KI-Modelle DSGVO-konform in Deutschland hosten: Optionen und Anbieter

KI-Modelle lassen sich auf drei Wegen DSGVO-konform in Deutschland betreiben: auf eigener Hardware, auf gemieteten GPU-Servern in deutschen Rechenzentren oder über Modell-Dienste deutscher Cloud-Anbieter wie STACKIT oder IONOS. Welcher Weg passt, hängt von Datenmenge, Nutzerzahl und eigenem IT-Know-how ab. In allen Fällen entscheiden Verarbeitungsort, Auftragsverarbeitungsvertrag, Protokollierung und Zugriffskonzept über die Datenschutzkonformität.

Warum Hosting in Deutschland?

Viele Cloud-KI-Dienste verarbeiten Daten in den USA oder weltweit. Das ist mit Verträgen und dem EU-US-Datenschutzrahmen grundsätzlich möglich, bedeutet aber zusätzlichen Prüfaufwand und bleibt für viele Unternehmen ein Restrisiko – etwa wegen des Zugriffs von US-Behörden auf Daten von US-Anbietern. Bei Verarbeitung in Deutschland durch einen europäischen Anbieter entfällt die Drittlandproblematik weitgehend. Für Gesundheits-, Sozial- und Mandantendaten ist das oft die naheliegende Wahl.

Option 1: Eigene Hardware

Der Server steht im eigenen Haus. Maximale Kontrolle, keine Daten bei Dritten – aber Sie tragen Anschaffung, Strom, Kühlung, Wartung und Ausfallsicherheit. Sinnvoll vor allem bei vorhandener IT und dauerhaft hoher Auslastung. Hardware-Fragen beantwortet Welche Hardware braucht eine eigene KI?.

Option 2: Gemieteter GPU-Server in Deutschland

Ein Rechenzentrumsbetreiber stellt einen Server mit Grafikkarte bereit; darauf betreiben Sie (oder ein Dienstleister) offene Modelle selbst – etwa mit Ollama und Open WebUI. Ein Beispiel ist der dedizierte GPU-Server von Hetzner mit 20 GB Grafikspeicher. Sie behalten die Kontrolle über Modell und Daten, ohne eigene Hardware zu kaufen.

Option 3: Modell-Dienste deutscher Cloud-Anbieter

Sie betreiben keinen Server, sondern nutzen offene Modelle über eine Schnittstelle – abgerechnet nach Nutzung. Beispiele:

• STACKIT AI Model Serving (Cloud der Schwarz-Gruppe): offene Modelle wie gpt-oss, Qwen und Gemma über eine OpenAI-kompatible Schnittstelle, Verarbeitung in europäischen Rechenzentren.
• IONOS AI Model Hub: Verarbeitung ausschließlich in deutschen Rechenzentren; laut Anbieter werden keine Inhalte protokolliert, nur Zeitpunkt, Modell und Tokenzahl für die Abrechnung.
• Weitere Anbieter: Auch andere europäische Cloud- und Hosting-Anbieter bieten inzwischen Modell-Schnittstellen an. Vergleichen Sie Modellauswahl, Verarbeitungsort und Vertragsbedingungen.

Der Vorteil: Sie können bestehende Werkzeuge, die mit der OpenAI-Schnittstelle arbeiten, oft einfach auf einen deutschen Anbieter umstellen.

Checkliste für DSGVO-konformes KI-Hosting

• Verarbeitungsort: Wo werden Modell, Eingaben, Protokolle und Datensicherungen verarbeitet?
• Anbieter: Europäisches Unternehmen oder Tochter eines Konzerns aus einem Drittland?
• AVV: Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, Liste der Unterauftragnehmer.
• Protokollierung: Werden Eingaben gespeichert? Wie lange? Wer kann sie einsehen?
• Training: Ausschluss, dass Ihre Daten zum Training genutzt werden.
• Zugriff und Rechte: Wer darf welche Daten an das Modell geben? Anmeldung über Single Sign-On.
• Dokumentation: Verzeichnis der Verarbeitungstätigkeiten und ggf. Datenschutz-Folgenabschätzung.
• EU AI Act: Transparenz gegenüber Nutzern und ausreichende KI-Kompetenz der Mitarbeitenden – siehe EU AI Act.

Welche Option passt zu wem?

