Verhindert RückstandFertigproduktEtabliert, KI nachgerüstet

GitLab

GitLab Inc. (Nasdaq: GTLB) ·about.gitlab.com· Stand: 2026-07-30

Hält den Verlauf jeder Änderung am Quellcode fest und bringt Prüfung, Vorgang, Build-Lauf, Sicherheitsprüfung und Auslieferung in ein System. Der Unterschied zum Wettbewerber liegt nicht in dieser Aufzählung, sondern darin, dass der Kern quelloffen ist und man ihn selbst betreiben darf.

Dieses Werkzeug mit KI durchgehen

ClaudeChatGPTPerplexity

Unser Urteil

Quellcodeverwaltung verschafft keinen Vorsprung, sie ist die Voraussetzung dafür, dass überhaupt etwas Gebautes einem Unternehmen gehört und nicht einzelnen Rechnern. Für die Leitfrage dieser Sammlung ist GitLab der Fall, an dem sich die Achse zwischen Kaufen und Bauen sauber zeigt: Der Kern liegt unter einer freien Lizenz, also ist der Wechsel vom betreuten Betrieb in den Eigenbetrieb keine Migration zu einem anderen Hersteller, sondern eine Übernahme der Betriebsverantwortung. Das ist kein Argument dafür, sofort selbst zu betreiben. Es ist ein Argument dafür, dass man es könnte, und genau das begrenzt, was ein Anbieterwechsel oder eine Übernahme des Anbieters anrichten kann.

Belege:Stand 2026-07-30Stufen, Preis je Nutzer bei Jahresabrechnung und enthaltene Minuten für Build-LäufeZur QuelleStand 2026-07-30Acht wählbare EU-Regionen, getrennte Regionen für Ausweichbetrieb und Sicherungen, Endgültigkeit der WahlZur QuelleStand 2026-07-30Höchste Stufe als Voraussetzung der Einzelmandanten-Variante, Betrieb ausschließlich auf einer Cloud-Plattform, fehlende AnmeldeverfahrenZur QuelleStand 2026-07-30Betrieb der Dienste in den USA, EU-US-Datenschutzrahmen und Standardvertragsklauseln, Zusage zur Trainingsnutzung, zwölf Monate für Chat-ProtokolleZur QuelleStand 2026-07-3014 benannte Dritte mit Zweck und Land, Benachrichtigung über ein AnmeldeformularZur QuelleStand 2026-07-30ISO/IEC 27001:2022, 27017:2015, 27018:2019 und SOC 2 Type 2 mit benanntem GeltungsbereichZur QuelleStand 2026-07-30Umsatz, Wachstum, Nettoverlust, Mittelzufluss aus dem Betrieb und Rückkaufprogramm im Geschäftsjahr 2026Zur QuelleStand 2026-07-30Verkaufsprozess mit Interesse von Datadog, Stimmrechtsanteil von Alphabet, Marktwert zum BerichtszeitpunktZur QuelleStand 2026-07-30MIT-Lizenz für die Community EditionZur QuelleStand 2026-07-30Prüfereignisse in den kostenpflichtigen Stufen, Weiterleitung nur in der höchsten StufeZur Quelle

Für wen es taugt

Solopreneur

geeignet

Der kostenlose Tarif deckt private Projekte mit 400 Minuten für Build-Läufe im Monat ab. Wer mehr Minuten braucht, stellt einen eigenen Läufer, und das geht auf einem kleinen Server für wenige Euro im Monat.

KMU

geeignet

29 US-Dollar je Nutzer und Monat bei Jahresabrechnung liegen deutlich über dem Wettbewerber. Bezahlt wird damit unter anderem der Anspruch auf 10.000 Minuten und die Möglichkeit, jederzeit in den Eigenbetrieb zu wechseln, ohne den Hersteller zu verlassen.

Konzern

geeignet

Die betreute Einzelmandanten-Variante lässt die Wahl aus acht EU-Regionen zu, dazu getrennt wählbare Regionen für Ausweichbetrieb und Sicherungen, mit ISO/IEC 27001:2022 und SOC 2 Type 2 im Umfang. Der Haken ist doppelt: Die Variante setzt die höchste Stufe voraus, deren Preis nicht öffentlich steht, und die Regionswahl ist nach der Einrichtung endgültig.

