Ist Replit DSGVO-konform? Was für Ihr Team gilt, und was für die App, die Sie damit veröffentlichen

Die kurze Antwort

Replit kann DSGVO-konform genutzt werden, verlangt dafür aber mehr Aufmerksamkeit als ein Anbieter mit Sitz in der EU. Vertragspartner ist die Replit, Inc. in Kalifornien. Die Plattform läuft laut Replit überwiegend auf Google Cloud in den USA. Einen Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln gibt es, aber nur über die Verträge für Pro und Enterprise.

Drei Punkte entscheiden in der Praxis. Erstens der Tarif: Für Starter und Core gelten die allgemeinen Nutzungsbedingungen, für Pro und Enterprise eigene Verträge, auf die der Auftragsverarbeitungsvertrag verweist. Zweitens das KI-Training: Im Pro-Tarif nutzt Replit Prompts und Ergebnisse standardmäßig zur Verbesserung seiner Modelle, mit Widerspruchsmöglichkeit in den Einstellungen; für Enterprise schließt der Vertrag das aus. Drittens die Region: Beim Veröffentlichen können Sie ab Core „Europe (EU)“ wählen, und diese Wahl lässt sich danach nicht mehr ändern. Im kostenlosen Tarif laufen veröffentlichte Apps in Nordamerika.

Zwei Ebenen, zwei Rollen

Die Frage „Ist Replit DSGVO-konform?“ vermischt fast immer zwei Dinge, für die unterschiedliche Regeln gelten.

Wer hinter Replit steht

Laut Datenschutzerklärung ist die Replit, Inc. mit Sitz in der 1001 E Hillsdale Blvd in Foster City, Kalifornien, verantwortlich. Eine Niederlassung in der EU nennt die Erklärung nicht. Stattdessen hat Replit die Firma DataRep als Vertreter in der EU nach Artikel 27 DSGVO benannt. Betroffene können sich über ein Webformular von DataRep an Replit wenden oder bei ihrer eigenen Aufsichtsbehörde beschweren.

Für den Drittlandtransfer nach Artikel 44 ff. DSGVO ist die Lage zweigeteilt. Die Datenschutzerklärung sagt, die Dienste würden überwiegend in den USA gehostet, und wer sie nutze, stimme der Übermittlung dorthin zu. Für Daten, die Replit in Ihrem Auftrag verarbeitet, schließt der Auftragsverarbeitungsvertrag dagegen die EU-Standardvertragsklauseln von 2021 ab. Das EU-U.S. Data Privacy Framework erwähnen weder Datenschutzerklärung noch Auftragsverarbeitungsvertrag, und eine Zertifizierung von Replit konnten wir nicht bestätigen. Planen Sie also mit den Standardvertragsklauseln und dokumentieren Sie eine Transfer-Folgenabschätzung.

Die Liste der Unterauftragsverarbeiter wurde zuletzt im August 2026 aktualisiert. Sie enthält 49 Einträge, davon 48 mit Standort USA und einen in Kanada. Darunter sind Google für Cloud-Infrastruktur und KI-Modelle, Anthropic und OpenAI für KI-Modelle, Neon für die Datenbankverwaltung sowie Cloudflare und Microsoft Azure für Infrastruktur.

Der Auftragsverarbeitungsvertrag

Sobald Ihre Replit-App personenbezogene Daten verarbeitet, etwa Logins, Kontaktformulare oder Bestellungen, verarbeitet Replit diese Daten in Ihrem Auftrag. Artikel 28 DSGVO verlangt dafür einen Auftragsverarbeitungsvertrag, kurz AVV.

