KI-Anbieter und Datenstandort EU-Optionen im Vergleich.

„Daten in der EU“ bedeutet bei KI-Anbietern selten dasselbe. Stand Oktober 2026 bieten OpenAI, Google, Microsoft und Mistral echte EU-Optionen für Speicherung und Verarbeitung, allerdings fast immer nur in bestimmten Plänen, für bestimmte Modelle oder mit rund 10 % Aufpreis. Für Claude dokumentiert Anthropic EU-Verarbeitung nur über Amazon Bedrock oder Google Cloud, und xAI (inzwischen SpaceXAI) dokumentiert für Grok keinen EU-Endpunkt. Dieser Vergleich trennt drei Fragen, die oft vermischt werden: Wo liegen die Daten, wo rechnet das Modell, und wird mit Ihren Eingaben trainiert? Dazu kommt ein Zielkonflikt, der in Produktbeschreibungen selten auftaucht: Wer auf EU-Residenz besteht, bekommt oft ältere Modelle oder weniger Funktionen. Am Ende steht eine Checkliste für die Anbieterauswahl. Alle Angaben stammen aus der Dokumentation der Hersteller; Details ändern sich schnell.

Hinweis: Dieser Beitrag gibt den Rechts- und Steuerstand zum unten angegebenen Datum allgemein wieder. Er ist keine Rechts- oder Steuerberatung und ersetzt nicht die Prüfung Ihres Einzelfalls durch eine Rechtsanwältin, einen Rechtsanwalt, eine Steuerberaterin oder einen Steuerberater. Alle Angaben ohne Gewähr für Vollständigkeit und Aktualität.

Was bedeutet „Daten in der EU“ bei KI-Anbietern?

Wenn ein Anbieter mit „EU-Datenresidenz“ wirbt, kann er Unterschiedliches meinen. Für eine saubere Bewertung sollten Sie mindestens drei Ebenen auseinanderhalten:

• Speicherort (at rest): Wo liegen Chatverläufe, hochgeladene Dateien, Protokolle und Ergebnisse dauerhaft? Das ist die Ebene, die am häufigsten zugesagt wird.
• Verarbeitungsort (Inferenz): In welchem Rechenzentrum rechnet das Sprachmodell Ihre Anfrage? Auch wenn die Daten in Frankfurt gespeichert sind, kann die Berechnung in den USA stattfinden.
• Training: Werden Ihre Eingaben genutzt, um Modelle zu verbessern? Das hat mit dem Standort nichts zu tun, ist für den Datenschutz aber oft wichtiger.

Dazu kommen zwei Ebenen, die in Marketingtexten fast nie auftauchen. Erstens die Verwaltungsebene: Kontodaten, Abrechnung und Betriebsmetadaten werden häufig zentral verarbeitet, auch wenn die Inferenz regional läuft. Mistral schreibt das in seiner Dokumentation ausdrücklich dazu. Zweitens die Werkzeuge: Websuche, Code-Ausführung oder Dateiablage sind oft von der Regionszusage ausgenommen. Sobald ein Assistent im Web sucht, kann zumindest die Suchanfrage die gewählte Region verlassen.

Für die Praxis heißt das: Fragen Sie nicht „Haben Sie EU-Hosting?“, sondern „Welche Daten, welche Verarbeitungsschritte und welche Funktionen bleiben in welcher Region, und was ist ausgenommen?“

Vergleichstabelle: ChatGPT, Claude, Gemini, Copilot, Grok und Mistral.

Die Tabelle fasst zusammen, was die Hersteller Stand Oktober 2026 dokumentieren. Sie zeigt Möglichkeiten, keine Konformitätsbewertung. Entscheidend ist immer der konkrete Vertrag und die konkrete Konfiguration.

