Notion und DSGVO: Compliance-Leitfaden 2026

In einem Satz. Notion ist datenschutzrechtlich deshalb heikel, weil es alles sein kann — Wiki, Projektverwaltung, Bewerberdatenbank, Kunden-CRM, Vertragsablage — und weil eine einzige Fehleinstellung, die Veröffentlichung einer Seite im Web, aus einer internen Ablage ein indexiertes Dokument macht.

Notion wird selten beschafft, es breitet sich aus. Ein Team beginnt mit einer Notizensammlung, ein zweites baut eine Kundenübersicht, die Personalabteilung legt einen Bewerbertrichter an — und irgendwann verarbeitet ein Werkzeug, für das nie eine Datenschutzbewertung geschrieben wurde, personenbezogene Daten aus vier Bereichen. Das ist der klassische Ausgangspunkt einer Notion-Prüfung, und er bestimmt die Reihenfolge der Aufgaben: erst inventarisieren, was tatsächlich drinsteht, dann Vertrag und Transfer klären, dann konfigurieren. Alle Anbieterangaben in diesem Beitrag haben den Stand Juli 2026 und sind vor Verwendung in Ihrer Dokumentation in Notions aktueller Rechts- und Sicherheitsdokumentation nachzuprüfen.

Wichtige Punkte

• Der AV-Vertrag ist über die Notion-Rechtsdokumentation abrufbar; prüfen Sie, ob er für Ihren Tarif einbezogen ist oder gezeichnet werden muss.
• Die Angebotslage zur Datenresidenz hat sich zuletzt bewegt — belegen Sie den Speicherort für Ihren Tarif schriftlich, statt ihn anzunehmen.
• Die „Im Web veröffentlichen"-Funktion ist das größte praktische Risiko: sie macht Seiten öffentlich und suchmaschinenindexierbar.
• Gastzugänge, geteilte Seiten und Integrationen sind Empfänger und gehören inventarisiert.
• Ohne Tarif mit zentraler Verwaltung fehlen Ihnen die Steuerungsmittel, die eine Bewertung überhaupt tragfähig machen.

1. Welche personenbezogenen Daten Notion verarbeitet

Notion selbst gibt keine Datenkategorien vor — Sie erzeugen sie. In der Praxis finden sich in gewachsenen Arbeitsbereichen: Kundenlisten mit Name, Firma, E-Mail und Gesprächsnotizen; Bewerberdatenbanken mit Lebensläufen und Bewertungen; Projektpläne mit Aufwandserfassung je Person; Besprechungsprotokolle mit namentlichen Zuordnungen; Onboarding-Checklisten mit Beschäftigtendaten; hochgeladene Dateien aller Art. Dazu kommen die vom Dienst selbst erzeugten Daten: Kontodaten der Nutzer, Seitenverlauf mit Autor und Zeitstempel, Kommentare, Zugriffs- und Anmeldeprotokolle.

Die Kombination aus Freitextstruktur und einfacher Dateiablage führt regelmäßig dazu, dass besondere Kategorien nach Art. 9 DSGVO in Notion landen — Krankmeldungen in Abwesenheitstabellen, Angaben zu Behinderungen in Onboarding-Notizen, gesundheitsbezogene Angaben in Kundenprotokollen. Betroffene sind Beschäftigte, Bewerber, Kunden, Interessenten, Dienstleister und über Gastzugänge auch Externe. Der erste Prüfschritt ist deshalb immer eine Bestandsaufnahme: Welche Datenbanken existieren, wer hat sie angelegt, welche Personendaten stehen darin? Ohne diese Liste ist jede weitere Aussage Spekulation.

