Conveyor-Alternative mit EU-Datenresidenz: So prüfen Sie

Kurzantwort: Eine Conveyor-Alternative mit EU-Datenresidenz benötigt eine bestätigte EU-Hosting-Region über Speicher, Suchindex, Modellinferenz und Logs hinweg – nicht nur über die primäre Datenbank. Compliance Concierge ist eine solche Option, gehostet in Frankfurt; überprüfen Sie jede dieser Ebenen selbst anhand der untenstehenden Checkliste.

Eine Conveyor-Alternative mit EU-Datenresidenz muss mehr als nur Ihre hochgeladene Tabelle in Europa halten. EU-Datenresidenz bezeichnet die Praxis, einen definierten Datenbestand – und in einem KI-gestützten Workflow jede daraus abgeleitete Kopie – innerhalb EU-basierter Infrastruktur zu speichern und zu verarbeiten, statt in der Standardregion, die ein Anbieter zufällig verwendet. Die Fragebogendatei ist das am wenigsten sensible Objekt im gesamten Workflow. Der Richtlinienbestand, den Sie zusammen damit hochladen, der aus diesem Bestand erstellte Suchindex, die an ein Sprachmodell gesendeten Prompts und die Logs, die alle drei erfassen, sind die Teile, die es wert sind, an eine Region gebunden zu werden. Compliance Concierge ist eine Option in dieser Kategorie – gehostet in Frankfurt, Antworten mit Verweis auf Ihre eigenen Dokumente, mit einer Prüfstufe zwischen Entwurf und Export. Ob das passt, oder ob überhaupt etwas anderes passt, ist eine Frage der Überprüfung.

Hosting-Regionen, Unterauftragsverarbeiterlisten und Modellanbieter ändern sich zwischen Produktveröffentlichungen. Diese Seite sagt Ihnen daher nicht, wie Conveyors aktuelle Einrichtung aussieht, und Sie sollten gegenüber jeder Vergleichsseite skeptisch sein, die das behauptet – einschließlich dieser hier. Sie zeigt Ihnen, welche Fragen eine Antwort liefern, die Sie Ihrem eigenen Käufer vorlegen können, und wie Sie das Ergebnis bewerten.

Für den umfassenderen Funktions- und Kostenvergleich – Trust Center, Prüfworkflow, Aufbau eines Proof of Concept – siehe Compliance Concierge Alternative to Conveyor: A Decision Framework. Was folgt, bleibt beim Thema Residenz.

Die sieben Ebenen, die ein Residenzanspruch abdecken muss

Die meisten Anbieteraussagen zu EU-Hosting sind gleichzeitig wahr und unvollständig. Sie beschreiben typischerweise, wo die primäre Datenbank liegt. Ein KI-gestütztes Fragebogen-Tool berührt üblicherweise mindestens sieben unterschiedliche Stellen, und die interessanten stehen weiter unten in der Liste.

Eine Aussage wie „in der EU gehostet" beantwortet üblicherweise die Ebenen 1 und 2. Bei den Ebenen 3 bis 7 bricht Residenz in der Praxis am häufigsten zusammen, und dort landet auch die konzentrierteste Version Ihrer Sicherheitslage.

Eine Hosting-Region ist typischerweise eine Eigenschaft eines Servers oder eines Speicher-Buckets. Residenz ist bei den meisten KI-gestützten Workflows eine Eigenschaft jeder Kopie Ihrer Daten – und ein KI-Fragebogen-Tool erzeugt üblicherweise Kopien (einen Index, Logs, Modell-Prompts), die eine einzelne Regionsaussage nicht automatisch abdeckt. Ob diese Lücke relevant ist, hängt von der spezifischen Architektur des Anbieters ab, weshalb die untenstehende Checkliste jede Ebene einzeln abfragt, statt eine einzelne zusammenfassende Aussage zu akzeptieren.

Residenz und Souveränität sind unterschiedliche Fragen, und nur eine davon hat eine Ja/Nein-Antwort

Datenresidenz ist eine Standortfrage: welche physische Region die Bytes hält. Sie löst sich in einen Regionscode und eine Reihe von Speicher-Buckets auf, und ein Anbieter kann sie in einem Absatz dokumentieren.

