„DSGVO-konform“ steht schnell auf einer Internetseite. Der Satz kostet nichts, niemand prüft ihn, und er beruhigt zuverlässig.

Bei den meisten Automatisierungen ist das auch nicht weiter dramatisch. Ein Terminkalender ist ein Terminkalender. Sobald aber Gehaltsabrechnungen, SCHUFA-Auskünfte oder Mandantenakten durch ein System laufen, wird aus einer Formulierung eine Frage, die du beantwortet haben willst – bevor etwas passiert, nicht danach.

Was der Satz meistens bedeutet

„EU-gehostet“ bezieht sich fast immer auf den Server, auf dem die Software läuft. Das ist der einfache Teil, und er stimmt in der Regel auch.

Die interessantere Frage ist eine andere: Wenn in diesem Ablauf ein KI-Modell ein Dokument liest, wo läuft dieses Modell? Denn das ist selten dieselbe Maschine. Das Modell gehört meist einem anderen Anbieter, wird über eine Schnittstelle angesprochen – und diese Schnittstelle hat einen eigenen Standort, über den in der Angebotsunterlage kein Wort steht.

Es ist also gut möglich, dass die Software brav in Frankfurt läuft und der Inhalt der Gehaltsabrechnung trotzdem einmal über den Atlantik geht. Wohin deine Daten tatsächlich fließen, sieht man einem Angebot nicht an – man muss dem Lauf einmal folgen.

Was ich selbst beinahe übersehen hätte

Ich habe genau das erlebt, beim Entwurf eines Ablaufs für sensible Unterlagen.

Der Plan war unspektakulär: Der Kunde lädt seine Dokumente hoch, ein Modell prüft, ob alles lesbar und vollständig ist, der Berater bekommt eine saubere Liste. Server in Europa, Ordner beim Kunden, alles sauber gedacht.

Beim Nachlesen der Anbieterunterlagen stellte sich heraus, dass sich das Modell über die direkte Schnittstelle gar nicht auf eine europäische Region festlegen ließ. Nicht heimlich, nicht versteckt – es stand offen in der Dokumentation. Man muss nur nachsehen, und das tut fast niemand, weil man es nicht erwartet.

Hätte ich es nicht gelesen, wäre ein System entstanden, das „EU-gehostet“ auf dem Papier gewesen wäre und in der Sache nicht. Die Lösung war am Ende unaufwendig: dasselbe Modell über eine Cloud-Plattform mit echter europäischer Region, im Konto des Kunden, mit Auftragsverarbeitungsvertrag. Ein anderer Weg zum selben Ergebnis – aber eben einer, den man bewusst wählen muss.

Die drei Fragen, die Klarheit schaffen

Du musst dafür nichts über Technik wissen. Diese drei Fragen genügen, und jeder seriöse Anbieter beantwortet sie in zwei Minuten:

  • Wo genau läuft das KI-Modell, das meine Dokumente liest? Nicht die Software – das Modell. Antwort erwartet: eine Region, kein Land-Gefühl.
  • Wer ist der Auftragsverarbeiter, und gibt es dazu einen Vertrag? Bei personenbezogenen Daten ist das keine Höflichkeit, sondern Pflicht.
  • Wo liegen die Dateien danach, und wem gehört das Konto? Deins oder seins – daran hängt, was passiert, wenn ihr euch trennt.

Wichtig dabei: Das sind Fragen, keine Vorwürfe. Die meisten Anbieter machen ihre Arbeit ordentlich, und viele große Modellanbieter bieten inzwischen europäische Regionen an. Von außen sehen kannst du das nur nicht. Deshalb fragst du.

„EU-gehostet“ ist keine Eigenschaft der Software. Es ist eine Frage, die du stellen musst.

Und wenn du selbst gefragt wirst – von einem Mandanten, einem Kunden, irgendwann vielleicht von einer Aufsicht – dann willst du nicht antworten müssen, dass dein Dienstleister das schon richtig machen wird. Du willst auf ein Dokument zeigen können.

Das ist der eigentliche Punkt. Nicht Misstrauen gegenüber Technik, sondern die Fähigkeit, eine unangenehme Frage ruhig zu beantworten, weil du sie dir selbst schon gestellt hast.

Das ist der Merak-Effekt an einer Stelle, an der man ihn nicht vermutet: Du gibst Arbeit ab, ohne dabei ein leises Unbehagen mitzunehmen, das dich Monate später wieder einholt.