Grok im EU-Check: SpaceX, Datenschutz und Behörden

Table of Contents

Zuletzt aktualisiert: 7. November 2026 · Version: 1.0

Redaktionshinweis: Dieser Artikel wurde mit KI-Unterstützung recherchiert und erstellt und zur Veröffentlichung freigegeben. Vertrags- und Produktangaben stammen von xAI beziehungsweise SpaceXSI und AWS, Verfahrensangaben von der EU-Kommission und der irischen Datenschutzbehörde, Konzernangaben aus dem Quartalsbericht von SpaceX an die US-Börsenaufsicht. Eigene Tests und Einblick in den SOC-2-Bericht liegen nicht vor. Der Beitrag ersetzt keine Rechtsberatung.

In 30 Sekunden

Vertragspartner: Grok-API und Business-Dienste laufen laut den Enterprise-Bedingungen vom 27. Oktober 2026 über die SpaceX Super Intelligence LLC, mit Recht von Texas.
Behörden: EU-Kommission und irische Datenschutzbehörde prüfen X wegen Grok. Die Verfahren richten sich gegen die Plattform und nicht gegen API-Kunden; Ergebnisse haben wir bis zum 7. November nicht gefunden.
Datenstandort: Der Standard-Endpunkt garantiert keine Region. Einen EU-Endpunkt nennt die Sicherheits-FAQ nicht, und auch die Unterauftragnehmer stehen fast alle in den USA.
Personenbezogene Daten: Der Auftragsverarbeitungsvertrag lässt sie nur über die API mit Null-Speicherung zu. Von dieser Betriebsart rät die Sicherheits-FAQ den meisten Kunden aber ab.

Executive Summary

Die Verfahren gegen X sind heute kein rechtlicher Grund gegen die Grok-API, wohl aber ein Punkt im Anbieterrisiko. Aufgaben ohne Personenbezug können in einen Pilot. Für personenbezogene Daten aus der EU sollte die Leitung Grok erst freigeben, wenn die Architektur mit Null-Speicherung trägt, die Transferprüfung vorliegt und SpaceXSI die Vertragsregel schriftlich bestätigt hat.

Was Unternehmen jetzt tun sollten

Einkauf und Recht, vor dem PilotVertragspartner, Gerichtsstand und die Regel zu personenbezogenen Daten mit SpaceXSI schriftlich klären.
Datenschutz, vor dem PilotTransferprüfung für die USA erstellen und die Liste der Unterauftragnehmer in die Dokumentation übernehmen.
Plattformteam, im PilotSpeichermodus je Team festlegen, Header x-zero-data-retention protokollieren und nur Testdaten ohne Personenbezug verwenden.

Dieser Beitrag richtet sich an IT-Leitung, Einkauf und Datenschutz in Unternehmen, die Grok als Modell auf der Liste haben. Der sinnvolle Anfang ist eine Frage, die in vielen Bewertungen fehlt: Mit wem schließen wir eigentlich den Vertrag? Das Produkt heißt weiter Grok, die Konsole xAI Console, und auf den Rechtsseiten steht inzwischen ein anderer Name.

Unsere Einschätzung

Die Verfahren gegen X machen Grok nicht automatisch zum Problem. Schwerer wiegt, dass personenbezogene Daten laut Vertrag nur über die Null-Speicherung laufen dürfen und eine EU-Verarbeitung nicht zugesichert ist. Wer Grok nur wegen der Schlagzeilen ablehnt oder trotz ihnen durchwinkt, prüft das Falsche.

Wer hinter Grok steht

SpaceX hat die Übernahme von xAI laut Quartalsbericht an die US-Börsenaufsicht SEC (Stichtag 30. September 2026) am 2. Februar 2026 abgeschlossen; xAI ist seitdem eine hundertprozentige Tochter. xAI hatte X schon am 28. März 2025 übernommen, und der Bericht führt Grok und X im selben Segment. X gehört damit zum selben Konzern wie Grok. Wie sich die im Vertrag genannte Gesellschaft in diese Struktur einordnet, konnten wir aus den gelesenen Teilen des Berichts nicht belegen.

Für den Einkauf zählt der Vertragstext. Die Enterprise-Bedingungen (Stand 27. Oktober 2026) nennen als Vertragspartner die SpaceX Super Intelligence LLC, kurz SpaceXSI. Es gilt das Recht von Texas, ausschließlicher Gerichtsstand ist Wichita County. Ältere Verträge, die noch xAI nennen, sollte der Einkauf deshalb mit der aktuellen Fassung abgleichen.

Was die EU-Behörden prüfen

Behörde und Datum	Adressat	Gegenstand	Stand
EU-Kommission, 26. Januar 2026	X	Risikobewertung und Risikominderung beim Einsatz von Grok-Funktionen in X nach dem Digital Services Act, auch mit Blick auf manipulierte sexualisierte Bilder	Förmliches Verfahren eröffnet, Ausgang offen
Irische DPC, 17. Februar 2026	X Internet Unlimited Company	Sexualisierte Bilder realer Personen über Grok auf X; DSGVO Art. 5, 6, 25 und 35	Bei Eröffnung keine Ergebnisse
Irische DPC, 11. April 2025	X Internet Unlimited Company	Training von Grok mit öffentlichen Beiträgen von EU- und EWR-Nutzern	Laut DPC-Jahresbericht 2025 zum Jahresende nicht abgeschlossen

Eigene Zusammenfassung, Stand 7. November 2026. Vorläufige Feststellungen oder Entscheidungen zu Grok haben wir nicht gefunden. Das schließt nicht aus, dass es unveröffentlichte Schritte gibt.

