Notion
Projekt- und Arbeitsmanagement · notion.com · zuletzt gelesen 2026-11-09
Auf einen Blick
- Ist Notion DSGVO-konform?
- Kein Werkzeug ist für sich allein DSGVO-konform: Es kommt darauf an, was Sie damit verarbeiten und wie. Hier steht, was Notion selbst veröffentlicht, jede Antwort mit Quelle und Abrufdatum.
- Welche Fassung des AVV von Notion ist aktuell?
- Am 2026-10-09 stand im AVV von Notion auf notion.so: „Data Processing Addendum (Deprecated August 14, 2026)“. Quelle und Datum
- Wie übermittelt Notion personenbezogene Daten aus der EU?
- Notion Labs, Inc. steht auf der offiziellen Data Privacy Framework List (Status: Active - Re-certification under Review). Quelle und Datum
- Wo speichert Notion die Daten von EU-Kunden?
- Ein EU-Standort existiert, aber nur im Enterprise-Tarif. Tarif: Enterprise to migrate an existing workspace. Quelle und Datum
- Welche Unterauftragsverarbeiter setzt Notion ein?
- Notion nennt 37 externe Unterauftragsverarbeiter; 21 davon geben mindestens ein Verarbeitungsland außerhalb des EWR an. Zuletzt gelesen am 2026-11-02. Wir haben 1 Änderung daran erfasst, zuletzt am 2026-11-02. Quelle und Datum
- Wie meldet man Notion eine Sicherheitslücke?
- Notion veröffentlicht eine security.txt auf www.notion.com mit dem Kontakt https://www.notion.so/Responsible-Disclosure-Policy-5f18bb6b86804eaf989c006131778b9c. Quelle und Datum
Vertragspartner und Eigentümer
| Vertragspartner | Notion Labs, Inc. |
|---|---|
| Sitz | US |
| Muttergesellschaft | — |
| Oberste Eigentümerschaft (Land) | US |
| Vertragspartner für die EU | — |
| LEI | 2138005T88RDXMNXG698 |
| Reichweite des US CLOUD Act | Vertragspartner ist eine US-Gesellschaft |
| Quelle | notion.notion.site · 2026-10-08 |
Vertragspartner laut den eigenen Bedingungen des Anbieters. LEI, Registerland und Muttergesellschaft aus dem Global LEI Index (GLEIF); wo GLEIF keine Muttergesellschaft nennt, bleibt die Eigentümerschaft leer. Die CLOUD-Act-Zeile leitet sich allein aus diesen Ländern ab und ist keine Risikobewertung.
Datenstandort
| Region | EU-Datenstandort | Mindesttarif | Quelle | Gelesen am |
|---|---|---|---|---|
| EU | Nur Enterprise | Enterprise to migrate an existing workspace | notion.com | 2026-09-18 |
EU: CORRECTION of our 2026-09-17 reading of unstated. Data region EU-Central-1 (Frankfurt) with backup in EU-West-1 (Ireland). Page states eligible workspace owners may choose a region, and that moving an EXISTING workspace requires the Enterprise plan and the Notion account team.
Dieselbe Frage für jeden Anbieter: wo SaaS-Anbieter EU-Daten speichern.
Die Liste der Unterauftragsverarbeiter von Notion nennt AWS und Google für Hosting oder Infrastruktur. Welche SaaS-Anbieter auf welcher Cloud laufen, und die souveränen Angebote der Clouds (auf Englisch): Sovereign clouds.
