Fast jeder KI-Anbieter wirbt inzwischen mit einem EU-Rechenzentrum. Dieser Satz sagt allerdings nichts darüber aus, wo dein Prompt tatsächlich durch ein Modell läuft, wie lange er danach irgendwo liegt und wer ihn im Verdachtsfall lesen darf. Zwischen “Daten in der EU gespeichert” und “Verarbeitung ausschließlich in der EU” liegen mehrere Vertragsfragen, die kaum ein Datenblatt beantwortet.
Kurzfassung
KI EU-Datenresidenz zerfällt in vier getrennte Zusagen: Verarbeitungsort, Speicherung, Zugriff zur Missbrauchserkennung und Vertragspartner. Ein Anbieter kann drei davon sauber erfüllen und die vierte offenlassen, deshalb taugt das Label “EU-Rechenzentrum” allein nicht als Prüfkriterium.
”EU-Rechenzentrum” beschreibt Speicherorte, nicht Rechenwege
Der Begriff Datenresidenz stammt aus der klassischen Cloud-Welt, und dort meint er in erster Linie ruhende Daten: Wo liegt der Storage-Bucket, wo die Datenbank, wo das Backup. Für Datenbanken ist das eine sinnvolle Abgrenzung, weil Speicherung und Verarbeitung meist am selben Ort passieren.
Bei generativer KI fällt beides auseinander. Ein Anbieter kann Kontodaten, Protokolle und hochgeladene Dateien in einer europäischen Region halten und die eigentliche Modellberechnung trotzdem in einem Cluster außerhalb der EU ausführen, weil dort die Beschleuniger stehen. Genau in diesem Moment liegt der vollständige Inhalt an: der Prompt, der angehängte Vertrag, der Auszug aus der Personalakte. Speicherung betrifft Metadaten und Artefakte, Inferenz betrifft den Inhalt selbst.
Dazu kommt ein zweiter Effekt, den Anbieter selten prominent erklären: Kapazitätsengpässe. Wenn eine Region ausgelastet ist, ist ein Ausweichen in eine andere Region betrieblich naheliegend, sofern der Vertrag es nicht ausschließt. Die relevante Frage lautet deshalb nicht “Habt ihr ein EU-Rechenzentrum?”, sondern “Ist die Verarbeitung vertraglich auf die EU begrenzt, auch bei Lastspitzen und im Störungsfall?”
Die vier Dimensionen, nach denen du einen Anbieter befragst
Statt Anbieter gegeneinander zu punkten, ist es belastbarer, jeden Anbieter gegen dieselben vier Dimensionen zu stellen. Die Antworten gehören in dein Verarbeitungsverzeichnis, nicht in eine Präsentation.
| Dimension | Die Frage, die du stellst | Woran du die Antwort festmachst |
|---|---|---|
| Verarbeitungsort | Wo läuft die Inferenz, und gilt das auch bei Lastspitzen, Fallback und Störungsfall? | Regionale Endpunkte im Produkt, schriftliche Zusicherung im Vertrag, benannte Ausnahmen |
| Speicherung | Wird der Prompt nach der Antwort gespeichert, wie lange, und wo liegt dieser Speicher? | Zero-Data-Retention-Zusage, konkrete Aufbewahrungsfristen für Protokolle, Speicherort je Artefakt |
| Zugriff zur Missbrauchserkennung | Wer sieht Inhalte, wenn ein Missbrauchssignal anschlägt, und wo werden sie dafür abgelegt? | Beschreibung des Prüfprozesses, Ort der Aktivitätsdaten, ob Anbieterpersonal im Prüfweg sitzt |
| Vertragspartner | Mit welcher juristischen Person schließt du ab, und wer im Konzern hat technisch Zugriff? | Auftragsverarbeitungsvertrag, Unterauftragsverarbeiterliste, Sitz der vertragschließenden Einheit |
Diese vier Fragen sind bewusst schmal gehalten. Wer sie zu einer Sammelfrage nach “DSGVO-Konformität” zusammenzieht, bekommt eine Sammelantwort zurück, die im Ernstfall nichts trägt.
Verarbeitungsort: Mistral macht die Regionenwahl zum Produktmerkmal
Am 11. August 2026 hat Mistral Regional Endpoints allgemein verfügbar gemacht. Kundinnen und Kunden können damit wählen, ob die Verarbeitung in Europa oder in den USA stattfindet, ausgerichtet an den eigenen Anforderungen an Datenresidenz und Regulierung. Parallel läuft ein Priority Tier mit zugesicherten Service-Levels und einer Uptime-SLA in der Public Preview (Quelle).
