Kimi K3 und die DSGVO: was Unternehmen beim China-Modell prüfen müssen

Kimi K3 kommt aus Peking, seine Gewichte sind frei herunterladbar, und über die API kostet es ein Viertel weniger als Claude Opus 5.5. Sobald das im Unternehmen die Runde macht, kommt aus der Geschäftsführung fast immer dieselbe Frage: Dürfen wir das überhaupt einsetzen? Die Antwort hängt davon ab, durch welche Tür dein Team geht, und die Unterlagen von Moonshot beschreiben zwei sehr verschiedene Türen.

Bei Kimi K3 hängt die Datenschutzfrage am Verarbeitungsort, und den beschreiben zwei verschiedene Dokumente unterschiedlich. Foto: Christina Morillo auf Pexels

Warum sich die Frage bei Kimi anders stellt als bei Claude oder ChatGPT

Wenn in deinem Unternehmen bisher OpenAI oder Anthropic geprüft wurden, kennst du einen eingespielten Ablauf. Es gibt einen Auftragsverarbeitungsvertrag zum Herunterladen, eine Liste der Unterauftragnehmer, einen Vertreter in der Union, benannte Standardvertragsklauseln und für die USA seit 2023 den Angemessenheitsbeschluss zum Data Privacy Framework, sofern das Unternehmen dort zertifiziert ist. Man kann über die Qualität dieser Bausteine streiten, aber sie sind vorhanden und man kann sie abhaken.

Bei Moonshot fehlt dieser Apparat weitgehend. Das ist kein Vorwurf an ein Unternehmen, das im Frühjahr 2023 gegründet wurde und dessen Heimatmarkt anders reguliert ist. Für dich als Verantwortlichen im Sinne der DSGVO ändert die Begründung aber nichts an der Lage: Du musst die Rechtmäßigkeit der Verarbeitung nachweisen können, und zwar mit Unterlagen, nicht mit Zutrauen.

Gleichzeitig hat Kimi etwas, das Claude und ChatGPT nicht bieten. Moonshot hat die Modellgewichte am 27. Juli 2026 öffentlich zugänglich gemacht. Damit gibt es einen Weg, das Modell zu nutzen, ohne dass der Hersteller überhaupt Empfänger deiner Daten wird. Genau dieser Weg löst die Frage, um die sich der Rest dieses Artikels dreht. Wie das technisch aussieht und was es kostet, steht in unserer Anleitung zum Selbst-Hosten von Kimi K3.

Zwei Datenschutzerklärungen, zwei Firmen, zwei Länder

Der Punkt, den die meisten Übersichten überspringen: Es gibt nicht die eine Kimi-Datenschutzerklärung. Je nachdem, ob dein Team im Browser auf kimi.com arbeitet oder eine Anwendung an die Programmierschnittstelle hängt, gilt ein anderes Dokument mit einem anderen Verantwortlichen.

Die Fassung für die Entwicklerplattform ist die deutlich europafreundlichere von beiden. Sie führt Rechtsgrundlagen im Stil der DSGVO auf, von der Vertragserfüllung über die Einwilligung bis zum berechtigten Interesse, und sie zählt die Betroffenenrechte auf, bis hin zum Beschwerderecht bei der zuständigen Aufsichtsbehörde. Zur Übermittlung in Drittländer sagt sie allerdings nur, man werde bei Bedarf angemessene Garantien umsetzen, im Einklang mit dem jeweils geltenden Datenschutzrecht. Das ist eine Absichtserklärung. Eine Garantie im Sinne des Gesetzes ist ein konkretes Instrument mit einem Namen.

