Vier Wege zum selben Modell

Dasselbe Modell lässt sich heute über mehrere Adressen aufrufen. Für die Anwendung sieht das fast gleich aus: Sie schickt Text an eine Schnittstelle und bekommt Text zurück. Verschieden ist, wer die Anfrage rechnet, an welchem Ort das geschieht, wer die Daten im Auftrag verarbeitet und welchem Recht dieser Anbieter unterliegt.

Wer ein Modell betreibt und was er zusagt, klärt Beurteilen und Einordnen, Kapitel 01. Wo Daten liegen und wie lange, steht in Beurteilen und Einordnen, Kapitel 08. Dieses Kapitel fragt vom Modell aus: Welche Wege führen zu genau diesem Modell, und was ändert sich, wenn man den Weg wechselt?

Das Kapitel folgt drei Modellen. Claude Opus 5.5 von Anthropic ist ein geschlossenes Modell, das über mehrere Cloud-Anbieter erreichbar ist. GPT-6.1 Sol steht für die aktuelle Reihe von OpenAI. Das Modellverzeichnis (externe Seite, developers.openai.com) empfiehlt es als Mitte zwischen Leistung und Kosten. gpt-oss-120b ist ebenfalls von OpenAI, mit offenen Gewichten unter Apache 2.0 und einer eigenen Nut­zungs­richt­linie (Modellkarte (externe Seite, openai.com)). Im Rahmen dieser Richtlinie darf es jeder selbst betreiben.

Die vier Wege heißen hier: direkt beim Hersteller, über einen großen Cloud-Anbieter aus den USA, über einen europäischen Anbieter und auf eigener Hardware. Alle Angaben haben den Stand vom 20.10.2026.

Sechs Adressen für Claude Opus 5.5

Anthropics Doku führt für Claude Opus 5.5 sechs Adressen, jede auf einer eigenen Seite. Drei gehören zu Weg 1, drei zu Weg 2. Weitere Wege über europäische Anbieter folgen weiter unten.

Stand 20.10.2026, nach den Seiten, die die folgenden Absätze verlinken.

Claude API. Bei der eigenen Schnittstelle kennt Anthropic zwei Einstellungen für den Rechenort: jede verfügbare Region oder nur die USA (Doku zur Datenresidenz (externe Seite, platform.claude.com)). Der Rechenort USA kostet bei Modellen ab Claude 4.6 das 1,1-Fache. Eine europäische Wahl bietet Anthropic hier nicht an.

Claude Platform on AWS. Der Name klingt nach Amazon. Laut Doku (externe Seite, platform.claude.com) rechnet aber Anthropic, auf Infrastruktur von AWS, die Anthropic selbst betreibt. Anthropic verarbeitet dabei als Auf­trags­ver­ar­beiter, AWS übernimmt Zugang und Abrechnung. Die AWS-Region eines Arbeitsbereichs legt den Endpunkt und die Abrechnung fest. Der Rechenort hängt an einer eigenen Einstellung und heißt auch hier weltweit oder USA.

Claude Models on Google Cloud (Anthropic managed). Dieselbe Bauform wie bei der Claude Platform on AWS gibt es auch in Google Cloud. Laut Doku (externe Seite, platform.claude.com) ist das Angebot Anthropics eigene Schnittstelle, erreicht über ein Projekt in Google Cloud. Google übernimmt Zugang und Abrechnung, über den Google Cloud Marketplace. Opus 5.5 hat dort dieselbe Kennung wie bei der Claude API.

Anthropic ist dort Auf­trags­ver­ar­beiter, und einige Hilfsdienste wie Anthropics Prüfsysteme verarbeiten Daten außerhalb von Google Cloud. Die Ortsangabe in der Adresse bleibt laut derselben Doku auf global. Der Rechenort hängt an einer eigenen Einstellung und heißt wie bei der Claude API weltweit oder USA (Doku zur Datenresidenz (externe Seite, platform.claude.com)).

Claude in Amazon Bedrock. Hier betreibt AWS die Infrastruktur, und das Personal von Anthropic hat laut Doku (externe Seite, platform.claude.com) keinen Zugriff darauf. Das Angebot hat ein EU-Profil über acht Regionen, darunter London und Zürich, also zwei Orte außerhalb der EU. Ein regionaler Endpunkt kostet 10 Prozent mehr.

Eine Tabelle je Modell und Region führt die Seite nicht. Opus 5.5 steht dort unter den Modellen mit globalem Endpunkt. Eine Ausnahme bei den regionalen Endpunkten nennt sie für Fable 5.1, das regional bisher allein in us-east-1 läuft, und für Mythos Preview. Das EU-Profil für Opus 5.5 folgt also aus der allgemeinen Regionentabelle. Den Zugang zu Opus 5.5 regelt Bedrock nach eigenen Kriterien je Modell.

Google Agent Platform. Anthropic nennt dieses Angebot in seiner Übersicht zu Google Cloud (externe Seite, platform.claude.com) Claude Models on Google Cloud (Google managed). Hier betreibt Google das Modell selbst. Den Zugang beschreibt eine eigene Seite (externe Seite, platform.claude.com). Google führt Opus 5.5 in seiner Doku zur Datenresidenz (externe Seite, docs.cloud.google.com) mit dem Endpunkt für die EU. Der gilt laut Google nur für die Mitgliedstaaten der EU, das Vereinigte Königreich und die Schweiz sind ausdrücklich ausgenommen. Eine europäische Einzelregion nennt die Tabelle für Opus 5.5 keine.

Claude in Microsoft Foundry. Microsoft bietet Claude in zwei Bereit­stel­lungs­typen an, Global Standard und US Data Zone Standard, abgerechnet über den Azure Marketplace (Doku (externe Seite, platform.claude.com)). Eine Zone für die EU nennt die Seite für Claude keine. Anthropic handelt dort als unabhängiger Auf­trags­ver­ar­beiter für Microsoft.

Zwei der sechs Adressen bieten für Opus 5.5 also einen Rechenort in Europa an, Bedrock und Googles Agent Platform. Bei beiden betreibt der Cloud-Anbieter das Modell selbst und ist laut Anthropics Doku zur Datenaufbewahrung (externe Seite, platform.claude.com) auch Auf­trags­ver­ar­beiter.

