EU vs. US Datenhosting für KI-Tools: Warum der Standort für Ihr Unternehmen zählt

Beim Datenhosting für KI-Tools entscheidet der Standort darüber, welches Recht für Ihre Kundendaten gilt, welche Verträge Sie brauchen und wie viel Dokumentationsaufwand auf Sie zukommt. Dieser Beitrag erklärt den Unterschied zwischen EU- und US-Datenhosting in verständlicher Sprache und gibt Ihnen eine Checkliste an die Hand, mit der Sie jeden Anbieter prüfen können.

Warum der Standort bei KI-Tools mehr zählt als bei anderer Software

Ein KI-Assistent, der Anrufe annimmt oder im Website-Chat antwortet, verarbeitet genau die Daten, die besonders schützenswert sind: Namen, Telefonnummern, Terminwünsche und oft auch das eigentliche Anliegen. In einer Physiotherapiepraxis ist das der Hinweis auf Rückenschmerzen, in einer Kanzlei der Streit mit dem Vermieter, im Autohaus die Frage nach der Finanzierung. Diese Inhalte liegen anschließend in einer Datenbank, werden aber vorher von einem Sprachmodell verarbeitet, protokolliert und eventuell für Auswertungen gespeichert.

Damit reicht die Frage, wo der Server steht, nicht aus. Es geht ebenso darum, wer den Dienst betreibt, welche Unterauftragnehmer beteiligt sind und ob Daten zum Training von Modellen verwendet werden.

EU vs. US Datenhosting: die rechtlichen Unterschiede

Verarbeitung innerhalb der EU

Werden personenbezogene Daten in der EU verarbeitet, gilt die DSGVO unmittelbar, und Sie brauchen mit dem Anbieter einen Auftragsverarbeitungsvertrag. Zusätzliche Prüfungen für Drittlandübermittlungen entfallen, solange auch alle Unterauftragnehmer in der EU oder in Ländern mit anerkanntem Datenschutzniveau arbeiten. Für Ihre Dokumentation ist das der einfachste Fall.

Übermittlung in die USA

Für Datenübermittlungen in Drittländer stellt die DSGVO zusätzliche Anforderungen. Der Europäische Gerichtshof hat in der Vergangenheit bereits ein Abkommen zum Datenaustausch mit den USA für unwirksam erklärt, die bekannte Entscheidung „Schrems II“. Inzwischen gibt es mit dem EU-US Data Privacy Framework wieder eine Grundlage, auf die sich US-Unternehmen berufen können, wenn sie sich dafür registriert haben. Es wurde jedoch bereits gerichtlich angegriffen, und wie stabil es auf Dauer ist, kann heute niemand verlässlich sagen.

Ist ein US-Anbieter nicht unter diesem Rahmen gelistet, braucht es andere Garantien, in der Regel Standardvertragsklauseln und eine Bewertung, ob die Daten im Zielland ausreichend geschützt sind. Für ein kleines Unternehmen bedeutet das zusätzlichen Prüf- und Dokumentationsaufwand.

Der Haken mit dem EU-Rechenzentrum

Ein Server in Frankfurt allein löst nicht jedes Problem. Gehört der Anbieter zu einem US-Konzern, kann er nach US-Recht verpflichtet sein, Behörden Zugriff auf Daten zu gewähren, auch wenn diese in Europa liegen. Dieser Punkt wird unter Datenschützern intensiv diskutiert. Für Sie heißt das: Fragen Sie nicht nur nach dem Serverstandort, sondern auch nach dem Sitz des Betreibers und seiner Muttergesellschaft. Eine Gegenüberstellung finden Sie im Beitrag Deutsche vs. internationale KI-Anbieter.

Wo bei KI-Tools Daten unbemerkt das Land verlassen

Viele Anbieter werben mit EU-Hosting, nutzen aber im Hintergrund Dienste, die anderswo laufen. Typische Stellen:

• Das Sprachmodell: Die Anwendung läuft in der EU, die Anfragen gehen aber an ein Modell, das in den USA betrieben wird.
• Sprach- und Transkriptionsdienste: Bei Telefonassistenten wird Sprache oft bei einem separaten Dienstleister in Text umgewandelt.
• Support und Wartung: Mitarbeiter in Drittländern haben Fernzugriff auf Systeme oder Protokolle.
• Analyse- und Monitoring-Werkzeuge: Fehlerberichte enthalten manchmal Ausschnitte aus Gesprächen.
• Messenger-Kanäle: Bei WhatsApp oder anderen Diensten gelten zusätzlich deren Bedingungen.

Ein Blick in die Liste der Unterauftragsverarbeiter, die jeder seriöse Anbieter bereitstellen muss, zeigt diese Stellen meist schnell.

