Atlassian trainiert Rovo ab sofort mit Jira- und Confluence-Daten

Sophie Laurent Leiterin Recht & Compliance, YuSMP Group · EU-Regulierungsrahmen, DSGVO, DORA, NIS2 und KI-Act-Compliance für Softwareteams

Kurzzusammenfassung

Welche Daten Atlassian erhebt

Atlassian unterteilt die Erhebung in zwei Kategorien mit unterschiedlichen Widerspruchsrechten.

Metadaten umfassen abgeleitete Signale: Lesbarkeitsscores, Aufgabenklassifikationen, Story Points, Sprint-Enddaten, SLA-Werte und semantische Ähnlichkeitswerte aus dem Teamwork Graph. Atlassian gibt an, diese Daten vor der Nutzung zu de-identifizieren und Schutzmaßnahmen gegen Re-Identifizierung zu ergreifen. Das Unternehmen argumentiert, Metadaten seien bereits aggregiert und anonymisiert — weshalb es das Opt-out als Premium/Enterprise-Funktion und nicht als Grundrecht betrachtet.

In-App-Daten sind sensibler: Confluence-Seitentitel und -texte, Jira-Tickettitel, Beschreibungen und Kommentare, benutzerdefinierte Statusnamen und Workflow-Namen. Diese Kategorie kann Kundennamen, Produkt-Roadmaps, Sicherheitsbefunde und andere vertrauliche Projektinformationen enthalten, je nachdem, wie Ihre Teams Jira und Confluence nutzen.

Daten werden maximal sieben Jahre aufbewahrt. Nach einem Widerspruch werden In-App-Daten innerhalb von 30 Tagen und Metadaten innerhalb von 90 Tagen gelöscht.

Widerspruchsrechte nach Plantarif

Die Stufenstruktur bedeutet, dass Organisationen, die am wahrscheinlichsten regulierte Daten verarbeiten — jene mit Free- oder Standard-Plan, oft kleinere Unternehmen, Startups oder kostenbewusste FinTech- und HealthTech-Teams — die geringste Kontrolle haben. Enterprise-Kunden, die typischerweise über dedizierte Compliance-Teams und Rechtsabteilungen verfügen, erhalten standardmäßig die volle Kontrolle. Diese Asymmetrie sollte in Ihren Vendor-Management-Prozess einfließen: Ein Tool zur Roadmap-Planung oder zum Sicherheits-Backlog-Tracking liegt möglicherweise auf einem Plan, der nicht zur Sensitivität seines Inhalts passt.

Was das für DACH-Softwareteams bedeutet

Warum die DSGVO-Frage nicht trivial ist

Artikel 6 Abs. 4 DSGVO enthält einen Vereinbarkeitstest: Wenn ein Verantwortlicher Daten für einen neuen, nicht von der ursprünglichen Einwilligung oder Rechtsgrundlage gedeckten Zweck verarbeiten möchte, muss er prüfen, ob diese Nachnutzung vereinbar ist. Das Training eines kommerziellen KI-Assistenten mit Projektmanagement-Daten ist ein wesentlich anderer Zweck als der operative Gebrauch, für den die Daten ursprünglich erstellt wurden. Europäische Softwareteams — und ihre Kunden, deren Daten in Jira-Tickets fließen — müssen möglicherweise prüfen, ob ihre aktuelle Rechtsgrundlage diese Nachnutzung abdeckt oder ob eine Aktualisierung der Datenschutz-Folgenabschätzung erforderlich ist.

Teams, die eine strukturierte Anleitung für diese Analyse benötigen, sollten eine formelle EU-KI-Act- und DSGVO-Compliance-Prüfung in Betracht ziehen, insbesondere wenn Jira oder Confluence personenbezogene Daten von EU-Betroffenen verarbeitet.

DORA- und NIS2-Implikationen

Gemäß DORA Artikel 28 müssen Finanzunternehmen in der EU ein Register aller IKT-Drittparteivereinbarungen führen. Die Richtlinienänderung von Atlassian stellt eine wesentliche Aktualisierung der Art der Datenverarbeitung im Rahmen dieser Vereinbarung dar. Der Registereintrag für Atlassian sollte nun den aktuellen KI-Trainingsbeitragsstatus, das Datum der Überprüfung der Einstellung und den zuständigen Genehmiger vermerken. Eine Exit-Strategie-Klausel, die auch für KI-Training verwendete Daten adressiert — nicht nur die Datenextraktion bei Vertragsbeendigung — ist nun eine Best-Practice-Ergänzung für jeden Atlassian-Vertrag.