Kaufen, wechseln oder bauen

Standardprodukt

Der Marktführer als Amtsinhaber

Die naheliegende Wahl ist die größere Werkstatt: mehr fertige Bausteine für Prüfketten, mehr Erweiterungen, und fast jede Bewerberin kennt die Abläufe. Bezahlt wird das mit dem Eigentum. Die Serversoftware ist nicht quelloffen, die selbst betreibbare Fassung ist ein lizenzpflichtiges Produkt desselben Hauses, und der Eigentümer ist ein Konzern, dessen Strategie die Richtung des Produkts setzt. Die EU-Speicherung gibt es dort nur als getrennte Umgebung im teuersten Tarif, ohne öffentliche Repositorien. Wer die Werkstatt rein als Werkzeug betrachtet, fährt damit gut. Wer sie als Ort betrachtet, an dem das eigene Gebaute liegt, sollte den Unterschied kennen.

KI-nativ

Kein KI-nativer Ersatz, wohl aber eine Verlagerung des Modells

Es gibt keine KI-native Werkstatt, die diese Kategorie ablöst, denn die Aufgabe ist Versionierung und Regelwerk. Der Unterschied, der in dieser Kategorie tatsächlich zählt, ist nicht ein neuer Anbieter, sondern wo das Modell läuft. Der Anbieter bietet eine Fassung an, bei der die Assistenzfunktionen gegen ein Modell im eigenen Haus arbeiten statt gegen einen fremden Dienst. Damit verlässt die Eingabe das Haus nicht, und die Frage nach Trainingsnutzung und Drittland fällt für diesen Teil weg. Der Preis ist der Betrieb des Modells, also Hardware, Aktualisierung und Bewertung der Antwortgüte.

Eigenbau

Die Community Edition selbst betreiben

Hier ist der Eigenbau kein Nachbau, sondern dasselbe Produkt unter freier Lizenz. Keine Lizenzgebühr, keine Nutzergrenze, voller Zugriff auf den Quelltext. Das ist der Grund, warum diese Kategorie überhaupt in die Kaufen-oder-Bauen-Achse gehört: Der Ausstieg ist keine Migration, sondern eine Übernahme. Bezahlt wird er im Betrieb, mit Sicherung, Verfügbarkeit, Aktualisierung, Anbindung an den Verzeichnisdienst, eigenen Läufern und Bereitschaft. Und es fehlen die Funktionen der kostenpflichtigen Stufen, allen voran die Weiterleitung der Prüfereignisse und ein Teil der Sicherheitsprüfungen. Der Weg lohnt bei harten Souveränitätsauflagen und in Häusern, die ohnehin Server betreiben. Für eine Person lohnt er nicht.

Unser Rat

  • Solopreneur: Kostenloser Tarif. Der Eigenbetrieb lohnt für eine Person nicht.
  • KMU: Kaufen. Den Eigenbetrieb erst rechnen, wenn jemand die Bereitschaft dauerhaft übernimmt.
  • Konzern: Kaufen, und zwar die Einzelmandanten-Variante in einer EU-Region, oder bewusst selbst betreiben.

Wer dahinter steht

Tragfähigkeit: Etabliert

Ein börsennotiertes Unternehmen mit veröffentlichten Zahlen, wachsendem Umsatz, deutlich positivem Mittelzufluss aus dem Betrieb und weiterhin negativem Jahresergebnis. Die eigentliche Unsicherheit für diese Sammlung liegt nicht im Geschäft, sondern im Eigentum: Seit 2024 wird das Unternehmen wiederholt als Übernahmekandidat gehandelt, ohne dass es zu einem Abschluss kam. Wer darauf setzt, sollte wissen, dass die quelloffene Fassung diesen Fall entschärft, ohne ihn aufzuheben.

