Was ist das Problem mit einem US-Anbieter — und was löst eine EU-Region?
Stand 11. August 2026 · 9 Minuten Lesezeit
Biwak-Produktstand: 6. September 2026. Die Fundstellen behalten ihren jeweils angegebenen Stand.
Wann überhaupt eine Übermittlung vorliegt
Eine Übermittlung nach Kapitel V liegt in der Regel vor, wenn ein der DSGVO unterliegender Exporteur personenbezogene Daten einem anderen Verantwortlichen oder Auftragsverarbeiter in einem Drittland zugänglich macht. Die Offenlegung eines EU-Auftragsverarbeiters gegenüber einem Unterauftragsverarbeiter im Drittland zählt dazu. Ein im Drittland tätiger Beschäftigter derselben Rechtsperson ist nach der Definition des Datenschutzausschusses nicht automatisch eine Zwei-Parteien-Übermittlung — die Sicherheitspflichten bleiben davon unberührt.
Praktisch heißt das: „EU-gehostet“ genügt nicht, wenn eine Konzerngesellschaft, ein Support-Team oder ein Sicherheitsteam außerhalb des EWR zugreifen kann. Die Prüfung folgt dem Zugriff, nicht dem Rechenzentrum.
Was eine Übermittlung tragen kann
- Angemessenheitsbeschluss. Für zertifizierte US-Organisationen führt die Kommission den EU-US-Datenschutzrahmen weiterhin als angemessen. Prüfen Sie die Zertifizierung des konkreten Rechtsträgers und die abgedeckten Datenarten — nicht die Konzernmarke.
- Standardvertragsklauseln nach Beschluss 2021/914, verbunden mit einer Bewertung von Recht und Praxis des Drittlands und, wo nötig, zusätzlichen Maßnahmen. Das folgt aus Schrems II (C-311/18) und den Empfehlungen 01/2020 des Datenschutzausschusses.
- Ausnahmen nach Art. 49 — für regelmäßige Verarbeitung kein tragfähiger Weg.
Zum Stand: Das Gericht der Europäischen Union hat die Klage Latombe gegen den Angemessenheitsbeschluss am 3. September 2025 abgewiesen; das Rechtsmittel (C-703/25 P) war am Recherchestichtag 7. August 2026 anhängig. Daraus folgt keine Panik und keine Sorglosigkeit, sondern eine Bauanweisung: Halten Sie einen Rückfallpfad auf Standardvertragsklauseln samt Auslöser für die Neubewertung vor, weil sich Zertifizierungs- und Angemessenheitsstatus ändern können.
Die Karte, die Sie brauchen
Für jeden Vorgang — Speicherung, Inferenz, Einbettungen und Bewertung, Beobachtung, Support, Missbrauchsprüfung, Vorfallbearbeitung, Sicherungen — gehört festgehalten: Exporteur und Importeur als Rechtsträger, Länder, Daten und Zweck, Häufigkeit, Modell- und Cloudroute, Mechanismus, Folgenabschätzung, zusätzliche Maßnahmen, Umgang mit behördlichen Auskunftsverlangen und Löschweg.
Das ist Arbeit — und es ist die Arbeit, an der man merkt, wie viele Vorgänge man vorher nicht gezählt hatte. Ein Werkzeug, das nur eine Gegenstelle kennt, macht die Karte kurz. Ein Werkzeug ohne Gegenstelle macht sie leer.
