„Wo wird gehostet?“ klingt nach einer Frage für die IT-Abteilung. Ist es nicht. Der Verarbeitungsort bestimmt, welches Rechtsregime für Ihre Daten gilt, welche Verträge Sie brauchen und was Sie einem fragenden Kunden antworten können.
Die Rechtslage, kurz gefasst
Die Verarbeitung personenbezogener Daten innerhalb der EU beziehungsweise des EWR erfolgt unmittelbar unter der DSGVO. Es braucht keine Übermittlungsgrundlage, und die Prüfung ist unkompliziert.
Die Verarbeitung in einem Drittland verlangt eine Rechtsgrundlage für die Übermittlung nach Art. 44 ff. – einen Angemessenheitsbeschluss, Standardvertragsklauseln oder einen anderen anerkannten Mechanismus, gegebenenfalls mit ergänzenden Maßnahmen.
Das ist nicht bloß Papierkram. Die Regelungen für transatlantische Übermittlungen wurden im vergangenen Jahrzehnt mehrfach angegriffen und ersetzt. Ein Aufbau, der von der jeweils aktuellen Regelung abhängt, trägt ein Risiko, das sich bereits zweimal für Unternehmen verwirklicht hat, die etwas anderes angenommen hatten.
Warum KI das verschärft
Bei klassischer Software wissen Sie in der Regel, welche Daten wohin gehen. Bei einer KI-Assistenz tippen Mitarbeiter, wozu sie gerade Hilfe brauchen – die Beschwerde eines Kunden, einen Lebenslauf, einen Vertragsentwurf, Einzelheiten einer Auseinandersetzung.
Das Spektrum personenbezogener Daten, das durch das System fließt, ist damit breiter und weniger vorhersehbar als bei einem System mit strukturierten Feldern. Überschreitet dieser Fluss eine Grenze, tut er es fortlaufend und ohne dass jemand im Einzelfall entscheidet.
Was „in der EU“ heißen muss
Die Aussage verdient genaues Nachfragen, denn sie trifft oft auf den Hauptdienst zu und nicht auf alles darum herum.
Fragen Sie nach der Region, benannt. Fragen Sie, wo Daten ruhend gespeichert und wo sie während der Verarbeitung verarbeitet werden – das kann auseinanderfallen. Fragen Sie nach Backups und Notfallwiederherstellung, die manchmal anderswohin repliziert werden. Fragen Sie nach Nebenfunktionen wie Missbrauchs- oder Sicherheitsüberwachung, einer häufigen Quelle unerwarteter Übermittlung. Und fragen Sie nach Supportzugriff – ob Mitarbeiter außerhalb der EU bei der Bearbeitung eines Tickets Kundendaten sehen können.
Ein Anbieter, der darüber nachgedacht hat, antwortet präzise. Einer, der es nicht hat, antwortet mit einem Slogan.
Über die Compliance hinaus
Zwei weitere Gründe, warum das geschäftlich zählt.
Ihre Kunden fragen. Zunehmend verlangen Beschaffungsprozesse und größere Kunden eine konkrete Antwort zum Verarbeitungsort. Eine ohne Einschränkung geben zu können, nimmt Reibung aus dem Vertrieb.
Latenz und Souveränität. Physische Entfernung beeinflusst die Antwortzeit. Und für öffentliche Auftraggeber oder regulierte Branchen ist EU-Verarbeitung häufig harte Anforderung statt Präferenz.
Der Kompromiss, ehrlich benannt
EU-Regionen erhalten neue KI-Modellversionen gelegentlich später als US-Regionen, und die verfügbare Auswahl kann enger sein. Das ist ein echter Nachteil.
Für die meisten Geschäftsprozesse ist er klein – der Fähigkeitsunterschied zwischen Modellgenerationen zählt bei Dokumentenextraktion oder Textentwürfen weit weniger, als das Marketing nahelegt. Aber es ist ein realer Kompromiss und sollte benannt statt beschönigt werden.
Die praktische Empfehlung
Legen Sie die Region vertraglich fest, statt sie als Standardeinstellung hinzunehmen. Standardeinstellungen ändern sich bei Serviceaktualisierungen; Vertragsbestimmungen nicht.
Dieser Beitrag ist allgemeine Information und keine Rechtsberatung. Lassen Sie Ihren konkreten Fall von einer Anwältin oder einem Anwalt prüfen.
