Stellen Sie sich den Brief vor. Nicht von einem Hacker - von Ihrer Landesdatenschutzbehörde. Eine amerikanische Behörde hat sich über Ihren Cloud-Anbieter Zugriff auf Ihre Kundendaten verschafft, Sie haben davon nichts gewusst, durften nichts wissen, und jetzt sind Sie in der Erklärungspflicht. Rechnen Sie kurz mit: vier Prozent Ihres Jahresumsatzes. Bei einer Million sind das 40.000 Euro. Bei zehn Millionen 400.000. Bei fünfzig Millionen zwei Millionen Euro. Kein Vortrags-Beispiel - der reale Bußgeldrahmen der europäischen Datenschutz-Grundverordnung, für genau diesen Fall.
Vor Kurzem musste ich mich in einem eigenen Artikel selbst korrigieren. Ich hatte n8n als „europäische Alternative“ bezeichnet - stimmt beim Firmensitz, stimmt nicht mehr, sobald man genauer hinschaut: wer das Geld gibt, wo die Server wirklich stehen, wem die Firma am Ende gehört. Ich sage das nicht, um mich zu entschuldigen. Ich sage es, weil ich selbst genau in der falschen Sicherheit gesessen habe, in der die meisten Unternehmer gerade sitzen.
Der Vertrag, den man Ihnen verkauft hat
Sobald ein Dienstleister personenbezogene Daten für Sie verarbeitet, brauchen Sie einen Vertrag dafür - Auftragsverarbeitungsvertrag, kurz AVV. Er zwingt den Dienstleister, nur zu tun, was Sie sagen, die Daten technisch abzusichern, Sie bei einem Vorfall zu informieren. Ohne ihn dürfen Sie das Werkzeug gar nicht einsetzen. Und genau diesen einen Haken - „AVV vorhanden“ - verkaufen Ihnen IT-Dienstleister und Berater gerade als Freibrief. Ist doch DSGVO-konform, wir haben ja einen Vertrag. Das stimmt. Und es reicht trotzdem nicht.
Denn der Vertrag regelt nur die Firma, die ihn unterschrieben hat. Nicht das Land, dem diese Firma - oder deren eigener Dienstleister im Hintergrund - gehorchen muss. n8n sitzt in Berlin, sauberer Vertrag. Der Cloud-Betrieb läuft aber über Microsoft. Microsoft bleibt amerikanisch, egal in welchem Land der Server steht. Der CLOUD Act zwingt jedes amerikanische Unternehmen, Daten auf Anfrage der eigenen Behörden herauszugeben - auch aus Frankfurt. Ihr deutsches Rechenzentrum schützt Sie nicht. Es beruhigt Sie nur, und zwar zu Unrecht.
Es kommt dicker: Eine solche Anfrage kann mit einem Redeverbot verbunden sein. Microsoft darf n8n dann nichts sagen. n8n kann Sie folglich nicht warnen. Sie erfahren es vielleicht nie - bis der Brief kommt. Microsofts eigene Rechtsvertretung in Frankreich hat 2025 vor dem Senat unter Eid genau das eingeräumt: Der Konzern kann nicht garantieren, dass europäische Daten niemals an amerikanische Behörden gehen. Trotz jedem Werbeversprechen von „europäischer“ Cloud, das Ihnen gerade heute noch jemand macht.
Die Rechnung zahlen Sie - nicht Microsoft, nicht n8n, nicht Ihr Berater
Gibt ein amerikanischer Anbieter auf Anordnung Daten heraus, ist das nicht sein Verstoß. Es ist Ihrer, weil Sie die Daten dorthin gegeben haben. Die vier Prozent von oben zahlen Sie, nicht Redmond. Und schauen Sie einmal in Ihren eigenen Vertrag: In den meisten Fällen ist die Haftung Ihres Anbieters auf die Jahresgebühr gedeckelt, ein paar Tausend Euro. Ihr Bußgeld bemisst sich am Konzernumsatz. Diese Lücke zwischen dem, was Sie zahlen, und dem, was Ihr Anbieter im Ernstfall ersetzt, steht in keinem Prospekt.
