Was die DSGVO zum Standort eines Chatbots sagt
Eine Pflicht, Server in der EU zu betreiben, kennt die DSGVO nicht. Sie regelt etwas anderes: Übermittlungen personenbezogener Daten in Drittländer, also in Länder, in denen sie nicht gilt. Nach Art. 44 sind solche Übermittlungen nur zulässig, wenn Verantwortlicher und Auftragsverarbeiter die Bedingungen von Kapitel V einhalten, auch bei Weiterübermittlungen. Bei einem Chatbot zählt deshalb jeder Schritt, bei dem eine Frage, ein Gesprächsverlauf oder Text aus Ihren Quellen ein Drittland erreicht. Jeder dieser Schritte braucht eine der drei Grundlagen:
| Grundlage | Was sie bedeutet | Was Sie tun müssen |
|---|---|---|
| Angemessenheitsbeschluss (Art. 45) | Die Kommission hat festgestellt, dass das Drittland ein angemessenes Schutzniveau bietet. Eine besondere Genehmigung ist nicht nötig. | Prüfen, ob der Empfänger erfasst ist, und laut Europäischem Datenschutzausschuss (EDSA) überwachen, dass der Beschluss weiter gilt. |
| Geeignete Garantien (Art. 46), etwa Standardvertragsklauseln | Vertragsklauseln nach dem Muster der Kommission (Durchführungsbeschluss (EU) 2021/914), dazu durchsetzbare Rechte und wirksame Rechtsbehelfe für die Betroffenen | Die Rechtslage im Drittland prüfen und dokumentieren (Transfer Impact Assessment, TIA), wo nötig mit zusätzlichen Maßnahmen. |
| Ausnahmen (Art. 49) | etwa eine ausdrückliche Einwilligung, nachdem die Person über die Risiken informiert wurde | Nach der Bundesbeauftragten für den Datenschutz (BfDI) eng auszulegen und nicht für regelmäßige Übermittlungen, die viele Personen betreffen. Ein Chat, der täglich Fragen vieler Besucher überträgt, lässt sich darauf kaum stützen. |
Seit dem Urteil Schrems II (EuGH, C-311/18, 16. Juli 2020) genügt ein unterschriebener Mustervertrag nicht in jedem Fall. Standardvertragsklauseln können je nach Lage im Drittland zusätzliche Maßnahmen erfordern (Rn. 133); gelingt das nicht, ist die Übermittlung auszusetzen oder zu beenden (Rn. 135). Der EDSA beschreibt das Vorgehen in seinen Empfehlungen 01/2020 (Version 2.0 vom 18. Juni 2021) in sechs Schritten, vom Kennen der eigenen Übermittlungen bis zur Neubewertung in angemessenen Abständen. Klausel 14 der Standardvertragsklauseln verlangt, diese Prüfung zu dokumentieren und der Aufsichtsbehörde auf Anfrage vorzulegen. Für die USA ist sie leichter geworden: Die Schutzvorkehrungen der US-Regierung im Bereich der nationalen Sicherheit gelten nach Angaben der Kommission für alle Übermittlungen an US-Unternehmen, unabhängig vom Instrument, und nach der DSK können Sie die Bewertungen der Kommission in Ihrer TIA berücksichtigen.
Unabhängig vom Standort gilt Art. 28 für jeden Anbieter, der Gespräche in Ihrem Auftrag verarbeitet. Er muss hinreichende Garantien bieten und braucht einen Auftragsverarbeitungsvertrag (AVV) mit dem Mindestinhalt aus Abs. 3. Weitere Auftragsverarbeiter darf er nur mit Ihrer vorherigen Genehmigung einsetzen; ist sie allgemein erteilt, informiert er Sie über jede Änderung, damit Sie widersprechen können (Abs. 2). Was ein AVV für einen Chatbot regeln sollte, zeigt unsere AVV-Checkliste für Chatbots.
Hinweis. Stand 25. Oktober 2026: Der Angemessenheitsbeschluss zum Datenschutzrahmen EU-USA (Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023) ist in Kraft. Er gilt nur für US-Organisationen auf der „Data Privacy Framework List“ des US-Handelsministeriums (Art. 1). Das Gericht der EU hat die Klage von Philippe Latombe dagegen am 3. September 2025 abgewiesen (T-553/23) und dabei die Lage am Tag des Beschlusses geprüft. Latombe hat am 31. Oktober 2025 Rechtsmittel eingelegt; der Gerichtshof führt die Rechtssache C-703/25 P als laufend, ein Urteil gibt es noch nicht. In ihrem Bericht vom 9. Oktober 2024 zur ersten regelmäßigen Überprüfung hat die Kommission die nächste nach drei Jahren angesetzt.
