Langdock Datenschutz: DSGVO, AI Act und die Einstellungen, die du prüfen solltest

Stand: 28.10.2026

Alle Beispiele haben wir im DECAID-Demo-Workspace mit der fiktiven Firma Quellberg getestet. Personen, Reklamationen und Adressen im Praxisfall sind erfunden. Er zeigt, was Langdock anbietet und was wir im Test gesehen haben. Die rechtliche Bewertung eures Einsatzes bleibt bei eurem Datenschutzbeauftragten.

Kurz gesagt: Langdock verarbeitet Daten standardmäßig nur in der EU, trainiert keine Modelle mit deinen Eingaben und bringt den Auftragsverarbeitungsvertrag direkt in den AGB mit. Ob dein Workspace datenschutzfreundlich eingestellt ist, entscheiden aber deine Admins: In unserem Demo-Workspace war ein Bildmodell mit globalem Deployment aktiv. Und eine DSGVO-Regel aus Langdocks Vorlagen schlug in unserem Test an, sobald ein Agent Gesundheitsdaten erfassen oder weitermelden sollte.

Was Langdock für den Datenschutz mitbringt

Verarbeitung in der EU: Laut Trust Center laufen alle Daten standardmäßig über Server in der EU, und auch gespeichert werden sie in der EU. Admins können zusätzlich Modelle mit »globalem Deployment« einschalten, die Daten außerhalb der EU verarbeiten können. Diese Modelle sind mit einem Globus-Symbol markiert (Quelle: Langdock Trust Center, FAQ).

Kein Training: Eingaben in Modelle, die Langdock bereitstellt, werden nicht zum Training verwendet (Quelle: Trust Center, Langdock-Datenschutzerklärung).

Verträge: Der Auftragsverarbeitungsvertrag (AVV) ist Teil der AGB und gilt automatisch, sobald du Langdock nutzt. Im Trust Center liegen außerdem eine Zusatzvereinbarung für Berufsgeheimnisträger, ein DORA-Zusatz und ein Datenflussdiagramm (Quelle: Langdock-Doku »Nützliche Links«, Trust Center).

Zertifikate und Prüfberichte: Zertifizierung nach ISO 27001:2022 und Prüfbericht nach SOC 2 Type II, beide liegen im Trust Center (Quelle: Trust Center).

Unterauftragsverarbeiter: Sieben, alle mit Standort EU: Microsoft Azure (Hosting und KI), Google Cloud, Amazon Web Services, OpenAI Ireland, Mistral, Sentry (Fehlertracking) und Cloudflare (Schutz vor schädlichem Traffic). Änderungen veröffentlicht Langdock im Trust Center, dort kannst du sie abonnieren (Quelle: Trust Center, Stand 28.10.2026).

Was gilt wofür?