Beim Training unterscheiden sich vor allem private und geschäftliche Konten. OpenAI nutzt API-Daten laut Dokumentation nicht zum Training, solange Sie nicht ausdrücklich zustimmen; ChatGPT Business und Enterprise trainieren standardmäßig nicht. Anthropic nimmt kommerzielle Verträge (Team, Enterprise, API) vom Training aus. Google sagt für Workspace zu, Inhalte außerhalb Ihrer Domain nicht ohne Erlaubnis zum Training zu verwenden. Microsoft nutzt Prompts, Antworten und Graph-Daten nicht für das Training von Basismodellen. xAI trainiert laut Sicherheits-FAQ nicht auf API-Daten ohne ausdrückliche Erlaubnis. Bei Mistral ist Vorsicht geboten: In den Standardplänen von Vibe (etwa Free und Pro) fließen Eingaben standardmäßig ins Training, bis Sie widersprechen; Enterprise-Kunden sind standardmäßig ausgenommen, für Studio und API sieht Mistral eine eigene Opt-out-Möglichkeit vor.

Die Details zu ChatGPT stehen im Artikel ChatGPT-Datenresidenz in der EU; Claude und Grok behandeln eigene Artikel, die unten verlinkt sind.

Der Zielkonflikt: EU-Region gegen neueste Modelle und Funktionen.

Der wichtigste Befund dieses Vergleichs steht in keiner Preisliste: EU-Residenz bedeutet oft, auf das Neueste zu verzichten. Neue Modelle starten meist zuerst in der globalen Infrastruktur und kommen erst später oder gar nicht in regionale Umgebungen.

Am deutlichsten dokumentiert das Google für Gemini Enterprise, die Agenten- und Suchplattform aus Google Cloud. In der EU-Multi-Region gilt laut Standort-Dokumentation (Stand 05.10.2026):

• Gemini 3.8 Flash, 3.7 Flash und 3.6 Flash sind nur in der Region „global“ verfügbar.
• Gemini 3.1 Pro wird in der EU weder für die Speicherung noch für die Verarbeitung unterstützt.
• Grounding mit der Google-Suche, also Antworten mit aktuellen Webquellen, gibt es nur global; die Variante Web Grounding for Enterprise wird dagegen auch in der EU-Multi-Region gespeichert und verarbeitet.
• Google selbst empfiehlt „global“, wenn keine Sicherheits- oder Regulierungsgründe dagegen sprechen, wegen schnellerer Antworten, neuester Modelle und Funktionen.

Anders sieht es auf der Entwicklerplattform aus: Über die Cloud-API von Google (früher Vertex AI, inzwischen Gemini Enterprise Agent Platform) führt Google Gemini 3.8 Flash auch in der EU-Multi-Region und in Frankfurt. Die Einschränkung betrifft also das fertige Produkt, nicht zwingend das Modell. Google weist dort allerdings darauf hin, dass ein Endpunkt allein noch keine Datenresidenz garantiert; maßgeblich ist die gesonderte Residenz-Dokumentation.

Ähnliche Muster bei den anderen: Der EU-Endpunkt von Mistral unterstützt keine Agents, keine Batch-Verarbeitung und keine Files-API, von den Werkzeugen nur Function Calling. Der US-Endpunkt von xAI bietet nur zwei Modelle, Websuche, X-Suche und Code-Ausführung fallen nicht unter die Zusage. Bei OpenAI werden unter anderem Vector Stores und Files nur regional gespeichert, aber nicht regional verarbeitet; außerdem setzt EU-Datenresidenz in der API eine vorherige Freigabe durch OpenAI voraus. Wer EU-Verarbeitung will, sollte deshalb vorab prüfen, ob die Funktionen, die den Nutzen ausmachen, in der Region überhaupt verfügbar sind.

Was kostet EU-Residenz?

Die Kosten entstehen auf zwei Wegen: als Aufschlag auf Nutzungspreise und als Planvoraussetzung.