Warum Käufer trotzdem nach EU-Hosting fragen
Dass die DSGVO kein EU-Hosting verlangt, ist rechtlich richtig, und US-Anbieter sprechen es offen aus. SiteGPT eröffnet seine DSGVO-Seite mit dem Satz „GDPR does not require EU hosting.“ (sitegpt.ai, gelesen am 25. Oktober 2026) und räumt dort ein, dass es keine Datenhaltung in der EU anbietet und Wettbewerber mit EU-Hosting bei dieser Anforderung im Vorteil sind. Chatbase rät auf seiner DSGVO-Seite, darauf zu achten, wo Daten gespeichert werden, welche anderen Dienste sie erhalten und von wo Mitarbeitende zugreifen können (chatbase.co, gelesen am 25. Oktober 2026). Beides stimmt.
Warum viele Käufer trotzdem auf EU-Hosting bestehen:
- Weniger zu dokumentieren. Jeder Schritt in einem Drittland gehört mit Land und Grundlage in Ihre Datenschutzerklärung (Art. 13 Abs. 1 lit. f) und in Ihr Verzeichnis von Verarbeitungstätigkeiten (Art. 30 Abs. 1 lit. e). Beim Datenschutzrahmen prüfen Sie die Liste, bei Standardvertragsklauseln kommt eine dokumentierte TIA hinzu. Jeder Schritt, der in der EU bleibt, ist ein Eintrag weniger.
- Weniger Risiko, wenn eine Grundlage wegfällt. Der EuGH hat 2015 die Safe-Harbor-Entscheidung und 2020 den Privacy Shield für ungültig erklärt. Dass Standardvertragsklauseln danach nicht von selbst tragen, zeigt die irische Datenschutzbehörde DPC: Sie stellte am 12. Mai 2023 fest, dass Meta Ireland die vom EuGH benannten Risiken mit Standardvertragsklauseln und zusätzlichen Maßnahmen nicht ausgeräumt hatte, verhängte eine Geldbuße von 1,2 Milliarden Euro und ordnete an, künftige Übermittlungen in die USA auszusetzen. Die Datenschutzkonferenz (DSK) schreibt in ihren Anwendungshinweisen vom 4. September 2023, die gegen die Stimme des Thüringer Landesbeauftragten beschlossen wurden, Verantwortliche müssten sich darauf einstellen, dass der EuGH einen Angemessenheitsbeschluss für ungültig erklärt; dann sind die Übermittlungen auf ein anderes Instrument zu stützen oder einzustellen.
- Zusagen an die eigenen Kunden. Wenn Ihre Kunden vertraglich festlegen, wo ihre Daten verarbeitet werden, können Sie das für Ihren Chatbot nur zusagen, wenn Sie jeden Schritt kennen.
Umgekehrt ersetzt EU-Hosting nichts. Die DSK beschreibt die Prüfung als zweistufig: erst die Rechtsgrundlage und die übrigen Pflichten der DSGVO, dann Kapitel V. Ein Chatbot in Frankfurt braucht also genauso einen AVV, eine Datenschutzerklärung und eine Rechtsgrundlage wie einer in den USA.
