Stand: September 2026. Deutsche Aufsichtsbehörden gehen gegen die DeepSeek-App vor. Das betrifft den Dienst des Anbieters, nicht die frei verfügbaren Modellgewichte. Wer die Modelle selbst betreibt, ist von diesem Vorgang rechtlich nicht erfasst — muss dafür aber andere Fragen beantworten.

Was tatsächlich passiert ist

Die Berliner Datenschutzbeauftragte hat DeepSeek bereits im Mai 2025 aufgefordert, die App entweder aus dem deutschen Angebot zu nehmen oder die Datenübermittlung rechtskonform zu gestalten. Da dies nicht geschah, nutzte die Behörde das Instrument aus Artikel 16 des Digital Services Act und informierte Apple und Google über die Rechtsverstöße.

Der Kern der Beanstandung: DeepSeek räumt ein, eine Vielzahl personenbezogener Daten auf Servern in China zu speichern — darunter die Anfragen an die KI und die von Nutzern hochgeladenen Dateien. Das Unternehmen konnte nicht überzeugend nachweisen, dass diese Daten dort auf einem der EU gleichwertigen Niveau geschützt sind.

Bereits heruntergeladene Apps funktionieren nach einer Entfernung weiter, erhalten aber keine Updates mehr und lassen sich nicht neu installieren.

Warum das über das Modell nichts aussagt

Die Beanstandung richtet sich gegen einen Datenverarbeitungsvorgang: Daten verlassen die EU und landen auf Servern in einem Drittland ohne Angemessenheitsbeschluss. Das ist ein Vorwurf an den Betrieb des Dienstes — nicht an die Mathematik im Modell.

Die Modellgewichte sind eine Datei. Wenn Sie diese Datei herunterladen und auf einem Server in Frankfurt betreiben, findet keine Übermittlung nach China statt. Es gibt keinen Rückkanal, keine Telemetrie und keinen Anbieter, der etwas mitlesen könnte. Die datenschutzrechtliche Bewertung ist damit eine völlig andere.

Ein Modell ist kein Dienst. Wer beides gleichsetzt, verbietet sich Werkzeuge, die er gefahrlos nutzen könnte — und übersieht Risiken, die woanders liegen.
NutzungsformWohin fließen Daten?Bewertung
App des Anbieters Server in China Von Behörden beanstandet
API des Anbieters Server in China Gleiche Problematik wie die App
Gewichte bei EU-Hoster Rechenzentrum in der EU Kein Drittlandtransfer
Gewichte im eigenen Haus Verlassen das Netzwerk nicht Volle Kontrolle

Welche Fragen dann übrig bleiben

Selbstbetrieb löst die Transferfrage, aber er löst nicht alles. Drei Punkte sollten Sie unabhängig von der Herkunft eines Modells prüfen:

Lizenz

Erlaubt die Lizenz kommerzielle Nutzung, Weitergabe und Feintuning? Bei chinesischen Modellen ist die Lage hier oft besser als bei manchen westlichen: DeepSeek-Modelle stehen unter MIT-Lizenz, viele Qwen-Varianten unter Apache 2.0. Beides ist ausgesprochen permissiv.

Inhaltliche Ausrichtung

Modelle spiegeln die Rahmenbedingungen ihrer Entstehung. Bei politisch oder historisch sensiblen Themen können die Antworten chinesischer Modelle Auslassungen oder Färbungen zeigen. Für die meisten betrieblichen Aufgaben — Protokolle zusammenfassen, Angebote formulieren, Code prüfen — ist das ohne Belang. Für Recherche zu geopolitischen Themen wäre es eines.

Herkunft der Datei

Laden Sie Gewichte aus vertrauenswürdigen Quellen und prüfen Sie Prüfsummen. Das gilt für jedes Modell unabhängig vom Herkunftsland — ist aber der Punkt, an dem echte Lieferkettenrisiken entstehen, und damit auch ein Thema für NIS2.

Was das für die Praxis heißt

  1. Trennen Sie Dienst und Modell in Ihren internen Richtlinien. Ein pauschales „keine chinesische KI“ ist unpräzise und führt zu falschen Entscheidungen in beide Richtungen.
  2. Verbieten Sie die Apps und APIs von Anbietern ohne EU-Verarbeitung — das gilt für chinesische wie für andere Drittlandanbieter gleichermaßen.
  3. Erlauben Sie geprüfte Gewichte auf eigener oder europäischer Infrastruktur. Dokumentieren Sie Modell, Version, Lizenz und Bezugsquelle.
  4. Beschreiben Sie Ausnahmen fachlich. Wenn ein Anwendungsfall politisch sensibel ist, gehört das in die Richtlinie — nicht als Länderverbot, sondern als Themenhinweis.
Die unbequeme Symmetrie: Die Argumentation gegen Server in China ist dieselbe wie die gegen Server in den USA — Daten verlassen die EU in ein Land, dessen Schutzniveau nicht gesichert ist. Wer das eine ablehnt und das andere selbstverständlich nutzt, sollte sich das bewusst machen. Mehr dazu im Beitrag zum Data Privacy Framework.

Fazit

Der Vorgang um die DeepSeek-App ist ein gutes Beispiel dafür, wie schnell aus einer präzisen behördlichen Maßnahme eine unpräzise Faustregel wird. Beanstandet wurde ein Datentransfer, nicht ein Modell.

Für Unternehmen, die ihre KI selbst betreiben, ergibt sich daraus sogar eine komfortable Lage: Sie können auf einige der stärksten und zugleich freizügigst lizenzierten Modelle zugreifen — ohne die Datenschutzfrage, die den Anbieterdienst betrifft.

Nächster Schritt

Starke Modelle nutzen, ohne Daten abzugeben

Wir richten Ihre Plattform mit den Modellen ein, die zu Ihrer Aufgabe passen — betrieben in Deutschland oder in Ihrem eigenen Rechenzentrum.

Beratung anfragen +49 40 743 023 37
Kostenloses Erstgespräch Hosting in Deutschland Keine Produktbindung

Quellen: netzpolitik.org — Datenschutzbehörde greift ein, Science Media Center — Einordnung, IT-Administrator — Hintergrund. Der Beitrag ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.

Zuletzt aktualisiert am