Wo liegen die Daten? EU, USA und was dazwischen tatsächlich passiert

„Alles DSGVO-konform“ steht auf jeder Anbieterseite. Wo genau die Stimme erzeugt wird, steht nirgends. Hier steht es — einschließlich der Stelle, an der bei uns Daten die EU verlassen.

Auf fast jeder Anbieterseite steht ein Satz wie „DSGVO-konform“ oder „Server in Deutschland“. Beides kann stimmen und beides beantwortet die Frage nicht, um die es geht: **Welcher Dienst sieht welchen Teil des Gesprächs, und in welchem Land steht er?**

Wir beantworten sie hier für uns — einzeln, mit Ländern und einschließlich der Stelle, an der bei uns Daten die EU verlassen.

„Alles in der EU“ ist kein Satz über Technik. Es ist ein Satz über die Sorgfalt dessen, der ihn schreibt.

Ein Anruf besteht aus vier Schritten

Eine Telefon-KI ist kein einzelner Dienst, sondern eine Kette. Vier Glieder, und sie können in vier verschiedenen Ländern stehen.

1. **Die Leitung** — der Anruf kommt herein, über einen Telefonanbieter.
2. **Das Verstehen** — aus Gesprochenem wird Text (Spracherkennung).
3. **Das Denken** — aus dem Text wird eine Antwort (Sprachmodell).
4. **Das Sprechen** — aus der Antwort wird wieder Ton (Sprachausgabe).

Wie es bei uns aussieht

Vollständig, ohne Pauschalsatz:

• **Server und Datenbank** — Deutschland.
• **Telefonie** — deutscher Anbieter für die Rufnummern; für einen Teil der Wege ein internationaler Dienst.
• **Verstehen (Spracherkennung)** — Azure, EU-Region *(germanywestcentral)*.
• **Denken (Sprachmodell)** — Azure OpenAI, EU-Region.
• **Sprechen (Sprachausgabe)** — 🔴 **ein US-Anbieter.** Ein EU-Dienst steht als Rückfall bereit.

Deshalb lautet unser Satz seit Juli **„Gehostet in Deutschland, Sprachverständnis und KI-Verarbeitung in der EU“** — und nicht „alles in der EU“. Der Unterschied ist ein Glied der Kette, und es ist genau das, das man am wenigsten vermutet.

🔴 Was genau die EU verlässt

Hier wird es konkret, und das ist der eigentliche Grund für diesen Artikel.

**Nicht die Stimme des Anrufers.** Was der Anrufer sagt, geht an die Spracherkennung in der EU und bleibt dort. An den US-Dienst geht **der Satz, den der Assistent sagen will** — er wird dort in Ton verwandelt und kommt als Audio zurück.

Das klingt harmlos, bis man sich ansieht, welche Sätze das sind. Der wichtigste lautet bei uns wörtlich:

Was die EU verlässt, ist nicht der Mitschnitt. Es ist der Satz, in dem die Daten am dichtesten stehen.

**Bei jedem Gespräch mit Kontaktdaten geht Name, Rufnummer und Ort in einem Satz an einen US-Dienst.** Nicht als Panne, sondern weil die Rückbestätigung genau dafür da ist: Sie soll verhindern, dass eine verhörte Nummer in eine Notiz gerät.

Warum wir es überhaupt so gebaut haben

Die ehrliche Antwort ist keine technische Notwendigkeit, sondern eine Abwägung: **Die Stimme des US-Dienstes klingt besser und antwortet schneller.** Am Telefon zählt beides — eine halbe Sekunde Verzögerung hört jeder, und eine hölzerne Stimme lässt Anrufer auflegen.

Der EU-Dienst steht als Rückfall bereit und übernimmt, wenn der erste ausfällt. Er ist also nicht theoretisch — er läuft, nur nicht zuerst.

**Ob diese Abwägung richtig ist, kann man verschieden sehen.** Was nicht verhandelbar ist: sie muss dastehen. Ein Betrieb, der uns einsetzt, soll seinen Kunden gegenüber auskunftsfähig sein — und dafür braucht er diesen Absatz, nicht ein Siegel.

Was „Server in Deutschland“ wert ist

Es ist die häufigste Aussage in dieser Branche und die am leichtesten zu erfüllende: Ein Server steht dort, wo man ihn mietet, und das kostet dieselben zwanzig Euro in Frankfurt wie in Virginia.

**Sie sagt nichts über die Dienste, die auf ihm laufen.** Ein Server in Deutschland, der bei jedem Anruf drei US-Dienste aufruft, ist ein Server in Deutschland — und die Daten sind trotzdem drüben.

