US-ANBIETER MIT RECHENZENTRUM IN DER EU

Auf den Produktseiten der großen Anbieter steht es inzwischen überall: Rechenzentrum in Frankfurt, in Amsterdam, in Stockholm. Der Satz stimmt. Er beantwortet nur eine andere Frage als die, die Sie stellen wollten.

Die Frage lautet nicht, wo gerechnet wird. Sie lautet, wer an die Daten kommt.

Was der Satz sagt

„In der EU gehostet“ beschreibt den Betriebsort. Das Modell läuft auf Servern in einem EU-Mitgliedstaat, die Daten liegen dort im Ruhezustand, und die Verarbeitung findet in der gewählten Region statt. Bei Microsoft steht in der Produktdokumentation, welche Bereitstellungsart welche Region nutzt. Bei Amazon und Google steht es in den Regionstabellen.

Das ist kein Marketing. Es ist nachprüfbar, und es ist der erste Punkt einer jeden Prüfliste.

Nur eben nicht der einzige.

Was der Satz offen lässt

Der US CLOUD Act von 2018 verpflichtet US-Anbieter, auf richterliche Anordnung Daten herauszugeben, die in ihrem Besitz oder unter ihrer Kontrolle stehen. Der Speicherort spielt dabei keine Rolle. Ein Rechenzentrum in Frankfurt ändert an dieser Pflicht nichts, solange der Mutterkonzern in den Vereinigten Staaten sitzt.

Dazu kommt der Betrieb. Microsoft beschreibt in der eigenen Dokumentation zur EU Data Boundary, dass Beschäftigte außerhalb der EU in bestimmten Fällen auf Systeme zugreifen, etwa bei eskalierten Supportfällen oder in der Sicherheitsabteilung, und stuft diesen Fernzugriff selbst als Übermittlung nach europäischem Datenschutzrecht ein. Das ist bemerkenswert offen dokumentiert. Nur liest es kaum jemand.

Ein Anbieter, der „Ihre Daten verlassen die EU nicht“ verspricht, verspricht also mehr, als seine eigene Dokumentation hergibt.

Pseudonymisieren hilft, löst es aber nicht

Der naheliegende Ausweg: Namen und Adressen vor dem Senden durch Platzhalter ersetzen, die Zuordnung bleibt im Haus. Das ist eine anerkannte Schutzmaßnahme, und der Europäische Datenschutzausschuss führt sie als Anwendungsfall wirksamer zusätzlicher Garantien.

Nur bleiben pseudonymisierte Daten für den, der die Zuordnung hat, personenbezogen. Der Europäische Gerichtshof hat am 4. September 2025 entschieden, dass es auf die Mittel des jeweiligen Empfängers ankommt, und im selben Urteil festgehalten, dass Meinungen und Stellungnahmen einer Person ihrem Wesen nach personenbezogen sind.

Bei einem Sprachmodell zählt dieser zweite Satz. Sie schicken keine Tabelle mit Namensspalte, Sie schicken Fließtext: eine Beschwerde, eine Krankmeldung, eine Einschätzung über einen Mitarbeiter. Der Name lässt sich ersetzen. Der Rest nicht.

Pseudonymisierung macht einen Transfer verteidigbar. Sie macht ihn nicht überflüssig.

Drei Fragen vor dem Einsatz

Wo läuft es, und in welcher Variante? Dieselbe Plattform bietet oft mehrere Betriebsarten: eine, die in Ihrer Region bleibt, und eine, die weltweit verteilt. Die Voreinstellung ist nicht immer die erste. Lassen Sie sich die Bereitstellungsart schriftlich geben, nicht die Werbeaussage.

Wer ist Ihr Vertragspartner? Ein Vertrag mit der irischen oder luxemburgischen Gesellschaft ist etwas anderes als einer mit der US-Mutter. Er beseitigt den CLOUD Act nicht, aber er entscheidet, wer Ihnen gegenüber haftet und welche Auftragsverarbeitung greift.

Wofür setzen Sie es ein? Das ist die Frage, die Sie selbst beantworten und die am meisten bringt. Eine Produktbeschreibung, ein Seriennummernkatalog, ein Codeschnipsel: unkritisch. Der Posteingang mit Kundenanliegen: etwas anderes.

Wie SEGUAI das handhabt

Wir arbeiten überwiegend lokal, auf Geräten im Betrieb, und daneben mit Modellen europäischer Anbieter auf Servern in Deutschland oder der EU. In den USA gehostete Modelle bieten wir nicht an.

Auf Wunsch sind auch Modelle über Microsoft Azure oder Claude von Anthropic in Rechenzentren in der EU möglich, nicht aber für personenbezogene Daten.

Das ist strenger als die Rechtslage. Wir halten es so, weil die Grenze dann im Angebot steht und nicht in einem Verfahren, das im Alltag jemand richtig anwenden müsste.

Dieser Artikel beschreibt die technische und organisatorische Einordnung. Er ersetzt keine Rechtsberatung.