Checkliste: So prüfen Sie einen KI-Anbieter

1. Serverstandort: In welchem Land und bei welchem Rechenzentrumsbetreiber werden Daten gespeichert und verarbeitet?
2. Betreiber: Wo hat der Anbieter seinen Sitz, und gehört er zu einer Unternehmensgruppe außerhalb der EU?
3. Unterauftragnehmer: Welche Dienste sind beteiligt, insbesondere für Sprachmodell, Sprache und Support, und wo sitzen sie?
4. Auftragsverarbeitungsvertrag: Liegt ein Vertrag nach Art. 28 DSGVO vor, und regelt er Löschfristen und technische Maßnahmen?
5. Training: Werden Ihre Gesprächsdaten zum Training von Modellen genutzt? Lässt sich das vertraglich ausschließen?
6. Speicherdauer: Wie lange werden Gesprächsverläufe und Aufnahmen aufbewahrt, und können Sie sie selbst löschen?
7. Sicherheit: Welche Nachweise gibt es, etwa ein Informationssicherheitsmanagement nach ISO 27001 oder vergleichbare Prüfungen? Warum das wichtig ist, erklärt der Beitrag ISO 27001 bei der Anbieterauswahl.
8. Ausstieg: Wie erhalten Sie Ihre Daten bei Vertragsende zurück, und wann werden sie gelöscht?

Diese Fragen sollte ein Anbieter schriftlich und ohne Ausflüchte beantworten können. Ausführlicher zum gesamten Thema Sicherheit: KI-Datensicherheit für Unternehmen.

Besondere Anforderungen für Berufsgeheimnisträger

Ärzte, Anwälte, Steuerberater und Psychotherapeuten unterliegen zusätzlich der beruflichen Schweigepflicht. Setzen sie externe Dienstleister ein, müssen diese zur Verschwiegenheit verpflichtet werden, und die Weitergabe ist auf das Notwendige zu beschränken. Gesundheitsdaten gehören außerdem zu den besonderen Kategorien personenbezogener Daten mit strengeren Regeln. In diesen Berufen ist ein Anbieter mit Betrieb und Datenhaltung vollständig in der EU meist die deutlich einfachere Wahl. Holen Sie im Zweifel den Rat Ihres Datenschutzbeauftragten oder Ihrer Kammer ein.

Neurobots betreibt seine digitalen Mitarbeiter DSGVO-konform auf Servern in Frankfurt am Main. Eine ISO-27001-Zertifizierung ist in Vorbereitung. Unabhängig davon empfehlen wir, auch bei uns die Checkliste oben durchzugehen und sich die Antworten schriftlich geben zu lassen.

Wann US-Hosting trotzdem vertretbar sein kann

Nicht jede Anwendung ist gleich heikel. Ein KI-Werkzeug, das ausschließlich anonymisierte Texte formuliert oder öffentlich verfügbare Produktinformationen zusammenfasst, verarbeitet kaum personenbezogene Daten. Hier kann ein US-Dienst mit sauberer vertraglicher Grundlage vertretbar sein. Sobald jedoch Kundengespräche, Termine oder Gesundheitsangaben ins Spiel kommen, wiegt der Standort deutlich schwerer.

Häufige Fragen

Reicht ein Server in Deutschland für DSGVO-Konformität?

Nein. Der Standort ist ein wichtiger Baustein, aber ebenso zählen Auftragsverarbeitungsvertrag, Unterauftragnehmer, Löschkonzept, Zugriffsrechte und die Information Ihrer Kunden in der Datenschutzerklärung. Einen Überblick gibt der Beitrag DSGVO und KI-Chatbots.

Dürfen wir US-Tools überhaupt noch nutzen?

Grundsätzlich ja, wenn eine tragfähige Rechtsgrundlage für die Übermittlung besteht und Sie das dokumentieren. Der Aufwand ist höher, und das Risiko, bei einer Änderung der Rechtslage nacharbeiten zu müssen, tragen Sie mit.

Was ist mit dem EU AI Act?

Der EU AI Act regelt nicht den Hosting-Standort, sondern Pflichten rund um KI-Systeme. Für Kundenkommunikation heißt das vor allem: Menschen sollten erkennen können, dass sie mit einer KI sprechen. Weisen Sie zu Beginn des Gesprächs darauf hin.

Müssen wir unsere Kunden über den Einsatz informieren?

Ja. Ihre Datenschutzerklärung sollte den KI-Assistenten, den Zweck der Verarbeitung und die Empfänger nennen. Bei Drittlandübermittlungen gehört auch das hinein.

Fazit

Beim Datenhosting für KI-Tools ist der EU-Standort für die meisten kleinen und mittleren Unternehmen die einfachere und risikoärmere Wahl, vor allem wenn Gesundheits-, Mandanten- oder Finanzdaten im Spiel sind. Entscheidend ist aber das Gesamtbild aus Betreiber, Unterauftragnehmern und Verträgen, nicht allein die Adresse des Rechenzentrums. Wie ein digitaler Mitarbeiter mit EU-Datenhaltung im sensiblen Praxisalltag eingesetzt wird, zeigt die Seite KI-Praxisassistenz für Arztpraxen.