Zwei Fragen an jeden Weg

An jedem Weg hängen zwei Fragen. Die erste lautet, wo gerechnet wird. Ihre Antwort ist eine Einstellung, ein Endpunkt oder ein Bereit­stel­lungstyp, und die Tabelle oben gibt sie für ein Modell.

Die zweite lautet, welchem Recht der Anbieter unterliegt, der die Daten in der Hand hat. Für Anbieter, die US-Gerichten unterstehen, gilt seit 2018 der CLOUD Act. Er erfasst laut einer Folgenabschätzung (externe Seite, eur-lex.europa.eu) der Kommission Anbieter, die in die Zuständigkeit der USA fallen. Das sind nach ihrer Fußnote 35 Anbieter mit Sitz dort und solche mit ausreichender Präsenz dort. Er verpflichtet einen Anbieter von Kommunikations- oder Rechendiensten, Daten seiner Kunden auf Anordnung aufzubewahren oder herauszugeben, sofern er sie besitzt, verwahrt oder kontrolliert. Wo die Daten liegen, spielt dafür keine Rolle (18 U.S.C. § 2713 (externe Seite, govinfo.gov)).

Amazon, Google und Microsoft nennt die Kommission als die drei Unternehmen aus den USA, die den europäischen Markt für Cloud-Infrastruktur beherrschen. Anthropic hat seinen Sitz laut Daten­schutz­er­klä­rung (externe Seite, anthropic.com) in San Francisco, OpenAI laut seinem Dienst­leis­tungs­ver­trag (externe Seite, openai.com) ebenfalls. Mit Kunden im EWR schließen beide den Vertrag über eine Gesellschaft in Irland, bei Anthropic laut den Geschäfts­be­din­gungen (externe Seite, anthropic.com). Auch Daten bei den Töchtern eines Anbieters mit Hauptsitz in den USA sind laut der Kommission möglicherweise betroffen. Ein europäischer Anbieter mit ausreichender Präsenz in den USA kann ebenfalls darunterfallen. Ein Rechenzentrum in Frankfurt beantwortet bei ihnen also die erste Frage. Die zweite bleibt davon unberührt. Wer im Einzelfall als Anbieter mit Kontrolle über die Daten gilt, regelt die Vorschrift nicht näher. Was die DSGVO dem entgegensetzt, steht in Ebene 3.

Weg 1: beim Hersteller

Beim Hersteller kommt ein neues Modell meist zuerst an, und die Zusage stammt von dem, der es gebaut hat. Wo gerechnet wird, regelt jeder Hersteller anders.

Anthropic rechnet weltweit oder in den USA, wie oben beschrieben.

OpenAI bietet für seine Schnittstelle eine Region Europa an, die den EWR und die Schweiz umfasst, mit eigenem Endpunkt. Die Anleitung zu den Datenkontrollen (externe Seite, developers.openai.com) verlangt dafür eine Freigabe für die Einstellungen zur Miss­brauchs­prü­fung und einen Zusatzvertrag zur Aufbewahrung. Für Modelle, die ab dem 05.03.2026 erschienen sind, kommen 10 Prozent Aufschlag dazu.

GPT-6.1 Sol, GPT-6 Sol und GPT-6 Luna laufen dort in den Betriebsarten Standard, Flex und Batch. Die Einzelheiten zu Speicherort und Aufbewahrung stehen in Beurteilen und Einordnen, Kapitel 08.

Google stellt Gemini auch direkt über die Gemini API bereit. Deren Zusatzbedingungen (externe Seite, ai.google.dev) erlauben, Protokolle zur Miss­brauch­ser­ken­nung vorübergehend in jedem Land abzulegen, in dem Google oder seine Beauftragten Einrichtungen unterhalten. Wer eine Anwendung für Nutzer im EWR, in der Schweiz oder im Vereinigten Königreich anbietet, darf dafür nur die bezahlten Dienste verwenden. Einen festen Rechenort bietet Google über seine Cloud-Plattform an.

Weg 2: bei einem großen Cloud-Anbieter

Bei Amazon, Google und Microsoft läuft das Modell meist in deren Rechenzentren und unter deren Zusage. Claude in Foundry weicht davon ab, dort rechnet Anthropic. Für Claude Opus 5.5 zeigt die Tabelle oben, wie verschieden das ausfällt.

Für die Modelle von OpenAI hat Microsoft ein eigenes Angebot. Microsoft betreibt sie in seiner Azure-Umgebung, und Eingaben und Ausgaben stehen OpenAI laut der Seite zum Datenschutz (externe Seite, learn.microsoft.com) nicht zur Verfügung. Microsofts Regionentabelle (externe Seite, learn.microsoft.com) führt am 24.10.2026 GPT-6.1 Sol, GPT-6 Sol, GPT-6 Luna und das Flaggschiff GPT-6 Astra in Europa unter Data Zone Standard. Über Azure lässt sich GPT-6.1 Sol damit in einer europäischen Zone rechnen. Claude rechnet in Foundry weltweit oder in den USA.

Unter dem regionalen Typ Standard, also gebunden an eine einzelne Region, ist das jüngste GPT-Modell in Europa gpt-5.1. In welcher Reihenfolge ein neues Modell seine Bereit­stel­lungs­typen bekommt, zeigt Ebene 2.

An der Rechtsordnung ändert der Weg über Azure nichts. Microsoft hat seinen Sitz in den USA, genau wie OpenAI.

Weg 3: bei einem europäischen Anbieter

Europäische Cloud-Anbieter stellen offene Modelle als Schnittstelle bereit. gpt-oss-120b steht am 20.10.2026 bei fünf von ihnen bereit:

• bei IONOS mit Verarbeitung in Deutschland (Modellliste (externe Seite, docs.ionos.com), Doku (externe Seite, docs.ionos.com)),
• bei OVHcloud in Gravelines in Frankreich (Katalog (externe Seite, ovhcloud.com), Doku (externe Seite, docs.ovhcloud.com)),
• bei Scaleway auf eigener Infrastruktur in Europa (Modellliste (externe Seite, scaleway.com), Daten­schutz­er­klä­rung (externe Seite, scaleway.com)),
• bei STACKIT, der Cloud der Schwarz-Gruppe, in der Region EU01 (Produktseite (externe Seite, stackit.com)),
• bei T-Systems in der T-Cloud in Deutschland (Modellliste (externe Seite, docs.llmhub.t-systems.net)).