2. Der AV-Vertrag nach Art. 28 DSGVO

Notion Labs stellt einen Auftragsverarbeitungsvertrag über seine Rechtsdokumentation bereit. Ob er bei Ihnen automatisch als Bestandteil der Nutzungsbedingungen einbezogen ist oder ob er — was bei kostenlosen und einfachen Tarifen vorkommt — gesondert abzuschließen ist, müssen Sie für Ihren konkreten Vertrag prüfen. Diese Frage ist bei Notion praktisch wichtiger als bei den großen Suiten, weil viele Arbeitsbereiche über persönliche Konten oder Kleintarife entstanden sind, hinter denen kein Unternehmensvertrag steht. Ein Arbeitsbereich mit Kundendaten und ohne AV-Vertrag ist ein Verstoß gegen Art. 28 DSGVO — die Grundlagen dazu stehen in unserem Beitrag zur Auftragsverarbeitung nach DSGVO, eine Vergleichsvorlage bietet das AVV-Muster.

Inhaltlich gehen Sie den Vertrag gegen die Pflichtangaben des Art. 28 Abs. 3 durch: Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen, Unterstützung bei Betroffenenrechten und Folgenabschätzungen, Löschung oder Rückgabe nach Vertragsende, Prüfrechte. Achten Sie besonders auf die Regelungen zu Produktverbesserung und zu Assistenzfunktionen: Notion erklärt öffentlich, Kundeninhalte nicht zum Training allgemeiner Modelle zu verwenden. Übernehmen Sie diese Aussage nicht aus zweiter Hand — lesen Sie die geltende Fassung, halten Sie die Formulierung mit Abrufdatum fest, und prüfen Sie sie erneut, wenn neue KI-Funktionen erscheinen.

3. Hosting und Drittlandtransfer (Stand: Juli 2026)

Notion ist ein US-amerikanisches Unternehmen und hat seine Infrastruktur historisch in den Vereinigten Staaten betrieben. Ob und für welche Tarife inzwischen eine europäische Datenresidenz angeboten wird, hat sich zuletzt bewegt; belegen Sie den Speicherort deshalb für Ihren konkreten Vertrag schriftlich beim Anbieter, statt eine Angabe aus einem Blogbeitrag zu übernehmen. Notieren Sie das Datum der Auskunft — das ist der Unterschied zwischen einer belastbaren und einer angreifbaren Transferdokumentation.

Für die Übermittlung in die USA sind vertraglich die Standardvertragsklauseln einbezogen; ob Notion Labs zusätzlich unter dem EU-US Data Privacy Framework zertifiziert ist, prüfen Sie auf der offiziellen DPF-Liste und halten das Prüfdatum fest. In Ihre Akte gehören: Speicherort, Transfergrundlage, Prüfdatum, die getroffenen ergänzenden Maßnahmen und eine Transfer-Folgenabschätzung, die den behördlichen Zugriff bewertet. Die Methodik erklärt der Beitrag zur internationalen Datenübermittlung, die spezifische Konstellation der Beitrag DSGVO und US-Unternehmen. Praktischer Hinweis: Weil die Transferbewertung bei Notion aufwendiger ausfällt als bei einem EU-Anbieter, lohnt die vorgelagerte Frage, ob bestimmte Datenbestände — Bewerber, Beschäftigte, Gesundheitsbezug — überhaupt in Notion gehören oder besser in einem Fachsystem liegen.

4. Subprozessoren und Sicherheitsnachweise

Notion veröffentlicht eine Liste seiner Unterauftragsverarbeiter; sie umfasst typischerweise Infrastruktur-, Analyse-, Support- und Kommunikationsdienstleister. Abonnieren Sie die Änderungsbenachrichtigung und legen Sie fest, wer sie bewertet — bei einem Anbieter mit US-Infrastruktur ändert ein neuer Subunternehmer die Transferbewertung häufiger als bei einem EU-Anbieter.

