# Windsurf ## Kurzbeschreibung **„Built to Keep You in Flow State“** **Windsurf **ist ein KI-gestützter Coding-Assistant bzw. eine agentische IDE für Softwareentwicklung. Der Windsurf Editor kombiniert den lokalen Agenten Cascade mit dem Cloud-Agenten Devin, unterstützt Modellrouting über Adaptive, bietet IDE-Integrationen, MCP-Anbindungen, Previews und Team-/Enterprise-Funktionen für Governance, Security und Deployment. Das Tool richtet sich primär an Entwickler:innen, technische Teams und Unternehmen, nicht an allgemeine Office-Anwender. ## Claim Built to Keep You in Flow State ## Geeignet für - Automatisierungen / Workflows - Programmierung / Softwareentwicklung - Webseiten / Landingpages ## Kernfunktionen - App-Entwicklung - KI-Agenten - Programmierung ## Preismodell - **free:** Light Usage Allowance, Tab, Previews/Deploys je nach Limit und Einstieg in Windsurf. - **subscription:** **Pro** Standard Usage Allowance, unbegrenzte Kernfunktionen, zusätzliche Nutzung zum API-Preis. **Max** Heavy Usage Allowance für Poweruser und hohe Agenten-/Coding-Nutzung. - **other:** **Teams **Teamplan mit zentraler Abrechnung, Admin Dashboard, Analytics, Support und Teamfunktionen. **Enterprise** SSO, Access Controls, RBAC, Volume Discounts, Hybrid Deployment, Account Management und individuelle Bereitstellung. ## DSGVO und Datenschutz **Gesamteinschätzung:** Conditional **On-Prem / lokales Hosting: teilweise** Die Dokumentation nennt einen 'Self-Hosted-Plan' für Enterprise-Kunden. Ob dabei die Lösung vollständig auf eigener Hardware des Kunden und im strengsten Sinn auch das Modell lokal läuft, wird auf der Website nicht konkret beschrieben. **Private Cloud / RZ: abgedeckt** Die Enterprise-Seite nennt eine Bereitstellung in der Virtual Private Cloud des Kunden. Zusätzlich nennt die Security-Seite für Enterprise-/Hybrid-Bereitstellungen EU-Server in Frankfurt. **EU-SaaS / Managed: teilweise** Die Security-Seite nennt eine EU-Option mit von Windsurf verwalteten Servern in Frankfurt. Die Datenschutzerklärung nennt jedoch für die Services allgemein Server in den USA. Eine durchgängige EU-Datenresidenz für die allgemeine SaaS-Nutzung im EU-/EWR-Raum ist auf der Website nicht klar belegt. **Hybrid: abgedeckt** Die Security-Seite beschreibt ausdrücklich einen Hybrid-Tier für Enterprise und stellt dar, dass dabei keine Code-Snippets oder code-abgeleiteten Informationen auf Windsurf-Servern oder bei Subprozessoren gespeichert werden. **AVV / DPA: abgedeckt** Auf der Website ist ein DPA verlinkt. Zudem erwähnt die Security-Seite, dass Dokumente über das Trust Center erhältlich sind. **Kein Training: teilweise** Für Devin Enterprise wird auf der Enterprise-Seite ausdrücklich gesagt, dass Daten nie für Training verwendet werden. Für die allgemeine Windsurf-SaaS-Variante ist auf der Website kein ebenso klarer, allgemein gültiger Ausschluss bzw. ein universelles Opt-out dokumentiert. **Open-Source / Transparenz-Pfad: teilweise** Es gibt einen Transparenz- und Souveränitätspfad über Self-Hosted-Plan, Hybrid und VPC-Bereitstellung. Konkrete Angaben zu Open-Source-Komponenten oder offen verfügbaren self-hostbaren Kernbestandteilen sind auf der Website nicht angegeben. **Datenverarbeitung** Die Website beschreibt mehrere Betriebsmodelle: allgemeine Services mit laut Datenschutzerklärung US-Servern, Enterprise-/Hybrid-Modelle mit EU-Option in Frankfurt, Hybrid-Betrieb mit reduzierter Datenhaltung auf Windsurf-Seite sowie VPC-Bereitstellung im kontrollierten Umfeld des Kunden. Für Enterprise wird zusätzlich angegeben, dass Daten im kontrollierten Umfeld des Kunden gespeichert werden und nicht für Training genutzt werden. Eine Subprozessoren-Liste ist auf der Website nicht angegeben. **Fazit** Für den gesamten EU-/EWR-Raum ist Windsurf nicht pauschal als unkompliziert DSGVO-konform in der Standard-SaaS-Variante belegt. Positiv sind