Datensensible KI-Workflows: Welcher Tool-Stack für DACH-KMU?

Ein datensensibler KI-Stack ist die Summe der Werkzeuge, mit denen ein Unternehmen KI nutzt, ohne die Hoheit über seine Daten zu verlieren. Warum der Datenort rechtlich zählt und was das revidierte Datenschutzgesetz dazu sagt, haben wir im Beitrag zur Datensouveränität bei KI-Nutzung ausführlich eingeordnet. Hier wird es praktisch: Wir gehen Schicht für Schicht durch, woraus ein datensouveräner Stack für ein DACH-KMU besteht und welche Kriterien bei der Auswahl wirklich zählen. Das ist Orientierung, keine Rechtsberatung und keine Kaufempfehlung für ein bestimmtes Produkt.

Stand: Juli 2026. Anbieter, Tarife und lokale Modelle entwickeln sich schnell; prüfe die aktuellen Konditionen und Vertragszusagen direkt beim jeweiligen Anbieter.

Aus welchen Schichten besteht ein datensensibler KI-Stack?

Wir denken KI-Risiko in Schichten, weil die teuersten Fehler fast nie in der Modell-Schicht passieren, über die alle reden, sondern in den leisen Schichten daneben: in der Mail, in der Dateiablage, in der vergessenen Analytik. Wer nur das Chatfenster absichert und den Rest übersieht, hat das Gefühl von Kontrolle, nicht die Sache.

Wer nur das KI-Modell betrachtet, übersieht den grösseren Teil des Risikos. Daten fliessen an vielen Stellen, nicht nur im Chatfenster. Ein belastbarer Stack lässt sich in vier Schichten denken, die du getrennt bewerten kannst:

• Modell-Schicht: wo die eigentliche KI rechnet und wer den Anbieter kontrolliert
• Kommunikation und Ablage: Mail, Dateien und Notizen, in denen sensible Inhalte ohnehin liegen
• Eigene Infrastruktur: Website, Analytik und interne Systeme, die ebenfalls Daten sammeln
• Verträge und Regeln: die Governance, die festlegt, wer was mit welchem Tool darf

Die gute Nachricht: Du musst nicht jede Schicht perfekt absichern. Du musst nur wissen, welche Schicht welches Risiko trägt, und dort ansetzen, wo die sensibelsten Daten liegen.

Welche KI-Modell-Schicht passt zu welchem Schutzbedarf?

Nicht jede Aufgabe braucht dieselbe Vorsicht. Es hilft, drei Stufen zu unterscheiden und das Werkzeug nach dem Schutzbedarf der Daten zu wählen, nicht nach Bequemlichkeit.

• Unkritisch: öffentliche oder anonymisierte Inhalte. Hier ist auch ein gängiges Cloud-Tool vertretbar, solange keine Personendaten im Prompt stehen
• Sensibel: Kunden- oder Geschäftsdaten. Hier gehören Geschäftstarife mit europäischer Datenresidenz und der vertraglichen Zusage, Eingaben nicht zum Training zu nutzen. Mehrere grosse Anbieter werben inzwischen mit EU-Speicherung, doch prüfe die Jurisdiktion des Anbieters, nicht nur den Serverstandort
• Hochsensibel: Geheimnisse, Gesundheits- oder Personaldaten. Hier sind lokale Modelle auf eigener Hardware die sauberste Lösung, weil gar keine Daten nach aussen gehen

Den Training-Ausschluss solltest du nicht annehmen, sondern prüfen. Bei Geschäftstarifen steht meist in den Nutzungsbedingungen oder im Vertrag zur Auftragsbearbeitung, ob Eingaben zur Modellverbesserung verwendet werden. Fehlt die Aussage oder ist sie schwammig, gilt im Zweifel: keine Personendaten hineingeben.

