EU-Sovereign-AI-Plattform.

Was 'EU Sovereign' wirklich bedeutet

EU-Sovereign-AI ist mehr als 'EU-Region' bei US-Cloud-Anbietern. Echte EU-Souveränität erfordert vier Schichten: erstens EU-Firma als Provider (juristische Person nach EU-Recht, nicht US-Tochter), zweitens EU-Hosting-Infrastruktur (Server in EU-Mitgliedstaat, nicht US-Cloud-Region), drittens LLM-Verarbeitung in der EU (Inferenz auf EU-Servern, vertraglich garantiert, kein Training auf Kundendaten), viertens voller AVV nach DSGVO Art. 28 mit transparenter Subprozessoren-Liste. Bei US-Hyperscalern ist Punkt eins schon schwierig, die Mutter-Konzerne unterliegen US-Recht, etwa dem CLOUD Act. 'EU-Region' verschiebt nur die Server-Lokation, nicht die Rechts-Souveränität.

Schrems II + DSGVO Art. 28, die rechtliche Realität 2026

Das Schrems-II-Urteil des Europäischen Gerichtshofs von 2020 hat den Privacy Shield gekippt und verlangt für Übermittlungen in Drittländer ein gleichwertiges Schutzniveau. Der Europäische Datenschutzausschuss hat in seinen Empfehlungen 01/2020 beschrieben, wie ergänzende Maßnahmen aussehen können. Seit Juli 2023 gilt für zertifizierte US-Anbieter der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, das Gericht der EU hat ihn im September 2025 bestätigt. Übermittlungen an solche Anbieter sind damit zulässig, hängen aber an einem Beschluss, der politisch und gerichtlich umstritten ist. Wer von Anfang an in der EU verarbeitet, braucht diese Grundlage nicht: keine Drittlandübermittlung, keine Transfer-Folgenabschätzung für diesen Teil.

AI Act Art. 50, Transparenzpflicht ab 02.08.2026

Artikel 50 der EU-KI-Verordnung 2024/1689 verpflichtet Anbieter ab 02.08.2026 zur Disclosure bei KI-Interaktionen im Endkundenkontakt. Die Menschen müssen spätestens beim ersten Kontakt klar erfahren, dass sie mit einer KI interagieren. Wie das geschieht, lässt die Verordnung offen, üblich sind eine Ansage am Telefon, ein sichtbarer Hinweis im Chat und ein Hinweis im Text einer E-Mail. Verstöße können Bußgelder bis 15 Mio. € oder 3% des weltweiten Jahresumsatzes nach sich ziehen. Bei rinqo ist der Hinweis ab Werk eingestellt, im Chat und per E-Mail fest, am Telefon in der voreingestellten Begrüßung.

rinqos voll-EU-Stack im Detail

Hosting: Server in Deutschland bei einem deutschen Anbieter, AVV nach DSGVO Art. 28. App, API, Datenbank, Vektor-Datenbank, Warteschlange und Sprachdienst laufen alle dort. Sicherungskopien liegen verschlüsselt in der EU. Telefonie: ein Anbieter mit Sitz in Irland. Sprachmodell: KI-Modelle mit vertraglich zugesicherter EU-Datenverarbeitung (kein Training auf Kundendaten), dazu ein europäischer Ausweich-Anbieter, der bei einer Störung übernimmt. Spracherkennung: ein Anbieter mit Verarbeitung in Frankreich, mit AVV. Sprachausgabe: ein deutscher Anbieter, Verarbeitung in der EU. Die Kategorien stehen auf /security, die namentliche Liste der Unterauftragsverarbeiter im Dashboard.

Wann EU-Sovereign Pflicht ist, und wann nicht

Rechtlich vorgeschrieben ist ein EU-Anbieter nicht: Die DSGVO erlaubt Übermittlungen in Drittländer unter den Bedingungen von Kapitel V, etwa mit Angemessenheitsbeschluss oder Standardvertragsklauseln. Besonders sinnvoll ist eine Verarbeitung in der EU dort, wo Daten besonders geschützt sind: Gesundheitsdaten, Mandantengeheimnisse, Finanzdaten, alles unter Berufsgeheimnis. Bei rinqo gilt für diese Bereiche zusätzlich: Für Gesundheitsdaten schließt du vor dem Start eine Zusatzvereinbarung ab, für Berufsgeheimnisse gilt Abschnitt 10 des AVV. Weniger kritisch sind Anwendungen ohne personenbezogene Daten, etwa anonyme FAQ-Bots auf Marketing-Seiten.