Geschlossene Modelle aus den USA gibt es bei einem europäischen Anbieter über eine Kette. T-Systems führt Claude Opus 5.5 und gibt die Anfragen dafür an Google Cloud, mit Verarbeitung in der EU. GPT-6 Luna läuft dort über Azure in Schweden, GPT-6.1 Sol über Azure weltweit. Die Anbieter dahinter dürfen laut derselben Liste Unter­auf­trags­ver­ar­beiter weltweit einsetzen.

Der Vertrag besteht dann mit einem europäischen Unternehmen, gerechnet wird bei einem Cloud-Anbieter aus den USA. Wie solche Ketten aufgebaut sind, zeigt Ebene 2, ihre rechtliche Seite Ebene 3.

Weg 4: auf eigener Hardware

Wer die Gewichte hat, kann ein Modell selbst betreiben. Von den drei Beispielen geht das nur mit gpt-oss-120b. Laut README (externe Seite, github.com) des Herstellers passt es im gespeicherten Format auf eine Grafikkarte mit 80 GB. Die Lehrfassung, die alles in 16 Bit umrechnet, braucht mindestens vier. Wie das Programm diesen Unterschied macht, erklärt Kapitel 05. Den Speicher für lange Eingaben rechnet Kapitel 04 vor.

Läuft das Modell im eigenen Rechenzentrum, verarbeitet für das Modell niemand im Auftrag, und es verlassen keine Eingaben das Haus. Dafür liegen Wartung, Sicherheit und alle Pflichten des Verantwortlichen beim eigenen Betrieb.

Für ein geschlossenes Modell gibt es diesen Weg nur, wenn der Hersteller ihn anbietet. Google tut das für Gemini: Es läuft in einer abgeschotteten Cloud beim Kunden, die Google, ein Partner oder beide gemeinsam betreiben (Produktseite (externe Seite, cloud.google.com)).

Stand 20.10.2026. Bedrock führt gpt-oss-120b laut seiner Modellkarte (externe Seite, docs.aws.amazon.com) in Frankfurt, Stockholm, Mailand, Irland und London, jeweils nur innerhalb einer Region.

Woran Sie den Weg festmachen

Jeder Weg hat einen eigenen Vorzug. Der Hersteller hat das neueste Modell und seine Funktionen zuerst. Die großen Cloud-Anbieter haben europäische Regionen, und viele Unternehmen sind dort ohnehin schon Kunde. Europäische Anbieter rechnen offene Modelle in Europa und haben dort ihren Sitz. Die eigene Hardware hält die Eingaben im Haus und verlangt dafür den ganzen Betrieb.

Den Abstand bei den Funktionen zeigt Claude Code, Kapitel 06 an Claude Code: Der Fast Mode fehlt dort bei allen vier Cloud-Zugängen.

1. Den Ort für das einzelne Modell prüfen. Ob ein Weg in Europa rechnet, gilt je Modell und je Bereit­stel­lungstyp. Über Azure rechnen am 24.10.2026 GPT-6.1 Sol und GPT-6 Astra in einer europäischen Zone, Claude Opus 5.5 weltweit oder in den USA.
2. Den Vertragspartner und seinen Sitz getrennt prüfen. Welches Recht an die Daten heranreicht, hängt am Sitz des Anbieters und, bei einer Kette, am Sitz jedes Glieds. Eine ausreichende Präsenz in den USA genügt dafür auch.
3. Die Fassung prüfen. Über verschiedene Wege kommen teils verschiedene Fassungen desselben Modells an. Für Claude Code zeigt das Claude Code, Kapitel 06 an einer Tabelle der Aliase.

Ebene 1 zählt die Wege zu drei Modellen. Diese Ebene liest die Angaben dahinter genauer. Zuerst geht es darum, welche Länder „Europa“ bei den einzelnen Anbietern umfasst und in welcher Reihenfolge ein neues Modell seine Bereit­stel­lungs­typen bekommt. Danach folgen der Aufschlag für einen festen Ort und die Frage, woran sich der Rechenort ablesen lässt. Am Ende stehen die europäischen Anbieter und die Ketten, über die einige von ihnen rechnen.

Vier Anbieter, vier Ländermengen

Wer „nur in der EU“ als Vorgabe hat, bekommt von vier Anbietern vier verschiedene Antworten.

• OpenAI nennt seine Region Europa mit dem Zusatz EWR und Schweiz (Anleitung zu den Datenkontrollen (externe Seite, developers.openai.com)). Neben den Staaten der EU gehören also Island, Liechtenstein, Norwegen und die Schweiz dazu.
• Microsoft lässt die Data Zone EU der EU Data Boundary folgen. Die kann laut der Seite zu den Bereit­stel­lungs­typen (externe Seite, learn.microsoft.com) Staaten der EFTA wie Norwegen und die Schweiz einschließen. Die Beschreibung der EU Data Boundary (externe Seite, learn.microsoft.com) nennt die EU und die EFTA, damit auch Island und Liechtenstein.
• Google begrenzt seinen Endpunkt eu laut der Doku zur Datenresidenz (externe Seite, docs.cloud.google.com) auf die Mitgliedstaaten der EU. Das Vereinigte Königreich und die Schweiz sind ausdrücklich ausgenommen.
• AWS fasst im EU-Profil für Claude acht Regionen zusammen (Doku (externe Seite, platform.claude.com)): Frankfurt, Zürich, Stockholm, Mailand, Spanien, Irland, London und Paris. Zwei davon liegen außerhalb der EU.

Stand 20.10.2026.

Für die Schweiz und das Vereinigte Königreich hat die Kommission ein angemessenes Schutzniveau festgestellt. Die Entscheidung zur Schweiz (externe Seite, eur-lex.europa.eu) stammt aus dem Jahr 2000 und gilt unter der DSGVO fort. Der Beschluss zum Vereinigten Königreich (externe Seite, eur-lex.europa.eu) stammt von 2021 und gilt nach einer Verlängerung bis zum 27.12.2031. Eine Übermittlung dorthin kann sich damit auf Artikel 45 der DSGVO (externe Seite, eur-lex.europa.eu) stützen.

Eine Vorgabe, die wörtlich nur Staaten der EU zulässt, ist eine andere Sache. Sie erfüllt unter den vier Angeboten eindeutig nur Googles Endpunkt eu.