Unmittelbare Pflichten für API-Kunden folgen daraus nicht. Für die Lieferantenbewertung zählen die Verfahren trotzdem: Ein Verstoß würde zeigen, wie der Konzern mit Risikobewertung und Datenschutz durch Technikgestaltung umgeht. Ein Verbot oder eine Auflage gegen X lässt sich aber nicht automatisch auf die API übertragen. Wer beides vermischt, kann in beide Richtungen falsch entscheiden.

Daneben steht der Verhaltenskodex für KI-Modelle mit allgemeinem Verwendungszweck. Laut Kommission (Stand 7. Oktober 2026) hat xAI nur das Kapitel zu Sicherheit unterzeichnet und muss Transparenz und Urheberrecht auf anderem Weg nachweisen. Für den Einkauf ist das eine konkrete Frage nach den Unterlagen.

Wie eine Grok-Anfrage aus der EU läuft

Unternehmen in der EU

Anfrage an die Grok-API

Verantwortlich für Daten und Rechtsgrundlage

Vertrag und Transfer

SpaceX Super Intelligence LLC

Auftragsverarbeitungsvertrag

Standardvertragsklauseln

Verarbeitung

Keine zugesicherte EU-Region

30 Tage Speicherung als Standard

Alternativ Null-Speicherung

1Die Anfrage verlässt das Unternehmen.2Vertrag und Klauseln regeln den Transfer.3Standort und Speicherung hängen von der Einstellung ab.

Redaktionelle, schematische Darstellung, kein Produkt-Screenshot.

Laut Sicherheits-FAQ speichert SpaceXSI API-Anfragen und Antworten standardmäßig 30 Tage verschlüsselt und trainiert ohne ausdrückliche Erlaubnis nicht damit. Die Enterprise-Bedingungen erlauben aber Ausnahmen von der 30-Tage-Löschung, etwa für Sicherheit und Missbrauchsprüfung, sowie die Nutzung anonymisierter Ableitungen für jeden rechtmäßigen Zweck, außer bei Null-Speicherung.

Der Standard-Endpunkt api.x.ai garantiert keine Verarbeitungsregion. Einen US-Endpunkt gibt es für grok-4.7 und grok-4.6 mit 10 % Aufpreis; einen EU-Endpunkt nennt die FAQ nicht. Die Seite zu Grok Voice spricht zwar von „EU data residency options“, nennt aber weder Standort noch Endpunkt. Der Auftragsverarbeitungsvertrag vom 22. September 2026 erlaubt die globale Verarbeitung und sieht für Transfers die Standardvertragsklauseln vor, Modul 2 oder 3, mit irischem Recht und irischen Gerichten. Die Liste der Unterauftragnehmer weist die USA aus, dazu eine Tochtergesellschaft im Vereinigten Königreich.

Auch der Bezug über AWS löst die Standortfrage derzeit nicht. Die Modellkarte zu Grok 4.7 auf Amazon Bedrock nennt aus europäischen Regionen nur das globale Profil, ein EU-Profil fehlt. Allgemeine Kriterien für Anbieter außerhalb der EU nennt der AI-Fabrik-Beitrag zu den KI-Anbietern aus USA und China.

Was der Vertrag zu personenbezogenen Daten sagt

Wer nur auf die Speicherfrist schaut, übersieht die wichtigste Regel. Die 30 Tage sind der Standard des Dienstes, aber kein vertraglich vorgesehener Weg für personenbezogene Daten:

Stelle	Aussage	Bedeutung
Auftragsverarbeitungsvertrag	Personenbezogene Daten nur über die API mit Null-Speicherung, für andere Dienste untersagt; ein Verstoß ist eine wesentliche Vertragsverletzung	Klarste Regel, die bei Konflikten den Enterprise-Bedingungen vorgeht
Enterprise-Bedingungen, „Zero Data Retention“	Der Kunde sichert zu, solche Daten nicht absichtlich anders einzureichen; die Folge bei Verstößen steht unter „If Customer elects ZDR“	Stützt die Regel, der Zusatz lässt aber eine Restfrage offen
Enterprise-Bedingungen, „Privacy“	Werden personenbezogene Daten eingereicht, verarbeitet SpaceXSI sie als Auftragsverarbeiter, und der Vertrag gilt automatisch	Regelt die Rolle; eine Erlaubnis außerhalb der Null-Speicherung lesen wir daraus nicht
Sicherheits-FAQ	Rät den meisten Kunden von der Null-Speicherung ab; Batch, Files, Collections und zustandsbehaftete Responses entfallen	Vertragsweg und Betriebsempfehlung laufen auseinander

Eigene Zusammenfassung der Fassungen vom 22. September und 27. Oktober 2026, abgerufen am 7. November 2026. Unsere Lesart ersetzt keine Rechtsprüfung; Einzelverträge können abweichen.

