Ein Serverstandort in Deutschland macht eine KI-Plattform noch nicht souverän. Entscheidend ist, wer das Unternehmen hinter der Plattform kontrolliert und welcher Rechtsordnung es unterliegt. Gehört eine deutsche GmbH einer US-Muttergesellschaft, kann über den US CLOUD Act auch US-Recht auf Daten in deutschen Rechenzentren durchgreifen.
Auf dem Markt für „deutsche KI-Alternativen“ werben immer mehr Anbieter mit denselben Versprechen. Sie nennen Hosting in der EU, DSGVO-Konformität und Datenschutz statt Datenabfluss in die USA. Für Geschäftsführer, die KI endlich rechtssicher einsetzen wollen, klingt das nach der gesuchten Lösung. Ein Blick an die richtige Stelle zeigt jedoch: „Deutsch“ ist mehr als ein Server in Frankfurt.
Nehmen wir ein typisches Beispiel. Ein Berliner KI-Plattform-Anbieter vermarktet seine Lösung als deutsche KI-Plattform, betrieben von einer GmbH mit Sitz in Berlin. Ein Blick in das amtliche Handelsregister genügt, und das Bild verschiebt sich.
Wem gehört die „deutsche“ KI-Plattform wirklich?
Die Gesellschafterliste im Handelsregister weist eine einzige Gesellschafterin aus: eine US-Gesellschaft mit Sitz in Delaware. Sie hält 100 Prozent der Geschäftsanteile. Die deutsche GmbH ist damit eine vollständig kontrollierte Tochter einer US-amerikanischen Muttergesellschaft.
Das ist keine Spitzfindigkeit. Es ist der Unterschied zwischen dem Ort, an dem Daten liegen, und der Kontrolle darüber, wer auf sie zugreifen darf. Für die Frage der digitalen Souveränität ist nicht der Ort entscheidend, sondern die Kontrolle.
Für die digitale Souveränität ist nicht der Ort der Daten entscheidend, sondern die Kontrolle über sie.
Warum ist der US CLOUD Act mehr als eine Fußnote?
Der Kern des Problems heißt US CLOUD Act. Dieses US-Gesetz verpflichtet Unternehmen, die dem US-Recht unterliegen, US-Behörden auf Anordnung Zugriff auf gespeicherte Daten zu gewähren. Das gilt unabhängig davon, ob die Server in den USA oder in einem deutschen Rechenzentrum stehen. Entscheidend ist nicht der Standort der Festplatte. Entscheidend ist die rechtliche Reichweite über das Unternehmen, das die Daten kontrolliert.
Wird eine deutsche GmbH zu 100 Prozent von einer US-Gesellschaft beherrscht, lässt sich eine Anwendbarkeit des CLOUD Act nicht ausschließen. Daran ändert auch der Betrieb auf europäischen Servern nichts. Genau hier entsteht das Spannungsfeld zwischen DSGVO und US-Recht. Seit dem Schrems-II-Urteil des EuGH schwebt es ungelöst über jedem transatlantischen Datenfluss. „EU-Hosting“ beantwortet diese Frage nicht, es verschiebt sie nur.
Eine faire Einordnung – und warum sie wichtig ist
Damit kein falscher Eindruck entsteht: Eine US-Holding über einer operativen deutschen GmbH ist bei kapitalstark finanzierten Start-ups völlig üblich. Internationale Investoren verlangen häufig eine Gesellschaft in Delaware. Das ist kein Skandal, kein Rechtsbruch und kein Vorwurf an das einzelne Unternehmen. Die betreffende Plattform ist ein technisch ausgereiftes, erfolgreiches Produkt mit Tausenden Kunden und anerkannten Zertifizierungen.
Der Punkt ist ein anderer, und er betrifft die ganze Branche. Der Begriff „digitale Souveränität“ wird zu oft auf den Serverstandort verengt. Wer sensible Daten verarbeitet, sollte die Frage präziser stellen. Nicht „Wo liegen meine Daten?“, sondern „Wer kontrolliert das Unternehmen, dem ich meine Daten anvertraue, und welcher Rechtsordnung unterliegt es?“.
Manche wollen KI schnell und bequem nutzen. Sie erwarten zugleich amerikanische Leistungsfähigkeit, europäische Rechtssicherheit und deutsche Datenhoheit in einem Paket. Sie sollten wissen: Dieses Paket gibt es selten zum Nulltarif.
Souveränität auf einen Blick
| Kriterium | Worauf es ankommt |
|---|---|
| Serverstandort | Notwendig, aber nicht ausreichend |
| Eigentümerstruktur | Wer hält die Geschäftsanteile? |
| Beherrschender Einfluss | Wer entscheidet, wer kann verkaufen? |
| Subprozessoren | Welche Modelle, welches Land? |
| Rechtsordnung | Welcher Gerichtsstand im Ernstfall? |
| § 203 StGB | Pflichtfrage für Berufsgeheimnisträger |
Was Sie als Geschäftsführer konkret prüfen sollten
Bevor Sie einen KI-Anbieter unternehmensweit einführen, lohnt ein Blick hinter die Marketing-Oberfläche. Vier Fragen genügen für eine erste Einordnung:
- Eigentümerstruktur. Wem gehört die Gesellschaft laut Handelsregister? Steht eine ausländische Mutter dahinter? Die Gesellschafterliste ist öffentlich einsehbar.
