App mit KI selbst bauen: die DSGVO-Falle bei Lovable & Co.

Sie tippen einen Satz ein — “Bau mir eine App, in der mein Team Aufträge erfasst, Fotos anhängt und den Status sieht” — und ein paar Minuten später steht da tatsächlich etwas. Bunt, klickbar, mit Login-Maske und Datenbank. Was vor drei Jahren ein Entwicklerteam und mehrere Wochen gebraucht hätte, erledigt heute ein Werkzeug wie Lovable oder Base44 vor Ihren Augen.

Das ist keine Übertreibung, und es ist auch kein Grund zur Skepsis. Es ist beeindruckend, und es verändert wirklich etwas. Wer eine Idee hat, kann sie heute an einem Nachmittag anfassbar machen, ohne eine Zeile Code zu schreiben. Genau deshalb schreibe ich diesen Beitrag nicht, um Ihnen diese Werkzeuge auszureden — sondern um die eine Frage zu beantworten, die in keiner Demo vorkommt: Was passiert, wenn aus dem Nachmittags-Projekt echte Software wird, die Ihr Betrieb jeden Tag benutzt? Eines vorweg: Das hier ist eine Einordnung aus Entwicklersicht, keine Rechtsberatung.

Was diese Werkzeuge wirklich gut können

Fangen wir mit dem an, was stimmt — denn es ist viel. Werkzeuge wie Lovable, Base44, Bolt, v0 oder Replit haben eine Hürde eingerissen, die jahrzehntelang stand: Man musste programmieren können, um Software zu bauen. Das gilt nicht mehr, und das ist eine gute Nachricht.

Für drei Dinge sind diese Werkzeuge hervorragend geeignet:

• Ideen sichtbar machen. Sie wollen wissen, ob ein Ablauf überhaupt Sinn ergibt, bevor Sie Geld ausgeben? In einer Stunde steht ein Klickmodell, das Sie herumzeigen können. Das ersetzt zehn Meetings, in denen alle etwas anderes im Kopf haben.
• Erste Versionen für den internen Gebrauch. Ein kleines Tool, das nur Sie oder zwei Kolleginnen benutzen, das keine sensiblen Kundendaten anfasst und das im Zweifel morgen wieder weg sein kann — dafür sind sie ideal. Eine Checkliste, ein interner Rechner, ein Formular für das nächste Event.
• Lernen und Ausprobieren. Wer verstehen will, wie Software eigentlich funktioniert, lernt an einem selbstgebauten Prototyp mehr als in jedem Tutorial.

Der gemeinsame Nenner: Es geht um Prototypen, um interne Helfer, um Wegwerfbares. Solange das Ergebnis nur in Ihren Händen bleibt, ist der KI-Baukasten ein Geschenk. Der Ärger beginnt an einer Stelle, die die Werkzeuge selbst nicht markieren — weil ein Knopf sie mühelos überschreitet.

Die unsichtbare Linie: vom Projekt zum Datenverarbeitungssystem

Es gibt in jedem dieser Werkzeuge einen Moment, in dem Sie einen Knopf drücken — “Veröffentlichen”, “Publish”, “Deploy” — und Ihre App ist plötzlich für jeden erreichbar, der die Adresse kennt. Dieser eine Klick ist die unsichtbare Linie. Vorher hatten Sie ein Bastelprojekt. Nachher betreiben Sie ein System, das im Internet steht.

Und meistens überschreiten Sie die Linie noch ein zweites Mal, ohne es zu merken — nämlich sobald drei Dinge zusammenkommen:

1. Mehr als eine Person nutzt die App. Ihr Team, Ihre Monteure, vielleicht Ihre Kunden. Jetzt gibt es Anmeldungen, Rollen, Rechte — und die Frage, wer was sehen darf.
2. Es werden echte Daten gespeichert. Kundennamen, Adressen, Telefonnummern, Fotos von Baustellen, Auftragswerte. Sobald ein einziger echter Kundenname drinsteht, verarbeiten Sie personenbezogene Daten.
3. Die App läuft dauerhaft auf einem Server. Sie ist nicht mehr ein Fenster auf Ihrem Bildschirm, sondern ein Dienst, der rund um die Uhr online erreichbar ist — auch nachts, auch wenn Sie schlafen, auch wenn jemand Böses vorbeikommt.