Aufschläge in den APIs haben sich auf rund 10 % eingependelt:

• OpenAI: Regional-Processing-Endpunkte kosten 10 % mehr für Modelle, die am oder nach dem 05.03.2026 erschienen sind.
• Anthropic: Auf Bedrock und Google Cloud kosten regionale und Multi-Region-Endpunkte 10 % mehr als globale. In der eigenen API kostet die US-Bindung den Faktor 1,1; eine EU-Bindung gibt es dort nicht.
• Mistral: Regionale Endpunkte werden mit dem 1,1-fachen Listenpreis abgerechnet, für Ein- und Ausgabe-Tokens sowie Cache.
• xAI: Der US-Endpunkt kostet 10 % mehr; einen EU-Endpunkt gibt es nicht.

Rechenbeispiel: Ein Unternehmen verbraucht über die API Tokens im Wert von 3.000 USD im Monat. Mit EU-Verarbeitung kommen bei 10 % Aufschlag 300 USD pro Monat oder 3.600 USD pro Jahr hinzu. Das ist selten ausschlaggebend, gehört aber in die Kalkulation.

Planvoraussetzungen sind oft der größere Kostenfaktor. Bei ChatGPT ist Datenresidenz Enterprise- und Edu-Workspaces vorbehalten; Business reicht nicht. Bei der Gemini-App in Workspace gibt es Speicherung und Verarbeitung in der EU in Enterprise Plus und Frontline Plus; Education Plus und Education Standard erhalten nur die Speicherung in der Region (Google, 29.06.2026). Microsoft bietet über die EU-Datengrenze hinaus Advanced Data Residency und Multi-Geo als Zusatzangebote an. Wer nur wegen der Region in einen höheren Plan wechselt, zahlt im Ergebnis deutlich mehr als 10 %.

Sonderfälle: Fremdmodelle in Copilot und Claude über Cloud-Plattformen.

Anthropic-Modelle in Microsoft Copilot: Microsoft Copilot, bis vor Kurzem Microsoft 365 Copilot, ist laut Microsoft ein Dienst innerhalb der EU-Datengrenze; EU-Datenverkehr bleibt dort. Für Claude-Modelle im Copilot-Umfeld gilt das ausdrücklich nicht. Sie sind von der EU-Datengrenze und von Zusagen zur Verarbeitung im jeweiligen Land ausgenommen und deshalb in EU, EFTA und Großbritannien standardmäßig ausgeschaltet. Schaltet ein Administrator sie frei, gilt die Zusage der EU-Datengrenze für die betroffenen Anfragen nicht mehr. Modelle mit dem Zusatz „Data Retention“ sind überall standardmäßig aus und unterliegen den Bedingungen von Anthropic statt denen von Microsoft; Anthropic speichert die meisten Ein- und Ausgaben dann bis zu 30 Tage, bei Verdacht auf Richtlinienverstöße auch länger. Wer Copilot wegen der EU-Datengrenze gewählt hat, sollte diese Schalter bewusst setzen.

Länderverarbeitung bei Copilot: Microsoft hat im November 2025 angekündigt, die Verarbeitung von Copilot-Anfragen innerhalb einzelner Länder anzubieten, für Deutschland und die Schweiz im Laufe von 2026. Ob das für Ihren Tenant bereits gilt, sollten Sie im Admin Center oder beim Microsoft-Partner erfragen; ein verlässliches Startdatum für Deutschland war bis Anfang Oktober 2026 nicht dokumentiert.

Claude über Bedrock und Google Cloud: Anthropic selbst bietet in der eigenen API nur „global“ oder „us“ an. EU-Verarbeitung erreichen Sie über die regionalen Endpunkte von Amazon Bedrock oder Google Cloud. Laut Anthropic bleiben dort Speicherung und Modellverarbeitung in der gewählten Region; Vertragspartner und Abrechnungsstelle ist dann der Cloud-Anbieter. Für Unternehmen, die AWS oder Google Cloud ohnehin nutzen, ist das oft der einfachste Weg, weil bestehende Verträge und Rechtekonzepte weitergelten. Für die Chat-Oberfläche claude.ai dokumentiert Anthropic keine EU-Residenz.

