Prüfstand · Wissensmanagement Stand:

Notion DSGVO-konform nutzen? Prüfstand mit Quellen (Stand Okt. 2026)

Zehn Kriterien, jede Aussage mit Quelle und wörtlichem Zitat. Geprüft am 19. Oktober 2026, nächste Prüfung spätestens am 17. Januar 2027.

von 10 Kriterien erfüllt
8 von 10 Kriterien erfüllt
mit Einschränkung
2 mit Einschränkung
nicht erfüllt oder nicht ausgewiesen
0 nicht erfüllt oder nicht ausgewiesen
Belege mit Zitat
24 Belege mit Zitat

Unser Kurzurteil

Kurzurteil für Notion: Mit Auflagen

Notion ist im Enterprise-Tarif mit Auflagen einsetzbar: EU-Speicherung in Frankfurt, Audit-Log, SCIM und Zero Retention bei der KI gibt es nur dort. Vertragspartner bleibt ein US-Unternehmen, abgesichert über Data Privacy Framework und Standardvertragsklauseln. Sensible Daten nach Art. 9 DSGVO schließt der Vertrag aus.

Geeigneter Tarif
Geeignet
Geeignet Notion Enterprise
Ungeeignet
Ungeeignet
Ungeeignet Free, Plus und Business für personenbezogene Daten: nur US-Speicherung, kein Audit-Log, KI-Eingaben bis zu 30 Tage beim Anbieter.

In 30 Sekunden

  • Mit Auflagen: Einsetzbar, aber nur im richtigen Tarif und mit Einstellungen, die Sie selbst vornehmen müssen.
  • Nehmen Sie Notion Enterprise.
  • Offen bei den Kernkriterien: Vertragspartner (mit Einschränkung).
  • Erster Schritt: Enterprise-Tarif wählen und die EU-Datenresidenz beim Account-Team oder Support beantragen. Für neue Workspaces unter Organisationseinstellungen → Data & Compliance → Data Residency die Region Europa als Standard setzen.
  • 8 erfüllt
  • 2 mit Einschränkung

Die zehn Kriterien mit Belegen

Aufklappen zeigt Quelle, wörtliches Zitat und Abrufdatum. Bewertet ist der geeignete Tarif.

  1. Mit Einschränkung 01 Vertragspartner Kern · Mit Einschränkung Vertragspartner ist die Notion Labs, Inc. in San Francisco. Eine EU-Gesellschaft als Vertragspartner gibt es nicht, jeder Vertrag ist damit ein Vertrag mit einem US-Unternehmen.

    Prüffrage: Mit wem schließen Sie den Vertrag, und sitzt er in der EU?

    Maßstab: Grün: Vertragspartner mit Sitz in der EU oder im EWR. Gelb: Sitz außerhalb, Vertrag mit Standardvertragsklauseln. Rot: kein eindeutiger Vertragspartner.

  2. Erfüllt 02 Auftragsverarbeitung (AVV) Kern · Erfüllt Der Auftragsverarbeitungsvertrag (DPA) ist Teil der Vertragsbedingungen und gilt mit Vertragsschluss, eine Unterschrift ist nicht nötig. Er schließt aber besondere Kategorien nach Art. 9 DSGVO, Gesundheits- und Kinderdaten ausdrücklich aus.

    Prüffrage: Gibt es einen Vertrag nach Art. 28 DSGVO, und wie kommt er zustande?

    Maßstab: Grün: AVV nach Art. 28 DSGVO gilt für den Tarif automatisch oder per Klick. Gelb: nur auf Anfrage oder mit Einschränkungen. Rot: kein AVV.

    • DPA gilt automatisch mit dem Vertrag

      Signature and date: This Annex I shall automatically be deemed executed when Customer agrees to the Agreement.

      Quelle: notion.notion.site (öffnet neues Fenster) abgerufen am

    • Notion ist Auftragsverarbeiter

      Where our customer is a data controller or data processor, Notion is the data processor of personal data that our customer and their users upload to the Notion service.