Ab diesem Punkt ist Ihre “App aus dem Baukasten” in den Augen des Gesetzes dasselbe wie die Software eines großen Anbieters: ein System, das personenbezogene Daten verarbeitet. Nur mit einem Unterschied — beim großen Anbieter steht ein Team dahinter, das sich um alles kümmert, was jetzt kommt. Bei Ihnen stehen Sie da. Und die Demo, die Ihnen die App gebaut hat, hat über diesen Teil kein Wort verloren.

Was die Demo verschweigt

Die Faustregel unter Entwicklern lautet: Die ersten 80 Prozent einer App sind in 20 Prozent der Zeit gebaut — und die letzten 20 Prozent kosten die restlichen 80 Prozent. Die KI-Baukästen sind Weltmeister in den ersten 80 Prozent. Der Rest — der Teil, der aus einem Demo-Klickmodell verlässliche Software macht — bleibt liegen. Was dazugehört:

• Anmeldung, die wirklich sicher ist. Eine Login-Maske ist schnell gebaut. Dass sie auch dann hält, wenn jemand gezielt versucht, sich fremde Daten anzusehen, ist die eigentliche Arbeit. Ein häufiger Fehler in generierten Apps: Jeder angemeldete Nutzer kann über kleine Tricks die Daten aller anderen abrufen, weil die Rechteprüfung nur in der Oberfläche sitzt und nicht im Server dahinter.
• Rollen und Rechte. Der Chef sieht die Umsätze, der Monteur nur seine Aufträge, der Kunde nur seine eigene Akte. Das klingt einfach und ist eine der fehleranfälligsten Stellen überhaupt — es ist genau das, was ein Kundenportal mit sauberer Rechteverwaltung leisten muss.
• Sicherungskopien. Was passiert, wenn die Datenbank morgen leer ist — versehentlich gelöscht, technischer Fehler, Angriff? Ohne durchdachte, regelmäßig geprüfte Sicherung sind alle Daten weg. Nicht schwer wiederherzustellen — weg.
• Zugangsdaten und Schlüssel. Fast jede App spricht mit anderen Diensten und braucht dafür geheime Schlüssel. Landen die an der falschen Stelle — und generierter Code legt sie gern sichtbar ab — kann ein Fremder auf Ihre Kosten Dienste nutzen oder an Daten kommen.
• Aktualisierungen und Sicherheitslücken. Jede App steht auf hunderten fremden Bausteinen. In diesen Bausteinen werden laufend Sicherheitslücken entdeckt und geschlossen. Wer nicht regelmäßig nachzieht, betreibt nach ein paar Monaten ein offenes Scheunentor — ohne es zu merken.
• Und die wichtigste Frage: Wer repariert es nachts um zwei? Wenn die App streikt, während Ihr Team draußen auf der Baustelle darauf angewiesen ist — wen rufen Sie an? Der KI-Baukasten hat keine Rufbereitschaft.

Nichts davon ist unmöglich. Aber nichts davon macht die KI für Sie mit, und nichts davon sehen Sie in der schönen Demo. Es ist genau die Arbeit, für die es Erfahrung braucht — und es ist die Arbeit, die entscheidet, ob Ihre Software ein verlässliches Werkzeug ist oder ein Risiko, das Sie sich ins Haus geholt haben.

DSGVO lässt sich nicht wegprompten

Jetzt kommt der Teil, der in Deutschland aus einer technischen Frage eine handfeste Verantwortung macht. Sobald Ihre App personenbezogene Daten verarbeitet — und das tut sie, sobald ein einziger Kundenname darin steht — sind Sie nach DSGVO die verantwortliche Stelle. Nicht Lovable, nicht Base44, nicht die KI. Sie.

Das ist keine Formalie. Es bedeutet konkret:

• Sie müssen wissen und belegen können, wo die Daten liegen. Viele dieser Werkzeuge betreiben ihre Server in den USA. Personenbezogene Daten Ihrer Kunden auf US-Servern zu verarbeiten, ist nicht pauschal verboten, aber es bringt Pflichten und Risiken mit sich, die Sie kennen und dokumentieren müssen. Nicht ohne Grund gehört “wie setze ich das DSGVO-konform um, ohne US-Cloud?” zu den Fragen, die uns am häufigsten erreichen — unsere Antwort darauf ist Hosting in der EU.
• Sie brauchen einen Auftragsverarbeitungsvertrag (AVV) mit jedem Dienst, der in Ihrem Auftrag Daten verarbeitet — also mit dem Anbieter, auf dessen Servern Ihre App läuft. Haben Sie den? Wissen Sie, welche Unterauftragnehmer dahinterstehen?
• Sie müssen technische und organisatorische Maßnahmen (TOM) nachweisen — also belegen, dass die Daten angemessen geschützt sind. Ein generiertes Login reicht als Nachweis nicht.
• Sie brauchen Antworten auf Betroffenenrechte. Ein Kunde darf verlangen, dass Sie ihm alle über ihn gespeicherten Daten herausgeben — oder sie löschen. Kann Ihre Baukasten-App das sauber? Und lässt sich wirklich alles löschen, auch aus den Sicherungskopien?

