Azure OpenAI Service – Verbindliche Anforderung: EU Data Zone / Regional Deployment Sweden Central sowie DSGVO-Konformitätsbestätigung

Falkenbach, Sascha VSMA GmbH 0 Zuverlässigkeitspunkte
2026-06-12T09:19:15.0666667+00:00

Sehr geehrte Damen und Herren,

 

wir befinden uns derzeit in der Evaluierungs- und Vertragsanbahungsphase für den Einsatz des Azure OpenAI Service als unternehmensinternes LLM-System. In diesem Zusammenhang haben wir das uns vorliegende Angebot einschließlich der ergänzenden Vertragsbedingungen sorgfältig geprüft.

 

Wir stellen fest, dass das Angebot den Standort Schweden als primären Verarbeitungsort benennt, jedoch in den Nebenbestimmungen einen Vorbehalt enthält, wonach in Ausnahmefällen eine Verarbeitung in den USA oder Australien erfolgen kann. Dies ist für uns aus datenschutzrechtlichen Gründen nicht akzeptabel.

 

Als in Deutschland ansässiges Unternehmen unterliegen wir vollumfänglich den Anforderungen der Datenschutz-Grundverordnung (DSGVO). Der Betrieb eines unternehmensinternen LLM-Systems schließt die Verarbeitung personenbezogener Daten ein. Eine Übermittlung dieser Daten in Drittstaaten ohne gesicherte Rechtsgrundlage gemäß Art. 44 ff. DSGVO – insbesondere in die USA, für die kein uneingeschränkter Angemessenheitsbeschluss der EU-Kommission vorliegt – kommt für uns nicht in Betracht.

 

Wir fordern Sie daher auf, uns verbindlich eines der folgenden Deployment-Modelle anzubieten:

 

  1. EU Data Zone Deployment: Verarbeitung ausschließlich innerhalb der EU-Mitgliedstaaten, ohne jedwede Ausweichmöglichkeit auf Drittstaaten.

 

  1. Regional Deployment Sweden Central: Verarbeitung ausschließlich im Azure-Rechenzentrum Sweden Central, ohne Routing in andere Regionen.

 

Darüber hinaus bitten wir Sie, uns folgende Unterlagen schriftlich zur Verfügung zu stellen:

 

– Bestätigung des gewählten Deployment-Typs mit explizitem Ausschluss einer Verarbeitung außerhalb der EU bzw. außerhalb von Sweden Central

– Aktueller Auftragsverarbeitungsvertrag (Data Processing Agreement / DPA) gemäß Art. 28 DSGVO

– Nachweis der eingesetzten Standardvertragsklauseln (SCC) für etwaige Sub-Auftragsverarbeiter außerhalb des EWR

– Aktuelles Verzeichnis der Unterauftragsverarbeiter

– Bestätigung, dass Prompt- und Response-Daten nicht für das Training von Modellen verwendet werden

– Dokumentation der technischen und organisatorischen Maßnahmen (TOMs) gemäß Art. 32 DSGVO

 

Wir bitten Sie, uns die geforderten Informationen sowie ein angepasstes Angebot schnellst möglich zukommen zu lassen.

 

Für Rückfragen stehen wir selbstverständlich zur Verfügung.

Microsoft Foundry
Microsoft Foundry

Eine einheitliche Azure-Plattform zum Erstellen und Verwalten von KI-Modellen, Agents und Anwendungen mit integrierter Unternehmenssicherheit, Überwachung und Governance

3 Antworten

Sortieren nach: Am hilfreichsten
Am hilfreichsten Neueste Älteste
  1. Falkenbach, Sascha VSMA GmbH 0 Zuverlässigkeitspunkte
    2026-06-18T09:57:51.0533333+00:00

    Hallo Karnam Venkata Rajeswari,

    wir haben die Antwort oben geprüft und stellen fest, dass die in unserem Schreiben vom 5. Juni 2026 gestellten Anforderungen bislang nur teilweise erfüllt sind.

    Folgende Punkte sind noch offen:

    1. Verbindliche Deployment-Bestätigung

    Ihre Antwort beschreibt die verfügbaren Deployment-Optionen, enthält jedoch keine vertragliche Bestätigung mit explizitem Ausschluss einer Verarbeitung außerhalb der EU bzw. außerhalb von Sweden Central. Wir bitten um Übermittlung einer entsprechenden schriftlichen Zusicherung als Vertragsbestandteil.

    2. Auftragsverarbeitungsvertrag (DPA) gemäß Art. 28 DSGVO

    Der DPA wurde in Ihrer Antwort erwähnt, aber nicht beigefügt. Wir bitten um Übermittlung des aktuellen, unterzeichnungsfähigen Dokuments.

    3. Standardvertragsklauseln (SCCs)

    Für etwaige Sub-Auftragsverarbeiter außerhalb des EWR benötigen wir den Nachweis der eingesetzten SCCs als Dokument, nicht als Verweis auf externe Portale.

    4. Verzeichnis der Unterauftragsverarbeiter

    Wir bitten um Übermittlung des aktuellen Verzeichnisses direkt mit dieser Korrespondenz.

    5. Dokumentation der TOMs gemäß Art. 32 DSGVO

    Die inhaltliche Beschreibung in Ihrer Antwort ist als Nachweis nicht ausreichend. Wir benötigen die vollständige TOM-Dokumentation als Dokument.

