Chinesische Modelle und die DSGVO: warum der Hosting-Ort entscheidet

TL;DR

Datenschutzrechtlich zählt, wohin personenbezogene Daten fließen — nicht, wer die Modellgewichte trainiert hat. Ein Modell aus China auf einem Server in Frankfurt löst keine Drittlandübermittlung aus. Über die Hersteller-API genutzt, tut es das sehr wohl. Der Unterschied ist die gesamte rechtliche Bewertung.

Zwei Fälle, die verwechselt werden

Fall A: Ihr Mitarbeiter tippt eine Kundenanfrage in eine Weboberfläche des chinesischen Herstellers. Die Daten verlassen die EU und werden von einem Verantwortlichen in einem Drittland verarbeitet, für das kein Angemessenheitsbeschluss vorliegt. Ohne Rechtsgrundlage nach Kapitel V der DSGVO und ohne Auftragsverarbeitungsvertrag ist das nicht zulässig.

Fall B: Sie laden dieselben Modellgewichte von einem Modell-Repository herunter und betreiben sie auf einem Server in Ihrem Rechenzentrum. Die Kundenanfrage wird dort verarbeitet. Es findet keine Übermittlung statt. Sie sind Verantwortlicher, der Verarbeitungsort ist Deutschland, es gibt keinen Auftragsverarbeiter.

Der Unterschied zwischen A und B ist vollständig. Und der Punkt ist: In beiden Fällen ist es dasselbe Modell.

Warum die Gewichte kein Datenschutzproblem sind

Eine Datei mit Modellgewichten ist eine Matrix von Zahlen. Sie enthält keinen ausführbaren Code, der eine Netzwerkverbindung aufbaut. Sie meldet nichts nach Hause. Sie hat keine Telemetrie.

Wenn Sie ein Modell mit vLLM oder llama.cpp laden, lesen diese Programme die Gewichte und rechnen damit. Der einzige Netzwerkverkehr entsteht durch Ihre eigenen Anfragen an Ihren eigenen Server. Sie können das nachprüfen:

# Der Inferenzserver soll ausschließlich lokal erreichbar sein
# und selbst nichts nach außen sprechen
sudo tcpdump -i any -n 'not net 10.0.0.0/8 and not net 192.168.0.0/16' \
  and 'host <IP-DES-GPU-SERVERS>'

# Sauberer: der Container bekommt gar keinen ausgehenden Zugang
docker run --network=ki-intern --dns=127.0.0.1 vllm/vllm-openai:latest ...

Das ist kein rhetorisches Argument, sondern ein prüfbares. Wenn Sie einen Nachweis für Ihr Verarbeitungsverzeichnis brauchen, schneiden Sie den Verkehr eine Stunde mit und legen das Ergebnis ab.

Die Einwände, die man ernst nehmen sollte

Damit das nicht als Freibrief gelesen wird — vier Punkte, die tatsächlich zu prüfen sind, und einer, der regelmäßig überschätzt wird.

Die Lizenz. Der wichtigste Punkt, und er ist keine Datenschutzfrage. "Offene Gewichte" heißt nicht automatisch "kommerziell frei nutzbar". MIT und Apache 2.0 sind unproblematisch. Andere Modelle stehen unter herstellereigenen Lizenzen mit Einschränkungen — teils mit ausdrücklichem Erfordernis einer gesonderten Vereinbarung für den kommerziellen Einsatz, teils mit Nutzungsausschlüssen für bestimmte Länder. Prüfen Sie das je Modell, bevor Sie eine Architektur darauf bauen. Die Übersicht steht im Beitrag zu den meistgenutzten Modellen und ihrer Hosting-Eignung.

Die Herkunft der Datei. Laden Sie Gewichte nur aus dem offiziellen Repository des Herstellers und prüfen Sie die Prüfsummen. Eine manipulierte Modelldatei ist ein reales Lieferkettenrisiko — nicht wegen des Herstellers, sondern wegen möglicher Zwischenhändler. Moderne Serialisierungsformate wie Safetensors haben das Risiko der Code-Ausführung beim Laden weitgehend beseitigt; ältere Formate hatten es.

Die Modellinhalte. Ein Modell gibt wieder, was in seinen Trainingsdaten steht — einschließlich politischer Prägungen. Bei Fragen zu historischen oder politischen Themen liefern Modelle unterschiedlicher Herkunft unterschiedliche Antworten. Für eine Wartungsanleitung oder eine Angebotsprüfung ist das irrelevant. Für einen kundenseitigen Assistenten, der offene Fragen beantwortet, sollten Sie es geprüft haben.

Der EU AI Act. Wenn Sie ein Modell selbst betreiben und in ein System einbauen, sind Sie Betreiber und je nach Ausgestaltung auch Anbieter im Sinne der Verordnung. Diese Rolle bringt eigene Pflichten mit — unabhängig davon, woher das Modell stammt. Die Einordnung steht im Beitrag zu Hochrisiko-Systemen im Mittelstand.

