Cursor gehört zu SpaceX: Was Unternehmen bei Vertrag, Datenfluss und Modellwahl prüfen sollten

Der Beitrag richtet sich an IT-Leitungen, Plattformteams und Datenschutzverantwortliche, deren Entwicklerinnen und Entwickler Cursor bereits nutzen oder bald nutzen sollen. Sinnvoll beginnt man nicht mit einer neuen Bewertung des Editors, sondern mit einer kurzen Bestandsaufnahme: Welcher Vertrag gilt, welche Modelle werden tatsächlich gewählt, und ist der Privacy Mode für alle Konten aktiv? Erst dann lässt sich beurteilen, ob sich durch den neuen Eigentümer für das eigene Unternehmen etwas ändert.

Was die Übernahme rechtlich und organisatorisch bedeutet

Laut Quartalsbericht von SpaceX zum 30. September 2026 wurde die Fusionsvereinbarung mit Anysphere am 16. Juni 2026 geschlossen und am 14. August 2026 vollzogen. Anysphere besteht als hundertprozentige Tochter fort. Die Gegenleistung bestand aus Class-A-Aktien von SpaceX auf Basis eines rechnerischen Eigenkapitalwerts von 60 Milliarden US-Dollar. SpaceX berichtet Cursor seit dem Abschluss im Segment „Super Intelligence“, das zuvor „AI“ hieß und auch Grok und X umfasst. xAI selbst gehört laut demselben Bericht seit dem 2. Februar 2026 zum Konzern. Eigene Umsatzzahlen für Cursor weist der Bericht nicht aus.

Cursor selbst bestätigte den Abschluss am 14. August in einem kurzen Blogbeitrag und verspricht dort leistungsfähigere Modelle zu geringeren Kosten durch Zugang zu den GPU-Kapazitäten von SpaceX. Zu Datenschutz, Verträgen oder Modellwahl sagt der Beitrag nichts.

Vertragspartner bleibt nach den Nutzungsbedingungen vom 3. September 2026 Anysphere, Inc. Neu ist die Rechtswahl: Es gilt texanisches Recht, zuständig sind ausschließlich Gerichte in Texas, verbundene US-Unternehmen sind als Drittbegünstigte genannt. Wer für ein Unternehmen mit eigenem Rahmenvertrag (MSA) arbeitet, unterliegt laut Bedingungen diesem Vertrag. Die Datenschutzerklärung vom 6. November 2026 erlaubt die Weitergabe an verbundene Unternehmen, nennt SpaceX aber nicht namentlich. Sie gilt nicht, soweit Anysphere als Auftragsverarbeiter für Unternehmenskunden handelt; dann zählen die Kundenverträge.

Wo Cursor jetzt im Angebot von xAI und SpaceX steht

Cursor ist kein Grok-Produkt, aber eng damit verbunden. Die Modellübersicht führt Grok 4.7, 4.6 und 4.5 als Modelle des Anbieters Cursor, gemeinsam trainiert von Cursor und SpaceXAI, neben dem hauseigenen Composer 2.5. Diese Modelle sind im wöchentlichen Kontingent enthalten. Modelle von Anthropic, OpenAI, Google und anderen gibt es laut Preisseite erst ab dem Tarif Premium und dann zum API-Listenpreis aus vorab gekauftem Guthaben. Der günstigste Bezahltarif Plus für 8 US-Dollar im Monat enthält nur Grok-Modelle.

Auf der Seite xAI für Unternehmen führen wir Grok API, Grok Voice sowie Grok Business und Enterprise. Cursor ergänzt das als Entwicklungswerkzeug im selben Konzern; der Grok Bot, den wir im Grok-4.7-Check beschrieben haben, läuft ebenfalls über Cursor-Konten. Nicht behandelt werden hier der Grok-Chat für Teams und die Qualität der Modelle beim Programmieren. Wer Cursor mit anderen Werkzeugen vergleichen will, findet die Einordnung im Vergleich der KI-Coding-Agenten.

Welchen Weg eine Anfrage aus dem Editor nimmt

Jede Anfrage läuft über das Backend von Cursor, laut Datennutzungsseite auch dann, wenn ein Team eigene API-Schlüssel hinterlegt. Dort entscheidet sich, welcher Inferenzanbieter sie erhält. Die Liste der Unterauftragsverarbeiter nennt AWS als Haupthoster, überwiegend in der US-Region mit einzelnen latenzkritischen Diensten in Europa und Singapur, und daneben unter anderem SpaceXAI, Fireworks, Anthropic, OpenAI, Google, Meta und Databricks. SpaceXAI ist dort als Inferenzanbieter für „Infrastructure, services, and support“ mit den Standorten USA und Großbritannien geführt. Welcher Anbieter die Grok-Modelle innerhalb von Cursor betreibt, nennt die Modellseite nicht ausdrücklich; sie verweist auf diese Liste.