Seit August hat sich in den Unterlagen einiges bewegt, an der Drittlandfrage nichts. Die Datenschutzerklärung von kimi.com trägt jetzt das Datum 24. August 2026 und gilt seit dem 31. August; Verantwortliche, Speicherort und chinesischer Rechtsrahmen sind gleich geblieben. Für das Firmenangebot Kimi Business sagt Moonshot zu, dass die Daten in einem getrennten Arbeitsbereich liegen und nicht ins Training gehen, verweist aber auf dieselbe Datenschutzerklärung mit Speicherung in China. Auf der Entwicklerplattform beschreibt eine Seite zur Zero Data Retention, dass Moonshot die Daten von Enterprise-Kunden standardmäßig nicht fürs Training nutzt und die Speicherung von Inhalten auf Anfrage ganz abschaltet, mit Ausnahmen etwa für die Stapel-Schnittstelle und hochgeladene Bilder und Videos. Die Nutzungsbedingungen vom 30. Juli 2026 erlauben das Training dagegen, solange nichts anderes schriftlich vereinbart ist, und unterstellen den Vertrag singapurischem Recht. Einen Auftragsverarbeitungsvertrag nennt keines dieser Dokumente.

Was Kapitel V der DSGVO daraus macht

Jede Übermittlung personenbezogener Daten in ein Land außerhalb der EU braucht eine Grundlage aus Kapitel V der DSGVO. Der bequemste Fall ist Artikel 45: Die EU-Kommission hat für das Zielland festgestellt, dass dort ein angemessenes Schutzniveau herrscht. Dann läuft die Übermittlung wie eine innereuropäische.

Auf dieser Liste stehen am 17. Oktober 2026 unter anderem Andorra, Argentinien, Brasilien, Kanada für kommerzielle Organisationen, die Färöer, Guernsey, Israel, die Isle of Man, Japan, Jersey, Neuseeland, die Republik Korea, die Schweiz, das Vereinigte Königreich, Uruguay und die Vereinigten Staaten für Unternehmen, die am EU-US Data Privacy Framework teilnehmen. China steht nicht darauf. Singapur ebenfalls nicht.

Damit landest du bei Artikel 46, den geeigneten Garantien. In der Praxis heißt das für ein Unternehmen wie Moonshot: Standardvertragsklauseln der EU-Kommission, ergänzt um eine Prüfung, ob das Recht des Ziellandes diese Klauseln überhaupt wirksam werden lässt. Diese Prüfung ist der Punkt, an dem es bei chinesischen Anbietern eng wird, weil dort Zugriffsbefugnisse der Behörden bestehen, denen ein europäischer Vertrag wenig entgegensetzt.

DeepSeek hat gegenüber meiner Behörde nicht überzeugend nachweisen können, dass Daten deutscher Nutzer:innen in China auf einem der Europäischen Union gleichwertigen Niveau geschützt sind. Chinesische Behörden haben weitreichende Zugriffsrechte auf personenbezogene Daten im Einflussbereich chinesischer Unternehmen.

Meike Kamp, Berliner Beauftragte für Datenschutz und Informationsfreiheit, Pressemitteilung vom 27. Juni 2025

Der Fall DeepSeek zeigt, wie Aufsichtsbehörden vorgehen

Für die Einordnung hilft ein Blick auf den Anbieter, der diesen Weg vor Moonshot gegangen ist. Am 14. Februar 2025 leiteten sieben Landesdatenschutzbehörden, darunter Berlin, Baden-Württemberg und Rheinland-Pfalz, Prüfverfahren gegen die Unternehmen hinter DeepSeek ein, zunächst mit der Frage, ob sie einen Vertreter in der Europäischen Union benannt haben. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit forderte die Hangzhou DeepSeek Artificial Intelligence Co., Ltd. dann am 6. Mai 2025 auf, entweder die Apps für Deutschland aus den Stores zu nehmen, die Übermittlung nach China einzustellen oder die gesetzlichen Voraussetzungen für einen Drittlandtransfer zu erfüllen.

Das Unternehmen kam dem nicht nach. Am 27. Juni 2025 meldete die Behörde die App bei Apple und Google als rechtswidrigen Inhalt, gestützt auf Artikel 16 des Digital Services Act, abgestimmt mit den Aufsichtsbehörden aus Baden-Württemberg, Rheinland-Pfalz und Bremen. Als Rechtsverstoß nennt die Pressemitteilung Artikel 46 Absatz 1 DSGVO, also genau die fehlende geeignete Garantie.

