertrag - unterzeichne den AVV nach Art. 28 mit dem Anbieter, bevor personenbezogene Daten reingehen. Verfügbar auf Notion Business und Enterprise und über das Trust Center für Superkind⁷.
• Bekannter Verarbeitungsort - wisse, wo die Daten verarbeitet werden. EU-Residenz auf Notion Enterprise (mit dem KI-Vorbehalt); standardmäßig in Europa für Superkind².
• Kein Training mit deinen Daten - standardmäßig aus bei Notion auf allen Tarifen und nie bei Superkind; stell sicher, dass niemand aus Versehen am AI-LEAP-Programm teilnimmt³.
• Verzeichnis, DSFA und Kapitel-V-Prüfung - führe die Verarbeitung (Art. 30), mach eine DSFA (Art. 35) bei hohem Risiko und dokumentiere den US-Transfer nach Kapitel V, wo er noch stattfindet⁸⁹¹⁰.
• KI-Kompetenz - schule Mitarbeiter und setze Regeln nach Art. 4 EU AI Act¹¹.

Datenschutz und EU-Hosting

Sicher ab Werk

Deine Daten bleiben in Europa, unter einem AVV, ohne Training mit deinen Daten.

• In Europa gehostet und verarbeitet
• DSGVO-konform
• Ausgerichtet am EU AI Act
• Kein Training mit deinen Daten
• AVV über das Trust Center

Für ein Vertriebs-Follow-up mit Kundenname und Umsatz, einen Workspace voller Bewerberprofile oder eine Rechnung mit Personendaten sind Verarbeitungsort und AVV das ganze Spiel. Superkind hält diese personenbezogenen Daten standardmäßig in Europa, du investierst deine Zeit in Rechtsgrundlage und Verzeichnis, nicht ins Zurückholen der Daten aus den USA.

Was Superkind kostet

Stand: Oktober 2026. Preise exkl. MwSt., für das ganze Unternehmen mit unbegrenzten Nutzern.

• Free - 0 EUR mit einmalig bis zu 150 EUR Guthaben zum Start. Keine Kreditkarte, kein Vertriebsgespräch, jedes Feature und jede Verbindung, in Slack, Teams, E-Mail und der App, gehostet in der EU.
• Business - ab 50 EUR pro Monat für 25.000 Credits. 100 EUR für 50.000 Credits ist die beliebte Stufe, dann 200 EUR und 500 EUR. Kein Preis pro Nutzer, ungenutzte Credits übertragen einen Monat, eigene Apps inklusive, monatlich kündbar.
• Enterprise - individueller Preis für euer Volumen, dedizierter Support mit SLA, SSO/SCIM und Audit-Log, AVV und Hilfe beim Security-Review, Zahlung auf Rechnung.
• Was Credits kaufen - eine Frage 10-50 Credits, eine Aufgabe 50-500 Credits, ein Lauf eures eigenen Agenten 1.000-5.000 Credits. 100 EUR decken bis zu 1.000 Aufgaben oder 5.000 Fragen.

So fängst du an

Die Grundregeln kannst du an einem Nachmittag setzen. Drei Schritte:

Von der ersten Aufgabe zur eigenen App

Mit Superkind bleiben die Daten von der ersten Aufgabe bis zur App, die ihr später baut, in Europa. Vier Stufen, am Vertriebsbeispiel von oben:

1. 1

   In Minuten startklar

   Kostenlos anmelden mit bis zu 150 EUR Guthaben, die erste Aufgabe in Teams, Slack oder per E-Mail geben („Fass die Notizen zum Berger-Kunden zusammen“) und zusehen, wie sie erledigt wird, mit den personenbezogenen Daten verarbeitet in Europa.

2. 2

   Aus Aufgaben werden Abläufe

   Was du einmal erklärt hast, läuft als Routine weiter, zum Beispiel „Jeden Montag die offenen Accounts zusammenfassen und Risiken markieren“. Bevor etwas rausgeht, fragt Superkind nach Freigabe.

3. 3

   Lernt ab Tag 1 mit

   Jede Aufgabe macht Superkind schlauer. Eure Accounts, letzte Calls und Tonalität landen im Company Brain, und dieses Wissen geht nie verloren, auch wenn Leute gehen.

4. 4

   Eure eigene App, ohne neu anzufangen

   Wenn der Vertrieb komplexer wird, baut ihr eigene Lösungen, Apps und Integrationen auf der Plattform, auf dem, was Superkind schon weiß, zum Beispiel eure eigene Account-Review-App mit eigenen Freigaben: eure Super App. Selbst gebaut oder mit uns. Alles gehört euch.

Fazit

Notion AI ist nicht out of the box DSGVO-konform, kann aber konform genutzt werden: wähle Notion Business oder Enterprise für AVV und Trainings-Opt-out, nutze Enterprise mit Frankfurt-Residenz für EU-Daten at rest, und halte Rechtsgrundlage, Verzeichnis, DSFA und Kapitel-V-Prüfung auf deiner Seite (Stand Oktober 2026). Die KI-Inferenz selbst läuft weiter mit OpenAI und Anthropic in den USA, das muss in euer Verzeichnis. Wenn die personenbezogenen Daten ab der ersten Aufgabe ohne diesen Setup-Aufwand in Europa bleiben sollen: Superkind ist in Europa gehostet, trainiert nie mit euren Daten, stellt den AVV über das Trust Center und erledigt die Aufgabe in Outlook, Teams, Slack, SharePoint, HubSpot oder eurem CRM über 1.500+ Integrationen. Schreib diese Woche die Regel für Mitarbeiter auf, dann schick Superkind eine echte Aufgabe und vergleiche.

Häufige Fragen

Henri Jung

Mitgründer von Superkind, dem KI-Mitarbeiter, dem Teams in Outlook, Teams und Slack schreiben. Henri hilft Unternehmen, vom kleinen Team bis zum Mittelstand, ihre Routinearbeit an KI abzugeben - ohne neue Tools, Berater oder eigenes KI-Team.