- Beherrschender Einfluss. Wer bestimmt Geschäftsführung, Kapitalrunden und mögliche Verkaufsoptionen? Eigentum ist Kontrolle.
- Datenfluss und Subprozessoren. Welche KI-Modelle verarbeiten Ihre Prompts, bei welchem Cloud-Anbieter, in welchem Land? Eine schöne Oberfläche reicht oft Daten an Dritte weiter.
- Rechtsordnung. Welchem Recht und welchem Gerichtsstand unterliegt der Vertrag im Ernstfall?
Diese Prüfung ersetzt keine juristische Beratung. Sie schützt aber vor dem teuersten Fehler: einer KI-Plattform zu vertrauen, deren Souveränitätsversprechen sich beim ersten genauen Hinsehen relativiert. Wie Sie Anbieter strukturiert vergleichen, zeigt unser Ratgeber zum KI-Plattform-Vergleich für den Mittelstand.
Besonders heikel für Berufsgeheimnisträger
Für die meisten Unternehmen ist das eine Frage der Datensouveränität. Für Rechtsanwälte, Steuerberater und Ärzte ist es eine Frage der Strafbarkeit. Wer mandanten- oder patientenbezogene Daten verarbeitet, unterliegt der Verschwiegenheitspflicht nach § 203 StGB. Gelangen solche Daten in den potenziellen Zugriffsbereich einer ausländischen Rechtsordnung, ist das nicht nur ein DSGVO-Problem. Es berührt unmittelbar das Berufsgeheimnis. In regulierten Berufen reicht „läuft auf EU-Servern“ als Sorgfaltsnachweis schlicht nicht aus.
Souveränität, die diesen Namen verdient
Genau deshalb haben wir bios UNIVERSE anders gebaut. Die Plattform wird von der bios-tec GmbH IT-Systemhaus betrieben, einem mittelständischen Unternehmen aus München ohne US-Mutter im Hintergrund. Sie läuft single-tenant in der bios-tec Cloud im bios-tec Rechenzentrum in Deutschland. Sie ist anbieterunabhängig und arbeitet mit führenden Sprachmodellen. Sensible Daten müssen so gar nicht erst in den Einflussbereich einer ausländischen Rechtsordnung geraten. Wie wir Sicherheit und Datensouveränität zusammendenken, lesen Sie unter IT-Security.
Sie wollen wissen, wie souverän Ihre aktuelle oder geplante KI-Lösung wirklich ist? Sprechen Sie uns an für eine unverbindliche Erstberatung. Wir prüfen mit Ihnen Eigentümerstruktur, Datenflüsse und Rechtslage. Und wir zeigen, welche Optionen für Ihr Unternehmen tatsächlich tragfähig sind.
Die wichtigsten Punkte in Kürze
- „Deutsche KI“ bezieht sich oft nur auf den Serverstandort, nicht auf die Eigentümerschaft.
- Eine als deutsche Plattform vermarktete Lösung kann laut Handelsregister vollständig von einer US-Muttergesellschaft kontrolliert werden.
- Über den US CLOUD Act kann US-Recht auch auf Daten in deutschen Rechenzentren durchgreifen, wenn der Anbieter US-kontrolliert ist.
- Prüfen Sie Eigentümerstruktur, beherrschenden Einfluss, Subprozessoren und Rechtsordnung, nicht nur den Hosting-Standort.
- Für Berufsgeheimnisträger (§ 203 StGB) ist das keine Komfort-, sondern eine Pflichtfrage.
Häufige Fragen
Macht ein Serverstandort in Deutschland eine KI „souverän“?
Nein. Der Standort sagt nur, wo die Daten physisch liegen. Entscheidend ist, wer das Unternehmen kontrolliert und welcher Rechtsordnung es unterliegt.
Was ist der US CLOUD Act?
Ein US-Gesetz von 2018, das US-kontrollierte Unternehmen verpflichtet, US-Behörden auf Anordnung Zugriff auf gespeicherte Daten zu gewähren. Das gilt unabhängig vom Speicherort der Server, also auch für deutsche Rechenzentren.
Wie erkenne ich die Eigentümerstruktur eines Anbieters?
Über die öffentlich einsehbare Gesellschafterliste im Handelsregister. Sie zeigt, ob eine ausländische Muttergesellschaft hinter der deutschen GmbH steht und wie viele Anteile sie hält.
Warum ist das für Anwälte, Steuerberater und Ärzte besonders kritisch?
Sie unterliegen der Verschwiegenheitspflicht nach § 203 StGB. Gelangen Mandanten- oder Patientendaten in eine ausländische Rechtsordnung, berührt das nicht nur die DSGVO, sondern das Berufsgeheimnis. Das hat strafrechtliche Relevanz.
Wie macht bios UNIVERSE es anders?
bios UNIVERSE wird von der bios-tec GmbH IT-Systemhaus aus München betrieben, ohne US-Mutter. Die Plattform läuft single-tenant in der bios-tec Cloud im bios-tec Rechenzentrum in Deutschland und ist anbieterunabhängig.
