Schrems II, AI Act, BaFin DORA — die Compliance-Lage hat sich 2026 komplett gedreht. Hier liest du, was DSGVO-konforme KI im Rhein-Main konkret heißt: drei Architektur-Modelle, Branchen-Realität, die Pflichten ab dem 02.08.2026 und ein Schnell-Check zum Selbstprüfen.
Bis vor Kurzem konnte ein Mittelständler im Rhein-Main beim Thema KI zwei Sätze sagen — „Wir prüfen das" und „Erstmal schauen, was die Großen tun" — und damit durchkommen. Diese Zeit ist vorbei. Drei Entwicklungen treffen jetzt gleichzeitig auf dich ein.
Schrems II hat den Boden unter US-Cloud-KI weggezogen. Der EuGH hat 2020 das Privacy-Shield gekippt; das EU-US Data Privacy Framework von 2023 wackelt politisch und juristisch. Wer Mandanten-, Patienten- oder Kundendaten in US-Cloud-KI lädt, muss ein Transfer-Impact-Assessment fahren — und kommt bei strenger Auslegung selten zu einem grünen Haken. Aufsichtsbehörden in Hessen, Baden-Württemberg und Bayern haben das in 2025 mehrfach klargestellt.
Der EU AI Act ist scharf gestellt. Seit dem 02.02.2025 gilt Art. 4 — KI-Kompetenz-Pflicht für alle Unternehmen, die KI einsetzen. Ab dem 02.08.2026 kommen die Pflichten für General-Purpose AI Models dazu. Wer das ignoriert, riskiert nicht nur Bußgelder bis 35 Millionen Euro oder 7 Prozent des Jahresumsatzes, sondern auch peinliche Audits — und im B2B-Vertrieb verlierst du Ausschreibungen, weil deine Kunden ihre eigene Compliance-Pflicht weitergeben.
BaFin DORA und VAIT zwingen Finanz- und Versicherungs-Häuser zum Handeln. Seit Januar 2025 ist DORA in Geltung. Frankfurter Banken, Wiesbadener Versicherer und ihre IT-Dienstleister müssen Drittparteirisiken aktiv steuern — und ein US-Cloud-KI-Anbieter ist erstmal ein Drittparteirisiko, das in der Risikomatrix landet. Wer schon mal eine Lieferantenliste an die BaFin geschickt hat, weiß: Je weniger riskante Drittländer drin sind, desto entspannter wird das Gespräch.
Übersetzt: Du musst dich nicht entscheiden, ob du KI nutzt. Du musst entscheiden, in welcher Architektur. Und genau diese Entscheidung ist im Rhein-Main wegen der Branchen-Dichte besonders heikel — und besonders lohnend, wenn du sie richtig triffst.
Wenn du im Mittelstand KI-Entscheidungen triffst, redest du eigentlich über eine Architektur-Frage. Hier sind die drei Modelle, ehrlich gegenübergestellt — keine Werbung, sondern das, was du in einem Audit erklären musst.
Du tippst in einen Browser, deine Eingaben gehen über den Atlantik zu einem US-Hyperscaler, das Modell antwortet, deine Daten sitzen je nach AGB beim Anbieter — manchmal zum Training, manchmal nur zur Speicherung. Für unkritische Inhalte (Marketing-Texte aus öffentlichen Infos) ok, für alles Personenbezogene riskant.
Die KI läuft bei einem deutschen oder europäischen Cloud-Anbieter, dein Auftragsverarbeitungsvertrag ist sauber, die Server stehen in Frankfurt oder anderswo in der EU. Personenbezogene Daten dürfen rein, wenn AVV und technisch-organisatorische Maßnahmen passen. Drittland-Frage entschärft, aber nicht weg — manche Anbieter haben US-Mutterkonzerne.
Die KI läuft auf einer Maschine in deinem Büro oder Serverraum. Mandantenakte, Patientenakte, Vertragsentwurf werden lokal verarbeitet, nichts geht raus. Kein Drittland-Transfer, kein TIA, keine Annahme über US-Behörden-Zugriffe. Die strukturell sauberste Lösung — und nicht so teuer wie viele denken, weil die laufenden Cloud-Kosten wegfallen.
