Verhindert RückstandBausteinEtabliert

Sulu

Sulu GmbH ·sulu.io· Stand: 2026-07-30

Verwaltet Inhalte, mehrere Websites und Übersetzungen in einem selbst betriebenen System auf Symfony-Basis.

Dieses Werkzeug mit KI durchgehen

ClaudeChatGPTPerplexity

Unser Urteil

Auch hier: Ein Redaktionssystem verhindert Rückstand, es verschafft keinen Vorsprung. Der Unterschied zum bezogenen Dienst liegt nicht in der Funktion, sondern darin, wo die Kosten anfallen. Statt einer Lizenzgebühr zahlt man den Betrieb.

Belege:Stand 2026-07-30MIT-Lizenz, Anbieter Sulu GmbH, Art der bezahlten LeistungenZur QuelleStand 2026-07-30Firmensitz Dornbirn, FN 495861h, Geschäftsführer Thomas Schedler, Eigentumsverhältnisse 75 zu 25Zur QuelleStand 2026-07-30Die veröffentlichten Datenschutzhinweise stammen aus Oktober 2019, decken nur die eigene Website ab, nennen MailChimp und Google Analytics in den USA und enthalten keinen AuftragsverarbeitungsvertragZur QuelleStand 2026-07-30Sicherheitsrichtlinie des Kernrepositorys: Meldungen an security@sulu.io, versorgt werden nur Versionen ab 2.6.0Zur QuelleStand 2026-07-30Sulu.cloud ist Sulu auf SymfonyCloud beziehungsweise Upsun; die Infrastruktur betreibt Upsun, ein eigenes Upsun-Konto ist nötigZur QuelleStand 2026-02-18Ankündigung des betreuten Betriebs Sulu.cloud am 18.02.2026, verfügbar mit TestzeitraumZur QuelleStand 2026-07-30Upsun veröffentlicht einen Auftragsverarbeitungsvertrag und bindet darin auch seine UnterauftragnehmerZur QuelleStand 2025-09-23Unterauftragnehmerliste von Upsun mit Stand 23.09.2025, darunter Fastly, Sentry und SendGrid in den USAZur QuelleStand 2026-07-30Zusage von Upsun, dass Projektdaten die gewählte Region nicht verlassen, und Berufung auf die EU-Standardvertragsklauseln bei Übermittlung aus dem Europäischen WirtschaftsraumZur QuelleStand 2026-07-30EU-Regionen bei Upsun: de-2 Deutschland, fr-3 und fr-4 Frankreich, eu Irland, eu-5 SchwedenZur QuelleStand 2026-07-30Zertifikate der Plattform Upsun: ISO 27001, SOC 2 Typ 2, PCI DSS Level 1Zur QuelleStand 2026-02-03Sulu.ai seit 03.02.2026 verfügbar, Anbindung über einen Schlüssel, Wahl zwischen OpenAI, Anthropic, Mistral, Google und DeepL, europäische Modellklasse auf Mistral-BasisZur QuelleStand 2026-07-30ActivityBundle und TrashBundle liegen im Kernpaket neben Admin- und SecurityBundleZur QuelleStand 2026-07-30Protokollierung voreingestellt über Doctrine, Adapter auf null abschaltbar, persist_payload voreingestellt ausZur QuelleStand 2026-07-30TrashBundle bewahrt gelöschte Datensätze zur Wiederherstellung auf und kennt keine automatische VerfallsfristZur Quelle

Für wen es taugt

Solopreneur

nicht geeignet

Ohne jemanden, der PHP-Betrieb, Aktualisierungen und Sicherungen verantwortet, ist ein selbst gehostetes System die falsche Wahl. Die eingesparte Lizenz kostet Wochenenden.

KMU

geeignet

Passt, sobald eine Agentur oder eine eigene Entwicklerin den Betrieb dauerhaft übernimmt. Dann sind mehrere Websites und Sprachen ohne Aufpreis abbildbar.

Konzern

geeignet

Mandanten, Sprachen und Rechte lassen sich im eigenen Betrieb abbilden, und die Daten verlassen das Haus nicht. Das ist genau der Punkt, an dem bezogene Dienste teuer oder unzulässig werden.

Kaufen, wechseln oder bauen

Standardprodukt

Redaktionssystem als bezogener Dienst

Betrieb, Aktualisierungen und Verfügbarkeit liegen beim Anbieter, die Rechnung kommt monatlich und wächst mit Plätzen und Verbrauch. Die Prüfung verlagert sich von der Serverwartung in die Vertragsprüfung.