    6. Angepasstes Angebot

    Ein angepasstes Angebot gemäß unserer ursprünglichen Anforderung wurde bislang nicht übermittelt. 

    Bitte übermitteln Sie die geforderten Unterlagen so schnell wie möglich.

    Für Rückfragen stehen wir selbstverständlich zur Verfügung.

    Vielen Dank

    Mit besten Grüßen

    War diese Antwort hilfreich?

  2. Falkenbach, Sascha VSMA GmbH 0 Zuverlässigkeitspunkte
    2026-06-18T08:10:17.6066667+00:00

    Hallo Karnam Venkata Rajeswari,

    danke für deine Nachricht.

    Wie ich getsern Abend bereits schrieb, bewerten wir gerade die Antwort und ob alle unsere Fragen beantwortet wurden. Ich rechne Anfang kmmender Woche mit einer Stellungnahme aus der FAchabteilung und muss bis dahin um Geduld bitten.

    Vielen Dank.

    Beste Grüße

    War diese Antwort hilfreich?

  3. Karnam Venkata Rajeswari 5,340 Zuverlässigkeitspunkte Externe Microsoft-Mitarbeiter Moderator
    2026-06-12T10:15:30.0333333+00:00

    Die folgende Antwort wurde zunächst auf Englisch verfasst und anschließend übersetzt.

    Hallo Falkenbach, Sascha VSMA GmbH,

    Willkommen bei Microsoft Q&A. Vielen Dank, dass Sie sich an uns gewandt haben.

    Vielen Dank für die ausführliche Darstellung der Anforderungen. Die beschriebenen Anforderungen zur Datenresidenz, DSGVO und Compliance können durch die verfügbaren Deployment-Optionen von Azure OpenAI in Kombination mit dem entsprechenden Compliance- und Vertragsrahmen umgesetzt werden.

    1. Deployment-Optionen und Verarbeitungsstandort Die Verarbeitungsgrenze für Azure OpenAI wird durch den gewählten Deployment-Typ bestimmt. EU Data Zone Deployment
      1. Ausgelegt für die Verarbeitung innerhalb der EU Data Zone
      2. Eingaben und Antworten werden innerhalb der EU-Mitgliedstaaten verarbeitet
      3. Geeignet für EU-weite Datenresidenzanforderungen
      4. Nicht auf ein einzelnes Land beschränkt
      Regionales Deployment (Sweden Central)
      1. Verarbeitung erfolgt innerhalb der ausgewählten Azure-Region
      2. Bietet die stärkste Ausrichtung für Anforderungen an ausschließlich Sweden Central
      3. Geeignet für strikte Einzelregion-Anforderungen
      Globales Deployment
      1. Anfragen können über mehrere Regionen weltweit verarbeitet werden
      2. Nicht geeignet für EU- oder Schweden-exklusive Anforderungen
    2. Klarstellung zur Verarbeitung außerhalb der EU oder Sweden Central Der Deployment-Typ definiert die primäre Verarbeitungsgrenze; das tatsächliche Verarbeitungsverhalten hängt jedoch von Konfiguration, Architektur und dokumentierten Servicezusagen ab.
      1. EU Data Zone - Verarbeitung innerhalb der EU vorgesehen
      2. Verarbeitung außerhalb der EU (z. B. USA/Australien) ist nicht Teil dieses Modells
      3. Absolute Garantien erfordern vertragliche Bestätigung
    3. Bestätigung zur Modellnutzung für Training
      1. Eingaben, Antworten, Embeddings und Kundendaten werden nicht zum Training oder Nachtraining von Basismodellen verwendet
      2. Die Daten bleiben unter der Kontrolle des Kunden
    4. DSGVO-Dokumentation und Compliance-Nachweise Data Processing Agreement (DPA)
      1. Definiert die Verpflichtungen gemäß Artikel 28 DSGVO
      2. Regelt Datenverarbeitung und Sicherheitszusagen
      Standardvertragsklauseln (SCCs)
      1. Stellen Schutzmaßnahmen für grenzüberschreitende Datenübertragungen dar
      2. Bestandteil des vertraglichen Rahmens
      Subprozessoren
      1. Listet autorisierte Drittverarbeiter auf
      2. Verfügbar über Trust-Center-Ressourcen
    5. Technische und organisatorische Maßnahmen (TOMs)
      1. Decken Anforderungen gemäß Artikel 32 DSGVO ab
      2. Umfassen:
        • Verschlüsselung
        • Zugriffskontrollen
        • Überwachung und Protokollierung
        • Sicherheitszertifizierungen

    Praktische Validierungsschritte

    1. Deployment-Typ prüfen (Regional / Data Zone, nicht Global)
    2. Ressourceregion bestätigen (Sweden Central falls erforderlich)
    3. Modellverfügbarkeit prüfen
    4. Verbundene Dienste und Architektur überprüfen

    Die folgenden Referenzen könnten hilfreich sein, bitte sehen Sie sie sich an.

    Bitte lassen Sie uns wissen, ob die Antwort hilfreich war.

    Vielen Dank

    War diese Antwort hilfreich?

Ihre Antwort

Antworten können von Fragestellenden als „Angenommen“ und von Moderierenden als „Empfohlen“ gekennzeichnet werden, wodurch Benutzende wissen, dass diese Antwort das Problem des Fragestellenden gelöst hat.