Was „in der EU gehostet“ bedeuten kann: Schicht für Schicht
Ein Chatbot ist eine Kette von Diensten. Wer „in der EU gehostet“ schreibt, meint oft nur die erste Zeile dieser Tabelle. Gehen Sie jede Zeile durch:
| Schicht | Was dort ankommt | Was Sie fragen | Was schiefgehen kann |
|---|---|---|---|
| Anwendung | jede Anfrage aus dem Widget und dem Dashboard | Wer betreibt die Server, in welcher Region? | Die Region steht fest, aber Protokolle oder Fehlerberichte gehen an einen Dienst im Ausland. |
| Datenbank | Gespräche, Quellen, Einstellungen | Region der Datenbank und ihrer Kopien | Ein Replikat für den Ausfall liegt außerhalb der EU. |
| Dateien | hochgeladene PDFs, Dateien von Besuchern | Speicherort und Jurisdiktion des Speichers | Der Speicher ist „global“, ohne Bindung an eine Region. |
| KI-Modell (Inferenz) | bei jeder Antwort Ihre Anweisungen, die gefundenen Passagen und das Gespräch | Welches Modell, bei welchem Betreiber, in welcher Region? Kann ein Gateway an andere Anbieter weiterleiten? | Die Anwendung läuft in Frankfurt, das Modell wird über eine API in den USA aufgerufen. |
| Suchvektoren (Embeddings) | jede Passage Ihrer Quellen und jede Frage als Text | Wer erzeugt die Vektoren, und wo? | Ein eigener Embedding-Dienst in den USA, der in keiner Hosting-Angabe vorkommt. |
| Vektordatenbank | die gespeicherten Vektoren | Eigener Dienst oder Teil der Datenbank? Welche Region? | Ein externer Vektordienst ohne EU-Region. |
| Benachrichtigungen und Berichte, oft mit dem, was ein Besucher hinterlassen hat | Welcher Versanddienst, und wo verarbeitet er? | Ein US-Mailanbieter für Lead-Benachrichtigungen. | |
| Analyse und Support | Nutzungsdaten, Tickets, Fernzugriff | Welche Werkzeuge, und von wo greift der Support zu? | Fernzugriff aus einem Drittland gilt laut EDSA selbst als Übermittlung. |
| Backups | Kopien, auch von Gelöschtem | Wo liegen sie, und wie lange? | Gelöschte Daten leben in Backups in einer anderen Region weiter. |
| Unterauftragsverarbeiter | alles, was der Anbieter weitergibt | Vollständige Liste mit Zweck, Ort und Grundlage | Die Liste nennt Firmen, aber keine Orte. |
Die Checkliste: 14 Fragen an einen Chatbot-Anbieter
Stellen Sie die Fragen schriftlich und vor der Unterschrift. Eine gute Antwort nennt Dienst, Ort und Grundlage und steht im Vertrag oder in einer öffentlichen Dokumentation, die Sie zitieren können.
| Nr. | Frage | Eine gute Antwort | Warnsignal |
|---|---|---|---|
| 1 | Wo läuft jede Schicht aus der Tabelle oben? | Dienst und Region für jede Schicht, schriftlich | „Unsere Server stehen in Deutschland“ und sonst nichts |
| 2 | Was verlässt die EU, auch wenn EU-Hosting gewählt ist, und auf welcher Grundlage? | Benannte Schritte mit Land und Grundlage: Datenschutzrahmen, wenn der Empfänger aktiv auf der Liste steht und die Zertifizierung diese Daten abdeckt; sonst Standardvertragsklauseln mit Modul (2: Sie an einen Anbieter im Drittland; 3: ein EU-Anbieter an seinen Unterauftragsverarbeiter im Drittland) und dokumentierter TIA | „Nichts“, obwohl Modell oder Embeddings über eine US-API laufen |
| 3 | Wer sind die Unterauftragsverarbeiter, wofür und wo? | Liste mit Name, Zweck, Ort und Grundlage; Information vor jeder Änderung, damit Sie widersprechen können (Art. 28 Abs. 2) | Die Liste gibt es erst nach Vertragsschluss, oder sie nennt keine Orte |
| 4 | Können Sie den AVV vor dem Kauf lesen? | Ja, mit den Punkten aus Art. 28 Abs. 3: Weisungen auch zu Drittlandsübermittlungen, Vertraulichkeit, Sicherheit, Unterstützung, Löschung, Nachweise | „Das regeln unsere AGB“, oder ein AVV nur für Großkunden |
| 5 | Wo läuft das KI-Modell, das die Antworten schreibt? | Modell, Betreiber und Region; ob ein Gateway Anfragen an andere Anbieter weiterleiten kann, und wohin | „In der EU gehostet“, während das Modell eines US-Anbieters über dessen API läuft, ohne Angabe zur Grundlage |