Datensouveränität ist eine Kontrollfrage: wer die Infrastruktur betreibt, wer die Verschlüsselungsschlüssel besitzt, welche Unternehmenseinheit den Vertrag unterzeichnet, und wessen Gerichte diese Einheit zum Handeln zwingen können. Ein Anbieter kann Residenz vollständig erfüllen und Souveränität dennoch offenlassen, und das ist nicht unehrlich – die beiden Fragen haben schlicht unterschiedliche Antworten.

Die praktische Konsequenz ist es wert, klar ausgesprochen zu werden. Wenn der Fragebogen eines Käufers nach der Gefährdung durch ausländischen behördlichen Zugriff fragt, beantwortet ein Regions-Flag das nicht. Diese Frage betrifft Unternehmensstruktur, Unterauftragsverarbeiter und Vertragsbedingungen, und die Antwort gehört in die Hände Ihrer Rechtsberatung statt in Ihre Tool-Checkliste. Bestätigen Sie Anwendbarkeit und Formulierung mit qualifizierter Beratung, bevor Sie eine Antwort gegenüber einem Käufer festlegen.

Der Nachweiskorpus ist das Kronjuwel, nicht der Fragebogen

Niemand wurde je durch das Leak einer leeren Lieferantenbewertungs-Arbeitsmappe geschädigt. Der Korpus ist anders. Sobald ein Fragebogen-Tool nützlich wird, hält ein ausgereifter Mandant die Zugriffskontrollrichtlinie, das Incident-Response-Runbook mit Eskalationskontakten, das Unterauftragsverarbeiter-Verzeichnis, die letzte Pentest-Zusammenfassung mit offenen Feststellungen, das Backup- und Wiederherstellungsverfahren, und oft ein Netzwerk- oder Datenflussdiagramm.

Diese Sammlung ist ein besseres Briefing über Ihre Umgebung als die meisten internen Wikis. Sie verdient die Residenzfrage genauso wie die Regionsfrage: Wird die Trennung auf Datenbankzeilenebene, per Schema oder durch eine dedizierte Instanz durchgesetzt – und kann ein Support-Ingenieur mandantenübergreifend lesen, ohne eine Spur zu hinterlassen?

Richten Sie Ihre Residenzfragen auf den Korpus aus, nicht auf die Tabelle. Stellen Sie dieselben Fragen dann erneut zum daraus erstellten Index, denn dieser Index ist der Korpus in anderer Form – und es ist oft die Komponente, die ein Anbieter zuerst auslagert.

Antworten bewerten: eine Zwölf-Fragen-Residenzprüfung

Bewerten Sie jede Antwort mit 0, 1 oder 2. 0 = keine schriftliche Antwort. 1 = im Gespräch oder in einer Vertriebspräsentation beantwortet. 2 = in einem Dokument beantwortet, das Sie unverändert Ihrer eigenen Fragebogenantwort beifügen können. Maximum 24.

Wie Sie die Gesamtpunktzahl lesen. 20–24: Residenz ist dokumentiert, und Sie können die Dokumente in Ihren eigenen Käuferantworten zitieren. 12–19: teilweise dokumentiert – nutzbar, aber begrenzen Sie, was Sie hochladen, und halten Sie die Lücken in Ihrem Risikoregister fest. Unter 12: Behandeln Sie Residenz vorerst als unverifizierten Marketingauspruch, und übertragen Sie Ihren Korpus nicht dorthin. Führen Sie stattdessen einen Pilottest mit geschwärztem Material durch, oder warten Sie, bis die Dokumente existieren.

Die Bewertungsmatrix ist bewusst hart bei der Unterscheidung zwischen 1 und 2 Punkten. Eine Antwort, die Sie nicht an Ihren eigenen Kunden weiterleiten können, hat Ihre Arbeit nicht reduziert; sie hat sie nur verschoben.