  • Eigentum: börsennotiert an der Nasdaq unter GTLB; Alphabet hielt nach Reuters-Bericht vom 17.07.2024 22,2 Prozent der StimmrechteStand 2026-07-30Verkaufsprozess mit Interesse von Datadog, Stimmrechtsanteil von Alphabet, Marktwert zum BerichtszeitpunktZur Quelle · Stand 2026-07-30
  • Geschäftszahlen: Geschäftsjahr 2026: 955,2 Mio. US-Dollar Umsatz, plus 26 Prozent gegenüber dem Vorjahr, Nettoverlust 56,0 Mio. US-Dollar, Mittelzufluss aus dem Betrieb 232,9 Mio. US-Dollar, erstmals ein Rückkaufprogramm über 400 Mio. US-Dollar beschlossenStand 2026-07-30Umsatz, Wachstum, Nettoverlust, Mittelzufluss aus dem Betrieb und Rückkaufprogramm im Geschäftsjahr 2026Zur Quelle · Stand 2026-07-30
  • Übernahmeinteresse: Reuters berichtete am 17.07.2024 über einen Verkaufsprozess mit Interesse von Datadog; im Oktober 2025 folgten Berichte über ein erneutes Gebot von über 60 US-Dollar je Aktie, jeweils ohne Abschluss und ohne Bestätigung durch die BeteiligtenStand 2026-07-30Verkaufsprozess mit Interesse von Datadog, Stimmrechtsanteil von Alphabet, Marktwert zum BerichtszeitpunktZur Quelle · Stand 2026-07-30
  • Zertifizierung: ISO/IEC 27001:2022, ISO/IEC 27017:2015, ISO/IEC 27018:2019 und SOC 2 Type 2, jeweils für GitLab.com und die Einzelmandanten-VarianteStand 2026-07-30ISO/IEC 27001:2022, 27017:2015, 27018:2019 und SOC 2 Type 2 mit benanntem GeltungsbereichZur Quelle · Stand 2026-07-30
  • Quelloffener Kern: die Community Edition steht unter der MIT-Lizenz und ist ohne Nutzergrenze selbst betreibbar; die kostenpflichtigen Funktionen liegen unter einer eigenen, nicht freien LizenzStand 2026-07-30MIT-Lizenz für die Community EditionZur Quelle · Stand 2026-07-30

Ausstiegskosten: Gering

Zwei Wege stehen offen, und der zweite ist der eigentliche Unterschied zum Wettbewerber. Erstens ist Git verteilt, jeder Klon enthält die vollständige Geschichte, und für Vorgänge, Änderungsanfragen und Einstellungen gibt es einen Projekt- und Gruppenexport als Archiv. Zweitens liegt der Kern des Systems als Community Edition unter der MIT-Lizenz und lässt sich ohne Zustimmung des Anbieters selbst betreiben. Wer vom betreuten Betrieb weg will, wechselt also nicht zwingend den Hersteller, sondern übernimmt die Betriebsverantwortung. Der Preis dieses Weges steht im selben Satz: Was in der Community Edition fehlt, sind die Funktionen der kostenpflichtigen Stufen. Wer Prüfereignis-Weiterleitung, Sicherheitsprüfungen oder Freigabeketten aus diesen Stufen im Arbeitsablauf verankert hat, verliert sie beim Umstieg.

