Datenresidenz
Der geografische Ort, an dem Daten gespeichert und verarbeitet werden. Bei KI-Diensten entscheidet die Datenresidenz darüber, ob Prompts und Dokumente in der EU verbleiben oder in einen Drittstaat gelangen — mit unmittelbaren Folgen für die DSGVO-Konformität.
Datenresidenz beschreibt, in welchem Land oder welcher Region Daten physisch gespeichert und verarbeitet werden. Bei KI-Diensten ist das keine technische Randnotiz, sondern eine der wichtigsten Compliance-Fragen überhaupt: Sobald ein Prompt, ein hochgeladenes Dokument oder eine Konversation zur Verarbeitung an einen Server gesendet wird, entscheidet dessen Standort darüber, welchem Rechtsraum diese Daten unterliegen. Verlässt personenbezogene Information die EU, greifen die strengen Regeln der DSGVO zum Drittstaatentransfer.
Warum der Verarbeitungsort zählt
Die DSGVO erlaubt die Übermittlung personenbezogener Daten in ein Land außerhalb der EU nur unter bestimmten Voraussetzungen. Für einige Länder existiert ein Angemessenheitsbeschluss der EU-Kommission, der ein gleichwertiges Datenschutzniveau bescheinigt. Für Übermittlungen in die USA gilt seit 2023 das EU-U.S. Data Privacy Framework — ein Rahmen, der allerdings weiterhin rechtlich angefochten wird und dessen Bestand nicht als dauerhaft gesichert gelten sollte. Für Länder ohne Angemessenheitsbeschluss — etwa China — müssen zusätzliche Garantien wie Standardvertragsklauseln und eine Risikoprüfung im Sinne des Schrems-II-Urteils herangezogen werden. Ohne solche Grundlagen ist der Transfer schlicht unzulässig.
Gerade bei offenen KI-Modellen entkoppelt sich die Herkunft des Modells von seinem Verarbeitungsort. Ein in China oder den USA entwickeltes Open-Weights-Modell kann bei einem europäischen Anbieter oder im eigenen Rechenzentrum betrieben werden — dann findet die Inferenz in der EU statt, und die Datenresidenz ist gewahrt, obwohl das Modell selbst aus einem Drittstaat kommt.
Datenresidenz und Souveränität
Datenresidenz ist eng mit KI-Souveränität verbunden, aber nicht dasselbe. Datenresidenz beantwortet nur die Frage nach dem Ort der Verarbeitung. Souveränität geht weiter und schließt die Kontrolle über Technologie, Betrieb und rechtlichen Zugriff mit ein — denn Daten in einem EU-Rechenzentrum eines US-Konzerns können theoretisch weiterhin unter den Zugriff ausländischer Behörden fallen. Anbieterseitige Zusicherungen wie die EU Data Boundary adressieren genau diese Lücke, indem sie Verarbeitung und Speicherung vertraglich auf europäische Rechenzentren begrenzen.
Relevanz für KMUs
Für den Mittelstand ist die Datenresidenz die erste Prüffrage bei jedem KI-Dienst: Wo werden meine Eingaben verarbeitet, und lässt sich das dokumentieren? Viele Anbieter machen dazu unterschiedlich klare Angaben — von garantierter EU-Datenresidenz bis zu gar keiner Aussage. Wer sensible Kunden-, Personal- oder Vertragsdaten in KI-Systeme gibt, sollte den Verarbeitungsort vertraglich absichern und im Verzeichnis von Verarbeitungstätigkeiten dokumentieren. Bei der Auswahl DSGVO-konformer Modelle und Betreiber unterstützt unsere KI-Strategie & Beratung.