KI und Datenschutz im Mittelstand: Welche Daten dürfen wohin? (n8n,langdock)

Datenschutz bremst KI nicht – unklare Regeln tun es. Wer seine Daten in Klassen einteilt und jeder Klasse eine passende Hosting-Option zuordnet, kann KI schnell und sicher einsetzen. Die entscheidende Frage ist dabei nicht, wo der Server steht, sondern wer rechtlich gezwungen werden kann, Ihre Daten herauszugeben. Dieser Beitrag zeigt, wie mittelständische Unternehmen das pragmatisch lösen.

Das Wichtigste auf einen Blick

• 71 % der Unternehmen nutzen US-Cloud-Anbieter, nur 8 % würden sie bevorzugen (Bitkom Cloud Report 2026).
• Eine EU-Region bei einem US-Anbieter ist nicht automatisch souverän – der Rechtsraum des Vertragspartners zählt.
• Eine Datenklassen-Ampel legt fest, welche Daten an welche Modelle und Hosting-Optionen dürfen.
• Souveränität kostet Geld, Geschwindigkeit oder Modellqualität – deshalb nur dort, wo die Daten es rechtfertigen.
• Eine eigene Workflow-Schicht setzt diese Regeln automatisch durch.

Warum ist Datenschutz bei KI gerade jetzt Chefsache?

Datenschutz bei KI ist Chefsache, weil die Abhängigkeit von US-Anbietern hoch ist und die Unzufriedenheit damit ebenfalls. Laut Bitkom Cloud Report 2026 nutzen 71 % der Unternehmen US-Cloud-Anbieter, aber nur 8 % würden sie bevorzugen. 91 % würden deutsche Anbieter vorziehen. Und laut B2BEST Barometer 2026 behandeln 62 % der Großhändler und Hersteller digitale Souveränität bereits auf Geschäftsführungsebene.

Zwischen 71 % Nutzung und 8 % Präferenz liegen 63 Prozentpunkte. Das ist keine Lücke, das ist aufgestauter Handlungsbedarf. Die vorübergehende Abschaltung zweier Anthropic-Modelle im Juni 2026 hat zusätzlich gezeigt, wie schnell politische Entscheidungen den Zugang zu Technologie verändern können. Mehr dazu im ersten Teil dieser Serie: Resiliente KI im Mittelstand.

In der Praxis sehen wir zwei typische Reaktionen, wenn Regeln fehlen: Entweder steht KI still, weil niemand die Freigabe verantworten will. Oder Mitarbeitende nutzen private KI-Zugänge, und Daten verlassen unkontrolliert das Haus. Beides ist teurer als eine klare Regelung.

Was ist das eigentliche Risiko: Serverstandort oder Rechtsraum?

Das eigentliche Risiko ist der Rechtsraum, nicht der Serverstandort. Ein Rechenzentrum in Frankfurt schützt nicht automatisch, wenn der Vertragspartner einem ausländischen Recht unterliegt, das Datenherausgaben verlangen kann – etwa dem US Cloud Act. Deshalb lautet die Leitfrage:

„Wer kann rechtlich gezwungen werden, unsere Daten herauszugeben?“

Diese Frage beantworten Sie über den Vertragspartner, sein anwendbares Recht und seine Unterauftragnehmer – nicht über eine Rechenzentrumsadresse. Der EU-US Data Privacy Framework gilt derzeit, steht aber unter Vorbehalt.

Wie ernst der Markt das nimmt, zeigt ein aktuelles Beispiel: Der Berliner KI-Anbieter Langdock hat im September 2026 seine US-Muttergesellschaft aufgelöst, um die europäische Struktur für Kunden klarer zu machen – ausdrücklich mit Blick auf geopolitisch unsichere Zeiten (Euronews, 16.09.2026).

Wie ordnet man Daten für KI richtig ein?

Daten für KI ordnen Sie am einfachsten mit einer Datenklassen-Ampel ein. Sie teilt Daten nach Schutzbedarf in drei Stufen und legt pro Stufe fest, welche Modelle und Hosting-Optionen zulässig sind. So müssen Mitarbeitende nicht jedes Mal neu entscheiden.

Wichtig: Die Ampel ist ein Arbeitswerkzeug, keine Rechtsberatung. Die konkrete Einstufung stimmen Sie mit Ihrem Datenschutzbeauftragten ab.

Welche Hosting-Optionen gibt es – und was kosten sie?

Für KI gibt es vier Hosting-Optionen, die sich in Kontrolle, Kosten und Modellqualität unterscheiden. Keine ist für alles richtig. Souveränität kostet immer etwas: Geld, Geschwindigkeit oder Modellqualität. Die Frage ist deshalb nicht „souverän oder nicht“, sondern: Welche Daten rechtfertigen welchen Aufwand?