| 6 | Werden Ihre Inhalte oder Gespräche zum Training genutzt, vom Anbieter oder vom Modellanbieter? | Nein, für beide, schriftlich. Ein Auftragsverarbeiter, der unter Verstoß gegen die DSGVO selbst über Zwecke und Mittel entscheidet, gilt insoweit als Verantwortlicher (Art. 28 Abs. 10). | „Zur Verbesserung unserer Dienste“ ohne Abgrenzung, oder ein Opt-out, das Sie selbst suchen müssen |
| 7 | Wie lange speichert der Modellanbieter Eingaben und Antworten? | Eine konkrete Frist oder keine Speicherung (Zero Data Retention), vertraglich zugesagt | „Gemäß den Standardbedingungen“, ohne Frist |
| 8 | Können Sie die Region wählen, und was ändert sich dann? | Welche Regionen es gibt und was jeweils dort läuft, auch Modell und Embeddings | Die Wahl betrifft nur den Speicher, die Verarbeitung bleibt woanders |
| 9 | Wie wird gelöscht, auf Anfrage und bei Vertragsende? | Löschen einzelner Gespräche; Löschung oder Rückgabe am Ende nach Ihrer Wahl (Art. 28 Abs. 3 lit. g); Angabe, wie lange Backups Gelöschtes noch enthalten | Keine Löschung einzelner Gespräche, oder „wir bewahren Daten zur Verbesserung auf“ |
| 10 | Wie schnell erfahren Sie von einer Datenpanne? | Meldung „unverzüglich“ (Art. 33 Abs. 2), mit Kontakt und Ablauf im AVV, damit Sie Ihre 72 Stunden gegenüber der Behörde einhalten können | Nur „im gesetzlichen Rahmen“, ohne Ablauf |
| 11 | Welche Nachweise und Prüfrechte haben Sie? | Informationen und Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h); Prüfberichte auf Anfrage | Prüfungen ausgeschlossen |
| 12 | Welche Zertifikate gibt es, und wofür gelten sie? | Name, Umfang und Datum, dazu was sie nicht abdecken. Auch eine Zertifizierung nach Art. 42 mindert die Verantwortung nicht (Abs. 4). | Ein Zertifikat als Antwort auf die Standortfrage, oder „DSGVO-zertifiziert“ ohne Angabe, nach welchem Verfahren |
| 13 | Von wo greift der Support auf Daten zu? | Die Länder des Supports und wie Zugriffe protokolliert werden | „Weltweites Team“ ohne Orte: Fernzugriff aus einem Drittland ist laut EDSA eine Übermittlung |
| 14 | Wie setzt der Chatbot den KI-Hinweis nach Art. 50 der KI-Verordnung um? | Ein Hinweis im Chat selbst, in der Sprache des Widgets, den keine Einstellung entfernt | Ein abschaltbarer Hinweis, oder einer, den Sie selbst einbauen müssen |
Art. 50 Abs. 1 der KI-Verordnung verpflichtet die Anbieter im Sinne der Verordnung, KI-Systeme für die direkte Interaktion so zu gestalten, dass Menschen erfahren, dass sie mit einem KI-System interagieren, es sei denn, das ist offensichtlich. Was in dem Hinweis stehen kann, mit Textbeispielen: KI-Hinweis im Chatbot.
Häufige Fehler bei der Anbieterprüfung
- Nur den Serverstandort prüfen. Die Anwendung läuft in Frankfurt, Modell oder Embeddings aber über eine API in den USA. Der erste Schritt des EDSA lautet deshalb, alle Übermittlungen zu kennen, auch die Weiterübermittlungen des Anbieters. Wer ein US-Modell selbst einbindet, findet die Fragen dazu in ChatGPT auf der Website einbinden.
- Den Datenschutzrahmen für jedes US-Unternehmen annehmen. Er gilt nur für Organisationen, die aktiv auf der Liste des US-Handelsministeriums stehen. Die Selbstzertifizierung muss jährlich erneuert werden und die betreffenden Daten abdecken. Gestrichene Unternehmen bleiben als „inactive participants“ in der Liste sichtbar, und auf sie können Sie sich nicht berufen (EDSA, FAQ für europäische Unternehmen).
- Die Zertifizierung für den AVV halten. Mit einem US-Auftragsverarbeiter brauchen Sie einen AVV nach Art. 28, auch wenn er nach dem Datenschutzrahmen zertifiziert ist (EDSA, ebenda).
- Alte Standardvertragsklauseln akzeptieren. Die Klauseln von 2001 und 2010 wurden mit Wirkung vom 27. September 2021 aufgehoben; Verträge auf ihrer Grundlage galten nur bis zum 27. Dezember 2022 als geeignete Garantien (Art. 4 des Durchführungsbeschlusses (EU) 2021/914).
