Video: KI-generierter Avatar und KI-Stimme von Alex Trupp · KI-Transparenz
Wer eine KI-Automatisierung mit Azure OpenAI baut, trifft eine Einstellung, die oft übersehen wird, aber datenschutzrechtlich viel Gewicht hat: den Deployment-Typ. Wenn eine Automatisierung personenbezogene Daten verarbeitet, müssen mögliche Übermittlungen in Drittländer rechtlich geprüft werden – und genau hier setzt die Wahl der Datenzone an.
Für OpenAI-GPT-Modelle bietet Azure dafür den Deployment-Typ „Data Zone Standard“ an. Wird die europäische Datenzone korrekt gewählt, verarbeitet Microsoft Prompts und Antworten innerhalb der von Microsoft definierten europäischen Datenzone. Das klingt nach einer sauberen Lösung – ist aber nur ein Baustein von mehreren, die für eine DSGVO-konforme Automatisierung nötig sind.
Data Zone Standard vs. Global Standard
Der zentrale Unterschied zwischen den beiden Azure-Deployment-Typen liegt in der geografischen Verarbeitung. Bei „Global Standard“ wird die Inferenz weltweit verteilt, das heißt Prompts und Antworten können auf Servern außerhalb Europas landen. „Data Zone Standard“ mit korrekt gewählter europäischer Datenzone verhindert genau das: Die Verarbeitung bleibt innerhalb der von Microsoft definierten europäischen Datenzone.
Für Unternehmen, die personenbezogene Daten über eine KI-Automatisierung verarbeiten, ist diese Einstellung deshalb einer der ersten Punkte, die geprüft werden sollten, bevor eine Automatisierung produktiv geht.
Übermittlungen in die USA und rechtliche Absicherung
Auch bei europäischer Datenzone lassen sich bestimmte Übermittlungen in die USA nicht vollständig ausschließen. Für diese unvermeidbaren Fälle stehen rechtliche Transfermechanismen zur Verfügung: Microsoft ist unter dem EU-US Data Privacy Framework zertifiziert und verwendet für seine Cloudverträge zusätzlich Schutzmechanismen wie die EU-Standardvertragsklauseln.
Ein Restrisiko bleibt dabei jedoch bestehen. Der US Cloud Act kann auch Daten betreffen, die außerhalb der USA gespeichert sind. Microsoft verpflichtet sich vertraglich, staatliche Anfragen zu prüfen und anzufechten, wenn dafür eine rechtliche Grundlage besteht, und bietet für bestimmte DSGVO-widrige Offenlegungen vertragliche Entschädigungszusagen an.
Warum die Datenzone allein nicht reicht
Der wichtigste Punkt: Eine europäische Azure-Datenzone macht eine Automatisierung nicht automatisch DSGVO-konform. Sie ist eine technische Voraussetzung, ersetzt aber nicht die rechtliche und organisatorische Prüfung der gesamten Verarbeitung.
Dafür braucht es unter anderem eine Rechtsgrundlage für die Verarbeitung, Datenminimierung, passende Verträge mit allen Beteiligten, transparente Datenschutzinformationen, technische und organisatorische Maßnahmen sowie eine dokumentierte Prüfung der gesamten Verarbeitung.
- Rechtsgrundlage für die Datenverarbeitung
- Datenminimierung im Automatisierungs-Workflow
- Passende Verträge (z. B. Auftragsverarbeitung)
- Transparente Datenschutzinformationen
- Technische und organisatorische Maßnahmen (TOM)
- Dokumentierte Prüfung der gesamten Verarbeitung
Häufige Fragen
Nein. Die Wahl der europäischen Datenzone regelt nur, wo Prompts und Antworten verarbeitet werden. Für DSGVO-Konformität braucht es zusätzlich eine Rechtsgrundlage, Datenminimierung, passende Verträge, transparente Datenschutzinformationen, technische und organisatorische Maßnahmen sowie eine dokumentierte Prüfung der gesamten Verarbeitung.
Bei Data Zone Standard verarbeitet Microsoft Prompts und Antworten innerhalb der definierten europäischen Datenzone. Global Standard verteilt die Inferenz dagegen weltweit, ohne diese geografische Einschränkung.
Der US Cloud Act kann auch Daten betreffen, die außerhalb der USA gespeichert sind. Microsoft verpflichtet sich vertraglich, staatliche Anfragen zu prüfen und anzufechten, und bietet für bestimmte DSGVO-widrige Offenlegungen vertragliche Entschädigungszusagen – ein rechtliches Restrisiko bleibt aber bestehen.
DSGVO-konforme Automatisierung aufsetzen lassen
Wir bauen KI-Automatisierungen mit Azure OpenAI, bei denen Datenzone, Rechtsgrundlage und Dokumentation von Anfang an mitgedacht sind. Sprich uns an, wenn du eine bestehende Automatisierung prüfen lassen oder eine neue rechtssicher aufsetzen willst.
Kostenlose Erstberatung →