Folge für die Freigabe: Nach unserer Lesart ist der Standardmodus kein zulässiger Weg für personenbezogene Daten. Schon Namen in Kundenanfragen oder E-Mails können darunterfallen. Das gilt auch für den Alltag in Grok Business und Enterprise, soweit diese Dienste nicht über die Null-Speicher-API laufen. SpaceXSI sollte schriftlich beantworten: Ist die Null-Speicherung für den jeweiligen Tarif der einzige zulässige Weg, und ändert der Zusatz „If Customer elects ZDR“ daran etwas?

Die Null-Speicherung hat zudem Folgen über den Funktionsumfang hinaus. Der Kunde hält dann selbst alle Kopien für Prüfungen und Behördenanfragen, und SpaceXSI weist darauf hin, dass ihm die Informationen für viele übliche Pflichten eines Unterauftragsverarbeiters fehlen. Wer personenbezogene Daten verarbeiten will, muss das also im Architekturentwurf entscheiden, nicht erst im Betrieb.

Zum Sicherheitsnachweis nennt die FAQ SOC 2 Typ 2; den Bericht gibt es im Trust Center nach Geheimhaltungsvereinbarung, wir haben ihn nicht gesehen. Auf die Frage nach der DSGVO antwortet die Seite nur mit dem Verweis auf SOC 2. Ein SOC-2-Bericht kann Sicherheitskontrollen dokumentieren, ersetzt aber weder die Prüfung des Auftragsverarbeitungsvertrags nach Art. 28 DSGVO noch die Bewertung des Drittlandtransfers nach Kapitel V DSGVO.

Wo das Thema im Grok-Angebot steht

Das Thema betrifft die API sowie Grok Business und Enterprise, soweit sie unter die Enterprise-Bedingungen fallen. Nicht abgedeckt sind hier Qualität, Kosten und die Bedienung im Alltag: Für Sprachdialoge gibt es den Beitrag zu Grok Voice 3.0, den Überblick über alle Angebote die Seite xAI für Unternehmen. Die Consumer-App und X gehören nicht zu diesem Vertrag und sollten in Richtlinien getrennt behandelt werden.

Pilotfragen vor dem Einsatz

Kann der Anwendungsfall ohne personenbezogene Daten laufen, und wenn nein, trägt er die Null-Speicherung mit ihren Einschränkungen?
Können wir eine Verarbeitung in der EU vertraglich vereinbaren, und wenn nein, trägt unsere Transferprüfung den Einsatz in den USA?
Welche Funktionen braucht der Anwendungsfall, und funktionieren sie mit dem gewählten Speichermodus?
Welche Unterlagen zu Transparenz und Urheberrecht stellt SpaceXSI bereit, nachdem nur das Sicherheitskapitel des Kodex unterzeichnet ist?
Welches Ereignis in den Verfahren gegen X löst bei uns eine neue Bewertung aus, und wer beobachtet das?

Ein hypothetisches Beispiel: Ein Handelsunternehmen will Produkttexte mit Grok erstellen und später Kundenanfragen zusammenfassen. Die Produkttexte enthalten keine Personendaten und können mit Standardspeicherung in den Pilot. Die Kundenanfragen bleiben außen vor, bis Null-Speicherung, schriftliche Antwort und Transferprüfung stehen. Kleine Teams kommen dafür mit einer kurzen Akte aus: Anwendungsfall, Datenart, Speichermodus, Antwort des Anbieters. Für die fachliche Abnahme helfen die 20 Testfälle für KI-Assistenten.

FAQ zu Grok in der EU

Ist Grok in der EU verboten?

Wir haben kein solches Verbot gefunden. Die genannten Verfahren prüfen Pflichten von X. Unternehmen müssen trotzdem selbst bewerten, ob ihr Einsatz mit DSGVO und KI-Verordnung vereinbar ist.

Gilt das irische Recht aus den Standardvertragsklauseln für den ganzen Vertrag?

Nach dem Wortlaut nicht. Die Klauseln stehen unter irischem Recht, die Enterprise-Bedingungen unter dem Recht von Texas. Welche Regelung im Streitfall für welchen Punkt greift, sollte die Rechtsabteilung prüfen.

Fazit: Erst den Vertrag lesen, dann das Modell testen

Für Aufgaben ohne personenbezogene Daten ist ein Grok-Pilot mit vertretbarem Aufwand möglich. Personenbezogene Daten führen nach unserer Lesart nur über die Null-Speicherung, und eine EU-Verarbeitung ist nicht zugesichert. Das sollte die Rechtsabteilung prüfen und schriftlich mit dem Anbieter klären.

Die nächste Entscheidung: Läuft der Anwendungsfall ohne personenbezogene Daten oder mit Null-Speicherung, und wer holt dazu diese Woche die schriftliche Antwort von SpaceXSI ein?