- Die Einwilligung der Besucher als Grundlage nehmen. Art. 49 regelt Ausnahmen für bestimmte Fälle, nicht den täglichen Betrieb eines Chats (siehe die Tabelle oben).
- Den Fernzugriff übersehen. Greift der Support aus einem Drittland auf Daten zu, ist das nach dem EDSA eine Übermittlung, auch wenn alle Server in der EU stehen. Die DSK sieht in einer solchen Zugriffsmöglichkeit ebenfalls eine mögliche Übermittlung.
- Die eigene Datenschutzerklärung vergessen. Sie muss die Empfänger nennen und jede Übermittlung in ein Drittland mit ihrer Grundlage (Art. 13 Abs. 1 lit. e und f).
So beantwortet ChatterLab die Checkliste
ChatterLab wird von der SRI Group BV in Antwerpen (Belgien) betrieben. Für die Gespräche Ihrer Besucher sind Sie der Verantwortliche und ChatterLab Ihr Auftragsverarbeiter. Bei Agenturen ist der Kunde der Verantwortliche, die Agentur sein Auftragsverarbeiter und ChatterLab der Auftragsverarbeiter der Agentur. Die Angaben stammen aus unserer Dokumentation Daten und Datenschutz und Sicherheit (beide auf Englisch), die zu Cortecs aus dessen eigener Dokumentation.
| Was | Wer | Wo |
|---|---|---|
| Die Anwendung | Vercel | Frankfurt, Deutschland |
| Agenten, Quellen und Gespräche | Neon (Postgres) | Europäische Union |
| Hochgeladene Dateien, Dateien von Besuchern und Logos | Cloudflare R2 | EU-Jurisdiktion |
| Das Schreiben der Antworten und die Prüfung, ob sie belegt sind | Cortecs, ein europäisches Modell-Gateway | Standardmäßig innerhalb Europas, laut Cortecs (siehe unten) |
| Umwandlung von Text in Suchvektoren | OpenAI | USA |
| E-Mails, die wir senden: Berichte, Benachrichtigungen zu Leads und Tickets | Resend | USA, versendet über Server in Irland |
| Anmeldung zum Dashboard | Clerk | Betrifft Sie und Ihr Team, nicht Ihre Besucher |
| Zahlungen | Stripe | Betrifft Sie, nicht Ihre Besucher. Kartendaten erreichen uns nie. |
Das Widget auf Ihrer Website und das Dashboard nutzen kein Google Analytics. Zu den übrigen Fragen:
| Frage | Antwort von ChatterLab |
|---|---|
| Was verlässt die EU? (2) | Zwei Schritte laufen in den USA. Für die Suche nach Bedeutung wird jede Passage Ihrer Quellen und jede Frage bei OpenAI in eine Zahlenreihe umgewandelt, unter den Datenverarbeitungsbedingungen von OpenAI; OpenAI trainiert nicht damit. Die E-Mails, die wir senden, verarbeitet Resend in den USA, auf Grundlage des EU-US Data Privacy Framework und von Standardvertragsklauseln. Welches Instrument für OpenAI gilt, nennt die Dokumentation nicht, und eine TIA beschreibt sie ebenfalls nicht; fragen Sie im AVV danach. Zum KI-Modell siehe (5). |
| Unterauftragsverarbeiter (3) | Die Tabelle oben. Wie Änderungen angekündigt werden, beschreibt die öffentliche Dokumentation nicht; das gehört in den AVV. |
| AVV (4) | Auf Anfrage an management@sri-group.eu. Im Produkt gibt es keinen AVV zum Unterschreiben. |
| KI-Modell (5) | Cortecs, ein europäisches Modell-Gateway. Es erhält für jede Antwort Ihre Anweisungen, die Seite, auf der der Besucher ist, die gefundenen Passagen, das jüngste Gespräch und eine Datei, die der Besucher mitgeschickt hat. Laut Cortecs bleiben alle Anfragen standardmäßig innerhalb Europas. Die Einstellung Sovereign Cloud, die nur in der EU ansässige und regulierte Anbieter zulässt, schaltet unser Code für das Lesen von Scans ein, die Besucher schicken, nicht für Antworten. Ohne sie können Daten laut Cortecs von Gesellschaften verarbeitet werden, die zu Unternehmen außerhalb der EU gehören. |