Für Teams, die NIS2-Sicherheitspflichten unterliegen, erweitert die Änderung die Supply-Chain-Risikoebene: Ihre operativen Vorfallsdaten, SLA-Verletzungsaufzeichnungen und Workflow-Definitionen speisen nun ein KI-Modell des Anbieters. Die Dokumentation im Lieferanten-Mapping ist der Mindestschritt; Teams, die kritische Infrastrukturen betreiben, müssen dies möglicherweise noch heute vor dem CISO eskalieren.

Überlegungen zu IP und Vertraulichkeit

Softwareteams, die unter SOC 2 oder vertraglichen Vertraulichkeitspflichten operieren, sollten prüfen, ob ihre Jira- und Confluence-Instanzen Daten enthalten, die durch Kunden-NDAs, Sicherheitsaudit-Ergebnisse oder unveröffentlichte Produktspezifikationen geschützt sind. Atlassian gibt an, Daten zu de-identifizieren, doch die De-Identifizierungsdefinition beseitigt nicht das IP-Expositionsrisiko für hochspezifische technische Inhalte. Teams, die Software für regulierte Branchen — FinTech, HealthTech, Verteidigung — entwickeln, sollten ihre Kundenverträge auf Klauseln prüfen, die KI-Training Dritter mit Projektdaten einschränken.

Was jetzt zu tun ist

• Melden Sie sich noch heute bei Atlassian Administration an. Navigieren Sie zu Sicherheit → Datenbeitrag und dokumentieren Sie Ihre aktuellen Einstellungen. Dies ist der schnellste Check, dauert unter zwei Minuten und ist die Grundlage für alle weiteren Compliance-Maßnahmen.
• Identifizieren Sie Ihren Plantarif und die Lücke. Wenn Ihre Organisation Free oder Standard nutzt und regulierte, vertrauliche oder kundeneigene Daten in Jira oder Confluence hält, ist die Metadatenerhebung ohne Plan-Upgrade unvermeidbar. Entscheiden Sie, ob dieser Trade-off akzeptabel ist oder ob ein Tier-Upgrade gerechtfertigt ist.
• Klassifizieren Sie die Inhaltssensitivität. Jira-Projekte und Confluence-Bereiche unterscheiden sich erheblich in ihrer Sensitivität. Ein öffentlich ausgerichtetes Produkt-Backlog ist etwas anderes als ein Sicherheitslücken-Tracker. Klassifizieren Sie, welche Bereiche regulierte Daten enthalten, und berücksichtigen Sie das in Ihrer Opt-out-Entscheidung.
• Führen Sie den DSGVO-Artikel-6-Abs.-4-Vereinbarkeitstest durch. Dokumentieren Sie, ob Ihre aktuelle Rechtsgrundlage das KI-Modelltraining abdeckt. Wenn Sie eine DSFA haben, die vor 2024 erstellt wurde, deckt sie KI-Nachnutzung mit hoher Wahrscheinlichkeit nicht ab. Aktualisieren Sie sie oder beauftragen Sie einen Nachtrag.
• Aktualisieren Sie DORA- und NIS2-Lieferantenregister. Vermerken Sie die Änderung in Ihrem IKT-Drittparteienregister. Notieren Sie Datum, gewählte Einstellung, Plantarif und verantwortlichen Admin. Diese Dokumentation schützt Sie bei einer aufsichtsrechtlichen Prüfung.
• Prüfen Sie Kundenverträge. Wenn Sie Software für Kunden entwickeln und Jira zur Projektsteuerung nutzen, prüfen Sie, ob ein Vertrag die Einspeisung von Projektdaten in KI-Systeme Dritter einschränkt. Ergreifen Sie korrigierende Maßnahmen — Opt-out oder Neuverhandlung — bevor Vertragspflicht und Anbieterstandard auseinanderfallen.

Häufig gestellte Fragen