EU-gehostet vs. EU-eigen: Warum das Recht hinter deinem KI-Anbieter genauso zählt wie sein Rechenzentrum

Ein KI-Anbieter, der deine Prompts in einem europäischen Rechenzentrum verarbeitet, ist EU-gehostet. EU-eigen ist er damit noch nicht automatisch. Sitzt das Unternehmen, das den Dienst betreibt, oder seine Muttergesellschaft in den USA, kann US-Recht es trotzdem verpflichten, Daten herauszugeben, die es kontrolliert. Egal, wo die Daten liegen. Wenn dein Team also Verträge, Kundendaten oder Quellcode an ein KI-Modell schickt, musst du wissen, wo die Server stehen und wessen Recht der Anbieter unterliegt.

Das ist Teil 1 von zwei. Hier erklären wir den Unterschied und was der US CLOUD Act regelt. Teil 2 ist eine Schritt-für-Schritt-Anleitung, mit der du einen KI-Anbieter selbst prüfen kannst.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung. Für Entscheidungen über deine eigene Datenverarbeitung sprich mit deinem Datenschutzbeauftragten oder deiner Rechtsberatung.

Warum das bei KI wichtiger ist als bei Cloud-Speicher

Die meiste Cloud-Software speichert deine Daten einmal und liest sie ab und zu. Bei KI-Inferenz schickt jede Anfrage deine Inhalte an ein Modell: die Frage, das eingefügte Dokument, die Seiten aus deiner Wissensdatenbank, den Code, den dein Assistent gerade bearbeitet. Ein aktives Team schickt davon Tausende am Tag, und meist über mehrere Firmen gleichzeitig: das Tool, vielleicht ein Gateway, den Inferenz-Anbieter und das Rechenzentrum darunter.

EU-gehostet vs. EU-eigen

EU-gehostet

Was es bedeutet. Daten werden in Rechenzentren in der EU gespeichert und verarbeitet.

Was es dir sagt. Datenresidenz, also wo die Daten physisch liegen.

Typisches Beispiel. Eine EU-Region eines US-Hyperscalers.

Deckt das CLOUD-Act-Risiko ab? Allein nicht.

EU-eigen

Was es bedeutet. Jedes Unternehmen, das den Dienst betreibt oder kontrolliert, hat seinen Sitz in Europa, ohne außereuropäische Muttergesellschaft, die die Daten kontrolliert.

Was es dir sagt. Rechtsordnung, also wessen Recht den Zugriff darauf erzwingen kann.

Typisches Beispiel. Ein europäisches Unternehmen mit eigener Infrastruktur in europäischen Rechenzentren.

Deckt das CLOUD-Act-Risiko ab? In der Regel ja, wenn kein US-Unternehmen in der Kette die Daten kontrolliert.

Auf Marketingseiten werden „EU-Datenresidenz“, „souverän“ und „DSGVO-ready“ oft so verwendet, als meinten sie dasselbe. Sie beschreiben aber unterschiedliche Eigenschaften.

Was der US CLOUD Act regelt

Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ist seit März 2018 US-Recht. Er beendete den Fall Microsoft Ireland, in dem Microsoft argumentiert hatte, ein US-Durchsuchungsbeschluss könne keine E-Mails auf Servern in Dublin erreichen. Der Kongress klärte die Frage: Anbieter, die US-Recht unterliegen, müssen Daten herausgeben, die sich in ihrem Besitz, ihrer Obhut oder unter ihrer Kontrolle befinden, unabhängig vom Speicherort.

In der Praxis schützt ein Server in Frankfurt oder Paris also keine Daten, die ein US-Anbieter hält, denn das Gesetz folgt der Kontrolle. Die Anordnung geht an den Anbieter und nicht an dich, und sie kann mit einer Verschwiegenheitspflicht verbunden sein. Du erfährst also womöglich nie davon. Ob eine EU-Tochter eines US-Konzerns erfasst ist, hängt davon ab, wie viel Kontrolle die US-Mutter über die Daten hat. In diesem Punkt sind sich Juristen uneinig.

Das Gesetz hat Grenzen. Es regelt gezielte Anfragen in Strafverfahren. Bedenken wegen Massenüberwachung beziehen sich auf andere US-Gesetze, etwa FISA Section 702. Anbieter können Anordnungen anfechten, das eigene Verfahren des CLOUD Act dafür gilt aber nur für Länder mit einem US-Abkommen, und die EU hat keines. Verschlüsselung mit Schlüsseln, die nur der Kunde hat, begrenzt, was ein Anbieter herausgeben kann. Ein Modell muss deine Daten aber im Klartext lesen, um zu antworten. Bei Inferenz hilft dieser Schutz deshalb nur begrenzt.

Der Konflikt mit der DSGVO

Nach Artikel 48 DSGVO wird ein ausländisches Gerichtsurteil oder eine Behördenentscheidung, die die Übermittlung personenbezogener Daten verlangt, nur anerkannt, wenn sie auf einer internationalen Übereinkunft beruht, etwa einem Rechtshilfeabkommen. Die EU und die USA haben bisher kein CLOUD-Act-Abkommen. Ein US-Anbieter, der eine Anordnung erhält, kann so zwischen die Fronten geraten: Wer US-Recht befolgt, verstößt womöglich gegen EU-Recht, und umgekehrt.