Unterauftragsverarbeiter
37 Drittanbieter · 7 eigene Konzerngesellschaften · 21 mit einem Land außerhalb des EWR · alle gelesen am 2026-11-02
| Unterauftragsverarbeiter | Land | Zweck |
|---|---|---|
| Anthropic | — | — |
| Anthropic | — | LLMs from vetted providers |
| Anthropic | — | Service provider for AI agents, hosting large language models and embeddings, and for abuse prevention. |
| Anysource Inc., dba Runlayer | US | Security for MCP connections. |
| AssemblyAI Inc. | US | Transcription services. |
| AWS | — | Cloud hosting, with data center physical security, environmental safeguards, and geographic redundancy |
| AWS | US, EU, KR, JP | Hosting and storage systems provider. |
| AWS | — | infrastructure and hosting |
| Baseten Labs, Inc. | — | Compute infrastructure for serving large language models and powering AI services. |
| Browserbase, Inc. | US, ES | Service provider for browser-based web access and automation for AI agents. |
| Cerebras Systems Inc. | US | Service provider for hosting large language models and embeddings. |
| Cinder Technologies Inc. | US | Service provider for abuse prevention. |
| Cloudflare | — | infrastructure and hosting |
| Confluent | US, DE, KR, JP | Kafka managed streaming storage platform used for in-product audit log data and analytics. |
| Customer.io | US | Transactional, broadcast, and marketing messaging. |
| DeepL | US | Translation services. |
| Exa | US | Service provider for providing web search results. |
| Fireworks | — | Compute infrastructure for serving large language models and powering AI services. |
| Fivetran | US, DE, KR, JP | Data pipeline for connecting systems to our data warehouse. |
| Google Cloud | — | infrastructure and hosting |
| Google LLC | — | Service provider for hosting large language models and embeddings and for abuse prevention. |
| Mailgun Technologies, Inc. | US | Transactional, broadcast, and marketing messaging. |
| Mathpix, Inc. | US, DE, SG | PDF file conversion. |
| Modal Labs, Inc. | — | Compute infrastructure for serving large language models and powering AI services. |
| OpenAI | — | LLMs from vetted providers |
| OpenAI | — | Service provider for hosting large language models and embeddings and for abuse prevention. |
| Parallel Web Systems | US | Service provider for providing web search results and for hosting large language models and embeddings. |
| PlanetScale, Inc. | US, DE, JP | Hosting and management of large-scale databases. |
| Runlayer | — | — |
| Splunk | US | Security and application logging. |
| StarTree, Inc. | US, DE, KR, JP | Storage platform used for in-product analytics. |
| Teleperformance | GR | Support services. |
| Turbopuffer | US, DE, KR, JP | Vector database for storing embeddings. |
| Twilio | US | Multi-factor Authentication. |
| TypeSafe AI, Inc. | — | Service provider for hosting structured classification and other models. |
| Vercel Inc. | US | Compute services that enable code execution and AI agent actions. |
| X.AI LLC | US, GB | Service provider for hosting large language models and embeddings. |
Eigene Konzerngesellschaften von Notion, die als Unterauftragsverarbeiter geführt werden (7)
| Gesellschaft | Land | Zweck |
|---|---|---|
| Brain Capital Labs PVT Ltd. | IN | Support services. |
| Notion International Inc. | US | Support services. |
| Notion Labs Australia Pty Ltd | AU | Support services. |
| Notion Labs Japan, G.K. | JP | Support services. |
| Notion Labs Korea Ltd | KR | Support services. |
| Notion Labs United Kingdom, Private Limited | GB | Support services. |
| Notion Labs, Ireland Limited | IE | Support services. |
Die Zahl außerhalb des EWR ist eine reine Auszählung der Länderspalte, keine rechtliche Bewertung. Eine Übermittlung außerhalb des EWR kann vollkommen rechtmäßig sein; ob sie es ist, hängt von Ihrer Nutzung ab, nicht vom Anbieter.
Alle Unterauftragsverarbeiter im Register, und welche Anbieter sie nennen (auf Englisch): Subprocessors.
Auftragsverarbeitungsvertrag (AVV)
Noch kein Auftragsverarbeitungsvertrag gelesen.
Welche Fassung gilt
Am 2026-10-09 stand im Vertrag: Data Processing Addendum (Deprecated August 14, 2026)
auf notion.so
Zuletzt aktualisiert 2026-08-14
Diese Fassung ist seit dem 2026-10-09 in unseren Kopien.