Replit stellt einen AVV bereit, zuletzt aktualisiert am 1. April 2026. Er nennt die DSGVO ausdrücklich und enthält diese Punkte:

• EU-Standardvertragsklauseln in Modul 2, wenn Sie Verantwortlicher sind, und Modul 3, wenn Sie selbst Auftragsverarbeiter sind, dazu die britische Ergänzung.
• Eine allgemeine Genehmigung für Unterauftragsverarbeiter mit Widerspruchsrecht bei Änderungen.
• Meldung von Datenpannen „without undue delay“, also unverzüglich, ohne feste Stundenfrist.
• Rückgabe oder Löschung Ihrer Daten auf Anfrage bis 90 Tage nach Vertragsende.
• Nachweise höchstens einmal in 12 Monaten, etwa über den SOC-2-Bericht.

Der Haken ist der Tarif. Der AVV ist laut eigenem Wortlaut Bestandteil des „Replit Commercial Agreement“. Die Nutzungsbedingungen sagen, dass dieser Vertrag für Pro und Enterprise gilt, und die Sicherheitsseite in der Dokumentation ordnet die allgemeinen Nutzungsbedingungen den Tarifen Free und Core zu. Der Pro-Vertrag und der Enterprise-Vertrag verweisen beide auf den AVV. Für Starter und Core ist ein AVV nicht dokumentiert. Pro kostet laut Preisseite 100 US-Dollar im Monat bei monatlicher Zahlung, 90 US-Dollar bei jährlicher Zahlung. Wenn Ihre App echte personenbezogene Daten verarbeitet, wählen Sie Pro oder Enterprise, oder klären Sie die Geltung des AVV vor dem Livegang schriftlich mit Replit.

Trainiert Replit mit Ihren Daten?

Das hängt vom Tarif ab, und die Unterschiede sind größer als bei vielen anderen Werkzeugen.

• Pro: Laut Pro-Vertrag darf Replit Ihre Inhalte, also Eingaben, Prompts und die daraus erzeugten Ergebnisse, nutzen, um eigene Modelle und KI-Funktionen zu entwickeln, zu trainieren und zu verbessern. Widersprechen können Sie unter Settings, Personalization, Model Improvement. Der Widerspruch wirkt nur für neue Inhalte. Bereits genutzte Inhalte werden dadurch nicht entfernt.
• Enterprise: Der Enterprise-Vertrag vom 9. September 2026 schließt aus, dass Replit Kundeninhalte für das Training von Modellen verwendet.
• Starter und Core: Eine Widerspruchsmöglichkeit ist nicht dokumentiert; die Seite zur Modellverbesserung nennt die Einstellung ausdrücklich als Funktion für Pro. Die Datenschutzerklärung nennt als berechtigtes Interesse unter anderem, die Genauigkeit der eigenen Machine-Learning-Technik wie der Codegenerierung zu verbessern. Und die Nutzungsbedingungen behalten Replit vor, auf private Apps zuzugreifen, um den Dienst zu verbessern.

Achten Sie außerdem auf die Sichtbarkeit. Laut Nutzungsbedingungen werden Inhalte in Apps nicht öffentlich gemacht. Die Datenschutzerklärung weist aber darauf hin, dass Profil und veröffentlichte Inhalte einschließlich Code für andere Nutzer sichtbar sein und von Suchmaschinen erfasst werden können. Prüfen Sie für jedes Projekt, wer es sehen darf.

Unabhängig vom Tarif gilt eine einfache Regel: Personenbezogene Echtdaten gehören nicht in Prompts an Replit Agent. Kundenlisten oder Bewerbungen, die Sie zum Testen hochladen, liegen danach bei Replit und möglicherweise bei dessen Modellanbietern. Arbeiten Sie mit ausgedachten Testdaten.

Serverstandort und Datenbank: zwei Regionen, beide endgültig

Laut Replit liegen die Daten der Plattform überwiegend in Rechenzentren von Google Cloud in den USA. Für Ihre Projekte gibt es aber zwei eigene Regionseinstellungen, und beide lassen sich nachträglich nicht ändern.