Was die großen Anbieter selbst angeben
| Anthropic (Claude) | Speicherung in den USAOrganisationsweite Inferenz allein in den USA ist wählbar, zum 1,1-fachen Preis; eine veröffentlichte EU-Ablage gibt es nicht. |
|---|---|
| OpenAI (Codex-Programm) | Regionsvorgabe akzeptiert öffentlich nur „us“Die Schnittstelle bietet daneben US und EWR+Schweiz — das ist eine andere Ebene und keine Aussage über das Programm. |
| Beide | „Kein Training“ ist nicht „keine Speicherung“Vier verschiedene Zusagen: kein Training, keine Aufbewahrung, keine menschliche Durchsicht, Region. Sie gelten je Ebene verschieden. |
Was der Markt dazu sagt
71 % nutzen US-Cloud, aber nur 8 % wollen es; 91 % bevorzugen Deutschland; 43 % sagen ausdrücklich, es gebe keine gleichwertige europäische Alternative; 87 % fehlt bei „souveränen“ Angeboten internationaler Anbieter die Transparenz über Zugriffsrechte; 64 % überdenken wegen der US-Politik ihre Cloud-Strategie — im Vorjahr 50 %.
Die interessanteste Zahl ist die dritte. Wenn 43 % keine gleichwertige europäische Alternative sehen, ist das kein Argument für die US-Cloud, sondern eine Beschreibung einer Lücke. Und die vierte erklärt, warum ein Zertifikat allein nicht mehr überzeugt: Gefragt wird nach Zugriffsrechten, nicht nach Siegeln.
Der ehrliche Absatz über uns
Die Website und der Modellzugang sind unterschiedliche Datenflüsse. Die Datenschutzerklärung beschreibt den Websitebetrieb; Modellinhalte laufen angemeldet über Biwak an den eingesetzten Modellanbieter. Prüfen Sie die jeweils beteiligten Dienstleister und Verarbeitungsorte.
Was Sie einen Anbieter fragen sollten
- Welche Rechtsträger — nicht Marken — verarbeiten, und in welchen Ländern?
- Wer kann aus welchem Land fernzugreifen: Support, Sicherheit, Betrieb, Missbrauchsprüfung?
- Für welche Ebene gilt jede Zusage: Arbeitsbereich, lokales Programm, Cloud, Schnittstelle, Erweiterungen?
- Welcher Mechanismus trägt die Übermittlung, und liegt die Folgenabschätzung vor?
- Was passiert bei behördlichen Auskunftsverlangen, und werden Sie darüber informiert?
- Wie wird gelöscht — auch in Warteschlangen, Zwischenspeichern und Sicherungen —, und wie wird das nachgewiesen?
Dieser Text ist keine Rechtsberatung. Er ist die Vorarbeit, die wir für uns selbst machen mussten, mit den Fundstellen, damit Ihre Anwältin nicht bei Null anfängt. Wo eine Frage von Ihren Umständen abhängt, steht es dabei.
Was dazu gefragt wird
Löst eine EU-Region das Drittlandproblem?
Nur, wenn niemand von außerhalb des EWR zugreifen kann. Die Prüfung folgt der Zugriffsmöglichkeit, nicht dem Standort des Rechenzentrums. Fragen Sie deshalb nicht nach der Region, sondern nach Fernzugriff aus Support, Sicherheit und Betrieb — und lassen Sie sich die Länder nennen.
Ist der EU-US-Datenschutzrahmen sicher?
Er gilt: Die Kommission führt zertifizierte US-Organisationen weiterhin als angemessen, und das Gericht der EU hat eine Klage dagegen am 3. September 2025 abgewiesen. Ein Rechtsmittel war zuletzt anhängig. Wer darauf baut, sollte einen Rückfallpfad auf Standardvertragsklauseln und einen Auslöser für die Neubewertung vorhalten — das ist ohnehin gute Praxis.
Wir nutzen ein deutsches Werkzeug — reicht das?
Nur, wenn auch die Kette darunter deutsch oder europäisch ist. Ein deutscher Anbieter mit einem US-Modell im Hintergrund übermittelt, und zwar zurechenbar. Die Frage ist nie die Firmenadresse, sondern die Liste der Unterauftragsverarbeiter.
Was, wenn wir Drittlandübermittlung vollständig vermeiden wollen?
Prüfen Sie die vollständige Verarbeitungskette einschließlich Modellanbieter und Supportzugriff. Der von Biwak verwaltete Zugang allein garantiert keine Verarbeitung ausschließlich im EWR.