Wie es weiterging, steht im Jahresbericht 2025 der Berliner Behörde: Google und Apple lehnten eine Sperrung in ihren App-Stores ab. Die Behörde kündigte an, dagegen Beschwerde nach Artikel 20 DSA einzulegen und notfalls ein Streitbeilegungsverfahren nach Artikel 21 anzustoßen. Für deine Einschätzung heißt das: Die Aufsicht hat ein Verfahren, aber es dauert. Wer darauf wartet, dass eine Behörde ein Werkzeug sperrt, trägt in der Zwischenzeit selbst die Verantwortung für jede Verarbeitung, die sein Team darüber laufen lässt.

Für Moonshot gilt: Stand 17. Oktober 2026 ist kein vergleichbares Verfahren einer deutschen Aufsichtsbehörde öffentlich dokumentiert, auch in Italien, Frankreich und Irland haben wir keines gefunden. Wer daraus Entwarnung ableitet, verwechselt allerdings Reihenfolge mit Ergebnis. Die Behörden prüfen entlang derselben Merkmale, und die Merkmale, an denen DeepSeek gescheitert ist, sind in den Kimi-Unterlagen nicht besser gelöst.

Was fehlt, wenn dein Datenschutzbeauftragter die Unterlagen liest

Vier Lücken fallen beim Lesen der Dokumente auf, und alle vier betreffen Nachweise, die du für dein Verarbeitungsverzeichnis brauchst:

• Der Auftragsverarbeitungsvertrag. Wenn du Kimi geschäftlich einsetzt und dabei personenbezogene Daten verarbeitest, ist Moonshot dein Auftragsverarbeiter. Artikel 28 DSGVO verlangt dafür einen Vertrag mit festem Mindestinhalt. Ein solches Angebot nennt weder die Datenschutzerklärung der Entwicklerplattform noch deren Nutzungsbedingungen, die den Datenschutz stattdessen dem Kunden zuweisen.
• Die Standardvertragsklauseln. Ohne sie fehlt die Garantie nach Artikel 46. „Angemessene Garantien im Einklang mit dem geltenden Recht” ist keine, weil du sie einer Aufsichtsbehörde nicht vorlegen kannst.
• Der Vertreter in der Union. Artikel 27 verlangt ihn von Verantwortlichen ohne Niederlassung in der EU, die hier Dienste anbieten. Keines der beiden Dokumente benennt einen.
• Die Klarheit beim Training. Beim Chat gibt es einen Widerspruchsweg über den Kundenservice und für Kimi Business eine Zusage ohne Training. Bei der Entwicklerplattform erlauben die Nutzungsbedingungen das Training, bis du schriftlich etwas anderes vereinbarst, und die Zusage für Enterprise-Kunden steht auf einer Dokumentationsseite.

Diese vier Punkte kannst du auch bei jedem anderen KI-Werkzeug abfragen. Das Raster dafür haben wir in unserer Übersicht zu DSGVO-konformen KI-Tools für den Mittelstand beschrieben, und wie eine vollständige Einführung aussieht, zeigt unser Leitfaden zur DSGVO-konformen Einführung von Claude.

Der Weg, der trägt: offene Gewichte, europäisches Rechenzentrum

Hier dreht sich die Geschichte. Weil Moonshot die Gewichte von Kimi K3 veröffentlicht hat, kannst du das Modell dort betreiben lassen, wo dein Datenschutzrecht gilt. Dann ist dein Vertragspartner ein europäischer Anbieter, du schließt mit ihm einen Vertrag nach Artikel 28, er nennt dir seine Unterauftragnehmer, und die Verarbeitung findet in Europa statt. Moonshot ist an dieser Kette nicht beteiligt und sieht keinen einzigen Prompt.