Diese Regelungen für alle Anbieter nebeneinander (auf Englisch): Data processing agreements compared. Was Anbieter für ein Transfer Impact Assessment bereitstellen: Transfer impact assessments.
Zertifizierungen und Testate
| Standard | Status | Geltungsbereich | Quelle | Gelesen am |
|---|---|---|---|---|
| BSI C5 · C5 | Auf Anfrage | — | notion.com | 2026-10-19 |
| CCPA | Nur behauptet | California privacy laws | notion.com | 2026-10-19 |
| CPRA · CCPA | Nur behauptet | California privacy laws | notion.com | 2026-10-19 |
| GDPR | Nur behauptet | — | notion.com | 2026-10-19 |
| HIPAA | Nur behauptet | Enterprise-grade HIPAA security features, with a Business Associate Agreement (BAA) available to Enterprise customers | notion.com | 2026-10-19 |
| HITECH | Nur behauptet | — | notion.com | 2026-10-19 |
| ISMAP | Auf Anfrage | — | notion.com | 2026-10-19 |
| ISO 27001 · ISO27001 | Auf Anfrage | — | notion.com | 2026-10-19 |
| ISO 27018 · ISO27018 | Nur behauptet | privacy by design across the data lifecycle | notion.com | 2026-10-19 |
| ISO 27701 · ISO27701 | Nur behauptet | privacy by design across the data lifecycle | notion.com | 2026-10-19 |
| OWASP LLM Top 10 | Nur behauptet | adversarial testing of AI features | notion.com | 2026-10-19 |
| SOC 2 · SOC2 | Auf Anfrage | — | notion.com | 2026-10-19 |
Nur behauptet heißt: Der Anbieter nennt den Standard auf seiner Seite, legt aber nichts weiter vor. Auf Anfrage heißt: Bericht oder Zertifikat existieren, liegen aber hinter einer Anfrage, einem Login oder einer NDA. In beiden Fällen haben wir kein Zertifikat gesehen. Diese Unterscheidung trifft jeder Prüfer – also treffen wir sie auch.
C5, SecNumCloud, ENS und HDS für jeden Anbieter: Zertifizierungen im Vergleich.
Amtliche Register
| Register | Angebot, wie das Register es nennt | Status | Stufe | Gültig bis | Gelesen am |
|---|---|---|---|---|---|
| Data Privacy Framework List (USA) | EU-U.S. Data Privacy Framework · Notion Labs, Inc. | Active - Re-certification under Review | HR data, non-HR data | 2025-10-08 | 2026-10-05 |
| Data Privacy Framework List (USA) | Swiss-U.S. Data Privacy Framework · Notion Labs, Inc. | Active - Re-certification under Review | HR data, non-HR data | 2025-10-08 | 2026-10-05 |
| Data Privacy Framework List (USA) | UK Extension to the EU-U.S. DPF · Notion Labs, Inc. | Active - Re-certification under Review | HR data, non-HR data | 2025-10-08 | 2026-10-05 |
| Globaler LEI-Index (GLEIF) | NOTION LABS, INC. · NOTION LABS, INC. | ISSUED | US-DE | 2027-02-11 | 2026-10-08 |
- ACN-qualifizierte Cloud (Italien): geprüft am 2026-11-09, kein Eintrag gesucht unter Notion; Notion Labs, Inc.
- ISO 27001 auf der Basis von IT-Grundschutz (BSI): geprüft am 2026-11-09, kein Eintrag gesucht unter Notion; Notion Labs, Inc.
- CISPE Data Protection Code of Conduct (DSGVO Art. 40): geprüft am 2026-11-09, kein Eintrag gesucht unter Notion; Notion Labs, Inc.
- Kritische IKT-Drittdienstleister nach DORA (ESAs): geprüft am 2026-11-09, kein Eintrag gesucht unter Notion; Notion Labs, Inc.
