Auf unserer eigenen Website stand bis vor Kurzem, dass wir keine amerikanischen Rechenzentren nutzen. Das stimmte nicht.

Nicht weil wir gelogen hätten, sondern weil wir diesen Satz von einem Produkt aus aufgeschrieben und ihn danach auf der ganzen Website stehen gelassen haben. Inzwischen läuft die Anmeldung bei uns über Google und Microsoft, eines unserer Werkzeuge läuft auf Gemini, und unsere eigene Website misst mit Google Analytics. Alles amerikanisch.

Dieser Satz ist weg. Jetzt steht dort etwas, das stimmt.

Warum das so oft schiefgeht

„Wir hosten in der EU“ ist meistens wahr und meistens unvollständig. In einem KI-Werkzeug stecken nämlich vier verschiedene Schichten, und alle vier können woanders stehen.

Der Server, auf dem die Anwendung läuft. Das ist, was Menschen mit Hosting meinen. Oft tatsächlich Frankfurt oder Amsterdam.

Die Datenbank. Meistens beim selben Anbieter, aber nicht immer. Prüfen Sie das getrennt.

Das KI-Modell. Hier wird es interessant. Ein europäischer Endpunkt eines amerikanischen Anbieters ist etwas anderes als ein europäischer Anbieter. Und manche Modelle sind in Europa gar nicht verfügbar.

Alles drumherum. Anmelden, Mails verschicken, Statistik, Fehlermeldungen. Das ist die Schicht, die jeder vergisst, und es ist genau die Schicht, in der die meisten amerikanischen Dienste stecken.

Wer sagt, dass kein amerikanischer Dienst darin steckt, hat meistens nicht genau genug hingeschaut.

Vier Fragen an Ihren Anbieter

1. Geben Sie mir die Liste der Unterauftragsverarbeiter. Nicht „wir hosten in der EU“, sondern eine Tabelle: welcher Dienst, wofür, wo ansässig, welche Daten laufen darüber. Kann der Anbieter die nicht innerhalb eines Tages liefern, dann gibt es sie nicht.

2. Welches Modell genau, bei welchem Anbieter, auf welchem Endpunkt. „Wir nutzen KI“ ist keine Antwort. „Mistral, Frankreich“ schon. „Anthropic über den europäischen Endpunkt“ auch.

3. Wird mit meinen Daten trainiert? Bei den meisten geschäftlichen APIs nicht, aber es steht in den Bedingungen und nicht in den Verkaufsgesprächen. Lassen Sie es sich zeigen.

4. Wie lange wird was aufbewahrt, und was passiert, wenn ich aufhöre? Pro Kategorie. Kalenderdaten, Gesprächsprotokolle, Protokolldateien, Rechnungen. Bei uns sind das neunzig Tage, solange Ihr Konto läuft, neunzig Tage und sieben Jahre, denn Letzteres verlangt die niederländische Steuerbehörde.

Wie eine ehrliche Antwort aussieht

Nicht: „Alles bleibt in Europa.“

Sondern: „Ihre Inhalte stehen in Frankfurt und die KI kommt aus Frankreich. Die Anmeldung läuft über Google oder Microsoft, weil Sie das selbst so wollen. Unsere Website misst mit Google Analytics, und das erst, nachdem Sie auf Akzeptieren geklickt haben. Das sind amerikanische Dienste, hier steht, welche Daten daran vorbeilaufen.“

Diese zweite Antwort ist länger und weniger glatt. Sie ist auch die einzige Antwort, die bei einem Audit standhält.

Warum wir das aufschreiben

Weil wir es selbst falsch hatten. Und weil die DSGVO keine Perfektion verlangt, wohl aber Transparenz: Sie dürfen amerikanische Dienste nutzen, sofern Sie offen darüber sind.

Unsere eigene Liste steht unter Wo stehen Ihre Daten. Neun Zeilen, pro Dienst, was er tut und wo er steht. Wenn Sie bei Ihrem jetzigen Anbieter so eine Liste anfordern und sie nicht bekommen, wissen Sie genug.