Europäische Anbieter wie IONOS, STACKIT, OVHcloud oder Mistral decken mit offenen Modellen heute viele Standardaufgaben ab, etwa Wissenssuche, Klassifizierung oder Assistenz. Für besonders anspruchsvolle Aufgaben sind die führenden US-Modelle derzeit meist stärker.

Welche Fragen sollten Sie jedem KI-Anbieter stellen?

Stellen Sie jedem KI-Anbieter vor Vertragsabschluss diese Fragen – und lassen Sie sich die Antworten vertraglich bestätigen, nicht nur in der Dokumentation:

1. Modell und Ort: Welches Modell steckt dahinter, und wo läuft die Verarbeitung geografisch?
2. Vertragspartner: Wer ist Auftragsverarbeiter, und welchem Recht unterliegt er?
3. Unterauftragnehmer: Gibt es eine vollständige Liste nach Art. 28 DSGVO?
4. Training: Werden unsere Daten für das Training von Modellen genutzt?
5. Speicherung: Wie lange werden Eingaben und Ergebnisse gespeichert, und wo?
6. Ausstieg: Wie kommen wir mit unseren Daten, Prompts und Konfigurationen wieder heraus?

Wie hilft eine eigene Workflow-Schicht beim Datenschutz?

Eine eigene Workflow-Schicht setzt Datenschutzregeln automatisch durch, statt sie jedem Einzelnen zu überlassen. Mit einer Plattform wie n8n, die sich auch in europäischen Rechenzentren selbst betreiben lässt, können Sie Daten je nach Klasse an unterschiedliche Modelle leiten.

• Routing nach Datenklasse: Grüne Daten gehen an das Top-Modell, rote Daten bleiben beim internen Modell.
• Datensparsamkeit: Das Modell erhält nur die Informationen, die es für die Aufgabe braucht – Stammdaten bleiben im Haus.
• Pseudonymisierung: Personenbezogene Angaben lassen sich vor der Verarbeitung entfernen oder ersetzen.
• Protokollierung: Jeder KI-Vorgang ist nachvollziehbar – wichtig für Audits und Governance.

So wird Datenschutz vom Bremsklotz zum eingebauten Standard. Und die Wechselfähigkeit aus Teil 1 bleibt erhalten: Ändert sich die Rechtslage, ändern Sie die Regel – nicht den Prozess.

Was gilt seit August 2026 durch den AI Act?

Seit dem 2. August 2026 gelten die Transparenzpflichten nach Artikel 50 des EU AI Act. Unternehmen müssen unter anderem KI-generierte Inhalte kennzeichnen und offenlegen, wenn Menschen mit einem KI-System interagieren, etwa in einem Chatbot. Wer seine KI-Vorgänge ohnehin zentral steuert und protokolliert, kann diese Anforderungen deutlich einfacher erfüllen.

Warum ist Datenschutz Teil der KI-Unternehmensfähigkeit?

Datenschutz ist Teil der KI-Unternehmensfähigkeit, weil klare Regeln Geschwindigkeit ermöglichen. Wer weiß, welche Daten wohin dürfen, muss nicht jeden Anwendungsfall einzeln diskutieren. Er kann KI breiter und schneller einsetzen – und behält die Kontrolle.

Genau darum geht es: KI nicht nur als Modell auszurollen, sondern als Fähigkeit aufzubauen, die bleibende Werte im Unternehmen schafft. Datenklassen, Freigaberegeln und eine eigene Workflow-Schicht gehören zu diesen Werten. Sie bleiben, auch wenn Modelle, Anbieter oder Gesetze sich ändern.

Hinweis: Dieser Beitrag dient der Orientierung und ersetzt keine Rechtsberatung.

Häufige Fragen zu KI und Datenschutz

Wie Sie jetzt starten

Wenn Sie eine KI Beratung & Standortbestimmung für Ihr Unternehmen brauchen – nutzen Sie unser KI Audit – es zeigt auf wo Sie stehen und was zu tun ist um KI zum Erfolg zu führen.

Wenn Sie weitere Unterstützung benötigen – wir beraten unabhängig und entwickeln mit Ihnen eine Strategie wie Sie KI zu einer echten, wertvollen Unternehmensfähigkeit aufbauen – mit Prozess-Integrationen, Change Management Unterstützung und sicheren Daten.

Wenn Sie klären wollen, welche Ihrer Daten wohin dürfen: Wir erarbeiten mit Ihnen eine Datenklassen-Ampel und die passende KI-Architektur – pragmatisch, abgestimmt mit Ihrem Datenschutz und aus der Praxis, für die Praxis.