Was ist Verarbeitungsort?
Zuletzt aktualisiert am · Aidan Faes
Kurz gesagt
Der Verarbeitungsort ist der Ort, an dem Ihre Daten tatsächlich gespeichert und berechnet werden. Er kann vom Firmensitz des Anbieters und auch vom Standort des Hauptrechenzentrums abweichen, weil einzelne Schritte an weitere Dienstleister gehen. Bei KI-Anwendungen gibt es deshalb meist nicht einen Ort, sondern eine Kette von Orten.
Nützlich ist die Trennung in drei Fragen. Erstens: Wo liegen Ihre Dokumente und Konten dauerhaft? Zweitens: Wo läuft die Anwendung, also die Oberfläche mit Rechteverwaltung und Protokollierung? Drittens: Wo wird das Sprachmodell aufgerufen? Diese drei Antworten fallen häufig auseinander, und die dritte ist die, nach der am seltensten gefragt wird.
In unserer geprüften Auswahl lässt sich das gut ablesen. moinAI gibt Stand 08/2026 Server in Deutschland bei OVH an und nennt für die Modellverarbeitung Azure West Europe. nele.ai nennt Server in Deutschland und weist darauf hin, dass die Modelle wahlweise auf europäischen oder internationalen Servern laufen. Microsoft beschreibt Copilot für EU-Kunden als Dienst innerhalb der EU-Datengrenze, weist aber darauf hin, dass Modellaufrufe bei hoher Auslastung in anderen Regionen erfolgen können.
Der häufigste Fehler ist die Gleichsetzung von Speicherort und Verarbeitungsort. Ein Dokument kann in Frankfurt liegen und trotzdem zeilenweise an ein Modell außerhalb Europas geschickt werden, sobald jemand eine Frage dazu stellt. Für die datenschutzrechtliche Bewertung zählt jeder dieser Schritte. Übermittlungen in Drittländer sind nur unter den Bedingungen des Kapitels V der DSGVO zulässig (Art. 44 ff.).
Sie brauchen eine präzise Antwort vor allem dann, wenn Personaldaten, Gesundheitsdaten oder Mandantendaten im Spiel sind oder wenn Kunden Ihnen vertragliche Vorgaben machen. Für einen Assistenten, der Marketingtexte formuliert, ist die Frage weniger scharf. Notieren Sie die Antwort mit Datum und Quelle, denn Regionen und Dienstleister ändern sich schneller als Verträge.
Welche Begriffe hängen damit zusammen?
- EU-Hosting: Betrieb in Rechenzentren innerhalb der EU. Eine Aussage über den Ort, nicht automatisch über den Rechtsrahmen.
- Subprozessor: Ein weiterer Dienstleister, den Ihr Anbieter einsetzt. Bei KI gehört fast immer ein Modellanbieter dazu.
- Auftragsverarbeitungsvertrag: Der Vertrag nach Art. 28 DSGVO, der regelt, wie ein Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet.
Wo wird Verarbeitungsort in der Auswahl konkret?
Begriffe helfen erst, wenn sie an einer Entscheidung hängen. Verarbeitungsort spielt vor allem in KI-Assistenten & LLM-Plattformen und Dokumente & Verwaltung eine Rolle. Dort sehen Sie, wie die geprüften Lösungen mit dem Punkt umgehen, jeweils mit Quelle und Stand-Datum.
Weiter im Glossar
Recht und Sicherheit
Häufige Fragen
Wie finde ich heraus, wo die Modelle wirklich rechnen?
Die Angabe steht in der Regel in der Subprozessorenliste oder in der Sicherheitsdokumentation, nicht auf der Startseite. Fragen Sie schriftlich nach Region und Dienstleister je Verarbeitungsschritt. Eine Antwort, die nur den Firmensitz nennt, beantwortet die Frage nicht.
Kann ich den Verarbeitungsort selbst festlegen?
Manche Plattformen erlauben es, die Modellauswahl auf europäische Angebote zu begrenzen, andere bieten Regionen nur im Enterprise-Vertrag an. Lassen Sie sich zeigen, wo diese Einstellung liegt und wer sie ändern darf. Ohne Sperre kann eine einzelne Person die Kette wieder verlängern.
Reicht ein Serverstandort in Deutschland als Argument?
Er ist ein starkes Indiz, aber kein Nachweis für die gesamte Kette. Solange nicht klar ist, wo die Modellaufrufe stattfinden, bleibt eine Lücke in der Dokumentation. Nennen Sie im Verzeichnis Ihrer Verarbeitungstätigkeiten daher jeden Schritt einzeln.