Immer mehr Unternehmen fragen vor dem KI-Rollout: Bleiben unsere Daten wirklich in Europa? Plattformen wie Langdock antworten mit EU-Hosting, deutschen Servern, ISO 27001 und DSGVO-Konformität. Das klingt nach der sicheren Wahl, und in einem wichtigen Sinn ist es das auch. Doch „EU-konform“ verspricht mehr, als der Begriff hält.

Was Langdock gut macht

Fair bleiben: Die Berliner Langdock GmbH ist ein ernstzunehmendes Produkt. Sie bündelt über vierzig KI-Modelle hinter einer Oberfläche mit Governance und Rechteverwaltung, hostet die Anwendung auf EU-Servern, verschlüsselt Daten und nutzt sie nach eigener Aussage nicht zum Training. ISO 27001 und SOC 2 Type II sind unabhängig auditiert. An der handwerklichen Qualität gibt es wenig zu deuteln.

Wo „EU-konform“ unscharf wird

Der Haken steht in der Subprozessoren-Liste. Die Modelle laufen über Microsoft Azure, Google Cloud, AWS und OpenAI, allesamt US-Konzerne. Damit greift der US CLOUD Act: Ein US-kontrollierter Anbieter kann von US-Behörden zur Herausgabe von Daten verpflichtet werden, egal wo die Server stehen. Ein EU-Rechenzentrum ändert, wo die Daten liegen, nicht, welche Rechtsordnung im Ernstfall zugreifen darf. Langdock sagt das gegenüber Kunden selbst offen: Das Risiko sei nicht null, aber kein direkter oder automatischer Zugriff. Das ist korrekt, nur eben nicht dasselbe wie „ausgeschlossen“. Zumal die rechtliche Grundlage solcher Transfers, das EU-US Data Privacy Framework, 2026 juristisch selbst wackelt.

Standort ist nicht Kontrolle

Mitte 2026 kam ein zweiter Punkt dazu. Anwalt Martin Steiger zeigte per Handelsregister, dass die Langdock GmbH zu 100 Prozent einer Langdock Inc. in Delaware gehört. Das macht das Unternehmen nicht unseriös, eine US-Holding ist bei risikokapitalfinanzierten Startups Normalität, und das US-Eigentum allein stellt die GmbH nicht unter den CLOUD Act. Steigers eigentlicher Kritikpunkt ist die Transparenz: Wer mit europäischer Souveränität wirbt, sollte die US-Kontrolle nicht verschweigen. Langdock hat inzwischen reagiert. Co-CEO Judith Dada nennt Delaware eine Y-Combinator-Vorgabe, den Cap Table „mehrheitlich europäisch“ und den CLOUD Act ein bekanntes Risiko. Der Kern bleibt: Serverstandort, Compliance und Kontrolle sind drei verschiedene Dinge.

Wie sich die Lücke schließen lässt

Der Weg zu mehr Souveränität ist technisch, keine Grundsatzfrage. Über Bring Your Own Key laufen die Modelle über eigene, auch selbst gehostete Schlüssel; über eigene Cloud oder On-Premise bleibt alles in der eigenen Umgebung; und statt US-Modellen lassen sich europäische wie Mistral oder offene wie Llama auf EU-Infrastruktur betreiben. Genau da setzen wir bei hundredlabs an. Vieles läuft zuverlässig auf offenen Modellen, die bei Hetzner oder IONOS unter eigener Kontrolle stehen. Für sensible Daten aus Kanzleien, Praxen oder Buchhaltung ist das oft die ruhigere Lösung.

Also: wirklich EU-konform?

Die ehrliche Antwort hat zwei Teile. Im Sinne der DSGVO lässt sich Langdock rechtskonform betreiben. Wenn „EU-konform“ aber heißen soll, dass keine US-Rechtsordnung je zugreifen kann, dann nicht in der Standardkonfiguration, und ehrlich gesagt bei kaum einem Werkzeug auf US-Hyperscalern. Der Unterschied ist keine Wortklauberei, sondern eine Entscheidung, die jedes Unternehmen für seine sensibelsten Daten bewusst treffen sollte.

Dieser Beitrag ist eine Einordnung, keine Rechtsberatung.