Ist v0 DSGVO-konform? Was für Ihr Team gilt, und was für die App, die Sie auf Vercel veröffentlichen

Die kurze Antwort

v0 kann DSGVO-konform genutzt werden, wenn Tarif und Einstellungen stimmen. Anbieter ist die Vercel Inc. in Kalifornien. Vercel ist nach dem EU-U.S. Data Privacy Framework zertifiziert, bietet einen Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln an und lässt Sie Funktionen und Speicher in europäischen Regionen wie Frankfurt betreiben. Automatisch konform ist aber weder Ihr Team noch Ihre App.

Drei Punkte entscheiden in der Praxis. Erstens der Tarif: Den Auftragsverarbeitungsvertrag nennt Vercel nur für Pro und Enterprise, und der kostenlose Hobby-Tarif ist ausschließlich für private, nicht kommerzielle Nutzung gedacht. Im Hobby-Tarif darf Vercel Ihre Inhalte außerdem standardmäßig für das Training von KI-Modellen verwenden. Zweitens die Region: Neue Projekte führen ihre Funktionen standardmäßig in Washington, D.C. aus, nicht in Europa. Drittens die Besucher Ihrer App: Eine eingebaute Consent-Funktion dokumentiert v0 nicht, und Vercel Web Analytics läuft, sobald Sie es einbauen.

Zwei Ebenen, zwei Rollen

Die Frage „Ist v0 DSGVO-konform?“ vermischt fast immer zwei Dinge, für die unterschiedliche Regeln gelten. Bei v0 kommt eine Besonderheit hinzu: Werkzeug und Hosting stammen vom selben Anbieter, laufen aber über dasselbe Vercel-Team und damit über denselben Tarif.

Wer hinter v0 steht

v0 ist ein Produkt der Vercel Inc., 440 N Barranca Avenue #4133, Covina, Kalifornien. Die Datenschutzerklärung von Vercel, zuletzt aktualisiert am 1. Juni 2026, gilt auch für v0. Für KI-Funktionen verweist sie zusätzlich auf eine eigene KI-Richtlinie und eigene KI-Produktbedingungen.

Weil der Anbieter in den USA sitzt, geht es bei jeder Nutzung um einen Drittlandtransfer nach Artikel 44 ff. DSGVO. Vercel stützt ihn auf zwei Grundlagen. Laut Datenschutzerklärung hält sich Vercel an das EU-U.S. Data Privacy Framework samt britischer Erweiterung und Schweizer Pendant. Zusätzlich nennt Vercel Standardvertragsklauseln und andere geeignete Mechanismen. Der Auftragsverarbeitungsvertrag hält fest, dass Vercels primäre Verarbeitungsstandorte in den USA liegen.

Einen Vertreter in der EU nach Artikel 27 DSGVO nennen weder die Datenschutzerklärung noch der Auftragsverarbeitungsvertrag. Als Kontakt für Datenschutzanfragen gibt Vercel die Adresse privacy@vercel.com an. Für Sie heißt das: Ihr Vertragspartner sitzt außerhalb der EU, und jede Nutzung von v0 ist ein Drittlandtransfer, den Sie dokumentieren müssen.

Der Auftragsverarbeitungsvertrag

Sobald Ihre v0-App personenbezogene Daten verarbeitet, etwa Logins, Kontaktformulare oder Bestellungen, verarbeitet Vercel diese Daten in Ihrem Auftrag. Artikel 28 DSGVO verlangt dafür einen Auftragsverarbeitungsvertrag, kurz AVV.

Vercel stellt einen AVV bereit, zuletzt aktualisiert am 17. März 2026 und in Kraft seit dem 31. März 2026. Er gilt ausdrücklich für Kunden in den Tarifen Pro und Enterprise und wird mit Abschluss des Vertrags verbindlich, eine separate Unterschrift ist nicht nötig. Er nutzt die EU-Standardvertragsklauseln in den Modulen 1, 2 und 3, dazu das britische IDTA und Regeln für die Schweiz. Datenpannen meldet Vercel laut AVV unverzüglich. Über neue Unterauftragsverarbeiter informiert Vercel, wenn Sie sich per E-Mail an privacy@vercel.com dafür anmelden, und Sie haben dann 5 Kalendertage für einen Widerspruch.

