Internationaler Datenverkehr bei KI-Projekten

Regelungsbereich und betroffene Unternehmen

Internationaler Datenverkehr entsteht, wenn personenbezogene Daten aus der EU an Empfänger in Drittländern oder internationale Organisationen übermittelt werden. Innerhalb der EU gilt durch die DSGVO ein einheitliches Datenschutzniveau; bei Übermittlungen in Drittländer müssen Unternehmen zusätzlich sicherstellen, dass dieses Schutzniveau nicht untergraben wird (WKO o. J.).

Für KI-Projekte ist das besonders relevant, weil viele Tools, Modellanbieter, Cloud-Dienste, Supportprozesse oder Analysefunktionen Daten über mehrere Länder und Unterauftragsverarbeiter verarbeiten können. Entscheidend ist daher nicht nur der Serverstandort, sondern die gesamte Verarbeitungskette: Anbieterrolle, Unterauftragsverarbeiter, Zugriffsmöglichkeiten, Weiterübermittlungen und Vertragsgrundlagen (WKO o. J.; Niessner 2026).

Konkrete Pflichten und Prüfpunkte

Prüfen Sie zuerst, ob die geplante Verarbeitung in der EU selbst DSGVO-konform ist. Ein Drittlandtransfer wird nicht dadurch zulässig, dass ein Anbieter Standardklauseln anbietet; die Grundfragen bleiben Rechtfertigungsgrund, Zweckbindung, Datenminimierung, Informationspflichten, Betroffenenrechte und Sicherheit (WKO o. J.).

Als nächstes prüfen Sie die Transfergrundlage. Ein Angemessenheitsbeschluss der EU-Kommission erlaubt Datenübermittlungen ohne besondere Genehmigung der Aufsichtsbehörde. Die WKO nennt unter anderem Andorra, Argentinien, Japan, Kanada, Neuseeland, Schweiz, Südkorea, Uruguay, das Vereinigte Königreich und seit 10. Juli 2023 wieder die USA über das EU-US Data Privacy Framework als Staaten beziehungsweise Rahmen mit Angemessenheitsbezug (WKO o. J.).

Die USA bleiben ein Sonderfall. Personenbezogene Daten dürfen auf Basis des EU-US Data Privacy Framework nur an jene US-Unternehmen übermittelt werden, die sich selbst zertifiziert haben und in der Data Privacy Framework List des US Department of Commerce eingetragen sind. Für KI-Tool-Auswahl heißt das: Nicht „US-Anbieter“ genügt, sondern das konkrete Unternehmen und die konkrete Dienstleistung müssen geprüft werden (WKO o. J.).

Wenn kein Angemessenheitsbeschluss greift, kommen geeignete Garantien in Betracht. Dazu zählen insbesondere Binding Corporate Rules und die neuen Standarddatenschutzklauseln der EU-Kommission. Die alten Standardvertragsklauseln konnten laut WKO nur bis 27. Dezember 2022 herangezogen werden; Unternehmen sollten daher bei älteren KI-, SaaS- oder Cloud-Verträgen prüfen, ob aktuelle Klauseln verwendet werden (WKO o. J.).

Nach der EuGH-Rechtsprechung reicht es nicht, Standarddatenschutzklauseln mechanisch zu unterschreiben. Verantwortliche oder Auftragsverarbeiter müssen im Einzelfall prüfen, ob Recht oder Praxis des Drittlands die Wirksamkeit der Garantien beeinträchtigen. Falls das Schutzniveau nicht gleichwertig ist, müssen zusätzliche Sicherheitsgarantien umgesetzt werden oder die Übermittlung darf nicht stattfinden (WKO o. J.).

Typische Risiken und Praxisfehler

Ein häufiger Fehler besteht darin, den Standort „EU-Rechenzentrum“ mit einem vollständig europäischen Datenfluss gleichzusetzen. Bei internationalen Anbietern können Supportzugriffe, Unterauftragsverarbeiter, Konzernstrukturen, Telemetrie oder Weiterübermittlungen trotzdem Drittlandbezug auslösen. Deshalb gehört der internationale Datenverkehr in jede Anbieterprüfung und in jedes Verzeichnis von Verarbeitungstätigkeiten (WKO o. J.).

Ein zweiter blinder Fleck betrifft Ausnahmefälle. Art. 49 DSGVO erlaubt bestimmte Übermittlungen etwa bei ausdrücklicher Einwilligung nach Risikohinweis, Vertragserfüllung, Rechtsansprüchen, lebenswichtigen Interessen oder wichtigem öffentlichen Interesse. Für den laufenden Einsatz von KI-Tools im Unternehmen eignen sich diese Ausnahmen aber nicht als Standardlösung, weil sie eng auszulegen sind und teils zusätzliche Informations- oder Meldepflichten auslösen (WKO o. J.).

Praktisch sollten Unternehmen bei KI-Tools vier Dinge dokumentieren: Welche personenbezogenen Daten fließen in das Tool? In welche Länder und an welche Empfänger können sie gelangen? Welche Transfergrundlage gilt? Welche zusätzlichen technischen, organisatorischen oder vertraglichen Schutzmaßnahmen greifen? Diese Dokumentation hilft auch bei Datenschutzinformationen, Auftragsverarbeiterprüfung, Audits und internen KI-Guidelines (WKO o. J.; Illibauer 2026).

Stand der Einordnung

Diese Seite fasst die WKO-Information zum internationalen Datenverkehr nach DSGVO für KI-Projekte zusammen. Stand der Wiki-Einordnung: 2026-05-15. Die WKO verweist für Drittlandübermittlungen auf Art. 44 bis 49 DSGVO, Erwägungsgründe 101 bis 115, Angemessenheitsbeschlüsse, EU-US Data Privacy Framework, Standarddatenschutzklauseln und ein Prüfschema zum internationalen Datenverkehr (WKO o. J.).