| Training (6) | Wir trainieren keine Modelle mit Ihren Inhalten oder Gesprächen, und OpenAI nutzt die Daten der Suchvektoren nicht zum Training. Cortecs schreibt in seiner Dokumentation, dass Daten standardmäßig nicht für KI-Training genutzt werden. |
| Aufbewahrung beim Modellanbieter (7) | Steht für Cortecs und OpenAI nicht in unserer öffentlichen Dokumentation. |
| Region (8) | In jedem Tarif in der EU gespeichert (eu-central-1), mit den zwei Schritten oben. Enterprise kann in einer dedizierten EU-Region mit SLA laufen; Enterprise vereinbaren Sie individuell mit uns. |
| Löschung (9) | Gespräche werden nicht automatisch gelöscht. Sie löschen sie unter Aktivität oder über die API; Kontaktdaten, Tickets und Dateien von Besuchern löschen Sie jeweils eigens. Mit einem Agenten werden seine Gespräche und alle hochgeladenen Dateien gelöscht. Gelöschtes bleibt noch eine Weile in den Backups unseres Datenbank-Hosts. Einen eigenen Ablauf für das Vertragsende beschreibt die Dokumentation nicht. |
| Datenpannen und Prüfrechte (10, 11) | Beschreibt die öffentliche Dokumentation nicht. Art. 28 Abs. 3 verlangt beides in jedem AVV (lit. f und h); fordern Sie unseren an. |
| Zertifikate (12) | ChatterLab hat kein SOC 2 und nennt keine andere Zertifizierung. Keine Behörde hat ChatterLab genehmigt oder zertifiziert. |
| Supportzugriff (13) | Beschreibt die öffentliche Dokumentation ebenfalls nicht. |
| KI-Hinweis (14) | Jedes Gespräch beginnt mit „Sie chatten mit einem KI-Assistenten“, in der Sprache des Widgets. Kein Tarif und keine Einstellung entfernt ihn, und Antworten sind im Seitencode maschinenlesbar als KI-generiert gekennzeichnet. |
Was wir nicht behaupten: dass keine Daten die EU verlassen. Das stimmt nicht, deshalb nennen wir die zwei Schritte. ChatterLab hilft Ihnen bei der DSGVO; die Pflichten des Verantwortlichen bleiben bei Ihnen, von der Rechtsgrundlage über Ihre Datenschutzerklärung bis zur Antwort auf Anfragen Ihrer Besucher.
Warum benannte Schritte für Sie besser sind als „alles in der EU“: Ihre Datenschutzerklärung muss jede Übermittlung in ein Drittland und ihre Grundlage nennen (Art. 13 Abs. 1 lit. f). Mit einer pauschalen Zusage des Anbieters wäre Ihr eigener Text falsch, sobald ein Schritt doch in den USA läuft. Mit benannten Schritten können Sie genau schreiben, welche Daten an wen in die USA gehen und auf welcher Grundlage. Formulierungen dafür finden Sie im Muster für die Datenschutzerklärung des Chatbots. Einen Überblick gibt die Seite DSGVO-konformer KI-Chatbot, und wie der Chatbot aus Ihren eigenen Inhalten antwortet, zeigt KI-Chatbot mit eigenen Daten.
Die eigene Prüfung auf einer Seite festhalten
Die DSGVO verlangt, dass Sie die Einhaltung nachweisen können (Rechenschaftspflicht, Art. 5 Abs. 2). Halten Sie deshalb für jeden Chatbot-Anbieter auf einer Seite fest, welche Schichten es gibt, wo sie laufen, auf welcher Grundlage und wann Sie das geprüft haben. Die Vorlage ist ein Beispiel: Passen Sie sie an Ihren Fall an und lassen Sie sie, wo es darauf ankommt, von Ihrer Datenschutzberatung prüfen.