Zu den Nachweisen: Notion verweist nach eigenen Angaben auf einen SOC-2-Bericht und eine ISO-27001-Zertifizierung und stellt Sicherheitsunterlagen über ein Trust-Portal bereit (Stand Juli 2026). Fordern Sie die aktuellen Dokumente an, prüfen Sie Geltungsbereich und Berichtszeitraum und legen Sie sie zu Ihrer Dienstleisterprüfung — eine Zertifizierung ohne geprüften Geltungsbereich ist kein Nachweis. Die Maßnahmen, die Sie selbst verantworten, bemessen sich an Art. 32 DSGVO: Einmalanmeldung, Zwei-Faktor-Authentifizierung, Berechtigungsstruktur, Geräteverwaltung.

5. Konfigurations-Checkliste

1. Bestandsaufnahme vor allem anderen. Welche Arbeitsbereiche, Datenbanken und Dateien existieren, und welche personenbezogenen Daten stehen darin? Ohne diese Liste bewerten Sie ein Phantom.
2. Persönliche Konten in den Unternehmensbereich überführen. Arbeitsbereiche unter privaten Konten sind vertraglich und technisch außerhalb Ihrer Kontrolle — der klassische Fall von Schatten-IT.
3. „Im Web veröffentlichen" zentral einschränken. Das ist der wichtigste Schalter. Eine versehentlich veröffentlichte Seite ist öffentlich zugänglich und wird indexiert; prüfen Sie zusätzlich, welche Seiten aktuell veröffentlicht sind, und deaktivieren Sie sie.
4. Suchmaschinenindexierung für alle veröffentlichten Seiten prüfen, die aus geschäftlichen Gründen öffentlich bleiben müssen.
5. Gastzugänge inventarisieren und befristen. Externe bleiben sonst dauerhaft in Bereichen, die längst geschlossen sein sollten.
6. Berechtigungen auf Bereichsebene setzen, nicht seitenweise. Vererbte Rechte in tiefen Seitenbäumen sind die häufigste Ursache für ungewollten Zugriff.
7. Integrationen und Verbindungen genehmigungspflichtig machen. Jede Verbindung zu einem Drittdienst ist ein weiterer Empfänger und braucht eine vertragliche Grundlage.
8. Datenexport und Löschung regeln. Der Papierkorb ist keine Löschung; klären Sie Fristen bis zur endgültigen Entfernung und dokumentieren Sie sie — Systematik im Löschkonzept.
9. Aufbewahrungsregeln je Datenbank festlegen. Notion löscht nichts von selbst; für Bewerber- und Kundenbestände brauchen Sie eine turnusmäßige Bereinigung.
10. KI-Funktionen bewusst freischalten und ihre Reichweite prüfen — Systematik im Beitrag Datenschutz bei KI-Tools.
11. Nutzungsregeln schriftlich fassen, welche Daten nicht in Notion gehören: Gesundheitsdaten, vollständige Personalakten, Zahlungsdaten. Eine IT-Nutzungsrichtlinie wirkt hier stärker als jede Einstellung.

6. Was ins Verarbeitungsverzeichnis gehört

Der häufigste Fehler ist ein einziger Eintrag „Notion". Richtig ist, die tatsächlichen Verarbeitungen einzutragen, die dort stattfinden: interne Dokumentation und Wissensmanagement, Projektsteuerung, gegebenenfalls Kundenverwaltung, gegebenenfalls Bewerbermanagement. Je Eintrag: Zweck, Rechtsgrundlage (§ 26 BDSG für Beschäftigtenbezug, Art. 6 Abs. 1 lit. b oder f für Kunden- und Projektbezug), Datenkategorien mit ausdrücklichem Hinweis auf Freitextrisiken, Betroffenenkategorien einschließlich Gästen, Empfänger mit Notion Labs als Auftragsverarbeiter und den relevanten Unterauftragnehmern, Drittlandtransfer mit Grundlage und Prüfdatum, Aufbewahrungsfristen und technische Maßnahmen. Struktur und Vorlage im Beitrag Verzeichnis von Verarbeitungstätigkeiten. Wenn Notion bei Ihnen faktisch als Personalwerkzeug genutzt wird, prüfen Sie ernsthaft die Verlagerung in ein Fachsystem; wie eine solche Bewertung aussieht, zeigt unser Leitfaden zu Personio. Wer viele solcher Werkzeuge führt und AV-Vertrag, Subprozessorliste und Verzeichniseintrag verknüpft halten will, nutzt dafür eine Datenschutzplattform wie Legiscope statt einer Tabellendatei — der Marktüberblick steht im DSGVO-Software-Vergleich.

