Wo läuft meine KI-App, und was passiert bei einem Ausfall?

Wo deine KI-App läuft, hat in den meisten Fällen das Werkzeug entschieden, mit dem du sie gebaut hast, und selten jemand bewusst. Was bei einem Ausfall passiert, weiß oft niemand genau, weil die Wiederherstellung nie ausprobiert wurde. Beides lässt sich klären: an welchen Orten deine Daten liegen, welche Anbieter sie verarbeiten und auf welcher vertraglichen Grundlage, was nach einer Störung zurückkommt und wie lange das dauert, und wer sich um die App kümmert. Verantwortlich nach der DSGVO bleibt das Unternehmen, das die App betreibt, egal womit sie gebaut wurde.

Warum diese Fragen bei fast jeder KI-App offen sind

Du hast mit Lovable, Claude oder einem ähnlichen Werkzeug eine App gebaut. Die App funktioniert, die ersten Kolleginnen arbeiten damit, vielleicht hat schon ein Kunde den Link. Dann kommen Fragen, die beim Bauen keine Rolle gespielt haben: Wo läuft das eigentlich? Was passiert, wenn etwas schiefgeht? Passt das zum Datenschutz? Und wer kümmert sich, wenn du im Urlaub bist? Diese Fragen beschäftigen fast alle, die so eine App gebaut haben. Das ist ein gutes Zeichen: Aus einem Versuch ist etwas geworden, das im Alltag gebraucht wird.

Dass die Antworten fehlen, hat drei nachvollziehbare Gründe.

Die Werkzeuge bauen, was du beschreibst

KI-Builder sind darauf ausgelegt, dass du schnell ein Ergebnis siehst. Lovable beschreibt sein Hosting so, dass du keinen Anbieter auswählen und nichts einrichten musst. Für den Anfang ist das ein echter Vorteil. Es bedeutet aber auch, dass Entscheidungen über Standort, Sicherung und beteiligte Dienste nebenbei fallen. Das Werkzeug arbeitet ab, was du beschreibst. Beschreibst du ein Formular für Kundenanfragen, bekommst du ein Formular. Wo die Anfragen gespeichert werden, wer sie außer dir noch erhält und was mit ihnen bei einem Ausfall passiert, steht nicht im Auftrag. Also bleibt es offen.

Man sieht es der App nicht an

Eine fehlende Sicherung bemerkt man erst, wenn man sie braucht. Ein Anbieter ohne passenden Vertrag fällt niemandem auf, solange alles läuft. Wer eine App per Prompt gebaut hat, prüft, was er sieht, und was er sieht, funktioniert. Dazu passt eine Studie der Stanford University: Dort schrieben Teilnehmende mit KI-Assistent unsichereren Code und hielten ihn gleichzeitig häufiger für sicher.

Niemand übernimmt den Schritt in den Betrieb

In einem klassischen Softwareprojekt gibt es einen Moment, in dem jemand sagt: Ab jetzt muss das zuverlässig laufen. Dann werden Standort, Verträge, Sicherung und Zuständigkeit festgelegt. Bei KI-Apps fehlt dieser Moment meistens. Zum Ausprobieren braucht niemand einen Vertrag zur Auftragsverarbeitung, und die Grundeinstellungen reichen. Dann tragen sich die ersten Nutzer ein, und die App ist im Betrieb, ohne dass jemand sie offiziell übernommen hat. Einzelnen Personen kann man das kaum vorwerfen. Der Weg vom Prototyp in den Alltag ist so kurz geworden, dass dieser Schritt leicht untergeht.

Was die aktuellen Meldungen über Lovable zeigen

Am 2. November 2026 berichtete das Handelsblatt, dass auf Zehntausenden mit Lovable gebauten Webseiten offenbar sensible Nutzerdaten offen zugänglich sind. Lovable selbst nennt es ein branchenweites Problem. Der Bericht reiht sich in frühere Fälle ein.

2025 fand ein Entwickler bei 170 von 1.645 untersuchten Lovable-Projekten Daten, die für Fremde einsehbar waren. Der Fall ist als CVE-2025-48757 in der US-Schwachstellendatenbank verzeichnet. Im Februar 2026 berichtete The Register über eine Lern-App, bei der nach Angaben eines Forschers 18.697 Nutzerdatensätze einsehbar waren. Im April 2026 konnten andere Nutzer Code und Chatverläufe öffentlicher Projekte einsehen. Lovable bestritt zunächst ein Datenleck, räumte dann ein, dass unklar dokumentiert war, was „öffentlich“ bei einem Projekt bedeutet, und entschuldigte sich für seine erste Stellungnahme.