Digitale Souveränität: Warum der Serverstandort zur Chefsache wurde

Digitale Souveränität heißt: Du kontrollierst, wer nach welchem Recht auf deine Unternehmensdaten zugreift. Jahrelang war das ein Thema für IT-Abteilungen. Der US CLOUD Act hat es zur Chefsache gemacht: US-Behörden können US-Anbieter zur Herausgabe von Daten verpflichten, unabhängig davon, wo die Server stehen. Ein Rechenzentrum in Frankfurt schützt also nicht, wenn der Vertragspartner ein US-Konzern ist. Deshalb entscheidet heute die Geschäftsführung über den Serverstandort, nicht mehr nur die IT. Praktisch besteht digitale Souveränität aus drei Kriterien. Erstens EU-Server: Deine Daten werden auf Servern in der EU verarbeitet und gespeichert. Zweitens EU-Vertragspartner: Dein AVV-Gegenüber unterliegt europäischem Recht, nicht dem CLOUD Act. Drittens Exit-Fähigkeit: Du kannst deine Daten exportieren und den Anbieter wechseln, ohne dass dein Betrieb stillsteht. Fehlt eines der drei Kriterien, bleibt die Souveränität lückenhaft, egal wie das Marketing klingt. Für KI-Systeme wiegt das doppelt schwer, weil Telefonate, Chats und E-Mails mit Kundendaten durch das System laufen. Frag deshalb jeden Anbieter nach genau diesen drei Punkten. Bei rinqo sehen die Antworten so aus: Server in Deutschland in Rechenzentren mit ISO-27001-Zertifikat, AVV nach Art. 28 DSGVO, Sprachmodell-Verarbeitung vertraglich zugesichert innerhalb der EU. Deine Daten werden nicht für Modell-Training verwendet. Der komplette Stack ist dokumentiert, jede Komponente mit Anbieter und Region.

• EU-Server: Verarbeitung und Speicherung auf Servern in der EU
• EU-Vertragspartner: Das AVV-Gegenüber unterliegt europäischem Recht, nicht dem CLOUD Act
• Exit-Fähigkeit: Daten exportierbar, Anbieterwechsel ohne Betriebsstillstand

Lokale KI vs. europäische Cloud: die realistische Wahl für KMU

Für die meisten KMU ist die europäische Cloud der praktikable Weg zu DSGVO-konformer KI. Lokale KI, also eigene Sprachmodelle auf eigener Hardware, ist die maximale Form der Kontrolle: Keine Daten verlassen das Haus, kein externer Vertragspartner, kein Drittland-Thema. Ehrlich betrachtet hat diese Kontrolle ihren Preis. Leistungsfähige Sprachmodelle brauchen GPU-Server, deren Anschaffung und Stromkosten du selbst trägst. Dazu kommen Betrieb, Monitoring, Modell-Updates, Sicherheits-Patches und Personal, das all das dauerhaft verantwortet. Ein Telefon-Agent verlangt zusätzlich Echtzeit-Betrieb und Telefonie-Anbindung, das ist Dauerbetrieb, kein Wochenendprojekt. Lokale KI lohnt sich deshalb vor allem für Betriebe mit eigener IT-Mannschaft und Spezial-Anforderungen. Die europäische Cloud liefert die Souveränitäts-Vorteile ohne diesen Betriebsaufwand: EU-Server, EU-Vertragspartner, AVV nach Art. 28 DSGVO, und der Anbieter trägt Betrieb und Updates. rinqo hat sich bewusst für diesen Weg entschieden. Die Server stehen in Deutschland, in Rechenzentren mit ISO-27001-Zertifikat. Die Sprachmodell-Verarbeitung läuft vertraglich zugesichert innerhalb der EU, ohne Training auf deinen Daten. Ein europäischer Ausweich-Anbieter übernimmt bei einer Störung. Beim Einrichten begleiten wir dich, im Chat und per E-Mail arbeiten die Agenten in 17+ Sprachen, am Telefon in deiner Hauptsprache und auf Englisch. Die nüchterne Rechnung lautet: volle Kontrolle gegen kalkulierbaren Betrieb. Für Telefon, Chat und E-Mail im KMU-Alltag gewinnt fast immer die Cloud.