Der Haken ist der Hobby-Tarif. Für ihn gilt der AVV nach seinem Wortlaut nicht. Außerdem beschränken Vercels Fair-Use-Richtlinien den Hobby-Tarif auf private, nicht kommerzielle Nutzung. Eine App für Ihr Unternehmen gehört damit in ein Pro- oder Enterprise-Team, auch wenn Sie v0 selbst im Free-Tarif ausprobieren. Melden Sie sich außerdem für die Benachrichtigungen über Unterauftragsverarbeiter an, sonst verpassen Sie die 5-Tage-Frist.

Trainiert Vercel mit Ihren v0-Daten?

Das hängt vom Tarif Ihres Vercel-Teams ab. Vercel hat die Regeln im März 2026 neu gefasst, in Kraft seit dem 31. März 2026.

• Hobby und Pro-Testphase: Laut Nutzungsbedingungen darf Vercel Ihre Inhalte für das Training eigener KI-Modelle nutzen und mit Dritten teilen, damit diese ihre Produkte und Modelle verbessern. Sie können widersprechen, unter Team Settings, Data Preferences. Laut Vercel wirkt der Widerspruch nur für künftige Daten.
• Bezahltes Pro: Das Training ist standardmäßig ausgeschaltet. Sie können sich aktiv dafür entscheiden.
• Enterprise: Laut KI-Richtlinie nutzt und teilt Vercel Daten von Enterprise-Kunden nicht für das Training.
• v0-Tarife: Die Preisseite von v0 nennt für Business „Training opt-out by default“ und für Enterprise „Your data is never used for training“. Für Free und Plus steht dort nichts dazu, es gilt also die Einstellung Ihres Vercel-Teams.

Nach Vercels Ankündigung zu den geänderten Bedingungen umfasst das Training Code und Chats mit Vercels Agenten, Build- und Deployment-Daten sowie aggregierte Traffic-Statistiken. Personenbezogene Informationen, API-Schlüssel und Umgebungsvariablen will Vercel vorher entfernen. In der Liste der Unterauftragsverarbeiter stehen neben Amazon Web Services mehrere Anbieter für KI-Inferenz, darunter Baseten, Cerebras, Fireworks AI, Groq und SpaceXAI, früher xAI.

Unabhängig vom Tarif gilt eine einfache Regel: Personenbezogene Echtdaten gehören nicht in Prompts. Kundenlisten oder Bewerbungen, die Sie zum Testen hochladen, liegen danach bei Vercel. Löschen lassen sich v0-Ergebnisse laut FAQ nur auf Anfrage beim Support. Arbeiten Sie mit ausgedachten Testdaten.

Serverstandort der App: Washington ist der Standard

Vercel verteilt statische Inhalte wie HTML, CSS und JavaScript über ein CDN mit mehr als 126 Standorten weltweit, jeder Besucher bekommt sie vom nächstgelegenen. Der Code, der auf dem Server läuft, also Vercel Functions, Server Actions und API-Routen, läuft dagegen in einer festen Region. Und die ist bei neuen Projekten laut Dokumentation iad1 in Washington, D.C.

Die Region ändern Sie im Projekt unter Settings, Functions, Function Regions. Oder Sie tragen sie in die vercel.json ein, etwa "regions": ["fra1"] für Frankfurt. Vercel bietet 19 Regionen mit Rechenkapazität, davon 4 in der EU: Frankfurt (fra1), Paris (cdg1), Dublin (dub1) und Stockholm (arn1). Im Hobby-Tarif läuft ein Projekt in genau 1 Region, in Pro in bis zu 5.