Lovable ist dabei kein Einzelfall. Der Sicherheitsanbieter Veracode ließ 2025 mehr als 100 Sprachmodelle Programmieraufgaben lösen. In 45 Prozent der Fälle enthielt der erzeugte Code bekannte Sicherheitslücken. Lovable bietet dafür eingebaute Sicherheitsprüfungen an.

Diese Fälle drehen sich um die Frage, wer Daten sehen kann. Was das für deine App bedeutet, ordnen wir im Beitrag zur Sicherheit von Lovable-Apps ein. Die meisten dieser Fälle betrafen Apps einzelner Nutzer. Daraus ergibt sich eine Frage, die sich bei jeder KI-App stellt: Wer hat nach dem Bauen den Betrieb übernommen? Dieselbe Frage stellt sich bei Standort, Sicherung und Datenschutz.

Wo läuft deine App, und wo liegen ihre Daten?

Kurz gesagt: an mehreren Orten. Da ist der Anbieter, bei dem die App selbst und ihre Daten gespeichert sind. Und da ist jeder Dienst, an den die App Daten weitergibt, etwa für den E-Mail-Versand, für KI-Funktionen, für Zahlungen oder für Statistiken. Jeder dieser Dienste hat einen eigenen Firmensitz, eigene Rechenzentren und eigene Vertragsbedingungen. Bei vielen KI-Apps weiß selbst die Person, die gebaut hat, nicht genau, wie viele es sind. Das Werkzeug hat sie beim Bauen ausgewählt, und eine Übersicht hat niemand angelegt.

Ein Standort in Europa ist ein guter Anfang

Viele gehen davon aus, dass ihre Daten in der EU liegen, weil sie die App hier gebaut haben. Das kann stimmen. Sicher weiß man es erst, wenn man nachsieht. Ein späterer Wechsel des Standorts bedeutet oft einen Umzug in eine neue Umgebung, der geplant und getestet werden will.

Der Standort der Daten ist außerdem nur ein Teil der Antwort. Ebenso wichtig ist, wer dein Vertragspartner ist. Lovable nennt in seinem Vertrag zur Auftragsverarbeitung die Lovable Labs Incorporated in Boston als Datenimporteur, also als Empfänger der Daten. Bei Supabase, einem verbreiteten Anbieter für die Daten solcher Apps, ist laut Vertrag die Supabase Pte. Ltd. in Singapur Vertragspartner. Beide Verträge stützen Übermittlungen aus der EU auf die EU-Standardvertragsklauseln. Für die Bewertung im Datenschutz sollte das bekannt und dokumentiert sein.

Was die DSGVO zu Standort und Anbietern sagt

Wer eine App mit personenbezogenen Daten betreibt, ist Verantwortlicher im Sinne der DSGVO. Das gilt auch dann, wenn ein KI-Werkzeug die App gebaut hat. Für Standort und Anbieter sind vor allem zwei Regeln wichtig:

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO: Mit jedem Dienstleister, der personenbezogene Daten in deinem Auftrag verarbeitet, braucht es einen Vertrag. Er legt unter anderem Gegenstand, Weisungen und Schutzmaßnahmen fest.
Grundlage für Übermittlungen in Drittländer nach Art. 44 ff. DSGVO: Personenbezogene Daten dürfen nur dann in Länder außerhalb des Europäischen Wirtschaftsraums fließen, wenn es dafür eine Grundlage gibt. Für die USA gilt seit dem 10. Juli 2023 der Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Er deckt Übermittlungen an US-Unternehmen, die sich darunter zertifiziert haben. Das Gericht der EU hat den Beschluss am 3. September 2025 bestätigt (Rechtssache T-553/23). Das Rechtsmittel beim Europäischen Gerichtshof ist anhängig (C-703/25 P). Für andere Fälle kommen etwa Standardvertragsklauseln nach Art. 46 DSGVO in Betracht.

Ob Verträge und Grundlagen in deinem Fall ausreichen, bewertet dein Datenschutzbeauftragter oder eine Anwältin. Damit diese Bewertung möglich ist, braucht es zuerst die Fakten: welche Anbieter beteiligt sind, wo sie arbeiten und welche Daten sie bekommen. Genau diese Übersicht fehlt bei vielen KI-Apps.

Was passiert bei einem Ausfall?

