EU-Inferenz und der Provider-Split

Ein Moderationswerkzeug macht nicht eine Art von KI-Aufruf, sondern mehrere sehr verschiedene. Sie unterscheiden sich in der Menge, im Inhalt und im Risiko - und deshalb ist es sinnvoll, sie nicht alle beim selben Anbieter zu erledigen.

Der Aufruf, der jeden einzelnen Kommentar berührt, ist die Moderation: Verstößt dieser Text gegen diese Regel? Dazu kommt die Antwort-Triage: Ist das überhaupt eine Frage, die eine Antwort verdient? Beide laufen bei Mistral AI in der EU. Sie sind die Häufigsten, und was millionenfach passiert, soll den kürzesten Weg haben - räumlich wie rechtlich.

Der Punkt der Tabelle ist die dritte Spalte. Der Aufruf mit dem größten Volumen und dem meisten Fremdpersonenbezug läuft in der EU; die Aufrufe außerhalb betreffen entweder dein eigenes Material oder einen Bruchteil der Kommentare.

Die ehrliche Antwort lautet: weil die Aufgaben verschieden sind. Eine Klassifikation gegen eine selbst geschriebene Regel ist eine andere Aufgabe als ein Antwortentwurf, der in deinem Ton formuliert sein soll und dabei auf deine Wissensdatenbank zugreift. Modelle sind darin unterschiedlich gut, und ein Werkzeug, das so tut, als sei ein Modell für alles ideal, optimiert eine Erzählung statt ein Ergebnis.

Der Split hat aber auch eine datenschutzrechtliche Logik, und sie ist die wichtigere: Er folgt der Menge des Personenbezugs. Jeder Kommentar unter deinem Beitrag stammt von einer dritten Person, die von deiner Werkzeugwahl nichts weiß. Genau diese Verarbeitung bleibt in der EU. Deine Wissensdokumente und deine Antwortbibliothek dagegen sind dein eigenes Material - ein anderer Fall, auch wenn er dieselbe Sorgfalt verdient.

Bevor man über Verarbeitungsorte streitet, lohnt der Blick auf den Inhalt. Der Moderationsaufruf enthält den Kommentartext und eine interne ID, dazu deine Regeln und den Kontext des Beitrags. Name und Profil-ID der kommentierenden Person werden nicht mitgeschickt, weil die Entscheidung sie nicht braucht.

Ein Kommentartext ohne Absender ist in den allermeisten Fällen kein personenbezogenes Datum mehr. Die Minimierung vor dem Aufruf ist deshalb wirksamer als jede Diskussion über den Serverstandort danach.

Das gilt auch für den Entwurf: Was der Entwurfsschritt sieht, ist der Kommentartext und dein hinterlegtes Wissen, nicht dein Kundenstamm und nicht die Identität der fragenden Person.

Kapitel V der DSGVO, Artikel 44 ff., verlangt für jede Übermittlung in ein Drittland eine Garantie. Die verbreitetste sind die Standardvertragsklauseln der EU-Kommission nach Artikel 46 Abs. 2 lit. c, ergänzt um eine Prüfung der Rechtslage im Zielland - im Fachjargon ein Transfer Impact Assessment. Dazu kommen technische Maßnahmen, die den Transfer überhaupt erst verhältnismäßig machen: hier die Minimierung, die den Absender gar nicht erst mitschickt.

Warum Server in der EU allein keine Aussage ist

Ein Serverstandort sagt nichts darüber, wer Zugriff hat. Entscheidend ist die Kombination aus drei Dingen: wo verarbeitet wird, welchem Recht der Anbieter unterliegt, und was vertraglich vereinbart ist. Ein europäisches Rechenzentrum, betrieben von einer Gesellschaft, die einem Drittlandrecht unterliegt, ist ein anderer Fall als ein europäischer Anbieter im selben Rechenzentrum.

Frag das bei jedem Werkzeug ab, das du einsetzt - auch bei uns. Eine Antwort, die nur DSGVO-konform sagt, ist keine Antwort. Eine Antwort, die Anbieter, Verarbeitungsort, Rechtsgrundlage des Transfers und die Zusicherung zum Modelltraining nennt, ist eine.

Kommentare, Regeln und Wissensdokumente werden nicht zum Training oder Fine-Tuning von Modellen verwendet - weder von uns noch vertraglich durch die eingesetzten Anbieter. Das ist die Frage, die du jedem Anbieter schriftlich stellen solltest, denn sie lässt sich nicht aus dem Verarbeitungsort ableiten: Ein Anbieter in der EU, der auf deinen Eingaben trainiert, ist schlechter als einer in den USA, der es vertraglich ausschließt.

Die Antwort steht nicht im Marketing, sondern in den Geschäftsbedingungen des Modellanbieters und im Auftragsverarbeitungsvertrag. Lass sie dir geben - bei uns genauso wie bei allen anderen.

Wo werden meine Instagram- und Facebook-Kommentare verarbeitet?

Die Moderation und die Antwort-Triage - der Schritt, der jeden Kommentar berührt - laufen bei Mistral AI in der EU. Antwortentwürfe, Embeddings sowie Bild- und Audiokontext laufen bei Anbietern in den USA auf Basis der EU-Standardvertragsklauseln; das betrifft nur den Bruchteil der Kommentare, für die überhaupt ein Entwurf entsteht.

Kann ich die US-Verarbeitung ganz vermeiden?

Weitgehend ja, über die Funktionsauswahl: Wer Copilot-Entwürfe und die Wissensdatenbank nicht nutzt, löst die Schritte nicht aus, die dort laufen. Moderation und Triage bleiben davon unberührt und laufen ohnehin in der EU. Sprich uns an, wenn du das für deinen Fall verbindlich festhalten willst.

Sieht der Anbieter, wer den Kommentar geschrieben hat?

Nein. Der Moderationsaufruf enthält den Kommentartext und eine interne ID, dazu deine Regeln und den Kontext des Beitrags. Name und Profil-ID bleiben in unserer Datenbank, weil die Entscheidung sie nicht braucht.

Bekomme ich die Liste der Unterauftragsverarbeiter?

Ja, auf Anfrage - mit Zweck und Verarbeitungsort je Anbieter, zusammen mit dem Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO und der Beschreibung der technischen und organisatorischen Maßnahmen nach Artikel 32.

• Sicherheit, DSGVO und EU AI Act im Überblick - der Datenfluss mit allen sechs Stationen.
• DSGVO in der automatisierten Kommentarmoderation - Rechtsgrundlage, AVV und Betroffenenrechte.
• Der KI-Antwortassistent - was Smart Reply und Copilot unterscheidet.

Stand: 3. September 2026. Ändert sich ein Anbieter oder ein Verarbeitungsort, wird dieser Artikel zusammen mit der Unterauftragsverarbeiterliste aktualisiert.