KI-nativ

Kein sinnvoller KI-nativer Ersatz

Es gibt keine KI-native Kategorie für Redaktionssysteme, nur KI-Funktionen in bestehenden. Der Vergleich läuft deshalb zwischen bezogenem Dienst und Eigenbetrieb.

Eigenbau

Sulu selbst betreiben

Dies ist der Eigenbau-Weg für Inhalte, und zwar der gut abgesicherte: kein eigener Programmcode für die Grundfunktionen, keine Lizenz, volle Datenhoheit. Er scheitert nicht an der Software, sondern daran, dass niemand den Betrieb dauerhaft verantwortet.

Unser Rat

  • Solopreneur: Nicht nehmen. Der Betrieb kostet mehr Zeit, als ein bezogener Dienst Geld kostet.
  • KMU: Nehmen, wenn der Betrieb geklärt ist und Datenhoheit ein Argument im Verkauf ist.
  • Konzern: Starker Kandidat, sobald Mandantentrennung oder Datenhoheit die Anforderung sind.

Wer dahinter steht

Tragfähigkeit: Etabliert

Sulu GmbH trägt sich aus eigener Kraft: kein Wagniskapital belegbar, zum 31.12.2024 eine Bilanzsumme von 509.511 Euro bei 432.311 Euro Eigenkapital, also rund 85 Prozent Eigenkapitalquote und nur 36.239 Euro Verbindlichkeiten. Da das nominelle Stammkapital nur 35.000 Euro beträgt, stammt das Eigenkapital fast vollständig aus einbehaltenen Gewinnen, was über acht Jahre hinweg für ein tragfähiges Geschäftsmodell spricht; die Eigentumsverhältnisse sind mit 75 Prozent Schoenberger Holding GmbH und 25 Prozent Geschäftsführer Thomas Schedler klar belegt. Wichtig für die Einordnung: etabliert heißt hier beständig, nicht groß. Der Code liegt seit 2013 unter MIT-Lizenz öffentlich vor und wird laufend gepflegt, was das Migrationsrisiko dämpft, aber das Team ist sehr klein und die Fortführung hängt an wenigen Personen.

  • Rechtsform und Registereintrag: Sulu GmbH, FN 495861h, Landesgericht Feldkirch, eingetragen am 31.07.2018, Stammkapital 35.000 EUR, Sitz Gütlestraße 7a, 6850 Dornbirn (Österreich)Stand 2026-07-30wirtschaft.at/u/495861hZur Quelle · Stand 2026-07-30
  • Eigentumsverhältnisse: Schoenberger Holding GmbH 75 Prozent, Thomas Schedler (Geschäftsführer) 25 Prozent; Prokurist Rainer Schoenherr. Keine Übernahme und kein externer Gesellschafter erkennbar.Stand 2026-07-30Firmensitz Dornbirn, FN 495861h, Geschäftsführer Thomas Schedler, Eigentumsverhältnisse 75 zu 25Zur Quelle · Stand 2026-07-30
  • Jahresabschluss 2024: Bilanzsumme 509.510,86 EUR, Eigenkapital 432.311,03 EUR (Eigenkapitalquote rund 85 Prozent), Verbindlichkeiten 36.239 EUR; eingereicht am 20.03.2025Stand 2024-12-31firmenabc.at/sulu-gmbh_OaVTZur Quelle · Stand 2024-12-31
  • Finanzierung ohne Wagniskapital: Erlöse aus Partnerprogramm, Dienstleistungen und geplantem Sulu.ai-Angebot; ausdrückliche Aussage, dass die Entwicklung von Kunden und nicht von Investoren finanziert wird, und dass die MIT-Lizenz bleibt. Keine Finanzierungsrunde auffindbar.Stand 2025-06-25sulu.io/blog/our-open-source-commitmentZur Quelle · Stand 2025-06-25
  • Wer den Code hält: Kernrepository sulu/sulu liegt bei der GitHub-Organisation sulu unter MIT-Lizenz, angelegt am 18.10.2013, letzter Commit-Push am 27.07.2026, 1.344 Sterne, nicht archiviertStand 2026-07-27github.com/sulu/suluZur Quelle · Stand 2026-07-27
  • Wartung und Versionspflege: Hauptversion 3.0.0 am 26.11.2025 veröffentlicht; am 17.07.2026 zeitgleich Patch 3.0.8 und Patch 2.6.25 für die Vorgängerlinie, die Altversion wird also weiter versorgtStand 2026-07-17github.com/sulu/sulu/releasesZur Quelle · Stand 2026-07-17

Ausstiegskosten: Gering

Die Software liegt unter MIT-Lizenz, die Inhalte in der eigenen Datenbank. Ein Wechsel ist eine Datenmigration, keine Verhandlung.