Prüfung Chatbot-Anbieter Stand: ____________
Anbieter: ______________________ Rolle: Auftragsverarbeiter (Art. 28 DSGVO)
AVV angefordert am: ________ unterschrieben am: ________ Fassung: ________
Schicht Dienst Ort/Region Drittland? Grundlage
Anwendung ____________ ____________ ja / nein ____________
Datenbank ____________ ____________ ja / nein ____________
Dateien ____________ ____________ ja / nein ____________
KI-Modell ____________ ____________ ja / nein ____________
Suchvektoren ____________ ____________ ja / nein ____________
Vektordatenbank ____________ ____________ ja / nein ____________
E-Mail ____________ ____________ ja / nein ____________
Analyse/Support ____________ ____________ ja / nein ____________
Backups ____________ ____________ ja / nein ____________
Für jeden Schritt in einem Drittland:
Datenschutzrahmen: Empfänger aktiv auf der Liste, Daten abgedeckt, geprüft am ________
Standardvertragsklauseln: Modul ____, TIA dokumentiert am ________
Training mit unseren Daten: nein / ja Beleg: ______________
Aufbewahrung beim Modellanbieter: ______________
Löschung bei Vertragsende: ______________ (Art. 28 Abs. 3 lit. g)
Meldung von Datenpannen: ______________ (Art. 33 Abs. 2)
Prüfrechte: ______________ (Art. 28 Abs. 3 lit. h)
Datenschutzerklärung angepasst: ________ (Art. 13 Abs. 1 lit. e und f)
Verzeichnis angepasst: ________ (Art. 30 Abs. 1 lit. e)
Nächste Prüfung: ________ (spätestens bei einem neuen Unterauftrags-
verarbeiter oder einer EuGH-Entscheidung zum DPF)
Geprüft von: ______________
Ein Beispiel für eine offene Stelle: Für ChatterLab tragen Sie in der Zeile Suchvektoren „OpenAI, USA, ja“ ein. Als Grundlage notieren Sie, was unsere Dokumentation nennt (die Datenverarbeitungsbedingungen von OpenAI), und daneben, dass Sie das Instrument im AVV erfragt haben. Eine offene Frage mit Datum ist ein besserer Nachweis als ein leeres Feld.
Häufige Fragen zu EU-Hosting und DSGVO
Ist ein Chatbot mit EU-Hosting automatisch DSGVO-konform?
Nein. Der Standort beantwortet nur die Frage nach Übermittlungen in Drittländer, und auch die nur für die Schichten, die wirklich in der EU laufen. Daneben brauchen Sie eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag nach Art. 28, eine Datenschutzerklärung, die den Chat und seine Empfänger nennt, und einen Weg, Anfragen von Besuchern zu beantworten. Die Datenschutzkonferenz beschreibt die Prüfung deshalb als zweistufig: erst die allgemeinen Anforderungen der DSGVO, dann Kapitel V.
Darf ich einen Chatbot aus den USA einsetzen?
Ja, wenn jede Übermittlung eine Grundlage nach Kapitel V hat. Steht der US-Anbieter aktiv auf der Liste des Datenschutzrahmens EU-USA und deckt seine Zertifizierung diese Daten ab, genügt der Angemessenheitsbeschluss vom 10. Juli 2023. Sonst brauchen Sie eine andere Grundlage, etwa Standardvertragsklauseln mit einer dokumentierten Prüfung der Rechtslage in den USA. In beiden Fällen gehören ein AVV und ein Hinweis in Ihrer Datenschutzerklärung dazu.
Was ist das EU-US Data Privacy Framework, und kann ich mich darauf verlassen?
Der Datenschutzrahmen EU-USA ist der Angemessenheitsbeschluss (EU) 2023/1795 für US-Organisationen auf der Liste des US-Handelsministeriums. Er ist in Kraft; das Gericht der EU hat eine Klage dagegen am 3. September 2025 abgewiesen, ein Rechtsmittel ist am 25. Oktober 2026 beim Gerichtshof anhängig (C-703/25 P). Sie können sich darauf stützen, solange er gilt. Die DSK schreibt aber, Verantwortliche müssten sich auf ein mögliches Ende einstellen. Halten Sie also fest, welche Ihrer Übermittlungen daran hängen.
Spielt es eine Rolle, wo das KI-Modell läuft?
Ja. Bei einem Chatbot, der aus Ihren Quellen antwortet, erhält das Modell mit jeder Frage den Gesprächsverlauf und passende Auszüge, und Besucher tippen auch persönliche Angaben in ein Chatfenster. Läuft das Modell bei einem Anbieter außerhalb der EU, ist das eine Übermittlung mit eigener Grundlage, auch wenn die Anwendung in Frankfurt steht. Fragen Sie nach Modell, Betreiber und Region und danach, ob ein Gateway an andere Anbieter weiterleiten kann.