Wenn wir bei Mittelständlern im Rhein-Main über on-prem-KI reden, hören wir immer dieselben drei Annahmen. Drei davon stimmen so nicht. Räumen wir auf, bevor du falsche Entscheidungen triffst.
Vor zwei Jahren war das ein berechtigter Einwand. Heute laufen Open-Weight-Modelle aus Europa und Asien auf einer ordentlichen Workstation und liefern für Mittelstands-Use-Cases mehr als genug Qualität — Korrespondenz, Belege, Recherche, Code-Reviews.
Realität 2026Ein moderner Snow-Server mit GPU-Beschleunigung beantwortet eine BWA-Mail in unter 5 Sekunden. Für komplexere Workflows lassen sich Spezial-Modelle für Recht, Buchhaltung oder Medizin lokal nachladen.
Klassisch ja — bei klassischem on-prem-Computing. Bei modernen KI-Boxen nein. Eine Snow-Maschine kommt vorkonfiguriert, wird in deinem Büro oder Serverraum aufgestellt und ist nach 4 Stunden produktiv. Updates laufen automatisch oder kontrolliert über Rollback-Snapshots.
Realität 2026Eine 20-Personen-Kanzlei in Frankfurt-Westend braucht keine eigene IT-Abteilung. Sie braucht eine Steckdose, einen LAN-Port und unseren Vor-Ort-Termin. Das ist's.
Falsch verstanden. On-prem heißt: Die Verarbeitung läuft lokal, deine Daten verlassen das Haus nicht. Modell-Updates und Software-Patches kommen trotzdem regelmäßig — du steuerst nur, wann sie eingespielt werden. Mit Rollback-Snapshots fährst du in 30 Sekunden zurück, falls etwas nicht passt.
Realität 2026Updates kommen monatlich, neue Modelle quartalsweise. Du entscheidest pro Maschine, wann und ob. Damit bleibst du auf dem aktuellen Stand, ohne den Cloud-Kontrollverlust.
Auch das ist eine Verkürzung. On-prem ist die Default-Verarbeitung. Für unkritische Aufgaben — Wetter, öffentliche News, Marktdaten — kannst du anonymisierte oder bewusst zugelassene Web-Zugriffe einrichten. Du bestimmst die Regeln, nicht ein US-Anbieter.
Realität 2026Hybrid-Modi sind möglich, aber bewusst gesetzt. Standardmäßig laufen Mandanten-, Patienten- und Kundendaten lokal. Web-Recherche nur, wenn du sie explizit freischaltest — und nie mit personenbezogenen Daten im Prompt.
Frankfurt ist Banken. Wiesbaden ist Versicherung. Mainz ist Pharma. Offenbach ist Mittelstands-Industrie. Rüsselsheim ist Mobility. Und über allem liegt das Geflecht aus Kanzleien, Steuerberatern und Beratern, die diese Branchen bedienen. Jede Branche hat ihre eigene Aufsicht, ihren eigenen Compliance-Stack — und damit eine eigene Sicht auf KI. Hier die Übersicht mit Vertiefung pro Branche.
BaFin VAIT, DORA, MaRisk AT 9. Drittparteirisiko und Auslagerungs-Anzeige stehen im Zentrum. On-prem reduziert die Anzeige-Last spürbar.
Banken-Page öffnenBaFin VAIT für Versicherer, Solvency II, Schadenakten-Sensibilität. Sensible Daten nach Art. 9 DSGVO — Cloud ist hier strukturell heikel.
Versicherer-Page öffnenGxP, FDA 21 CFR Part 11, EMA-Anforderungen. Forschungs- und Studiendaten gehören in keine US-Cloud. On-prem ist hier oft alternativlos.
Pharma-Page öffnenBRAO, BORA, Berufsgeheimnis nach § 203 StGB. Mandantenakten dürfen das Kanzleinetz strenggenommen nicht verlassen.
Kanzlei-Page öffnenStBerG, § 30 AO Steuergeheimnis, BStBK-Hinweise. DATEV-Anschluss bleibt erhalten, Mandantendaten bleiben im Haus.