Mistral als europäischer Anbieter: Laut Mistral liegen Daten standardmäßig in der EU, in den USA nur bei ausdrücklicher Nutzung des US-Endpunkts. Je nach Funktion können Daten aber vorübergehend an Unterauftragsverarbeiter außerhalb der EU gehen; Enterprise-Kunden können solche Funktionen auf Organisationsebene abschalten lassen. Die Modellauswahl unterscheidet sich zudem je Region, vor dem Produktiveinsatz sollten Sie das prüfen.

Grenzen: Datenstandort ersetzt keine DSGVO-Prüfung.

Ein EU-Rechenzentrum ist ein gutes Signal, aber kein Freifahrtschein. Diese Punkte bleiben unabhängig vom Standort offen:

• Auftragsverarbeitung: Ohne Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO hilft der beste Standort nichts. Private Konten von Mitarbeitenden sind dafür in der Regel ungeeignet.
• Unterauftragsverarbeiter: Auch EU-Anbieter übertragen für einzelne Funktionen Daten in Drittländer. Mistral nennt solche Übermittlungen ausdrücklich und verweist auf Standardvertragsklauseln.
• Konzernstruktur: Ein EU-Rechenzentrum eines US-Konzerns bleibt Teil eines US-Unternehmens. Wie Sie das im Rahmen des EU-US-Datenschutzrahmens und Ihrer Risikoanalyse bewerten, gehört in die Hände Ihrer Datenschutzbeauftragten.
• Aufbewahrung und Missbrauchsprüfung: Viele Anbieter speichern Anfragen für eine begrenzte Zeit zur Missbrauchserkennung. Wie lange, und ob Zero Data Retention möglich ist, steht in den Verträgen, nicht auf der Standortseite.
• Zugriffsrechte: Copilot oder Gemini sehen alles, worauf ein Nutzer Zugriff hat. Zu weit geöffnete Freigaben sind ein größeres Risiko als die Rechenzentrumsregion.
• Vorschaufunktionen: Beta- und Preview-Funktionen sind häufig von Residenzzusagen ausgenommen.

Für besonders sensible Daten reicht die EU-Option eines großen Anbieters manchmal nicht. Dann lohnt ein Blick auf souveräne Hoster oder selbst betriebene Modelle, wie im Artikel Daten in der EU halten beschrieben. Ob eine Lösung im Einzelfall den Anforderungen genügt, klären Sie am besten mit Ihrem Datenschutzbeauftragten oder einem Anwalt.

Checkliste: So wählen Sie den passenden KI-Anbieter.

Für die Anbieterwahl empfiehlt sich eine feste Reihenfolge. Sie passt für ein Zehn-Personen-Büro ebenso wie für eine größere IT-Abteilung:

1. Daten klassifizieren: Welche Informationen sollen in die KI? Öffentliche Texte, interne Dokumente, personenbezogene Daten, Geschäftsgeheimnisse? Erst daraus folgt, wie streng der Standort sein muss.
2. Ebenen getrennt abfragen: Speicherort, Inferenzort, Training, Verwaltungsdaten und Werkzeuge einzeln klären und schriftlich bestätigen lassen.
3. Funktionen gegen Region prüfen: Die Modelle und Funktionen, die Sie wirklich brauchen (Websuche, Agenten, Dateiablage, neueste Modelle), müssen in der EU-Konfiguration verfügbar sein.
4. Plan und Kosten rechnen: Aufschläge von rund 10 % und notwendige Planwechsel in die Kalkulation aufnehmen.
5. Fremdmodelle steuern: In Copilot und ähnlichen Plattformen festlegen, welche Modelle außerhalb der EU-Grenze zugelassen sind.
6. Vertrag prüfen: AVV, Liste der Unterauftragsverarbeiter, Aufbewahrungsfristen, Opt-out vom Training und Löschfristen dokumentieren.
7. Zugriff und Schulung regeln: Berechtigungen bereinigen, private Konten untersagen und Mitarbeitende schulen, was in welches Werkzeug darf.
8. Regelmäßig nachprüfen: Regionen, Modelle und Bedingungen ändern sich im Monatstakt. Ein halbjährlicher Blick in die Dokumentation zeigt Änderungen, bevor sie im Betrieb auffallen.

