Russische KI-Agentur und Ihre Firma in Deutschland: Was Sie vor der Unterschrift prüfen sollten
- Von 13 geprüften russischsprachigen KI-Unternehmen ist keines in Deutschland oder der EU registriert.
- Gegenüber der Aufsichtsbehörde haftet Ihre Firma, nicht der Dienstleister – egal, wo er sitzt.
- Fordern Sie vor der Zahlung schriftlich drei Dinge an: den AVV, die Liste der Unterauftragnehmer und den Speicherort der Daten.
Die Ausgangslage kennen viele: Sie haben eine Firma in Deutschland, suchen jemanden, der KI bei Ihnen einführt, und stoßen auf ein russischsprachiges Team. Die Verständigung ist leicht, die Preise sind angenehm, die Antworten kommen schnell. Danach beginnt das, worüber im Erstgespräch meist niemand spricht.
Wir haben 13 russischsprachige Unternehmen geprüft, die Firmen die Einführung von KI verkaufen. Keines davon ist in Deutschland oder der EU registriert: Zehn arbeiten aus Russland, zwei sind in Länder außerhalb Europas umgezogen, bei einem ließ sich der Sitz nicht klären.
Was die Zusammenarbeit tatsächlich blockiert
Ein formales Verbot gibt es nicht: Die DSGVO verlangt an keiner Stelle, dass der Auftragsverarbeiter in der EU sitzt. Aber „nicht verboten“ und „funktioniert“ sind zwei verschiedene Dinge. Es gibt fünf Hürden, und keine davon lässt sich mit einer Unterschrift unter den Vertrag beseitigen: Die erste ist rechtlicher Natur, die übrigen vier sind praktischer Natur.
| Hürde | Warum der Vertrag nicht hilft |
|---|---|
| Die Übermittlung hat keine Grundlage | Für Russland gibt es keinen Angemessenheitsbeschluss der EU-Kommission (Art. 45). Übrig bleibt nur der Weg über Art. 46 – die Standardvertragsklauseln. Seit dem Schrems-II-Urteil des EuGH reichen die SCC allein nicht mehr: Der Datenexporteur muss prüfen, ob das Recht des Drittlands diese Garantien aushöhlt, und zusätzliche Maßnahmen ergreifen. Verarbeitet der Dienstleister die Daten im Klartext, gibt es solche Maßnahmen schlicht nicht |
| Die Zahlung geht nicht durch | Deutsche Banken lehnen Zahlungen nach Russland auch dort ab, wo das Gesetz sie erlaubt: Das entscheidet die Compliance-Abteilung der Bank, und eine Begründung schuldet sie Ihnen nicht |
| Den Auftragsverarbeiter können Sie nicht kontrollieren | Art. 28 verlangt nicht nur einen unterschriebenen AVV, sondern auch die tatsächliche Möglichkeit, den Auftragsverarbeiter zu kontrollieren. Ein Audit beim Dienstleister in Russland werden Sie nicht durchführen, und die Verantwortung gegenüber der Aufsichtsbehörde bleibt vollständig bei Ihnen |
| Der Vertrag lässt sich nicht durchsetzen | Ein deutsches Gerichtsurteil wird in Russland derzeit nicht vollstreckt: Sie haben zwar einen Vertrag, aber keinen Mechanismus, um den Dienstleister zur Erfüllung zu zwingen |
| Einen Abfluss von geistigem Eigentum können Sie nicht nachweisen | Ob Quellcode, Prompts und Daten abgeflossen sind oder nicht, lässt sich weder prüfen noch beweisen, und bestrafen lässt es sich erst recht nicht |
Genau deshalb diskutieren große deutsche Auftraggeber keine Feinheiten, sondern schreiben es direkt in ihre Einkaufsregeln: Unterauftragsvergabe nach Russland verboten, Auftragsverarbeiter nur in der EU/im EWR. Wenn Sie für solche Kunden arbeiten, ist die Frage beantwortet, bevor Sie sie gestellt haben.
