Datenresidenz bei KI-Support: Wohin Ihre Tickets 2026 wirklich gehen

Was bedeutet Datenresidenz bei KI-Support?

Ich baue Integrationen bei eesel, und im KI-Support wird ein einzelnes Ticket weit öfter kopiert, als Käufer erwarten. Es liegt in Ihrem Helpdesk. Eine Kopie landet im Suchindex des KI-Tools, damit der Agent ähnliche frühere Tickets findet. Der Text geht an ein Large Language Model, das eine Antwort schreibt. Und Spuren von all dem landen in Logs und Backups. Jede dieser Stationen kann in einem anderen Land liegen.

Deshalb teile ich die Frage in zwei:

• Datenresidenz (Speicherung): wo Tickets, Anhänge, Embeddings und Backups liegen, wenn nichts passiert.
• Verarbeitungsresidenz (Inferenz): wo das Modell tatsächlich läuft, wenn es ein Ticket liest und eine Antwort schreibt.

Anbieter sind beim ersten Punkt meist präzise und beim zweiten vage. Die Dokumentation von OpenAI zieht die Linie klar: Inhalte werden "stored at rest in the selected region", und nur manche Regionen führen auch die Inferenz dort aus. Die Dokumentation zur Datenresidenz nennt Australien, Kanada, Japan, Indien, Singapur, Südkorea und das Vereinigte Königreich als Regionen nur für Speicherung.

Das kommt in echten Verkaufsgesprächen vor. Ein dänisches Telematik-Team sagte uns, ihre Sicherheitsprüfung sei eine harte Hürde vor jedem Test, und ihre erste Frage war, ob Ticketdaten mit Kartennummern und Passwörtern in ihrer Umgebung bleiben. Ein Evaluator aus der Halbleiter-Hardware wollte wissen, ob der Agent still "uses some kind of other ChatGPT", wenn er eine Antwort nicht kennt. Und ein nordisches Compliance-Softwareunternehmen für HR sagte es klar, als es hatte, was es brauchte:

"We needed a turnkey solution for Confluence that met our GDPR requirements and could serve different teams through dedicated Slack bots. eesel AI delivered exactly that, with EU data residency included."

Flemming Ottosen, Development Director, Simployer

Wenn Sie mit dem eesel CLI arbeiten, kann ein KI-Coding-Agent wie Claude Code Ihre freigegebenen Hilfeartikel und Makros hochladen und dem Agent dann Testfragen stellen, bevor etwas live geht. Das Helpdesk selbst anzubinden muss weiterhin jemand mit Admin-Zugriff freigeben.

Verlangt die DSGVO tatsächlich EU-Datenresidenz?

Nein, und das ist der Teil, den ich am häufigsten falsch verstanden sehe. Nirgends in der DSGVO steht, dass personenbezogene Daten in der EU gespeichert werden müssen. Geregelt wird die Übermittlung aus dem EWR, in Kapitel V. Artikel 44 sagt, dass eine Übermittlung nur stattfinden darf, wenn die Bedingungen des Kapitels erfüllt sind.

Für einen US-Anbieter gibt es zwei übliche Wege:

• Angemessenheit (Artikel 45). Das EU-US Data Privacy Framework erlaubt den Datenfluss an US-Unternehmen, die sich selbst zertifiziert haben. Es gilt nur für Unternehmen auf der DPF-Liste, prüfen Sie also den KI-Anbieter und dessen Modellanbieter.
• Standardvertragsklauseln (Artikel 46). Die SCC von 2021 bringen eine eingebaute Prüfung der Übermittlung mit. Klausel 14 verlangt, "the length of the processing chain" und "intended onward transfers" abzuwägen, was einen KI-Support-Stack gut beschreibt: Helpdesk, dann KI-Anbieter, dann Modellanbieter.

Das DPF gilt im November 2026. Das Gericht der EU hat es im September 2025 in der Rechtssache Latombe/Kommission bestätigt. Ein Rechtsmittel beim Gerichtshof (C-703/25 P) ist weiterhin anhängig, und die beiden Vorgänger wurden in Schrems I und II gekippt. Deshalb verlangen viele EU-Käufer weiterhin SCC oder EU-Hosting als Rückfallebene.