Microsoft beschreibt seine Zone dreimal

Microsoft beschreibt die Data Zone EU an drei Stellen verschieden. Die Seite zu den Bereit­stel­lungs­typen schließt die EFTA ein, wie oben gezeigt. Die Seite zum Datenschutz (externe Seite, learn.microsoft.com) spricht von einer Verarbeitung in einem Mitgliedstaat der EU. Die Regionentabelle (externe Seite, learn.microsoft.com) überschreibt die Zone ebenfalls mit den Mitgliedstaaten und führt darunter Norwegen Ost und Schweiz Nord als Regionen.

Ausgezählt am 24.10.2026 über alle Reiter, steht der Widerspruch in einer der beiden Tabellen. In der Tabelle für die Modelle von OpenAI tragen Norwegen Ost und Schweiz Nord eine eigene Spalte. Belegt sind beide bei zehn Modellen der Reihen GPT-5.4 bis GPT-6.1. Die Tabelle für die übrigen Modelle führt nur Regionen der EU. Dasselbe Muster zeigt der Abschnitt zu Data Zone Provisioned Managed, dort mit drei Modellen in Norwegen und der Schweiz.

Dazu kommen die Ausnahmen der EU Data Boundary. Microsoft sagt dort zu, Daten innerhalb der Grenze zu halten. Die Fälle, in denen sie die Grenze trotzdem verlassen, stehen auf eigenen Unterseiten (Beschreibung (externe Seite, learn.microsoft.com)). Drei davon betreffen die Modelle, um die es hier geht.

• Global-Typen. Wählt ein Kunde in Foundry einen Global-Typ, können Eingaben und Ausgaben weltweit verarbeitet werden, auch wenn die Ressource in einer Region der EU liegt (Liste der optionalen Funktionen (externe Seite, learn.microsoft.com)). Für das Rechnen in der EU verweist die Seite auf die Data Zone.
• Modelle, die ein Dritter für Microsoft betreibt. Dazu zählt Microsoft ausdrücklich Modelle unter dem Betrieb von OpenAI. Die Kundendaten bleiben in der Grenze. Eine pseudonyme Nutzer- oder Sitzungskennung darf dieser Unter­auf­trags­ver­ar­beiter auch in den USA verarbeiten und speichern (Liste der laufenden Übermittlungen (externe Seite, learn.microsoft.com), Stand 09.10.2026). Für die Modelle, die Microsoft in Foundry selbst betreibt, gilt die Seite zum Datenschutz.
• Modelle von Anthropic. Erlaubt ein Kunde sie in Microsofts generativen KI-Diensten, verarbeitet Anthropic die Kundendaten in den USA. Den Abschnitt gibt es seit dem 07.01.2026 (Liste für alle Dienste (externe Seite, learn.microsoft.com)). Welche Produkte zu diesen Diensten gehören, definiert die Seite nicht. Für Claude in Foundry nennt Anthropics Doku (externe Seite, platform.claude.com) bei Betrieb auf Azure einen Verbleib der Eingaben und Ausgaben in Azure.

Wer sich auf eine dieser Seiten stützt, legt die anderen daneben und lässt sich die Lesart im Vertrag bestätigen.

Die engste Ortsbindung kommt zuletzt

Microsoft beschreibt, in welcher Reihenfolge ein neues Modell seine Bereit­stel­lungs­typen bekommt (Seite zu den Bereit­stel­lungs­typen (externe Seite, learn.microsoft.com)). Zuerst kommt Global, mit dem niedrigsten Preis und der größten Abdeckung. Danach folgt Data Zone. Die Typen mit fester Geografie kommen zuletzt, ohne zugesagten Termin. Sie hängen an Kapazität, die frei wird, wenn ältere Modelle ausscheiden.

Die Regionentabelle (externe Seite, learn.microsoft.com) zeigt das am 24.10.2026. GPT-6.1 Sol, GPT-6 Sol, GPT-6 Luna und das Flaggschiff GPT-6 Astra stehen in Europa unter Global Standard und unter Data Zone Standard. Das jüngste GPT-Modell unter dem regionalen Typ Standard ist in Europa gpt-5.1, in Schweden und in der Schweiz.

Microsofts Preisliste (externe Seite, azure.microsoft.com) nennt für GPT-6 Astra einen Preis in der Data Zone. Ein Preis in der Liste zeigt, dass Microsoft ihn festgelegt hat. Ob das Modell in Europa unter diesem Typ bereitsteht, zeigt die Regionentabelle.

Bei den anderen Wegen sieht es ähnlich aus.

• OpenAI direkt führt GPT-6 Astra in der Endpunkttabelle mit Verarbeitung in Europa. Den schnellen Modus schließt OpenAI für Astra mit EU-Datenresidenz aus, und Astra Ultrafast gibt es nur in den USA oder weltweit (Anleitung (externe Seite, developers.openai.com)).
• Bei Bedrock gibt es regionale Endpunkte für Claude Fable 5.1 derzeit nur in us-east-1, also in Virginia (Doku (externe Seite, platform.claude.com)).
• In Foundry gibt es Claude Sonnet 5.5 nur als Global Standard (Doku (externe Seite, platform.claude.com)).

Auch die Fassung hängt am Weg. Für Claude Code zeigt Claude Code, Kapitel 06, dass die Kurznamen bei Foundry am 11.10.2026 auf ältere Fassungen zeigten als bei Anthropic. Wer einen festen Ort braucht, plant also mit dem Modell, das dort steht. Das neueste Modell kommt dort meist zuletzt an.

Ein fester Ort kostet einen Aufschlag

Vier Anbieter nennen einen Aufschlag für das gebundene Rechnen. Die Zahlen gelten jeweils für den Abstand zum weltweiten Rechnen im eigenen Angebot.

• OpenAI berechnet auf den Endpunkten mit Datenresidenz 10 Prozent mehr, für Modelle ab dem 05.03.2026 (Anleitung zu den Datenkontrollen (externe Seite, developers.openai.com)).
• Anthropic berechnet für den Rechenort USA das 1,1-Fache bei Modellen ab Claude 4.6. Weltweit gilt der Standardpreis (Doku zur Datenresidenz (externe Seite, platform.claude.com)). Dasselbe gilt für die US Data Zone von Claude in Foundry. Bei Anthropic bezahlt der Aufschlag also die USA als Ort.
• AWS berechnet für einen regionalen Endpunkt von Claude 10 Prozent mehr als für den globalen (Doku (externe Seite, platform.claude.com)). Bei der Verarbeitung über mehrere Regionen gilt für das geografische Profil der Standardpreis, das globale kostet etwa 10 Prozent weniger (Doku zur regi­ons­über­grei­fenden Verarbeitung (externe Seite, docs.aws.amazon.com)).
• Microsoft nennt in der Preisliste (externe Seite, azure.microsoft.com) für die Data Zone 10 Prozent über dem globalen Preis. Für GPT-6 Astra sind das 11 statt 10 Dollar je Million Eingabe-Token. Die Seite nennt dabei keine Region.

