Lovable und DSGVO: Wo Ihre Daten liegen

Wer mit Lovable eine Website oder App für Kunden im deutschsprachigen Raum baut, landet früher oder später bei derselben Frage: Wo liegen eigentlich die Daten? Die ehrliche Antwort hat drei Teile, denn es geht um drei verschiedene Orte: Ihr Konto mit Prompts und Code, das Backend Ihrer App und die veröffentlichte Website, die Ihre Besucher aufrufen.

Dieser Artikel ordnet ein, was Lovable selbst dazu schreibt: in der Datenschutzerklärung, im Auftragsverarbeitungsvertrag und in der Dokumentation. Alle Seiten haben wir am 13. Oktober 2026 abgerufen, die Links stehen unten unter „Quellen“. Danach folgen eine Checkliste und der Weg, auf dem der sichtbare Teil Ihrer Seite in der EU läuft.

Hinweis: Dieser Artikel ist keine Rechtsberatung. Er fasst öffentlich zugängliche Angaben zusammen. Ob und wie die DSGVO auf Ihr Projekt anzuwenden ist, klären Sie im Zweifel mit Ihrer Datenschutzberatung.

Was Lovable selbst über Ihre Daten schreibt

Hauptniederlassung in Stockholm, Verarbeitung auch in den USA

Verantwortlich für die Daten, die Lovables Datenschutzerklärung (Stand 15. September 2026) abdeckt, ist die Lovable Labs Sweden AB in Stockholm. Dort liegt laut Lovable auch die Hauptniederlassung, federführende Aufsichtsbehörde ist die schwedische Datenschutzbehörde IMY. Dieselbe Erklärung hält aber fest, dass Lovable und seine Dienstleister personenbezogene Daten in mehreren Ländern verarbeiten, darunter in den USA. Übermittlungen aus dem EWR stützt Lovable auf die EU-Standardvertragsklauseln, wo nötig ergänzt um eine Bewertung der Übermittlungsrisiken. Die Liste der Unterauftragsverarbeiter mit Standort und Zweck veröffentlicht Lovable in seinem Trust Center.

Prompts, Code und KI-Training

Alles, was Sie in Lovable eingeben oder erzeugen, also Prompts, Code, Projektdateien, gehostete Anwendungen und generierte Ergebnisse, fasst Lovable unter „Customer Content“ zusammen. Laut Datenschutzerklärung nutzt Lovable diese Inhalte und Nutzungsdaten, die personenbezogene Daten enthalten können, um seine KI-Modelle zu trainieren und zu verbessern. Ausgenommen sind Inhalte von Business- und Enterprise-Kunden. Abschalten lässt sich das Training in den Kontoeinstellungen, in jedem Plan und kostenlos. Der Opt-out wirkt nur für die Zukunft: Was vorher in Trainingsdaten eingeflossen ist, bleibt dort.

Die Daten der Menschen, die Ihre App benutzen, behandelt Lovable getrennt. Sie liegen laut Datenschutzerklärung in der Datenbank und im Speicher Ihres Projekts und werden nicht zum Training verwendet.

KI-Anfragen: Verarbeitung in der EU nur mit Enterprise

Beim Bauen gehen Ihre Prompts an KI-Modelle. Eine Verarbeitung dieser Anfragen auf Endpunkten in der EU bietet Lovable als Einstellung „EU inference“ an, und zwar für Enterprise-Arbeitsbereiche. Ohne sie laufen Anfragen laut Dokumentation über Lovables Standard-Endpunkte, die außerhalb der EU liegen können. Auch mit EU inference verarbeiten drei Agenten-Werkzeuge ihre Daten in den USA: die Websuche, der Abruf von Webseiten und die Browser-Automatisierung.

