Was sagt EU-Hosting aus?
EU-Hosting beschreibt zunächst, wo Daten gespeichert werden. Davon zu unterscheiden sind weitere Verarbeitungsorte, Supportzugriffe, Telemetrie, Backups, Unterauftragnehmer und die Nutzung externer KI-Modelle.
Auch bei einem europäischen Speicherort können Datenübermittlungen in Drittländer stattfinden. Umgekehrt ersetzt ein AVV keine Prüfung der Regeln für internationale Datenübermittlungen nach Kapitel V der DSGVO.
Praktische Prüffragen vor dem Einsatz
- Welche personenbezogenen oder vertraulichen Daten sollen verarbeitet werden?
- Ist der Anbieter Auftragsverarbeiter oder verfolgt er teilweise eigene Zwecke?
- Gibt es einen passenden AVV und eine aktuelle Liste der Unterauftragnehmer?
- Wo liegen Primärdaten, Backups, Protokolle und Supportdaten?
- Können Inhalte für Training oder Produktverbesserung verwendet werden und lässt sich dies abschalten?
- Welche Löschfristen, Zugriffsrechte und Sicherheitsfunktionen sind konfiguriert?
- Sind Drittlandtransfers vorgesehen und auf welcher Grundlage?
Wie Atlas die Angaben darstellt
Project Atlas führt DPA/AVV und EU-Hosting bewusst als getrennte Merkmale. Unklare oder tarifabhängige Angaben werden mit „Zu prüfen“ gekennzeichnet. Das ist keine negative Bewertung, sondern ein Hinweis, vor dem Unternehmenseinsatz eine konkrete Bestätigung einzuholen.
Musterfall: ein Protokoll mit vier Datenwegen
Ein fiktives Unternehmen möchte ein internes Meeting zusammenfassen. Im Pilot werden ausschließlich synthetische Namen und Inhalte verwendet. Das folgende Schema illustriert Prüffragen, keinen getesteten Anbieter.
Ein AVV regelt Pflichten, eine Region benennt einen Verarbeitungsort und eine Einstellung steuert eine Funktion. Keiner dieser Belege ersetzt die anderen. „Nicht öffentlich dokumentiert“ bedeutet zunächst fehlender Nachweis; daraus folgt weder „nicht angeboten“ noch eine bestätigte Eignung. Dokumentiere offene Fragen im Beschaffungsblatt.
| Datenweg | Was geklärt werden muss | Erforderlicher Beleg |
|---|---|---|
| Speicherung | Wo liegen Audio, Transkript und Zusammenfassung? | Tarifbezogene Region und Löschregeln |
| Inferenz | Wo verarbeitet das Modell die Inhalte? | Funktionsbezogene Dokumentation und Unterauftragnehmer |
| Support | Können Personen in anderen Ländern zugreifen? | Rollen, Zugriffsgenehmigung und Transfergrundlage |
| Protokolle | Enthalten Fehlerlogs Inhalte oder personenbezogene Kennungen? | Logumfang, Frist und tatsächlicher Löschweg |