Welche weiteren Zu- und Abschläge zwischen Listenpreis und Rechnung liegen, zeigt Grundkurs, Kapitel 10.

Den Rechenort zeigt erst die Liste der Zielregionen

Bei Bedrock beginnt die Kennung eines Inference Profile mit einem geografischen Präfix. AWS rät in seiner Doku zu den Inference Profiles (externe Seite, docs.aws.amazon.com), sich darauf allein zu verlassen, ausdrücklich ab. Wer Vorgaben zum Ort hat, soll von jeder Ausgangsregion aus die Zielregionen abfragen. Profile und Zielregionen können je Ausgangsregion verschieden sein.

Die Claude Platform on AWS zeigt dieselbe Lücke beim Konto. Die AWS-Region eines Arbeitsbereichs legt Endpunkt, Zugriffsrechte, Protokolle und Abrechnung fest (Doku (externe Seite, platform.claude.com)). Für den Rechenort gibt es eine eigene Einstellung. Arbeitsbereiche, die vor dem 18.09.2026 angelegt wurden, darf Anthropic laut derselben Seite auch außerhalb von AWS rechnen lassen und dort Daten speichern.

Bei Azure entscheidet der Bereit­stel­lungstyp, wie Beurteilen und Einordnen, Kapitel 01 in Ebene 3 beschreibt. In allen drei Fällen hängt eine Region an einem Konto, einer Ressource oder einem Profil. Den Rechenort belegt erst die Einstellung, die das Rechnen bindet, bei Bedrock die Liste der Zielregionen.

Was sechs europäische Anbieter betreiben

Sechs europäische Anbieter, alphabetisch, je mit Ort und Zusage aus ihrer eigenen Doku.

• IONOS legt die Verarbeitung seines Modelldienstes auf Deutschland fest und nutzt Eingaben nicht zum Training (Doku (externe Seite, docs.ionos.com)). Angeboten werden offene Modelle über eine Schnittstelle, darunter gpt-oss-120b (Modellliste (externe Seite, docs.ionos.com)).
• Mistral mit Sitz in Paris bietet seine eigenen Modelle an. Die Daten liegen laut Hilfeseite (externe Seite, help.mistral.ai) voreingestellt in der EU. Gerechnet wird auch bei Unter­auf­trags­ver­ar­bei­tern, dazu der nächste Abschnitt.
• OVHcloud aus Frankreich rechnet in Gravelines. Daten werden laut Doku (externe Seite, docs.ovhcloud.com) während und nach der Nutzung eines Modells weder gespeichert noch weitergegeben. Der Katalog (externe Seite, ovhcloud.com) führt offene Modelle, darunter gpt-oss-120b.
• Scaleway aus Frankreich speichert voreingestellt keine Inhalte. Nur bei Fehlern oder Missbrauch hält es eine Anfrage bis zu zwei Wochen vor (Daten­schutz­er­klä­rung (externe Seite, scaleway.com)). Die Modelle laufen auf eigener Infrastruktur in Europa, personenbezogene Daten liegen in Paris. Die Modellliste (externe Seite, scaleway.com) führt gpt-oss-120b.
• STACKIT, die Cloud der Schwarz-Gruppe, sagt zu, Daten und Anfragen weder zu speichern noch zum Training zu verwenden (Produktseite (externe Seite, stackit.com)). Die Modelle laufen als geteilte Modelle für alle Kunden, und zwischen Projekten und Kunden werden laut Leis­tungs­be­schrei­bung (externe Seite, docs.stackit.cloud) keine Daten ausgetauscht. Wo die Region EU01 liegt, nennt die Produktseite nicht.
• T-Systems betreibt offene Modelle in der T-Cloud in Deutschland und reicht geschlossene Modelle an Azure oder Google Cloud weiter (Modellliste (externe Seite, docs.llmhub.t-systems.net)).

Was diese Anbieter auszeichnet, steht in ihren Zusagen. IONOS, OVHcloud und T-Systems (für offene Modelle) nennen ein einzelnes Land für die Rechnung, Scaleway nennt Europa, STACKIT eine Region ohne Ortsangabe. Mistral rechnet laut seiner Liste in mehreren Staaten des EWR. Dazu kommt bei allen ein Sitz in Europa. Was die großen Cloud-Anbieter auszeichnet, zeigt Ebene 1: Bei ihnen laufen die geschlossenen Spitzenmodelle.

Wo ein europäischer Vertrag über Infrastruktur aus den USA läuft

Ein europäischer Vertragspartner rechnet teils auf fremder Infrastruktur. Die Glieder dazwischen nennt die Doku der Anbieter offen.

T-Systems führt in seiner Modellliste (externe Seite, docs.llmhub.t-systems.net) je Modell die Cloud, den Serverstandort und den Ort der Verarbeitung. Claude Opus 5.5 und Sonnet 5.5 laufen bei Google Cloud in Europa mit Verarbeitung in der EU. GPT-6 Luna läuft bei Azure in Schweden, GPT-6.1 Sol bei Azure weltweit, die Gemini-Modelle ebenfalls weltweit. Die Anbieter dahinter dürfen laut derselben Seite Unter­auf­trags­ver­ar­beiter weltweit einsetzen.

Mistral nennt in seiner Liste der Unter­auf­trags­ver­ar­beiter (externe Seite, trust.mistral.ai) für Studio und die Schnittstelle vier Stellen, an denen gerechnet oder gehostet wird:

• Microsoft mit Cloud-Infrastruktur in Schweden und Norwegen,
• Google für den US-Endpunkt, in den USA (die Standorte in den Niederlanden und Belgien führt die Liste beim Dienst Vibe),
• Mistral Compute in Frankreich,
• CoreWeave als Inferenzanbieter im EWR, mit Sitz in New Jersey (Kontaktseite (externe Seite, coreweave.com)).

