„Läuft in Europa“ ist keine Aussage. Es ist eine Familie von Aussagen, die sehr unterschiedlich viel wert sind – und die Übergänge dazwischen sind der Grund, warum das Etikett so beliebt ist.
Dieser Beitrag gehört zur Reihe um Unabhängigkeit von Nicht-EU-Ländern. Dort stehen die vier Stufen und der ehrliche Stand. Hier geht es um die Prüfung eines fremden Angebots: Was fragt man, wenn auf der Seite „europäisch“ steht und man wissen will, was das trägt?
Vier Etiketten, die wie eines klingen
| Was auf dem Etikett steht | Was es tatsächlich sagt | Was es offenlässt |
|---|---|---|
| „Europäisches Unternehmen“ | Firmensitz, Handelsregister, Gerichtsstand | Wo verarbeitet wird – und wem das Unternehmen gehört |
| „Rechenzentrum in Deutschland“ | Den Ort der Schränke | Wem die Maschinen darin gehören und wer aus der Ferne darauf kommt |
| „EU-Region“ bei einem großen Anbieter | Eine Einstellung im Kundenkonto | Konzernstruktur, Fernzugriff im Support, Herausgabepflichten der Muttergesellschaft |
| „Souveräne Cloud“ | Nichts Festgelegtes – der Begriff ist nicht geschützt | Alles. Er muss im Einzelfall aufgelöst werden |
Keines dieser vier Etiketten ist gelogen. Sie beantworten nur nicht die Frage, die gestellt wurde. Die lautet nämlich fast nie „wo ist Ihr Firmensitz“, sondern: Wer kann an meine Daten, und wodurch ist das ausgeschlossen?
Frage 1: Welches Modell rechnet auf welcher Maschine – und was passiert, wenn Sie deren Internetzugang abschalten?
Die erste Frage klärt, ob überhaupt etwas Eigenes existiert. Der häufigste Fall bei „europäischer KI“ ist eine deutschsprachige Weboberfläche vor der Schnittstelle eines amerikanischen Anbieters. Dann steht in Europa ein Webserver, und die Verarbeitung findet woanders statt.
Der zweite Teil der Frage ist der eigentliche. Er lässt sich nicht mit einer Formulierung beantworten, sondern nur mit einem Sachverhalt.
- „Modell X in der Fassung Y, auf Maschinen in Rechenzentrum Z, betrieben von uns.“
- „Ausgehender Verkehr ist gesperrt. Der Dienst läuft weiter, wenn wir die Leitung ziehen – bis auf den Zugang für Sie.“
- „Hier ist die Liste der freigeschalteten Ausnahmen mit Ziel, Grund und Datum.“
- „Wir verarbeiten DSGVO-konform in Europa.“
- „Unsere Infrastruktur ist europäisch gehostet.“
- „Dazu können wir aus Sicherheitsgründen keine Angaben machen.“
Der letzte Satz verdient eine Bemerkung, weil er ehrlich klingt. Sicherheitsgründe rechtfertigen, den Standort eines Schranks nicht öffentlich zu nennen. Sie rechtfertigen nicht, ihn einem Auftraggeber im Rahmen einer Prüfung zu verschweigen – der muss ihn nach Art. 30 DSGVO in sein eigenes Verzeichnis eintragen.
Frage 2: Wer kann auf diese Maschine zugreifen, und nach welchem Recht?
Diese Frage entscheidet, ob die Antwort auf Frage 1 überhaupt etwas nützt. Ein Schrank in Frankfurt hilft nicht, wenn der Schlüssel in einer Rechtsordnung liegt, die Herausgabe verlangen kann.
Drei Zugriffswege werden regelmäßig übersehen:
- Konzernbindung. Ein Unternehmen, das einer Muttergesellschaft in einem Drittland gehört, kann dort Herausgabepflichten unterliegen – und zwar für Daten, über die es Verfügungsgewalt hat, unabhängig davon, wo sie liegen. Das ist der Kern des US-amerikanischen CLOUD Act von 2018. Der Speicherort ist dafür nicht der maßgebliche Anknüpfungspunkt.