Was überschätzt wird: die Vorstellung, ein Modell könne Daten "merken" und später preisgeben. Bei Inferenz auf festen Gewichten findet kein Lernen statt. Ihre Eingaben verändern das Modell nicht. Anders ist es nur, wenn Sie ausdrücklich nachtrainieren — dann gelten andere Regeln, und dann ist es Ihr Modell.

Was in Ihre Dokumentation gehört

Für das Verzeichnis von Verarbeitungstätigkeiten und für die Frage, die in jedem Audit kommt, reichen fünf Angaben je eingesetztem Modell:

1. Modell und Version, mit genauer Bezeichnung der Fassung
2. Lizenz und die Feststellung, dass sie den kommerziellen Einsatz deckt
3. Bezugsquelle und geprüfte Prüfsumme
4. Verarbeitungsort — konkreter Standort des Servers
5. Netzwerkabgrenzung — Nachweis, dass der Inferenzserver keinen ausgehenden Zugang hat

Punkt 5 ist der, der die Diskussion beendet. Wer belegen kann, dass die Umgebung nicht nach außen spricht, muss über die Herkunft der Gewichte nicht mehr diskutieren.

Wo es trotzdem eng wird

Zwei Situationen, in denen die Argumentation nicht trägt und wir davon abraten:

Wenn eigene Kundenverträge Herkunftsanforderungen enthalten. Manche Rahmenverträge — besonders im Verteidigungsumfeld, in kritischer Infrastruktur und bei öffentlichen Auftraggebern — schließen Komponenten bestimmter Herkunft aus, unabhängig vom Verarbeitungsort. Das ist eine vertragliche, keine datenschutzrechtliche Frage, und sie sticht die obige Argumentation.

Wenn die interne Akzeptanz fehlt. Wenn Geschäftsführung oder Betriebsrat ein Modell aus einem bestimmten Land nicht wollen, ist eine rechtlich saubere Argumentation kein Ersatz für Zustimmung. Führen Sie die Diskussion, aber führen Sie sie ehrlich: Es geht dann um eine Haltung, nicht um die DSGVO.

Für beide Fälle gibt es Alternativen. Es existieren leistungsfähige offene Modelle aus Europa und den USA, und für einen Großteil der Anwendungsfälle im Mittelstand reicht ein Modell der 30B-Klasse ohnehin aus.

Häufig gestellte Fragen

Ist der Einsatz chinesischer KI-Modelle DSGVO-konform?

Beim Betrieb auf eigener oder europäischer Infrastruktur ja, weil dabei keine Übermittlung in ein Drittland stattfindet — der Verarbeitungsort bestimmt die rechtliche Bewertung, nicht die Herkunft der Modellgewichte. Bei Nutzung über die API des Herstellers hingegen liegt eine Drittlandübermittlung vor, die eine eigene Rechtsgrundlage nach Kapitel V der DSGVO erfordert.

Können Modellgewichte Daten an den Hersteller senden?

Nein. Eine Gewichtsdatei enthält Zahlenmatrizen, keinen ausführbaren Code mit Netzwerkzugriff. Der Netzwerkverkehr entsteht ausschließlich durch die Software, die das Modell lädt, und durch Ihre eigenen Anfragen. Wer den Nachweis führen will, betreibt den Inferenzserver ohne ausgehenden Netzzugang und schneidet den Verkehr zur Dokumentation mit.

Merkt sich ein Modell meine Eingaben?

Bei der reinen Anwendung nicht. Die Gewichte sind während der Inferenz unveränderlich, Ihre Eingaben verändern sie nicht. Ein Gedächtnis entsteht erst durch die Anwendung selbst — etwa durch gespeicherte Gesprächsverläufe in der Chat-Oberfläche oder durch bewusstes Nachtraining. Beides liegt in Ihrer Verantwortung und ist entsprechend zu regeln.

Was muss ich vor dem Einsatz eines offenen Modells prüfen?

Vier Dinge: ob die Lizenz die kommerzielle Nutzung ohne gesonderte Vereinbarung erlaubt, ob die Datei aus der offiziellen Quelle stammt und die Prüfsumme stimmt, ob eigene Kundenverträge Herkunftsanforderungen enthalten, und ob die Modellinhalte für Ihren Anwendungsfall unkritisch sind. Die Lizenzprüfung ist dabei der Punkt, an dem am häufigsten etwas übersehen wird.

Schließen manche Verträge Modelle bestimmter Herkunft aus?

Ja, und das ist die praktisch relevanteste Einschränkung. Rahmenverträge im Verteidigungsbereich, bei kritischer Infrastruktur und mit öffentlichen Auftraggebern enthalten teilweise Herkunftsanforderungen an eingesetzte Komponenten. Das ist eine vertragliche Bindung, die unabhängig vom Verarbeitungsort gilt — prüfen Sie Ihre Kundenverträge, bevor Sie die datenschutzrechtliche Argumentation für ausreichend halten.

Der nächste Schritt

Wenn die Herkunftsfrage in Ihrem Haus diskutiert wird, führen Sie sie auf eine prüfbare Aussage zurück: Hat der Inferenzserver ausgehenden Netzzugang? Wenn nein, ist die Diskussion technisch beendet — und was bleibt, ist eine Haltungsfrage, die man als solche führen sollte. Bei der Absicherung unterstützen wir gern.