Du fragst das Plattform-Team, wo das Modell läuft, und bekommst eine Region zur Antwort: „Frankfurt.“ Du atmest auf. Noch in derselben Nacht fragt der Agent, um einen Kundenfall zu lösen, ein CRM in der Cloud eines Dritten ab, ruft ein externes Suchtool auf, schickt den Text durch einen MCP-Server, den im März jemand installiert hat, und versucht es, wenn der Hauptanbieter überlastet ist, bei einem anderen Modell in einer anderen Region noch einmal. Frankfurt war ein Glied von fünf.
Die These in einer Zeile: Die Datensouveränität eines Agenten entscheidet nicht, wo das Modell läuft; sie entscheidet jedes Glied der Kette, die der Agent für seine Arbeit abläuft. Ein Perimeter, der nur das Modell im Blick hat, ist ein Schloss an einer Tür mit vier offenen Fenstern.
Datensouveränität bei KI-Agenten: Jeder Aufruf entscheidet, nicht das Modell
Ein klassischer Chatbot hatte eine leicht zu ziehende Grenze: Der Nutzer schreibt, das Modell antwortet, die Daten laufen über eine einzige Stelle hin und zurück. Ein Agent sprengt diese Geometrie, weil er handelt: Er liest in einem System, schreibt in einem anderen, bittet ein Tool um Hilfe, speichert Gedächtnis. Jede dieser Aktionen ist ein Netzwerkaufruf, und jeder Netzwerkaufruf ist eine Entscheidung darüber, wohin die Daten gehen, wer sie verarbeitet und wie lange er sie behält. „Wo lebt unser Agent?“ hat keine brauchbare Antwort. Die Frage, die eine hat, lautet: „Wohin geht jedes Byte dieses Durchlaufs?“
Enthält der Durchlauf personenbezogene Daten, ist jedes Ziel datenschutzrechtlich eine Verarbeitung mit eigenem Anbieter, eigenem Auftragsverarbeitungsvertrag und, wenn es den Europäischen Wirtschaftsraum verlässt, eigener Übermittlungsgrundlage. Ein Agent ändert die Regeln nicht: Er vervielfacht die Orte, an denen du sie anwenden musst. Warum das Label „Enterprise“ keine Garantie ist, haben wir schon in Generative KI und DSGVO: Was dein Anbieter dir nicht erzählt erklärt; bei Agenten ist das Problem kein Vertrag mehr, sondern ein Weg.
Die fünf Glieder einer Agentenkette und was bei jedem rausgeht
| Glied | Was rausgehen kann | Die entscheidende Frage |
|---|---|---|
| Hauptmodell | Der komplette Prompt: Anweisungen, abgerufener Kontext und Falldaten | In welcher Region wird verarbeitet und gespeichert, und unter welchem Vertrag? |
| Tools und APIs | Die Parameter jedes Aufrufs: Namen, Beträge, Kennungen | Welche Felder bekommt das Tool wirklich, und braucht es alle? |
| MCP-Server und Konnektoren | Was der Server anfordert und der Agent ihm übergibt, manchmal an einen Dritten | Wer betreibt ihn, wo läuft er und wer hat ihn freigegeben? |
| Ausweichmodell | Dieselbe Anfrage, an einen anderen Anbieter oder eine andere Region weitergeleitet, wenn das Hauptmodell ausfällt | Erlaubt deine Richtlinie dieses Ausweichen, oder springt es von selbst an? |
| Gedächtnis, Traces und Embeddings | Kopien der Daten in Vektoren, Logs und Observability-Tools | Wer sieht die Traces, wie lange werden sie aufbewahrt und wo liegen sie? |
MCP verdient eine eigene Zeile. Es ist der Standard, der einen Agenten über Server mit Tools und Daten verbindet, und diese Server können deine sein, die eines Anbieters oder die eines Dritten, den jemand der Bequemlichkeit halber installiert hat (wir erklären, was MCP ist und warum es Unternehmens-Agenten verändert). Ein Remote-Server erhält alles, was der Agent ihm schickt. Ihn als „Plugin“ zu behandeln heißt, einen Unterauftragsverarbeiter wie eine Browser-Erweiterung zu behandeln.