- Fernwartung und Support. Wenn ein Administrator aus einem Drittland zur Fehlersuche auf das System schaut, ist das eine Übermittlung – auch wenn keine Datei kopiert wird. Diese Konstellation steht in vielen Angeboten gar nicht, weil sie niemand für erwähnenswert hält.
- Der Weg des Schlüssels. Verschlüsselung im Ruhezustand ist Standard und sagt wenig. Die Frage ist, wer den Schlüssel hält und ob er bei der Verarbeitung ohnehin im Klartext vorliegen muss – bei einem Sprachmodell tut er das, denn gerechnet wird nicht auf verschlüsseltem Text.
Der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 schafft eine Rechtsgrundlage für die Übermittlung an zertifizierte US-Unternehmen. Er schafft nicht die Zugriffsbefugnisse ab, um die es hier geht – er bewertet sie als angemessen.
Das ist ein Unterschied, der in der Praxis zählt: Die Übermittlung ist zulässig, die Zugriffsmöglichkeit bleibt bestehen. Wer eine Verarbeitung ohne diese Möglichkeit braucht, ist mit einem Angemessenheitsbeschluss nicht bedient. Hinzu kommt die Haltbarkeitsfrage: Es ist die dritte Konstruktion dieser Art. Die beiden vorherigen – Safe Harbor und Privacy Shield – wurden vom Europäischen Gerichtshof für ungültig erklärt. Mehr dazu im Lexikon unter Schrems II und Drittlandtransfer.
Frage 3: Wer sind die Unterauftragsverarbeiter – namentlich, mit Standort und mit Aufgabe?
Die dritte Frage prüft, ob die ersten beiden Antworten stabil bleiben. Sie ist die unbeliebteste, weil sie sich nicht mit einer Haltung beantworten lässt, sondern nur mit einer Liste.
Eine Formulierung wie „Dienstleister innerhalb und außerhalb der EU“ ist keine Benennung, sondern deren Gegenteil. Nach Art. 28 DSGVO dürfen Unterauftragsverarbeiter nur mit Genehmigung eingesetzt werden – und genehmigen kann man nur, was man kennt. Wie das gemeint ist, steht im Lexikon unter Auftragsverarbeitung.
Vier Punkte, an denen sich eine Liste als brauchbar oder unbrauchbar erweist:
- Namen statt Kategorien „Ein Anbieter für Objektspeicher“ ist keine Benennung. Firma, Sitz und Verarbeitungsort gehören hinein.
- Aufgabe je Eintrag Wofür genau? Ein Zahlungsdienstleister verarbeitet andere Daten als ein Anbieter von Speicherplatz. Ohne Aufgabe lässt sich die Liste nicht bewerten.
- Änderungsverfahren Wie erfahren Sie von einer Änderung, in welcher Frist, und was passiert, wenn Sie widersprechen? Ein Widerspruchsrecht, dessen einzige Folge die Kündigung ist, ist ein Kündigungsrecht.
- Modelle sind kein Unterauftrag – vorgeschaltete Schnittstellen schon Ein Modell auf eigener Hardware ist eine Datei. Ein Modell, das über die Schnittstelle eines anderen Anbieters angesprochen wird, ist ein Unterauftragsverarbeiter und muss in der Liste stehen. Genau diese Zeile fehlt am häufigsten.
Warum die Reihenfolge nicht beliebig ist
Frage 1 klärt, ob es etwas Eigenes gibt. Frage 2 klärt, ob der Ort etwas nützt. Frage 3 klärt, ob das morgen noch gilt. Wer mit Frage 3 beginnt, bekommt eine gepflegte Liste von Dienstleistern für ein System, hinter dem eine fremde Schnittstelle steckt – und hat den Nachmittag damit verbracht, die Nebensache zu prüfen.
