Eigener Server oder geteilte Umgebung: was der Datenschutz verlangt

Zwei Schichten, die ständig verwechselt werden

Das Modell selbst hat kein Gedächtnis. Es bekommt Text, es gibt Text zurück. Zwischen zwei Anfragen bleibt nichts zurück, und Kunde A kann über das Modell nicht an Daten von Kunde B gelangen. Diese Schicht ist unkritisch, und sie ist die, über die am meisten geredet wird.

Die Daten drumherum sind das eigentliche Thema: hochgeladene Dokumente, die durchsuchbare Wissensbasis, gespeicherte Verläufe, Nutzerkonten. Dort liegt die Trennarbeit, und dort entscheidet sich, ob eine Umgebung sauber ist.

Drei Trennungsstufen

Wir starten bei Stufe 1. Ein Inferenz-Server, davor pro Kunde ein eigener Stapel. Endet die Zusammenarbeit, werden Container und Datenträger gelöscht, fertig. Das ist sauber nachvollziehbar und im Zweifel vorführbar.

Entscheidend ist dabei eine Regel, die technisch unspektakulär klingt und praktisch alles ausmacht: keine gemeinsame Datenbank mit einer Kundenspalte, sondern getrennte Instanzen. Eine gemeinsame Tabelle mit einem Feld „Kunde“ ist eine Zeile Code von einem Datenabfluss entfernt. Getrennte Instanzen sind es nicht, und sie lassen sich einem Geschäftsführer in einem Satz erklären.

Die Rechtslage ist in allen drei Fällen dieselbe

Der Unterschied liegt im Versprechen, das man geben kann. Bei getrennten Containern lautet es: eine eigene, verschlüsselte Umgebung, getrennt von anderen Kunden. Beim eigenen Server: eine Maschine, auf der sonst niemand ist. Beides ist wahr. Nur das zweite ist deutlich teurer.

Deshalb gehört in jede Aufnahme die Frage, ob jemand von außen eine dedizierte Umgebung tatsächlich verlangt: eine Aufsicht, ein Auftraggeber, das Berufsrecht. Meistens lautet die Antwort nein, dann ist die geteilte Umgebung die richtige Wahl und die Diskussion beendet. Lautet sie ja, ist der Grund für das teurere Paket dokumentiert.

Was in dem Vertrag stehen muss

„Wir brauchen einen AV-Vertrag“ hilft niemandem weiter, solange nicht klar ist, was drinstehen muss. Die Punkte, an denen es in der Praxis hakt, sind diese:

• Gegenstand und Dauer der Verarbeitung, und zwar konkret. Nicht „KI-Dienstleistung“, sondern welche Daten zu welchem Zweck verarbeitet werden.
• Art der Daten und Kreis der Betroffenen. Bei einem Mailassistenten sind das auch Daten Dritter, nämlich der Absender, und das wird regelmäßig übersehen.
• Technische und organisatorische Maßnahmen. Hier gehört die Trennungsstufe hinein, in verständlichen Worten und nicht als Textbaustein.
• Unterauftragsverarbeiter. Wer den Server stellt, wer das Modell liefert, wo die Rechenzentren stehen. Vollständig, sonst ist der Vertrag wertlos.
• Löschung am Ende. Was gelöscht wird, wie, in welcher Frist und wie es bestätigt wird.
• Weisungsrechte und Meldewege bei einer Datenpanne.

Der vierte Punkt ist der, an dem Anbieter am häufigsten unvollständig sind. Wer ein Modell über eine fremde Schnittstelle anspricht, hat dort einen Unterauftragsverarbeiter, auch wenn das Wort im Angebot nicht vorkommt.

Was am Ende der Zusammenarbeit passiert

Der Punkt wird beim Verkauf selten besprochen und ist der, an dem sich die Trennungsstufe auszahlt.

Bei getrennten Instanzen ist das Ende ein abgeschlossener Vorgang: Container stoppen, Datenträger löschen, Zugänge entziehen, Bestätigung schreiben. Es gibt keine Suche nach Zeilen, die zu diesem Kunden gehören, weil nie welche vermischt wurden.

Bei einer gemeinsamen Datenbank mit einer Kundenspalte sieht das anders aus. Dann ist Löschen eine Abfrage, die jemand richtig formulieren muss, über alle Tabellen, Sicherungen und Verläufe hinweg. Genau deshalb ist die Entscheidung gegen die gemeinsame Tabelle keine Geschmacksfrage.

Wann ein Wechsel zwischen den Stufen sinnvoll ist

Die Stufe ist keine Einbahnstraße. Wer klein anfängt, kann später wechseln, und das ist meistens der richtige Weg: erst prüfen, ob der Anwendungsfall trägt, dann die Umgebung passend machen.

Ein Wechsel auf eine eigene Maschine lohnt aus zwei Gründen. Erstens, wenn jemand von außen es verlangt und schriftlich vorliegt. Zweitens, wenn die Last so groß wird, dass eine geteilte Umgebung die anderen Kunden bremst. Der zweite Fall ist bei mittelständischen Betrieben selten, aber er kommt vor, wenn viele Dokumente auf einmal verarbeitet werden.

Was kein Grund ist: ein besseres Gefühl. Dafür ist der Preisunterschied zu groß, und der Sicherheitsgewinn liegt nicht dort, wo er vermutet wird.

Was es kostet

Eine Rechnung, die viele Anbieter nicht offen machen: Wer Hardware zum Einkaufspreis weiterverkauft, verdient nichts und trägt trotzdem das gesamte Betriebsrisiko. Der Aufschlag bezahlt Überwachung, Aktualisierungen, Sicherung und die Antwort auf die Frage, wer erreichbar ist, wenn abends etwas steht. Genau das ist der Unterschied zwischen einem Mietserver und einem betriebenen System.

Häufige Fragen