Das Backend: Lovable Cloud und die Region

Lovable Cloud ist das eingebaute Backend mit Datenbank, Anmeldung, Dateispeicher und Funktionen; technisch baut es auf Supabase auf. Beim Aktivieren wählen Sie eine von drei Regionen: Amerika, Europa oder Asien-Pazifik. Ohne Vorgabe schlägt Lovable die Region vor, die Ihrem Standort am nächsten liegt, und Sie können sie vor dem Bestätigen ändern. Danach steht sie fest: Ein bestehendes Projekt lässt sich nicht in eine andere Region verschieben. In Business- und Enterprise-Arbeitsbereichen können Admins eine Standardregion für alle neuen Projekte vorschreiben. Länderregionen wie Deutschland gibt es für Enterprise auf Anfrage.

Welche Region ein Projekt hat, zeigt Lovable unter More > Cloud > Overview > Advanced settings in der Zeile Database location. Wichtig ist die Abgrenzung: Die Region bestimmt laut Lovable, wo die Projektdaten gespeichert werden, nicht, wo KI-Anfragen verarbeitet werden.

Die veröffentlichte Website: weltweit ausgeliefert

Dieser Punkt geht leicht unter. Laut Lovables Hosting-Dokumentation werden veröffentlichte Apps von Standorten auf der ganzen Welt ausgeliefert, jeweils nahe bei den Besuchern. Die Region-Einstellung ändert daran nichts, denn das Frontend wird laut Lovable immer global ausgeliefert. Für kurze Ladezeiten ist das gut. Wer dagegen selbst festlegen möchte, wo die Anfragen seiner Besucher verarbeitet werden, muss den sichtbaren Teil anderswo hosten.

Die Veröffentlichung unter einer Adresse auf lovable.app ist in allen Lovable-Plänen kostenlos, eine eigene Domain gibt es nur in bezahlten Plänen.

Der Auftragsverarbeitungsvertrag

Lovable hat ein Data Processing Agreement (DPA, Stand 6. November 2025). Auf der DPA-Seite steht dazu: „If you're on a Business or Enterprise plan, your usage includes our Data Processing Agreement (DPA).“ Als Vertragspartner und Auftragsverarbeiter nennt das DPA die Lovable Labs Incorporated mit Sitz in Boston, USA. Übermittlungen außerhalb des EWR laufen über die EU-Standardvertragsklauseln, und zu den betroffenen Personen zählt das DPA ausdrücklich die Endnutzer veröffentlichter Lovable-Apps. Für die Pläne Free und Pro erwähnt die DPA-Seite keinen eigenen Weg. Arbeiten Sie mit personenbezogenen Daten Ihrer Kunden, fragen Sie vor dem Start bei Lovable nach (privacy@lovable.dev).

Fairerweise sei gesagt: Lovable bietet durchaus Stellschrauben, etwa die Region Europa für das Backend und in jedem Plan ein Opt-out vom Training. Eine vorgeschriebene Standardregion für neue Projekte und das DPA setzen dagegen Business oder Enterprise voraus, EU inference sogar Enterprise. Nach eigener Angabe läuft Lovables Hosting zudem auf einer nach SOC 2 Type 2 und ISO 27001 zertifizierten Infrastruktur.