Ausfall kann vieles heißen. Ein Prompt verändert die App, und dabei geht etwas kaputt. Jemand löscht versehentlich Einträge. Ein Anbieter hat eine Störung. Das Konto wird gesperrt, oder das Guthaben ist aufgebraucht. Bei Lovable laufen zum Beispiel das Bauen, das Hosting und die KI-Funktionen veröffentlichter Apps über ein gemeinsames Guthaben. Ist es aufgebraucht, können laut Lovable auch veröffentlichte Apps stillstehen. Oder die Person, die alle Zugänge hat, ist plötzlich nicht erreichbar.

In allen diesen Fällen stellt sich dieselbe Frage: Kommt die App mit allen Daten zurück, und wie lange dauert das?

Eine Sicherung zeigt ihren Wert erst beim Zurückspielen

Die meisten Plattformen bieten eine Form der Sicherung an. Was sie umfasst, unterscheidet sich je nach Anbieter und Vertrag stark, und auf den ersten Blick ist das kaum zu erkennen. Ein Knopf zum Wiederherstellen fühlt sich an wie eine Versicherung. Ob er im Ernstfall alles zurückbringt, zeigt erst der Ernstfall oder eine Probe.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist darauf hin, dass regelmäßiges Sichern noch nicht belegt, dass die Wiederherstellung gelingt. Im IT-Grundschutz verlangt das BSI deshalb regelmäßige Tests, ob sich gesicherte Daten einwandfrei und in angemessener Zeit zurückspielen lassen (Baustein CON.3, Anforderung CON.3.A15).

Warum ist das so anspruchsvoll? Eine App besteht aus mehreren Teilen: den eingegebenen Daten, hochgeladenen Dokumenten, Nutzerkonten, Einstellungen und dem Programm selbst. Nach einer Wiederherstellung müssen alle Teile wieder zusammenpassen, damit die App läuft. Wer die App nicht selbst programmiert hat, kann kaum vorhersagen, wo es dabei hakt.

Was die DSGVO bei Ausfällen verlangt

Art. 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen für die Sicherheit der Verarbeitung. Dazu zählt das Gesetz ausdrücklich die Fähigkeit, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer sicherzustellen (Abs. 1 lit. b), die Verfügbarkeit personenbezogener Daten und den Zugang zu ihnen nach einem Zwischenfall rasch wiederherzustellen (lit. c), und ein Verfahren, um die Wirksamkeit dieser Maßnahmen regelmäßig zu überprüfen (lit. d). Eine Sicherung, die nie zurückgespielt wurde, ist für diese Anforderungen schwer zu belegen.

Gehen Daten verloren, kann das außerdem eine Verletzung des Schutzes personenbezogener Daten sein. Die DSGVO zählt dazu neben unbefugtem Zugriff auch die unbeabsichtigte Vernichtung und den Verlust von Daten (Art. 4 Nr. 12). Der Europäische Datenschutzausschuss ordnet in seinen Leitlinien auch einen vorübergehenden Verlust der Verfügbarkeit als mögliche Verletzung ein. Dann gilt Art. 33: Der Verantwortliche meldet die Verletzung unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde, es sei denn, sie führt voraussichtlich zu keinem Risiko für die Betroffenen. Bei einem voraussichtlich hohen Risiko sind nach Art. 34 auch die betroffenen Personen zu benachrichtigen.

Ob ein konkreter Ausfall meldepflichtig ist, beurteilt dein Datenschutzbeauftragter oder eine Anwältin. Leichter wird diese Bewertung, wenn schnell klar ist, was verloren ist und was zurückkommt.

Datenschutzerklärung, Impressum und Einwilligung

Rechtliche Angaben sind keine Funktion, die jemand beim Bauen vermisst. Deshalb kommen sie in der Beschreibung einer App selten vor. Bittest du das Werkzeug nachträglich darum, bekommst du Texte, die plausibel klingen. Ob sie stimmen, kann das Werkzeug nicht wissen. Es kennt weder deine Registernummer noch alle Anbieter, die im Hintergrund Daten erhalten.

Das Impressum folgt § 5 DDG

Seit dem 14. Mai 2024 regelt § 5 des Digitale-Dienste-Gesetzes (DDG) die Impressumspflicht, die vorher im Telemediengesetz stand. Wer geschäftsmäßige, in der Regel gegen Entgelt angebotene digitale Dienste betreibt, muss bestimmte Angaben leicht erkennbar, unmittelbar erreichbar und ständig verfügbar halten. Dazu gehören unter anderem Name und Anschrift, eine E-Mail-Adresse, Register und Registernummer sowie die Umsatzsteuer-Identifikationsnummer, soweit vorhanden. Für eine Unternehmenswebsite aus einem KI-Builder gilt das genauso wie für jede andere Website.