Steuerberater-Page öffnenWir sitzen in Rüsselsheim, 30 Minuten von Frankfurt, 40 von Wiesbaden, 35 von Mainz. Komm vorbei, sieh die Hardware, sprich mit dem Team.
Standort ansehenArt. 4 des EU AI Act gilt schon seit dem 02.02.2025 — aber die meisten Mittelständler haben das noch nicht im Compliance-Ordner. Spätestens mit dem nächsten großen Stichtag wird es ernst. Hier die wichtigsten Punkte, kompakt und ehrlich.
Jedes Unternehmen, das KI einsetzt oder bereitstellt, muss sicherstellen, dass die Mitarbeiter, die mit KI arbeiten, ausreichend kompetent sind. Praktisch: dokumentierte Schulung für alle, die KI nutzen — und zwar nicht nur das IT-Team, sondern Sachbearbeitung, Vertrieb, Geschäftsführung.
AI-Act-Schulung FrankfurtAnbieter von Allzweck-KI-Modellen müssen Transparenz-Pflichten erfüllen, technische Dokumentation bereitstellen, Urheberrechts-Compliance nachweisen. Für dich als Nutzer heißt das: Dein Anbieter muss diese Dokumente liefern können — frag aktiv danach.
Wer KI in Hochrisiko-Bereichen einsetzt — Personalauswahl, Bonitätsprüfung, kritische Infrastruktur — muss Risikomanagement, technische Doku, menschliche Aufsicht und Konformitätsbewertung nachweisen. Klingt nach Großkonzern, trifft aber auch Mittelständler in HR-Tech und Finance.
Konkrete Tipps für die nächsten 12 Monate: Lass ein KI-Inventar machen — welche KI-Tools nutzen welche Mitarbeiter? Schreib eine kurze, lesbare KI-Richtlinie für dein Haus (zwei Seiten reichen). Plan eine dokumentierte Schulung in den ersten 100 Tagen 2026, nicht erst kurz vor dem Stichtag. Und ganz wichtig: Heb die Schulungs-Belege auf — Anwesenheitsliste, Inhalt, Datum, Trainer. Genau das fragt im Zweifel das Audit ab.
Das ist der schnellste Weg, deinen aktuellen Stand einzuschätzen. Geh die sechs Fragen ehrlich durch — kein Beraterprodukt, keine Anmeldung, keine Mail-Adresse. Am Ende weißt du, wo du stehst.
Beantworte jede Frage mit Ja oder Nein. Sei ehrlich — nur dann hilft's.
Dieser Hub gibt dir den Überblick. In den verlinkten Spezial-Pages findest du die Detail-Argumente für deine Branche — mit konkreten Use-Cases, Compliance-Mappings und Pricing-Logik.
BaFin VAIT, DORA, MaRisk AT 9 — der vollständige Compliance-Stack für Banken im Bankenviertel.
Banken-Page öffnenVAIT für Versicherer, Solvency II, Schadenakten — warum on-prem in der Versicherungsbranche fast immer die saubere Antwort ist.
Versicherer-Page öffnenGxP, FDA 21 CFR Part 11, EMA — wie KI in Forschung und Studien funktioniert, ohne dass Studiendaten in fremde Hände geraten.
Pharma-Page öffnenBRAO, BORA, § 203 StGB. Wie eine Kanzlei KI nutzt, ohne das Berufsgeheimnis zu gefährden.
Kanzlei-Page öffnenStBerG, § 30 AO, BStBK-Hinweise, DATEV-Anschluss. Mandantengeheimnis bleibt heilig — KI hilft trotzdem.
Steuerberater-Page öffnenDokumentierte KI-Kompetenz-Schulung nach Art. 4 — In-House in deinem Haus oder zentral in Rüsselsheim.
Schulungs-Page öffnenUnser Büro, zentral im Rhein-Main. 30 Min von Frankfurt, 40 von Wiesbaden, 35 von Mainz. Komm vorbei, sieh die Hardware, lerne das Team kennen.
Standort ansehenWir sortieren mit dir, wo du beim Thema DSGVO-konforme KI stehst, welche Architektur zu deinem Haus passt und was der nächste sinnvolle Schritt ist. Telefon, Video oder bei einem Espresso in Rüsselsheim — du wählst.