Alles Weitere gilt für den Fall, dass Sie trotzdem einen Dienstleister außerhalb der EU brauchen.
Wo genau die Lücke entsteht
Für die personenbezogenen Daten Ihrer Kunden sind Sie als Verantwortlicher zuständig, nicht der Dienstleister. Er ist Auftragsverarbeiter, und das Verhältnis zu ihm regeln Sie in einem Auftragsverarbeitungsvertrag (AVV nach Art. 28 DSGVO). Sitzt der Dienstleister außerhalb der EU, kommt die Frage der Datenübermittlung in ein Drittland hinzu – Art. 44–49 DSGVO.
| Was selten gefragt wird | Warum es wichtig ist |
|---|---|
| Ob es einen AVV gibt und in welcher Sprache | Ohne Auftragsverarbeitungsvertrag ist Art. 28 nicht erfüllt, selbst wenn tatsächlich alles sicher ist |
| Wo die Daten physisch liegen | Ein Server in einem Drittland bedeutet eine Übermittlung, und die braucht eine Rechtsgrundlage |
| Welche Unterauftragnehmer beteiligt sind | KI-Modell, Hosting, Analytics – jeder von ihnen ist ebenfalls Auftragsverarbeiter |
| Was bei Vertragsende passiert | Wer die Daten löscht, in welcher Frist und womit er es nachweist |
| Wer gegenüber Ihrem Kunden haftet | Gegenüber der Aufsichtsbehörde haften Sie, nicht der Dienstleister |
Zum russischen Gesetz 152-FZ – und warum es keine Nebensache ist
Das russische Datenschutzrecht verlangt Lokalisierung: Die Daten russischer Staatsbürger müssen auf Servern in Russland gespeichert werden. Ein Unternehmen, das unter dieser Vorgabe arbeitet, hat seine Infrastruktur entsprechend aufgebaut. Ihre deutschen Daten landen dann in einem System, das für einen anderen Rechtsrahmen entworfen wurde.
Das heißt nicht, dass eine Zusammenarbeit unmöglich ist. Es heißt, dass die Frage „Wo liegen die Daten, und auf welcher Grundlage sind sie dorthin gelangt?“ keine Formsache mehr ist. Sie braucht vor dem Start eine schriftliche Antwort, nicht erst nach der Anfrage einer Aufsichtsbehörde.
Die praktische Seite, nicht die juristische
Neben dem Recht gibt es Alltagsthemen, die nach etwa drei Monaten auftauchen:
- Bezahlung. Rechnungen in Rubel, Überweisungen über Drittländer, keine deutsche Rechnung mit korrekter Umsatzsteuer – Ihr Steuerberater wird Fragen stellen.
- Zeitverschiebung und unterschiedliche Rechtsordnungen im Störungsfall. Wenn der Bot am Freitagabend aufhört, Kunden zu antworten, zählt, wen Sie anrufen können.
- Vertrag und Gericht. Nach welchem Recht und vor welchem Gericht Sie streiten, wenn die Arbeit nicht erledigt wird.
Was die Auswahl einfach macht
Eine Frage klärt fast alles: Bitten Sie darum, Ihnen den AVV, die Liste der Unterauftragnehmer und den Speicherort der Daten zu zeigen – schriftlich, vor der Zahlung. Ein Dienstleister, der das parat hat, antwortet innerhalb eines Tages. Wer es nicht hat, fängt an zu erklären, dass „das niemand braucht“.
Wir prüfen, wie es bei Ihnen mit den Daten steht
Wir sehen uns an, welche Dienste die Daten Ihrer Kunden verarbeiten, wo sie liegen und was in den Unterlagen fehlt.
Analyse anfordernHäufige Fragen
Darf ich als Firma in Deutschland mit einem KI-Dienstleister aus Russland arbeiten?