Regulatorik und Daten

Wie die Ampel zu lesen istWie die Ampel zu lesen istDie Ampel bewertet den Belegstand je Regulatorik-Punkt, nicht die Qualität des Werkzeugs. Grundlage ist ausschließlich der im Profil hinterlegte wert samt notiz und quelle in toolboxDetail.json, Stand 30.07.2026. Wo eine Angabe fehlt, bewertet die Ampel das Fehlen, nicht eine Vermutung. Ein sauber begründetes „unklar" an einem für das Werkzeug nachrangigen Punkt ist gelb. Ein fehlender Beleg an einem Punkt, der über die Einsetzbarkeit entscheidet, ist rot.belegt, ohne Auflagebelegt, an eine Auflage gebundenbelegt, aber ungünstigan einem kritischen Punkt offen
AuftragsverarbeitungMaßstab für diesen Punkt: Auftragsverarbeitungbelegt, ohne Auflage: Auftragsverarbeitungsvertrag öffentlich abrufbar und ohne weitere Bedingung Bestandteil des Vertrags; oder er entfällt nachvollziehbar begründet, weil kein Anbieter Kundendaten verarbeitet.belegt, an eine Auflage gebunden: Vertrag existiert, ist aber an einen Tarif gebunden, nur nach Anfrage einsehbar oder allein in den Nutzungsbedingungen geregelt statt als eigenes Dokument.belegt, aber ungünstig: Kein Auftragsverarbeitungsvertrag im üblichen Sinn: entweder weil der Anbieter für das Kerngeschäft eigenständig Verantwortlicher ist und stattdessen eine andere Konstruktion gilt, oder weil öffentlich offen bleibt, ob überhaupt einer angeboten wird.an einem kritischen Punkt offen: Weder ein Vertrag noch ein dokumentierter Weg zu einem Vertrag; der Einkauf hätte nichts, worauf er sich stützen kann.belegt, ohne AuflageBeim Selbstbetrieb nicht erforderlich; für den betreuten Betrieb Sulu.cloud entsteht die Auftragsverarbeitung bei Upsun, dessen Vertrag öffentlich vorliegtStand 2026-07-30Sulu.cloud ist Sulu auf SymfonyCloud beziehungsweise Upsun; die Infrastruktur betreibt Upsun, ein eigenes Upsun-Konto ist nötigZur QuelleWer selbst betreibt, gibt keine Inhalte an einen Auftragsverarbeiter. Ein Vertrag ist dann mit dem eigenen Hoster nötig, nicht mit der Sulu GmbH. Das verschiebt die Prüfung, es erspart sie nicht. Seit dem 18.02.2026 gibt es mit Sulu.cloud zusätzlich einen betreuten Betrieb, und der läuft ausdrücklich auf SymfonyCloud beziehungsweise Upsun, wofür ein eigenes Upsun-Konto verlangt wird. Der Auftragsverarbeitungsvertrag kommt dann von Upsun und liegt unter https://upsun.com/trust-center/privacy/dpa/ öffentlich vor. Eine eigene Vertragsvorlage der Sulu GmbH haben wir nicht gefunden, gesucht in den Datenschutzhinweisen unter https://sulu.io/privacy-and-legal-notices, im Impressum und auf den Produktseiten zu Cloud und KI.Stand 2026-07-30
SpeicherortMaßstab für diesen Punkt: Speicherortbelegt, ohne Auflage: EU-Speicherort ohne Zusatzkosten und ohne Tarifbindung, oder der Ort ist vollständig selbst bestimmbar, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: EU-Speicherort möglich, aber an einen Tarif, einen gesondert zu aktivierenden Zusatz oder einen Umzug in eine getrennte Umgebung gebunden; oder die EU-Region ist nicht die Voreinstellung.belegt, aber ungünstig: Kein EU-Speicherort, der Ort ist aber eindeutig benannt, sodass die Folgen bewertbar sind.an einem kritischen Punkt offen: Der Speicherort ist öffentlich nicht benannt oder vom Kunden nicht steuerbar, sodass sich die Verarbeitung nicht verorten lässt.belegt, ohne AuflageBeim Selbstbetrieb frei wählbar; für Sulu.cloud stehen bei Upsun EU-Regionen zur Wahl, darunter Deutschland, Frankreich, Irland und SchwedenStand 2026-07-30EU-Regionen bei Upsun: de-2 Deutschland, fr-3 und fr-4 Frankreich, eu Irland, eu-5 SchwedenZur QuelleIm Eigenbetrieb ist der Speicherort die Entscheidung des Betreibers. Damit ist die häufigste Bruchstelle deutscher Beschaffung von vornherein entschärft. Wer Sulu.cloud nimmt, wählt die Region beim Anlegen des Projekts. Upsun führt dafür unter anderem de-2 in Deutschland auf Google, fr-3 in Frankreich auf OVH, fr-4 in Frankreich auf Azure, eu in Irland auf AWS und eu-5 in Schweden auf AWS. Upsun sagt in seinen Datenschutzangaben zu, dass Daten eines Projekts die gewählte Region nicht verlassen, solange man nicht selbst einen zusätzlichen Cluster anderswo anfordert; nachzulesen unter https://upsun.com/trust-center/privacy/.Stand 2026-07-30