Die vier Dokumente, angefragt in einer E-Mail

Fordern Sie dies vor dem ersten Gespräch an, nicht danach:

1. Die aktuelle Auftragsverarbeitungsvereinbarung.
2. Die aktuelle Unterauftragsverarbeiterliste, mit Land und Rolle pro Eintrag.
3. Eine Hosting-Erklärung, die Speicher, Index, Modellinferenz und Logs separat abdeckt.
4. Die Support-Zugriffsrichtlinie und den Löschprozess, einschließlich Backup-Aufbewahrung.

Diese vier decken üblicherweise zehn der zwölf obigen Fragen ab, je nachdem, wie gründlich der Anbieter jede Ebene dokumentiert. Punkte 5 und 9 erfordern meist eine direkte Antwort, fragen Sie diese also als einfache Sätze in derselben E-Mail.

Wenn eines der vier Dokumente mit „das erklären wir Ihnen gerne in einem Anruf" oder „nach Qualifizierung unter NDA verfügbar" beantwortet wird, bewerten Sie es vorerst mit 0. Das ist nicht automatisch ein Warnsignal – viele Anbieter beschränken Dokumente aus vernünftigen Gründen. Es sagt Ihnen aber, dass die Bewertung nach dem Kalender des Anbieters abläuft statt nach Ihrem, was ein Kostenfaktor ist, den Sie einpreisen sollten, bevor Sie beginnen.

Wie die Rechnung aussieht, bevor Sie irgendeine Preisliste lesen

Drei Eingabegrößen, die Sie alle ohne Anbietergespräch ermitteln können:

• Q — Fragebögen, die Sie pro Jahr beantworten
• H — Stunden pro Fragebogen heute, von Anfang bis Ende
• C — belasteter Stundensatz der Personen, die diese Stunden aufwenden

Die aktuellen internen Ausgaben betragen Q × H × C. Ein Tool mit Jahreslizenz L erreicht den Break-even, wenn es mehr als L ÷ (Q × C) Stunden pro Fragebogen einspart.

Beispiel (illustrative Zahlen, nicht die Preise eines bestimmten Anbieters): Q = 8, H = 11, C = 90 €, L = 2.400 €. Der Schwellenwert liegt bei 2.400 ÷ (8 × 90) = 3,3 eingesparte Stunden pro Fragebogen. Bei Q = 40 mit derselben Lizenz und demselben Satz sinkt der Schwellenwert auf 0,67 Stunden — vierzig Minuten. In diesem Modell verschiebt Volumen den Break-even weitaus stärker als der Lizenzpreis, und Volumen ist die Größe, die Sie bereits kennen.

Zwei Vorbehalte zur Formel. Sie ignoriert die Kosten einer falschen Antwort, die oft das dominierende Risiko in diesem Workflow darstellen und sich nicht in ein Stundenmodell einfügen. Und sie geht davon aus, dass H gemessen statt erinnert wird: Die meisten Teams zitieren H aus dem Gedächtnis und lassen dabei die Eingangstriage, das Nachjagen nach Nachweisverantwortlichen für ein aktuelles Dokument und den zweiten Durchgang nach den Nachfragen des Käufers außer Acht. Stoppen Sie die Zeit für einen vollständigen Fragebogen, bevor Sie Ihrer eigenen Zahl vertrauen.

Wann ein EU-gehostetes Punktwerkzeug die falsche Antwort ist

Drei Situationen, in denen diese gesamte Kategorie schlecht passt, formuliert als Regeln statt als Überlegungen:

Sie brauchen ein käuferseitiges Trust Center, kein Antwort-Tool. Wenn Ihr eigentliches Problem darin besteht, Dokumente unter NDA an Interessenten zu veröffentlichen und zu verfolgen, wer was herunterlädt, löst ein Fragebogen-Antwort-Tool ein anderes Problem. Manche Teams betreiben beides; das eine ersetzt das andere nicht.

Der Einkauf hat sich auf einen einzigen GRC-Hauptanbieter festgelegt. Wenn Kontrollüberwachung, Nachweiserfassung und Fragebögen aus internen Gründen bei einem Anbieter liegen müssen, fügt ein Punktwerkzeug Ihrem eigenen Leben eine weitere Anbieterprüfung hinzu. Das ist eine Governance-Entscheidung, keine Produktentscheidung.