Warum "in der EU gehostet" das Gespräch nicht beendet

Die für Support-Teams wichtigste Aussage stammt vom EDSA. Seine Leitlinien 05/2021 sagen, ein Fernzugriff aus einem Drittland "is also considered to be a transfer", selbst wenn nur "displaying personal data on a screen, for example in support situations".

Liegen Ihre Tickets also in Frankfurt, der KI-Anbieter verarbeitet sie aber in Virginia oder US-Ingenieure des Anbieters können sie öffnen, ist das weiterhin eine Übermittlung und braucht weiterhin DPF oder SCC. EU-Speicherung verkleinert das Problem. Sie beseitigt es nicht.

Wenn Sie sich außerdem mit dem EU AI Act befassen, ist das ein eigener Pflichtenkatalog. Ich behandle ihn in meinem Leitfaden zum EU AI Act.

Und außerhalb der EU?

Die meisten anderen Datenschutzgesetze funktionieren genauso: Verantwortung für Übermittlungen, keine erzwungene lokale Speicherung. China ist die wichtigste Ausnahme.

Was kann "EU-Verarbeitung" auf Modellebene bedeuten?

Wenn ein Anbieter sagt, die KI laufe "in der EU", kann das dreierlei bedeuten. Die Modellanbieter bieten alle dieselben drei Optionen unter verschiedenen Namen an.

• Global. Die Anfrage geht dorthin, wo gerade Kapazität frei ist. Google sagt es offen: Ein globaler Endpunkt "may be processed in any Google Cloud location" und gibt keine Residenzgarantie.
• Geografie. Die Verarbeitung bleibt in einer Zone wie der EU, aber der Anbieter wählt die Region. Azures Data Zone und die eu.-Cross-Region-Profile von Bedrock funktionieren so. Azures EU-Zone folgt der EU Data Boundary, die Norwegen und die Schweiz einschließen kann, und Microsoft "can add regions to either data zone without prior notice".
• Einzelne Region. Eine benannte Region, etwa Frankfurt. Das gibt die meiste Kontrolle, aber neue Modelle kommen hier zuletzt an. Microsoft sagt, geografiebasierte Bereitstellungen "have no guaranteed availability date".

So stehen die wichtigsten Anbieter im November 2026 da:

Der Preisaufschlag ist konstant: etwa 10 % auf den Listenpreis bei jedem Anbieter, der die Option bietet. Bei einem Support-Stack ist das neben den Helpdesk-Lizenzen meist klein, aber es ist real, und es ist ein Grund, warum ein Anbieter still auf globales Routing voreinstellt.

Einen breiteren Vergleich dieser Modell-APIs finden Sie unter OpenAI vs Anthropic vs Gemini.

Welche Helpdesk-KI hält Daten in der Region?

Ich habe die Residenzseiten und Unterauftragsverarbeiter-Listen jedes Anbieters durchgesehen. Jedes Helpdesk unten außer Help Scout kann Daten in Europa speichern. Ob die KI folgt, hängt vom Anbieter, von der Region und manchmal vom Erstellungsdatum Ihres Kontos ab.

Wählen Sie unten Ihr Helpdesk, um den wichtigsten Haken dafür zu sehen.

Zendesk: kostenlos, aber Sie müssen es einschalten

Das Add-on Data Center Location von Zendesk ist "free of charge for Zendesk Suite Professional or higher plans, but it is not automatically activated". Bis es aktiv ist, kann Zendesk nach eigener Aussage Kontodaten "between regions without notice" verschieben. Auf der KI-Seite sagt Zendesk, Modellanbieter speichern nichts: "all processing occurs with zero data retention", und man sei "one of the first companies to access OpenAI's European endpoints".

Die Ausnahmen stehen in der Richtlinie zum regionalen Hosting: AI-Agents-Konten, die vor dem 10. März 2026 erstellt wurden, unterstützen nur EWR-Hosting (Belgien) oder US-Hosting, und Forethought AI Agents sind nicht abgedeckt. Mehr dazu in meinem Blick auf den Datenschutz bei Zendesk AI.