Regulatorik und Daten

Wie die Ampel zu lesen istWie die Ampel zu lesen istDie Ampel bewertet den Belegstand je Regulatorik-Punkt, nicht die Qualität des Werkzeugs. Grundlage ist ausschließlich der im Profil hinterlegte wert samt notiz und quelle in toolboxDetail.json, Stand 30.07.2026. Wo eine Angabe fehlt, bewertet die Ampel das Fehlen, nicht eine Vermutung. Ein sauber begründetes „unklar" an einem für das Werkzeug nachrangigen Punkt ist gelb. Ein fehlender Beleg an einem Punkt, der über die Einsetzbarkeit entscheidet, ist rot.belegt, ohne Auflagebelegt, an eine Auflage gebundenbelegt, aber ungünstigan einem kritischen Punkt offen
AuftragsverarbeitungMaßstab für diesen Punkt: Auftragsverarbeitungbelegt, ohne Auflage: Auftragsverarbeitungsvertrag öffentlich abrufbar und ohne weitere Bedingung Bestandteil des Vertrags; oder er entfällt nachvollziehbar begründet, weil kein Anbieter Kundendaten verarbeitet.belegt, an eine Auflage gebunden: Vertrag existiert, ist aber an einen Tarif gebunden, nur nach Anfrage einsehbar oder allein in den Nutzungsbedingungen geregelt statt als eigenes Dokument.belegt, aber ungünstig: Kein Auftragsverarbeitungsvertrag im üblichen Sinn: entweder weil der Anbieter für das Kerngeschäft eigenständig Verantwortlicher ist und stattdessen eine andere Konstruktion gilt, oder weil öffentlich offen bleibt, ob überhaupt einer angeboten wird.an einem kritischen Punkt offen: Weder ein Vertrag noch ein dokumentierter Weg zu einem Vertrag; der Einkauf hätte nichts, worauf er sich stützen kann.belegt, an eine Auflage gebundenvorhanden; die Datenschutzerklärung nennt den Abo-Vertrag als tragenden Rahmen, ein gesondertes Kundendokument wird im öffentlichen Handbuch geführtStand 2026-07-30Betrieb der Dienste in den USA, EU-US-Datenschutzrahmen und Standardvertragsklauseln, Zusage zur Trainingsnutzung, zwölf Monate für Chat-ProtokolleZur QuelleDas gesonderte Dokument war in dieser Prüfung nicht direkt abrufbar, weil das Handbuch auf eine Anmeldung umleitete. Belegt ist damit die Existenz und der Verweis, nicht der Wortlaut. Wer Meldefristen, Löschfristen und das Widerspruchsfenster bei neuen Unterauftragnehmern braucht, muss das Dokument vor der Unterschrift anfordern und lesen.Stand 2026-07-30
SpeicherortMaßstab für diesen Punkt: Speicherortbelegt, ohne Auflage: EU-Speicherort ohne Zusatzkosten und ohne Tarifbindung, oder der Ort ist vollständig selbst bestimmbar, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: EU-Speicherort möglich, aber an einen Tarif, einen gesondert zu aktivierenden Zusatz oder einen Umzug in eine getrennte Umgebung gebunden; oder die EU-Region ist nicht die Voreinstellung.belegt, aber ungünstig: Kein EU-Speicherort, der Ort ist aber eindeutig benannt, sodass die Folgen bewertbar sind.an einem kritischen Punkt offen: Der Speicherort ist öffentlich nicht benannt oder vom Kunden nicht steuerbar, sodass sich die Verarbeitung nicht verorten lässt.belegt, an eine Auflage gebundender geteilte Dienst liegt in einer einzigen US-Region; EU-Speicherung nur über die betreute Einzelmandanten-Variante mit Wahl aus acht EU-RegionenStand 2026-07-30Acht wählbare EU-Regionen, getrennte Regionen für Ausweichbetrieb und Sicherungen, Endgültigkeit der WahlZur QuelleDie Datenschutzerklärung sagt für den geteilten Dienst ausdrücklich, dass die Dienste in den USA betrieben werden. Für die Einzelmandanten-Variante stehen Frankfurt, Irland, London, Mailand, Paris, Spanien, Stockholm und Zürich zur Auswahl, dazu getrennt wählbare Regionen für Ausweichbetrieb und Sicherungen. Die Wahl ist nach der Einrichtung endgültig. Das ist mehr Wahlfreiheit als beim Wettbewerber, kostet aber die höchste Stufe.Stand 2026-07-30
SubunternehmerMaßstab für diesen Punkt: Subunternehmerbelegt, ohne Auflage: Vollständige öffentliche Liste der Unterauftragnehmer mit Zweck und Land; oder es gibt keine, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Liste existiert und ist benannt, aber nur nach Anfrage oder nach Zugang zu einem Vertrauensportal einsehbar, oder sie nennt Zweck und Land nicht vollständig.belegt, aber ungünstig: Keine geführte Liste; namentlich stehen nur einzelne Dienste in der Datenschutzerklärung, überwiegend solche der eigenen Website.an einem kritischen Punkt offen: Weder eine Liste noch eine Nennung der Verarbeiter des Produkts, und kein dokumentierter Weg, sie zu erfahren.belegt, ohne Auflageöffentliche Liste mit 14 benannten Dritten, je Eintrag mit Zweck und Land; Benachrichtigung über ein AnmeldeformularStand 2026-07-3014 benannte Dritte mit Zweck und Land, Benachrichtigung über ein AnmeldeformularZur QuelleUnter den Dritten stehen mehrere Modellanbieter, darunter Google, Amazon Web Services, Anthropic und OpenAI, alle mit Sitz in den USA. Ein Änderungsdatum trägt die Seite nicht. Wer Änderungen mitbekommen will, muss sich aktiv eintragen, statt sie zugestellt zu bekommen.Stand 2026-07-30