So prüfst du deinen Workspace

1. Modelle: Unter Einstellungen › Workspace › Modelle stehen oben die Modelle unter Gehostet in der EU, weiter unten der Abschnitt Globales deployment. Alles, was dort eingeschaltet ist, kann Daten außerhalb der EU verarbeiten. Achte zusätzlich auf das Etikett Erweiterte Datenspeicherung.
2. Datenaufbewahrung: Unter Einstellungen › Produkte › Chat legst du fest, wie lange Chats bleiben, die niemand mehr nutzt. Zur Wahl standen am 28.10.2026 7, 30 und 90 Tage, 12 und 24 Monate oder für immer. Vorsicht: Nach dem Umstellen löscht Langdock bei der täglichen Prüfung alle Chats aller Mitglieder, die länger als die Frist nicht genutzt wurden, samt Dateien und unwiderruflich. Dateien in Ordnern, Wissenssammlungen und Agenten fallen nicht unter die Frist (Quelle: Langdock-Doku »Wie lange werden Dateien in Langdock gespeichert?«).
3. Erinnerung: In denselben Einstellungen steuerst du Erinnerung zulassen und Erinnerung für alle Nutzer aktivieren. Erinnerungen sind privat, höchstens 50 je Person und gelten nur im normalen Chat, nicht in Projekten und Agenten (Quelle: Langdock-Doku »Erinnerung«).
4. Anmeldung: Unter Einstellungen › Workspace › Sicherheit richtest du SSO per SAML, Nutzersynchronisation per SCIM und, wenn nötig, erlaubte IP-Bereiche ein.
5. Governance: Unter Governance › Compliance-Regeln legst du Regeln an, die jeden neuen Agenten und jede neue Version prüfen. Für den Datenschutz gibt es fertige Vorlagen, etwa »GDPR: Special Category Data«, »GDPR: Employee Data« und zwei Vorlagen zu personenbezogenen Daten (PII).
6. Vertrauliche Microsoft-Dateien: Unter Einstellungen › Workspace › Integrationen › Microsoft Purview blockierst du Sensitivity Labels aus eurem Microsoft-Tenant. SharePoint, OneDrive, Outlook, Teams und Excel geben so gekennzeichnete Dateien und Mails dann nicht mehr an Langdock weiter. Die Funktion schaltet Langdock auf Anfrage für den Workspace frei (Quelle: Langdock-Doku »Richtlinie für Sensitivity Labels«).

Praxisfall: Quellberg prüft Datenschutz vor dem Rollout

Bevor Quellberg Langdock allen Mitarbeitern gibt, will der Datenschutzbeauftragte zwei Dinge wissen: Bleiben alle Daten in der EU? Und was passiert, wenn das Qualitätsmanagement einen Agenten für Reklamationen baut, in denen Kunden über Gesundheitsfolgen schreiben?

Teil 1, Modelle: Im Abschnitt Globales deployment war bei Quellberg das Bildmodell »Gemini 3.1 Flash Image« eingeschaltet, obwohl Langdock neue Workspaces nur mit EU-Modellen startet (Quelle: Langdock-Doku »Workspace-Einstellungen«). Wann und von wem, verrät das Audit-Log der letzten fünf Wochen nicht, es zeigt in dieser Zeit nur abgeschaltete Modelle. Der Info-Text dazu sagt: »Ein globales Modell verarbeitet Daten für mehrere Regionen. Für regionsspezifische Daten empfiehlt es sich, ein Modell zu verwenden, das Daten innerhalb einer bestimmten Region verarbeitet.« Nutzer sehen bei der Wahl des Bildmodells ein kleines Globus-Symbol statt des EU-Symbols.

Daneben tragen zwei Anthropic-Modelle, Fable 5.1 und Fable 5, das Etikett Erweiterte Datenspeicherung. Laut Doku speichert der Anbieter Ein- und Ausgaben dieser Modelle bis zu 30 Tage zur Missbrauchsprävention, unabhängig von der Aufbewahrung im Workspace. Gehostet sind sie trotzdem in der EU. Wer ein solches Modell einschaltet, muss vorher im Bestätigungsdialog die Bedingungen des Anbieters akzeptieren (Quelle: Langdock-Doku »Workspace-Einstellungen«). Bei Quellberg waren beide aus.

Teil 2, DSGVO-Regel: Wir haben aus der Vorlage »GDPR: Special Category Data« die Regel »DSGVO: Besondere Kategorien« angelegt. Sie schlägt fehl, wenn ein Agent darauf ausgelegt ist, Daten nach Art. 9 und 10 DSGVO aufzunehmen, auszuwerten oder auszugeben, etwa Gesundheitsdaten.