Warum sich das ausgerechnet jetzt zuspitzt
Die Grundlage, auf der sich Europa und Amerika über den Datenaustausch geeinigt haben, wackelt seit 2025 - und zwei Ereignisse haben ihr den Boden weiter weggezogen. Anfang 2025 hat Donald Trump die Mehrheit einer amerikanischen Aufsichtsstelle abgesetzt, die genau solche behördlichen Zugriffe kontrollieren soll - einer der Gründe, warum Europa den USA überhaupt ein ausreichendes Datenschutzniveau bescheinigt hat. Mitte 2026 hat das oberste amerikanische Gericht dem Präsidenten erlaubt, auch die Mitglieder der amerikanischen Handelsaufsicht grundlos abzusetzen - jener Behörde, auf deren Unabhängigkeit sich die europäisch-amerikanische Datenschutz-Vereinbarung an über 250 Stellen beruft. Die europäische Datenschutzorganisation noyb fordert die EU-Kommission bereits auf, aus der Vereinbarung auszusteigen. Eine Klage liegt beim höchsten europäischen Gericht - demselben Gericht, das die beiden Vorgänger-Vereinbarungen schon zweimal einkassiert hat. Zweimal ist kein Zufall. Das ist ein Muster, und Sie bauen Ihr Geschäft gerade auf die dritte Wiederholung.
Die unbequeme Wahrheit
Rein rechtlich dürfte in dieser Lage kaum ein Unternehmen die KI-Werkzeuge so nutzen, wie es sie heute nutzt. Wahrscheinlich tragen auch Sie dieses Risiko schon - Sie wissen es nur noch nicht, weil Ihnen bisher niemand die Rechnung gezeigt hat, sondern nur den Haken bei „DSGVO-konform“. Das lässt jeden Unternehmer im Regen stehen, der sich auf einen unterschriebenen Vertrag verlassen und sich damit für ausreichend abgesichert gehalten hat - und er lässt jeden Berater ziemlich schlecht aussehen, der das nie erwähnt hat. Ich sage trotzdem nicht: Nutzen Sie keine amerikanischen Werkzeuge mehr. Ich nutze selbst täglich Claude. Aber ich weiß, welches Risiko ich eingehe, und Sie sollten es auch wissen - bevor der Brief kommt, nicht danach.
Auch der Leuchtturm ist nicht sauber
Noch eine Ehrlichkeit, die weh tut, gerade weil ich Mistral im n8n-Artikel als europäisches Sprachmodell genannt habe: Die letzte große Finanzierungsrunde wurde zwar vom niederländischen Chipkonzern ASML angeführt, der dafür rund elf Prozent der Anteile bekam. Im selben Kapital sitzen aber Andreessen Horowitz, General Catalyst, Lightspeed und Nvidia, bei einer Bewertung von inzwischen 11,7 Milliarden Euro. Selbst das französische Vorzeigeprojekt der europäischen KI ist zu einem erheblichen Teil amerikanisch finanziert. Wenn das schon nicht durchgängig europäisch ist - was auf dem Markt dann noch?
Was Sie jetzt tun sollten
Vier Fragen, bevor Sie das nächste Werkzeug freigeben: Wo sitzt die Firma? Wer finanziert sie? Auf wessen Servern läuft sie? Wem gehören am Ende die Anteile? Ein unterschriebener Vertrag beantwortet keine davon vollständig. Er ist die Eintrittskarte, nicht die Versicherung. Die Entscheidung, welches Risiko Sie für welche Daten eingehen, trifft am Ende niemand außer Ihnen - jetzt bewusst, oder später, wenn der Brief da ist.
Wenn Sie wissen wollen, wie hoch Ihr eigenes Risiko konkret ist: schreiben Sie mir.