DrittlandübermittlungMaßstab für diesen Punkt: Drittlandübermittlungbelegt, ohne Auflage: Keine Übermittlung in ein Drittland, oder die Übermittlung findet statt und die Grundlage ist benannt und im Vertrag verankert, etwa Standardvertragsklauseln, Angemessenheitsbeschluss oder EU-US-Datenschutzrahmen.belegt, an eine Auflage gebunden: Übermittlung findet statt, eine Grundlage ist genannt, aber ohne Zuordnung, welcher Empfänger auf welcher Grundlage arbeitet.belegt, aber ungünstig: Übermittlung findet statt und die eigenen Unterlagen widersprechen sich, oder die genannte Grundlage bezieht sich erkennbar nur auf einen Randbereich wie die Marketing-Website.an einem kritischen Punkt offen: Übermittlung findet erkennbar statt und eine Grundlage wird nirgends genannt.belegt, ohne AuflageÜbermittlung in die USA, gestützt auf den EU-US-Datenschutzrahmen samt britischer Erweiterung und Schweizer Fassung, ergänzend auf StandardvertragsklauselnStand 2026-07-30Betrieb der Dienste in den USA, EU-US-Datenschutzrahmen und Standardvertragsklauseln, Zusage zur Trainingsnutzung, zwölf Monate für Chat-ProtokolleZur QuelleDie Datenschutzerklärung nennt beide Grundlagen ausdrücklich und für Japan zusätzlich Angemessenheitsbeschlüsse und konzerninterne Vereinbarungen. Das ist deutlich klarer dokumentiert als beim Wettbewerber. Unberührt bleibt, dass ein US-Mutterunternehmen dem Zugriff nach US-Recht unterliegt; wer das ausschließen muss, landet bei der Einzelmandanten-Variante in einer EU-Region oder beim Eigenbetrieb.Stand 2026-07-30
Training mit KundendatenMaßstab für diesen Punkt: Training mit Kundendatenbelegt, ohne Auflage: Vertraglich oder in der Datenschutzerklärung ausdrücklich ausgeschlossen, mit Erstreckung auf die eingesetzten Modellanbieter; oder es gibt keine Datenübertragung an einen Anbieter.belegt, an eine Auflage gebunden: Ausschluss ab einem bestimmten Tarif, oder die Zusage steht nur auf einer Dokumentationsseite statt im Vertrag, oder die Frage stellt sich für das Werkzeug sachlich kaum und der Anbieter schweigt dazu.belegt, aber ungünstig: Nutzung ist die Voreinstellung und nur ein Widerspruch beendet sie; oder der Anbieter trainiert eigene Modelle auf bereinigten Kundendaten.an einem kritischen Punkt offen: Keine Aussage, obwohl das Werkzeug KI-Funktionen auf Kundeninhalten betreibt.belegt, ohne Auflageausgeschlossen ohne Anweisung oder vorherige Einwilligung des KundenStand 2026-07-30Betrieb der Dienste in den USA, EU-US-Datenschutzrahmen und Standardvertragsklauseln, Zusage zur Trainingsnutzung, zwölf Monate für Chat-ProtokolleZur QuelleDie Datenschutzerklärung sagt zu, KI-Eingaben nicht ohne Anweisung oder vorherige Einwilligung zum Training von Sprachmodellen zu verwenden. Das ist an dieser Stelle die stärkere Zusage im Vergleich zum Wettbewerber, der seine persönlichen Tarife ab April 2026 standardmäßig einbezieht. Offen bleibt, was die eingebundenen Modellanbieter tun; der Anbieter beschreibt dafür vertragliche Beschränkungen, die vor der Unterschrift zu prüfen sind.Stand 2026-07-30
Aufbewahrung und LöschungMaßstab für diesen Punkt: Aufbewahrung und Löschungbelegt, ohne Auflage: Löschfristen nach Vertragsende beziffert und die Löschung oder Rückgabe zugesagt; oder die Fristen bestimmt der Betreiber selbst, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Löschung ist zugesagt, die Fristen sind aber nur teilweise beziffert, oder Sicherungskopien sind ausdrücklich ausgenommen.belegt, aber ungünstig: Nur der Grundsatz der Erforderlichkeit ohne jede Frist nach Vertragsende, oder Fristen sind allein für Randbereiche wie Website-Protokolle genannt.an einem kritischen Punkt offen: Keine Aussage zu Aufbewahrung und Löschung.belegt, aber ungünstigfür die Dauer des aktiven Kontos und darüber hinaus nach Erforderlichkeit; ein konkreter Wert wird nur für Chat-Protokolle genannt, nämlich 12 MonateStand 2026-07-30Betrieb der Dienste in den USA, EU-US-Datenschutzrahmen und Standardvertragsklauseln, Zusage zur Trainingsnutzung, zwölf Monate für Chat-ProtokolleZur QuelleDie Datenschutzerklärung nennt sonst nur den Grundsatz der Erforderlichkeit. Für Prüfereignisse vermerkt die Dokumentation ausdrücklich, dass sich keine Aufbewahrungsregel einstellen lässt. Wer eine Löschfrist braucht, muss sie vertraglich holen oder selbst betreiben.Stand 2026-07-30