Dann haben wir einen Agenten »Reklamationen« in drei Fassungen veröffentlicht. Die Regel lief jedes Mal von selbst. Als wir 20 Sekunden nach dem Veröffentlichen in Governance nachsahen, stand das Ergebnis schon da:

Die Begründungen der DSGVO-Regel kamen auf Deutsch, obwohl die Vorlage englisch ist. Andere Regeln antworteten mal deutsch, mal englisch. Zu Fassung 2 schrieb die Regel: »bei Erwähnung wird ein ›Gesundheitsbezug‹ ausgegeben und weitergeleitet. Damit verarbeitet der Agent Gesundheitsdaten nach Art. 9 DSGVO.«

Gegenprobe: Wir haben Fassung 3 per API eine fiktive Reklamation als Text übergeben: Apfelschorle trüb und bitter, dazu ein Kind mit Diabetes, das nach dem Trinken Bauchschmerzen hatte und zum Kinderarzt musste. Die Antwort enthielt nur Produkt, Charge, Haltbarkeitsdatum und »Trübung und bitterer Beigeschmack«. Kein Name, keine Anschrift, keine Gesundheitsangabe.

Was wir beim Testen gelernt haben

Alle Befunde stammen aus Tests am 28.10.2026 im Quellberg-Workspace (Cloud, ohne BYOK).

1. »EU« gilt, solange niemand ein globales Modell einschaltet. Ein einziger Schalter bei einem Bildmodell reicht, damit Daten die EU verlassen können, sobald jemand dieses Modell auswählt. Nutzer erkennen es nur am kleinen Globus-Symbol, Admins am Abschnitt Globales deployment ganz unten in den Modelleinstellungen. Prüfe den Abschnitt regelmäßig. Neue Modelle schaltet Langdock teils automatisch frei, wenn ein Vorgänger aktiv war. Im Changelog betraf das bisher EU-Modelle, aber auch Fable 5.1 mit erweiterter Datenspeicherung, das überall dort aktiv wurde, wo Fable 5 an war (Quelle: Langdock-Changelog, 01.09.2026 und 27.10.2026).

2. Auch EU-Modelle können beim Anbieter speichern. Fable 5.1 meldet der Changelog als »hosted in the EU«, die Doku nennt trotzdem bis zu 30 Tage Speicherung beim Anbieter. Das Etikett Erweiterte Datenspeicherung ist der Hinweis darauf. Wenn eure Datenschutzbewertung Zero Data Retention voraussetzt, bleiben diese Modelle aus.

3. Die DSGVO-Vorlage ist streng, und das ist gut so. Schon das Erkennen und Weitermelden eines Gesundheitsbezugs (Fassung 2) galt als Verarbeitung von Gesundheitsdaten. Nachvollziehbar, denn auch der Hinweis »Gesundheitsbezug« zu einer konkreten Reklamation sagt etwas über die Gesundheit einer bestimmten Person.

4. Wer die Regel besteht, kann fachlich zu wenig erfassen. Fassung 3 bestand und hielt sich im Lauf daran. Damit fehlte aber auch der Hinweis, dass ein Kind nach dem Trinken ärztlich behandelt werden musste. Für ein Lebensmittelunternehmen ist genau das eine Information, die das Qualitätsmanagement braucht. Die Lösung ist eine bewusste Entscheidung: Entweder bleiben Gesundheitsfälle beim Menschen und der Agent erfasst nur Produktmängel, oder ihr klärt mit eurem Datenschutzbeauftragten eine Rechtsgrundlage und passt die Fehlerbedingung der Regel an diesen Fall an.

5. Die Regel prüft die Anweisung beim Veröffentlichen. Sie lief bei jedem Veröffentlichen und bewertete Anweisung und Dateien. Ob sich der Agent im Einsatz daran hält, zeigt erst ein Test. In unserem einen Lauf hielt er sich daran; bei Agenten mit Personendaten gehören mehrere solcher Läufe dazu.

