KI-Anbieter-Standort-Check: Wo liegen Ihre Daten wirklich?
Geben Sie ein, was Sie über einen KI-Anbieter wissen: Sitz, Muttergesellschaft, Rechenzentrum, Unterauftragsverarbeiter und Vertragsrecht. Der Check zeigt Datenresidenz, Drittlandübermittlung und möglichen Zugriff nach fremdem Recht, und welche Fragen Sie dem Anbieter stellen sollten.
Keine Rechtsberatung · Stand 13. Oktober 2026
Datenresidenz, Übermittlung und Zugriff, Ihr Faktenblatt.
Füllen Sie die Felder oben aus. Hier erscheinen dann die Einschätzung zu Datenresidenz, Übermittlung und Zugriff sowie die Fragen, die Sie dem Anbieter stellen sollten.
Ergebnis per E-Mail
Optional: Wir schicken Ihnen das Ergebnis zu. Ihre Antworten bleiben sonst nur in Ihrem Browser.
Drei Fragen, die über den Standort entscheiden.
Datenresidenz
Wo werden Ihre Daten gespeichert und verarbeitet? Ein Rechenzentrum in Deutschland oder der EU hält sie im Geltungsbereich der DSGVO.
Drittlandübermittlung
Gehen Daten an Stellen außerhalb der EU, auch über Unterauftragsverarbeiter –, brauchen Sie eine Grundlage nach Kapitel V DSGVO.
Zugriff nach Drittstaatenrecht
Sitzt der Anbieter oder sein Mutterkonzern in einem Drittstaat, können dortige Behörden unter Umständen Zugriff verlangen, auch auf Daten in der EU.
CLOUD Act und Data Privacy Framework kurz erklärt.
Der US CLOUD Act von 2018 erlaubt US-Behörden, von US-Unternehmen die Herausgabe von Daten zu verlangen, die diese kontrollieren, auch wenn die Daten in einem Rechenzentrum in der EU liegen. Das betrifft auch Tochtergesellschaften in Europa, wenn die Muttergesellschaft in den USA sitzt.
Das EU-US Data Privacy Framework ist ein Angemessenheitsbeschluss für Übermittlungen in die USA, gültig seit Juli 2023. Er gilt nur für Unternehmen, die sich zertifiziert haben, und regelt die Übermittlung, nicht den Zugriff von Behörden auf Daten, die in der EU liegen.
Woher Sie die Fakten bekommen.
Impressum und Vertrag
Sitz und Vertragspartner stehen im Impressum und im Vertrag. Achten Sie auf die vertragschließende Gesellschaft.
AVV und Liste
Der AVV nennt Rechenzentren und Unterauftragsverarbeiter. Fordern Sie die aktuelle Liste an.
Konzernstruktur
Prüfen Sie die Muttergesellschaft im Handelsregister oder im Jahresbericht.
Zertifizierung
Für US-Anbieter prüfen Sie die Data-Privacy-Framework-Liste des US-Handelsministeriums.
Fragen zum Standort von KI-Anbietern.
Was ist Datenresidenz?
Datenresidenz beschreibt, in welchem Land oder welcher Region Daten gespeichert und verarbeitet werden. Für die DSGVO ist ein Rechenzentrum in der EU ein wichtiger Faktor. Datenresidenz sagt aber nichts darüber, welchem Recht der Anbieter unterliegt. Deshalb prüft der Check auch Sitz, Muttergesellschaft und Unterauftragsverarbeiter.
Gilt der CLOUD Act auch für Rechenzentren in Europa?
Ja, wenn der Anbieter oder seine Muttergesellschaft ein US-Unternehmen ist. Der CLOUD Act knüpft an die Kontrolle über die Daten an, nicht an den Speicherort. Ob und wie ein Anbieter solchen Anfragen widerspricht, regelt er im Vertrag. Fragen Sie danach und lassen Sie die Antwort dokumentieren.
Was mache ich, wenn ich eine Angabe nicht kenne?
Wählen Sie „unbekannt“. Der Check zeigt dann, was offen ist, und ergänzt passende Fragen an den Anbieter. Die meisten Angaben stehen im Impressum, im Vertrag, im AVV und in der Liste der Unterauftragsverarbeiter. Ein seriöser Anbieter beantwortet diese Fragen schriftlich und ohne Umwege.
Ersetzt der Check eine Transfer-Folgenabschätzung?
Nein. Der Check zeigt, ob eine Übermittlung in ein Drittland wahrscheinlich ist und welche Grundlage infrage kommt. Eine Transfer-Folgenabschätzung bei Standardvertragsklauseln bewertet zusätzlich das Recht und die Praxis im Zielland. Diese Bewertung erstellen Sie mit Ihrem Datenschutzbeauftragten oder einer Kanzlei.
Kann ich das Ergebnis weitergeben?
Ja. Das Faktenblatt fasst Ihre Angaben, die Einschätzung und die offenen Fragen zusammen. Kopieren Sie es in Ihre Anbieterbewertung, Ihre DSFA oder eine E-Mail an den Anbieter. Die Angaben stammen von Ihnen und sind nicht geprüft: vermerken Sie deshalb Quelle und Datum.
Fragen zum Standort? Wir beantworten sie für RAGSuite schriftlich.
Sitz, Rechenzentrum, Unterauftragsverarbeiter und AVV der RAGSuite Engine finden Sie im Trust Center, oder sprechen Sie direkt mit uns.