ZertifikateMaßstab für diesen Punkt: Zertifikatebelegt, ohne Auflage: Mehrere anerkannte Nachweise, benannt mit Norm, Fassung und Geltungsbereich, und bezogen auf den Anbieter selbst.belegt, an eine Auflage gebunden: Ein anerkannter Nachweis für den Anbieter belegt, der Bericht aber nur auf Anfrage, oder der Nachweis hängt an einem Tarif, oder der Geltungsbereich bleibt teilweise offen.belegt, aber ungünstig: Nur pauschale Nennung ohne Norm-Fassung und Geltungsbereich, oder bloße Selbstauskunft, oder die Nachweise gehören dem Infrastrukturanbieter statt dem Anbieter, oder der Prüfzeitraum ist erkennbar veraltet, oder die eigenen Angaben widersprechen sich.an einem kritischen Punkt offen: Kein Nachweis genannt und keine Sicherheits- oder Vertrauensseite vorhanden.belegt, ohne AuflageISO/IEC 27001:2022, ISO/IEC 27017:2015, ISO/IEC 27018:2019 und SOC 2 Type 2 für Sicherheit, Vertraulichkeit und Verfügbarkeit, jeweils für GitLab.com und die Einzelmandanten-VarianteStand 2026-07-30ISO/IEC 27001:2022, 27017:2015, 27018:2019 und SOC 2 Type 2 mit benanntem GeltungsbereichZur QuelleNorm, Fassung und Geltungsbereich stehen öffentlich, was die Prüfung eines Sicherheitsfragebogens erheblich verkürzt. FedRAMP und TISAX nennt die Seite nicht. Für den Eigenbetrieb gelten diese Nachweise nicht, denn dort ist der Betreiber man selbst.Stand 2026-07-30
EU-KI-Verordnung, Artikel 50Maßstab für diesen Punkt: EU-KI-Verordnung, Artikel 50belegt, ohne Auflage: Der Anbieter macht eine belegte Aussage, die die eigene Pflicht trägt, etwa Modelldokumentation und Zertifizierung nach ISO/IEC 42001; oder das Werkzeug enthält nachvollziehbar begründet kein KI-System im Sinne der Verordnung.belegt, an eine Auflage gebunden: Der Anbieter äußert sich zur Verordnung oder ordnet die eigene Funktion ein, eine benannte Zusage zu den Transparenzpflichten aus Artikel 50 fehlt aber; oder das Werkzeug enthält kein KI-System, das gegenüber Menschen auftritt, und der Anbieter schweigt.belegt, aber ungünstig: Das Produkt enthält KI-Funktionen, der Anbieter schweigt dazu oder trägt ein Selbstetikett ohne Nachweis; die Kennzeichnung ist vom Betreiber aber selbst setzbar.an einem kritischen Punkt offen: KI spricht im Produkt unmittelbar mit Endkunden und der Anbieter sagt zu Artikel 50 nichts; die Kennzeichnung lässt sich ohne Zusage des Anbieters nicht sicher setzen.belegt, aber ungünstigunklarMit den KI-Funktionen enthält das System ein KI-System im Sinne der Verordnung, also greifen die Transparenzpflichten aus Artikel 50 ab August 2026. Der Anbieter unterhält eine eigene Seite zur Offenlegung seiner KI-Funktionen und ihrer Modelle. Eine ausdrückliche Aussage zur Verordnung und zu Artikel 50 haben wir auf den geprüften Sicherheits-, Datenschutz- und Dokumentationsseiten nicht gefunden.ohne Quellenangabe · Stand 2026-07-30
ProtokollierungMaßstab für diesen Punkt: Protokollierungbelegt, ohne Auflage: Nachvollziehbares Protokoll über Zugriffe und Änderungen in allen Tarifen enthalten, mit benannter Frist und Ausleitung in eigene Systeme; oder die Nachvollziehbarkeit liegt vollständig in eigener Hand, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Protokoll vorhanden, aber an einen höheren Tarif oder einen kostenpflichtigen Zusatz gebunden, oder die Ausleitung fehlt in den unteren Stufen; Reichweite und Frist sind benannt.belegt, aber ungünstig: Protokolle sind nur anbieterseitig beschrieben, oder Reichweite und Frist bleiben offen, sodass sich Nachweispflichten nicht planen lassen.an einem kritischen Punkt offen: Öffentlich nicht belegt, ob der Kunde überhaupt ein auswertbares Protokoll erhält.belegt, an eine Auflage gebundenPrüfereignisse in den beiden kostenpflichtigen Stufen, Weiterleitung an eigene Systeme nur in der höchsten Stufe; keine einstellbare AufbewahrungsfristStand 2026-07-30Prüfereignisse in den kostenpflichtigen Stufen, Weiterleitung nur in der höchsten StufeZur QuelleDie Trennung verläuft an derselben Stelle wie beim Wettbewerber: Sehen ja, Ausleiten nur in der teuersten Stufe. Im Eigenbetrieb liegt die Datenbank bei einem selbst, womit die Aufbewahrungsfrist zu einer eigenen Betriebsfrage wird statt zu einer Tariffrage.Stand 2026-07-30