Ihr Volumen ist zu gering, um irgendein Tool zu rechtfertigen. Unter etwa drei Fragebögen pro Jahr und weniger als fünfzehn Richtliniendokumenten schlägt eine gut gepflegte Antwortbibliothek in einem gemeinsamen Laufwerk für die meisten Teams jede Software. Bauen Sie zuerst die Bibliothek auf; die Tool-Frage wird einfacher und günstiger, sobald die Antworten in wiederverwendbarer Form existieren.

Und noch etwas: Wenn all Ihre Käufer in den USA ansässig sind und Residenz noch nie in einem Fragebogen aufgetaucht ist, den Sie erhalten haben, optimieren Sie möglicherweise für eine Anforderung, nach der Sie niemand tatsächlich gefragt hat.

Wie Compliance Concierge die eigenen zwölf Fragen beantwortet

Sechs der zwölf sind ohne Kontaktaufnahme überprüfbar. Das Hosting liegt in Frankfurt und ist auf der Trust-Seite angegeben (F1). Die Position „kein Training mit Kundendaten" ist dort ebenfalls angegeben (F4). Die Mandantentrennung erfolgt über Row-Level-Security pro Mandant (F11). Die Auftragsverarbeitungsvereinbarung ist vor der Anmeldung öffentlich zugänglich und enthält die Unterauftragsverarbeiterliste mit Löschfristen (F8, F10, F12). Die Preisgestaltung erfolgt pro Fragebogen statt pro Sitzplatz, auf monatlichen Self-Service-Plänen, mit Zahlen auf der Preisseite statt in einem Angebot.

Die übrigen Punkte — die Regionen von Index und Backup, die Modell-Endpunktregionen, die Aufbewahrung beim Anbieter, die Log-Inhalte, die Länder mit Support-Zugriff — sind diejenigen, die es wert sind, direkt nachzufragen. Stellen Sie uns dieselbe Frage, die Sie jedem anderen Anbieter stellen würden, und bewerten Sie die Antwort genauso: Die eigene Aussage eines Anbieters über sich selbst ist ein Ausgangspunkt, kein unabhängiger Nachweis, bis sie durch ein Dokument gestützt wird, das Sie zitieren können.

Worauf das Produkt ausgerichtet ist: Entwürfe von Antworten aus Ihren eigenen hochgeladenen Dokumenten zu erstellen, wobei jeder Entwurf die Quellstelle zitiert, und eine Prüfstufe, die vor dem Export steht, damit nichts ohne menschliche Freigabe verlässt. Es verarbeitet gängige Arbeitsmappenformate — CAIQ, HECVAT, VSA, ISO-27001-förmige Fragebögen, NIS2- und DORA-abgeleitete Lieferantenformulare, und individuelles Excel. Was es nicht ist: eine kontinuierliche Kontrollüberwachungsplattform, die Nachweise aus Ihren Cloud-Konten zieht. Wenn das die Lücke ist, die Sie schließen möchten, ist dies die falsche Kategorie, und der Entscheidungsrahmen-Artikel behandelt diesen Trade-off ausführlicher.

Kein Tool erzeugt Compliance, Zertifizierung oder ein bestandenes Audit. Es erzeugt Entwürfe und eine Aufzeichnung darüber, wer sie genehmigt hat.

Drei Arten, wie das in der Praxis schiefgeht

Das Regions-Flag, das nur die Vordertür abdeckt. Beispielszenario: Ein Team überprüft das Hosting, lädt etwa sechzig Dokumente hoch, und entdeckt erst Monate später, dass der Vektorindex in einem verwalteten Dienst auf einem anderen Kontinent läuft. Dies ist ein häufiges Fehlermuster bei KI-Tools generell, nicht die Beschreibung der tatsächlichen Einrichtung eines bestimmten Anbieters. Frühwarnzeichen: Die Unterauftragsverarbeiterliste enthält eine Vektordatenbank oder einen Observability-Anbieter, und niemand hat die Länder gezählt. Zählen Sie sie — dieser eine Schritt fängt die meisten dieser Fälle ab.