• Kleines Team, wenig IT: Modell-Dienst eines deutschen Anbieters oder gemieteter Server mit Betrieb durch einen Dienstleister.
• Sensible Daten, mittleres Volumen: gemieteter GPU-Server mit eigenem Modell – volle Kontrolle ohne eigene Hardware.
• Hohe Dauerlast, eigene IT: eigene Hardware oder mehrere gemietete Server.

bettersorted setzt für seine Kundinnen und Kunden auf offene, einsehbare Bausteine – betrieben auf Servern in Deutschland und gebündelt im automaisa Hub. Wir beraten herstellerneutral, sind beim BAFA registrierter Berater und autorisierter INQA-Coach. Die Beratung und begleitete Einführung lassen sich über das INQA-Coaching mit 80 % fördern; den passenden Weg zeigt der Förder-Check. Für ein unverbindliches Erstgespräch: Kontakt.

Beispiel: Pflegedienst mit sensiblen Daten

Ein illustratives Szenario: Ein ambulanter Pflegedienst möchte Gesprächsnotizen zusammenfassen und Dokumentationsentwürfe vorbereiten lassen. Gesundheitsdaten sind besonders geschützt. Der Dienst entscheidet sich für einen gemieteten GPU-Server in Deutschland mit offenem Modell, Zugriff nur über die zentrale Anmeldung, keine Speicherung der Eingaben über den Arbeitstag hinaus und eine Datenschutz-Folgenabschätzung vor dem Start.

Fragen an jeden KI-Hosting-Anbieter

1. In welchem Land und Rechenzentrum wird verarbeitet – auch Datensicherungen?
2. Unterliegt der Anbieter oder eine Muttergesellschaft dem Recht eines Drittstaats?
3. Werden Eingaben gespeichert, protokolliert oder zum Training verwendet?
4. Welche Unterauftragnehmer sind beteiligt?
5. Welche Modelle sind verfügbar und wie lange werden sie angeboten?
6. Wie werden Sicherheitsvorfälle gemeldet?

Dokumentation nicht vergessen

Zum datenschutzkonformen Betrieb gehören ein Eintrag im Verzeichnis der Verarbeitungstätigkeiten, aktualisierte Datenschutzhinweise, ein Rechte- und Löschkonzept und – bei sensiblen Daten – eine Datenschutz-Folgenabschätzung. Ihre Datenschutzbeauftragten sollten früh eingebunden werden.

Kosten und Förderung

Die Kosten für DSGVO-konformes KI-Hosting setzen sich aus drei Teilen zusammen: Einrichtung (Planung, Installation, Anbindung, Tests), laufender Betrieb (Server oder Hosting, Updates, Überwachung, Datensicherung) und Begleitung der Mitarbeitenden (Schulung, Regeln, Ansprechpartner). Feste Preise nennen wir nicht, weil Umfang und Ausgangslage stark variieren. Die Software selbst verursacht bei Open-Source-Lösungen keine Lizenzkosten.

Gefördert wird nicht die Technik, sondern die Beratung und begleitete Einführung: Über das INQA-Coaching übernimmt der Bund bundesweit 80 % der Coachingkosten (bis zu 11.520 €, Schecks bis 30.06.2028). Eine vorgelagerte Analyse lässt sich über die BAFA-Beratungsförderung bezuschussen – mit 80 % in den neuen Bundesländern, Lüneburg und Trier, sonst 50 %, für Anträge bis 31.12.2026. Für Investitionen bieten manche Länder eigene Programme – siehe Fördermöglichkeiten für Unternehmen in Deutschland.

Häufig gestellte Fragen

Wo kann ich KI-Modelle DSGVO-konform hosten?

Auf eigener Hardware, auf gemieteten GPU-Servern in deutschen Rechenzentren oder über Modell-Dienste deutscher bzw. europäischer Cloud-Anbieter wie STACKIT oder IONOS – jeweils mit Auftragsverarbeitungsvertrag und klarem Zugriffskonzept.

Ist ein deutscher Serverstandort automatisch DSGVO-konform?

Nein. Der Standort vereinfacht vieles, aber es braucht weiterhin einen AVV, Rechte- und Löschkonzepte, Dokumentation und gegebenenfalls eine Datenschutz-Folgenabschätzung.

Was ist günstiger: eigener Server oder Modell-Dienst?

Bei geringer oder schwankender Nutzung meist der Modell-Dienst, weil nur die tatsächliche Nutzung bezahlt wird. Bei dauerhaft hoher Nutzung kann sich ein eigener oder gemieteter Server rechnen.

Kann ich bestehende KI-Werkzeuge auf einen deutschen Anbieter umstellen?

Oft ja, wenn das Werkzeug mit der OpenAI-kompatiblen Schnittstelle arbeitet. Dann genügt häufig die Änderung von Adresse und Zugangsschlüssel.

Stand: Oktober 2026. Modelle, Versionen und Lizenzen ändern sich schnell – prüfen Sie vor einer Entscheidung die aktuelle Lizenz beim Anbieter.