// TECHNOLOGIE
Wo werden die Daten verarbeitet? Die Kette aufzeichnen
7 Min. Lesezeitnijitech
Der Satz „unsere Daten liegen in Europa" beschreibt meist nur das erste Glied der Kette. Die eigentliche Frage ist, woran dieses Glied hängt. Der praktische Weg zu einem Verarbeitungsverzeichnis.
Ganzer Beitrag
Eine der häufigsten Fragen in Einkaufsgesprächen: „Wo werden unsere Daten verarbeitet?" Die häufigste Antwort besteht aus einem Satz — einem Regionsnamen. Diese Antwort stimmt meist und ist meist unvollständig, denn sie beschreibt nur das erste Glied der Kette.
Ein KI-Produkt läuft nicht auf einem einzigen Server. Modellanbieter, Objektspeicher, E-Mail-Versand, Fehlertracking, Analytik — jedes davon ist ein eigenes Glied, das Daten berühren kann. Ein Verzeichnis zu erstellen heißt nichts anderes, als diese Glieder einzeln aufzuschreiben.
1. Region ist nicht Unternehmenssitz
Dass ein Dienst in der Region Frankfurt läuft, ändert nichts daran, welchem Recht das betreibende Unternehmen unterliegt. Das sind zwei verschiedene Fragen, und in Verträgen werden sie häufig gegeneinander ausgetauscht. Die richtige Frage lautet: Wo liegen die Daten physisch, und in welchem Land ist die juristische Person ansässig, die Zugriff darauf hat?
2. Die Liste der Unterauftragsverarbeiter braucht ein Dokument
Eine mündlich aufgezählte Anbieterliste bedeutet in einer Prüfung nichts. Zu prüfen ist die im Anhang des Auftragsverarbeitungsvertrags veröffentlichte Liste: welches Unternehmen, zu welchem Zweck, in welcher Region. Fehlt diese Liste, ist die nächste Frage, warum sie fehlt.
3. Logs, Backups und Supportzugriff
Diese drei Posten werden im Verzeichnis am häufigsten übersehen. Während die Hauptdatenbank in der richtigen Region liegt, können Fehlertracking-Einträge auf einen anderen Kontinent gehen; Backups liegen womöglich bei einem anderen Anbieter; temporäre Kopien, die das Supportteam zur Problemlösung erzeugt, stehen möglicherweise nirgends geschrieben.
Was ins Verzeichnis gehört
- Hauptdatenspeicher — welche Region, welcher Anbieter
- Backups und Snapshots — wohin, wie oft, wie lange
- Logs und Fehlertracking — stecken darin personenbezogene Daten?
- Modellaufrufe — was geht im Prompt hinaus, speichert der Anbieter es?
- Supportzugriff — wer, in welchem Fall, wird es protokolliert?
4. Auch ein Modellaufruf ist eine Übermittlung
Trägt ein Prompt, der an einen externen Modellanbieter geht, einen Kundennamen oder Vertragsdetails, ist das eine Datenübermittlung. Die Zusage „wir speichern nichts" ändert daran nichts; die Übermittlung selbst hat stattgefunden. Diese Zeile im Verzeichnis ist so wichtig wie die Zeile zur Datenbank.
Der praktische Schluss daraus: Was Sie in den Prompt schicken zu beschneiden, senkt nicht nur die Kosten, sondern auch die Übermittlungsfläche. Nicht gesendete Daten werden nicht übermittelt.
Was eigene Hardware daran ändert
Die Infrastruktur auf eigener Hardware zu betreiben verkürzt die Kette, sie verschwindet aber nicht — Backup-Ziel, Update-Quelle und Fernzugriff schauen weiterhin nach außen. Was sich ändert, ist, wer über jedes dieser Glieder entscheidet. Das ist keine Sicherheitsaussage, sondern eine Kontrollaussage.
Zusammenfassung
Vier Fragen an den Anbieter
- Wo wird Ihre Liste der Unterauftragsverarbeiter schriftlich veröffentlicht?
- Sind Logs, Backups und Supportzugriff in dieser Liste enthalten?
- Was geht bei Modellaufrufen hinaus und wie lange wird es gespeichert?
- Wie werden wir informiert, wenn sich die Liste ändert?
Gibt es auf alle vier eine schriftliche Antwort, ist die Aussage überprüfbar. Sonst haben Sie eine Behauptung in der Hand, aber keine Prüfung.
Aus dem Glossar: EU-Datenresidenz · Ende-zu-Ende-Verschlüsselung