«Server in der EU» beantwortet die Frage nicht
Der Sitz des Anbieters, der Ort der Weboberfläche und der Ort der Berechnung fallen häufig auseinander. Entscheidend ist, wo die Inferenz tatsächlich läuft, wo Protokolle liegen und wer von wo aus zugreifen kann. Sechs Fragen klären das — und wer eine davon nicht beantwortet, hat sie damit beantwortet.
Welche sechs Fragen klären den Verarbeitungsort?
Alle sechs gehören schriftlich beantwortet, vor dem Vertragsschluss.
Wo läuft die Inferenz?
Nicht wo der Anbieter sitzt und nicht wo die Weboberfläche gehostet ist, sondern wo die Berechnung stattfindet. Diese drei Orte fallen häufiger auseinander als angenommen.
Wer sind die Unterauftragsverarbeiter?
Jeder mit Name, Zweck und Verarbeitungsort. Eine Liste ohne Ortsangabe beantwortet die Frage nicht — sie verschiebt sie nur eine Ebene tiefer.
Wo liegen Protokolle und Zwischenspeicher?
Eingaben landen in Logs, Caches und Fehlerprotokollen. Wenn die Inferenz in der EU läuft und die Protokollierung nicht, ist die Frage offen.
Wer kann im Support zugreifen?
Ein Zugriff aus einem Drittland zu Wartungszwecken ist eine Übermittlung, auch wenn die Daten die EU physisch nicht verlassen. Dieser Punkt wird am häufigsten übersehen.
Werden Eingaben zum Training verwendet?
In Geschäftstarifen meist abschaltbar, in kostenlosen Konten regelmäßig nicht. Entscheidend ist die vertragliche Zusicherung, nicht die Einstellung in der Oberfläche.
Was passiert bei Löschung?
Löschfristen für Eingaben, Ausgaben und Protokolle — und die Frage, ob eine Löschung auch die Sicherungen erreicht.
Warum spart der EU-Standort so viel Aufwand?
Weil er einen ganzen Prüfstrang entfallen lässt. Eine Übermittlung in ein Drittland ist nicht verboten, aber sie verlangt eine Grundlage — Angemessenheitsbeschluss, Standardvertragsklauseln mit ergänzender Prüfung oder eine der engen Ausnahmen. Dazu kommt die Bewertung, ob im Zielland der Zugriff durch Behörden dem europäischen Schutzniveau entgegensteht.
Dieser Aufwand fällt nicht einmalig an. Er muss nachgehalten werden, weil sich die Grundlage ändern kann: die beiden Vorgängerregelungen des heutigen Angemessenheitsbeschlusses wurden gerichtlich aufgehoben. Eine Architektur, die darauf ruht, muss bei einem Wegfall kurzfristig umgebaut werden — und zwar unter Zeitdruck, mit laufendem Betrieb.
Läuft die Verarbeitung in der EU, ist die Frage nicht besser beantwortet, sondern sie stellt sich nicht. Das ist der praktische Grund für diese Architektur — nicht ein Bekenntnis, sondern der Wegfall eines dauerhaften Prüf- und Nachweisaufwands.
Was bleibt trotzdem zu tun?
Der EU-Standort erledigt einen Prüfpunkt, nicht die Aufgabe. Es bleiben die normalen Anforderungen jeder Auftragsverarbeitung: ein Vertrag nach Artikel 28, der Eintrag ins Verzeichnis der Verarbeitungstätigkeiten, ein Rollen- und Berechtigungskonzept, dokumentierte Löschfristen und die Prüfung, ob für den konkreten Anwendungsfall eine Datenschutz-Folgenabschätzung fällig wird.
Und die Frage, die keine Technik löst: welche Daten dürfen Ihre Mitarbeiter überhaupt eingeben. Ohne diese Festlegung nützt der beste Verarbeitungsort wenig — sie ist die häufigste Lücke und zugleich die einzige, die sich an einem Nachmittag schließen lässt.
Häufige Fragen
Verbietet die DSGVO die Übermittlung in Drittländer?+
Nein, sie stellt sie unter Bedingungen: ein Angemessenheitsbeschluss, Standardvertragsklauseln mit ergänzender Prüfung oder eine der engen Ausnahmen. Möglich ist das also — es ist nur aufwendig, angreifbar und muss laufend nachgehalten werden. Wer die Verarbeitung in der EU hält, spart diesen gesamten Prüfstrang.
Reicht es, wenn der Anbieter ein EU-Unternehmen ist?+
Nein. Der Sitz des Anbieters sagt nichts darüber, wo verarbeitet wird. Ein europäisches Unternehmen kann die Inferenz vollständig bei einem US-Hyperscaler einkaufen und weiterreichen — die relevante Frage ist der Verarbeitungsort, nicht die Firmenanschrift.
Was ist mit dem Data Privacy Framework?+
Es erlaubt Übermittlungen an zertifizierte US-Unternehmen. Verlassen sollte man sich nicht ausschließlich darauf: die beiden Vorgängerregelungen wurden gerichtlich aufgehoben, und eine Architektur, die auf einem einzelnen Beschluss ruht, muss bei dessen Wegfall kurzfristig umgebaut werden.
Zählt ein EU-Rechenzentrum eines US-Anbieters?+
Der Speicherort ist dann in der EU — die Frage nach Zugriffen aus dem Mutterkonzern bleibt aber offen und ist Teil jeder ernsthaften Prüfung. Entscheidend ist nicht nur, wo die Daten liegen, sondern wer von wo aus darauf zugreifen kann.
Was bedeutet das für die Anbieterauswahl?+
Sechs Fragen, die schriftlich beantwortet werden sollten: Verarbeitungsort der Inferenz, Unterauftragsverarbeiter mit Ort, Ort der Protokollierung, Supportzugriffe, Nutzung zum Training, Löschkonzept. Wer eine davon nicht beantwortet, hat die Frage beantwortet.
Wie ist das bei Heabsy gelöst?+
Die Inferenz läuft auf unserer eigenen Infrastruktur in der EU — nicht als weitergereichter Zugang zu einem Drittanbieter. Verarbeitungsorte und Unterauftragsverarbeiter sind offengelegt, Ihre Daten werden nicht für Modelltraining verwendet.