Notion im Unternehmen und die DSGVO

Mit Vertrag und Regelung einzusetzen. Der Auftragsverarbeitungsvertrag deckt Notion ab. Er deckt nicht ab, was passiert, sobald jemand in einer Personalakte auf „Ask AI“ klickt.

• Anbieter: Notion Labs, Inc. (USA)
• Zweck: Dokumente, Wissensdatenbank, Projektverwaltung
• Verarbeitung in: USA, mit Datenspeicherung in der EU für zahlende Pläne
• Eingaben fürs Training: Notion gibt an, Kundeninhalte nicht zum Training eigener Modelle zu verwenden. Für die zugekauften Modelle hinter Notion AI gilt der jeweilige Anbietervertrag.

Welche Daten dort landen#

• alles, was im Arbeitsbereich abgelegt wird — bei Wissensdatenbanken früher oder später auch Personaldaten
• Kommentare und Bearbeitungsverläufe mit Zeitstempel je Person
• hochgeladene Dateien in voller Länge

Für die Arbeitsorganisation trägt in der Regel das berechtigte Interesse oder die Vertragserfüllung. Sobald Beschäftigtendaten systematisch verarbeitet werden, kommt § 26 BDSG dazu — und damit die Frage, ob eine Betriebsvereinbarung die bessere Grundlage ist.

Der Vertrag mit dem Anbieter#

Notion stellt einen Auftragsverarbeitungsvertrag bereit, der über die Rechtsabteilung oder im Konto abgeschlossen wird. Er gilt für Notion — die KI-Funktionen bringen weitere Unterauftragsverarbeiter mit.

Was der Betriebsrat damit zu tun hat#

Die Bearbeitungsverläufe zeigen, wer wann was geändert hat. Damit ist die Anlage zur Verhaltenskontrolle geeignet, und § 87 Abs. 1 Nr. 6 BetrVG greift — unabhängig davon, ob jemand die Verläufe je ansieht.

Was zu tun ist#

• Den Auftragsverarbeitungsvertrag abschließen und den EU-Speicherort im Konto prüfen, nicht auf der Preisseite.
• Notion AI bewusst freigeben oder sperren, statt es mitlaufen zu lassen — es ist eine eigene Verarbeitung.
• Arbeitsbereiche für Personaldaten trennen und die Rechte darauf einzeln vergeben.
• Im Verzeichnis der Verarbeitungstätigkeiten Notion und Notion AI getrennt führen.

Wenn es auch anders gehen soll#

• Ein selbst betriebenes Wiki
• Confluence mit Datenhaltung in der EU

Der Punkt, der bei Notion übersehen wird#

Notion AI ist kein Schalter am selben Werkzeug, sondern eine zweite Verarbeitungskette über demselben Arbeitsbereich. Ein Unternehmen kann einen gültigen Vertrag für Notion haben und in derselben Sekunde einen ungeprüften Unterauftragsverarbeiter einsetzen, in der jemand auf einer Seite mit Bewerberdaten „Ask AI“ anklickt. Das Werkzeug fragt an dieser Stelle nichts — es antwortet einfach.

Das ist keine Rechtsberatung, sondern eine Einordnung: Wir geben den Stand wieder, soweit er uns bekannt ist. Ob dein Einsatz zulässig ist, hängt vom Einzelfall ab — und bei Beschäftigtendaten zusätzlich von dem, was in deinem Haus vereinbart ist. Wie die Regeln zusammenhängen, steht auf der Übersicht zur Serie.