Checkliste: Ihr Lovable-Projekt und die DSGVO

1. Auftragsverarbeitungsvertrag (AVV). Art. 28 Abs. 3 DSGVO verlangt für die Verarbeitung durch einen Auftragsverarbeiter einen Vertrag oder ein anderes Rechtsinstrument. Prüfen Sie für jeden Dienst, der personenbezogene Daten in Ihrem Auftrag verarbeitet, etwa für Backend, Hosting, Formulare, Statistik oder E-Mail, ob ein solcher Vertrag besteht. Lovables DPA gilt laut Lovable für Business und Enterprise, der AVV von VibeDeploy für jeden bezahlten Plan.
2. Backend-Region. Stellen Sie Lovable Cloud vor dem Aktivieren auf Europa. Nachträglich geht das nicht mehr.
3. KI-Training. Enthalten Ihre Prompts Kundendaten, schalten Sie das Training in den Lovable-Kontoeinstellungen ab.
4. Impressum. § 5 DDG verlangt für geschäftsmäßige, in der Regel gegen Entgelt angebotene digitale Dienste bestimmte Anbieterangaben, etwa Name, Anschrift und E-Mail-Adresse. Prüfen Sie, ob das für Ihre Seite gilt, und machen Sie die Angaben leicht auffindbar.
5. Datenschutzerklärung. Nennen Sie Hosting, Backend samt Region, Formulare, Statistik und alle eingebundenen Dienste. Lovable schreibt selbst, dass Sie für den Datenschutzhinweis Ihrer App und für nötige Einwilligungen verantwortlich sind.
6. Formulare. Klären Sie, wohin Einsendungen gehen: in Lovable Cloud (dann gilt die gewählte Region), an einen externen Formulardienst (Sitz und AVV prüfen) oder per E-Mail über das Formular-Relay von VibeDeploy.
7. Statistik. Lovable kann veröffentlichte Apps mit einer eigenen Messung ausstatten, wenn Sie das aktivieren. VibeDeploy baut in jede Seite, die es als statische Dateien ausliefert, eine eigene Besucherstatistik ein. Sie kommt ohne Cookies aus und speichert ihre Daten in unserer Datenbank in Belgien, verarbeitet aber IP-Adresse und Browserdaten der Besucher. Beides gehört in die Datenschutzerklärung.
8. Fremde Server im Code. Lädt die Seite Schriften, Skripte oder Bilder von fremden Servern, zum Beispiel von Google Fonts, erhält der jeweilige Anbieter beim Seitenaufruf die IP-Adresse des Besuchers. Selbst gehostete Dateien vermeiden das.

Den sichtbaren Teil in der EU betreiben

Lovable schreibt selbst, dass Ihnen Code und Daten gehören und dass Sie Teile oder die ganze App außerhalb von Lovable hosten können. Für Anforderungen an den Datenstandort beschreibt die Dokumentation einen hybriden Aufbau: Sie bauen weiter in Lovable, der Code synchronisiert sich mit einem Git-Repository, und ein anderer Host veröffentlicht die Website aus diesem Repository. So sieht das mit VibeDeploy aus.

Schritt 1: Prüfen, welche Art Projekt Sie haben

Seit dem 13. Mai 2026 legt Lovable neue Apps mit TanStack Start an. Diese Apps führen Server-Code aus, etwa für Server-Side Rendering, Serverfunktionen und API-Routen, und brauchen einen Host, der diesen Teil ausführt. Ältere Apps nutzen React und Vite und werden zu statischen Dateien im Ordner dist/ gebaut. Ein Blick in die package.json genügt: Steht dort @tanstack/react-start, ist es ein TanStack-Start-Projekt. Sie können auch im Projekt-Chat fragen, welchen Stack das Projekt verwendet.

Schritt 2: Den Code mit GitHub synchronisieren

Öffnen Sie in Lovable Project settings > Git > GitHub und verbinden Sie das Projekt mit Ihrem GitHub-Konto. Lovable legt ein neues, standardmäßig privates Repository an und synchronisiert in beide Richtungen. Git-Sync gibt es in allen Lovable-Plänen, den Code als ZIP-Datei herunterladen können Sie dagegen nur in bezahlten Plänen. Im Repository liegt Ihr Code, nicht die Datensätze Ihrer Datenbank.

Schritt 3a: React und Vite, bei jedem Push neu gebaut

Legen Sie im VibeDeploy-Dashboard eine neue Website an, wählen Sie From GitHub und verbinden Sie das Repository. VibeDeploy führt bei jedem Push npm run build aus und veröffentlicht dist/ auf unseren Servern in Belgien. Den Rückfall auf index.html für clientseitige Routen, den Lovable für solche Apps voraussetzt, erledigt VibeDeploy automatisch, solange das Projekt keine eigene 404.html mitbringt.

Nutzt das Projekt Lovable Cloud, stehen die öffentlichen Verbindungswerte wie VITE_SUPABASE_URL und VITE_SUPABASE_PUBLISHABLE_KEY laut Lovable in der Datei .env des Repositorys. Der Build bei VibeDeploy sieht nur, was im Repository liegt. Fehlt die Datei dort, bauen Sie lokal mit npm install und npm run build und laden den Ordner dist/ über Upload Files hoch.