Sie prüfen die Struktur eines Angebots, nicht seine Ausführung. Ein Anbieter kann alle drei sauber beantworten und trotzdem schlecht arbeiten – ungepatchte Systeme, ein Administrator ohne Vier-Augen-Prinzip, kein Notfallplan. Dafür braucht es andere Fragen, und für die gibt es Kriterienkataloge wie BSI C5.
Umgekehrt gilt aber auch: Wer Frage 1 nicht beantworten kann, muss die anderen gar nicht mehr stellen.
Was wir selbst auf die drei Fragen antworten
Es wäre wohlfeil, einen Prüfmaßstab aufzustellen und sich selbst herauszuhalten. Also der Reihe nach – mit dem Vorbehalt, dass der Dienst noch nicht in Betrieb ist und alles Folgende den geplanten Zustand beschreibt.
- Frage 1: Offene Modelle auf eigenen Maschinen in Bertingen, Sachsen-Anhalt. Ausgehender Verkehr gesperrt, Ausnahmen dokumentiert. Keine vorgeschaltete Schnittstelle eines anderen Anbieters. Welche Modelle das im Einzelnen sind, steht im Katalog samt Herkunft und Lizenz.
- Frage 2: Ein Einzelunternehmen ohne Muttergesellschaft. Zugriff hat der Betreiber, und das ist eine Person mit Namen. Kein Fernzugriff aus Drittländern, weil es niemanden gibt, der ihn ausüben könnte. Wie der Betrieb aussehen soll, steht unter Betrieb und Sicherheit.
- Frage 3: Kein Unterauftragsverarbeiter für die Verarbeitung der Anfragen. Für Nebenleistungen – Zahlungsabwicklung, Versand von Systemnachrichten – wird die Liste zum Start veröffentlicht und nicht vorher behauptet.
Und die Stellen, an denen wir schlechter dastehen als ein großer Anbieter: kein Testat nach BSI C5, keine Zertifizierung nach ISO 27001, kein zweites Rechenzentrum für den Ausfall, keine zugesagte Verfügbarkeit. Die Hardware kommt nicht aus Europa – die gibt es nicht. Erreichbar ist der Betrieb rund um die Uhr über die kostenlose Rufnummer, aber Erreichbarkeit ist keine Wiederherstellungszusage, und wir verkaufen sie nicht als eine.
Für die Vergabeunterlagen
Wer die drei Fragen in eine Ausschreibung schreiben will, braucht sie als Text, der eine Antwort erzwingt. Ein Vorschlag zum Abwandeln:
1. Benennen Sie das eingesetzte Modell, seine Fassung und den Ort der Maschinen, auf denen es rechnet. Erklären Sie, welche Funktionen ausfallen, wenn diese Maschinen keinen ausgehenden Internetzugang haben.
2. Benennen Sie alle Stellen, die auf die verarbeitenden Systeme zugreifen können, einschließlich Fernwartung und Support, unter Angabe des Landes und der Rechtsgrundlage des Zugriffs. Geben Sie an, ob Ihr Unternehmen mittelbar oder unmittelbar Herausgabepflichten eines Drittstaats unterliegt.
3. Legen Sie eine Liste aller Unterauftragsverarbeiter vor, jeweils mit Firma, Sitz, Verarbeitungsort und Aufgabe, sowie das Verfahren zur Änderung dieser Liste.
Drei Absätze, keine Fachbegriffe, kein Zertifikat als Bedingung. Sie schließen niemanden aus, der gute Arbeit macht, und sie sind von einem Anbieter mit eigener Anlage in einer halben Stunde zu beantworten. Wer dafür drei Wochen braucht, hat damit auch etwas gesagt.
Dieser Beitrag beschreibt, wie wir die Vorschriften verstehen und was wir daraus für die Prüfung von Angeboten ableiten. Eine Rechtsberatung im Einzelfall ist er nicht und darf er nicht sein. Für die Bewertung Ihrer Verarbeitung und für die Formulierung von Vergabeunterlagen brauchen Sie Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten und gegebenenfalls eine vergaberechtliche Beratung.