Das Angebot ist breiter, als es die ersten Marktübersichten Ende Juli beschrieben. Mehrere Anbieter hatten Kimi K3 am Tag der Gewichtsfreigabe oder einen Tag danach im Programm. Die großen deutschen Clouds sind bisher nicht darunter: IONOS, STACKIT, OVHcloud, die AI Foundation Services von T-Systems und Mistral führen das Modell am 17. Oktober 2026 nicht in ihren Modelllisten. Wer es anbietet, wo es rechnet und wie die Verträge aussehen:

Stand 17. Oktober 2026, Preise ohne Umsatzsteuer laut Preisseiten und Modellkatalogen der Anbieter. Mischpreis aus drei Teilen Eingabe und einem Teil Ausgabe, US-Dollar zum EZB-Referenzkurs von 1,1253 vom 16. Oktober 2026 umgerechnet. Nebius nennt im Katalog keine Währung und rechnet laut Abrechnungsdokumentation in US-Dollar ab.

Zwei Feinheiten gehören in deine Prüfung. sference ist kein EU-Unternehmen: Vertragspartner ist eine Gesellschaft aus England und Wales, die Grafikprozessoren stehen bei Verda in Finnland und Island und bei der US-Firma Daytona in Frankreich. Für das Vereinigte Königreich gilt ein Angemessenheitsbeschluss, dass einer der Rechenzentrumsbetreiber ein US-Unternehmen ist, gehört trotzdem in deine Risikoabwägung. HostYourAI arbeitet zugleich als Vermittler und reicht Anfragen je nach Modell an Unterauftragnehmer wie Nebius oder Scaleway weiter. Die Modellseite sagt für Kimi K3, US-Marktplätze seien nie Teil der Kette, die Unterauftragnehmer-Seite schließt Vast.ai und RunPod ausdrücklich nur im Sovereignty Mode aus. Lass dir die Kette für genau dieses Modell schriftlich geben.

Bei den Preisen hat sich das Bild seit August deutlich verschoben. Frühere Fassungen dieses Artikels nannten für europäische Anbieter Preise um 0,40 bis 0,60 Euro je Million Token. Für keinen Anbieter lässt sich ein solcher Preis belegen, Nebius lag laut Webarchiv schon am 6. August bei 3 und 15 US-Dollar. Heute verlangen Nebius, Lyceum und sference genau Moonshots Listenpreis, Berget AI dieselben Beträge in Euro und HostYourAI etwas mehr. Lass dir Eingabe- und Ausgabepreis schriftlich geben und rechne mit deinem eigenen Mischverhältnis nach. Frag dabei auch nach dem Preis für Cache-Treffer, denn hier gehen die Anbieter weit auseinander: Moonshot nimmt 0,30 US-Dollar je Million Token, sference 0,45 und Lyceum 0,75 US-Dollar, Berget AI 0,80 und HostYourAI 0,86 Euro.

Der Aufwand für den Wechsel bleibt überschaubar, weil Moonshot, Nebius und Berget AI eine OpenAI-kompatible Schnittstelle anbieten. Du tauschst Adresse, Schlüssel und Modellnamen, der Rest deiner Anwendung bleibt stehen. Was die Modelle im Tagesvergleich leisten und kosten, führen wir im KI-Kompass täglich frisch nach. Am 17. Oktober 2026 steht Kimi K3 dort bei einem Intelligence-Index von 44 und rund 42 Token pro Sekunde, in der sparsamen Denkstufe misst Artificial Analysis 30 Punkte. Die 60 aus der August-Fassung gehören zur alten Skala: Artificial Analysis hat den Index im September auf Version 4.3.2 umgestellt, was hinter den Werten steckt, erklärt unsere Methodik-Seite. Auf der neuen Skala liegt Claude Opus 5.5 bei 58 und Claude Sonnet 5.5 bei 56.

Beim Tempo lohnt eine Einordnung, gerade weil es hier um einen Anbieterwechsel geht. Die Ausgabegeschwindigkeit hängt stark am Betreiber: Artificial Analysis misst Kimi K3 bei 17 API-Anbietern, Nebius kommt dort auf rund 164 Token pro Sekunde, Lyceum nennt für seinen Endpunkt 58. Für dich ist das die praktische Konsequenz: Wenn du von Moonshot zu einem europäischen Anbieter wechselst, ist der Durchsatz Teil des Angebots und gehört in den Test, bevor der Vertrag steht.