Was es wirklich kostet

Einstieg

Kostenlos mit 400 Minuten für Build-Läufe im Monat. Die mittlere Stufe kostet 29 US-Dollar je Nutzer und Monat bei Jahresabrechnung und enthält 10.000 Minuten, die höchste Stufe wird nur nach Anfrage angeboten und enthält 50.000 Minuten. Der Eigenbetrieb der Community Edition kostet keine Lizenzgebühr und kennt keine Nutzergrenze.Stand 2026-07-30Stufen, Preis je Nutzer bei Jahresabrechnung und enthaltene Minuten für Build-LäufeZur Quelle

Stand 2026-07-30

Was teuer wird

Beim Sprung von 29 US-Dollar auf einen Preis, der nicht öffentlich steht. Alles, was ein größeres Haus braucht, hängt an der höchsten Stufe: die Weiterleitung der Prüfereignisse, ein Teil der Sicherheitsprüfungen und vor allem die betreute Einzelmandanten-Variante, also die einzige Fassung mit Wahl einer EU-Region. Wer diesen Weg geht, verlässt die öffentliche Preisliste und verhandelt. Dazu kommt der Verbrauch: Über die enthaltenen Minuten hinaus wird gerechnet, es sei denn, man stellt eigene Läufer. Und der Eigenbetrieb ist nicht kostenlos, er verlagert die Kosten nur von der Rechnung in die eigene Zeit, mit Sicherung, Aktualisierung und Bereitschaft als dauerhaften Posten.