Ein formales Verbot gibt es nicht – weder durch Sanktionen noch in der DSGVO. Das Hindernis ist nicht das Recht, sondern die Praxis: Eine deutsche Bank wird die Zahlung wahrscheinlich nicht durchführen (das entscheidet die Compliance, nicht das Gesetz), den Auftragsverarbeiter können Sie vor Ort nicht kontrollieren, ein deutsches Gerichtsurteil wird in Russland nicht vollstreckt, und einen Abfluss von geistigem Eigentum können Sie nicht nachweisen. Deshalb verbieten große Auftraggeber die Unterauftragsvergabe nach Russland ausdrücklich in ihren Einkaufsregeln. Dazu kommt eine rechtliche Hürde: Einen Angemessenheitsbeschluss nach Art. 45 gibt es für Russland nicht, die Übermittlung ist also nur über geeignete Garantien nach Art. 46 möglich, und nach Schrems II müssen diese zusätzlich durch eine Prüfung und ergänzende Maßnahmen abgesichert werden – für einen Dienstleister, der die Daten im Klartext verarbeitet, ist das praktisch nicht erreichbar. Die Verantwortung als Verantwortlicher bleibt dabei bei Ihrer Firma. Wichtig: Die DSGVO verlangt nicht die „Eurozone“, sondern die EU/den EWR oder ein Land mit Angemessenheitsbeschluss.
Was ist ein AVV, und ist er Pflicht?
Der Auftragsverarbeitungsvertrag ist der Vertrag über die Verarbeitung personenbezogener Daten im Auftrag und eine Anforderung aus Art. 28 DSGVO. Sie brauchen ihn immer, wenn ein externer Dienstleister die Daten Ihrer Kunden verarbeitet, unabhängig davon, in welchem Land der Dienstleister sitzt.
Wie wirkt sich das russische Gesetz 152-FZ auf meinen deutschen Kunden aus?
Das russische Gesetz verlangt, die Daten russischer Staatsbürger auf Servern in Russland zu speichern, deshalb ist die Infrastruktur des Dienstleisters auf diesen Rahmen ausgelegt. Für Ihre Firma heißt das: Die Frage nach Speicherort und Übermittlungsgrundlage braucht vor Arbeitsbeginn eine schriftliche Antwort. Die direkte Folge für Sie liegt nicht in der Lokalisierung selbst, sondern darin, dass die Daten in einer Rechtsordnung landen, in der Sie den staatlichen Zugriff weder prüfen noch begrenzen können – genau dieses Risiko müssen Sie nach Art. 44–49 DSGVO vor der Übermittlung bewerten und dokumentieren, nicht danach.
Welche Fragen sollte ich einem Dienstleister vor der Unterschrift stellen?
Fünf: Gibt es einen AVV, wo werden die Daten physisch gespeichert, welche Unterauftragnehmer sind beteiligt (Modell, Hosting, Analytics), was passiert bei Vertragsende mit den Daten, und nach welchem Recht und vor welchem Gericht werden Streitigkeiten entschieden.
Quellen
- 1.Art. 28 DSGVO — Auftragsverarbeiter — Anforderungen an den Auftragsverarbeitungsvertrag, Volltext auf DSGVO.pro
- 2.Art. 44 DSGVO — Allgemeine Grundsätze der Datenübermittlung — Übermittlung von Daten in Drittländer
- 3.Bestand von 26 deutschen Gesetzen auf DSGVO.pro — aktuelle Fassungen, werden durch automatische Überwachung aktualisiert
- 4.Art. 45 DSGVO — Datenübermittlung auf der Grundlage eines Angemessenheitsbeschlusses — Übermittlung auf Grundlage eines Beschlusses über ein angemessenes Schutzniveau
- 5.Art. 46 DSGVO — Datenübermittlung vorbehaltlich geeigneter Garantien — der Weg, der bleibt, wenn es keinen Beschluss nach Art. 45 gibt
- 6.Liste der Angemessenheitsbeschlüsse der EU-Kommission — Russland steht nicht auf der Liste; vor jeder Übermittlung die Aktualität prüfen
- 7.Eigene Marktuntersuchung, August 2026 — 13 russischsprachige und 15 deutschsprachige Unternehmen für KI-Einführung