Zwei Details sind wichtig. Erstens die Ausfallsicherheit: Fällt eine Region aus, leitet Vercel den Verkehr in die nächstgelegene Region um. Für den Standard iad1 stehen dabei zuerst US-Regionen auf der Liste. Eine automatische Umschaltung für Funktionen mit selbst gewählten Ersatzregionen gibt es nur im Enterprise-Tarif. Zweitens die Daten: Die Region der Funktion sagt nichts darüber, wo Ihre Datenbank liegt. v0 bietet Integrationen mit Upstash, Neon, Supabase und Vercel Blob an. Ob v0 beim automatischen Anlegen eine Region vorschlägt oder vorgibt, dokumentiert v0 nicht. Prüfen Sie die Region deshalb im Dashboard des jeweiligen Anbieters, und schließen Sie mit Neon, Supabase oder Upstash jeweils einen eigenen AVV. Vercel Blob baut laut Dokumentation auf Amazon S3 auf, und die Region wählen Sie beim Anlegen des Speichers.

Die Besucher Ihrer App: Analytics, Cookies und Banner

Für alles, was Ihre App im Browser ihrer Besucher speichert oder ausliest, gilt in Deutschland § 25 TDDDG. Erlaubt ist das ohne Einwilligung nur, wenn es unbedingt erforderlich ist, damit der Dienst funktioniert, den der Besucher ausdrücklich nutzen will. Das betrifft Cookies ebenso wie Local Storage, Fingerprinting und Tracking-Pixel. Drei Dinge sollten Sie bei einer v0-App prüfen.

Vercel Web Analytics und Speed Insights. Beide laufen erst, wenn Sie sie im Dashboard aktivieren und das Paket in den Code einbauen, bei Next.js als <Analytics /> in app/layout.tsx. Laut Vercel nutzt Web Analytics keine Cookies von Drittanbietern. Besucher werden über einen Hash der eingehenden Anfrage erkannt, die Besuchssitzung wird nach 24 Stunden verworfen. Pro Seitenaufruf speichert Vercel unter anderem URL, Referrer, gefilterte Query-Parameter, Standort, Betriebssystem, Browser und Gerätetyp. Speed Insights misst Ladezeiten über Browser-Schnittstellen und sendet sie bei jedem Seitenaufruf an Vercel. Wo diese Daten gespeichert werden, steht auf den Datenschutzseiten der beiden Dienste nicht. Ob ein Skript, das im Browser Messwerte ausliest und versendet, unter § 25 TDDDG fällt, beurteilen Aufsichtsbehörden streng. Wir empfehlen, beide Dienste wie jede andere Statistik erst nach Einwilligung zu laden, und nennen sie in jedem Fall in der Datenschutzerklärung.

Das Cookie-Banner. Eine eingebaute Consent-Funktion dokumentiert v0 nicht. Sobald Sie Google Analytics, das Meta-Pixel, Hotjar oder ein YouTube-Video einbinden, brauchen Sie ein Cookie-Banner, und zwar eines, das diese Dienste tatsächlich zurückhält. Ein Banner, das v0 auf Zuruf als Komponente baut, sieht gut aus, blockiert aber nichts, weil es erst nach der Hydration erscheint. Die Consent-Ebene muss vorher laden: als next/script mit strategy="beforeInteractive" in app/layout.tsx, vor jedem anderen Skript. Wie das mit einem einzigen Prompt geht, steht auf unserer Seite zur Cookie-Einwilligung für v0. Nutzen Sie Google Ads oder GA4, gehören auch die Standardwerte für Google Consent Mode v2 dazu.

Der Login. Ein Sitzungscookie für eine App mit Anmeldung ist unbedingt erforderlich und braucht keine Einwilligung. In die Datenschutzerklärung gehört es trotzdem, ebenso wie der Anbieter, der die Anmeldung technisch abwickelt.

Was Sie selbst erledigen müssen

v0 schreibt Code, aber keine Rechtstexte, die zu Ihrer App passen, und führt keine Verzeichnisse für Sie. Diese Punkte bleiben bei Ihnen.