Lokale Modelle, etwa über eine Laufzeitumgebung wie Ollama, sind heute auch für KMU greifbar. Der Preis sind Hardware und etwas Qualität: Kleinere Modelle erreichen bei anspruchsvollem Denken nicht das Niveau der grossen Cloud-Modelle. Für viele Teams ist die Mischung praktikabel, das Heikelste lokal, den Rest in einer geprüften europäischen Cloud. Wann sich der Verzicht auf die Cloud lohnt, zeigen wir im Detail im Beitrag zu lokalen KI-Modellen.

Woran erkennst du ein datensouveränes KI-Tool?

Marketing-Versprechen wie «sicher» oder «DSGVO-konform» sagen wenig. Belastbar sind nur überprüfbare Eigenschaften. Diese Kriterien helfen dir, Anbieter sachlich zu vergleichen, statt auf Schlagworte zu vertrauen:

• Datenort: Wo werden Eingaben gespeichert und verarbeitet, in Europa oder anderswo?
• Jurisdiktion: Welchem Recht untersteht der Anbieter, unabhängig vom Serverstandort?
• Training-Ausschluss: Ist vertraglich zugesichert, dass deine Eingaben nicht zum Modelltraining dienen?
• Auftragsbearbeitung: Gibt es einen Vertrag mit klarer Liste der beigezogenen Subunternehmer?
• Löschung und Aufbewahrung: Wie lange werden Daten gespeichert, und kannst du sie löschen lassen?
• Nachweise: Gibt es unabhängige Zertifizierungen oder Audits statt blosser Eigenwerbung?
• Kontrolle und Verfügbarkeit: Was passiert, wenn der Anbieter Zugang, Preise oder Bedingungen ändert oder den Dienst einstellt, und wie schnell kannst du wechseln?

Wie real dieses letzte Kriterium ist, hat zuletzt der Fable-5-Stopp gezeigt: Ein leistungsfähiges Modell, auf das sich Unternehmen verlassen hatten, wurde durch eine staatliche Exportkontroll-Anordnung für 19 Tage unzugänglich (Ende Juni wurde die Anordnung aufgehoben). Das Risiko bleibt: Wer einen Geschäftsprozess auf einen einzigen externen Anbieter baut, trägt es mit, unabhängig davon, wie gut der Anbieter mit Daten umgeht. Lokale Modelle sind auch hier die radikalste Antwort: Was auf deiner Hardware läuft, kann dir niemand abschalten.

Kein Anbieter erfüllt jedes Kriterium perfekt. Entscheidend ist, dass du die Antworten kennst und sie zum Schutzbedarf der Daten passen, die du dem Tool anvertraust.

Wie sicherst du Kommunikation und Ablage?

Die meisten sensiblen Daten entstehen gar nicht im KI-Tool, sondern in Mail und Dateiablage. Wer hier auf einen europäischen Anbieter setzt, reduziert das Risiko an der Quelle. Wir nutzen für unsere eigene Mail Proton, einen Anbieter mit Sitz in Genf, dessen Dienste Mail, Drive, Calendar und Pass nach eigenen Angaben Ende-zu-Ende verschlüsseln. Ausschlaggebend ist für uns die Jurisdiktion ausserhalb von US-Recht, nicht ein einzelnes Feature. Das heisst aber nicht, frei von jeder Rechtsanfrage zu sein: Auch ein Schweizer Anbieter unterliegt dem hiesigen Recht, die verschlüsselten Inhalte bleiben davon geschützt. Proton ist dabei eine von mehreren europäischen Optionen, nicht die einzige.

Wichtig ist, die Grenzen zu kennen. Ende-zu-Ende-Verschlüsselung schützt Inhalte, aber nicht alle Metadaten, und der Vorteil greift nicht automatisch, sobald du an Empfänger ausserhalb des Anbieters schreibst. Und sobald eine Cloud-KI Inhalte verarbeiten soll, ist echte Ende-zu-Ende-Verschlüsselung, von experimentellen Verfahren wie Confidential Computing abgesehen, ohnehin nicht möglich, weil der Server den Klartext sehen muss. Verschlüsselte Ablage und KI-Verarbeitung lösen also unterschiedliche Probleme. Worauf es dabei genau ankommt, haben wir in der Datensouveränitäts-Einordnung beschrieben.

