Chinesische KI-Modelle, DSGVO und der Datenweg

Die Frage kommt in Vorbesprechungen regelmäßig: Können wir nicht eins der günstigen Modelle aus China nehmen? Gemeint ist der Preis.

Ob Sie chinesische KI-Modelle einsetzen können und was die DSGVO dazu sagt, entscheidet sich an zwei Angaben, die in keiner Bestenliste stehen: an der Lizenzdatei und an der Adresse, die Ihre Anwendung aufruft.

Der Stand, damit man ihn nachrechnen kann

Alle Angaben stammen aus den Modellkarten der Anbieter, abgerufen am 25. August 2026.

• Kimi K3, Moonshot AI: 2,8 Billionen Parameter insgesamt, davon 104 Milliarden je Token aktiv, Kontextfenster 1.048.576 Token. In den Kopfdaten der Modellkarte steht als Lizenz license: other mit dem Zusatz license_name: „kimi-k3“.

• DeepSeek-V4-Pro und DeepSeek-V4-Flash: Beide Modellkarten sagen denselben Satz: „This repository and the model weights are licensed under the MIT License.“

• GLM-5.2, Z.ai: MIT, Kontextfenster eine Million Token.

• Qwen3.6-35B-A3B, Alibaba: Apache 2.0, „35B in total and 3B activated“, Kontextfenster 262.144 Token.

Vier Anbieter, drei verschiedene Lizenzlagen. Das ist der Unterschied, der bleibt, wenn die Rangfolge sich das nächste Mal dreht.

Die Bestenliste ist bald überholt, die Lizenzdatei nicht

Die Lizenz gilt für die Laufzeit der Anwendung.

Die Kimi-K3-Lizenz zeigt das.

Sie trägt die Zeile „Copyright (c) 2026 Moonshot AI“ und knüpft die gewerbliche Nutzung an zwei Bedingungen, die MIT und Apache 2.0 nicht kennen.

Die erste hängt daran, ob Dritte ins Spiel kommen. Frei bleibt allein die interne Nutzung, und die ist eng definiert: jede Nutzung, die weder die Software noch ihre Ausgaben noch ihre Fähigkeiten Dritten zugänglich macht. Alles darüber hinaus verlangt vorab eine gesonderte Vereinbarung mit dem Anbieter.

Die zweite hängt an zwei Kennzahlen des Produkts, in dem das Modell steckt: monatlich aktive Nutzer und monatlicher Umsatz. Ab den Schwellen, die die Lizenz dafür nennt, muss „Kimi K3“ sichtbar in der Oberfläche stehen.

Was ein Verstoß gegen eine der beiden Pflichten nach sich zieht, steht nicht in der Lizenz und gehört in die rechtliche Prüfung.

Beim nächsten Anbieter steht im selben Feld der Modellkarte schlicht „MIT“.

Der erste Schritt, für den Sie niemanden brauchen: Öffnen Sie die Datei LICENSE im Modellverzeichnis und suchen Sie im Text nach revenue und nach monthly active users.

Dort stehen die Zahlen, gegen die Sie Ihre eigenen halten.

Drei Wege, und sie stellen drei verschiedene Fragen

Der Satz „wir setzen ein chinesisches Modell ein“ beschreibt drei Vorgänge, die datenschutzrechtlich nichts miteinander zu tun haben.

Erstens die Schnittstelle des Anbieters.

Ihre Anwendung ruft einen Server des Herstellers auf.

Hier entsteht die Übermittlung in ein Drittland, und hier stellt sich die Frage nach Art. 44 ff. DSGVO.

Zweitens dieselben Gewichte bei einem anderen Betreiber.

MIT und Apache 2.0 erlauben jedem, diese Modelle anzubieten.

Der französische Anbieter OVHcloud führt in seinem Endpunkt-Katalog unter anderem Modelle der Qwen-Familie.

Die Gewichte kommen aus China, der Vertragspartner nicht.

Drittens der eigene Betrieb.