Interessanter als die Regionenwahl selbst ist der zweite Teil der Ankündigung: Mistral betreibt fremde Open-Weight-Modelle auf der eigenen Infrastruktur unter denselben regionalen Kontrollen, beginnend mit GLM-5.2 von Z.ai. Damit entkoppelt sich die Frage “Wessen Modell nutze ich?” von der Frage “Wer betreibt es und wo?”. Für die Datenresidenz zählt die zweite Frage, und sie lässt sich unabhängig von der Modellherkunft beantworten.
Mistral ist dabei nicht der einzige Anbieter mit europäischen Optionen, nur der mit der explizitesten Produktisierung. OpenAI bietet europäische Datenresidenz für Enterprise-Workspaces und für entsprechend konfigurierte API-Projekte an und unterscheidet in der eigenen Dokumentation ausdrücklich zwischen dem Speicherort und dem Ort der Inferenz. Genau diese Unterscheidung ist der Punkt dieses Beitrags, und dass ein großer Anbieter sie selbst zieht, zeigt, dass sie keine Spitzfindigkeit ist. Welche Endpunkte und Produkte konkret erfasst sind, ändert sich allerdings laufend, deshalb gilt hier wie bei allen anderen: Der Vertragsstand zählt, nicht die Marketingseite.
Der dritte Teil ist eine Kapazitätsansage: Eine Koalition namens European Compute Units zielt auf bis zu 1 GW europäischer Rechenkapazität bis 2030, getragen von mehrjährigen Zusagen großer Ankerkunden. Das ist eine Absichtserklärung mit Zeithorizont, keine heute buchbare Kapazität, und gehört entsprechend eingeordnet.
Was du an dieser Stelle nicht tun solltest: kursierende Zahlen zu regionalen Aufschlägen oder zu SLA-Werten übernehmen. Auf der Ankündigung des Anbieters stehen sie nicht. Für eine Entscheidung, die im Verarbeitungsverzeichnis landet, brauchst du das Angebot, nicht die Zusammenfassung eines Dritten.
Speicherung und Missbrauchserkennung: was Anthropic Anfang September geändert hat
Anthropic hat am 1. September 2026 Enterprise Frontier Safeguards vorgestellt. Der Ansatz löst einen echten Zielkonflikt: Missbrauchserkennung braucht Muster über Zeit und Konten hinweg, Zero Data Retention verbietet genau diese Vorratshaltung beim Anbieter. Die Lösung verlagert den Speicherort. Aktivitätsdaten liegen im eigenen Cloud-Konto der Kundin oder des Kunden, in S3, Azure Blob Storage oder Google Cloud Storage, unter eigenen Schlüsseln und eigenen Zugriffsrichtlinien. Automatisierte Systeme werten ein rollierendes Fenster auf ernste Missbrauchssignale aus und melden an das eigene Sicherheitsteam. Anthropic verlangt dafür keine Prüfung durch eigene Beschäftigte. Anthropic berechnet dafür nichts, es fallen die Speicherkosten des jeweiligen Cloud-Anbieters an. Der Rollout ist gestaffelt und startet später im Herbst (Quelle).
Das ist ein substanzieller Fortschritt bei zwei der vier Dimensionen, Speicherung und Zugriff zur Missbrauchserkennung. Es ist ausdrücklich keine Aussage über den Verarbeitungsort. Anthropic hat bis heute keine eigene EU-Datenresidenz für die First-Party-API. Der Vertragspartner für europäische Kundschaft ist Anthropic Ireland Limited, die Inferenz läuft weiterhin in den USA. Wer EU-Verarbeitung braucht, geht über AWS Bedrock in einer europäischen Region oder über Google Vertex AI. Claude auf Microsoft Foundry ist am 29. Juni 2026 allgemein verfügbar geworden, allerdings ohne EU-Datenzone. Wie sich diese Lücke im Copilot-Kontext auswirkt, steht im Beitrag Claude in Microsoft Copilot und die EU-Datengrenze.
Die Lehre daraus ist keine gegen Anthropic. Sie ist, dass eine sehr gute Antwort auf Dimension zwei und drei die Antwort auf Dimension eins nicht ersetzt, und dass Anbieter naturgemäß das kommunizieren, was sie gerade gelöst haben.