Proton ist nur ein Beispiel. Die Kategorie heisst europäische, verschlüsselte Mail- und Ablage-Dienste, und es gibt mehrere Anbieter mit Sitz in der Schweiz oder der EU. Worauf du achtest, ist immer dasselbe: Standort, Jurisdiktion und ein Geschäftsmodell, das nicht auf der Auswertung deiner Inhalte beruht.

Was ist mit deiner eigenen Infrastruktur?

Auch deine Website und deine internen Systeme sammeln Daten. Wer Datensouveränität ernst nimmt, zieht die Linie konsequent:

• Hosting in der EU oder der Schweiz: Server bei einem europäischen Anbieter halten Website- und Anwendungsdaten in einer bekannten Rechtsordnung
• Cookielose, selbst gehostete Analytik (zum Beispiel Plausible oder Umami) misst Reichweite, ohne personenbezogene Profile aufzubauen oder Daten an Dritte abzugeben
• Datenminimierung als Standard: nur erheben und speichern, was wirklich gebraucht wird, und sensible Felder pseudonymisieren, bevor sie in irgendein Tool fliessen

Diese Bausteine kosten wenig und wirken doppelt: Sie senken das Risiko und machen es einfacher, gegenüber Kunden und Behörden zu belegen, dass du sorgfältig mit Daten umgehst. Wie wir das selbst handhaben, steht in unserer Datenschutzerklärung.

Welche Verträge und Regeln gehören dazu?

Technik allein genügt nicht. Ein datensouveräner Stack braucht eine dünne, aber klare Governance-Schicht, sonst entsteht über die Zeit ein Wildwuchs an Tools, den niemand mehr überblickt.

• Auftragsbearbeitung regeln: Bearbeitet ein Anbieter in deinem Auftrag Personendaten, braucht es eine vertragliche Grundlage, die Datensicherheit und beigezogene Subunternehmer abdeckt
• Eine einfache KI-Richtlinie: eine Seite, die festhält, welche Tools für welche Datenklasse erlaubt sind und was nie in ein externes Tool gehört
• Schulung gegen Schatten-KI: die meisten Lecks entstehen, weil Mitarbeitende private Gratis-Konten nutzen. Wer eine erlaubte, bequeme Alternative anbietet, verhindert das wirksamer als ein Verbot

Diese Regeln sind kein Bürokratie-Selbstzweck. Im Ernstfall, etwa bei der Anfrage einer betroffenen Person oder einer Datenpanne, entscheidet die Dokumentation darüber, ob du nachweisen kannst, dass du sorgfältig warst. Eine Seite Richtlinie und ein sauberer Vertrag sind dafür mehr wert als jedes Sicherheits-Siegel.

Wie ordnet sich das rechtlich in der DACH-Region ein?

Die Datenschutz-Anforderungen unterscheiden sich je nach Land, auch wenn die Grundidee dieselbe ist. In der Schweiz gilt das revidierte Datenschutzgesetz (revDSG). In Deutschland und der übrigen EU greift die Datenschutz-Grundverordnung (DSGVO), national ergänzt um das Bundesdatenschutzgesetz (BDSG). In Österreich gilt ebenfalls die DSGVO, ergänzt um das nationale Datenschutzgesetz (DSG). Welcher Rahmen für dich massgeblich ist, hängt von deinem Sitz und davon ab, wessen Daten du bearbeitest. Das ist eine Orientierung und keine Rechtsberatung: Für die verbindliche Beurteilung deines konkreten Falls ziehe eine Fachperson bei.

Wie sieht ein konkreter Stack für ein DACH-KMU aus?