• Datenschutzerklärung. Sie nennt Vercel als Hoster und Auftragsverarbeiter, die Funktionsregion, die Übermittlung in die USA mit Rechtsgrundlage, jede Datenbank, jedes eingebundene Tool und jede Kategorie von Cookies.
• Impressum. Für geschäftsmäßige Apps in Deutschland Pflicht nach § 5 DDG.
• Einwilligungsnachweis. Nach Artikel 7 Absatz 1 DSGVO müssen Sie belegen können, dass ein Besucher eingewilligt hat. Ein Merker im Local Storage ist kein Beleg; mehr dazu in unserem Beitrag zum Einwilligungsnachweis.
• Verarbeitungsverzeichnis. Die App gehört mit Zweck, Datenkategorien, Empfängern, Drittlandtransfer und Löschfristen in Ihr Verzeichnis nach Artikel 30 DSGVO.
• Weitere Dienste der App. Ruft Ihre App selbst eine KI-Schnittstelle auf, verschickt E-Mails oder nimmt Zahlungen an, ist jeder dieser Anbieter ein weiterer Auftragsverarbeiter mit eigenem Vertrag und eigenem Serverstandort. Für Dienste Dritter, die Sie über Vercel anbinden, gelten laut Vercels KI-Bedingungen deren eigene Bedingungen.
• Sicherheit. Prüfen Sie Zugriffsregeln Ihrer Datenbank und die Sichtbarkeit Ihrer Blob-Speicher, bevor echte Nutzer kommen. Ein öffentlicher Blob-Speicher ist für jeden lesbar, der die URL kennt, und der Zugriffsmodus lässt sich laut Vercel nach dem Anlegen nicht mehr ändern.

Checkliste für eine datenschutzkonforme v0-App

1. Vercel-Team im Tarif Pro oder Enterprise, damit der AVV gilt und die Nutzung gewerblich erlaubt ist.
2. Unter Team Settings, Data Preferences das KI-Training geprüft und bei Bedarf abgeschaltet.
3. Keine echten personenbezogenen Daten in Prompts oder Uploads.
4. Funktionsregion auf fra1 oder eine andere EU-Region gesetzt.
5. Region jeder Datenbank und jedes Blob-Speichers kontrolliert, AVV mit jedem Datenbankanbieter.
6. Für Benachrichtigungen über neue Unterauftragsverarbeiter bei privacy@vercel.com angemeldet.
7. Vercel Web Analytics und Speed Insights geprüft und hinter die Einwilligung gelegt oder entfernt.
8. Cookie-Banner mit beforeInteractive, das Tracker bis zur Einwilligung blockiert, mit „Alle ablehnen“ auf der ersten Ebene und Einwilligungsnachweis.
9. Datenschutzerklärung und Impressum mit Vercel, allen Diensten, der Region und dem Drittlandtransfer.
10. Eintrag im Verarbeitungsverzeichnis und ein Scan der Live-App vor dem Teilen des Links.

Häufige Fragen

Ist v0 DSGVO-konform?

v0 lässt sich DSGVO-konform nutzen: Vercel ist nach dem EU-U.S. Data Privacy Framework zertifiziert, bietet einen AVV mit EU-Standardvertragsklauseln und EU-Regionen wie Frankfurt. Konform wird die Nutzung aber erst durch die richtigen Einstellungen, also Pro- oder Enterprise-Team mit AVV, eine EU-Region, geprüftes KI-Training, und durch eine App mit Cookie-Banner und Datenschutzerklärung.

Wo stehen die Server einer v0-App?

Statische Dateien kommen vom nächstgelegenen CDN-Standort. Serverfunktionen laufen bei neuen Projekten standardmäßig in Washington, D.C. (iad1). Sie können auf Frankfurt, Paris, Dublin oder Stockholm umstellen. Die Region von Datenbanken und Blob-Speichern wählen Sie separat beim Anlegen.

