In jedem Unternehmen passiert irgendwann derselbe Moment: Jemand lädt einen Jahresabschluss, einen Vertrag oder eine Kundenliste in ein KI-Tool hoch, weil es schneller geht. Der Auftragsverarbeitungsvertrag mit dem Anbieter liegt vor — aus Sicht der IT scheint alles in Ordnung. Das ist kein Nachlässigkeitsproblem, sondern ein Architekturproblem: Ein Vertrag legalisiert den Datentransfer in ein Drittland, er verhindert ihn nicht.

Eine kurze Geschichte gebrochener Versprechen

Diese Lücke ist keine theoretische Sorge, sondern durch die Rechtsgeschichte der letzten zehn Jahre mehrfach belegt. Im Schnitt alle fünf Jahre erklärt ein Gericht den bis dahin gültigen Transfermechanismus für ungültig — Unternehmen, die sich ausschließlich auf den jeweils aktuellen Vertragsmechanismus verlassen, stehen danach ohne Übergangsfrist da.

2000 – 2015
Safe Harbor
Regelte 15 Jahre lang den Datentransfer zwischen EU und USA.
Oktober 2015
Für ungültig erklärt — „Schrems I"
Der Europäische Gerichtshof kippt Safe Harbor (Rechtssache C-362/14).
2016 – 2020
Privacy Shield
Nachfolger von Safe Harbor, übernimmt dieselbe Funktion.
Juli 2020
Für ungültig erklärt — „Schrems II"
Derselbe Gerichtshof kippt auch Privacy Shield (Rechtssache C-311/18).
Seit 2023
EU-US Data Privacy Framework
Aktueller Nachfolgemechanismus — bislang in Kraft.

Was das für die Praxis bedeutet

Zwischen „vertraglich abgesichert" und „physisch in Europa verarbeitet" liegt eine Lücke, die bei jedem Gerichtsurteil neu aufreißen kann. Zwei Unternehmen mit demselben KI-Tool und demselben Auftragsverarbeitungsvertrag sind unterschiedlich stark betroffen, je nachdem, ob die tatsächliche Datenverarbeitung in der EU oder in einem Drittland stattfindet: Wer auf eine Architektur setzt, bei der der Transfer technisch gar nicht erst stattfindet, ist von einem gekippten Abkommen nicht betroffen. Wer sich allein auf den Vertrag verlässt, muss im Zweifel kurzfristig reagieren.

Dieselbe Unterscheidung gilt auch innerhalb einzelner Tools: „Wir speichern Ihre Daten in der EU" und „unsere KI-Funktion verarbeitet in der EU" sind zwei unterschiedliche Zusagen, die in der Praxis häufig verwechselt werden — mit teils erheblichen Unterschieden je nach Anbieter (siehe dazu unsere Übersicht zu gängigen US-SaaS-Tools).

In dieser Rubrik zeigen wir an konkreten Beispielen, wo diese Lücke bei gängigen KI-Tools und -Themen tatsächlich verläuft — jenseits von Marketingversprechen.

Aus unserem Blog

Vertiefende Artikel zu einzelnen Aspekten dieser Lücke.

Claude vs. ChatGPT — DSGVO im Vergleich →

Ein direkter Vergleich, wie beide Anbieter bei Serverstandort, Auftragsverarbeitung und Datennutzung tatsächlich abschneiden — jenseits der jeweiligen Werbeaussagen.

ChatGPT-Datenpanne — was Unternehmen daraus lernen können →

Analyse eines bekannten Vorfalls und die praktischen Konsequenzen für Unternehmen, die KI-Tools mit Kunden- oder Mitarbeiterdaten einsetzen.

Art. 28 DSGVO und der AVV — einfach erklärt →

Was ein Auftragsverarbeitungsvertrag konkret regelt, was er nicht regelt, und worauf Sie vor der Unterschrift achten sollten.

Der EU AI Act — was er für Unternehmen bedeutet →

Überblick über die neuen regulatorischen Pflichten und welche KI-Anwendungen in welche Risikokategorie fallen.

5 Fragen vor der Auswahl eines KI-Tools →

Eine kurze Checkliste für die Beschaffungsentscheidung, damit die Datenschutzfrage nicht erst nach der Einführung gestellt wird.

KI einführen, ohne den Datenschutz zu verlieren →

Ein praxisnaher Leitfaden für die schrittweise Einführung von KI-Tools im Unternehmen, ohne dabei die eigenen DSGVO-Pflichten aus dem Blick zu verlieren.

Häufige Missverständnisse

Annahme
„Wir haben einen AVV, also sind wir auf der sicheren Seite."
Realität
Ein AVV regelt die Pflichten zwischen Ihnen und dem Anbieter — er ändert aber nichts daran, wo die Daten tatsächlich verarbeitet werden. Beide Fragen sind wichtig, aber unterschiedlich.
Annahme
„EU-Datenspeicherung heißt, meine Daten sind sicher vor US-Zugriff."
Realität
Nicht zwangsläufig. Speicherort und Verarbeitungsort einer KI-Funktion können auseinanderfallen — viele gängige Tools speichern in der EU, verarbeiten KI-Anfragen aber weiterhin ganz oder teilweise in den USA.
Annahme
„Das betrifft nur besonders sensible Branchen wie Finanzen oder Gesundheit."
Realität
Die Frage stellt sich bei jedem personenbezogenen Datum — Mitgliederlisten eines Vereins, Mitarbeiterdaten, Kundenanfragen. Die DSGVO unterscheidet nicht nach Branche, sondern nach Datenart.

Warum das für Sie wichtig ist

euhub.ai wurde genau für diese Lücke gebaut: eine Architektur, die den Transfer in ein Drittland technisch unmöglich macht, statt ihn nur vertraglich zu erlauben. Für alles, was über den reinen Chat-Alltag hinausgeht — sensible Dokumente, Kundendaten, interne Unterlagen — bleibt Ihr euhub.ai-Zugang die Ergänzung, die auch dann noch hält, wenn sich die vertragliche Lage einmal ändert.