      Quelle: notion.com (öffnet neues Fenster) abgerufen am

    • Keine sensiblen Daten zulässig

      or any information that falls within any special categories of data (as defined under the EU/UK Data Protection Law or otherwise interpreted under the implementing laws of the EEA member states).

      Quelle: notion.notion.site (öffnet neues Fenster) abgerufen am

  3. Erfüllt 03 Unterauftragsverarbeiter · Erfüllt Die Liste der Unterauftragsverarbeiter ist öffentlich, mit Zweck und Standort. Über neue Einträge informiert Notion nur, wer sich per E-Mail dafür anmeldet, danach gilt ein Widerspruchsrecht von zehn Tagen.

    Prüffrage: Ist die Liste öffentlich, und werden Änderungen angekündigt?

    Maßstab: Grün: öffentliche Liste und Ankündigung von Änderungen mit Widerspruchsrecht. Gelb: Liste nur im Vertrag oder ohne Ankündigung. Rot: keine Liste.

  4. Mit Einschränkung 04 Datenstandort · Mit Einschränkung Standard ist die Speicherung in den USA. Seiteninhalte, Dateien und Suchindex lassen sich nur im Enterprise-Tarif in Frankfurt speichern, Kontodaten, Nutzungsdaten und die Verarbeitung durch KI-Anbieter bleiben außerhalb.

    Prüffrage: Wo liegen die Inhalte, und lässt sich Europa wählen?

    Maßstab: Grün: Inhalte in der EU, als Standard oder im Tarif wählbar. Gelb: EU nur auf Antrag, gegen Aufpreis oder nur teilweise. Rot: keine EU-Option.

    Andere Tarife: Free, Plus und Business speichern ausschließlich in den USA. Datenresidenz in der EU gibt es nur im Enterprise-Tarif.

    • EU-Region nur im Enterprise-Tarif

      Data residency is available free of charge to customers on the Enterprise Plan.

      Quelle: notion.com (öffnet neues Fenster) abgerufen am

    • Standard USA

      By default, your data will continue to reside in the United States.

      Quelle: notion.com (öffnet neues Fenster) abgerufen am

    • Weitere Verarbeitung in den USA

      Notion will continue to store and process all categories of data in the United States and other international locations in accordance with Notion's Privacy Policy and, where applicable, the Data Processing Addendum.

      Quelle: notion.com (öffnet neues Fenster) abgerufen am

  5. Erfüllt 05 Drittlandübermittlung Kern · Erfüllt Notion Labs ist im EU-U.S. Data Privacy Framework aktiv gelistet, die Neuzertifizierung (fällig seit 08.10.2025) steht dort aber noch als „under Review“. Zusätzlich enthält der DPA die EU-Standardvertragsklauseln (Modul 2 bzw. 3).

    Prüffrage: Worauf stützt sich die Übermittlung in die USA (DPF, Standardvertragsklauseln)?

    Maßstab: Grün: keine Übermittlung nötig oder Empfänger aktiv im EU-US Data Privacy Framework und Standardvertragsklauseln im Vertrag. Gelb: nur Standardvertragsklauseln. Rot: keine Grundlage.

  6. Erfüllt 06 KI-Training mit Ihren Daten Kern · Erfüllt Weder Notion noch die KI-Anbieter dürfen Ihre Inhalte zum Training nutzen, das ist vertraglich ausgeschlossen. Im Enterprise-Tarif speichern die meisten Sprachmodell-Anbieter nichts, in den kleineren Tarifen bis zu 30 Tage.

    Prüffrage: Werden Ihre Inhalte zum Training von KI-Modellen genutzt?

    Maßstab: Grün: kein Training mit Ihren Inhalten, ohne dass Sie etwas tun müssen. Gelb: nur per Abschalten (Opt-out). Rot: Training ohne Abschaltmöglichkeit.

    Andere Tarife: Free, Plus und Business: Die KI-Anbieter speichern Eingaben bis zu 30 Tage. Zero Data Retention gilt nur im Enterprise-Tarif.