Freshdesk: standardmäßig in der Region, mit regionalen Ausnahmen

Freshworks sagt, Daten von Freddy AI Copilot würden standardmäßig "processed and stored within your local data centers", und Funktionen, die Verarbeitung außerhalb der Region brauchen, seien standardmäßig deaktiviert. Die Ausnahmen sind Konten in Indien, Australien und dem Nahen Osten. Wenn Sie Freddy AI für ein EU-Team abwägen, ist Residenz einer der stärkeren Punkte, da Freddy auf Azure OpenAI läuft.

HubSpot: die klarste Tabelle von allen

HubSpot veröffentlicht pro Rechenzentrum eine Spalte, die zeigt, wo jeder KI-Anbieter Daten verarbeitet. Für EU-Konten läuft OpenAI im "European Economic Area and Switzerland". Für Kanada und Australien sind es die USA.

Die Websuche-Tools, die HubSpot AI nutzt (Bright Data und Exa), laufen laut Seite der Unterauftragsverarbeiter in jedem Rechenzentrum in den USA. Wenn das für Sie zählt, prüfen Sie, ob sich die KI-Websuche abschalten lässt. Mein Beitrag zu Alternativen für HubSpot Service Hub AI behandelt den Rest des KI-Stacks.

Help Scout und Gorgias: kein Versprechen für KI in der Region

Help Scout wird "on AWS servers in the United States" gehostet, ohne EU-Option, und AI-Assist-Daten "will be stored by OpenAI for up to 30 days". Gorgias hostet EU-Shops in der EU, führt seine KI-Anbieter aber nur in den USA. Das schließt sie für EU-Teams nicht aus. Sie stützen sich auf Übermittlungsinstrumente statt auf Residenz. Wenn Residenz eine harte Anforderung ist, sehen Sie Help Scout AI Alternativen oder Gorgias AI Agent Preise, um zu sehen, was der Umstieg kostet.

Welche Lücken lassen Anbieter in der Schlagzeile weg?

Die Residenzseite deckt meist die Ticketspeicherung ab. Diese Teile liegen oft außerhalb, alle aus dem Kleingedruckten der Anbieter:

1. Ausweich-Routing. Salesforce leitet eine fehlgeschlagene Anfrage "to another region to avoid returning an error" um, sofern Sie nicht reine In-Region-Anfragen aktivieren. Das ist ein vernünftiger Standard für Verfügbarkeit und eine Überraschung bei einem Residenz-Audit.
2. System- und Kontodaten. OpenAI sagt, Residenz "does not apply to system data", womit Metadaten, Nutzung und Abrechnung gemeint sind.
3. Logs und Backups. Die Richtlinie von Front sagt, Backups und Logs "may be otherwise processed outside of the EEA and the US".
4. Add-on-Funktionen. Zendesk-Sprachtranskription ist nur US, HubSpots KI-Websuche ist nur US, und Google speichert Search-Grounding-Logs bis zu drei Tage.
5. Alter des Kontos. Zendesk AI Agents und Salesforce Generative AI behandeln ältere Konten anders als neue.

Nichts davon ist versteckt. Es steht nur nicht auf der Verkaufsfolie. Die Sicherheits-Checkliste für KI-Support-Anbieter hat eine breitere Liste, und PII-Schwärzung verkleinert, was offenliegt, falls doch etwas die Region verlässt.

Was sollten Sie einen KI-Support-Anbieter fragen?

Schicken Sie diese Fragen vor der Demo, nicht danach. Ein Anbieter, der seinen eigenen Stack kennt, beantwortet sie in fünf Minuten.

• Wo werden Tickets, Anhänge und der Suchindex gespeichert? Fragen Sie nach der Region, nicht nach "der EU".
• Wo läuft das Modell, und welcher Anbieter betreibt es? Fragen Sie, ob es global, eine Geografie oder eine einzelne Region ist.
• Kann eine Anfrage in eine andere Region ausweichen? Wenn ja, fragen Sie, wie man das abschaltet.
• Welche Funktionen sind ausgenommen? Sprache, Websuche, Analytics und Qualitätsbewertung sind die üblichen.
• Wohin gehen Logs und Backups, und wie lange?
• Wer kann von außerhalb der Region auf die Daten zugreifen? Nach den EDSA-Leitlinien zählen Support-Ingenieure dazu.
• Wird das Modell mit unseren Tickets trainiert? Lassen Sie sich das "Nein" im AVV geben, nicht in einem Blog.