Das Backend bleibt dabei, wo es ist: Ihre Seite in Belgien spricht weiter mit Lovable Cloud in der gewählten Region. Hat die App eine Anmeldung, tragen Sie die neue Domain bei den erlaubten Weiterleitungsadressen ein. Weiterbauen können Sie wie gewohnt in Lovable, denn jede Änderung landet über den Git-Sync im Repository und wird automatisch neu veröffentlicht.

Schritt 3b: TanStack Start, mit dem Server als Container

Für TanStack-Start-Projekte reicht statisches Hosting nicht, auch bei uns nicht. Auf VibeDeploy läuft der Server deshalb als Container neben Ihrer Website. Den richtet Ihre KI über das MCP-Werkzeug deploy_app ein: Klonen Sie das Repository, öffnen Sie es in einem Coding-Agenten wie Claude Code oder Cursor, verbinden Sie VibeDeploy als MCP-Server und bitten Sie den Agenten, das Projekt als Container-App zu veröffentlichen. Lovables Anleitung für eigene Server beschreibt den passenden Build: NITRO_PRESET=node-server npm run build, danach startet node .output/server/index.mjs den Server auf Port 3000.

Anders als beim statischen Weg gibt es hier keinen automatischen Build bei jedem Push: Neue Versionen spielt Ihre KI über MCP ein. Container laufen isoliert in einer gVisor-Sandbox, mit bis zu 6 Diensten und zusammen 2 CPU und 2 GiB Arbeitsspeicher pro Website. Geheime Werte wie API-Schlüssel tragen Sie im Dashboard im Tab Settings der Website unter Secrets ein, nie im Chat. Daten in Containern sind noch nicht in Snapshots enthalten.

Schritt 4: Eigene Domain verbinden

Fügen Sie Ihre Domain im Dashboard hinzu und setzen Sie die angezeigten DNS-Einträge bei Ihrem Registrar: einen TXT-Eintrag als Nachweis, dass Ihnen die Domain gehört, dazu einen CNAME auf proxy.vibedeploy.be für www oder eine Subdomain beziehungsweise einen A-Eintrag für die Hauptdomain. Das SSL-Zertifikat von Let's Encrypt wird automatisch ausgestellt. Eine eigene Domain können Sie schon im 14-tägigen Test verbinden.

Soll die Seite danach nur noch aus Belgien kommen, nehmen Sie die Kopie auf lovable.app offline. Laut Lovable geht das im Publish-Dialog über das Menü ⋮ und Unpublish oder unter Project settings > Unpublish project; veröffentlichen können Sie später jederzeit wieder.

Was VibeDeploy beiträgt und wo die Grenzen liegen

• Vertragspartner in Belgien. Betreiber ist die Tnet Comm.V mit Sitz in Diest, Belgien. Für die Inhalte Ihrer Website sind wir Auftragsverarbeiter. Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist in jedem bezahlten Plan enthalten: Er ist Teil der Nutzungsbedingungen, eine gegengezeichnete Fassung erhalten Sie auf Anfrage an privacy@vibedeploy.be.
• Hosting in Belgien. Ihre Website läuft auf unserem eigenen Kubernetes-Cluster in Belgien, TLS kommt von Let's Encrypt. Es gibt eine einzige Region und kein weltweites Edge-Netz.
• Öffentliche Liste der Unterauftragsverarbeiter. Alle acht Unterauftragsverarbeiter stehen öffentlich auf unserer Website, darunter auch US-Unternehmen, etwa für DNS-Abfragen bei der Domain-Prüfung. Die Inhalte Ihrer Website laufen über keinen US-Auftragsverarbeiter, solange Sie die optionalen KI-Funktionen von VibeDeploy zum Erstellen von Websites nicht nutzen.
• Formular-Relay. Ein normales HTML-Formular schickt jede Einsendung per E-Mail an Sie, über unseren eigenen Mailserver in Belgien und ohne separaten Formulardienst. Ihre KI schaltet das Relay mit dem MCP-Werkzeug set_forms_config ein.
• Versionen mit Rückweg. Jede Veröffentlichung bleibt als Version erhalten, vor jedem Deploy entsteht ein Wiederherstellungspunkt, und eine frühere Version stellen Sie im Dashboard mit einem Klick wieder her: 3 Tage lang im Test sowie bei Solo und Maker, 7 Tage bei Studio, 30 Tage bei Business.
• Sprache. Das Dashboard gibt es auf Englisch, Niederländisch und Französisch, nicht auf Deutsch.