Art. 4 AI Act: KI-Kompetenz in der neuen Fassung

Wer Langdock im Unternehmen einsetzt, ist im Sinn des AI Act in aller Regel Betreiber von KI-Systemen. Für Betreiber gilt Art. 4 zur KI-Kompetenz. Die ursprüngliche Fassung verlangte, die KI-Kompetenz des Personals »sicherzustellen«. Die Verordnung (EU) 2026/1744 vom 08.07.2026, in Kraft seit 27.07.2026, hat Art. 4 neu gefasst:

• Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz zu unterstützen, bei ihrem Personal und bei anderen Personen, die in ihrem Auftrag mit KI-Systemen arbeiten.
• Zu berücksichtigen sind technische Kenntnisse, Erfahrung, Aus- und Fortbildung, der Einsatzkontext und die Personen, bei denen die KI-Systeme eingesetzt werden.
• Ein bestimmtes Niveau an KI-Kompetenz müsst ihr ausdrücklich nicht garantieren.
• Kommission und Mitgliedstaaten sollen vor allem kleine und mittlere Unternehmen unterstützen, die Kommission veröffentlicht praktische Beispiele.

Quelle: Verordnung (EU) 2026/1744 mit der Neufassung von Art. 4 der Verordnung (EU) 2024/1689 und Erwägungsgrund 8, Amtsblatt vom 24.07.2026 (http://data.europa.eu/eli/reg/2026/1744/oj).

Für die Praxis heißt das: Eine Einführung mit Schulung, klaren Leitlinien und festen Ansprechpartnern bleibt der richtige Weg, und dokumentierte Maßnahmen sind leichter zu belegen als ein Kompetenzniveau. In Langdock helfen dabei die Onboarding-Aufgaben unter Benutzer-Onboarding, eine Infobox auf der Startseite und ein Chat-Haftungsausschluss. Wie du die einrichtest, steht in unserem Artikel zum Einrichten des Workspace. Eine eigene Onboarding-Aufgabe gilt allerdings als erledigt, sobald jemand den Link öffnet. Und die Bestenliste im Onboarding zeigt Namen und Punkte aller Mitglieder; Admins können sie unter Benutzer-Onboarding anonymisieren, das gehört mit dem Betriebsrat abgestimmt.

Team, Admin und Betriebsrat

• Auswertung von Personen: In Analytics gibt es einen Tab Mitglieder und eine Bestenliste der aktivsten Nutzer, und die Logs einer Integration zeigen bei jedem Aufruf, wer ihn ausgelöst hat, 14 Tage lang und mit Export (eigener Test vom 28.10.2026). Das Audit-Log hält fest, wer welche Einstellung geändert hat. Mit der Einstellung Daten auf User-Ebene steuert ihr laut Doku, ob Nutzungsexporte Namen und E-Mail-Adressen enthalten; ist sie aus, fasst Langdock kleine Abteilungen zusammen (Quelle: Langdock-Doku »Nutzungsexporte«). Klärt mit dem Betriebsrat vorher, wer diese Daten sieht und wofür. Ganz abschalten lässt sich die Analytik laut Doku über das Langdock-Team.
• Support-Freigaben: Wer einen Chat mit dem Langdock-Support teilt, gibt Nachrichten, Werkzeugaufrufe, Agenten-Anweisungen, Anhänge und Logs frei. Die Freigabe endet nach 72 Stunden von selbst (Quelle: Langdock-Doku »Account«).
• Werbemessung: Unter Einstellungen › Persönlich › Datenschutz entscheidet jede Person im Abschnitt »Cookies und Werbung« mit dem Schalter Werbemessung, ob Langdock begrenzte Daten (gehashte E-Mail, Klick-IDs, Anmelde- und Kaufereignisse) an Werbepartner gibt, um seine Anzeigen zu messen. Chats und Dateien gehören nie dazu (Oberfläche, 30.10.2026; Langdock-Datenschutzerklärung). In unserem Testkonto war der Schalter an. Sprecht das in der Einführung an.
• Websuche: Laut Release Notes v7.24 blockiert Langdock Websuchen, die personenbezogene Daten enthalten. In unserem Test für den Artikel zur Websuche gingen E-Mail-Adressen und Telefonnummern trotzdem als Suchtext durch; eine Profilsuche nach einer Privatperson lehnte das Modell selbst ab. Verlass dich deshalb nicht auf die Sperre und schreib in die Leitlinien, dass Namen und Kontaktdaten nicht in Suchanfragen gehören.
• Governance-Kosten: Der Governance Hub ist laut Hinweis in der Oberfläche bis zum 01.01.2027 kostenlos, danach gelten die Preise für das Governance-Add-on.
• Löschen: Laut Trust Center löscht Langdock Kundendaten, wenn ein Kunde Langdock verlässt.