Und das EU-US Data Privacy Framework?

Das Data Privacy Framework (DPF) wurde im Juli 2023 beschlossen und deckt Übermittlungen personenbezogener Daten aus der EU an zertifizierte US-Unternehmen ab. Den CLOUD Act setzt es nicht außer Kraft, und auch seine eigene Zukunft ist unsicher. Das Gericht der EU hat es im September 2025 bestätigt, gegen das Urteil läuft aber ein Rechtsmittel beim Europäischen Gerichtshof. Nach einem Urteil des US Supreme Court vom Juni 2026 zur Unabhängigkeit von Bundesbehörden wie der FTC forderte noyb die EU-Kommission auf, das DPF zurückzuziehen, und der Europäische Datenschutzausschuss bat die Kommission, die Folgen zu prüfen. Das DPF gilt weiterhin. Berater empfehlen aber, eine Rückfalllösung zu dokumentieren, etwa Standardvertragsklauseln.

Lösen die Sovereign Clouds der Hyperscaler das Problem?

Die großen US-Cloud-Anbieter haben mit eigenen Angeboten reagiert: Microsofts EU Data Boundary, Googles Sovereign-Cloud-Partnerschaften wie S3NS mit Thales und die AWS European Sovereign Cloud in Brandenburg, die Anfang 2026 mit einer Gesellschaft in der EU und Personal mit Wohnsitz in der EU eröffnet wurde.

Diese Angebote senken das Risiko, dass Daten über operativen Zugriff die EU verlassen, und für moderate Anforderungen können sie durchaus reichen. Kritiker, darunter europäische Cloud-Anbieter und Rechtsexperten, weisen aber darauf hin, dass die oberste Muttergesellschaft weiterhin ein US-Konzern ist und keines dieser Angebote volle rechtliche Immunität gegenüber US-Anordnungen beansprucht. Die Anbieter halten dagegen, dass ihre Unternehmensstrukturen, ihr Personal und die technische Isolation einen Zugriff in der Praxis deutlich schwerer machen als in Standardregionen. Im Juni 2025 sagte der Direktor für öffentliche und rechtliche Angelegenheiten von Microsoft France unter Eid vor einem Untersuchungsausschuss des französischen Senats, das Unternehmen könne nicht garantieren, dass Daten des französischen öffentlichen Sektors nie an US-Behörden gehen. Er fügte hinzu, eine solche Anfrage habe es noch nie gegeben.

Unsere Einschätzung: Sovereign Clouds verkleinern die Lücke zwischen EU-gehostet und EU-eigen, schließen sie aber nicht.

Wo Melious steht

Wir haben Melious AI für Teams gebaut, die auf die Seite „EU-eigen“ dieses Vergleichs wollen.

Melious AI ist ein Unternehmen mit Sitz in Saarbrücken. Schon heute wird jede Anfrage an unsere API in europäischen Rechenzentren verarbeitet, und nichts wird aus Europa herausgeleitet. Im November ziehen unsere Modelle auf eigene Hardware in Rechenzentren in Deutschland, Irland, Frankreich und Finnland um. Hat unsere Hardware danach einmal ein Problem, werden Anfragen auf Partner-Anbieter in der EU umgeleitet. Dein Dienst läuft weiter, und deine Daten bleiben in Europa.

Wir protokollieren keine Inhalte von Prompts oder Antworten (Dateien, die du einer Wissensdatenbank hinzufügst, bleiben, bis du sie löschst), wir trainieren nie mit Kundendaten, und unser AVV ist öffentlich.

Behalte deinen Code. Ändere die URL.

Unsere API spricht sowohl das OpenAI- als auch das Anthropic-Format. Claude Code, Cursor, LangChain oder n8n funktionieren, sobald du die Base-URL änderst.

API-Key holen

Häufige Fragen

Schützt ein EU-Rechenzentrum meine Daten vor dem US CLOUD Act?

Allein nicht. Der CLOUD Act gilt für Anbieter, die US-Recht unterliegen, und erfasst Daten, die sie kontrollieren, egal wo sie gespeichert sind. Entscheidend ist, wer den Dienst betreibt und kontrolliert.

Gilt das EU-US Data Privacy Framework noch?

Stand November 2026: ja. Beim Europäischen Gerichtshof läuft ein Rechtsmittel, noyb fordert die Rücknahme, und der Europäische Datenschutzausschuss hat die Kommission um eine neue Prüfung gebeten.

Unterliegen die europäischen Sovereign Clouds von AWS, Azure und Google dem CLOUD Act?

Ihre Muttergesellschaften sind US-Konzerne. Die Anbieter sagen, ihre EU-Strukturen machen einen Zugriff sehr schwer. Kritiker sagen, das rechtliche Risiko bleibt, solange die Mutter amerikanisch ist. Keine Seite behauptet, die Frage sei geklärt.

Heißt EU-gehostet automatisch DSGVO-konform?

Nein. DSGVO-Konformität hängt auch von deinen Verträgen, der Rechtsgrundlage, Speicherfristen, Sicherheitsmaßnahmen und davon ab, wer Zugriff auf die Daten hat.