Der Aufkleber und die Wirklichkeit
"Gehostet in der EU" steht heute auf fast jeder KI-Tool-Landingpage. Der Satz suggeriert Sicherheit, sagt aber für sich genommen fast nichts. Die entscheidenden Fragen liegen darunter: Wo werden die Daten verarbeitet, nicht nur gespeichert? Welche Sub-Dienstleister sehen die Daten? Und wer hat rechtlich Zugriff?
Dieser Beitrag hilft, den Aufkleber vom Substanz zu unterscheiden.
Speicherung ist nicht Verarbeitung
Der erste Trick, auf den man hereinfällt: Ein Anbieter speichert seine Datenbank in Frankfurt, schickt aber jede Anfrage zur Verarbeitung an ein Sprachmodell, das in einem US-Rechenzentrum läuft. Formal "in der EU gespeichert", faktisch in den USA verarbeitet.
Bei KI-Tools ist die Verarbeitung der heiße Punkt, weil genau dort die eigentlichen Inhalte durchlaufen — der Text der Kundenmail, die Namen in der Anfrage, der Inhalt des Angebots. Fragen Sie deshalb nicht "wo liegen die Daten", sondern "wo läuft das Modell, das meine Inhalte liest".
Die Sub-Prozessor-Kette
Kein KI-Anbieter baut alles selbst. Es gibt fast immer eine Kette: Ihr Anbieter nutzt einen Cloud-Provider, ein oder mehrere Modell-Anbieter, vielleicht einen Vektor-Datenbank-Dienst, einen E-Mail-Versender. Jedes Glied dieser Kette ist ein Sub-Prozessor, der potenziell Ihre Daten berührt.
Ein seriöser Anbieter legt diese Kette offen. Er hat eine öffentliche Sub-Prozessor-Liste, in der für jeden Dienst steht:
- Welche Datenkategorien er verarbeitet
- In welchem Land er sitzt
- Auf welcher Rechtsgrundlage (bei Drittländern: Standardvertragsklauseln)
- Wann er zuletzt geprüft wurde
Gibt es diese Liste nicht oder ist sie schwammig, ist das ein Warnsignal.
Das Drittland-Problem realistisch einordnen
Manche Modell-Fähigkeiten kommen heute von Anbietern mit US-Mutterkonzern. Das pauschal zu verteufeln wäre unehrlich — es kommt auf die konkrete Ausgestaltung an: EU-Verarbeitungsregionen, vertragliche Zusicherungen, Standardvertragsklauseln, Zusatzgarantien.
Die ehrliche Haltung: Ein Anbieter sollte
- transparent machen, welche Verarbeitung wo stattfindet,
- wo möglich EU-Verarbeitung wählen,
- wo ein Drittland-Bezug besteht, die rechtlichen Garantien dokumentieren,
- und Ihnen die Wahl lassen, wo es die gibt.
Wer stattdessen so tut, als gäbe es überhaupt keinen Drittland-Bezug, obwohl er US-Modelle nutzt, ist der unehrlichere Partner.
Die Fragen, die Sie stellen sollten
Nehmen Sie diese Liste ins nächste Anbieter-Gespräch mit:
- Wo werden meine Inhalte verarbeitet (nicht nur gespeichert)?
- Gibt es eine öffentliche Sub-Prozessor-Liste? Zeigen Sie sie mir.
- Schließen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ab — und wie sieht er aus?
- Werden meine Daten zum Training von Modellen verwendet? (Die Antwort sollte ein klares Nein für Ihre Inhalte sein.)
- Wie kann ich meine Daten exportieren und löschen lassen — ist das eine Funktion oder ein E-Mail-Prozess?
- Gibt es ein Audit-Log, das mir zeigt, was mit meinen Daten passiert ist?
Ein Anbieter, der diese sechs Fragen ohne Zögern und mit Belegen beantwortet, hat Datenschutz architektonisch ernst genommen. Einer, der ausweicht, verkauft Ihnen den Aufkleber.
Wie wir es bei ORCONIC handhaben
Kurz und konkret, ohne Selbstbeweihräucherung: Wir hosten in Deutschland, führen eine öffentliche Sub-Prozessor-Liste unter /trust/subprocessors, schließen einen echten Art.-28-Vertrag über eine Klickstrecke ab, nutzen Ihre Inhalte nicht zum Modelltraining, und Export wie Löschung sind echte Funktionen mit Audit-Eintrag — nicht E-Mail-Versprechen. Wo Modell-Fähigkeiten einen Drittland-Bezug haben, steht das transparent in der Sub-Prozessor-Liste mit den zugehörigen Garantien.
Fazit
Datenresidenz bei KI-Tools ist kein Häkchen, sondern eine Kette von Fragen. "EU-Hosting" allein ist eine notwendige, aber keine hinreichende Bedingung. Prüfen Sie die Verarbeitung, nicht nur die Speicherung; verlangen Sie die Sub-Prozessor-Liste; bestehen Sie auf einem echten Auftragsverarbeitungsvertrag. Der Aufkleber ist billig — die Substanz dahinter ist es, die Ihren Datenschutzbeauftragten ruhig schlafen lässt.