Müssen KI-Daten in der EU oder im Vereinigten Königreich bleiben?
Weder die EU-DSGVO noch die britische DSGVO legen eine allgemeine Regel vor, dass alle personenbezogenen Daten lokal bleiben müssen. Internationale Übertragungen erfordern, dass die geltenden Bedingungen erfüllt werden, zusätzlich zu den anderen Datenschutzpflichten.
Lokales Hosting kann eine Wohnsitzanforderung unterstützen. Es löst nicht allein die Verarbeitung anderswo, den Zugriff durch einen ausländischen Empfänger, Backups oder weiterführende Übertragungen. Kartieren Sie die tatsächlichen Empfänger und Datenströme, bevor Sie eine Entscheidung treffen.
Quellen am 20. September 2026 überprüft. Allgemeine Beschaffungsrichtlinien, keine Rechtsmeinung. Lassen Sie qualifizierte Anwälte die tatsächliche Regelung beurteilen.
Trenne den Sicherheitsdienst vom KI-Anbieter
Eine Antwort für eine einzelne Hosting-Region kann nicht jeden Teil einer Mitarbeiter-KI-Interaktion beschreiben.
- Sicherheits-Backend
- Wo Konfiguration, Kontodaten und gespeicherte Ereignisse gehostet werden.
- Prompt-Inspektion
- Wo Prompts oder Dateien verarbeitet werden und welche Inhalte gespeichert werden.
- Anbieter von Ziel-KI
- Die eigenen Verarbeitungs-, Speicher-, Trainings- und Aufbewahrungsbedingungen des KI-Kontos.
Welche Nachweise sollten jede Antwort begleiten?
Dokumentieren Sie die Datenkategorien, Verarbeitungs- und Speicherorte, Aufbewahrungs- und Löschfristen, Unterauftragsverarbeiter und Supportzugriffe. Verknüpfen Sie die anwendbaren Vertrags-, Architektur- oder Konfigurationsnachweise und benennen Sie einen Verantwortlichen für unbeantwortete Fragen. Eine lokale Speicherregion bestimmt nicht den Standort aller Verarbeitungs- oder Zugriffspfade.
Leeres Prüfungsarbeitsblatt. Enthält keine beobachteten Produktergebnisse.
Was die EU-Regeln von Ihnen verlangen zu überprüfen.
Das EDPB identifiziert eine Übertragung, bei der ein Verantwortlicher oder Bearbeiter, der der DSGVO unterliegt, personenbezogene Daten einer anderen Organisation außerhalb des EWR zur Verfügung stellt. Kapitel V sieht Wege durch Angemessenheitsentscheidungen, angemessene Schutzmaßnahmen und Ausnahmen für spezifische Umstände vor.
Wo eine relevante Angemessenheitsentscheidung anwendbar ist, sind für diese Übertragung keine zusätzlichen Schutzmaßnahmen nach Artikel 46 erforderlich. Bei Anwendung von Schutzmaßnahmen wie Standardvertragsklauseln sollte bewertet werden, ob diese im Zielort wirken und ob zusätzliche Maßnahmen erforderlich sind. Weitere DSGVO-Verpflichtungen gelten weiterhin.
Schrems II hob das ehemalige EU-US Privacy Shield für ungültig und klärte die Bewertung für die Übertragungsinstrumente nach Artikel 46. Verwenden Sie die aktuelle Leitlinien und die Angemessenheitsliste der Regulierungsbehörden für den betreffenden Empfänger und die betreffende Übertragung.
Überprüfe die Umsteigeroute im Vereinigten Königreich separat
Der ICO-Leitfaden vom Januar 2026 verwendet einen dreistufigen Test: Die britische DSGVO gilt für die Bearbeitung, Sie initiieren die Übertragung an eine Organisation außerhalb des Vereinigten Königreichs, und der Empfänger ist eine eigenständige juristische Person. Die Zugänglichstellung von Informationen kann zählen, auch ohne die gespeicherte Kopie zu verschieben.
