Windsurf — Cognition AI, Inc., USA
Your submission does not appear in the directory straight away. We look at the evidence and, if it holds, write a new assessment with a date and a record of the change. That separation is precisely what makes the entry worth something to your customers. It costs you nothing.
| Criterion | In the directory |
|---|---|
| Data processing agreement | Windsurf — betrieben von der Cognition AI, Inc. — veröffentlicht einen Auftragsverarbeitungs-Nachtrag mit Stand 9. März 2026, der dem Hauptvertrag vorgeht: „To the extent there is a conflict between the Agreement and this DPA, this DPA takes precedence unless the Agreement expressly overrides particular terms of this DPA.“ Der Vorrang ist ausdrücklich geregelt — das ist nicht selbstverständlich und für den Kunden günstig. |
| Place of processing | Ein Speicherort wird nicht zugesagt. Für Daten aus dem EWR gilt: „Where Customer Personal Data that originates in the European Economic Area is transferred to a country outside of Europe that is not subject to an adequacy decision, Licensor will do so in accordance with the [Standard Contractual Clauses].“ Eine entsprechende Regelung besteht für die Schweiz. Vertragspartner ist ein US-Unternehmen; die Übermittlung ruht auf den Standardvertragsklauseln. |
| Training on customer data | Windsurf verwendet Nutzerinhalte zum Training — abhängig vom jeweiligen Tarif. Die Datenschutzerklärung führt als Zweck: „To customize your experience with our Services and otherwise improve our Services including, depending on the terms that apply to your use of the Services, using User Content to train, fine tune and improve the models that power our Services“, gestützt auf ein berechtigtes Interesse. Bei einer Entwicklungsumgebung ist „User Content“ der Quelltext des Kunden. Welche Tarife ausgenommen sind, sagt die Erklärung nicht — das muss vor dem Einsatz vertraglich geklärt werden. |
| Certifications | Cognition weist eine Zertifizierung nach SOC 2 aus, und zwar in beiden Stufen an unterschiedlicher Stelle: Der Auftragsverarbeitungs-Nachtrag nennt „Licensor maintains a SOC 2 Type I certification“, die Sicherheitsseite die stärkere Stufe — „Cognition obtained SOC 2 Type II certification and conducted Security Training in March 2024 for all employees at Cognition. As part of the SOC 2 audit, Cognition’s auditors reviewed all of Cognition['s controls]“. Dass der Vertrag noch die Typ-I-Fassung nennt, deutet darauf hin, dass er seit der Typ-II-Prüfung nicht nachgezogen wurde. |
| Subprocessors | Die Liste steht als Appendix C im Auftragsverarbeitungsvertrag selbst; im abgerufenen Text ist der Anhang nicht enthalten. Zu beachten ist die Widerspruchsregelung: Der Anbieter kann Appendix C jederzeit durch Veröffentlichung einer neuen Fassung ändern, eine gesonderte Ankündigung ist nicht vorgesehen, und die weitere Nutzung des Dienstes gilt als Zustimmung. Wer widersprechen will, kann nach dem Wortlaut nur die Nutzung einstellen. (Quelle: https://windsurf.com/dpa, abgerufen 2026-08-01 · maschinell gefunden, Regelwerk 3.0, Wortlaut von Hand aus dem Archivstand gefasst) |
Would you like to maintain the entry and be heard before changes? A correction with evidence does not require that — it is covered by the vendor programme.
The interface is available in English. Directory entries, the AI register we produce, the quarterly record and the contract annexes remain in German — they are the authoritative documents.
Deutsch · English