Sie laden die offenen Gewichte (open weights) herunter und betreiben sie selbst auf Ihrer Anlage oder in Ihrem Cloud-Konto.

Dann gibt es an dieser Stelle keine Übermittlung, weil es keinen Empfänger gibt.

Und hier die Stelle, an der es in der Praxis schiefgeht: Ein europäischer Anbieter ist noch keine europäische Verarbeitung.

Auf der Produktseite von OVHcloud war am 25. August 2026 bei einzelnen Tarifen das Merkmal „Worldwide availability (non-EU)“ ausgewiesen.

Was Art. 44 ff. DSGVO daraus macht

Für China gibt es keinen Angemessenheitsbeschluss.

Die Europäische Kommission führt die Länder, für die sie einen erlassen hat, öffentlich auf, darunter das Vereinigte Königreich, Japan, die Republik Korea und die Schweiz.

China steht nicht darauf.

Was ein solcher Beschluss bewirken würde, sagt die Kommission auf derselben Seite: Übermittlungen dorthin sind dann Übermittlungen innerhalb der EU gleichgestellt, im Wortlaut der Kommission „assimilated to intra-EU transmissions of data“.

Ohne Beschluss bleibt der Weg über die Garantien nach Art. 46 DSGVO.

Wie das ausgeht, wenn niemand sie stellt, hat eine deutsche Aufsichtsbehörde dokumentiert.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit meldete am 27. Juni 2025 die DeepSeek-App bei Apple und Google als rechtswidrigen Inhalt, gestützt auf Art. 16 des Digital Services Act.

Ihre Begründung, wörtlich: „Konkret verstößt die Hangzhou DeepSeek Artificial Intelligence Co., Ltd. mit ihrem Dienst DeepSeek gegen Art. 46 Abs. 1 DSGVO.“

Der Vorgang betraf die App für Endnutzer, nicht die Programmierschnittstelle für Unternehmen.

Die Angabe, um die es ging, steht allerdings unverändert in der Datenschutzerklärung des Dienstes, Stand 10. Februar 2026: „To provide you with our services, we directly collect, process and store your Personal Data in People’s Republic of China.“

Auf Weg zwei und drei stellt sich diese Frage gar nicht erst, jedenfalls nicht wegen der Herkunft des Modells.

Deshalb trägt die Herkunft der Gewichte zur Datenschutzprüfung wenig bei.

Wichtig ist die Adresse, die Ihre Anwendung aufruft, und die steht in Ihrer Konfiguration.

Was der AI Act Sie verlangen lässt

Die Pflichten für Modelle mit allgemeinem Verwendungszweck stehen in Kapitel V der Verordnung (EU) 2024/1689 und gelten seit dem 2. August 2025.

Drei Stellen davon lassen sich in Fragen übersetzen, die eine Antwort haben.

Art. 53 Abs. 1 Buchst. b verpflichtet den Anbieter eines solchen Modells, Informationen und Unterlagen für diejenigen bereitzuhalten, die das Modell in ihre Systeme einbauen.

Das ist das Papier, das Ihr Entwicklungsteam braucht und das in Angeboten regelmäßig fehlt.

Art. 53 Abs. 2 nimmt Anbieter von Modellen unter einer freien und quelloffenen Lizenz von den Buchstaben a und b aus, sofern Parameter, Architektur und Nutzungsinformationen öffentlich sind.

Der Satz danach wiegt schwerer: „This exception shall not apply to general-purpose AI models with systemic risks.“

Wann ein Modell dazugehört, sagt Art. 51 Abs. 2: Die Zugehörigkeit wird vermutet, sobald die für das Training aufgewendete kumulierte Rechenmenge mehr als 10 hoch 25 Gleitkommaoperationen (FLOP) beträgt.

Ob ein bestimmtes Modell darüber liegt, steht in keiner der fünf Modellkarten.

Genau danach fragt man, bevor man sich auf die Ausnahme verlässt.

Art. 54 Abs. 1 ist kurz und in der Praxis gut zu prüfen: Anbieter aus Drittländern müssen, bevor sie ein solches Modell auf dem Unionsmarkt in Verkehr bringen, durch schriftliches Mandat einen Bevollmächtigten in der Union benennen.