Was es verdrängt

  • Zentraler Versionsserver mit Sperrmodell
  • Getrennte Werkzeuge für Vorgang, Prüfung und Auslieferung
  • Selbst betriebener Build-Server neben dem Versionsserver
  • Zugekaufte Sicherheitsprüfung als eigenständiges Werkzeug

Schnittstellen

  • REST- und GraphQL-Schnittstelle
  • Webhooks auf jedes Ereignis im Projekt
  • Build- und Ausliefer-Läufe mit eigenen Läufern
  • Anmeldung über SAML und OIDC, Kontenpflege über SCIM
  • Projekt- und Gruppenexport als Archiv für den Umzug

Passende Methoden

  • „Kontext: Graben oder Mauer?“-TestDer Test fragt, was eigen bleibt, und GitLab beantwortet das über die Lizenz, weil derselbe Kern im Eigenbetrieb weiterläuft und die Fähigkeit damit nicht am Vertrag eines Anbieters hängt.
  • Regulatorik-Dichte-TestDer Test wird dort konkret, wo Auflagen den Speicherort oder den Zugriff eng führen, und der erlaubte Eigenbetrieb ist die Antwort für genau diesen Fall, nicht für die Pflicht, die alle gleichermaßen trifft.
  • DORA-Delivery-DiagnoseDie Diagnose behandelt Durchsatz und Stabilität als Paar, und GitLab hält Prüfung, Build, Sicherheitsprüfung und Auslieferung in einem System, sodass beide Größen aus derselben Quelle kommen.

Alternativen

Quellen

  1. 1.Stufen, Preis je Nutzer bei Jahresabrechnung und enthaltene Minuten für Build-Läufe (öffnet in neuem Tab)about.gitlab.com/pricing · Stand 2026-07-30
  2. 2.Acht wählbare EU-Regionen, getrennte Regionen für Ausweichbetrieb und Sicherungen, Endgültigkeit der Wahl (öffnet in neuem Tab)docs.gitlab.com/…/data_residency_and_high_availability · Stand 2026-07-30
  3. 3.Höchste Stufe als Voraussetzung der Einzelmandanten-Variante, Betrieb ausschließlich auf einer Cloud-Plattform, fehlende Anmeldeverfahren (öffnet in neuem Tab)docs.gitlab.com/subscriptions/gitlab_dedicated · Stand 2026-07-30
  4. 4.Betrieb der Dienste in den USA, EU-US-Datenschutzrahmen und Standardvertragsklauseln, Zusage zur Trainingsnutzung, zwölf Monate für Chat-Protokolle (öffnet in neuem Tab)about.gitlab.com/privacy · Stand 2026-07-30
  5. 5.14 benannte Dritte mit Zweck und Land, Benachrichtigung über ein Anmeldeformular (öffnet in neuem Tab)about.gitlab.com/privacy/subprocessors · Stand 2026-07-30
  6. 6.ISO/IEC 27001:2022, 27017:2015, 27018:2019 und SOC 2 Type 2 mit benanntem Geltungsbereich (öffnet in neuem Tab)about.gitlab.com/security · Stand 2026-07-30
  7. 7.Umsatz, Wachstum, Nettoverlust, Mittelzufluss aus dem Betrieb und Rückkaufprogramm im Geschäftsjahr 2026 (öffnet in neuem Tab)ir.gitlab.com/…/default.aspx · Stand 2026-07-30
  8. 8.Verkaufsprozess mit Interesse von Datadog, Stimmrechtsanteil von Alphabet, Marktwert zum Berichtszeitpunkt (öffnet in neuem Tab)finance.yahoo.com/… · Stand 2026-07-30
  9. 9.MIT-Lizenz für die Community Edition (öffnet in neuem Tab)gitlab.com/gitlab-org/gitlab-foss/-/blob/master/LICENSE · Stand 2026-07-30
  10. 10.Prüfereignisse in den kostenpflichtigen Stufen, Weiterleitung nur in der höchsten Stufe (öffnet in neuem Tab)docs.gitlab.com/administration/compliance/audit_event_streaming · Stand 2026-07-30

Zuletzt geprüft: 2026-07-30 von Dr. Oliver Gausmann, Convios GmbH

Angaben veraltet? Schreiben Sie uns.

← Zurück zum Werkzeugkasten