Gibt es einen Auftragsverarbeitungsvertrag mit Vercel?

Ja. Vercel stellt einen AVV bereit, der für Kunden in den Tarifen Pro und Enterprise gilt und mit Vertragsschluss verbindlich wird. Für den Hobby-Tarif gilt er nicht, und Hobby ist ohnehin auf private, nicht kommerzielle Nutzung beschränkt.

Trainiert v0 seine KI mit meinen Daten?

Im Hobby-Tarif und in der Pro-Testphase standardmäßig ja, sofern Sie nicht unter Team Settings, Data Preferences widersprechen. Im bezahlten Pro-Tarif ist das Training standardmäßig aus, im v0-Tarif Business laut Preisseite ebenfalls, und Daten von Enterprise-Kunden nutzt Vercel laut KI-Richtlinie nicht für das Training.

Braucht meine v0-App ein Cookie-Banner?

Sobald die App Analyse- oder Marketing-Tools, Tracking-Pixel oder eingebettete Inhalte wie YouTube lädt, ja. Vercel Web Analytics kommt laut Vercel ohne Cookies von Drittanbietern aus, liest aber im Browser Daten aus und versendet sie, daher empfehlen wir auch hier eine Einwilligung. Eine App, die nur einen Login nutzt, kommt meist ohne Banner aus.

Reicht das Data Privacy Framework für den Transfer in die USA?

Für Vercel als zertifiziertes Unternehmen ist das Data Privacy Framework derzeit eine gültige Grundlage nach Artikel 45 DSGVO. Unabhängig davon enthält der AVV für Pro und Enterprise Standardvertragsklauseln als eigene Grundlage. Den Transfer nennen Sie trotzdem in Ihrer Datenschutzerklärung und im Verarbeitungsverzeichnis.

Quellen

1. Vercel, Privacy Notice, zuletzt aktualisiert am 1. Juni 2026, abgerufen am 23. September 2026
2. Vercel, Data Processing Addendum, zuletzt aktualisiert am 17. März 2026, in Kraft seit 31. März 2026
3. Vercel, Terms of Service, Abschnitt 3, zuletzt aktualisiert am 1. Juni 2026
4. Vercel, AI Policy, zuletzt aktualisiert am 17. März 2026, in Kraft seit 31. März 2026
5. Vercel, AI Product Terms, zuletzt aktualisiert am 17. März 2026
6. Vercel Changelog, „Updates to Terms of Service“, 17. März 2026
7. v0, Pricing, abgerufen am 23. September 2026
8. v0-Dokumentation, „FAQs“, Stand 17. März 2026
9. Vercel Trust Center, Unterauftragsverarbeiter, abgerufen am 23. September 2026
10. Vercel-Dokumentation, „Vercel Hobby Plan“, Stand 14. September 2026
11. Vercel-Dokumentation, „Configuring regions for Vercel Functions“, Stand 11. August 2026
12. Vercel-Dokumentation, „Global network and regions“, Stand 11. August 2026
13. Vercel-Dokumentation, „Vercel Blob“, Stand 26. August 2026
14. v0-Dokumentation, „Databases“, abgerufen am 23. September 2026
15. Vercel-Dokumentation, „Web Analytics: Privacy and Compliance“, Stand 26. Juni 2026
16. Vercel-Dokumentation, „Speed Insights Privacy & Compliance“, Stand 18. März 2026
17. Vercel-Dokumentation, „Getting started with Vercel Web Analytics“, Stand 8. Juni 2026
18. § 25 TDDDG, Schutz der Privatsphäre bei Endeinrichtungen
19. Artikel 28 DSGVO, Auftragsverarbeiter

Geschrieben vom CookieCrumbs-Team, veröffentlicht am 23. September 2026. Dieser Beitrag ist keine Rechtsberatung. Fakten tragen ihr Datum; wenn sich etwas geändert hat, sagen Sie uns Bescheid und wir korrigieren es.