EU-Hosting für KI-Lösungen: zehn Anbieterkriterien
EU-Hosting für KI-Lösungen wird an zehn Anbieterkriterien geprüft, in drei Gruppen: Standort und Datenfluss, also Serverstandort in der EU und Modell-Aufruf ohne Drittland-Subunternehmer; Vertrag und Nachweis, also Trainingsverbot und Auftragsverarbeitungsvertrag nach Artikel 28; und Betriebsfähigkeit, also Modellwechsel ohne Umbau. Das zehnte Kriterium steht nicht in der DSGVO: das Abschaltrisiko, seit ein US-Anbieter im Juni 2026 seine Spitzenmodelle achtzehn Tage lang weltweit deaktivierte.
EU-Hosting für KI-Lösungen wird an zehn Kriterien in drei Gruppen geprüft: Standort und Datenfluss (Serverstandort EU, Modell-Aufruf ohne Drittland-Subunternehmer, Backup-Standort, Support ohne Fernzugriff aus Drittländern), Vertrag und Nachweis (Trainingsverbot, Auftragsverarbeitungsvertrag mit Subunternehmerliste, Meldepflicht binnen 72 Stunden), Betriebsfähigkeit (Modellwechsel ohne Umbau, Ausweichoption, Exit-Klausel). Ein Serverstandort in der EU allein schützt nicht vor Drittlandübermittlung beim Modell-Aufruf und nicht vor dem Abschaltrisiko: Im Juni 2026 deaktivierte ein US-Anbieter seine Spitzenmodelle achtzehn Tage lang weltweit. Die AWS European Sovereign Cloud, gestartet im Januar 2026, adressiert einen Teil davon. Prüfung in fünf Schritten in einem Anbietergespräch.
Kurz beantwortetEin Serverstandort in der EU ist eines von zehn Kriterien für echtes EU-Hosting, nicht das einzige. Ebenso wichtig sind der Weg des Modell-Aufrufs, der Vertrag mit dem Anbieter und, seit dem Vorfall im Juni 2026, die Austauschbarkeit des Modells selbst. Zehn Kriterien in drei Gruppen lassen sich in einem Anbietergespräch von einem Tag prüfen.
Welche zehn Kriterien gelten für EU-Hosting bei KI-Lösungen?
Drei Gruppen: Standort und Datenfluss (Serverstandort EU vertraglich fixiert, Modell-Aufruf ohne Drittland-Subunternehmer, Backup-Standort ebenfalls EU, Support ohne Fernzugriff aus Drittländern), Vertrag und Nachweis (Trainingsverbot für Kundendaten, Auftragsverarbeitungsvertrag nach Art. 28 mit vollständiger Subunternehmerliste, Meldepflicht bei Vorfällen binnen 72 Stunden vertraglich zugesichert), Betriebsfähigkeit (Modellwechsel ohne Umbau der Anbindung, dokumentierte Ausweichoption bei Abschaltung, Exit-Klausel mit Datenmitnahme).
Warum reicht ein Serverstandort in der EU allein nicht?
Weil der Serverstandort nur den Index betrifft, nicht zwingend den Modell-Aufruf. Viele Anbieter hosten den Wissensindex in Frankfurt oder Dublin, leiten die eigentliche Sprachmodell-Anfrage aber über einen Subunternehmer, der außerhalb der EU sitzt. Rechtlich ist das eine Drittlandübermittlung wie jede andere, auch wenn die Werbung „EU-Hosting" verspricht. Die Probe: den Anbieter nach dem vollständigen Weg einer einzelnen Anfrage fragen, vom Index bis zur Antwort, mit jedem beteiligten System.
Was ist das Abschaltrisiko, und warum gehört es in die Kriterienliste?
Im Juni 2026 deaktivierte ein US-Anbieter nach einer Exportkontrollanordnung seine Spitzenmodelle achtzehn Tage lang für alle Kunden weltweit, unabhängig davon, auf welchem Kontinent die Daten lagen. Der Serverstandort half in diesem Fall nicht, weil die Abschaltung auf Ebene des Modells griff. Anbieter, die Modellwechsel ohne Umbau der Anbindung ermöglichen, etwa über eine austauschbare Schnittstelle, senken dieses Risiko unabhängig vom Standort. Die AWS European Sovereign Cloud, im Januar 2026 gestartet, adressiert einen Teil des Problems mit europäischer Kontrolle über Infrastruktur und Betrieb, löst die Modellfrage aber nicht allein.
Wie unterscheidet sich EU-Hosting von den DSGVO-Kriterien für KI-Lösungen?