Die Datenschutzerklärung muss zur App passen

Art. 13 DSGVO verlangt, dass Menschen bei der Erhebung ihrer Daten erfahren, wer verantwortlich ist, zu welchen Zwecken und auf welcher Rechtsgrundlage ihre Daten verarbeitet werden, wer sie empfängt, ob sie in ein Drittland gehen, wie lange sie gespeichert werden und welche Rechte bestehen. Fast jede dieser Angaben hängt davon ab, wie die App gebaut ist. Ein Mustertext kann Dienste nennen, die gar nicht im Einsatz sind, und andere weglassen, die es sind. Die fertigen Rechtstexte gehören deshalb in die Hand von Datenschutzbeauftragten oder Anwälten, und die brauchen dafür eine verlässliche Übersicht über die App.

Ein Banner ist ein Anfang

Nach § 25 TDDDG dürfen Informationen auf dem Gerät der Besucher grundsätzlich nur mit Einwilligung gespeichert oder ausgelesen werden. Ausgenommen ist, was für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Die Datenschutzkonferenz der Aufsichtsbehörden erläutert das in ihrer Orientierungshilfe für Anbieter digitaler Dienste. Ein Banner auf der Seite ist der sichtbare Teil. Ob sich die App auch so verhält, wie das Banner es verspricht, lässt sich von außen schwer beurteilen.

Interne Werkzeuge

Ob ein Werkzeug, das nur Mitarbeitende nach Anmeldung nutzen, unter § 5 DDG fällt, ist eine Frage des Einzelfalls. Die DSGVO gilt unabhängig davon. Verarbeitet das Werkzeug personenbezogene Daten von Kolleginnen oder Kunden, bestehen Informationspflichten, und mit den beteiligten Anbietern braucht es Verträge zur Auftragsverarbeitung.

Wer kümmert sich nach dem Launch?

Nach dem Launch ändert sich die Umgebung einer App laufend, auch wenn an der App selbst niemand etwas tut. Bei KI-Apps ist oft niemand dafür zuständig, das im Blick zu behalten.

Software altert

Jede App baut auf vielen fremden Software-Bausteinen auf. Für diese Bausteine erscheinen laufend neue Versionen, und manche davon schließen Sicherheitslücken. Die OWASP Top 10, eine verbreitete Liste der größten Risiken für Webanwendungen, führen in der Ausgabe 2025 Schwächen in der Software-Lieferkette auf Platz 3, ausdrücklich einschließlich veralteter Komponenten. Die App läuft weiter und sieht aus wie immer, auch wenn ein Baustein längst eine bekannte Lücke hat.

Anbieter ändern sich

Auch die Dienste unter der App entwickeln sich weiter. Manche Änderungen kündigen die Anbieter vorher an, und manche verlangen, dass jemand handelt. Solche Hinweise gehen an das Konto, über das die App läuft. Ist das ein privates Postfach oder eine Person, die inzwischen andere Aufgaben hat, liest sie niemand.

Kosten wachsen mit der Nutzung

Viele Dienste rechnen nach Verbrauch ab, auch jede Anfrage an eine KI-Funktion. Wird die App mehr genutzt als geplant, steigen die Kosten mit. Im anderen Fall ist das Guthaben aufgebraucht, und die App steht still. Beides ist planbar, wenn jemand die Zahlen kennt und rechtzeitig Bescheid bekommt.

Ausfälle bemerken zuerst die Nutzer

Fällt die App aus, erfährst du es oft zuerst durch eine Kundin, die anruft, oder durch einen Kollegen, der nicht weiterarbeiten kann.

Eine Person kennt sich aus

Wie viele Personen dürften ausfallen, bevor niemand mehr die App betreiben kann? Wenn eine einzelne Person gebaut hat, die Prompts kennt, die Zugänge besitzt und das Konto vielleicht mit der eigenen Kreditkarte bezahlt, lautet die Antwort: eine. Wechselt diese Person die Stelle, geht das Wissen mit. Die Verantwortung nach der DSGVO bleibt trotzdem beim Unternehmen.