7. Wann eine DSFA nötig ist

Notion als internes Wiki mit Prozessdokumentation und ohne nennenswerten Personenbezug löst keine Pflicht nach Art. 35 DSGVO aus. Die Schwelle rückt näher, wenn Notion tatsächlich zum Fachsystem wird: als Bewerberdatenbank mit Bewertungen, als Verwaltung von Beschäftigtendaten einschließlich Abwesenheiten, als Kundendatenbank mit umfangreichen Verhaltens- oder Bonitätsangaben, oder wenn regelmäßig besondere Kategorien verarbeitet werden. Kommt der US-Bezug hinzu, verschärft das die Risikobewertung zusätzlich. Führen Sie in diesen Fällen eine Datenschutz-Folgenabschätzung durch und gleichen Sie mit der Muss-Liste Ihrer Aufsichtsbehörde ab. In vielen Fällen ist das Ergebnis einer solchen Prüfung nicht eine zusätzliche Maßnahme, sondern die Entscheidung, den sensibelsten Bestand aus Notion herauszunehmen — das ist ein legitimes und oft das wirtschaftlichere Ergebnis.

FAQ

Ist Notion DSGVO-konform?

Nein — und ja auch nicht bei jedem anderen Werkzeug, denn Konformität ist eine Eigenschaft Ihrer Verarbeitung, nicht des Produkts. Notion stellt AV-Vertrag, Sicherheitsnachweise und Berechtigungsfunktionen bereit. Ob Ihre Nutzung rechtmäßig ist, hängt daran, welche Daten Sie dort ablegen, ob ein AV-Vertrag besteht, ob die Transfergrundlage dokumentiert ist und ob keine Seite versehentlich öffentlich steht.

Brauche ich mit Notion einen AV-Vertrag?

Ja, sobald personenbezogene Daten verarbeitet werden — und das ist praktisch immer der Fall. Prüfen Sie, ob der Vertrag für Ihren Tarif einbezogen ist oder gesondert abzuschließen; bei über persönliche Konten entstandenen Arbeitsbereichen fehlt er regelmäßig.

Wo speichert Notion meine Daten?

Das hängt von Tarif und Vertragsstand ab und hat sich zuletzt verändert. Lassen Sie sich den Speicherort für Ihren Vertrag schriftlich bestätigen und dokumentieren Sie die Auskunft mit Datum. Eine Transferdokumentation, die auf einer ungeprüften Annahme beruht, hält keiner Nachfrage stand.

Wie gefährlich ist die Funktion „Im Web veröffentlichen"?

Sie ist das größte praktische Risiko bei Notion. Eine veröffentlichte Seite ist ohne Anmeldung erreichbar und kann von Suchmaschinen erfasst werden. Schränken Sie die Funktion zentral ein und prüfen Sie regelmäßig, welche Seiten veröffentlicht sind.

Fazit

Notion ist ein Werkzeug ohne vorgegebene Datenstruktur, und genau deshalb ist die Bewertung hier eine Bestandsaufnahme, keine Produktprüfung. Klären Sie zuerst, was tatsächlich drinsteht, überführen Sie private Arbeitsbereiche in den Unternehmensvertrag, schränken Sie die Veröffentlichungsfunktion ein, inventarisieren Sie Gäste und Integrationen und dokumentieren Sie Speicherort und Transfergrundlage mit Datum. Wo sich am Ende zeigt, dass Personal- oder Gesundheitsdaten in Notion liegen, ist die richtige Maßnahme meist nicht eine bessere Einstellung, sondern ein anderes System.