DPA, Enterprise-VPC, Hybrid, Self-Hosted-Hinweise, EU-Server in Frankfurt und SOC 2 Type II. Für eine belastbarere DSGVO-Nutzung im europäischen Raum spricht daher eher der Enterprise-Weg mit EU-/kontrollierter Bereitstellung als die allgemeine Standardnutzung. **Quellen** - [https://windsurf.com/privacy-policy](https://windsurf.com/privacy-policy) - [https://windsurf.com/security](https://windsurf.com/security) - [https://windsurf.com/docs/DPA.pdf](https://windsurf.com/docs/DPA.pdf) - [https://docs.windsurf.com/de/plugins/getting-started](https://docs.windsurf.com/de/plugins/getting-started) - [https://windsurf.com/enterprise](https://windsurf.com/enterprise) Für Nutzer im EU-/EWR-Raum ist eine DSGVO-konforme Nutzung nicht für die allgemeine Standard-SaaS-Variante klar belegt, da die Datenschutzerklärung eine Verarbeitung auf Servern in den USA nennt. Gleichzeitig nennt die Website für Enterprise-/Hybrid-Bereitstellungen EU-Server in Frankfurt sowie Self-Hosted- und VPC-Optionen. Damit erscheint eine DSGVO-konforme Nutzung im europäischen Raum nur unter bestimmten, eher enterprise-orientierten Voraussetzungen möglich. **Positiv** Auf der Website sind eine Datenschutzerklärung und ein DPA verlinkt. Außerdem werden EU-Server in Frankfurt für bestimmte Enterprise-Bereitstellungen genannt. Es gibt Hinweise auf Hybrid-Deployment, Self-Hosted-Plan, VPC-Bereitstellung sowie SOC 2 Type II. **Negativ** Die Datenschutzerklärung nennt Server in den USA und internationale Übermittlungen unter anderem in die USA. Eine allgemeine EU-Datenresidenz für alle Tarife ist auf der Website nicht belegt. Eine Subprozessoren-Liste ist auf der Website nicht angegeben. Ein ausdrückliches, allgemein gültiges Opt-out für KI-Training ist auf der Website nicht klar für alle Produktvarianten dokumentiert. **Serverstandort** Standardmäßig nennt die Datenschutzerklärung Server in den USA. Für Enterprise-/Hybrid-Bereitstellungen nennt die Security-Seite EU-Server in Frankfurt, Deutschland. Weitere konkrete Rechenzentrumsstandorte im EU-/EWR-Raum sind auf der Website nicht angegeben. ## Hosting und Daten - **On-Prem / lokales Hosting:** teilweise / indirekt - **Private Cloud / Rechenzentrum:** abgedeckt - **EU SaaS / Managed:** teilweise / indirekt - **Hybrid:** abgedeckt - **AVV / DPA:** abgedeckt - **Kein Training auf Kundendaten:** teilweise / indirekt - **Open-Source / Transparenz-Pfad:** teilweise / indirekt ## Standort **Land:** USA **Taxonomie:** USA Terms of Service nennen Exafunction, Inc., 900 Villa Street, Mountain View, CA 94041, USA; die Privacy Policy nennt Exafunction, Inc., 990 Villa St., Mountain View, CA 94041, USA. ## Vorteile - Sehr starke Ausrichtung auf Softwareentwicklung mit tiefem Codebase-Kontext. - Kombination aus lokalem Arbeiten und Cloud-Agenten (Devin). - Breite Modellunterstützung inkl. eigener SWE-Modelle und Adaptive-Router. - Enterprise-Fokus mit RBAC, SSO, Hybrid, EU-Region und Zero-Data-Retention-Optionen. - MCP-Support und Integrationspfad für eigene Tools/Services. ## Nachteile - Für Datenschutz und Datenresidenz ist die Standard-SaaS-Nutzung nicht automatisch ideal, da Standard-Server laut Privacy/Security in den USA liegen und bestimmte Features Retention oder Drittanbieterzugriffe erfordern können. - Self-Hosted ist zwar möglich, unterstützt laut Security-Seite aber nicht viele der modernsten Windsurf-Funktionen wie den Windsurf Editor oder Cascade vollständig. - Die Self-Serve-Kosten sind nutzungsabhängig; Extra Usage wird zu API-Listenpreisen abgerechnet und ist damit weniger planbar. - Premium-Modelle können laut Troubleshooting gelegentlich an Rate Limits stoßen. - Neue Teams-Pläne enthalten SSO nicht mehr; das ist nun Enterprise-only. ## Quellen - Offizielle Website: https://windsurf.com/ ## Letzter Datenstand 2026-04-27 ## Originalseite https://kifox.ai/ki-tools/windsurf-review-preise-dsgvo-hosting-und-funktionen/