Wo stehen die Server, und verlassen die Daten die EU?

Drei Orte, die man auseinanderhalten muss

1. Wo die Anwendung läuft. Der Ort, den fast alle meinen, wenn sie nach dem Serverstandort fragen.
2. Wo die Sicherungskopien liegen. Häufig ein anderes Rechenzentrum, manchmal ein anderes Land. Wird selten gefragt und ist datenschutzrechtlich genauso relevant.
3. Wo Zusatzdienste rechnen. E-Mail-Versand, Kartendienste, Schriftarten, Fehlerüberwachung, Suchdienste, KI-Modelle. Das ist der Punkt, an dem Daten in der Praxis am häufigsten die EU verlassen – nicht der Hauptserver.

Wer nach dem Serverstandort fragt, sollte alle drei Punkte abfragen. Sonst beantwortet die Auskunft „Rechenzentrum in Europa" eine Frage, die man nicht gestellt hat.

Der rechtliche Rahmen in Kurzform

Für die USA besteht seit dem 10. Juli 2023 wieder ein Angemessenheitsbeschluss – aber nur für Unternehmen, die sich unter dem EU-US Data Privacy Framework zertifiziert haben. Ob ein konkreter Anbieter zertifiziert ist, muss man nachsehen; die Zugehörigkeit zu einem US-Konzern genügt nicht.

Außerhalb dieses Beschlusses gilt weiterhin, was der Europäische Gerichtshof am 16. Juli 2020 in der Sache C-311/18 („Schrems II") entschieden hat: Standardvertragsklauseln allein reichen nicht, es ist zusätzlich zu prüfen, ob im Empfängerland ein gleichwertiges Schutzniveau tatsächlich erreichbar ist.

Warum ein EU-Rechenzentrum allein nichts beweist

Ein Serverraum in Frankfurt hilft wenig, wenn der Betreiber der Rechtsordnung eines Drittstaats untersteht, die Herausgabe verlangen kann. Umgekehrt ist ein Schweizer Anbieter datenschutzrechtlich unproblematisch, obwohl die Schweiz nicht zur EU gehört – wegen des Angemessenheitsbeschlusses. Die Schweiz hat zudem ihr eigenes Datenschutzgesetz revidiert; das revidierte DSG gilt seit dem

1. September 2023.

Die richtige Frage lautet also nicht „Wo steht der Rechner?", sondern „Wer hat rechtlich Zugriff darauf?". Dazu gehört auch: Ein Fernzugriff aus einem Drittland ist bereits eine Übermittlung im Sinne der DSGVO, unabhängig davon, wo die Daten gespeichert sind.

KI ist der kritische Punkt

Wer eine Funktion an ein Sprachmodell auslagert, überträgt den Inhalt der Anfrage – bei einem CRM sind das Kundendaten, bei einer Rechnungsprüfung Geschäftsdaten, bei medizinnaher Software besonders geschützte Daten nach Art. 9 DSGVO. Deshalb betreiben wir mit ki.ouhud.com einen eigenen Modellserver. Wo dieser rechnet: eigener Server, keine Übermittlung in die USA.

Hinzu kommt die KI-Verordnung der EU, Verordnung (EU) 2024/1689. Sie ist im August 2024 in Kraft getreten und gilt gestaffelt; der überwiegende Teil der Pflichten wird ab August 2026 anwendbar. Für die meisten Anwendungen in Geschäftssoftware sind vor allem die Transparenzpflichten relevant – Nutzerinnen und Nutzer müssen erkennen können, dass sie mit einem KI-System interagieren.

Was Sie von jedem Dienstleister verlangen sollten

• Einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• Eine vollständige Liste der Unterauftragsverarbeiter mit Sitz, Zweck und Angabe des Landes – einschließlich Mailversand, Überwachung und KI-Diensten.
• Die Angabe, in welchem Land die Sicherungskopien liegen und wie lange.
• Bei KI-Funktionen: welches Modell, welcher Betreiber, und ob die Eingaben zum Training verwendet werden. Die letzte Frage wird selten gestellt und ist die wichtigste.

Ein Anbieter, der diese Liste nicht innerhalb weniger Tage liefern kann, führt sein Verzeichnis nach Art. 30 DSGVO vermutlich nicht.