Digitale Souveränität endet nicht am Serverstandort

Neulich in einem YouTube-KI-Podcast: Der Gründer einer KI-Ausbildungs-Akademie stellt seine Lösung vor und nennt sie "digital souverän". Die Begründung: Die Datenbank und die Gedächtnisse liegen auf einem Server in Frankfurt. Im selben Atemzug räumt er ein: "Die Modelle sind trotzdem Amerika." US-LLMs, per Klick gewechselt, inklusive Backup-Modell, falls eines mal ausfällt. Genau hier liegt der Denkfehler, und der ist verbreitet. Server in Frankfurt, Modell aus den USA: Das ist gerade nicht souverän. Ich greife das als Prinzip auf, nicht als Person. Und ich sage klar, was das aus Sicht von Datenschutz und Informationssicherheit bedeutet.

Souveränität misst man am Datenfluss, nicht am Rechenzentrum

Digitale Souveränität heißt: Sie behalten die Kontrolle darüber, wer Ihre Daten wann, wo und wie verarbeitet. Der Standort einer Datenbank ist dabei nur ein Baustein, und oft der unwichtigste. Entscheidend ist, wohin die Daten fließen, wenn tatsächlich gearbeitet wird.

Bei einem KI-System heißt "arbeiten": Ein Prompt geht an ein Modell, das Modell antwortet. Dieser Vorgang heißt Inferenz. Und die Inferenz passiert dort, wo das Modell läuft. Wenn das Modell in den USA läuft, geht jeder Prompt zur Inferenz in die USA. Mit allem, was drinsteht.

Was steht drin? In der Praxis: Kundennamen, Vertragsdetails, hochgeladene Dokumente, Angebotstexte, interne Notizen, manchmal ganze PDF-Anhänge. Die Datenbank in Frankfurt speichert vielleicht das Gedächtnis des Systems. Aber die eigentliche Verarbeitung, die Denkarbeit, findet auf einem fremden Modell in einem Drittland statt. Ein Tresor in Frankfurt nützt wenig, wenn Sie den Inhalt zum Bearbeiten täglich nach Übersee schicken.

Ein Server in Frankfurt macht Ihre Daten nicht souverän, wenn das Modell, das sie liest, in Virginia rechnet. Souverän ist der Datenfluss, nicht die Postleitzahl der Festplatte.

Der Prompt an ein US-Modell ist ein Drittlandtransfer

Datenschutzrechtlich ist das kein Detail, sondern der Kern. Wenn personenbezogene Daten zur Inferenz an eine US-Modell-API gehen, ist das eine Übermittlung an einen Auftragsverarbeiter (oder Sub-Auftragsverarbeiter) in einem Drittland. Damit greift Kapitel V der DSGVO, die Artikel 44 folgende. Eine solche Übermittlung ist nur zulässig, wenn Sie die dort genannten Bedingungen einhalten.

Konkret brauchen Sie mindestens dreierlei. Erstens einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO mit jedem Anbieter, der in Ihrem Auftrag Daten verarbeitet. Zweitens eine tragfähige Transfergrundlage nach Kapitel V, in der Regel Standardvertragsklauseln oder ein passender Angemessenheitsbeschluss. Drittens, ergänzend, ein Transfer Impact Assessment: eine dokumentierte Prüfung, ob im Zielland trotz Vertrag ein angemessenes Schutzniveau tatsächlich erreicht wird, oder ob zusätzliche Maßnahmen nötig sind.

Das ist keine Schikane, das ist geltendes Recht. Und es ist meine fachliche Einordnung als Auditor, keine individuelle Rechtsberatung. Der Punkt bleibt: "Server in Frankfurt" beantwortet keine einzige dieser drei Fragen. Die Frankfurter Festplatte ersetzt weder AV-Vertrag noch Transfergrundlage noch die Prüfung des Datenflusses zum Modell.

Der Ein-Klick-Modellwechsel vervielfacht Ihre Verarbeiterkette

Jetzt kommt der Teil, der im Podcast als Feature verkauft wurde: Man kann das Modell per Klick wechseln, und es gibt ein Backup-Modell, falls eines ausfällt. Klingt nach Flexibilität. Aus Sicht der Compliance ist es das Gegenteil von Kontrolle.