SubunternehmerMaßstab für diesen Punkt: Subunternehmerbelegt, ohne Auflage: Vollständige öffentliche Liste der Unterauftragnehmer mit Zweck und Land; oder es gibt keine, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Liste existiert und ist benannt, aber nur nach Anfrage oder nach Zugang zu einem Vertrauensportal einsehbar, oder sie nennt Zweck und Land nicht vollständig.belegt, aber ungünstig: Keine geführte Liste; namentlich stehen nur einzelne Dienste in der Datenschutzerklärung, überwiegend solche der eigenen Website.an einem kritischen Punkt offen: Weder eine Liste noch eine Nennung der Verarbeiter des Produkts, und kein dokumentierter Weg, sie zu erfahren.belegt, ohne AuflageBeim Selbstbetrieb keine für die Inhalte; für Sulu.cloud führt Upsun eine datierte Unterauftragnehmerliste, in der drei Dienste in den USA sitzenStand 2025-09-23Unterauftragnehmerliste von Upsun mit Stand 23.09.2025, darunter Fastly, Sentry und SendGrid in den USAZur QuelleIm Eigenbetrieb entstehen Subunternehmer erst durch die eigene Wahl von Hosting, Suche oder Bildverarbeitung. Bei Sulu.cloud liegt die Kette dagegen offen. Upsun nennt in seiner Liste mit Stand 23.09.2025 für Hosting und Speicher AWS, Microsoft Azure, Google Cloud, OVHcloud und IBM Cloud, dazu Fastly für CDN und WAF in den USA, Zendesk für Support in der EU, Sentry für Anwendungsüberwachung in den USA, SendGrid für den E-Mail-Versand in den USA und Platform.sh-Gesellschaften für den Support. Die drei US-Dienste sind auch dann im Spiel, wenn die Projektregion in der EU liegt.Stand 2025-09-23
DrittlandübermittlungMaßstab für diesen Punkt: Drittlandübermittlungbelegt, ohne Auflage: Keine Übermittlung in ein Drittland, oder die Übermittlung findet statt und die Grundlage ist benannt und im Vertrag verankert, etwa Standardvertragsklauseln, Angemessenheitsbeschluss oder EU-US-Datenschutzrahmen.belegt, an eine Auflage gebunden: Übermittlung findet statt, eine Grundlage ist genannt, aber ohne Zuordnung, welcher Empfänger auf welcher Grundlage arbeitet.belegt, aber ungünstig: Übermittlung findet statt und die eigenen Unterlagen widersprechen sich, oder die genannte Grundlage bezieht sich erkennbar nur auf einen Randbereich wie die Marketing-Website.an einem kritischen Punkt offen: Übermittlung findet erkennbar statt und eine Grundlage wird nirgends genannt.belegt, ohne AuflageEntfällt bei Betrieb in der EU; bei Sulu.cloud über Unterauftragnehmer in den USA möglich, Upsun stützt sich dafür auf die EU-StandardvertragsklauselnStand 2026-07-30Zusage von Upsun, dass Projektdaten die gewählte Region nicht verlassen, und Berufung auf die EU-Standardvertragsklauseln bei Übermittlung aus dem Europäischen WirtschaftsraumZur QuelleIm Eigenbetrieb ist das Ergebnis der eigenen Betriebsentscheidung, nicht der Software. Bei Sulu.cloud gilt Upsuns Zusage, dass Projektdaten die gewählte Region nicht verlassen; für Übermittlungen aus dem Europäischen Wirtschaftsraum heraus beruft sich Upsun ausdrücklich auf die EU-Standardvertragsklauseln, soweit kein Angemessenheitsbeschluss greift. Getrennt davon zu prüfen ist Sulu.ai: Je nach gewähltem Modellanbieter können Inhalte an OpenAI, Anthropic oder Google gehen, und dafür macht die Sulu GmbH keine Angaben zum Übermittlungsweg.Stand 2026-07-30