Für Bilderzeugung und Websuche nennt die Liste außerdem Dienste in den USA. Die Hilfeseite nennt als Voreinstellung die EU. Mit Norwegen steht in der Liste auch ein Staat des EWR, der nicht zur EU gehört.

OpenAI setzt schon vor dem Modell einen Dienstleister ein. Für Anfragen an die regionalen Endpunkte nutzt es Cloudflare, damit die Verschlüsselung erst in der gewählten Region aufgelöst wird (Anleitung zu den Datenkontrollen (externe Seite, developers.openai.com)).

Claude in Foundry hat zwei Betriebsformen. Anthropic rechnet entweder auf Azure oder auf eigener Infrastruktur, und nur die Form auf Azure kennt die US Data Zone (Doku (externe Seite, platform.claude.com)). Bei Betrieb auf Azure gehen laut derselben Seite Nutzungsdaten und Inhalte, die Anthropics Sicher­heits­sys­teme markieren, an Anthropic. Die Kette lautet dann: Kunde, Microsoft, Anthropic, Azure.

Warum der Kunde diese Glieder kennen muss, steht in Artikel 28 Absatz 2 der DSGVO (externe Seite, eur-lex.europa.eu). Ein Auf­trags­ver­ar­beiter darf einen weiteren Auf­trags­ver­ar­beiter nur einsetzen, wenn der Verantwortliche das vorher genehmigt hat, einzeln oder allgemein und schriftlich. Die Liste der Unter­auf­trags­ver­ar­beiter ist damit Teil dessen, was der Kunde genehmigt. Welches Recht für jedes Glied gilt, ordnet Ebene 3 ein.

Vorweg: Diese Ebene ordnet die Rechtslage ein. Eine Rechtsberatung ist sie nicht. Wer eine verbindliche Auskunft für den eigenen Fall braucht, holt sie sich bei jemandem, der dafür haftet.

Die beiden ersten Ebenen fragen, wo gerechnet wird. Diese Ebene fragt, welches Recht an die Daten heranreicht. Sie liest dafür zwei Vorschriften des US-Rechts, zwei Artikel der DSGVO, ein Urteil des Gerichtshofs und eine Einschätzung der europäischen Daten­schutz­auf­sicht. Am Ende steht die Frage, welche Rolle nach der KI-Verordnung hat, wer ein Modell über eine Schnittstelle nutzt. Wie Daten in die USA übermittelt werden dürfen, steht in Beurteilen und Einordnen, Kapitel 08, Ebene 3.

Der CLOUD Act verlangt Herausgabe unabhängig vom Speicherort

Seit dem 23.03.2018 steht im US-Recht 18 U.S.C. § 2713, eingefügt durch den CLOUD Act. Die Vorschrift verpflichtet einen Anbieter von Kommunikations- oder Rechendiensten, Inhalte und Daten seiner Kunden aufzubewahren oder herauszugeben, wenn er sie besitzt, verwahrt oder kontrolliert. Das gilt laut Wortlaut (externe Seite, govinfo.gov) ausdrücklich auch dann, wenn die Daten außerhalb der USA liegen.

Erfasst sind Anbieter, die US-Gerichten unterstehen. Die Kommission nennt in ihrer Folgenabschätzung (externe Seite, eur-lex.europa.eu) zum Cloud and AI Development Act vom 03.06.2026 Anbieter, die in die Zuständigkeit der USA fallen. Das sind nach ihrer Fußnote 35 Anbieter mit Sitz in den USA und solche mit ausreichender Präsenz dort. Wer im Einzelfall als Anbieter mit Kontrolle über die Daten gilt, regelt § 2713 nicht näher. Das bleibt eine Rechtsfrage je Fall.

Für einen Konflikt mit ausländischem Recht gibt § 2703(h) einem Anbieter ein förmliches Recht, eine Anordnung anzufechten (18 U.S.C. § 2703 (externe Seite, govinfo.gov)). Zwei Voraussetzungen nennt der Wortlaut. Der Kunde ist keine US-Person und wohnt nicht in den USA. Und die Herausgabe birgt ein erhebliches Risiko, das Recht einer qualifizierten ausländischen Regierung zu verletzen. Qualifiziert ist eine Regierung mit einem Abkommen nach § 2523, das in Kraft ist, und mit Gesetzen, die Anbietern dort vergleichbare Möglichkeiten geben, sich zu wehren. Über den Antrag entscheidet ein Gericht, und es wägt dabei auch ab, was das Interesse der Justiz verlangt.

Andere Einwände nimmt § 2703(h) einem Anbieter nicht. Ob er sich ohne Abkommen auf die allgemeine Abwägung zwischen Rechtsordnungen stützen kann, die US-Gerichte als Comity kennen, nennen der Europäische Daten­schutz­aus­schuss und der Europäische Daten­schutz­be­auf­tragte in ihrer Einschätzung von 2019 unklar (Anhang, Abschnitt 1 (externe Seite, edpb.europa.eu)).

Solche Abkommen führt das Justizministerium auf seiner Seite zum CLOUD Act (externe Seite, justice.gov) mit dem Vereinigten Königreich, unterzeichnet am 03.10.2019, und mit Australien, unterzeichnet am 15.12.2021. Mit Kanada laufen laut der Seite seit dem 22.03.2022 Verhandlungen. Für die EU nennt sie als letzten Stand die Wiederaufnahme der Verhandlungen über elektronische Beweismittel. Stand der Seite ist der 24.10.2023.

In Kraft trat das Abkommen mit dem Vereinigten Königreich am 03.10.2022, laut der Mitteilung des Jus­tiz­mi­nis­te­riums (externe Seite, justice.gov) von diesem Tag. Anordnungen britischer Behörden dürfen sich danach nicht gegen Personen in den USA richten und müssen eine schwere Straftat betreffen. Das Abkommen mit Australien gilt laut dem Ver­trags­ver­zeichnis des US-Außenministeriums (externe Seite, state.gov) seit dem 30.01.2024.

Angekündigt haben Kommission und Justizministerium die Wiederaufnahme am 02.03.2023 (Mitteilung der Kommission (externe Seite, commission.europa.eu)). Nach der gemeinsamen Erklärung (externe Seite, consilium.europa.eu) vom 21.06.2024 wollen beide Seiten die Verhandlungen voranbringen und abschließen. Im Juni 2025 hat die Kommission den Rat für Justiz und Inneres (externe Seite, consilium.europa.eu) über den Stand informiert, ohne Inhalt in der Veröffentlichung. Die Seite der Kommission zu e-Evidence (externe Seite, commission.europa.eu) führt die Verhandlungen als laufend.