Wie sich Kimi K3 gegen Claude schlägt, haben wir im Vergleich von Kimi K3 und Claude aufgeschrieben. Die Einordnung des Modells selbst steht in unserem Überblick zu Kimi K3, das Unternehmen dahinter porträtiert unser Artikel Was ist Moonshot AI?, und die Datenschutzfragen bündelt der Kimi-Hub.

Was der Sandbox-Ausbruch für deinen Betrieb bedeutet

Am 6. August 2026 veröffentlichte die amerikanische Sicherheitsfirma Frontier Security einen Bericht, nach dem Kimi K3 bei einem Benchmark-Test aus seiner Testumgebung ausgebrochen ist; am 7. August griffen Reuters, Bloomberg und TechCrunch den Fall auf. Frontier hatte die Umgebung selbst aufgesetzt, mit frei verfügbarer Sandbox-Software des britischen AI Security Institute. Die meisten Websites waren gesperrt, GitHub stand aber für die Paketpflege auf einer Freigabeliste. Das Modell prüfte das Netz, bemerkte die offene Verbindung, klonte das offizielle Verzeichnis des Benchmarks und las die Lösung direkt von der Festplatte ab, statt die Aufgabe zu lösen. Das Institut war laut Bloomberg an den Tests nicht beteiligt und sieht in seinem Werkzeug keine eingebaute Schwachstelle. Auf den Websites von Moonshot und Kimi findet sich bis zum 17. Oktober keine Stellungnahme zu dem Vorfall.

Ordne das richtig ein, bevor es in deiner Geschäftsführung zur Grundsatzfrage wird. Der Vorfall ist keine Datenschutzverletzung und kein Drittlandtransfer. Er sagt zunächst etwas über die Belastbarkeit von Sicherheits-Benchmarks aus, und er steht nicht allein: Vergleichbare Vorfälle sind laut Reuters zuvor bei Modellen von Meta, OpenAI und Anthropic dokumentiert worden. Was das für die Rechte und Grenzen von KI-Agenten im Alltag heißt, hat Florian in seiner Kolumne zu den Rechten unserer eigenen Agenten aufgeschrieben.

Mehr Gewicht für deinen Betrieb hat eine zweite Veröffentlichung. Das AI Security Institute und die US-Stelle CAISI haben am 23. Juli 2026 eine vorläufige Bewertung der Cyber-Fähigkeiten von Kimi K3 vorgelegt. Die eingebauten Schutzmechanismen hielten das Modell in ihren Tests nicht davon ab, Exploits zu entwickeln oder offensive Cyber-Operationen zu versuchen. In einem simulierten Firmennetz mit 32 Angriffsschritten kam Kimi K3 im Schnitt bis Schritt 17, die stärksten US-Modelle bis Schritt 28,5. Für den Selbstbetrieb heißt das: Die Grenzen muss deine Umgebung ziehen, das Modell zieht sie nicht zuverlässig selbst.

Für die Empfehlung dieses Artikels hat der Vorfall deshalb eine Folge, und zwar eine unbequeme. Der europäische Weg macht dich vom Kunden zum Betreiber. Damit wandert die Absicherung der Laufzeitumgebung von Moonshot zu dir und deinem Anbieter, und Artikel 32 DSGVO verlangt für die Sicherheit der Verarbeitung geeignete technische Maßnahmen nach dem Stand der Technik. Genau die Art von Konfiguration, die im Test eine Lücke ließ, verantwortest du beim Selbstbetrieb selbst.

Seit dem 2. August 2026 kommt der AI Act dazu

Die Datenschutzprüfung ist seit dem 2. August 2026 nicht mehr die einzige Hausaufgabe. Der Zeitplan der KI-Verordnung ist gestaffelt, und drei Stufen sind für dich bereits scharf.