Als Ausgangspunkt, nicht als Vorschrift, lässt sich ein pragmatischer Stack so zusammenstellen. Passe ihn an deinen tatsächlichen Schutzbedarf an:

Schicht	Empfehlung
Alltägliche KI-Aufgaben	Ein Geschäftstarif mit europäischer Datenresidenz und Trainings-Ausschluss
Hochsensible Aufgaben	Ein lokales Modell auf eigener Hardware
Mail und Ablage	Ein europäischer Anbieter mit Verschlüsselung, etwa Proton oder eine gleichwertige Alternative
Website und Analytik	EU- oder CH-Hosting plus cookielose, selbst gehostete Analytik
Governance	Vertrag zur Auftragsbearbeitung, eine einseitige KI-Richtlinie und eine kurze Schulung

Ein lokales Modell setzen wir gerade selbst auf, in Produktion läuft es noch nicht. Beim Hochsensiblen ist für uns genau das die richtige Schicht: Was auf eigener Hardware rechnet, gibt keine Daten nach aussen. Für ein deutschsprachiges KMU bietet sich ein kompaktes europäisches, deutschstarkes Modell wie Mistral Small 3.2 (24B) an, das über eine Laufzeitumgebung wie Ollama auf einer Workstation mit 24-GB-Grafikkarte oder einem Mac mit genügend Arbeitsspeicher läuft. Wer mehr Reasoning-Reserve braucht, schaut sich Qwen an, wer kleinere Hardware hat, Gemma. Entscheidend ist nicht der Modellname, der wechselt schnell, sondern drei Fragen: Kann es brauchbar Deutsch, passt es auf eure Hardware, und läuft es wirklich lokal? Bei lokaler Ausführung verlässt nichts das Gerät, deshalb spielt sogar die Herkunft der Gewichte für den Datenschutz keine Rolle.

Du musst diesen Stack nicht an einem Tag aufbauen. Beginne mit der Schicht, in der deine sensibelsten Daten liegen, und arbeite dich von dort vor.

Der häufigste Fehler ist das Denken in Alles oder nichts. Wer auf das perfekte, vollständig souveräne Tool wartet, nutzt am Ende doch wieder die schnelle Gratis-Lösung. Besser ist der schichtweise Aufbau: pro Datenklasse die passende Option, Schritt für Schritt.

Häufige Fragen

Brauche ich für jeden Fall ein lokales Modell?

Nein. Lokale Modelle lohnen sich für das Hochsensible, sind aber für viele Alltagsaufgaben überdimensioniert. Für den grössten Teil reicht ein Geschäftstarif mit europäischer Datenresidenz und Trainings-Ausschluss, kombiniert mit Datenminimierung.

Reicht ein EU-Tarif eines US-Anbieters aus?

Er hilft, ist aber nicht das Ende der Prüfung. Der Speicherort in Europa senkt das Risiko, doch unterliegt der Anbieter US-Recht, bleibt eine Restunsicherheit. Achte deshalb zusätzlich auf die Jurisdiktion und auf klare vertragliche Zusagen zu Datennutzung und Subunternehmern.

Kostet ein datensouveräner Stack mehr?

Teils. Geschäftstarife mit europäischer Datenresidenz kosten mehr als Gratis-Konten, und lokale Modelle brauchen Hardware. Die wirksamsten Bausteine sind aber günstig oder gratis: Datenminimierung, cookielose Analytik und eine klare Richtlinie. Der grösste Aufwand ist nicht Geld, sondern die Disziplin, den Stack konsequent zu nutzen.

Fazit

Ein datensouveräner KI-Stack ist kein einzelnes Produkt, sondern eine bewusste Auswahl über vier Schichten: Modell, Kommunikation, Infrastruktur und Governance. Du musst nicht alles auf einmal lösen. Wähle für jede Schicht die Option, die zum Schutzbedarf deiner Daten passt, und beginne dort, wo das Sensibelste liegt. So nutzt du KI mit vollem Tempo, ohne die Kontrolle abzugeben. Den rechtlichen Hintergrund dazu liefert unsere Einordnung zur Datensouveränität, die Grundlagen findest du in den KI-Grundlagen.