KI muss nicht pauschal in Deutschland laufen. Entscheidend sind die Daten, Ihre Verträge und die tatsächlichen Zugriffe. Beginnen Sie mit einem konkreten Prozess: Für öffentliche Produkttexte kann ein freigegebener Cloud-Dienst genügen. Bei Kundendaten müssen Verarbeitung und Verträge geprüft sein; bei vertraglich geschützten Konstruktionsdaten kann ein eigener Betrieb erforderlich werden.
Ein Server in Frankfurt beantwortet dabei nur einen Teil der Frage. Prompts können dort verarbeitet werden, während Protokolle, Supportzugriffe oder angebundene Dienste andere Wege nehmen. Vergleichen Sie deshalb den vollständigen Datenfluss, bevor Sie einen Hosting-Standort auswählen.
Was „wo läuft die KI“ technisch bedeutet
Wenn Ihr Unternehmen ein Sprachmodell nutzt, gibt es im Wesentlichen vier Betriebsmodelle, und sie unterscheiden sich erheblich darin, wohin Ihre Daten fließen.
Modell-API mit Verarbeitung in den USA. Hier werden Eingaben auf US-Infrastruktur verarbeitet. Ob das bei einem konkreten Dienst zutrifft, hängt vom Produkt, der gewählten Region und den Vertragsbedingungen ab. Der Sitz des Modellanbieters allein verrät den Verarbeitungsort nicht.
EU-Region eines internationalen Cloud-Anbieters. Eine EU-Region kann europäische Verarbeitung ermöglichen. Prüfen Sie getrennt, welche Zusagen für Modellaufrufe, Speicherung, Backups und Support gelten. Eine Regionsauswahl ist keine Garantie, dass jeder beteiligte Dienst und jeder Zugriff im selben Rechtsraum bleibt.
Europäischer Anbieter. Unternehmenssitz und Infrastruktur in Europa können zu Ihren Vertrags- und Kontrollanforderungen passen. Prüfen Sie trotzdem Unterauftragnehmer und angebundene Dienste. Ob das verfügbare Modell ausreicht, zeigt ein Test mit Ihren Aufgaben und klaren Qualitätskriterien.
Eigene Infrastruktur und lokale Modelle. Ein selbst betriebenes Modell kann sensible Verarbeitung im eigenen Netz halten. Dafür müssen auch Protokolle, Backups, Telemetrie und Schnittstellen entsprechend eingerichtet sein. Hardware, Updates, Zugriffsrechte und Betrieb bleiben Ihre Verantwortung oder die Ihres Betriebspartners.
Die rechtliche Ebene: Was tatsächlich Pflicht ist
Die DSGVO schreibt keinen allgemeinen deutschen Serverstandort vor. Sie verlangt, dass die konkrete Verarbeitung zulässig und abgesichert ist.
Bei personenbezogenen Daten brauchen Sie unter anderem einen festgelegten Zweck, eine passende Rechtsgrundlage und Schutzmaßnahmen. Verarbeitet ein Dienstleister Daten in Ihrem Auftrag, ist ein Vertrag nach Artikel 28 erforderlich. Bei Übermittlungen in Länder außerhalb des EWR kommen die Anforderungen aus Kapitel V hinzu. Das sind zusätzliche Anforderungen an den Transfer, kein Ersatz für die Rechtsgrundlage der Verarbeitung. Maßgeblich ist die DSGVO.
Das EU-US Data Privacy Framework ermöglicht Übermittlungen an teilnehmende US-Unternehmen im Umfang ihrer Zertifizierung. Prüfen Sie den konkreten Empfänger und die erfassten Daten. Andere Transferinstrumente, etwa Standardvertragsklauseln, haben eigene Voraussetzungen; sie sind keine pauschale Absicherung durch eine zusätzliche Unterschrift.
