Wohin gehen die Daten?

Jede Automation nutzt Programme, und jedes Programm ist ein Datenweg. Vier Fragen beschreiben ihn. Die Antworten je Anbieter stehen unten im Register, laut Anbieter und mit Datum.

Angaben laut Anbieter, Stand siehe „geprüft am“. Keine Rechtsberatung, keine Wertung, keine Partnerschaft mit den genannten Anbietern.

Vier Fragen je Anbieter

Mehr braucht es nicht, um einen Datenweg zu beschreiben. Genau diese vier Antworten tragen wir im Register je Anbieter ein.

Verlassen die Daten den Betrieb?
Nein heißt: Software und Daten bleiben auf Ihrer Hardware, kein Dritter ist beteiligt. Ja heißt: Ein Anbieter verarbeitet sie, und dann zählen die nächsten drei Fragen.
Wohin?
Land und Rechenzentrum, und wer rechtlich Zugriff hat. „In der EU verarbeitet“ und „nur EU-Recht“ sind zwei verschiedene Antworten; die Treppe unten unterscheidet sie.
Wie lange gespeichert?
Ob der Anbieter Eingaben und Ergebnisse aufhebt, wie lange, und ob sich das abstellen lässt. Im Register steht je Anbieter, was er dazu selbst sagt, von „nie“ bis „30 Tage“.
Wird damit trainiert?
Ob der Anbieter Ihre Daten nutzt, um seine Modelle zu verbessern. Bei den kommerziellen Zugängen im Register steht meist Nein; bei privaten Tarifen ist es teils standardmäßig an und abschaltbar.

Die Treppe: Stufen 1 bis 5

Jede Lösung bekommt eine Stufe von 1 bis 5: die höchste aller Wege, die ihre Daten nehmen. Wo die Automation läuft, wo eine KI rechnet, welcher Dienst versendet. Die Stufe steht im Angebot, bevor wir bauen.

Je höher die Stufe, desto weiter weg gehen die Daten. Für die meisten Betriebe ohne Gesundheits- oder Mandantendaten passt Stufe 2; wir empfehlen, wo es geht, Stufe 1.

Stand 11/2026, wir prüfen laufend nachDie Anbieter je Stufe stehen unten im Register.

Stufe 1Lokal Nichts verlässt das Haus: Software und gegebenenfalls offene Modelle auf eigener Hardware im Betrieb. Zugriff hat nur der Betrieb und wen er beauftragt (etwa Fernwartung mit Auftragsverarbeitungsvertrag), es gibt keine Übermittlung. Qualität, Wartung und Sicherheit liegen beim Betrieb.
Stufe 2EU-Anbieter Anbieter mit Sitz in der EU, Auftragsverarbeitung nach Art. 28 DSGVO, Daten in der EU. Bei den meisten nur mit Bedingung: Standort fest in der EU wählen und Unterauftragnehmer prüfen, denn einzelne Konzernfirmen oder Dienstleister sitzen außerhalb (Gegenprüfung 02.11.2026). Beispiele: Hetzner, IONOS, STACKIT, Scaleway, Telekom mit T-Cloud-Modellen.
Stufe 3Souveräne Cloud eines US-Anbieters Betreiber unter EU-Recht, die US-Mutter nur über Technik und Lizenz. Von Kritikern angezweifelt. AWS European Sovereign Cloud: für Claude oder GPT derzeit nicht geeignet. Delos und Bleu nur öffentlicher Sektor, Thales/Google in Erprobung.
Stufe 4US-Anbieter mit EU-Region US-Recht gilt über die Mutter, dazu kommen Support- und Sicherheitszugriffe von außerhalb. Beispiele: Azure OpenAI Data Zone EU, Bedrock mit eu.-Profil, Vertex EU. Auch Mistral und Langdock gehören für Modelle, die bei großen US-Cloudanbietern laufen, hierher.
Stufe 5US-Anbieter ohne EU-Bindung US-Anbieter, Daten in den USA oder ohne EU-Bindung. US-Behörden haben direkten Zugriff. Übermittlung über Data Privacy Framework oder Standardvertragsklauseln (Anthropic und OpenAI nur Standardvertragsklauseln). Dazu gehört Claude in Azure Foundry: ohne EU-Bindung, Vertrag mit Anthropic.

Alle fünf Stufen sind vorläufig: erste Recherche, noch nicht gegengeprüft. Wir prüfen laufend nach und ändern die Texte, wenn sich etwas ändert.

Anbieter-Übersicht

58 Einträge, laut Anbieter, je mit Datum und Quelle. Filtern Sie nach Stufe und Art. Leere Felder heißen „nicht belegt“: Dann hat die Recherche dazu nichts gefunden, und wir füllen es nicht.

Alle Einträge sind vorläufig: erste Recherche, noch nicht gegengeprüft. Erst ein gegengeprüfter Eintrag trägt eine Marke. Angaben laut Anbieter, Stand siehe „geprüft am“. Keine Rechtsberatung, keine Wertung, keine Partnerschaft mit den genannten Anbietern.

Stufe

Art

58 von 58 Einträgen

Claude über die Anthropic-API (kommerziell)

Anthropic · Hersteller

Stufe 5 · US-Anbieter ohne EU-Bindunggegengeprüft

Verlässt den Betrieb: ja
Wohin: USA (Speicherung immer in den USA, keine EU-Region)
Gespeichert: Löschung binnen 30 Tagen, bei Verstößen gegen die Usage Policy bis 2 Jahre; Null-Speicherung nur auf Antrag; Fable 5/5.1 und Mythos 5/5.1 verlangen 30 Tage
Training: Nein (Commercial Terms)

Für Betriebsdaten: mit Bedingung · Übermittlung nur über Standardvertragsklauseln, Anthropic ist nicht im Data Privacy Framework gelistet (Prüfung 02.11.2026). Kunden darauf hinweisen.
AVV: ja
Beleg: P · Primärseite des Anbieters gelesen
Quelle: platform.claude.com/docs/en/manage-claude/data-residency