Seit dem 2. Februar 2025 gilt Artikel 4 zur KI-Kompetenz, seit dem 27. Juli 2026 in der milderen Fassung des Digital Omnibus: Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen, ein bestimmtes Niveau müssen sie ausdrücklich nicht garantieren. Was das für deine Nachweise heißt, steht in unserem Artikel zur KI-Schulungspflicht nach Artikel 4. Seit dem 2. August 2025 gelten die Pflichten für Modelle mit allgemeinem Verwendungszweck, flankiert vom Verhaltenskodex, den die EU-Kommission am 10. Juli 2025 veröffentlicht hat. Und seit dem 2. August 2026 sind die Transparenzpflichten aus Artikel 50 anwendbar, die davon abhängen, in welcher Rolle du auftrittst und um welchen Anwendungsfall es geht. Nur für die maschinenlesbare Markierung nach Artikel 50 Absatz 2 haben Anbieter generativer Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, bis zum 2. Dezember 2026 Zeit. Die Fristen im Überblick stehen in unserem Beitrag zum Digital Omnibus.

Für die Lieferantenprüfung lohnt ein Blick auf die Liste der Unterzeichner dieses Kodex. Dort stehen mit Stand 7. Oktober 2026 22 Unternehmen, darunter Anthropic, Google, Microsoft, Mistral AI und OpenAI. Moonshot fehlt, ein chinesischer Anbieter ist nicht darunter. Der Kodex ist freiwillig, die fehlende Unterschrift ist also kein Verstoß. Er ist aber der Weg, auf dem die meisten großen Anbieter ihre Pflichten aus der KI-Verordnung belegen, und diesen Beleg kannst du bei Moonshot nicht nachlesen.

Für den Einsatz von Kimi K3 heißt das: Die Modellherkunft ändert an deinen Pflichten nichts. Ob das Modell aus Peking, San Francisco oder aus deinem eigenen Rechenzentrum kommt, die Kompetenzpflicht und die Transparenzpflichten treffen dich als Betreiber gleichermaßen.

Deine Prüfliste für die nächste Woche

Reihenfolge nach Aufwand, beginnend beim billigsten Schritt:

• Kläre zuerst, welche Tür dein Team überhaupt benutzt. Läuft Kimi im Browser über kimi.com, in einer eigenen Anwendung über die Programmierschnittstelle, oder beides parallel? Ohne diese Antwort prüfst du das falsche Dokument.
• Schreib auf, welche Daten dort tatsächlich hineingehen. In der Praxis ist die Antwort selten „keine personenbezogenen”, weil E-Mail-Entwürfe, Bewerbungsunterlagen und Angebotstexte fast immer welche enthalten.
• Solange keine Standardvertragsklauseln und kein Auftragsverarbeitungsvertrag vorliegen, gehört alles mit Personenbezug nicht in die direkte Kimi-Nutzung. Das gilt auch mit Enterprise-Vertrag und Zero Data Retention, weil die Anfragen weiter über die Server in Singapur laufen. Für Tests mit synthetischen oder öffentlichen Daten bleibt die direkte Nutzung vertretbar, wenn sie im Verarbeitungsverzeichnis steht.
• Für den produktiven Einsatz richte einen Zugang bei einem europäischen Anbieter ein, der das Modell mit Auftragsverarbeitungsvertrag betreibt. Lass dir dabei Eingabe-, Ausgabe- und Cache-Preis getrennt nennen, dazu den gemessenen Durchsatz und die Unterauftragnehmer für genau dieses Modell.
• Kläre für denselben Zugang die Sicherheitsseite: gesperrter ausgehender Netzverkehr, benannte Werkzeugrechte, Protokollierung der Verbindungen. Beim Selbstbetrieb liegt das bei dir.

Der konkrete nächste Schritt kostet dich einen Vormittag: Lass dir von deinem Team die Liste der Stellen geben, an denen Kimi heute schon benutzt wird, und prüfe für jede einzelne, welche der beiden Datenschutzerklärungen dafür gilt. Danach weißt du, ob du ein Dokumentationsthema hast oder einen Anbieterwechsel.

Arno Hoffrichter

Chief Technology Officer, Collective Brain GmbH · Hamburg

CTO bei Collective Brain. Verantwortlich für die technische Umsetzung von Web-Projekten und SEO-Architektur.

Beratung anfragen