Wo dürfen die Daten liegen? EU-Server, eigene Hardware, Ausland

„Können wir das auch mit Servern in Deutschland machen?" ist eine der ersten Fragen, sobald es um Kunden- oder Personaldaten geht — und eine berechtigte. Die Antwort hängt aber weniger vom Land ab als davon, welche Daten verarbeitet werden und welcher Vertrag mit dem Anbieter besteht.

Dieser Beitrag ordnet die drei gängigen Optionen ein — Server in der EU, eigene Hardware im Betrieb, Server außerhalb der EU — mit ihren jeweiligen Anforderungen, Kosten und dem Punkt, an dem die eine Option die einzig vertretbare ist.

Die kurze Antwort

Server außerhalb der EU sind nicht grundsätzlich verboten, aber sie brauchen eine zusätzliche Absicherung: entweder einen Angemessenheitsbeschluss der EU-Kommission für das jeweilige Land, Standardvertragsklauseln nach Artikel 46 DSGVO, oder — bei US-Anbietern — eine Zertifizierung unter dem EU-US Data Privacy Framework, das die EU-Kommission am 10. Juli 2023 als Angemessenheitsbeschluss anerkannt hat. Die meisten großen KI-Anbieter bieten inzwischen eine EU-Verarbeitungsoption an, bei der Daten ausschließlich in europäischen Rechenzentren verarbeitet werden — das ist bei der Auswahl ein zulässiges und sinnvolles Kriterium. Eigene Hardware im Betrieb (On-Premise) ist rechtlich am einfachsten, weil Daten den Betrieb nie verlassen, kostet aber deutlich mehr in Anschaffung und laufendem Betrieb und lohnt sich fast ausschließlich bei besonders sensiblen Daten. Für die meisten Automatisierungen im Mittelstand reicht ein Anbieter mit EU-Verarbeitung und einem sauberen Auftragsverarbeitungsvertrag.

Die drei Optionen im Vergleich

| Option | Rechtlicher Aufwand | Kosten | Passt für | |---|---|---|---| | Server in der EU (Cloud-Anbieter mit EU-Region) | gering — AVV genügt, kein internationaler Datentransfer | im üblichen Rahmen der Betriebskosten | die meisten Anwendungen im Mittelstand | | Server außerhalb der EU (z. B. USA) | mittel — Angemessenheitsbeschluss, SCC oder DPF-Zertifizierung nötig, AVV prüfen | teils günstiger oder identisch, abhängig vom Anbieter | unkritische Daten, wenn Absicherung dokumentiert ist | | Eigene Hardware im Betrieb (On-Premise) | am geringsten — Daten verlassen den Betrieb nicht | deutlich höhere Einmalkosten für Anschaffung, dazu laufende Kosten für Wartung, Strom und Betreuung der Infrastruktur | besonders sensible Daten, wo ein Verarbeiter außerhalb des eigenen Hauses grundsätzlich vermieden werden soll |

Die Tabelle zeigt die Richtung, nicht das Urteil im Einzelfall: Ein Anbieter außerhalb der EU mit sauberer vertraglicher Absicherung ist rechtlich zulässig — er verlangt nur mehr Sorgfalt beim Vertrag als ein EU-Anbieter.

Server in der EU — der Standardfall

Für die meisten Automatisierungen, die wir bauen — Belege lesen, Anfragen sortieren, Dokumente ablegen — reicht ein Anbieter, der die Verarbeitung in einer EU-Region anbietet. Der internationale Datentransfer entfällt damit als Thema, es bleibt die normale Prüfung: Besteht ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO, ist dokumentiert, welche Daten verarbeitet werden, und ist geregelt, was bei Vertragsende mit den Daten passiert. Das ist derselbe Prüfpunkt wie bei jedem anderen IT-Dienstleister auch — KI ändert daran wenig.

Ein Kriterium wird dabei oft übersehen: Auch bei einer EU-Region kann der Mutterkonzern eines Anbieters in einem Drittland sitzen. Das allein macht die Verarbeitung nicht unzulässig, ist aber ein Punkt, den eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter kennen sollte, weil er die Einschätzung im Einzelfall beeinflusst.