Wie ich solche Auswahlprozesse begleite, beschreibt die Seite zur KI-Beratung.

Häufige Fragen.

Welcher KI-Anbieter speichert und verarbeitet Daten in der EU?

Stand Oktober 2026 bieten OpenAI (API mit Regional Processing, Datenresidenz in ChatGPT Enterprise und Edu), Google (Gemini-App in Workspace Enterprise Plus, Gemini Enterprise eingeschränkt), Microsoft (Copilot innerhalb der EU-Datengrenze) und Mistral (EU-Endpunkt) EU-Speicherung und EU-Verarbeitung an. Für Claude dokumentiert Anthropic EU-Verarbeitung nur über Amazon Bedrock oder Google Cloud. Für Grok dokumentiert xAI keinen EU-Endpunkt.

Kostet EU-Datenresidenz bei KI-Anbietern mehr?

Häufig ja. OpenAI berechnet 10 % Aufschlag für Regional Processing bei Modellen ab dem 05.03.2026, Mistral 10 % für regionale Endpunkte, und Claude kostet auf Bedrock und Google Cloud an regionalen Endpunkten 10 % mehr als global. Oft teurer ist der nötige Planwechsel, etwa von ChatGPT Business auf Enterprise oder zu Workspace Enterprise Plus.

Ist ein KI-Tool mit EU-Rechenzentrum automatisch DSGVO-konform?

Nein. Der Standort ist nur ein Kriterium. Entscheidend sind außerdem ein Auftragsverarbeitungsvertrag, die Liste der Unterauftragsverarbeiter, Aufbewahrungsfristen, die Frage nach Training mit Ihren Daten, Zugriffsrechte und ausgenommene Funktionen wie die Websuche. Ob eine Lösung im Einzelfall ausreicht, sollten Datenschutzbeauftragte oder ein Anwalt bewerten.

Warum fehlen in der EU-Region manche Gemini-Modelle?

Google stellt neue Modelle in Gemini Enterprise zuerst in der globalen Region bereit. Stand Oktober 2026 sind Gemini 3.8, 3.7 und 3.6 Flash dort nur global verfügbar, Gemini 3.1 Pro wird in der EU nicht unterstützt, und Grounding mit der Google-Suche läuft nur global. Google empfiehlt die globale Region, wenn keine regulatorischen Gründe dagegen sprechen.

Bleiben Claude-Anfragen in Microsoft Copilot in der EU?

Das ist nicht zugesagt. Microsoft nimmt Anthropic-Modelle in Copilot ausdrücklich von der EU-Datengrenze und von Zusagen zur Länderverarbeitung aus. Deshalb sind sie für Organisationen in EU, EFTA und Großbritannien standardmäßig ausgeschaltet. Administratoren können sie freischalten, sollten das aber bewusst und nur für passende Nutzergruppen tun.

Quellen und Stand.

• Gemini Enterprise locations — Google Cloud
• Gemini Enterprise Agent Platform locations — Google Cloud
• Data regions support for the Gemini app — Google Workspace Updates
• Data, Privacy, and Security for Microsoft Copilot — Microsoft Learn
• Anthropic models in Microsoft Online Services — Microsoft Learn
• Pricing (Data residency, Cloud platform pricing) — Anthropic
• API Pricing (Regional processing) — OpenAI
• Regional endpoints — xAI (SpaceXAI)
• Regional inference — Mistral AI
• Where do you store my data or my Organization's data? — Mistral AI

Stand: 7. Oktober 2026. Produkte, Funktionen und Preise ändern sich schnell; maßgeblich sind die Angaben der Anbieter und Behörden.

Sie wollen KI-Anbieter nach Datenstandort, Vertrag und Funktionen vergleichen, bevor Ihr Team loslegt? Unverbindlich anfragen — wir klären Ihre Anwendungsfälle, ordnen die Anbieter ein und planen die Einführung mit klaren Regeln. Mehr zu meinem Angebot: KI-Workshops für Unternehmen und KI-Beratung.