Die meisten bekannten KI-Dienste laufen auf US-Servern. Wer sie mit personenbezogenen Daten nutzt, verlässt sich auf ein rechtliches Konstrukt namens EU-US Data Privacy Framework – ergänzt um Standardvertragsklauseln. Beide klingen solide, stehen aber auf historisch wackeligem Boden. Dieser Beitrag erklärt verständlich, warum das so ist und was es für den Mittelstand bedeutet.
Hinweis: Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine Rechtsberatung. Für die verbindliche Bewertung Ihres konkreten Falls ziehen Sie bitte fachkundigen Rat hinzu.
Das Grundproblem: Daten in einem Drittland
Die DSGVO erlaubt die Übermittlung personenbezogener Daten in Länder außerhalb der EU nur unter bestimmten Bedingungen. Die USA gelten dabei als „Drittland“ ohne automatisch anerkanntes gleichwertiges Datenschutzniveau. Der Knackpunkt sind die weitreichenden Zugriffsbefugnisse US-amerikanischer Behörden, die mit dem europäischen Grundrechtsverständnis kollidieren. Genau daran sind schon zwei frühere Transfer-Mechanismen gescheitert.
Die Geschichte von Schrems
Der Name Max Schrems steht für zwei Urteile des Europäischen Gerichtshofs, die jeweils den geltenden Datentransfer-Rahmen gekippt haben. „Safe Harbor“ wurde 2015 für ungültig erklärt (Schrems I), sein Nachfolger „Privacy Shield“ 2020 (Schrems II) – beide mit derselben Begründung: Der Schutz vor US-Behördenzugriff sei nicht ausreichend. Das aktuelle EU-US Data Privacy Framework ist der dritte Anlauf, und es steht bereits unter Beobachtung. Datenschützer erwarten eine erneute gerichtliche Überprüfung, die in Fachkreisen längst „Schrems III“ genannt wird.
Was Standardvertragsklauseln leisten – und was nicht
Standardvertragsklauseln (SCCs) sind von der EU-Kommission vorformulierte Vertragsbausteine, die ein angemessenes Datenschutzniveau vertraglich absichern sollen. Sie sind ein gängiges und grundsätzlich anerkanntes Mittel. Aber: Ein Vertrag zwischen zwei Unternehmen bindet keine US-Behörde. Deshalb verlangt die Rechtsprechung zusätzlich eine Einzelfallprüfung – ob im konkreten Fall trotz Vertrag ein wirksamer Schutz besteht. Diese Prüfung fällt bei US-Cloud-Diensten oft schwer eindeutig aus.
Der CLOUD Act als zusätzlicher Faktor
Ein oft übersehener Punkt: Der US CLOUD Act verpflichtet US-Unternehmen, Daten auf Anforderung von US-Behörden herauszugeben – unabhängig davon, wo diese Daten physisch gespeichert sind. Selbst Daten auf einem Server in Frankfurt können also grundsätzlich betroffen sein, wenn der Betreiber ein US-Unternehmen ist. Das relativiert die reine Standort-Frage und rückt das Vertragsverhältnis in den Vordergrund.
Was das für KI-Nutzung bedeutet
Wenn Sie einen US-KI-Dienst direkt mit personenbezogenen Daten nutzen, stützen Sie sich auf ebendieses angreifbare Konstrukt. Das ist heute nicht illegal – das Data Privacy Framework ist gültiges Recht. Aber es ist ein Risiko mit Verfallsdatum: Sollte der Rahmen erneut kippen, stünden alle darauf gestützten Verarbeitungen plötzlich ohne Grundlage da. Für einen tragfähigen, zukunftssicheren Aufbau ist das kein solides Fundament.
Der Ausweg: Verarbeitung in der EU
Die sauberste Antwort auf diese Unsicherheit ist, die Verarbeitung gar nicht erst in ein Drittland zu verlagern. Über AWS Bedrock in Frankfurt lassen sich leistungsfähige Modelle innerhalb der EU betreiben, mit einem Auftragsverarbeitungs-Verhältnis statt eines Drittlandtransfers. Damit verlieren Schrems, SCCs und die Framework-Frage für den konkreten Anwendungsfall an Brisanz. Der CLOUD Act bleibt zwar ein theoretischer Faktor, aber die Rechtsgrundlage steht deutlich stabiler.
Fazit
Das EU-US Data Privacy Framework und Standardvertragsklauseln sind das rechtliche Gerüst, auf dem die direkte Nutzung US-amerikanischer KI-Dienste ruht – ein Gerüst, das schon zweimal eingestürzt ist. Wer auf Nummer sicher gehen will, verlagert die Verarbeitung in die EU und macht sich von der wackeligen Transfer-Frage unabhängig. Wie das praktisch aussieht, zeigt unser Leitfaden DSGVO-konforme KI im Mittelstand.
Sie möchten wissen, ob Ihre KI-Nutzung auf sicheren Beinen steht? Im kostenlosen Erstgespräch schauen wir gemeinsam auf Ihre Datenflüsse.
Continue Reading
Klingt das nach einem Prozess bei Ihnen?
Im kostenlosen Erstgespräch schauen wir gemeinsam, was sich bei Ihnen zu automatisieren lohnt – ehrlich und unverbindlich.
Kostenloses Erstgespräch →