Internationale Datentransfers bei KI-Diensten: Grundzüge für den sicheren Einsatz

Viele der populärsten KI-Dienste stammen von Anbietern außerhalb der EU oder laufen auf Infrastruktur, die von dort betrieben oder administriert wird. Damit stellt sich bei fast jedem KI-Einsatz automatisch die Frage nach internationalen Datentransfers: Verlassen personenbezogene Daten den europäischen Rechtsraum, und wenn ja, unter welchen Bedingungen ist das zulässig.

Das Thema hat den Ruf, nur mit spezialisierter Rechtsberatung beherrschbar zu sein. Für komplexe Fälle stimmt das auch. Für die alltägliche Auswahl und den laufenden Betrieb von KI-Diensten genügt aber ein solides Grundverständnis: Man muss erkennen, wann ein Transfer vorliegt, die grundsätzlichen Absicherungswege kennen, Anbieterangaben systematisch lesen und die eigene Bewertung dokumentieren. Genau diese vier Schritte behandelt dieser Artikel, in Grundzügen und ohne Anspruch auf Rechtsberatung.

Wann ein Drittlandtransfer vorliegt

Der häufigste Denkfehler lautet: Der Server steht in der EU, also gibt es kein Transferproblem. Ein Drittlandtransfer liegt aber nicht nur vor, wenn Daten in einem Land außerhalb der EU gespeichert werden. Auch der Zugriff aus einem Drittland heraus wird grundsätzlich als Übermittlung behandelt, etwa wenn ein Support-Team oder eine Administrationsabteilung von dort auf Systeme mit personenbezogenen Daten zugreifen kann.

Bei KI-Diensten sind die typischen Konstellationen: Der Anbieter speichert oder verarbeitet direkt in einem Drittland. Der Anbieter nutzt eine EU-Region, aber Subprozessoren oder der Konzernverbund sitzen außerhalb der EU und haben Zugriffsmöglichkeiten. Oder einzelne Funktionen, etwa Missbrauchsprüfung, Telemetrie oder Support, laufen über andere Standorte als der Kerndienst. Die Transferfrage muss daher pro Datenfluss gestellt werden, nicht pro Anbieter.

Die Absicherungsmechanismen in Grundzügen

Liegt ein Transfer vor, braucht er eine Absicherung. Im Kern gibt es drei Wege. Der komfortabelste ist ein Angemessenheitsbeschluss: Die EU-Kommission stellt für bestimmte Länder oder Rahmenwerke fest, dass dort ein vergleichbares Schutzniveau besteht. Dann darf übermittelt werden wie innerhalb der EU, wobei man prüfen sollte, ob der konkrete Anbieter tatsächlich unter den jeweiligen Rahmen fällt und ob der Beschluss noch in Kraft ist.

Der zweite Weg sind vertragliche Garantien, allen voran Standardvertragsklauseln, die der Anbieter mit dem Kunden oder entlang seiner Kette abschließt. Sie sind das Arbeitspferd der Praxis, verlangen aber eine ergänzende Betrachtung: Man muss sich in vertretbarer Tiefe fragen, ob die Rechtslage im Zielland die vertraglichen Zusagen aushöhlt und ob zusätzliche Maßnahmen nötig sind. Solche Maßnahmen sind vor allem technischer Natur: starke Verschlüsselung, Pseudonymisierung, Datenminimierung, also möglichst wenig personenbezogene Daten überhaupt in den Dienst geben.

Der dritte Weg sind Ausnahmen für besondere Einzelfälle, etwa eine ausdrückliche Einwilligung. Für den laufenden Betrieb eines KI-Dienstes taugen sie in aller Regel nicht, weil sie auf gelegentliche, nicht auf systematische Übermittlungen zugeschnitten sind.

Anbieterangaben systematisch prüfen

Die nötigen Informationen verteilen sich meist auf mehrere Dokumente: die Datenschutzerklärung, die Auftragsverarbeitungsvereinbarung mit ihren Anhängen und die Subprozessor-Liste. Eine systematische Prüfung geht die immer gleichen Fragen durch:

• Wo werden Inhalte verarbeitet und gespeichert, und lässt sich eine EU-Region verbindlich festlegen.
• Gilt die EU-Region für alle Bestandteile des Dienstes oder nur für den Kern, während Support, Telemetrie oder Missbrauchsprüfung anders laufen.
• Wer kann von wo auf die Daten zugreifen, einschließlich Support und Administration.
• Auf welchen Absicherungsmechanismus beruft sich der Anbieter für welche Übermittlung.
• Wo sitzen die Subprozessoren, und wie sind deren Transfers abgesichert.

Wichtig ist, Marketingaussagen von Vertragszusagen zu unterscheiden. Eine Produktseite mit EU-Flagge ist keine Zusage. Zählen tut, was in der Auftragsverarbeitungsvereinbarung und ihren Anhängen steht. Wenn dort etwas anderes steht als auf der Webseite, gilt im Zweifel der Vertrag, und genau diese Widersprüche sind eine gute Frage an den Anbieter.

Die eigene Transferbewertung dokumentieren

Die Bewertung gehört schriftlich festgehalten, aber knapp. Ein Dokument von ein bis zwei Seiten pro Dienst reicht in den meisten Fällen: welche Datenarten in den Dienst gelangen, welche Länder beteiligt sind, auf welchen Mechanismus sich die Übermittlung stützt, welche zusätzlichen Maßnahmen getroffen wurden, wie das Restrisiko eingeschätzt wird und wer die Entscheidung wann getroffen hat. Dazu ein Wiedervorlagedatum, denn Angemessenheitsbeschlüsse, Anbieterstrukturen und Subprozessor-Listen ändern sich.

Zwei Hinweise aus der Praxis. Erstens: Die wirksamste Maßnahme ist fast immer Datenminimierung. Ein Dienst, der keine Klarnamen, Kontaktdaten oder Kundennummern erhält, entschärft die Transferfrage erheblich, unabhängig vom Mechanismus. Zweitens: Bei sensiblen Datenkategorien, etwa Gesundheitsdaten, oder bei großem Umfang sollte die Grundzüge-Ebene verlassen und fachliche Beratung eingeholt werden. Die eigene Dokumentation ist dann keine verlorene Arbeit, sondern die Grundlage, mit der die Beratung schneller und günstiger wird.

Fazit

Internationale Datentransfers sind bei KI-Diensten der Normalfall, nicht die Ausnahme, und sie sind beherrschbar, wenn man sie methodisch angeht. Der Weg: pro Datenfluss klären, ob ein Drittlandtransfer vorliegt, den Absicherungsmechanismus des Anbieters identifizieren und plausibilisieren, die Vertragsdokumente statt der Produktseiten lesen und die eigene Bewertung kurz, datiert und mit Wiedervorlage dokumentieren. Wer zusätzlich konsequent Datenminimierung betreibt, reduziert das Thema von einer Dauerbaustelle auf eine wiederkehrende, gut planbare Prüfaufgabe.