Am Freitagabend habe ich in unserem Verzeichnis der Verarbeitungstätigkeiten nachgesehen, was dort eigentlich zum Speicherort steht. Ein Ortsname, ein Land, fertig. Zwei Zeilen, die ich seit zwei Jahren für eine Antwort halte.
41 der 99 Projekte stehen schon auf der Baustelle. Wem sie am Ende gehören, steht in keinem Bauantrag. Foto: Eline Spring auf Pexels
99 Projekte, 41 Baustellen, ein Eigentümerverzeichnis
Die Zahlen stammen aus einer gemeinsamen Auswertung von NDR und Süddeutscher Zeitung, veröffentlicht am Freitag. Sie ist die erste Aufstellung, die ich kenne, die den deutschen Ausbau nach Eigentümern sortiert und nicht allein nach Standorten. Amazon, Google und Microsoft tauchen darin als Hauptakteure auf, dazu Betreiber wie EdgeConnex, die Fläche für andere bauen.
Der politische Rahmen dahinter ist erklärtes Ziel. Die Bundesregierung will die Rechenzentrumskapazität in Deutschland bis 2030 mindestens verdoppeln und die Kapazität für KI und Hochleistungsrechnen vervierfachen. Der Ausbau läuft also nach Plan. Wer ihn baut, stand in diesem Plan nie besonders prominent.
Eine zweite Recherche, an der AlgorithmWatch und FragDenStaat beteiligt sind, hat parallel eine interaktive Karte der Standorte veröffentlicht. Sie hat mich an einer anderen Stelle gebremst. In einer niederländischen Gemeinde waren 2.000 Arbeitsplätze angekündigt, entstanden sind rund 530. Das ist keine Datenschutzfrage. Es ist eine Erinnerung daran, wie belastbar Ankündigungen in diesem Markt sind, auch die zur Kapazität.
Die Zeile, die in meinem AVV fehlt
Ich habe jahrelang die falsche Frage abgehakt. In jedem Datenschutzgespräch, das ich mit Kunden geführt habe, ging es um den Standort. Frankfurt beruhigt, Irland geht meistens noch, Virginia löst Rückfragen aus. Wo das Blech steht, ist ein sauber prüfbares Feld, und deshalb steht es in jedem Formular.
Wem der Betreiber gehört und welchem Recht dessen Muttergesellschaft untersteht, steht in fast keinem. Bei uns stand es bis Freitag auch nicht drin. Ein Rechenzentrum in Hessen, betrieben von einer deutschen Tochter eines US-Konzerns, ist nach deutschem Recht ein deutscher Standort und nach amerikanischem Recht ein amerikanisches Unternehmen mit Zugriff auf die Anlage. Beides ist gleichzeitig wahr. Genau diese Doppelnatur wächst gerade um 99 Projekte.
Im Juli habe ich das bei einem Kunden aus dem Anlagenbau live erlebt. Ein Konzernkunde hatte ein Lieferantenaudit geschickt, achtzehn Seiten, und in der Unterauftragnehmer-Tabelle war eine Spalte, die ich in dieser Form noch nie gesehen hatte: Sitz der Muttergesellschaft und anwendbares Recht. Die vorhandene Liste hatte drei Spalten, Anbieter, Dienst, Speicherort. Wir haben drei Wochen gebraucht, um die vierte zu füllen, und bei zwei Diensten kamen wir über die Konzernstruktur nicht hinaus. Der Kunde hat den Auftrag trotzdem erteilt. Die Frage kommt beim nächsten Audit wieder, und dann steht sie am Anfang.
Ein Standort ist eine Adresse. Ein Eigentümer ist eine Zuständigkeit.
Zwanzig Minuten mit deiner Anbieterliste
Nimm dein Verzeichnis der Verarbeitungstätigkeiten und geh die zehn Dienste durch, in denen Kundendaten liegen. Setz hinter jeden zwei Angaben: wer den Dienst rechtlich betreibt und wo die Konzernmutter dieses Betreibers sitzt. Bei den meisten Firmen, mit denen ich das durchgehe, dauert der erste Durchgang keine halbe Stunde und liefert zwei bis drei Zeilen, bei denen niemand im Haus die Antwort kennt.
Was du mit dem Ergebnis machst, hängt vom Datentyp ab. Für Marketing-Content, Entwürfe und interne Notizen ist die Antwort meistens: nichts, weiter so, der Aufwand eines Umzugs steht in keinem Verhältnis. Für Personaldaten, Gesundheitsdaten und alles, was unter ein Kundenaudit fällt, lohnt der zweite Blick, und dafür ist unsere Übersicht zu DSGVO-konformen KI-Tools der schnellere Weg als eine Runde mit dem Anwalt. Wie eine Einführung mit sauberem AVV praktisch aussieht, haben wir am Beispiel Claude Schritt für Schritt aufgeschrieben.
Warum ich trotzdem weiter bei ihnen einkaufe
Der Ausbau ist für dich und mich erst einmal gute Nachricht. Mehr Kapazität in Deutschland heißt kürzere Wege, stabilere Antwortzeiten und mittelfristig Druck auf die Preise. Ein europäischer Anbieter, der Modelle in dieser Qualität mit dieser Verfügbarkeit liefert, existiert heute nicht, und ich tue nicht so, als hätte ich ihn übersehen. Wir bei Collective Brain arbeiten täglich mit amerikanischen Modellen, weil sie die Arbeit erledigen. Diese Entscheidung würde ich am Montag wieder so treffen.
Was ich mir abgewöhne, ist die Illusion, dass der Standort die Frage erledigt. Vor zwei Wochen habe ich hier darüber geschrieben, dass Anthropic sich für zwanzig Jahre an ein Kraftwerk bindet, während unsere eigenen Verträge zum Monatsende kündbar sind. Die 99 Projekte sind die andere Hälfte derselben Rechnung. Die Anbieter bauen sich für zwei Jahrzehnte fest in unsere Landschaft, und wir beschreiben diese Bindung in unseren Unterlagen mit einer Ortsangabe. Noch ein Detail aus der Auswertung, das ich beim ersten Lesen überflogen habe: rund ein Viertel der Vorhaben entsteht in Regionen, die schon jetzt mit Wasserknappheit umgehen. Wer seine Kapazitätsplanung für 2028 auf angekündigte Standorte stützt, sollte einkalkulieren, dass ein Teil davon länger braucht als die Pressemitteilung verspricht.
