Datenschutz-Audit für KI-Apps: Chatbots, Assistenten und AI Companions

Menschen erzählen KI-Apps Dinge, die sie sonst niemandem erzählen. Ein Datenschutz-Audit für KI-Apps prüft, was die ausgelieferte App damit tut: welche SDKs vor der Einwilligung starten, wo Gespräche gespeichert werden, ob sich die Verbindung, die sie trägt, überprüfen lässt, und welche Berechtigungen über den Chat hinausreichen. The Squad hat sechs verbreitete KI-Assistenten- und Companion-Apps untersucht, und jeder Bericht ist öffentlich.

Was eine Untersuchung einer AI-Companion-App prüft

Gespräche mit einem KI-Companion oder Assistenten enthalten oft Gesundheits-, Beziehungs- und andere besondere Daten nach Art. 9 DSGVO. Die Untersuchung verfolgt diese Daten ab der ersten Sekunde nach dem Start: die SDKs im Build, die Endpunkte, die die App kontaktiert, das Land, in dem sie auflösen, und den Einwilligungsablauf davor.

Tracking- und Werbe-SDKs, die vor der Einwilligung oder vor einer Altersabfrage starten
Session Replay oder Analyse auf Gesprächsbildschirmen
Speicherung und Übermittlung von Chats in Drittländer (Art. 44 bis 46 DSGVO)
Transportsicherheit des Gesprächsverkehrs, einschließlich Certificate Pinning
Biometrische Identitätsprüfungen und ihre Rechtsgrundlage nach Art. 9
Assistenten-Berechtigungen für SMS, Kontakte, Kalender oder Benachrichtigungen

Minderjährige und Altersabfragen

Mehrere AI-Companion-Apps werden von Jugendlichen genutzt. Das Audit prüft, ob die Altersabfrage im Code tatsächlich zuerst kommt oder ob Werbe-IDs gelesen werden, bevor die App nach dem Alter fragt. Hier gelten Art. 8 DSGVO und, für US-Publikum, COPPA.

Wer die Arbeit macht

The Squad ist human-powered multi-agent security investigation. Im Haus gebaute und trainierte Agenten dekompilieren den Build und testen Code, Abhängigkeiten, Endpunkte und Konfiguration parallel. Menschliche Fachleute prüfen jedes Ergebnis im Zusammenhang und verifizieren jeden Befund erneut, bevor er in den Bericht kommt. Die Prüfungen laufen auf Infrastruktur in Europa, mit Verarbeitung in Graz.

KI-Apps im öffentlichen Verzeichnis

Das öffentliche Verzeichnis listet 387+ geprüfte Apps und 262+ kritische Befunde. Diese Berichte betreffen KI-Assistenten und Companions:

Character.AI: Ein Werbe- und Analyse-Stack mit 12 Netzwerken startet vor der Altersabfrage, die Werbe-ID wird also gelesen, bevor Minderjährige nach ihrem Alter gefragt werden.
DeepSeek: Die eigene Datenschutzerklärung sagt, dass Chats in der Volksrepublik China gespeichert werden, und SDKs starten hinter einem einzigen „Zustimmen“-Knopf.
ChatGPT: Firebase initialisiert vor der Einwilligung, und eine biometrische Identitätsprüfung läuft ohne offengelegte Grundlage nach Art. 9.
Grok: Gesprächsdaten laufen ohne Network Security Configuration, die verschlüsselte Verbindung lässt sich also nicht überprüfen.
Perplexity: Die eigenen Texte der App sagen, dass jede Person mit dem Telefon in der Hand den Assistenten ohne Entsperren nutzen kann.
Gemini: Der sauberste KI-Assistent der Serie: null Tracking-SDKs von Drittanbietern, aber kein Certificate Pinning für den Gesprächsverkehr.

Das vollständige Verzeichnis ansehen →

Starten Sie mit dem kostenlosen Check

Der kostenlose Check untersucht eine Domain von außen: ausschließlich lesend, von einer europäischen IP-Adresse aus, ohne Login und ohne Payloads. Ein Researcher sieht Ihre Anfrage durch und meldet sich innerhalb eines Werktags. Der Check ist eine erste externe Einschätzung und ergänzt ein vollständiges Datenschutz-Audit für KI-Apps, ohne es zu ersetzen.

Die Pläne für eine vollständige Prüfung stehen auf der Seite Zugang.

Pläne und Preise ansehen → · The Squad kennenlernen → · Standards und Rahmenwerke →

Domain-Live-Test

Kostenloser Check

Der erste Check erfolgt ausschließlich lesend, von einer europäischen IP-Adresse aus, ohne Login und ohne Payloads. Ihre Systeme bleiben dabei unverändert.

Bevor die Prüfung beginnt, sieht ein Researcher Ihre Anfrage durch und meldet sich innerhalb eines Werktags. Sie erhalten einen kurzen schriftlichen Report mit unseren Funden, möglichen Angriffsszenarien, dem wirtschaftlichen Schaden und klaren nächsten Schritten, dazu einen Knowledge Graph zu allen Funden. Alles kostenlos.

Fragen zum Datenschutz-Audit für KI-Apps

Brauchen Sie Zugang zu unserem Modell oder den Trainingsdaten?

Das Audit arbeitet mit der ausgelieferten App und ihrem Netzwerkverkehr. Ein gebautes Paket genügt.

Deckt das Audit AI-Companion-Apps genauso ab wie Assistenten?

Ja. Companion-, Assistenten- und Chatbot-Apps teilen dieselben Risiken: vertrauliche Gespräche, SDKs von Drittanbietern und Übermittlungen. Das Verzeichnis enthält beide Arten.

Welche KI-Apps haben Sie schon untersucht?

Character.AI, DeepSeek, ChatGPT, Grok, Perplexity und Gemini. Jeder Bericht ist im Verzeichnis öffentlich, mit Belegen und den zitierten Artikeln.

Ist der Bericht eine Rechtsberatung?

Der Bericht dokumentiert technische Tatsachen und ordnet sie Artikeln zu. Die rechtliche Bewertung bleibt bei Ihrer oder Ihrem Datenschutzbeauftragten oder bei Ihrer Rechtsvertretung.