Veröffentlichungsregion. Beim Veröffentlichen, in der Dokumentation heute „Publishing“, wählen Sie unter Advanced, Geography eine von fünf Regionen: North America, Europe (EU), Asia, South America oder Australia. Replit legt dann Rechenleistung, Datenbank und Object Storage der veröffentlichten App gemeinsam in diese Region. Die Auswahl steht Core, Pro und Enterprise zur Verfügung. Im kostenlosen Tarif wird in North America veröffentlicht. Nach dem Veröffentlichen ist die Region endgültig, eine Migration ist nicht möglich. Speicher, den Sie vor dem Veröffentlichen anlegen, kann laut Dokumentation in einer anderen Region liegen.

Workspace-Region. Sie bestimmt, wo die Entwicklungsversion und die Entwicklungsdatenbank liegen. Nur Pro kann sie beim Anlegen des Workspace wählen, zwischen North America, Europe (EU) und Asia. Bei Free und Core setzt Replit sie automatisch, meist auf die nächstgelegene Region, und sie lässt sich nicht ändern. Das ist ein weiterer Grund, in der Entwicklung nur mit Testdaten zu arbeiten.

Datenbank. Jede Replit-App bekommt eine PostgreSQL-Datenbank. Seit dem 4. Dezember 2025 laufen neue Entwicklungsdatenbanken auf Replits eigener Infrastruktur namens Helium. Die Produktionsdatenbank entsteht beim Veröffentlichen, wird laut Dokumentation über Neon abgerechnet und folgt der Veröffentlichungsregion. Neon steht als Unterauftragsverarbeiter auf Replits Liste. Nennen Sie die Datenbank in Ihrer Datenschutzerklärung mit Region.

Die Besucher Ihrer App: Analytics, Cookies und Banner

Für alles, was Ihre App im Browser ihrer Besucher speichert oder ausliest, gilt in Deutschland § 25 TDDDG. Ohne Einwilligung ist das nur erlaubt, wenn es unbedingt erforderlich ist, damit der Dienst funktioniert, den der Besucher ausdrücklich nutzen will. Das betrifft Cookies ebenso wie Local Storage und Tracking-Pixel. Vier Dinge sollten Sie bei einer Replit-App prüfen.

Replits eigene Besucherstatistik. Im Bereich Growth zeigt Project Analytics Besucher, Seiten, Verweise, Länder, Browser und Geräte. Die Grundwerte beruhen laut Replit auf IP-Verkehrsdaten sowie Netzwerk- und Browserdaten. Wenn Sie beim Veröffentlichen „Enable analytics“ einschalten, fügt Replit selbst einen Tracker in Ihre App ein. Ob dieser etwas im Browser der Besucher speichert, steht nicht in der Dokumentation. Weil Replit den Tracker außerhalb Ihres Codes einfügt, kann ein Cookie-Banner ihn nicht ohne Weiteres zurückhalten. Prüfen Sie Ihre veröffentlichte App mit einem Scan, oder lassen Sie „Enable analytics“ aus, bis das geklärt ist.

Das Cookie-Banner. Replit fügt Ihrer App kein Cookie-Banner hinzu, und die Dokumentation zum Veröffentlichen erwähnt keines. Sobald Sie Google Analytics, das Meta-Pixel, Hotjar oder ein YouTube-Video einbinden, brauchen Sie eines, und zwar eines, das diese Dienste bis zur Einwilligung tatsächlich blockiert. Ein Banner, das Replit Agent auf Zuruf als Komponente baut, erscheint oft erst, wenn die Tracker im HTML schon geladen haben. CookieCrumbs funktioniert in jeder Replit-Web-App über ein einziges Script-Tag, das als erstes Element im <head> steht. Eine eigene Integrationsseite für Replit gibt es nicht; das Prinzip ist dasselbe wie in unserer Anleitung für ein Cookie-Banner in Lovable, und alle Integrationen finden Sie in der Übersicht.