Grenzen und Limits

Häufige Fragen

Ist Langdock DSGVO-konform?

Langdock hat seinen Sitz in der EU, verarbeitet Daten standardmäßig in der EU, bringt einen AVV in den AGB mit, ist nach ISO 27001 zertifiziert und nach SOC 2 Type II geprüft (Quelle: Trust Center, Langdock-Doku »Nützliche Links«). Datenschutzrechtlich ist euer Unternehmen Verantwortlicher und Langdock Auftragsverarbeiter (Quelle: Langdock-Datenschutzerklärung). Ob euer Einsatz DSGVO-konform ist, hängt zusätzlich an euren Einstellungen und Anwendungsfällen, etwa an den freigeschalteten Modellen und an dem, was eure Agenten verarbeiten.

Wo liegen meine Daten?

In der EU, für Speicherung und Verarbeitung. Ausnahme sind Modelle mit globalem Deployment, die ein Admin eingeschaltet hat (Quelle: Trust Center, Langdock-Doku »Workspace-Einstellungen«). Daten, die ein Agent über Integrationen oder MCP-Server abruft oder schreibt, gehen außerdem an den jeweiligen Dienst, etwa an euren Microsoft-365-Tenant. Und wer Agent-Tracing einschaltet, schickt Ein- und Ausgaben an die hinterlegte Langfuse-Adresse (Quelle: Langdock-Doku »Workspace-Einstellungen«). Für den Chat-Alltag nennt die Einstellung zu Auto ausdrücklich »Alle Modelle werden in der EU gehostet, mit zero data retention«.

Werden meine Eingaben zum Training genutzt?

Nein, nicht bei Modellen, die Langdock bereitstellt (Quelle: Trust Center). Modelle mit erweiterter Datenspeicherung speichern beim Anbieter bis zu 30 Tage, aber nur zur Missbrauchsprävention und ohne Training (Quelle: Langdock-Doku »Workspace«).

Brauchen wir einen eigenen Auftragsverarbeitungsvertrag?

Der AVV ist Teil der Langdock-AGB und gilt automatisch. Das PDF liegt im Trust Center, ebenso Zusätze für Berufsgeheimnisträger und für DORA.

Was verlangt Art. 4 AI Act seit der Änderung?

Seit dem 27.07.2026 gilt Art. 4 in neuer Fassung: Ihr ergreift Maßnahmen, um die KI-Kompetenz eurer Mitarbeiter und anderer Personen zu unterstützen, die in eurem Auftrag mit KI-Systemen arbeiten, und berücksichtigt dabei Vorwissen und Einsatzkontext. Ein bestimmtes Kompetenzniveau müsst ihr nicht garantieren (Quelle: VO (EU) 2026/1744).

Dürfen Agenten Gesundheitsdaten verarbeiten?

Technisch ja, rechtlich nur mit Rechtsgrundlage nach Art. 9 DSGVO. Die Governance-Vorlage »GDPR: Special Category Data« hat in unserem Test beide Fassungen erkannt, die Gesundheitsangaben erfassen oder melden sollten, und die bereinigte Fassung durchgelassen. Die Entscheidung, ob ein Fall erlaubt ist, bleibt bei euch und eurem Datenschutzbeauftragten.

Ihr wollt Langdock datenschutzfest einführen und den Betriebsrat früh mitnehmen? Wir prüfen eure Einstellungen, richten Compliance-Regeln ein und bauen die Schulung, mit der ihr eure Maßnahmen nach Art. 4 AI Act dokumentiert. Gespräch mit uns vereinbaren