Die Antwort auf diese Frage ist ein Name und eine Anschrift.

Selbstbetrieb rechnet sich anders, als die Zahl im Namen nahelegt

Weg drei wird oft falsch kalkuliert, weil zwei Zahlen nebeneinanderstehen und nur eine davon zitiert wird.

Der Speicherbedarf richtet sich nach den Gesamtgewichten, die Rechenzeit je Token nach den aktiven Parametern.

Bei Kimi K3 stehen 2,8 Billionen gegen 104 Milliarden.

Wer die Anlage nach der zweiten Zahl plant, plant zu klein, und zwar an der Stelle, die man nicht nachträglich dazukauft.

Daraus folgt eine Faustregel, die nicht schmeichelhaft klingt: Das Modell, das Sie selbst betreiben können, ist selten das, das oben in der Liste steht.

Am anderen Ende des Feldes steht Qwen3.6-35B-A3B, ein Mixture-of-Experts-Modell (MoE) mit 35 Milliarden Parametern insgesamt und 3 Milliarden aktiv.

Im Speicher liegen dann 35 Milliarden Gewichte statt 2,8 Billionen. Das ist der Abstand zwischen einer Anlage, die in Ihrem Serverraum steht, und einer, für die Sie ein Rechenzentrum brauchen.

Modelle dieser Größenordnung sind deshalb die, bei denen der Selbstbetrieb überhaupt zur Debatte steht.

Ohne Bereitschaft außerhalb der Bürozeiten und ohne eine zweite Person, die die Anlage kennt, raten wir vom Selbstbetrieb ab.

Wo diese Aussage aufhört zu gelten

Sie gilt für den Datenweg und für die Lizenz, und sie gilt für den Stand vom 25. August 2026: Modellkarten werden überschrieben, Lizenzen geändert, Kataloge wechseln ihre Einträge.

Über die Güte eines Modells sagt sie nichts.

Welche Fragen vor der Werkzeugwahl kommen, steht in „KI im Unternehmen: die drei Fragen vor dem Werkzeug“.

Wie viel Aufwand danach in der Ablauflogik steckt und nicht im Modellaufruf, steht in „LangChain lohnt sich mit Zustand im Ablauf“.

Fünf Schritte vor dem ersten echten Datensatz

Ohne uns durchführbar:

• Die Datei LICENSE im Modellverzeichnis öffnen und nach revenue und monthly active users suchen.

• In der Konfiguration nachsehen, welche Adresse Ihre Anwendung tatsächlich aufruft.

• Beim Betreiber die Unterlagen nach Art. 53 Abs. 1 Buchst. b anfordern, schriftlich.

• Nach dem Bevollmächtigten nach Art. 54 fragen und den Namen notieren.

• Erst danach den Versuchsaufbau mit echten Daten starten. Ein Versuch, der gelaufen ist, lässt sich nicht zurücknehmen.

Quellen

Zuletzt geprüft am 25. August 2026: die Modellkarten der fünf genannten Modelle, die Kimi K3 License, die Datenschutzerklärung von DeepSeek vom 10. Februar 2026, die Meldung der Berliner Beauftragten für Datenschutz und Informationsfreiheit vom 27. Juni 2025, die Angemessenheitsliste der Europäischen Kommission, die Verordnung (EU) 2024/1689 sowie Katalog und Produktseite von OVHcloud.

Ohne externe Quelle: Die Einordnung zum Speicherbedarf folgt aus der Funktionsweise von Mixture-of-Experts-Modellen. Im Speicher liegen alle Gewichte, gerechnet wird je Token nur mit den aktiven. Welche Größenordnung sich auf eigener Anlage betreiben lässt und unter welchen zwei Voraussetzungen wir zum Selbstbetrieb raten, stammt aus unserem eigenen Betrieb solcher Anlagen. Messwerte und Kostenvergleiche veröffentlichen wir dazu nicht.