Der Login. Replit bietet zwei eingebaute Varianten. Bei Replit Auth melden sich Ihre Besucher mit einem Replit-Konto an. Bei Clerk Auth bekommt Ihre App einen eigenen Clerk-Mandanten, und Clerk ist damit ein weiterer Dienstleister. Für kundenorientierte Produkte empfiehlt Replit selbst Clerk. Die Sitzung, die für eine App mit Anmeldung nötig ist, braucht keine Einwilligung, gehört aber in die Datenschutzerklärung.

Das Feedback-Widget. Wenn Sie es einschalten, können Besucher sich anmelden und Text, Screenshots und Dateien senden, die in Ihrer Inbox bei Replit landen. Auch das gehört in die Datenschutzerklärung.

Was Sie selbst erledigen müssen

Replit sagt das in seinen Nutzungsbedingungen ausdrücklich: Wer Inhalte veröffentlicht, die personenbezogene Daten erheben, muss selbst informieren, Einwilligungen einholen und Betroffenenrechte erfüllen. Diese Punkte bleiben bei Ihnen.

• Datenschutzerklärung. Sie nennt Replit als Hoster und Auftragsverarbeiter, die Veröffentlichungsregion, die Übermittlung in die USA, jedes eingebundene Tool und jede Kategorie von Cookies.
• Impressum. Für geschäftsmäßige Apps in Deutschland Pflicht nach § 5 DDG.
• Einwilligungsnachweis. Nach Artikel 7 Absatz 1 DSGVO müssen Sie belegen können, dass ein Besucher eingewilligt hat. Ein Merker im Local Storage ist kein Beleg; mehr dazu in unserem Beitrag zum Einwilligungsnachweis.
• Verarbeitungsverzeichnis. Die App gehört mit Zweck, Datenkategorien, Empfängern, Drittlandtransfer und Löschfristen in Ihr Verzeichnis nach Artikel 30 DSGVO.
• KI-Funktionen der App. Nutzt Ihre App Replit AI Integrations mit OpenRouter, gehen Eingaben Ihrer Besucher an Modellanbieter. Laut Replit dürfen kostenlose Endpunkte dabei Prompts und Antworten für Training nutzen und veröffentlichen; bei bezahlten ist Training abgeschaltet. Wählen Sie für Besucherdaten nur bezahlte Modelle.
• Weitere Dienste. Verschickt Ihre App E-Mails oder nimmt Zahlungen an, ist jeder dieser Anbieter ein weiterer Auftragsverarbeiter mit eigenem Vertrag und eigenem Serverstandort.

Checkliste für eine datenschutzkonforme Replit-App

1. Tarif geprüft: Pro oder Enterprise, damit der AVV gilt, oder die Geltung schriftlich mit Replit geklärt.
2. Model Improvement unter Settings, Personalization abgeschaltet, wenn Sie Pro nutzen.
3. Keine echten personenbezogenen Daten in Prompts, Uploads oder der Entwicklungsdatenbank.
4. Bei Pro: Workspace in der Region Europe (EU) angelegt.
5. Vor dem ersten Veröffentlichen unter Publishing, Advanced, Geography „Europe (EU)“ gewählt.
6. Transfer-Folgenabschätzung für die Übermittlung in die USA dokumentiert.
7. „Enable analytics“ bewusst entschieden und die App gescannt.
8. Cookie-Banner, das Tracker bis zur Einwilligung blockiert, mit „Alle ablehnen“ auf der ersten Ebene und Einwilligungsnachweis.
9. Datenschutzerklärung und Impressum mit Replit, Login-Anbieter, Datenbank, Region und allen Diensten.
10. Eintrag im Verarbeitungsverzeichnis, Verträge mit allen weiteren Diensten.

Häufige Fragen

Ist Replit DSGVO-konform?