Redaktionelle, schematische Darstellung auf Basis der Cursor-Dokumentation zu Datennutzung, Modellen und Unternehmenseinstellungen, kein Produkt-Screenshot.

Der Privacy Mode ist dabei die wichtigste Stellschraube. Ist er aktiv, verwendet Cursor die Daten laut Datennutzungsseite vom 3. September 2026 nicht für Training und hat mit allen Anbietern Vereinbarungen zur Null-Speicherung. Ausnahme: Schlägt ein Missbrauchsfilter an, können Anfragen zur Untersuchung gespeichert werden. Ist er aus, können Code, Prompts und Editoraktionen gespeichert und zum Training verwendet werden. Laut Unternehmensdokumentation ist der Privacy Mode nur im Enterprise-Tarif standardmäßig an. In Teams lässt er sich im Dashboard erzwingen, über eine MDM-Richtlinie lässt sich zusätzlich verhindern, dass sich Beschäftigte auf Firmengeräten mit privaten Konten anmelden. Der Privacy Mode senkt das Risiko, ersetzt aber nicht die Prüfung der Übermittlung in die USA und, je nach Daten im Code, eine Datenschutz-Folgenabschätzung.

Was Unternehmenskunden prüfen müssen

Die folgenden sechs Punkte entscheiden, ob ein bestehender Cursor-Einsatz nach der Übernahme noch zu Vertrag, Verarbeitungsverzeichnis und internen Vorgaben passt:

Eigene Zusammenfassung aus Nutzungsbedingungen, Unterauftragsverarbeitern, Unternehmensdokumentation und Preisseite, Stand 9. November 2026. Tarife und Funktionen ändern sich häufig; vor dem Einsatz beim Anbieter prüfen.

Ein hypothetisches Beispiel zeigt, warum die Modellwahl zur Datenschutzfrage wird: Ein Softwarehaus nutzt Cursor im Teams-Tarif und hat bisher vor allem Claude-Modelle verwendet. Nach einer Tarifumstellung reicht das Guthaben für Drittanbieter nicht mehr, Entwickler weichen auf Grok im Kontingent aus. An der Rechtsgrundlage ändert das nichts, wenn SpaceXAI im Vertrag erfasst ist. Ist das nicht der Fall oder hat ein Kunde des Softwarehauses bestimmte Anbieter für seinen Code ausgeschlossen, verstößt das Team gegen eine Zusage, ohne es zu bemerken. Abhilfe schafft eine Modellfreigabe je Nutzergruppe, etwa eine eigene Gruppe für Kundenprojekte mit Anbieterauflagen.

Pilotfragen vor dem weiteren Einsatz

1. Ist SpaceXAI in unserem Vertrag und Verarbeitungsverzeichnis als Unterauftragsverarbeiter erfasst, und wie erfahren wir von künftigen Änderungen?
2. Ist der Privacy Mode für alle Konten erzwungen, und können sich Beschäftigte auf Firmengeräten mit privaten Cursor-Konten anmelden?
3. Welche Modelle sind für welche Repositories zugelassen, insbesondere für Kundencode mit Anbieterauflagen?
4. Reicht uns US-Verarbeitung, oder brauchen wir EU-Inferenz, und hat Cursor diese schriftlich zugesagt?
5. Brauchen wir Audit-Logs und SCIM, und rechtfertigt das den Wechsel in den Enterprise-Tarif?

Kleine Teams kommen mit einem erzwungenen Privacy Mode, einer kurzen Modellliste und einer dokumentierten Drittlandprüfung aus. Wer Cursor für Kundencode oder in regulierten Branchen einsetzt, sollte Enterprise mit Audit-Logs, Modellfreigaben je Gruppe und einer vertraglichen Mitteilungspflicht für neue Unterauftragsverarbeiter verlangen. Für den EU-Rahmen von xAI gilt ergänzend, was wir im Grok-EU-Check beschrieben haben.

Fazit: Gleicher Vertrag, neuer Anreiz

Quellen

Weiterführende Artikel auf AI-Fabrik