Training mit KundendatenMaßstab für diesen Punkt: Training mit Kundendatenbelegt, ohne Auflage: Vertraglich oder in der Datenschutzerklärung ausdrücklich ausgeschlossen, mit Erstreckung auf die eingesetzten Modellanbieter; oder es gibt keine Datenübertragung an einen Anbieter.belegt, an eine Auflage gebunden: Ausschluss ab einem bestimmten Tarif, oder die Zusage steht nur auf einer Dokumentationsseite statt im Vertrag, oder die Frage stellt sich für das Werkzeug sachlich kaum und der Anbieter schweigt dazu.belegt, aber ungünstig: Nutzung ist die Voreinstellung und nur ein Widerspruch beendet sie; oder der Anbieter trainiert eigene Modelle auf bereinigten Kundendaten.an einem kritischen Punkt offen: Keine Aussage, obwohl das Werkzeug KI-Funktionen auf Kundeninhalten betreibt.belegt, an eine Auflage gebundenIn der Grundinstallation keine Übertragung an den Hersteller; mit Sulu.ai gehen Inhalte an den gewählten Modellanbieter, eine Zusage gegen Training fehlt öffentlichStand 2026-02-03Sulu.ai seit 03.02.2026 verfügbar, Anbindung über einen Schlüssel, Wahl zwischen OpenAI, Anthropic, Mistral, Google und DeepL, europäische Modellklasse auf Mistral-BasisZur QuelleOhne Datenabfluss gibt es auch keine Trainingsfrage. Sie kehrt zurück, sobald Sulu.ai angebunden wird. Das Angebot ist seit dem 03.02.2026 verfügbar, wird über einen einzigen Schlüssel an die bestehende Installation angebunden und lässt die Wahl zwischen OpenAI, Anthropic, Mistral, Google und DeepL, dazu eine als europäisch bezeichnete Modellklasse auf Mistral-Basis. Eine ausdrückliche Aussage, dass Kundeninhalte nicht zum Training verwendet werden, haben wir nicht gefunden; geprüft wurden https://sulu.io/ai, https://sulu.io/sulu-ai, der Ankündigungsbeitrag und die Datenschutzhinweise von Oktober 2019. Wer Sulu.ai einsetzt, muss diese Zusage schriftlich einholen.Stand 2026-02-03
Aufbewahrung und LöschungMaßstab für diesen Punkt: Aufbewahrung und Löschungbelegt, ohne Auflage: Löschfristen nach Vertragsende beziffert und die Löschung oder Rückgabe zugesagt; oder die Fristen bestimmt der Betreiber selbst, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Löschung ist zugesagt, die Fristen sind aber nur teilweise beziffert, oder Sicherungskopien sind ausdrücklich ausgenommen.belegt, aber ungünstig: Nur der Grundsatz der Erforderlichkeit ohne jede Frist nach Vertragsende, oder Fristen sind allein für Randbereiche wie Website-Protokolle genannt.an einem kritischen Punkt offen: Keine Aussage zu Aufbewahrung und Löschung.belegt, an eine Auflage gebundenEigene Verantwortung; gelöschte Datensätze liegen ohne Verfallsfrist im Papierkorb der Anwendung, bis jemand ihn leertStand 2026-07-30TrashBundle bewahrt gelöschte Datensätze zur Wiederherstellung auf und kennt keine automatische VerfallsfristZur QuelleFristen, Löschung und Sicherungen bestimmt und schuldet der Betreiber. Für die Löschpraxis ist ein Detail wichtig: Sulu bringt ein TrashBundle mit, das gelöschte Datensätze samt der zur Wiederherstellung nötigen Daten aufbewahrt und sie erst auf Anstoß endgültig entfernt. Eine automatische Verfallsfrist sieht die Dokumentation nicht vor. Ein Löschkonzept muss also festlegen, wann der Papierkorb geleert wird, sonst überlebt der Datensatz die eigene Löschfrist.Stand 2026-07-30
ZertifikateMaßstab für diesen Punkt: Zertifikatebelegt, ohne Auflage: Mehrere anerkannte Nachweise, benannt mit Norm, Fassung und Geltungsbereich, und bezogen auf den Anbieter selbst.belegt, an eine Auflage gebunden: Ein anerkannter Nachweis für den Anbieter belegt, der Bericht aber nur auf Anfrage, oder der Nachweis hängt an einem Tarif, oder der Geltungsbereich bleibt teilweise offen.belegt, aber ungünstig: Nur pauschale Nennung ohne Norm-Fassung und Geltungsbereich, oder bloße Selbstauskunft, oder die Nachweise gehören dem Infrastrukturanbieter statt dem Anbieter, oder der Prüfzeitraum ist erkennbar veraltet, oder die eigenen Angaben widersprechen sich.an einem kritischen Punkt offen: Kein Nachweis genannt und keine Sicherheits- oder Vertrauensseite vorhanden.belegt, an eine Auflage gebundenKeine für die Software, und für die Sulu GmbH selbst keine auffindbar; für Sulu.cloud trägt die Nachweise Upsun mit ISO 27001, SOC 2 Typ 2 und PCI DSS Level 1Stand 2026-07-30Sicherheitsrichtlinie des Kernrepositorys: Meldungen an security@sulu.io, versorgt werden nur Versionen ab 2.6.0Zur