Vertragspartner: die Frage, die am seltensten gestellt wird
Wenn du dein Modell über einen Hyperscaler beziehst, verschiebt sich dein Gegenüber. Der Auftragsverarbeitungsvertrag läuft dann mit dem Cloud-Anbieter, das Modell ist ein Dienst innerhalb dieses Vertrags, und die Regionszusagen sind die des Hyperscalers, nicht die des Modellanbieters. Das ist häufig die pragmatischere Konstruktion, weil europäische Regionen und Sitzverträge dort seit Jahren etabliert sind. Es bedeutet aber, dass du die vier Fragen ein zweites Mal stellen musst, an eine andere Adresse.
Die europäische Infrastruktur dafür ist deutlich reifer als noch vor zwei Jahren. Die AWS European Sovereign Cloud ist mit einer Region in Brandenburg inzwischen allgemein verfügbar. Die Industrial AI Cloud von Telekom und NVIDIA in München ist in Betrieb. Microsoft bietet seine Sovereign Public Cloud sowie die Verarbeitung von Copilot-Anfragen innerhalb Deutschlands an. Für Standardworkflows sind das belastbare Optionen, und sie pauschal abzulehnen wäre falsch.
Bei den europäischen Anbietern lohnt sich Genauigkeit. Der im April 2026 angekündigte Zusammenschluss von Cohere und Aleph Alpha, flankiert von 500 Millionen Euro der Schwarz Gruppe, ist Anfang September 2026 noch nicht vollzogen. Er steht weiterhin unter dem Vorbehalt der Freigaben durch das Bundeskartellamt sowie durch europäische und kanadische Behörden. Ein souveräner Stack auf dieser Basis ist angekündigt, nicht bestellbar. Wer heute plant, plant mit dem, was vertraglich verfügbar ist.
Verdict: was sich heute belastbar zusagen lässt
Sortiert nach der Härte der Zusage ergibt sich für den Herbst 2026 ein klares Bild.
Verarbeitungsort ist die härteste und zugleich seltenste Zusage. Explizit wählbare Regionen für Inferenz gibt es, sie sind aber nicht der Normalfall, und der Fallback-Pfad steht selten im Datenblatt. Frag ihn explizit ab.
Speicherung ist die am besten gelöste Dimension. Zero Data Retention ist im Enterprise-Segment breit verfügbar, und mit kundenseitigem Speicher der Aktivitätsdaten gibt es jetzt eine Konstruktion, die Aufbewahrung und Sicherheitsanforderungen nicht mehr gegeneinander ausspielt.
Zugriff zur Missbrauchserkennung ist die Dimension, die am häufigsten übersehen wird und sich gerade am schnellsten bewegt. Wer sie nicht abfragt, akzeptiert stillschweigend einen Prüfweg, den er nicht kennt.
Vertragspartner ist die Dimension mit der größten Verwechslungsgefahr. Ein europäischer Vertragssitz ist kein Nachweis für europäische Verarbeitung, und eine europäische Region beim Hyperscaler ist kein Nachweis dafür, dass der Modellanbieter selbst nichts sieht.
Für Workflows, bei denen alle vier Antworten dauerhaft stimmen müssen, ist der Aufwand wiederkehrender Einzelfallprüfungen irgendwann höher als der Aufbau einer eigenen KI-Plattform. Welche Deploymentpfade dafür in Frage kommen, beschreibt der Beitrag Private KI-Infrastruktur für Unternehmen, die strategische Einordnung dahinter der Beitrag Digitale Souveränität bei KI.
Was jetzt zu tun ist
Nimm deine drei bis fünf sensibelsten KI-Workflows und beantworte für jeden die vier Fragen aus der Tabelle schriftlich, mit Quelle. Wo du eine Antwort nicht findest, ist sie nicht vorhanden, und das ist selbst ein Ergebnis. Danach entscheidest du je Workflow, ob eine regionale Endpunkt-Konfiguration reicht, ob der Weg über einen europäischen Hyperscaler-Vertrag sauberer ist, oder ob der Workflow in eine private KI-Laufzeitumgebung gehört. Welche Workflows in die letzte Kategorie fallen, zeigt die Übersicht zu sensiblen Workflows.
Wenn du diese Einordnung nicht allein machen willst: Im KI-Prozess-Audit gehen wir in 30 Minuten deine konkreten Workflows durch und ordnen Verarbeitungsort, Speicherung und Vertragslage für deinen Fall ein.