Neben der DSGVO gibt es eine zweite, oft übersehene Pflichtenquelle: Ihre eigenen Verträge. Viele Mittelständler haben Kundenverträge mit Geheimhaltungsklauseln, Vorgaben zu Unterauftragnehmern oder explizite Anforderungen an den Verarbeitungsort. Wer für Automobilkonzerne, Behörden oder das Gesundheitswesen arbeitet, kennt das. Diese vertraglichen Pflichten können strenger sein als die DSGVO, und sie gelten auch für Konstruktionsdaten, Kalkulationen oder Quellcode, also für Daten ohne jeden Personenbezug.
Die wichtigste Sortierfrage lautet nicht „Ist US-Cloud erlaubt?“, sondern: Welche Datenarten fließen in welches System? Personenbezogene Daten, vertraglich geschützte Daten und unkritische Daten haben unterschiedliche Anforderungen. Wer sie in einen Topf wirft, macht die Standortfrage unlösbar. Wer sie trennt, kann sie beantworten.
Die strategische Ebene: Was keine Pflicht ist, aber kluges Risikomanagement
Selbst wenn rechtlich alles sauber ist, bleibt eine zweite Frage: Wie abhängig wollen Sie sein? Das ist keine Datenschutzfrage, sondern eine unternehmerische.
Drei Risiken gehören auf den Tisch. Erstens die Preismacht: Ein aufwendiger Anbieterwechsel schwächt Ihre Verhandlungsposition. Zweitens das Änderungsrisiko: Modelle, Preise und Funktionen können sich ändern; testen Sie deshalb, wie Ihr Prozess mit einer Alternative zurechtkäme. Drittens die Abhängigkeit von Transferbedingungen: Halten Sie fest, welche Datenflüsse neu bewertet werden müssten, falls sich die rechtlichen Voraussetzungen ändern.
Welche Stufe für wen: eine ehrliche Einordnung
Nicht jedes Unternehmen braucht eigene GPU-Server. Diese drei Betriebsmodelle helfen, die Auswahl auf die tatsächlichen Anforderungen einzugrenzen.
Stufe 1: EU-Verarbeitung mit dokumentierten Bedingungen. Prüfen Sie diese Option, wenn ein verwalteter Cloud-Dienst Ihren Prozess abdeckt. Halten Sie Datenflüsse, Speicherfristen, Trainingsnutzung und Zugriffe fest. EU-Hosting und Auftragsverarbeitungsvertrag allein erfüllen noch nicht alle DSGVO-Pflichten.
Stufe 2: Europäische Anbieter für zusätzliche Kontrolle. Wo Verträge oder Beschaffungsregeln dies verlangen, betrachten Sie auch Unternehmenssitz und Rechtsraum. Drittlandtransfers müssen Sie weiterhin prüfen, etwa bei Unterauftragnehmern oder Supportzugriffen.
Stufe 3: Lokale Modelle für Kerndaten. Für sensible Konstruktionsunterlagen, Rezepturen oder Mandanten- und Patientendaten kann ein lokal betriebenes Modell passen. Lassen sich Aufgaben nach Datenarten trennen, kommt auch eine hybride Architektur infrage: freigegebene unkritische Aufgaben nutzen Cloud-Modelle, während geschützte Daten lokal verarbeitet werden. Prüfen Sie dabei, dass Schnittstellen diese Trennung einhalten.
Standort ist eine Architekturentscheidung, keine Glaubensfrage
Beurteilen Sie jeden Prozess anhand seiner Daten, gesetzlichen und vertraglichen Pflichten sowie der tolerierbaren Anbieterabhängigkeit. Anschließend testen Sie die passenden Betriebsformen auf Qualität, Aufwand und Kosten. Zwei Prozesse im selben Unternehmen können dabei unterschiedliche Lösungen brauchen.
Schreiben Sie für einen Prozess auf, welche Daten hineingehen, wer zugreifen darf und welche Standortvorgaben Ihre Verträge enthalten. Damit können Sie Angebote gezielt prüfen. Wenn unklar bleibt, welche Betriebsform diese Anforderungen technisch erfüllt, unterstützen wir Sie bei der Einordnung und Umsetzung. Beschreiben Sie uns zunächst den Prozess und die beteiligten Systeme, ohne vertrauliche Unterlagen mitzuschicken. KI-Betrieb besprechen.