QuelleEine selbst betriebene Software trägt keine Betriebszertifikate. Nachweise liefert der eigene Betrieb oder der Hoster. Eine Sicherheits- oder Vertrauensseite der Sulu GmbH mit Prüfberichten haben wir nicht gefunden; gesucht wurde auf sulu.io, in den Datenschutzhinweisen, im Impressum und über die Websuche. Was es gibt, ist eine veröffentlichte Sicherheitsrichtlinie im Kernrepository: Meldeadresse security@sulu.io, versorgt werden nur Versionen ab 2.6.0. Für den betreuten Betrieb greifen die Zertifikate von Upsun, nachzulesen unter https://upsun.com/trust-center/. Sie gelten der Plattform, nicht der Anwendung.Stand 2026-07-30
EU-KI-Verordnung, Artikel 50Maßstab für diesen Punkt: EU-KI-Verordnung, Artikel 50belegt, ohne Auflage: Der Anbieter macht eine belegte Aussage, die die eigene Pflicht trägt, etwa Modelldokumentation und Zertifizierung nach ISO/IEC 42001; oder das Werkzeug enthält nachvollziehbar begründet kein KI-System im Sinne der Verordnung.belegt, an eine Auflage gebunden: Der Anbieter äußert sich zur Verordnung oder ordnet die eigene Funktion ein, eine benannte Zusage zu den Transparenzpflichten aus Artikel 50 fehlt aber; oder das Werkzeug enthält kein KI-System, das gegenüber Menschen auftritt, und der Anbieter schweigt.belegt, aber ungünstig: Das Produkt enthält KI-Funktionen, der Anbieter schweigt dazu oder trägt ein Selbstetikett ohne Nachweis; die Kennzeichnung ist vom Betreiber aber selbst setzbar.an einem kritischen Punkt offen: KI spricht im Produkt unmittelbar mit Endkunden und der Anbieter sagt zu Artikel 50 nichts; die Kennzeichnung lässt sich ohne Zusage des Anbieters nicht sicher setzen.belegt, ohne AuflageNicht berührt in der Grundinstallation; mit Sulu.ai entsteht die Transparenzpflicht aus Artikel 50 beim BetreiberStand 2026-07-30sulu.io/aiZur QuelleOhne angebundene KI-Funktion entsteht keine Transparenzpflicht aus Artikel 50. Sulu.ai ist genau eine solche Funktion, denn es erzeugt Texte, Metadaten, Alternativtexte und Übersetzungen. Die Pflicht trifft dann den Betreiber der Website, nicht den Hersteller der Software. Die Sulu GmbH macht auf ihren Seiten zum KI-Angebot keine Angaben zum AI Act; geprüft wurden https://sulu.io/ai, https://sulu.io/sulu-ai und der Ankündigungsbeitrag vom 03.02.2026.Stand 2026-07-30
ProtokollierungMaßstab für diesen Punkt: Protokollierungbelegt, ohne Auflage: Nachvollziehbares Protokoll über Zugriffe und Änderungen in allen Tarifen enthalten, mit benannter Frist und Ausleitung in eigene Systeme; oder die Nachvollziehbarkeit liegt vollständig in eigener Hand, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Protokoll vorhanden, aber an einen höheren Tarif oder einen kostenpflichtigen Zusatz gebunden, oder die Ausleitung fehlt in den unteren Stufen; Reichweite und Frist sind benannt.belegt, aber ungünstig: Protokolle sind nur anbieterseitig beschrieben, oder Reichweite und Frist bleiben offen, sodass sich Nachweispflichten nicht planen lassen.an einem kritischen Punkt offen: Öffentlich nicht belegt, ob der Kunde überhaupt ein auswertbares Protokoll erhält.belegt, ohne AuflageIm Kern angelegt: Sulu bringt ein ActivityBundle mit, das Ereignisse mit Typ, Ressource und Benutzer in der eigenen Datenbank festhältStand 2026-07-30Protokollierung voreingestellt über Doctrine, Adapter auf null abschaltbar, persist_payload voreingestellt ausZur QuelleWeil Anwendung und Datenbank im eigenen Zugriff sind, ist Nachvollziehbarkeit eine Frage der Umsetzung, nicht des Tarifs. Die Grundlage liefert Sulu mit: Das ActivityBundle liegt im Kernpaket neben Admin-, Security- und TrashBundle und speichert Aktivitäten voreingestellt über Doctrine in der eigenen Datenbank. Zwei Stellschrauben muss der Betreiber bewusst setzen, denn der Adapter lässt sich auf null stellen und schaltet die Speicherung damit ab, und die Nutzlast eines Ereignisses wird nur mitgeschrieben, wenn persist_payload eingeschaltet ist. Voreingestellt ist sie aus.Stand 2026-07-30