Der Standort des Servers ist die Angabe, die am leichtesten zu machen und am wenigsten wert ist.

Die Frage, die etwas trennt, lautet nicht „wo steht der Server“, sondern **„welche Dienste ruft er auf, und wo stehen die“**. Deshalb steht oben eine Liste mit vier Zeilen und nicht ein Satz.

Wie lange die Daten bleiben

Ein zweiter Punkt, der in Datenschutzerklärungen gern als „gesetzlich vorgeschrieben“ abgetan wird, obwohl er eine Entscheidung ist.

• **Der Gesprächstext** wird nach einer festen Frist gelöscht — er ist die Arbeitsgrundlage für die Notiz, nicht deren Archiv.
• **Die Notiz** bleibt beim Betrieb, so lange er sie braucht. Sie ist sein Kundenkontakt, nicht unserer.
• **Personenbezogene Angaben im Text** werden zusätzlich geschwärzt, bevor der Text lange liegt.
• **Bei einem Widerspruch** entfällt beides sofort.

Was NICHT passiert

• **Keine Audioaufnahme.** Es gibt keinen Mitschnitt des Gesprächs. Was verarbeitet wird, ist der Text, der beim Verstehen entsteht.
• **Kein Training mit Ihren Daten.** Die Dienste, die wir einsetzen, werden nicht mit den Gesprächen unserer Kunden trainiert.
• **Keine Weitergabe an Dritte** außer den genannten Dienstleistern — und die stehen oben, einzeln.
• **Kein Weiterreden bei Widerspruch.** Wer sagt, er wolle das nicht, beendet damit das Gespräch; das Notierte wird gelöscht.

Was offen ist — und das gehört genauso hierhin

**Ein anwaltlich geprüfter Auftragsverarbeitungsvertrag liegt noch nicht vor.** Wir arbeiten daran. Bis dahin steht hier nicht „AVV inklusive“ — ein Satz, den viele schreiben und den man sich zeigen lassen sollte.

🔴 **Das ist der unangenehmste Absatz dieser Seite, und er bleibt stehen, bis er nicht mehr stimmt.** Wer stattdessen ein Siegel möchte, ist bei uns heute falsch.

Was ein Betrieb seinen Kunden sagen kann

Der praktische Teil: Ein Handwerksbetrieb, der einen Telefonassistenten einsetzt, wird irgendwann gefragt — von einem Kunden, von einem Auftraggeber, in einer Ausschreibung. Drei Sätze genügen, und sie müssen stimmen.

• **„Es wird nichts aufgezeichnet.“** Kein Mitschnitt, nur der Text, der beim Verstehen entsteht.
• **„Verstehen und Verarbeiten laufen in der EU, die Sprachausgabe über einen US-Dienst.“** Genau so, ohne Abrundung.
• **„Wer nicht möchte, sagt es — dann ist das Gespräch beendet und das Notierte gelöscht.“** Das ist der Satz, der die meisten Bedenken erledigt.

**Der zweite ist der, den man am liebsten weglassen würde**, und genau er macht die anderen beiden glaubwürdig. Ein Betrieb, der ihn von sich aus sagt, wird selten weitergefragt.

Vier Fragen an jeden Anbieter

1. **Nennen Sie mir die vier Glieder einzeln** — Leitung, Verstehen, Denken, Sprechen — **mit Dienst und Land.** Wer das nicht in einer Mail beantworten kann, hat nie hingesehen.
2. **Wird das Gespräch aufgezeichnet?** „Zur Qualitätssicherung“ ist die Antwort, nach der man weiterfragt.
3. **Was passiert bei einem Widerspruch mitten im Gespräch?** Die richtige Antwort ist: beenden und löschen. Alles andere ist eine Diskussion mit dem Anrufer.
4. **Zeigen Sie mir den AVV.** Nicht: gibt es einen. Sondern: zeigen.

Wer diese vier Antworten hat, kann zwei Anbieter tatsächlich vergleichen — und merkt schnell, dass der Preis dabei die einfachste der Fragen ist.

Und eine fünfte, die nichts mit Technik zu tun hat: **Wie schnell antwortet der Anbieter auf diese Fragen?** Wer drei Tage braucht, um vier Dienstnamen zu nennen, hat sie nachgeschlagen. Wer sie aus dem Kopf beantwortet, hat die Kette gebaut.

Was der Assistent überhaupt über Ihre Kunden wissen darf: Ihre Kundenliste und der Assistent.

Und warum er sich im ersten Satz zu erkennen gibt: „Ich bin eine digitale Assistentin“.