Server außerhalb der EU — was zusätzlich nötig ist

Verarbeitet ein Anbieter Daten in einem Land ohne Angemessenheitsbeschluss, braucht es eine zusätzliche Rechtsgrundlage für den Transfer — in der Praxis meist Standardvertragsklauseln, die die EU-Kommission als Vertragsmuster vorgibt (Durchführungsbeschluss (EU) 2021/914). Bei US-Anbietern kommt seit 2023 eine weitere Option hinzu: Ist der Anbieter unter dem EU-US Data Privacy Framework zertifiziert, gilt ein Angemessenheitsbeschluss der EU-Kommission, und die zusätzliche Absicherung über Standardvertragsklauseln entfällt.

Wichtig ist: Diese Mechanismen machen die Verarbeitung außerhalb der EU zulässig, sie machen sie nicht automatisch unbedenklich. Bei besonders sensiblen Daten — Gesundheitsdaten, Daten von Kindern, Daten mit hohem Diskriminierungsrisiko — sollte die Frage, ob ein Transfer überhaupt nötig ist, vor der Frage stehen, wie er rechtlich abgesichert wird.

Eigene Hardware — wann sich der Mehraufwand lohnt

On-Premise-Lösungen, bei denen die KI auf eigener Hardware im Betrieb läuft, sind die einzige Option, bei der Daten das Haus grundsätzlich nicht verlassen. Das eliminiert die Fragen zu Auftragsverarbeitung und internationalem Transfer vollständig — es bleibt die interne Absicherung, wer im Betrieb Zugriff hat.

Der Preis dafür ist real: Anschaffung und Betrieb der nötigen Hardware liegen deutlich über den Kosten einer Cloud-Lösung, dazu kommt die laufende Wartung, die sonst der Cloud-Anbieter übernimmt. Für die Mehrheit der Automatisierungen im Mittelstand — Rechnungen, Kundenanfragen, interne Dokumentation — steht dieser Aufwand in keinem Verhältnis zum zusätzlichen Schutz, den eine saubere EU-Cloud-Lösung nicht ohnehin schon bietet. On-Premise lohnt sich vor allem dort, wo eine Branche oder ein Kunde die Verarbeitung außerhalb des eigenen Hauses grundsätzlich ausschließt, etwa bei bestimmten Behördenaufträgen oder in Teilen des Gesundheitswesens.

Ein Beispiel aus der Praxis

Bei einer Prozessanalyse in einer Arztpraxis stand zunächst eine cloudbasierte KI-Lösung für die Terminvergabe zur Debatte. Weil dabei auch knappe Angaben zum Behandlungsanlass erfasst wurden, fiel die Wahl auf einen Anbieter mit ausschließlicher EU-Verarbeitung und einem AVV, der die Löschfristen der Praxis abbildet — eigene Hardware wäre für diesen Anwendungsfall unverhältnismäßig teuer gewesen, eine EU-Cloud-Lösung mit sauberem Vertrag reichte aus. In einem anderen Fall, einem Unternehmen mit vertraulichen Konstruktionsdaten für einen sicherheitsrelevanten Kundenauftrag, verlangte der Kunde vertraglich, dass keine Daten das eigene Firmennetz verlassen — dort war On-Premise die einzige Option, die den Vertrag erfüllte.

Wo es rechtlich eng wird

Am kritischsten ist die Kombination aus einem Anbieter außerhalb der EU ohne Angemessenheitsbeschluss, ohne Standardvertragsklauseln und ohne dokumentierten AVV — das kommt in der Praxis vor allem bei kostenlosen oder sehr günstigen KI-Tools vor, die Mitarbeitende ohne Abstimmung mit der IT einsetzen. Genau davon raten wir ab: Ein Werkzeug, das schnell hilft, aber vertraglich nicht abgesichert ist, verlagert das Risiko unsichtbar auf den Betrieb. Bevor ein neues KI-Tool im Team eingeführt wird, sollte immer geprüft werden, wo die Daten verarbeitet werden und ob ein Vertrag dafür besteht — das kostet eine Nachfrage beim Anbieter, keine juristische Prüfung.

Der nächste Schritt

Welche der drei Optionen für einen konkreten Ablauf passt, hängt an der Art der Daten und den Anforderungen eurer Kunden oder Auftraggeber — das lässt sich nicht pauschal beantworten. Wie wir bei der Auswahl der Systeme vorgehen und worauf wir bei Serverstandort und Verträgen achten, steht auf der Seite KI-Agentur. Die datenschutzrechtliche Einordnung im Detail — Rechtsgrundlage, Auftragsverarbeitung, besondere Datenkategorien — behandelt der Beitrag DSGVO und KI: was im Unternehmen erlaubt ist.