  7. Erfüllt 07 Zertifikate · Erfüllt Notion nennt SOC 2, ISO 27001 und BSI C5 sowie ISO 27701 und ISO 27018 für den Datenschutz. Die Berichte liegen im Trust Center.

    Prüffrage: ISO 27001, SOC 2, BSI C5: Was ist nachgewiesen?

    Maßstab: Grün: ISO 27001 oder SOC 2 Typ II nachgewiesen. Gelb: nur Selbstauskunft. Rot: kein Nachweis.

    • SOC 2, ISO 27001, BSI C5

      Notion undergoes multiple, annual, industry standard audits including SOC 2, ISO 27001, ISMAP, BSI C5, and more! All audit reports are available on the Notion Trust Center.

      Quelle: notion.com (öffnet neues Fenster) abgerufen am

    • ISO 27701, ISO 27018

      Notion embeds privacy by design across the data lifecycle, with controls aligned to GDPR and CCPA and independently attested to against ISO 27701 and ISO 27018.

      Quelle: notion.com (öffnet neues Fenster) abgerufen am

  8. Erfüllt 08 Verwaltung & Kontrolle · Erfüllt Im Enterprise-Tarif stehen SAML-SSO, Benutzerverwaltung per SCIM und ein Audit-Log zur Verfügung. Der Business-Tarif bietet nur SAML-SSO.

    Prüffrage: SSO, Rollen und Audit-Log: Können Sie den Einsatz steuern?

    Maßstab: Grün: SSO, Rollen und Protokoll im geprüften Tarif. Gelb: nur teilweise oder erst im höheren Tarif. Rot: keine zentrale Verwaltung.

    Andere Tarife: Business: SAML-SSO ja, aber kein SCIM und kein Audit-Log. Free und Plus: weder SSO noch Audit-Log.

  9. Erfüllt 09 Löschung · Erfüllt Gelöschte Inhalte sind 30 Tage wiederherstellbar. Nach Vertragsende werden Kundendaten innerhalb von 90 Tagen (höchstens 180) überschrieben, Backups innerhalb von 180 Tagen gelöscht.

    Prüffrage: Werden Daten nach Vertragsende und auf Anforderung gelöscht, und in welcher Frist?

    Maßstab: Grün: Löschfristen nach Vertragsende und auf Anforderung verbindlich genannt. Gelb: Frist offen. Rot: keine Löschzusage.

    • Fristen nach Vertragsende

      Notion will maintain all terminated customer accounts in an inactive status for up to 30 days and after such period Customer Data is securely overwritten from production within 90 days (up to a max of 180 days). Backup data is deleted within 180 days of account termination.

      Quelle: notion.notion.site (öffnet neues Fenster) abgerufen am

    • Papierkorb 30 Tage

      Delete a page or workspace and you can restore it within 30 days.

      Quelle: notion.com (öffnet neues Fenster) abgerufen am

  10. Erfüllt 10 Betroffenenrechte · Erfüllt Export und Löschung erledigen Sie selbst in den Workspace-Einstellungen. Bei Anfragen, die Sie nicht selbst lösen können, sagt Notion im DPA Unterstützung zu.

    Prüffrage: Unterstützt der Anbieter Auskunft, Berichtigung und Löschung nach Art. 15 bis 17 DSGVO?

    Maßstab: Grün: Unterstützung vertraglich zugesagt und Export oder Löschung möglich. Gelb: nur allgemeiner Kontaktweg. Rot: keine Unterstützung.

    • Unterstützung bei Betroffenenanfragen

      Notion shall, upon Customer’s request, use commercially reasonable efforts to assist Customer in responding to such data subject request.

      Quelle: notion.notion.site (öffnet neues Fenster) abgerufen am

    • Self-Service Export und Löschung

      Through the Workspace settings menu, Notion customers are able to export Customer Data from their Workspaces at the page-level or Workspace-level, or request to delete a Workspace.

