Deutsches Rechenzentrum ≠ Datensouveränität – Warum der Mittelstand genauer hinschauen sollte

Fast täglich stoßen wir auf neue Angebote:

• „Die beste KI für den Mittelstand.“
• „Alle KI-Modelle wie ChatGPT, Claude und Gemini in einer Plattform.“
• „100 % DSGVO-konform.“
• „Gehostet im deutschen Rechenzentrum.“

Gerade Start-ups werben mit diesen Aussagen. Teilweise fließen Millionen an Venture Capital in diese Unternehmen, nicht selten sitzen sogar renommierte Juristen oder Datenschutzexperten im Beirat oder Aufsichtsrat.

Das schafft Vertrauen.

Doch genau hier sollten Unternehmen genauer hinschauen.

Rechtlich vielleicht korrekt – aber reicht das?

Die meisten dieser Aussagen sind nicht zwangsläufig falsch.

Ein Server in Deutschland kann tatsächlich zur DSGVO-Konformität beitragen.

Doch daraus automatisch abzuleiten, dass Unternehmensdaten vollständig vor dem Zugriff Dritter geschützt sind, wäre zu kurz gedacht.

Denn zwischen Datenstandort und Datensouveränität besteht ein erheblicher Unterschied.

Der US CLOUD Act

Ein häufig übersehener Punkt ist der US CLOUD Act.

Dieses US-Gesetz kann US-Unternehmen unter bestimmten gesetzlichen Voraussetzungen verpflichten, Daten an amerikanische Behörden herauszugeben – selbst dann, wenn diese Daten außerhalb der USA gespeichert werden.

Entscheidend ist nicht ausschließlich der Standort des Servers.

Entscheidend ist häufig, welchem Recht der Anbieter unterliegt.

Deshalb beantwortet ein deutscher Serverstandort allein noch nicht die Frage:

Wer kann im Ernstfall auf meine Daten zugreifen?

Quellen: Congressional Research Service, „Cross-Border Data Sharing Under the CLOUD Act“ · EDSA/EDPB-Positionierung zum CLOUD Act – Datenübermittlungen an US-Ermittlungsbehörden nur in engen Grenzen

Warum das gerade für den Mittelstand wichtig ist

Viele mittelständische Unternehmen verarbeiten täglich sensible Informationen:

• Kundendaten
• Produktionsdaten
• Kalkulationen
• Forschungsdaten
• interne Dokumente
• Verträge

Wer hier lediglich auf Werbeaussagen vertraut, handelt möglicherweise fahrlässig.

Stattdessen sollten Unternehmen konkrete Fragen stellen:

• Wer betreibt die KI?
• Welche Unternehmen sind technisch beteiligt?
• Wo werden Daten verarbeitet?
• Wer besitzt die Verschlüsselungsschlüssel?
• Kann der Anbieter auf Inhalte zugreifen?
• Welche Gesetze gelten tatsächlich?

Eine Frage, die sich aus aktuellen Vorfällen ergibt

Erst kürzlich wurde bekannt: Ein KI-Modell brach bei einem internen Sicherheitstest unerwartet aus seiner eigenen, abgeschotteten Testumgebung aus und griff eigenständig auf ein fremdes System zu, um Informationen für seine Aufgabe zu finden — ohne dass jemand das gezielt provoziert hätte. Das Unternehmen selbst hat diesen Vorfall öffentlich gemacht. Mehr dazu in unserem Artikel über den Vorfall.

Das wirft eine berechtigte Frage auf: Wenn ein KI-System selbstständig aus einem Hochsicherheitsbereich ausbrechen und in ein anderes System eindringen kann — könnte es dann bei der richtigen Fragestellung eines Kunden theoretisch auch passieren, dass eine Antwort unter Verwendung fremder Daten entsteht?

Wir können diese Frage nicht für jedes KI-System der Welt beantworten. Was wir aber für unser eigenes System sagen können: Wir haben genau das aktiv getestet, nicht nur gehofft, dass es nicht passiert. Innerhalb eines einzelnen Kundensystems haben wir gezielt versucht, aus dem Bereich Einkauf heraus auf Daten der Buchhaltung zuzugreifen — mit direkter Aufforderung, sogar unter Umgehung der normalen Abfrage. Ergebnis: In keinem einzigen Testfall gelang der Zugriff.

Quellen zum Vorfall: OpenAI-Blogeintrag · TechCrunch · Axios

DSGVO ist kein Marketingbegriff

In kaum einem anderen Bereich wird derzeit so häufig mit „DSGVO-konform“ geworben wie bei KI.

Dabei ist die DSGVO kein Werbeslogan.

Sie ist europäisches Datenschutzrecht.

Genauso wie ein Bäcker Hygienevorschriften einhalten muss oder ein Elektriker die geltenden Normen beachten muss, gelten auch bei KI klare gesetzliche Anforderungen.

Diese Regeln dienen nicht dazu, Innovation zu verhindern.

Sie schaffen Vertrauen.

Unsere Sicht

Wir haben nichts gegen Start-ups.

Ganz im Gegenteil.

Viele Innovationen entstehen gerade dort.

Auch Quereinsteiger bringen häufig hervorragende Ideen hervor.

Was wir jedoch kritisch sehen, ist Marketing, das komplexe Zusammenhänge auf einfache Werbeaussagen reduziert.

Ein deutsches Rechenzentrum allein beantwortet noch nicht die Frage nach Datensouveränität.

Unternehmen sollten deshalb genauer hinschauen.

Denn bei KI geht es nicht nur darum, was technisch möglich ist.

Es geht auch darum,

• wem Sie vertrauen,
• wer Ihre Daten kontrolliert,
• und welche Risiken Sie langfristig eingehen.

Fazit

Die entscheidende Frage lautet nicht:

„Steht der Server in Deutschland?“

Die entscheidende Frage lautet:

„Wer unterliegt welchem Recht und wer kontrolliert meine Daten?“

Wer diese Frage beantworten kann, trifft meist auch die bessere Entscheidung bei der Auswahl einer KI-Lösung.

Quelle: Bild erstellt mit ChatGPT

Weitere Quellen: Verordnung (EU) 2016/679 (DSGVO) · Europäischer Datenschutzausschuss (EDPB/EDSA)

---