Die DSGVO-Kriterien prüfen Rechtsgrundlage, Zugriff und Nachweis für die gesamte Lösung; EU-Hosting ist eine Teilmenge davon, konzentriert auf Standort, Datenfluss und Betriebsfähigkeit des technischen Betriebs. Wer beide Listen kennt, kann in einem Anbietergespräch beide gemeinsam abhaken. Der vollständige Kriterienkatalog für DSGVO-Konformität mit Probe je Kriterium steht in Welche KI-Lösungen sind DSGVO-konform?; die fünf Bausteine des technischen Betriebs in Wie hoste ich KI-Systeme rechtskonform?.
Wie prüfe ich einen Anbieter in einem Tag auf alle zehn Kriterien?
- Weg der Anfrage nachzeichnen lassen. Vom Index bis zur Modellantwort, mit jedem beteiligten System und dessen Standort.
- Vertrag und Subunternehmerliste einholen. Auftragsverarbeitungsvertrag nach Art. 28 mit vollständiger Liste, nicht nur dem Hauptanbieter.
- Trainingsverbot schriftlich bestätigen lassen. Mit Kontrollrecht des Betriebs, nicht nur als Marketingaussage.
- Modellwechsel und Ausweichoption erfragen. Wie lange dauert ein Wechsel auf ein anderes Modell, welche Anbindungen müssen dafür geändert werden.
- Exit-Klausel prüfen. Wie und in welcher Frist lassen sich eigene Daten bei Vertragsende vollständig mitnehmen.
Begriffe kurz erklärt
- Abschaltrisiko
- Risiko, dass ein Anbieter oder eine Rechtsordnung den Zugriff auf ein KI-Modell unabhängig vom Datenstandort unterbindet.
- Modellwechsel ohne Umbau
- Fähigkeit, ein Sprachmodell auszutauschen, ohne Anbindung, Index oder Berechtigungslogik neu zu bauen.
- Drittlandübermittlung
- Verarbeitung personenbezogener Daten außerhalb von EU und EWR, auch bei einem einzelnen Modell-Aufruf über einen Subunternehmer.
- Exit-Klausel
- Vertragsbestandteil, der Frist und Format für die vollständige Datenmitnahme bei Vertragsende regelt.
Weiterführend
- Wie hoste ich KI-Systeme rechtskonform? und Welche KI-Lösungen sind DSGVO-konform?.
- DSGVO und KI in der Industrie: Pflichten im Überblick.
- Datenhoheit bei KI: vier Betriebsformen und Open-Source-KI und Souveränität.
- Bleiben unsere Daten in Deutschland? und Lokales Modell oder API: der Break-even.
- Themen-Hub: DSGVO-konforme KI im Maschinenbau und die Leistungsseite Hosting und Wartung.
Häufige Fragen
Reicht ein Serverstandort in der EU für echtes EU-Hosting?
Nein. Der Serverstandort betrifft meist nur den Index; der Modell-Aufruf kann trotzdem über einen Subunternehmer außerhalb der EU laufen. Die Probe ist, den vollständigen Weg einer Anfrage vom Anbieter nachzeichnen zu lassen.
Was ist das Abschaltrisiko bei KI-Lösungen?
Das Risiko, dass ein Anbieter oder eine Rechtsordnung den Zugriff auf ein Modell unterbindet, unabhängig vom Datenstandort. Im Juni 2026 deaktivierte ein US-Anbieter seine Spitzenmodelle achtzehn Tage lang weltweit nach einer Exportkontrollanordnung.
Wie senke ich das Abschaltrisiko?
Durch Modellwechsel ohne Umbau: eine Anbindung, die verschiedene Modelle über eine austauschbare Schnittstelle nutzen kann, statt fest an ein einziges Modell gebunden zu sein.
Was ist die AWS European Sovereign Cloud?
Ein im Januar 2026 gestartetes Angebot mit europäischer Kontrolle über Infrastruktur und Betrieb. Sie adressiert Standort- und Betriebskriterien, ersetzt aber nicht die Prüfung von Vertrag, Trainingsverbot und Modell-Austauschbarkeit.
Wie lange dauert die Prüfung eines Anbieters?
Mit vorbereiteter Kriterienliste etwa ein Tag für ein Anbietergespräch, in dem Weg der Anfrage, Vertrag, Trainingsverbot, Modellwechsel und Exit-Klausel geklärt werden.
Wissen Sie, über welchen Weg der Modell-Aufruf Ihres jetzigen Anbieters läuft?
Rozalia Karbowniczek prüft mit Ihnen im Erstgespräch die zehn Kriterien anhand des Angebots, das Sie gerade vergleichen.
Gespräch vereinbaren →Vom Pilot in den Regelbetrieb: Hosting, Berechtigungen und Rollout je Abteilung stehen auf der Seite KI-Implementierung.