Jedes Modell, das Sie einschalten können, ist ein weiterer Verarbeiter in Ihrer Kette. Wechseln Sie heute zu Anbieter A, morgen zu Anbieter B, und läuft im Hintergrund ein Backup-Modell von Anbieter C, dann haben Sie drei potenzielle Empfänger Ihrer Kundendaten. Für jeden davon gilt dieselbe Pflicht: AV-Vertrag, Transfergrundlage, Prüfung des Schutzniveaus. Beherrschen müssen Sie das vertraglich und technisch, nicht nur im Kopf des Gründers.

• Welche Modell-Anbieter sind hinterlegt, und in welchem Land rechnen sie tatsächlich?
• Liegt für jeden einzelnen ein AV-Vertrag nach Art. 28 DSGVO vor, inklusive genehmigter Sub-Auftragsverarbeiter?
• Existiert für jeden Drittland-Anbieter eine Transfergrundlage nach Kapitel V und ein Transfer Impact Assessment?
• Werden Ihre Daten zum Modelltraining verwendet, oder ist Training vertraglich sauber ausgeschlossen?
• Wer entscheidet den Modellwechsel: Sie, oder wechselt das System automatisch auf ein Backup, das Sie nie geprüft haben?

Wenn Sie diese Fragen nicht für jedes zuschaltbare Modell beantworten können, ist der Ein-Klick-Wechsel kein Komfort, sondern ein offenes Scheunentor. Ein automatischer Fallback auf ein ungeprüftes Backup-Modell ist ein Datenschutz-Vorfall mit Ansage: Ihre Kundendaten landen bei einem Empfänger, den nie jemand freigegeben hat.

ISO/IEC 27001 verlangt genau diese Kontrolle über die Lieferkette

Wer meint, das sei nur ein Datenschutz-Thema, unterschätzt die Informationssicherheit. ISO/IEC 27001:2022 adressiert im Anhang A genau diese Situation. Control A.5.19 bis A.5.22 regeln die Sicherheit in Lieferantenbeziehungen: Sie müssen Anforderungen an Lieferanten festlegen, vereinbaren und über die gesamte Laufzeit überwachen. Control A.5.23 kam 2022 neu hinzu und betrifft ausdrücklich die Nutzung von Cloud-Diensten: Beschaffung, Nutzung, Verwaltung und Ausstieg müssen Ihren Sicherheitsanforderungen genügen.

Ein austauschbares US-Modell im Hintergrund ist nichts anderes als ein Cloud-Dienst in Ihrer Lieferkette. Ein Auditor fragt dann schlicht: Zeigen Sie mir die Liste Ihrer Modell-Anbieter, die Verträge, die Freigabeprozesse und den Nachweis, dass ein Modellwechsel nicht unkontrolliert Daten in ein neues Drittland trägt. Wer hier nur auf den Frankfurter Server zeigt, hat die Frage nicht verstanden. Das ist ein klassischer Befund, und ich sehe ihn oft.

Claim gegen Realität: Was "souverän" wirklich heißt

Ich habe nichts gegen US-Modelle. Ich nutze selbst leistungsfähige KI in meinem eigenen KI-ERP, und für viele Anwendungsfälle sind die großen Modelle schlicht die beste Wahl. Der Punkt ist nicht, ob Sie US-Modelle einsetzen. Der Punkt ist, ob Sie es wissen, ob Sie es beherrschen und ob Sie es ehrlich benennen.

"Digital souverän", weil die Datenbank in Frankfurt steht, während die Modelle nach eigener Aussage "trotzdem Amerika" sind: Das ist ein Selbstwiderspruch. Souverän wäre es, wenn Sie den kompletten Datenfluss kontrollieren, die Verarbeiterkette lückenlos dokumentiert ist und jeder Empfänger vertraglich und technisch beherrscht wird. Oder wenn Sie für sensible Fälle auf ein Modell in europäischer Verarbeitung oder ein selbst gehostetes Modell setzen. Marketing ersetzt keine Verarbeiterkette. Und ein Serverstandort ersetzt keine Datenhoheit.

Mein Rat aus der Werkstatt: Prüfen Sie jede KI-Lösung nicht am Werbewort, sondern am Datenfluss. Zeichnen Sie auf, wohin ein Prompt mit echten Kundendaten tatsächlich reist. Erst wenn diese Landkarte vollständig ist, wissen Sie, ob "souverän" draufsteht oder auch drin ist.