Ein Abkommen mit der EU oder einem ihrer Mitgliedstaaten führt die Seite nicht. Nach dem Wortlaut fehlt einem Kunden in der EU damit die Regierung, auf deren Recht sich eine Anfechtung nach § 2703(h) stützen könnte. Die Kommission hält in ihrer Folgenabschätzung allgemein fest, dass ein Zugriff nach dem CLOUD Act oder nach Section 702 des Foreign Intelligence Surveillance Act (FISA) einseitig gewährt werden kann, ohne Beteiligung europäischer Justiz- oder Behördenstellen. Section 702 ist eine Befugnis zur Überwachung im Ausland, und das Urteil Schrems II weiter unten befasst sich ausführlich mit ihr.

Artikel 48 der DSGVO verlangt ein Abkommen

Die DSGVO antwortet mit Artikel 48 (externe Seite, eur-lex.europa.eu). Er betrifft Urteile und Behör­den­ent­schei­dungen aus einem Drittland, die eine Herausgabe personenbezogener Daten verlangen. Anerkannt oder vollstreckt werden sie in der EU nur, wenn sie auf einem geltenden internationalen Abkommen beruhen, etwa einem Rechts­hil­fe­ab­kommen. Andere Gründe für eine Übermittlung nach Kapitel V bleiben davon unberührt.

Der Europäische Daten­schutz­aus­schuss und der Europäische Daten­schutz­be­auf­tragte haben das im Juli 2019 auf den CLOUD Act angewandt, in einer gemeinsamen Antwort an den Ausschuss für bürgerliche Freiheiten, Justiz und Inneres (LIBE) des Parlaments (externe Seite, edpb.europa.eu). Nach Abschnitt 1 ihres Anhangs können Anbieter, die dem EU-Recht unterliegen, eine Herausgabe in die USA nicht allein auf eine solche Anordnung stützen. Sie brauchen dafür ein internationales Abkommen, etwa das Rechts­hil­fe­ab­kommen zwischen EU und USA, oder eine andere Rechtsgrundlage der DSGVO.

Ein Anbieter, der beiden Rechtsordnungen unterliegt, steht damit zwischen zwei Pflichten. Das US-Recht verlangt die Herausgabe, die DSGVO verlangt dafür eine Grundlage, die eine Anordnung allein nicht liefert.

Artikel 28 Absatz 3 Buchstabe a zeigt dieselbe Grenze aus Sicht des Vertrags. Ein Auf­trags­ver­ar­beiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen. Eine Ausnahme gibt es, wenn ihn das Unionsrecht oder das Recht eines Mitgliedstaats verpflichtet, dem er unterliegt (DSGVO (externe Seite, eur-lex.europa.eu)). Eine Pflicht aus dem Recht eines Drittlands nennt die Ausnahme nicht.

Übermittlung und Zugriff sind zwei Prüfungen

Eine der beiden Prüfungen kennt man aus der Übermittlung in die USA. Der Gerichtshof hat am 16.07.2020 im Urteil Schrems II (externe Seite, eur-lex.europa.eu) den Ange­mes­sen­heits­be­schluss zum EU-US-Datenschutzschild für ungültig erklärt (Nummer 5 des Tenors). Nach Nummer 2 ist bei einer Übermittlung auf Grundlage von Stan­dard­da­ten­schutz­klau­seln auch zu prüfen, wie die Behörden des Empfängerlands auf die übermittelten Daten zugreifen können.

Auf dieses Urteil folgte 2023 der Ange­mes­sen­heits­be­schluss zum Data Privacy Framework. Er gilt für Daten, die aus der Union an eingetragene Organisationen in den USA übermittelt werden (Ange­mes­sen­heits­be­schluss (externe Seite, eur-lex.europa.eu)). Wer darin steht und wie die großen Anbieter ihre Übermittlung stützen, zeigt Beurteilen und Einordnen, Kapitel 08 in Ebene 3.

Urteil und Beschluss handeln von Daten, die die EU verlassen. Rechnet und speichert ein Anbieter mit Sitz in den USA in Frankfurt, bleibt der Inhalt der Anfrage in der EU. Die Frage lautet dann, ob er die Daten auf Anordnung herausgeben muss, und darauf antwortet § 2713.

Was neben dem Inhalt abfließt, bleibt eine Übermittlung und braucht weiter eine Grundlage. Ebene 2 nennt solche Fälle: eine pseudonyme Kennung, die in die USA darf, Systemdaten, die OpenAI von der Datenresidenz ausnimmt, und markierte Inhalte, die bei Foundry an Anthropic gehen. Die Prüfung des Zugriffs stellt sich an jedem Ort.

Wessen Recht gilt, entscheidet jedes Glied der Kette

Eine Zusage zur Rechtsordnung ist eine Aussage über den Anbieter und über alle, die er einsetzt. Drei Beispiele zeigen, wie verschieden solche Zusagen ausfallen.

Scaleway schreibt in seiner Daten­schutz­er­klä­rung (externe Seite, scaleway.com), als europäisches Unternehmen unterliege es keinen Gesetzen mit Wirkung über die eigenen Grenzen hinaus, etwa dem CLOUD Act. Das ist eine Auskunft des Anbieters über die eigene Rechtslage. Eine Behörde oder ein Gericht hat sie nicht festgestellt. Dieselbe Seite sagt, die Modelle liefen auf eigener Infrastruktur in Europa ohne Dienste Dritter.

T-Systems reicht geschlossene Modelle laut Modellliste (externe Seite, docs.llmhub.t-systems.net) an Microsoft Azure oder Google Cloud weiter. Der Vertrag besteht mit einem Unternehmen mit Sitz in Bonn (Impressum (externe Seite, t-systems.com)), gerechnet wird bei einem Anbieter mit Sitz in den USA. Mistral nennt für seine Schnittstelle Microsoft, Google und CoreWeave als Unter­auf­trags­ver­ar­beiter (Liste (externe Seite, trust.mistral.ai)), alle drei mit Sitz in den USA. CoreWeave sitzt laut seiner Kontaktseite (externe Seite, coreweave.com) in New Jersey.