Was es wirklich kostet

Einstieg

Die Software ist unter MIT-Lizenz kostenlos. Bezahlt werden Support, Beratung, Schulung und Entwicklung; eine öffentliche Preisliste dazu haben wir nicht gefunden.Stand 2026-07-30MIT-Lizenz, Anbieter Sulu GmbH, Art der bezahlten LeistungenZur Quelle

Stand 2026-07-30

Was teuer wird

Der Betrieb. Server, Aktualisierungen, Sicherungen, Sicherheitslücken und die Person, die im Ernstfall erreichbar ist. Wer das nicht einplant, hat nicht gespart, sondern die Rechnung verschoben.

Was es verdrängt

  • Lizenzkosten eines bezogenen Redaktionssystems
  • Abhängigkeit von einem Anbieter-Speicherort

Schnittstellen

  • Symfony-Anwendung
  • Eigene Datenbank
  • REST-Erweiterungen im eigenen Code

Passende Methoden

  • Operating-Model-Raster (Standardisierung und Integration)Das Raster entscheidet, was zentral gebaut wird und was lokal bleibt, und ein System, das mehrere Websites und Sprachen auf einem Kern führt, ist die technische Entsprechung hoher Standardisierung bei getrennten Einheiten.
  • Regulatorik-Dichte-TestDer Test scheidet die allgemeine Pflicht von der besonderen Betroffenheit, und der Eigenbetrieb zahlt sich erst dort aus, wo Auflagen zu Speicherort oder Zugriff tatsächlich enger sind als beim Wettbewerb.