Eine eingeschränkte Übertragung benötigt britische Angemessenheitsvorschriften, geeignete Schutzmaßnahmen oder eine anwendbare Ausnahme. Schutzmaßnahmen können das UK IDTA, das UK Addendum oder britische verbindliche Unternehmensregeln umfassen. Das ICO verlangt eine Übertragungsrisikobewertung bei der Abhängigkeit von Sicherungen; Die britische Gesetzgebung nennt dies heute Datenschutztest.
Behalten Sie die Karte der Rechtseinheit und des Vertrags mit der technischen Datenflusskarte auf. Eine EU-Antwort dokumentiert nicht automatisch eine Übertragung im Vereinigten Königreich.
Eine lokale Datenbank mit Auslandszugang
Eine britische Organisation speichert personenbezogene Daten in London. Ein separater Support-Anbieter in Indien kann im Rahmen des Supportvertrags darauf zugreifen.
Das ICO verwendet eine solche Zugriffsvereinbarung, um eine eingeschränkte Übertragung zu veranschaulichen. Die Speicheradresse hat sich nicht geändert, aber persönliche Informationen werden einer separaten ausländischen Organisation zugänglich gemacht. Überprüfen Sie die geltenden Übertragungsbedingungen und Unterstützungsmaßnahmen.
Dies veranschaulicht eine Überprüfungsfrage. Es handelt sich nicht um eine Beschreibung der Unterstützungsvereinbarungen Aonaoder eine Entscheidung über Ihren Einsatz.
Fünf Prüfungen für die Beschaffungsaufzeichnung
Verwenden Sie das obige leere Arbeitsblatt und fügen Sie die Nachweise für jede Antwort bei.
1. Verarbeitung und Lagerung
Nennen Sie jeden Ort für Eingabeaufforderungen, Dateien, Konfigurationen, Ereignisse und Backups. Bestätigen Sie, welche Daten transient sind und welche gespeichert werden.
2. Empfänger und Zugang
Identifizieren Sie die juristischen Personen, Subprozessoren und Support-Standorte, die personenbezogene Daten empfangen oder darauf zugreifen können. Lokale Server klären keine Fragen zum Fernzugriff.
3. Übertragungsmechanismus
Für einen relevanten internationalen Transfer dokumentieren Sie die anwendbare Angemessenheitsentscheidung, Sicherungsmaßnahmen und Bewertung oder eine eng anwendbare Ausnahme. Überprüfen Sie die EU- und UK-Routen getrennt.
4. Beibehaltung und Löschung
Ertrage Inhalte und Ereignisspeicherung getrennt, einschließlich Backups, Löschung beim Ausstieg und etwaiger rechtlicher oder sicherheitsrelevanter Ausnahmen.
5. Betriebsnachweise
Bewahren Sie die relevanten Vereinbarungen, Architektur, Konfigurations- und Sicherungsnachweise bei einem benannten Prüfer-Eigentümer auf. Eine Liste der Marketingregionen allein ist nicht das vollständige Protokoll.
Wo Aona hineinpasst
Aona sichert die KI-Nutzung durch Mitarbeiter. Backend-Hosting kann in Ihrer Cloud, On-Premises oder auf Aonaverwalteten Servern erfolgen. Prompt Processing ist eine separate Wahl: das Benutzergerät, Ihre Umgebung oder Aonaverwaltete Server, abhängig von der erforderlichen Funktionskonfiguration.
Aonaverwalteten regionalen Optionen umfassen Frankreich (Paris), Deutschland (Frankfurt) und das Vereinigte Königreich (London) sowie Australien, die Vereinigten Staaten, Singapur und Hongkong. Vereinbaren Sie, welche Inhalte und Datensätze in der ausgewählten Konfiguration verarbeitet oder gespeichert werden. Der Ziel-KI-Anbieter hat eigene Behandlungsbedingungen.
Aona hat eine SOC 2 Typ II-Prüfung zu Sicherheit, Vertraulichkeit und Verfügbarkeit abgeschlossen. Fordern Sie den Bericht an, um die Prüfergebnisse und den vollständigen Systemumfang einzusehen. Die Datenaufbewahrung ist pro Kunde konfigurierbar, z. B. 30, 90 oder 180 Tage. Stimmen Sie Aufbewahrungs- und Lösch-Einstellungen für die Daten in Ihrer gewählten Bereitstellung ab.