Was wir für dich klären

Im App-Check für Hosting, Sicherung und Datenschutz gehen wir deine App gemeinsam mit dir durch. Am Anfang stehen zwei Fragen, die nur du beantworten kannst. Wie viele Daten darf die App im schlimmsten Fall verlieren, die der letzten Stunde oder die eines ganzen Tages? Und wie lange darf sie stillstehen? Aus deinen Antworten ergibt sich, was deine App braucht.

Nach dem App-Check weißt du, wo deine App und ihre Daten liegen, welche Anbieter Daten bekommen und wo Verträge fehlen. Du weißt, was nach einer Störung zurückkommt und wie lange das dauert, ob Datenschutzerklärung und Impressum zu deiner App passen und wer sich um sie kümmert, wenn du es nicht tust. Auf Wunsch übernehmen wir den Betrieb. Deine App läuft dann in der EU unter deiner eigenen Adresse, wir testen die Wiederherstellung, halten die App aktuell und merken, wenn etwas ausfällt. Du hast eine feste Ansprechperson. Die rechtliche Bewertung bleibt bei deinem Datenschutzbeauftragten oder einer Anwältin. Wir liefern die Fakten, die dafür nötig sind.

Unsere eigene Website bauen und betreiben wir selbst mit Claude Code auf Cloudflare. Standort, Sicherung, Updates und Zuständigkeit sind für uns deshalb Alltag. Wie das bei Apps aussieht, die mit Claude entstehen, beschreibt der Beitrag Claude-Artefakt veröffentlichen.

Wann sich ein App-Check lohnt

Solange eine App ein Versuch mit Testdaten ist, kann vieles warten. Das ändert sich, sobald einer dieser Punkte zutrifft:

In der App stehen echte Daten von Kunden, Bewerbern oder Mitarbeitenden.
Nutzer melden sich mit einem eigenen Konto an.
Über die App laufen Zahlungen.
Dein Team arbeitet täglich damit, und ein Ausfall würde sofort auffallen.
Die App soll von Kunden gefunden und genutzt werden.
Nur eine Person kennt sich mit der App aus.

Im Gespräch klären wir, wo deine App steht und was sie braucht. Der App-Check im Gespräch kostet nichts. Preis und Umfang der Umsetzung stehen im schriftlichen Angebot nach dem Gespräch. App-Check anfragen.

Häufige Fragen

Ist meine Lovable-App DSGVO-konform?

Das entscheidet sich im Betrieb deiner App. Wichtig sind, wo die Daten liegen, Verträge mit allen beteiligten Anbietern, eine Grundlage für Übermittlungen in Drittländer, eine Datenschutzerklärung, die zur App passt, und Einwilligungen, wo sie nötig sind. Die Bewertung im Einzelfall macht dein Datenschutzbeauftragter oder eine Anwältin.

Kann ich das nicht einfach Lovable fragen?

Für einzelne Fragen ist das ein guter Anfang. Das Werkzeug beantwortet, was du fragst. Was du nicht fragst, bleibt offen, und manche Antworten liegen außerhalb des Werkzeugs: Verträge mit Anbietern, die Zuständigkeit im Team und die rechtliche Bewertung. Im App-Check schauen wir gemeinsam auf das Ganze.

Reicht es, wenn die Daten in der EU liegen?

Das ist ein wichtiger Baustein. Dazu kommen Verträge mit allen Anbietern, die Daten verarbeiten, deren Firmensitz, die Pflichtangaben auf der Seite und Einwilligungen. Die rechtliche Bewertung macht dein Datenschutzbeauftragter oder eine Anwältin. Wir liefern die technischen Fakten.

Was passiert, wenn die Person, die die App gebaut hat, nicht mehr da ist?

Dann fehlen oft Zugänge und Wissen gleichzeitig. Die Verantwortung nach der DSGVO bleibt beim Unternehmen. Im App-Check klären wir, wem die Konten gehören, und sorgen auf Wunsch dafür, dass die App ohne diese eine Person weiterläuft.

Brauche ich einen Entwickler?

Für eine App mit echten Kundendaten brauchst du jemanden, der sich um den Betrieb kümmert. Das kann eine eigene Entwicklerin sein oder ein Dienstleister wie wir. Wichtig ist, dass die Zuständigkeit klar geregelt ist und mehr als eine Person die App kennt.

Was kostet ein App-Check?

Der App-Check im Gespräch kostet nichts. Preis und Umfang der Umsetzung stehen im schriftlichen Angebot nach dem Gespräch.

Quellen

Brixon AI ist unabhängig und nicht mit Lovable, Supabase, Anthropic oder Cloudflare verbunden. Dieser Beitrag ist keine Rechtsberatung.