Alternativen

Quellen

  1. 1.MIT-Lizenz, Anbieter Sulu GmbH, Art der bezahlten Leistungen (öffnet in neuem Tab)sulu.io/en · Stand 2026-07-30
  2. 2.Firmensitz Dornbirn, FN 495861h, Geschäftsführer Thomas Schedler, Eigentumsverhältnisse 75 zu 25 (öffnet in neuem Tab)sulu.io/imprint · Stand 2026-07-30
  3. 3.Die veröffentlichten Datenschutzhinweise stammen aus Oktober 2019, decken nur die eigene Website ab, nennen MailChimp und Google Analytics in den USA und enthalten keinen Auftragsverarbeitungsvertrag (öffnet in neuem Tab)sulu.io/privacy-and-legal-notices · Stand 2026-07-30
  4. 4.Sicherheitsrichtlinie des Kernrepositorys: Meldungen an security@sulu.io, versorgt werden nur Versionen ab 2.6.0 (öffnet in neuem Tab)github.com/sulu/sulu/security/policy · Stand 2026-07-30
  5. 5.Sulu.cloud ist Sulu auf SymfonyCloud beziehungsweise Upsun; die Infrastruktur betreibt Upsun, ein eigenes Upsun-Konto ist nötig (öffnet in neuem Tab)sulu.io/cloud · Stand 2026-07-30
  6. 6.Ankündigung des betreuten Betriebs Sulu.cloud am 18.02.2026, verfügbar mit Testzeitraum (öffnet in neuem Tab)sulu.io/… · Stand 2026-02-18
  7. 7.Upsun veröffentlicht einen Auftragsverarbeitungsvertrag und bindet darin auch seine Unterauftragnehmer (öffnet in neuem Tab)upsun.com/trust-center/privacy/dpa · Stand 2026-07-30
  8. 8.Unterauftragnehmerliste von Upsun mit Stand 23.09.2025, darunter Fastly, Sentry und SendGrid in den USA (öffnet in neuem Tab)upsun.com/trust-center/privacy/subprocessor-list · Stand 2025-09-23
  9. 9.Zusage von Upsun, dass Projektdaten die gewählte Region nicht verlassen, und Berufung auf die EU-Standardvertragsklauseln bei Übermittlung aus dem Europäischen Wirtschaftsraum (öffnet in neuem Tab)upsun.com/trust-center/privacy · Stand 2026-07-30
  10. 10.EU-Regionen bei Upsun: de-2 Deutschland, fr-3 und fr-4 Frankreich, eu Irland, eu-5 Schweden (öffnet in neuem Tab)developer.upsun.com/docs/development/regions · Stand 2026-07-30
  11. 11.Zertifikate der Plattform Upsun: ISO 27001, SOC 2 Typ 2, PCI DSS Level 1 (öffnet in neuem Tab)upsun.com/trust-center · Stand 2026-07-30
  12. 12.Sulu.ai seit 03.02.2026 verfügbar, Anbindung über einen Schlüssel, Wahl zwischen OpenAI, Anthropic, Mistral, Google und DeepL, europäische Modellklasse auf Mistral-Basis (öffnet in neuem Tab)sulu.io/… · Stand 2026-02-03
  13. 13.ActivityBundle und TrashBundle liegen im Kernpaket neben Admin- und SecurityBundle (öffnet in neuem Tab)github.com/sulu/sulu/tree/2.6/src/Sulu/Bundle · Stand 2026-07-30
  14. 14.Protokollierung voreingestellt über Doctrine, Adapter auf null abschaltbar, persist_payload voreingestellt aus (öffnet in neuem Tab)docs.sulu.io/3.x/bundles/activity.html · Stand 2026-07-30
  15. 15.TrashBundle bewahrt gelöschte Datensätze zur Wiederherstellung auf und kennt keine automatische Verfallsfrist (öffnet in neuem Tab)docs.sulu.io/3.x/bundles/trash.html · Stand 2026-07-30
  16. 16.wirtschaft.at/u/495861h (öffnet in neuem Tab)Stand 2026-07-30
  17. 17.firmenabc.at/sulu-gmbh_OaVT (öffnet in neuem Tab)Stand 2024-12-31
  18. 18.sulu.io/blog/our-open-source-commitment (öffnet in neuem Tab)Stand 2025-06-25
  19. 19.github.com/sulu/sulu (öffnet in neuem Tab)Stand 2026-07-27
  20. 20.github.com/sulu/sulu/releases (öffnet in neuem Tab)Stand 2026-07-17
  21. 21.sulu.io/ai (öffnet in neuem Tab)Stand 2026-07-30

Zuletzt geprüft: 2026-07-30 von Dr. Oliver Gausmann, Convios GmbH

Angaben veraltet? Schreiben Sie uns.

← Zurück zum Werkzeugkasten