Lovable: SOC 2 und ISO 27001 gelten nicht automatisch für Ihre App

Was die Zertifizierungen von Lovable abdecken

Laut Lovable taucht immer wieder die Frage auf: „Wenn Lovable SOC-2-konform ist, gilt das dann auch für meine App?“ Die Antwort lautet Nein. Nutzer erhielten „nicht automatisch die Zertifizierungen dieser Plattform“, so das Unternehmen, und das gelte für jedes KI-Tool zur Softwareerstellung.

Lovable dokumentiert öffentlich SOC 2 Type II, die Zertifizierung nach ISO 27001:2022, DSGVO-Unterstützung und die AIUC-1-Zertifizierung. Das Unternehmen erläutert jeden Punkt aus Sicht der Entwickler:

• SOC 2 Type II: Ein unabhängiger Prüfer untersucht Sicherheitskontrollen in definierten Systemen über einen festgelegten Zeitraum. Entwickler können den Bericht von Lovable nutzen, um den Anbieter zu bewerten, er ist aber keine Prüfung ihres Unternehmens oder ihrer App.
• ISO 27001:2022: Zertifizierung eines Informationssicherheits-Managementsystems. Sie zeigt, wie Lovable Informationssicherheit steuert. Die Organisation eines Kunden wird durch die Nutzung von Lovable nicht ISO-zertifiziert.
• DSGVO-Unterstützung: Lovable stellt Zusagen zur Datenverarbeitung und Dokumentation bereit, die Kunden bei ihren Pflichten unterstützen. Entwickler müssen dennoch prüfen, wie ihr Projekt personenbezogene Daten erhebt, nutzt, weitergibt und speichert.
• AIUC-1: ein Standard für Risiken im Zusammenhang mit KI-Agenten. Die Enterprise-Übersicht von Lovable beschreibt unabhängige Audits und vierteljährliche Tests durch Dritte. Er zertifiziert nicht jede App und jeden KI-Workflow, die ein Kunde baut.

Aktuelle Informationen zu Audits und Zertifizierungen verweist Lovable auf sein Trust Center.

Warum Entwickler selbst prüfen müssen

Lovable weist darauf hin, dass SOC-2-Berichte sowie ISO-27001- und AIUC-1-Zertifizierungen aus unabhängigen Prüfungen durch Dritte mit klar definiertem Umfang stammen. Der Prüfer begutachtet Systeme, Kontrollen und Praktiken der Organisation. Die Prüfung von Lovable betrifft also Lovable und erstreckt sich nicht auf ein Unternehmen, nur weil es mit der Plattform baut.

Ein Unternehmen, das einen eigenen SOC-2-Bericht oder eine eigene ISO-27001-Zertifizierung möchte, muss die entsprechenden Kontrollen und Prozesse einführen, Nachweise sammeln und eine eigene unabhängige Prüfung durchlaufen. Verlangt ein Kunde einen SOC-2-Bericht für den Dienst eines Entwicklers, ist dafür eine separate Prüfung durch eine unabhängige Wirtschaftsprüfungsgesellschaft (CPA-Firma) nötig. Der Bericht von Lovable kann dabei in die Anbieterbewertung einfließen.

Lovable arbeitet nach eigenen Angaben mit Partnern für Compliance-Automatisierung an Werkzeugen, die Entwicklern die Zertifizierung erleichtern sollen. Weitere Details sollen folgen. Zudem bietet das Unternehmen projektbezogene Trust Center an, die beobachtete Kontrollen anzeigen. Lovable betont allerdings, dass die Seite selbst weder eine Zertifizierung noch eine Garantie für Compliance ist.

DSGVO: ein Gesetz, kein Zertifikat

Die DSGVO beschreibt Lovable anders als die auditbasierten Standards. Sie ist ein Gesetz zum Schutz der Privatsphäre, und wo sie gilt, müssen Entwickler die erforderlichen Schutzmaßnahmen in ihre App und deren Betrieb einbauen. Dazu gehören, nur notwendige Daten zu erheben, den Zugriff zu beschränken, Aufbewahrungsfristen festzulegen und Anfragen auf Auskunft, Berichtigung oder Löschung personenbezogener Daten zu unterstützen. Erforderlich sind außerdem eine Rechtsgrundlage für die Verarbeitung und korrekte Informationen für die Nutzer.

Zum Anwendungsbereich sagt das Unternehmen, die DSGVO gelte danach, wo sich Menschen aufhalten, nicht danach, woher sie stammen. Sie erfasse Personen in der EU unabhängig von der Staatsangehörigkeit und folge nicht im Ausland lebenden EU-Bürgern. Wer an Menschen in der EU verkauft, muss sie einhalten. Das Vereinigte Königreich hat ein eigenes DSGVO-Regime.

Lovable nennt sechs Fragen für Entwickler:

• Welche personenbezogenen Daten erheben Sie, und warum?
• Wer entscheidet, wie diese Daten genutzt werden? Entwickler sind in der Regel Verantwortliche, Lovable ist ihr Auftragsverarbeiter für personenbezogene Daten innerhalb der App.
• Wohin fließen die Daten? Lovable warnt, dass die Wahl einer EU-Datenbankregion allein nicht belegt, dass jeder angebundene Dienst Daten ausschließlich in der EU verarbeitet.
• Beschreibt Ihre Datenschutzerklärung die App korrekt? Eine generierte Erklärung muss mit dem tatsächlichen Aufbau abgeglichen werden.
• Können Sie eine Datenschutzanfrage bearbeiten, etwa eine Löschung in der Datenbank und in angebundenen Diensten?
• Haben Sie getestet, wer auf die Daten zugreifen kann, mit separaten Konten und unterschiedlichen Rollen?

Projekte mit sensiblen Daten, mit Kindern oder mit risikoreicherer Verarbeitung erfordern laut Lovable eine weitergehende Prüfung.

Den Lovable-Chat zur Vorbereitung nutzen

Lovable arbeitet nach eigenen Angaben an Integrationen mit Drittsystemen und an von Lovable entwickelten Skills, um mehr dieser Arbeit im Entwicklungsablauf zu erledigen. Entscheidungen über Unternehmen, Nutzer und Daten müssen Entwickler aber weiterhin selbst treffen.

Vorerst empfiehlt das Unternehmen, den Chat zu nutzen, der ein Projekt liest, ohne Code zu ändern. Entwickler können sich damit eine Datenlandkarte erstellen lassen: welche Tabellen personenbezogene oder sensible Daten enthalten, welche Drittdienste sie erhalten und wie Authentifizierung und Zugriffsregeln eingerichtet sind. Außerdem kann er Ergebnisse mit den SOC-2-Trust-Services-Kriterien abgleichen: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz.

Lovable bietet Beispiel-Prompts an, etwa die Frage, welche SOC-2-Kontrollen für eine App gelten und welche Lovable beziehungsweise der Entwickler abdeckt. Das Unternehmen mahnt, die Antworten seien nur ein Ausgangspunkt, und SOC 2 sei eine Prüfung der Kontrollen und Prozesse einer Organisation.

Für Entwickler lautet die praktische Botschaft: Die Zertifizierungen einer Plattform sind ein Nachweis über den Anbieter, kein Ersatz für die eigene Compliance-Arbeit.