Vorab in aller Klarheit: Dieser Artikel ist keine Rechtsberatung, sondern eine Praxis-Orientierung. Für verbindliche Bewertungen gehören Ihr Datenschutzbeauftragter und ggf. eine Fachkanzlei an den Tisch.
Der Irrtum „nur Maschinendaten"
Der Satz fällt in fast jedem Digitalisierungsprojekt: „Datenschutz betrifft uns nicht, das sind doch nur Maschinendaten." Er ist in zwei Richtungen falsch.
Erstens sind Maschinendaten häufiger personenbeziehbar als gedacht. Sobald Bediener-Anmeldungen, Schichtpläne, Handeingaben oder Kamerabilder im Datenstrom stecken — und das tun sie oft —, lässt sich Maschinenverhalten auf Personen zurückführen. Aus „Anlage 3 hatte nachts viele Eingriffe" wird schnell „Mitarbeiter M. hatte viele Eingriffe". Damit ist man mitten in der DSGVO, mit allem, was dazugehört — bis hin zur Mitbestimmung, denn Systeme, die Verhalten oder Leistung von Beschäftigten überwachbar machen, sind ein klassisches Betriebsratsthema.
Zweitens ist die DSGVO nicht Ihre einzige Pflicht. Geheimhaltungsvereinbarungen mit Ihren Kunden — im Automotive-Umfeld die Regel — verbieten die Weitergabe von Prozessdaten oft unabhängig von jedem Personenbezug. Ein Cloud-Transfer kann vertragswidrig sein, selbst wenn er datenschutzrechtlich sauber wäre.
Die Fragenliste für jedes Cloud-Angebot
Wenn ein Anbieter Ihre Produktionsdaten verarbeiten will, sollten Sie vor der Unterschrift Antworten auf diese Fragen haben — schriftlich:
- Wo genau wird verarbeitet? Rechenzentrum, Land, Jurisdiktion. „In der EU" ist ein Anfang, keine Antwort.
- Wer ist beteiligt? Die vollständige Liste der Unterauftragsverarbeiter — inklusive des Cloud-Infrastrukturanbieters dahinter und dessen Konzernsitz.
- Gibt es Drittlandtransfers — auch mittelbar, etwa durch Support-Zugriffe aus Nicht-EU-Ländern oder Konzernstrukturen mit ausländischem Mutterhaus?
- Was passiert bei Vertragsende? Löschkonzept, Exportformat, Fristen — und was mit den Modellen geschieht, die aus Ihren Daten trainiert wurden.
- Werden Ihre Daten zum Training für andere Kunden genutzt? Wenn ja: Ihr Prozesswissen verbessert das Produkt Ihres Wettbewerbers.
- Liegt ein AV-Vertrag nach Art. 28 DSGVO vor — und deckt er die tatsächliche Verarbeitungskette ab, nicht nur den direkten Vertragspartner?
Jede dieser Fragen erzeugt beim Anbieter Aufwand, Anhänge und Vorbehalte. Das ist kein Zeichen von Böswilligkeit — es ist die ehrliche Komplexität verteilter Verarbeitung.
Die einfachste Antwort: Die Fragen entfallen
Es gibt einen Weg, auf dem diese Liste weitgehend gegenstandslos wird: Die Daten verlassen Ihr Haus nicht.
Bei vollständig lokaler Verarbeitung — on-premise oder air-gapped — gibt es keinen Drittlandtransfer, keine Unterauftragskette für Ihre Rohdaten und keinen Konflikt mit Kunden-NDAs durch externe Verarbeitung. Was bleibt, sind Ihre internen Pflichten (Zugriffskonzept, Mitbestimmung, Zweckbindung) — die haben Sie ohnehin, aber Sie verhandeln sie mit sich selbst statt mit einer Anbieterkette über drei Jurisdiktionen.
Das ist der oft übersehene Nebeneffekt lokaler KI: Sie ist nicht nur ein Sicherheitsmerkmal, sondern eine massive Vereinfachung der Compliance. Ihr Datenschutzbeauftragter prüft eine Installation in Ihrem Netz statt einer transatlantischen Verarbeitungskette.
Wie eine vollständig lokale Verarbeitung konkret aussieht — inklusive der Frage, wie Updates ohne Internet funktionieren — zeigen wir in einem 30-Minuten-Gespräch. Ihren Datenschutzbeauftragten dürfen Sie gern mitbringen; wir mögen die Fragen.