      Quelle: notion.notion.site (öffnet neues Fenster) abgerufen am

So setzen Sie Notion sauber ein

Die Schritte in dieser Reihenfolge abarbeiten. Was erledigt ist, können Sie abhaken; das bleibt nur in Ihrem Browser.

Aus dem Subprozessor-Monitor

Unterauftragsverarbeiter von Notion

Notion Labs, Inc. veröffentlicht seine Liste nicht so, dass unser Monitor sie täglich automatisch lesen kann (Anmeldung, Bot-Sperre oder nur im Vertragsanhang). Wir prüfen sie deshalb bei jeder Nachprüfung von Hand.

Erfüllt

Stand 19. Oktober 2026: Die Liste der Unterauftragsverarbeiter ist öffentlich, mit Zweck und Standort. Über neue Einträge informiert Notion nur, wer sich per E-Mail dafür anmeldet, danach gilt ein Widerspruchsrecht von zehn Tagen.

17 Anbieter im Monitor ansehen

Änderungshistorie

Nächste Prüfung spätestens am 17. Januar 2027.

  1. Erstprüfung.

Weiterlesen

Hugo DSB

Jedes Tool im Verzeichnis, jeder AVV an seinem Platz

Mit Hugo DSB dokumentieren Sie Notion und alle anderen Dienstleister im Verzeichnis der Verarbeitungstätigkeiten, mit externem Datenschutzbeauftragten an Ihrer Seite.

Hugo DSB ansehen

Einschätzung der frag.hugo Informationssicherheit GmbH auf Basis öffentlicher Angaben von Notion Labs, Inc., Stand 19. Oktober 2026. Keine Rechtsberatung. Herstellerangaben können sich ändern; maßgeblich sind die verlinkten Originaldokumente. Wie wir prüfen: Methode.

Notion bietet einen Auftragsverarbeitungsvertrag mit Standardvertragsklauseln und ist im Data Privacy Framework gelistet. Nach unserer Einschätzung lässt es sich nur mit Auflagen datenschutzkonform einsetzen, am besten im Enterprise-Tarif mit EU-Datenresidenz. Ob es für Ihre Daten passt, hängt von Ihrer eigenen Prüfung ab.

Standardmäßig in den USA bei Amazon Web Services. Im Enterprise-Tarif lassen sich Seiteninhalte, Dateien und Suchindex in Frankfurt speichern. Kontodaten, Nutzungsdaten und die Verarbeitung durch KI-Anbieter bleiben auch dann teilweise außerhalb der EU.

Normale Kontakt- und Projektdaten ja, wenn der Vertrag mit Notion steht und im Verarbeitungsverzeichnis dokumentiert ist. Gesundheitsdaten, Bank- und Zahlungsdaten, Ausweisnummern oder Daten von Kindern unter 16 Jahren schließt der Vertrag von Notion aus. Solche Daten gehören nicht in Notion.

Nein. Notion und seine KI-Anbieter dürfen Kundendaten vertraglich nicht zum Training nutzen. Im Enterprise-Tarif speichern die meisten Sprachmodell-Anbieter nichts, in Free, Plus und Business bis zu 30 Tage.

Ja, und er ist bereits Teil der Notion-Vertragsbedingungen. Er gilt automatisch mit Vertragsschluss, eine separate Unterschrift ist nicht vorgesehen. Legen Sie die aktuelle Fassung zu Ihren Unterlagen.

Für personenbezogene Daten empfehlen wir Enterprise. Nur dort gibt es EU-Datenresidenz, Audit-Log, SCIM und Zero Retention bei der KI. Business bietet immerhin SAML-SSO, speichert aber ausschließlich in den USA.

Weitere kostenlose Werkzeuge

Alle ohne Anmeldung, alle ohne Kosten.

Alle Werkzeuge

Werkzeuge zeigen Lücken. Schließen muss sie jemand.

Wir übernehmen Datenschutz und Informationssicherheit als externer Dienstleister — TÜV-zertifiziert, mit festem Ansprechpartner, ab 79 € im Monat.

Angebot in 60 Sekunden 15 Minuten sprechen