Das Unangenehme daran: Diese Verantwortung tragen Sie ab dem ersten Tag, an dem echte Daten drin sind — nicht erst, wenn etwas passiert. Und wenn etwas passiert, ein Datenleck etwa, dann fragt niemand die KI, die den Code geschrieben hat. Dann stehen Sie in der Pflicht, mit allem, was daran hängt: Meldepflicht binnen 72 Stunden, mögliche Abmahnungen, im schlimmen Fall ein Bußgeld. Die Software zu bauen, war der einfache Teil. Für sie geradezustehen, ist der eigentliche.

Der ehrliche Vergleich: selbst bauen oder schlüsselfertig

Die Antwort ist nicht “Finger weg von KI-Baukästen”. Die Antwort ist: Es kommt darauf an, was Sie vorhaben. Hier die ehrliche Einordnung:

Selbst bauen mit dem KI-Baukasten ergibt Sinn, wenn:

• es ein Prototyp ist, um eine Idee zu prüfen,
• nur Sie oder ein kleiner Kreis intern damit arbeiten,
• keine personenbezogenen Kundendaten im Spiel sind,
• es kein Drama ist, wenn das Tool mal ausfällt oder verschwindet.

Schlüsselfertig bauen lassen ergibt Sinn, sobald:

• Ihr Team oder Ihre Kunden täglich damit arbeiten sollen,
• echte Kundendaten gespeichert werden,
• der Betrieb sich darauf verlässt, dass es läuft,
• Sie nicht selbst nachts um zwei der Notdienst sein wollen — und nicht allein die DSGVO-Verantwortung tragen möchten.

Das muss übrigens nicht heißen, dass Sie sich in das nächste Abo einkaufen: eigene Software ohne Abo gibt es zum Festpreis, mit Eigentum am Ergebnis.

Die gute Nachricht ist: Diese beiden Wege schließen sich nicht aus. Der Prototyp, den Sie sich selbst zusammengeklickt haben, ist die beste Grundlage für ein Gespräch über die richtige Version. Er zeigt genau, was Sie wollen — und erspart uns beiden das Aneinander-vorbei-Reden.

Wie wir das sehen

Wir bei krafteq benutzen dieselben modernen, KI-gestützten Werkzeuge — sie machen auch uns schneller. Der Unterschied liegt nicht darin, ob KI im Spiel ist. Er liegt in den letzten 20 Prozent: der sicheren Anmeldung, den sauberen Rechten, den geprüften Sicherungskopien, den geschlossenen Sicherheitslücken, dem Server-Betrieb in der EU, dem AVV, den TOM — und einem Menschen, den Sie anrufen können, wenn etwas ist.

Anders gesagt: Sie bekommen die Geschwindigkeit der neuen Werkzeuge, ohne die Verantwortung allein zu tragen. Wir bauen Ihre eigene Software schlüsselfertig — DSGVO-konform, mit Server-Betrieb in der EU und digitaler Souveränität, zum Festpreis statt Abo, und so, dass die Daten Ihnen gehören.

Und wir fangen genau da an, wo Sie ohnehin gern anfangen würden: mit einem sichtbaren Ergebnis. In unserem kostenlosen Prototyp bauen wir in fünf Werktagen eine anfassbare erste Version Ihrer Idee — kostenlos und unverbindlich. Sie sehen Ihre eigene Software in Aktion, bevor Sie sich für irgendetwas entscheiden. Wenn Sie schon selbst etwas zusammengeklickt haben: Bringen Sie es mit. Es ist der beste Anfang, den wir uns wünschen können.

Bauen Sie ruhig weiter mit KI — es macht Spaß und es lohnt sich. Ziehen Sie nur die Linie bewusst: In dem Moment, in dem echte Menschen und echte Daten dazukommen, ist es keine Bastelei mehr. Dann ist es Software, für die jemand geradestehen muss. Die Frage ist nur, ob dieser Jemand allein Sie sein soll.