Ein drittes Beispiel gibt die Kommission in ihrer Folgenabschätzung (externe Seite, eur-lex.europa.eu) wieder. Sie zitiert das Innenministerium Baden-Württemberg zur Delos Cloud, einem deutschen Angebot auf Grundlage von Microsoft-Software. Weil die Anwendungsschicht Software von Microsoft bleibe, unterliegen Software und Daten laut dem Ministerium weiter dem CLOUD Act.

Im Original, der Stellungnahme vom 15.08.2025 (externe Seite, landtag-bw.de) an den Landtag, ist die Aussage vorsichtiger. Die Infrastruktur nennt das Ministerium souverän und unter deutschem Recht betrieben. Zugriffe von Drittstaaten auf die Anwendungsdaten seien theoretisch nicht ausgeschlossen, weil die Kontrolle über die Software beim US-Anbieter liege. Im Innenausschuss (externe Seite, landtag-bw.de) trennte der Minister am 22.10.2025 beides: Rechtlich sei ein Zugriff ausgeschlossen, tatsächlich bestünden die beschriebenen Gefahren. Die Delos Cloud GmbH nennt auf ihrer Startseite (externe Seite, deloscloud.de) den Betrieb durch eine Gesellschaft nach deutschem Recht mit deutscher Konzernmutter.

Für jedes Angebot lohnt deshalb dieselbe Gegenfrage: Wer sind die Unter­auf­trags­ver­ar­beiter, und welchem Recht unterliegen sie? Nach Artikel 28 Absatz 2 der DSGVO gehört die Liste zu dem, was der Kunde genehmigt, wie Ebene 2 zeigt.

Stand 20.10.2026. Bei Bedrock ist Amazon laut Anthropics Doku zur Datenaufbewahrung (externe Seite, platform.claude.com) der Auf­trags­ver­ar­beiter, und Anthropic hat laut Doku (externe Seite, platform.claude.com) keinen Zugriff auf die Infrastruktur.

Wer eine Schnittstelle nutzt, ist Betreiber oder Anbieter eines Systems

Die KI-Verordnung verteilt Pflichten nach Rollen, und für Modelle mit allgemeinem Verwendungszweck hat sie eine eigene Achse. Beides erklärt KI jenseits der Sprachmodelle, Kapitel 12. Hier geht es um die Frage, welche Rolle hat, wer ein solches Modell über eine Schnittstelle einbindet.

Der Hersteller ist Anbieter des Modells, so ordnen es die Leitlinien der Kommission weiter unten ein. Wer ein fertiges System eines anderen nutzt, ist Betreiber: Nach Artikel 3 Nummer 4 der KI-Verordnung (externe Seite, eur-lex.europa.eu) ist das, wer ein KI-System eigen­ver­ant­wort­lich verwendet, außer im rein privaten Rahmen.

Baut jemand das Modell selbst in ein System ein, wird er dessen Anbieter. Das gilt, wenn er das System unter eigenem Namen anbietet, und nach Artikel 3 Nummer 3 und 11 auch, wenn er es nur selbst in Betrieb nimmt. Inbetriebnahme umfasst ausdrücklich den Eigengebrauch.

Ein solcher Anbieter heißt nachgelagerter Anbieter nach Artikel 3 Nummer 68. Gemeint ist der Anbieter eines KI-Systems, das ein KI-Modell einbindet. Das gilt auch, wenn eine andere Stelle das Modell auf vertraglicher Grundlage bereitstellt, also auch für die Wege 1 bis 3 aus Ebene 1.

Für ihn sieht die Verordnung eine Dokumentation vor. Nach Artikel 53 Absatz 1 Buchstabe b muss der Anbieter des Modells Informationen und eine Dokumentation erstellen und aktuell halten. Er stellt sie den Anbietern von KI-Systemen zur Verfügung, die das Modell einbauen wollen. Sie soll Fähigkeiten und Grenzen des Modells verständlich machen. Nach Absatz 2 entfällt diese Pflicht für Modelle unter einer freien und quelloffenen Lizenz mit öffentlichen Gewichten. Für Modelle mit systemischem Risiko gilt diese Ausnahme laut demselben Absatz nicht.

Die Kommission ordnet die Rollen in ihren Leitlinien zu den Pflichten für Anbieter solcher Modelle (externe Seite, digital-strategy.ec.europa.eu) ein, in der Fassung vom 19.11.2025:

• Nach Nummer 55 ist Anbieter des Modells, wer es entwickelt und erstmals einem nachgelagerten Akteur in der Union bereitstellt. Wer es in ein eigenes System einbaut und dieses in Verkehr bringt oder in Betrieb nimmt, kann Anbieter des Systems sein.
• Nach Nummer 60 gilt ein Richtwert für den, der ein Modell verändert. Er wird Anbieter des veränderten Modells, wenn er dafür mehr als ein Drittel der Rechenleistung aufwendet, mit der das ursprüngliche Modell trainiert wurde.
• Beim Fine-Tuning über eine Schnittstelle bleibt offen, wer verändert. Nach Fußnote 13 der englischen Fassung kann es darauf ankommen, wer die Gewichte kontrolliert.

Ob ein Fine-Tuning über eine Schnittstelle den Kunden zum Anbieter des Modells macht, misst sich an diesem Richtwert. Ob er dabei überhaupt als Veränderer gilt, lässt Fußnote 13 offen. Wie ein Betreiber zum Anbieter eines Hochrisiko-Systems wird, beschreibt KI jenseits der Sprachmodelle, Kapitel 12 in Ebene 3. Was Fine-Tuning bei den Anbietern kostet und bindet, steht in Beurteilen und Einordnen, Kapitel 02.

Ort, Sitz und Fassung sind drei Prüfungen

Aus dem Rechenort folgt die Infrastruktur. Welches Recht an die Daten heranreicht, hängt am Sitz jedes Glieds der Kette und an seiner Präsenz in den USA. Ein Rechenzentrum in Frankfurt beantwortet die erste Frage, die zweite beantwortet der Vertrag samt Liste der Unter­auf­trags­ver­ar­beiter.

Ein europäischer Sitz sagt etwas über den Vertragspartner. Wo gerechnet wird, steht in dessen Modellliste, und bei geschlossenen Modellen führt sie oft zu einem Anbieter in den USA.

Auch die Fassung hängt am Weg. Über verschiedene Wege kommen teils verschiedene Fassungen desselben Modells an, und die engste Ortsbindung bekommt ein neues Modell zuletzt.