Der Pilot-Korpus, der den Pilotversuch überlebt. Beispielszenario: Echte Richtlinien werden während einer Evaluierung in ein Tool geladen, die Evaluierung endet ohne Kauf, und niemand löscht etwas — ein häufiges Versehen, nicht eine feste Regel dafür, wie der Prozess jedes Anbieters tatsächlich funktioniert. Faustregel: Testen Sie mit einer kleinen Menge geschwärzter Richtlinien und ohne Architekturdiagramme, und tragen Sie das Löschdatum am selben Tag, an dem Sie hochladen, in Ihren Kalender ein. Das Löschen eines Testmandanten ist eine Fünf-Minuten-Aufgabe, die zu einem sechsmonatigen Gespräch wird, sobald Sie vergessen haben, dass er existiert.

Residenz beantwortet, Prüfung übersprungen. Das ist die teure Variante. Das Gespräch über Hosting ist vergleichsweise einfach und oft in einer Woche erledigt. Das Gespräch über die Antwortgenauigkeit entscheidet, ob Ihre Antwort die Nachfragerunde des Käufers übersteht, und ein Entwurf, der eine Kontrolle überzeichnet, kann mehr Schaden anrichten als jeder nicht EU-gehostete Index. Was auch immer Sie kaufen, halten Sie eine namentlich benannte Person zwischen Entwurf und Sendetaste, und führen Sie eine Aufzeichnung darüber, wer welche Antwort gegen welches Dokument genehmigt hat.

Fragen, die vom Einkauf zurückkommen

Beantwortet EU-Hosting allein die Datentransferfrage eines Käufers? Nein. Es ist einer von mehreren Faktoren — auch Unterauftragsverarbeiter, Vertragsbedingungen und Unternehmensstruktur spielen eine Rolle, und wie sie zusammenwirken, ist eine rechtliche Beurteilung. Geben Sie dem Käufer die dokumentierten Fakten zur Region und zur Unterauftragsverarbeiterliste, und bringen Sie die Transferfrage selbst zur Rechtsberatung.

Kann ich ein US-Anbieter-Tool nutzen und meinen Korpus trotzdem in der EU halten? Manchmal. Mandantenspezifische Trennung mit einer EU-Region ist ein gängiges Muster. Die Anschlussfrage ist, ob Inferenz, Logs und Backups der Speicherregion folgen oder beim Standard des Anbieters bleiben — das sind die Fragen 3, 5, 6 und 7 der Bewertungsmatrix, und Anbieter beantworten sie sehr unterschiedlich.

Der Anbieter will seinen Modellanbieter nicht nennen. Wie schlimm ist das? Bewerten Sie das mit 0 und entscheiden Sie, was Sie bereit sind hochzuladen, ohne es zu wissen. Manche Teams machen weiter mit geschwärztem Material und prüfen es bei der Verlängerung erneut. Andere behandeln einen ungenannten Unterauftragsverarbeiter als Stopp, weil sie ihren eigenen Käufern dazu keine Fragen beantworten können. Beide Positionen sind vertretbar; versehentlich in die erste hineinzurutschen, ist es nicht.

Der Fall, den diese Bewertungsmatrix nicht abdeckt

Wenn Ihre Residenzanforderung aus einer Klausel stammt, die ein Kunde in Ihren Vertrag geschrieben hat, statt aus Ihrer eigenen Richtlinie, klärt diese Bewertung nichts davon. Lesen Sie den genauen Wortlaut der Klausel, und bringen Sie ihn dann zusammen mit den vier Dokumenten des Anbieters zur Rechtsberatung. Eine Bewertungsmatrix sagt Ihnen, ob die Haltung eines Anbieters dokumentiert ist. Sie sagt Ihnen nicht, ob eine bestimmte Klausel einen bestimmten Anbieter erlaubt — und die Lücke zwischen diesen beiden Fragen ist der Punkt, an dem Evaluierungen für einen Monat still werden.