Wenn Sie einen formalen Prozess fahren, macht meine RFP-Vorlage für KI-Support daraus bewertbare Fragen, und Sicherheitsprüfung durchführen klärt, wer welchen Schritt verantwortet.

Für stark regulierte Teams gehen KI für regulierte Branchen und HIPAA-konforme KI weiter.

Wie handhabt eesel die Datenresidenz?

Ich zeige lieber das eigene Setup von eesel mit derselben Ehrlichkeit, die ich bei allen anderen angewandt habe, hier also aus unserem Trust Center und der Liste der Unterauftragsverarbeiter:

• Standard: Die Produktion läuft auf AWS in den USA (N. Virginia).
• EU-Workspaces: gespeichert auf AWS in Irland, mit dem Suchindex in der EU auf Pinecone. Die Preisseite nennt "EU or US data residency" bei den Tarifen Free und Teammate.
• KI-Verarbeitung in der EU: Standardmäßig gehen Modellaufrufe an die Anbieter auf der Liste der Unterauftragsverarbeiter, die in den USA sitzen. Um die KI-Verarbeitung in der EU zu halten, führt die Bedrock-Option jeden Modellaufruf auf AWS Bedrock im eigenen AWS-Konto von eesel aus, auf Anfrage in EU-Regionen. Es ist dasselbe Setup wie bei unseren HIPAA-Workspaces, und Tools wie die Websuche, die Inhalte anderswohin senden würden, sind abgeschaltet.
• Was weiterhin außerhalb liegt: Agent-Sandboxes werden von Vercel in den USA gehostet, auch bei der Bedrock-Option. Das steht auf der Seite der Unterauftragsverarbeiter, und Sie sollen es lieber zuerst hier lesen.
• Training und Aufbewahrung: eesel trainiert oder feintunt keine Modelle mit Ihren Daten. Backups sind verschlüsselt und laufen innerhalb von 35 Tagen nach dem Löschen eines Workspaces aus.

Viele unserer Kunden sind europäische Teams, die in ihrer eigenen Sprache antworten. smava in Berlin bearbeitet etwa 27,000 Zendesk-Kredittickets pro Monat, sortiert und auf Deutsch vorformuliert. Timengo, das in Dänemark sichere E-Mail-Software herstellt, formuliert dänische Antworten aus etwa 5,300 früheren Tickets und Artikeln vor. Dokument 24 bekommt bei jedem neuen Zendesk-Ticket einen dänischen Entwurf und ein Produkt-Tag.

Wenn Sie Tools für ein solches Team vergleichen, ist beste KI für mehrsprachigen Support eine gute nächste Lektüre.

Das SOC-2-Type-II-Audit von eesel läuft, der Beobachtungszeitraum reicht bis zum 31. Dezember 2026. Wenn ein fertiger Bericht heute eine harte Anforderung ist, ist das ein berechtigter Grund zu warten.

eesel auf einem EU-Workspace testen

Wenn Ihr Team europäische Kunden betreut und die KI ebenfalls in Europa bleiben muss, ist eesel ein KI-Helpdesk-Teammate, das Ihrer bestehenden Zendesk-, Freshdesk- oder Gorgias-Warteschlange beitritt und Antworten aus Ihren früheren Tickets und Ihrem Help Center vorformuliert.

Richten Sie den Workspace in der EU ein, fragen Sie nach EU-Modellverarbeitung mit der Bedrock-Option, und führen Sie eine Simulation mit Ihren eigenen gelösten Tickets durch, bevor jemand einen AVV unterschreibt. Sie erhalten unsere vollständige Liste der Unterauftragsverarbeiter mit Standorten vorab, damit Ihr Datenschutzteam jede Station auf der Karte prüfen kann. Der Teammate-Tarif beginnt bei $299 im Monat für 500 Credits, und der Enterprise-Tarif ergänzt individuelle Datenresidenz und einen BAA. eesel testen.