- Data Privacy Framework List (USA): geprüft am 2026-11-09, 3 Einträge gesucht unter Notion; Notion Labs, Inc.
- ENS-Konformitätszertifikate (CCN, Spanien): geprüft am 2026-11-09, kein Eintrag gesucht unter Notion; Notion Labs, Inc.
- EU Cloud Code of Conduct (DSGVO Art. 40): geprüft am 2026-11-09, kein Eintrag gesucht unter Notion; Notion Labs, Inc.
- FedRAMP Marketplace (USA): geprüft am 2026-11-09, kein Eintrag gesucht unter Notion; Notion Labs, Inc.
- Unterzeichner des GPAI-Verhaltenskodex (Europäische Kommission): geprüft am 2026-11-09, kein Eintrag gesucht unter Notion; Notion Labs, Inc.
- SecNumCloud-qualifizierte Dienste (ANSSI, Frankreich): geprüft am 2026-11-09, kein Eintrag gesucht unter Notion; Notion Labs, Inc.
Was die Behörde veröffentlicht, nicht was der Anbieter behauptet. Ein Eintrag gilt nur für das genannte Angebot: Eine FedRAMP-Autorisierung für eine Behördenversion sagt nichts über den kommerziellen Dienst. Kein Eintrag ist kein Befund über die Sicherheit – die meisten Anbieter beantragen nie – und ein Eintrag unter einem hier nicht aufgeführten Namen wäre nicht gefunden worden.
Was ein Eintrag in der Data Privacy Framework List abdeckt, und welche Anbieter einen haben (auf Englisch): EU-US Data Privacy Framework.
Supportzeitraum
| Produkt | Supportzeitraum | Stand | SBOM | Quelle | Gelesen am |
|---|---|---|---|---|---|
| Notion (SaaS) | — | Reiner Dienst | unbekannt | notion.so | 2026-09-18 |
Meldung von Schwachstellen: notion.so (security.txt, gültig bis 2030-01-01; gelesen 2026-10-17)
Wie andere Anbieter ihre veröffentlichen (auf Englisch): security.txt im Register.
Dokumente
| Dokument | Zugänglichkeit | Erfassung | HTTP | Gelesen am |
|---|---|---|---|---|
| ai | Öffentlich | full | 200 | 2026-10-28 |
| ai-2 | Öffentlich | full | 200 | 2026-10-28 |
| certifications | Öffentlich | full | 200 | 2026-10-19 |
| subprocessors | Öffentlich | full | 200 | 2026-11-02 |
| tia | Öffentlich | full | 200 | 2026-10-20 |
| trust-center | Nur mit JavaScript | full | 200 | 2026-10-05 |
Verlauf
| Festgestellt | Was sich geändert hat | Ursache | Quelle |
|---|---|---|---|
| 2026-11-02 | Unterauftragsverarbeiter hinzugefügt AssemblyAI Inc.; Browserbase, Inc.; Cinder Technologies Inc.; Customer.io; Google Cloud; Mailgun Technologies, Inc.; Modal Labs, Inc.; PlanetScale, Inc.; Runlayer; TypeSafe AI, Inc. Unterauftragsverarbeiter entfernt Amplitude; Customer; Mailgun | der Anbieter hat es geändert | trust.notion.com |
| 2026-10-19 | Status Nur behauptet → Auf Anfrage | der Anbieter hat es geändert | notion.com |
| 2026-10-19 | Status Nur behauptet → Auf Anfrage | der Anbieter hat es geändert | notion.com |
| 2026-09-18 | EU-Datenstandort Keine Angabe → Nur Enterprise Mindesttarif gesetzt auf Enterprise to migrate an existing workspace Hinweis neu formuliert | wir haben eine bessere Quelle gelesen | notion.com |
Alle geprüften Änderungen im Register, die neuesten zuerst (auf Englisch): Vendor changes.