Zu den Kosten: Der Test läuft 14 Tage und braucht keine Karte. Danach kostet Solo 4 € im Monat für eine Website mit eigener Domain, Maker 15 € im Monat für drei Websites, auf Wunsch auch passwortgeschützt oder privat. Die Preise enthalten die Mehrwertsteuer, wo sie anfällt: Privatkunden in Deutschland oder Österreich zahlen denselben Preis, abgerechnet mit dem Steuersatz ihres Landes, und Unternehmen mit gültiger Umsatzsteuer-Identifikationsnummer von dort erhalten eine Rechnung im Reverse-Charge-Verfahren. Endet der Test ohne Plan, geht die Seite offline, Konto und Dateien bleiben aber 30 Tage erhalten. Alle Details stehen auf der Preisseite.

Kurz zusammengefasst

Lovable hat seine Hauptniederlassung in Stockholm, verarbeitet Daten aber auch in den USA. Das Backend können Sie in der Region Europa anlegen, für KI-Anfragen in der EU brauchen Sie Enterprise, und die veröffentlichte Website liefert Lovable weltweit aus. Wer den sichtbaren Teil in der EU betreiben will, synchronisiert den Code mit GitHub und hostet ihn selbst, zum Beispiel bei uns in Belgien. Denselben Weg für Bolt beschreibt Bolt.new-Projekt exportieren und in der EU hosten.

Weiterlesen auf Englisch: Lovable-Seite mit eigener Domain, DSGVO beim Hosting KI-gebauter Websites und die Tool-Seite VibeDeploy für Lovable.

Quellen

Alle Seiten abgerufen am 13. Oktober 2026.

• Lovable, Privacy Policy (Stand 15. September 2026): Verantwortlicher und Hauptniederlassung, Aufsichtsbehörde IMY, Verarbeitung auch in den USA, Standardvertragsklauseln, KI-Training und Opt-out, Statistik in veröffentlichten Apps, Verantwortung für Datenschutzhinweis und Einwilligungen, Trust Center.
• Lovable, Data Processing Agreement (Stand 6. November 2025): Geltung für Business- und Enterprise-Pläne, Lovable Labs Incorporated als Auftragsverarbeiter, Standardvertragsklauseln, Endnutzer veröffentlichter Apps.
• Lovable Docs, Lovable Cloud: Regionen, Vorauswahl, feste Region, Standardregion für Business und Enterprise, Länderregionen für Enterprise.
• Lovable Docs, EU inference: Einstellung für Enterprise, Standard-Endpunkte außerhalb der EU, Werkzeuge mit Verarbeitung in den USA.
• Lovable Docs, How Lovable hosts your app: globale Auslieferung, Region nur für das Backend, lovable.app in allen Plänen, eigene Domains in bezahlten Plänen, Seite offline nehmen.
• Lovable Docs, Deployment, hosting, and ownership options: Eigentum an Code und Daten, TanStack Start seit dem 13. Mai 2026, hybrider Aufbau, Hosting-Infrastruktur nach SOC 2 Type 2 und ISO 27001 zertifiziert.
• Lovable Docs, Deploying and hosting outside Lovable: Stack prüfen, Git-Sync und ZIP-Download, Rückfall auf index.html, Werte aus der .env-Datei, Build für eigene Server, Weiterleitungsadressen.
• Lovable Docs, Sync your Lovable project with GitHub: privates Repository, Synchronisierung in beide Richtungen, verfügbar in allen Plänen.
• Art. 28 DSGVO (Auftragsverarbeiter) und § 5 DDG (Allgemeine Informationspflichten).