Am meisten lecken das vierte und das fünfte Glied, aus demselben Grund: Sie funktionieren, solange du sie nicht siehst. Das Ausweichmodell ist ein nützliches Sicherheitsnetz: Das Hauptmodell liefert einen Fehler, der Router versucht es beim nächsten der Liste, und der Nutzer merkt nichts. Deine Datenrichtlinie auch nicht, die „nur EU-Region“ sagte und denselben Prompt gerade in eine andere geschickt hat. Traces sind genauso still: Das Tool, das dir beim Debuggen hilft, speichert, wenn du es nicht bewusst anders konfiguriert hast, eine wörtliche Kopie jeder Unterhaltung.
Und der Rechtsrahmen für Übermittlungen? Auch er ist keine Konstante
Ein Teil der Antwort auf „Darf ich das an einen US-Anbieter schicken?“ beruht auf dem EU-US Data Privacy Framework. Das Gericht der EU bestätigte seine Gültigkeit am 3. September 2025 und wies die Klage von Philippe Latombe ab; Latombe legte am 31. Oktober 2025 Rechtsmittel beim Gerichtshof ein (Quelle: WilmerHale, Dezember 2025). Geltungsbereich: EU-Recht; es betrifft personenbezogene Daten, die den EWR in Richtung zertifizierter US-Unternehmen verlassen, und lässt sich nicht auf andere Rechtsordnungen übertragen.
Wie du die Souveränität eines Agenten ohne Plattform-Team prüfst
Du brauchst kein Sechs-Monats-Projekt. Du brauchst einen echten Durchlauf und eine Stunde:
- Nimm eine echte Anfrage, eine mit Kundendaten, und führe sie mit aktiviertem Netzwerk-Log oder aktivierten Traces des Agenten aus.
- Notiere jedes Ziel, an das Verkehr geht: Domain, Anbieter und Region, wenn du sie kennst. Meist sind es mehr, als du erwartet hast.
- Markiere die mit personenbezogenen oder vertraulichen Daten und schreibe zu jedem drei Dinge auf: Vertrag, Region und Aufbewahrungsdauer. Wo du eines nicht ausfüllen kannst, ist dein Befund.
- Entscheide pro Glied: abschalten, minimieren (nur die nötigen Felder senden), vor dem Versand pseudonymisieren oder den Anbieter wechseln.
- Behalte das Ergebnis als lebende Karte: eine Seite mit den freigegebenen Zielen. Jedes neue Glied — ein Tool, ein MCP-Server, ein Ausweichmodell — kommt auf die Karte, bevor es in Produktion geht.
Zwei Bausteine machen es leichter, als es aussieht. Der erste sind die Berechtigungen eines KI-Agenten: Ein Agent mit eigener Identität und Aufgabenbereich begrenzt schon, welche Daten bei welchem Tool ankommen. Der zweite ist die Wahl, welches Modell du in einem Agenten nutzt, mit Region und Vertrag auf dem Tisch statt nur der Genauigkeit. Und wenn deine Antwort auf „Hosten wir selbst?“ ja lautet, lies vorher, wann sich Self-Hosting lohnt und was es wirklich löst: Die Engine zu hosten schließt die anderen vier Glieder nicht.
Hat die Karte mehr Ziele, als dein Team prüfen kann, ist das Arbeit für Datengovernance, und der Teil, der belegt, was bei jedem Durchlauf passiert ist, ist die Nachvollziehbarkeit von KI-Entscheidungen.
Wann es weniger braucht
Wenn dein Agent nur öffentliche oder nicht personenbezogene Informationen berührt — etwa einer, der offene Dokumentation zusammenfasst — und in kein System schreibt, ist die Fünf-Glieder-Karte übertrieben: Es reicht zu wissen, welcher Anbieter ihn ausführt. Und alles im eigenen Haus zu hosten ist keine Automatiklösung: Ein Modell auf deiner Infrastruktur, das die vollständigen Daten an ein externes Tool übergibt, leckt weiter; es hat nur das Glied gewechselt. Das alles ist betriebliches Urteilsvermögen, keine Rechtsberatung: Die Rechtsgrundlage jeder Übermittlung prüft dein Datenschutzbeauftragter oder deine Beratung.
Der Satz zum Mitnehmen: Frag nicht, wo das Modell läuft, frag, wohin jeder Aufruf geht. Die erste Frage hat eine bequeme Antwort. Die zweite hat eine Liste, und diese Liste musst du zeigen können.