Replit lässt sich DSGVO-konform nutzen, wenn Tarif und Einstellungen stimmen. Der Anbieter sitzt in den USA, hat einen EU-Vertreter nach Artikel 27 DSGVO benannt und bietet für Pro und Enterprise einen AVV mit EU-Standardvertragsklauseln. Konform wird die Nutzung durch Veröffentlichung in der Region Europe (EU), abgeschaltetes KI-Training und eine App mit Cookie-Banner und Datenschutzerklärung.

Wo stehen die Server von Replit?

Die Plattform läuft laut Replit überwiegend auf Google Cloud in den USA. Veröffentlichte Apps können ab Core in fünf Regionen laufen, darunter Europe (EU). Im kostenlosen Tarif laufen sie in North America. Die Region lässt sich nach dem Veröffentlichen nicht mehr ändern.

Gibt es einen Auftragsverarbeitungsvertrag mit Replit?

Ja, in der Fassung vom 1. April 2026. Er ist Bestandteil der Verträge für Pro und Enterprise. Für Starter und Core ist er nicht dokumentiert. Wer dort personenbezogene Daten verarbeitet, sollte wechseln oder die Frage vorher schriftlich mit Replit klären.

Trainiert Replit seine KI mit meinen Daten?

Im Pro-Tarif standardmäßig ja, sofern Sie nicht unter Settings, Personalization, Model Improvement widersprechen. Im Enterprise-Tarif schließt der Vertrag das Training mit Kundeninhalten aus. Für Starter und Core ist keine Widerspruchsmöglichkeit dokumentiert.

Braucht meine Replit-App ein Cookie-Banner?

Sobald die App Analyse- oder Marketing-Tools, Tracking-Pixel oder eingebettete Inhalte wie YouTube lädt, ja. Eine App, die nur einen Login nutzt, kommt meist ohne aus. Das Banner muss die Tracker wirklich blockieren und deshalb als erstes Element im <head> laden.

Ist Replits eigene Besucherstatistik ohne Einwilligung erlaubt?

Das lässt sich aus der Dokumentation nicht sicher beantworten, weil Replit nicht beschreibt, ob der Tracker etwas im Browser speichert. Prüfen Sie Ihre App mit einem Scan und schalten Sie „Enable analytics“ im Zweifel nicht ein.

Quellen

1. Replit, Privacy Policy, Stand 3. August 2026, abgerufen am 23. September 2026
2. Replit, Terms of Service, Stand 3. August 2026, abgerufen am 23. September 2026
3. Replit, Data Processing Agreement, zuletzt aktualisiert am 1. April 2026
4. Replit, Pro Agreement, abgerufen am 23. September 2026
5. Replit, Enterprise Agreement, zuletzt aktualisiert am 9. September 2026
6. Replit, Subprocessors, Stand August 2026, abgerufen am 23. September 2026
7. Replit, Pricing, abgerufen am 23. September 2026
8. Replit-Dokumentation, „Model improvement“, abgerufen am 23. September 2026
9. Replit-Dokumentation, „Information Security“, abgerufen am 23. September 2026
10. Replit-Dokumentation, „Project geography“, abgerufen am 23. September 2026
11. Replit-Dokumentation, „Workspace geography“, abgerufen am 23. September 2026
12. Replit-Dokumentation, „Development and production databases“, abgerufen am 23. September 2026
13. Replit-Dokumentation, „Project Analytics“, abgerufen am 23. September 2026
14. Replit-Dokumentation, „Auth“, abgerufen am 23. September 2026
15. Replit-Dokumentation, „Enable Feedback Widget“, abgerufen am 23. September 2026
16. Replit-Dokumentation, „Replit AI Integrations“, abgerufen am 23. September 2026
17. § 25 TDDDG, Schutz der Privatsphäre bei Endeinrichtungen
18. Artikel 28 DSGVO, Auftragsverarbeiter

Geschrieben vom CookieCrumbs-Team, veröffentlicht am 23. September 2026. Dieser Beitrag ist keine Rechtsberatung. Fakten tragen ihr Datum; wenn sich etwas geändert hat, sagen Sie uns Bescheid und wir korrigieren es.