Was ist ein Unterauftragsverarbeiter?
Ein Dienstleister, den Ihr Anbieter für die Verarbeitung in Ihrem Auftrag einsetzt, etwa für das Hosting, die Datenbank, das KI-Modell oder den E-Mail-Versand. Nach Art. 28 Abs. 2 DSGVO braucht er Ihre vorherige Genehmigung. Bei einer allgemeinen Genehmigung muss der Anbieter Sie über Änderungen informieren, damit Sie widersprechen können. Erfüllt der Unterauftragsverarbeiter seine Pflichten nicht, haftet Ihr Anbieter Ihnen gegenüber dafür (Art. 28 Abs. 4).
Kann ich den AVV vor dem Kauf anfordern?
Ja, und das lohnt sich. Der AVV muss den Inhalt aus Art. 28 Abs. 3 DSGVO haben, darunter Weisungen auch zu Drittlandsübermittlungen, Sicherheit, Unterstützung bei Datenpannen, Löschung oder Rückgabe am Vertragsende und Überprüfungen. Ein Anbieter, der ihn erst nach Vertragsschluss zeigt, lässt Sie ohne Prüfung unterschreiben. Bei ChatterLab erhalten Sie ihn auf Anfrage unter management@sri-group.eu.
Quellen
- Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Amtsblatt der Europäischen Union (EUR-Lex), gelesen am 25. Oktober 2026.
- Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023 über die Angemessenheit des Schutzniveaus nach dem Datenschutzrahmen EU-USA, EUR-Lex, gelesen am 25. Oktober 2026.
- Urteil des Gerichts vom 3. September 2025, Latombe/Kommission, T-553/23, EUR-Lex, gelesen am 25. Oktober 2026.
- Rechtsmittel, eingelegt am 31. Oktober 2025 von Philippe Latombe, Rechtssache C-703/25 P, Amtsblatt C/2025/6610 (EUR-Lex), gelesen am 25. Oktober 2026.
- Ergebnisliste Rechtssache C-703/25 P, Latombe/Kommission, Gerichtshof der Europäischen Union (InfoCuria), gelesen am 25. Oktober 2026.
- Urteil des Gerichtshofs vom 16. Juli 2020, Facebook Ireland und Schrems, C-311/18, EUR-Lex, gelesen am 25. Oktober 2026.
- Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer, EUR-Lex, gelesen am 25. Oktober 2026.
- Bericht der Kommission über die erste regelmäßige Überprüfung des Angemessenheitsbeschlusses zum Datenschutzrahmen EU-USA, COM(2024) 451, EUR-Lex, gelesen am 25. Oktober 2026.
- EU-US data transfers, Europäische Kommission, gelesen am 25. Oktober 2026.
- Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, Europäischer Datenschutzausschuss, gelesen am 25. Oktober 2026.
- EU-US Data Privacy Framework FAQ for European businesses, Europäischer Datenschutzausschuss, gelesen am 25. Oktober 2026.
- Übermittlung personenbezogener Daten aus Europa an die USA: Anwendungshinweise zum Angemessenheitsbeschluss zum EU-US Data Privacy Framework, Datenschutzkonferenz, gelesen am 25. Oktober 2026.
- Internationale Datenübermittlungen, Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, gelesen am 25. Oktober 2026.
- Data Protection Commission announces conclusion of inquiry into Meta Ireland, Data Protection Commission (Irland), gelesen am 25. Oktober 2026.
- Verordnung (EU) 2024/1689 (KI-Verordnung), EUR-Lex, gelesen am 25. Oktober 2026.
- GDPR Compliant Chatbot: Lawful Basis, DPA, SCCs, SiteGPT, gelesen am 25. Oktober 2026.
- Chatbot GDPR Compliance: What to Check Before Launch, Chatbase, gelesen am 25. Oktober 2026.
- Data Governance & Controls, Cortecs, gelesen am 25. Oktober 2026.
- Sovereign Cloud, Cortecs, gelesen am 25. Oktober 2026.
So ist dieser Beitrag entstanden: mit KI-Unterstützung verfasst und anschließend mit der tatsächlichen Funktionsweise von ChatterLab und den im Beitrag genannten Quellen abgeglichen. Fehler entdeckt? Schreiben Sie an management@sri-group.eu.