Weaviate

Weaviate Test 2026: Vektordatenbank mit EU-Wurzeln?

Weaviate ist eine Open-Source-Vektordatenbank aus Amsterdam für Retrieval-Augmented-Generation (RAG), semantische Suche und KI-Chatbots. Anders als reine US-Anbieter wie Pinecone bringt Weaviate einen EU-Firmensitz mit, lässt sich aber ebenso als Managed Cloud wie im eigenen Rechenzentrum betreiben. Für Teams, die KI-Suchfunktionen bauen und dabei die Datenhoheit behalten wollen, ist genau diese Kombination der Hauptgrund für Weaviate.

Dieser Test basiert auf der Analyse der öffentlich verfügbaren Weaviate-Datenschutzerklärung, des Data Processing Agreement (DPA), der Sub-Prozessoren-Liste, der Security- und Preisseite (Stand: 2026-08).

Warum nutzen Entwicklerteams Weaviate?

Weaviate spart Infrastruktur-Aufwand beim Aufbau von KI-Suchfunktionen: Statt Vektorsuche mit Embeddings selbst zu bauen, liefert Weaviate das als fertige Datenbank mit REST- und GraphQL-API. Teams mit bestehender AWS-, GCP- oder Azure-Infrastruktur binden Weaviate Cloud direkt ein. Der Open-Source-Kern erlaubt zusätzlich Self-Hosting – bei sensiblen Daten oft der entscheidende Grund gegen ein rein proprietäres Produkt.

Wie gut funktioniert Weaviate in der Praxis?

Bei Verfügbarkeit liefert die Preisseite konkrete SLA-Werte: Flex garantiert 99,5 %, Premium und Dedicated bis zu 99,95 % mit 1-Stunden-SLA. Multi-Tenancy ist im Free-Tarif auf 3 Tenants begrenzt, in bezahlten Plänen unbegrenzt. Mangels unabhängiger Benchmark-Tests zur Suchgenauigkeit ist die Retrieval-Qualität unter Produktionslast nicht überprüfbar (Stand: 2026-08); sie hängt zudem vom gewählten Embedding-Modell ab.

Beispiel-Szenario: 50.000 Support-Dokumente werden per OpenAI-Modul als Embeddings indexiert. Ein RAG-Chatbot beantwortet Kundenanfragen darauf mit Quellenverweis, statt dass Mitarbeitende die Dokumente manuell durchsuchen müssen. Ein eigener Benchmark zur konkreten Zeitersparnis liegt nicht vor.

Für wen ist Weaviate geeignet?

Kernzielgruppe sind Entwicklerteams, die eine RAG-Anwendung oder einen KI-Such-Chatbot bauen, etwa mit einer internen Wissensdatenbank aus mehreren tausend PDFs im Flex-Tarif. Auch Startups mit DevOps-Know-how profitieren vom Open-Source-Self-Hosting, wenn Kundendaten das eigene Rechenzentrum nicht verlassen dürfen. Für Teams ohne Entwicklerressourcen ist Weaviate mangels No-Code-Oberfläche weniger geeignet; bei Gesundheitsdaten lohnt ein Blick auf den Dedicated-Tarif mit HIPAA-Unterstützung – die konkreten technischen, vertraglichen und datenschutzrechtlichen Anforderungen sind dafür zusätzlich zu prüfen.

Preise & Pläne

Weaviate Cloud hat vier Stufen (Stand: 2026-08):

• Free – 0 USD/Monat: 100.000 Objekte, 1 GB RAM, bis zu 3 Tenants, keine Kreditkarte nötig.
• Flex – ab 45 USD/Monat: unbegrenzte Objekte, geteilter Cluster, 99,5 % Verfügbarkeit.
• Premium – ab 400 USD/Monat: dedizierter Betrieb auf AWS/GCP/Azure, bis zu 99,95 % Verfügbarkeit, 1-Stunden-SLA.
• Dedicated – ab 400 USD/Monat: isolierte Infrastruktur mit HIPAA-Unterstützung, rund 40 Regionen wählbar.

Embeddings werden separat berechnet (0,025–0,065 USD/1 Mio. Tokens). Für Prototypen reicht Free meist aus; ab 100.000 Objekten führt der Weg zu Flex. Tarife und Datenschutzbedingungen können sich kurzfristig ändern – vor dem Einsatz aktuelle Bedingungen beim Anbieter prüfen.

Wann lohnt sich Weaviate?

Empfehlung für Entwicklerteams: Der Flex-Tarif (ab 45 USD/Monat) ist für viele produktive RAG-Anwendungen ein naheliegender Einstieg – unbegrenzte Objekte, 99,5 % Verfügbarkeit, ohne Vertragsbindung. Free eignet sich nur für Prototypen unter 100.000 Objekten; Premium oder Dedicated lohnen sich erst bei Hochlast-Betrieb oder Vorgaben wie HIPAA.

DSGVO & Datenschutz

Was dokumentiert ist

Weaviate B.V. hat laut Datenschutzerklärung Sitz in Amsterdam, Niederlande (Stand: 2026-08) – ein EU-Unternehmen ohne dokumentierten US-Mutterkonzern. Für Drittlandtransfers gelten Standardvertragsklauseln, teils ergänzt durch DPF-Zertifizierung einzelner Empfänger. Das AVV (laut DPA) ist Teil des Standardvertrags für kostenpflichtige Tarife und untersagt Weaviate, Kundendaten ohne Anweisung für KI-Training zu nutzen. Die Sub-Prozessoren-Liste ist öffentlich einsehbar, Weaviate dokumentiert laut Trust Portal einen SOC 2 Type II-Bericht, Verschlüsselung, MFA und wählbare Datenregion.

Was fehlt oder unklar ist

Die Geltung des AVV für den kostenlosen Sandbox-Tarif konnten wir anhand der öffentlich zugänglichen Unterlagen nicht eindeutig verifizieren (Stand: 2026-08). In der Datenschutzerklärung wird kein direkter DPO-Kontakt genannt, dort steht nur eine allgemeine rechtliche Adresse; im DPA ist laut unserer Recherche jedoch ein DPO benannt. Die Aufbewahrungsfrist ist mit „5 Jahre oder wie erforderlich" vage formuliert und betrifft nur Account-, nicht Business-Daten. Betroffenenrechte laufen nur per E-Mail, ein Self-Service-Portal fehlt; SSO/SAML ist laut Recherche nur in Premium und Dedicated verfügbar, nicht in Free/Flex (Stand: 2026-08).

Weaviate kombiniert EU-Firmensitz und ein vertraglich verankertes No-Training-Versprechen mit soliden Zertifizierungen, lässt aber bei Betroffenenrechten und der AVV-Tier-Frage im Free-Tarif Fragen offen.

Wie wir bewerten: Wir prüfen Serverstandort, AVV-Verfügbarkeit, KI-Training und US-Datentransfer. Score 1–10, 10 = vollständig DSGVO-freundlich.

DSGVO-Bewertung: 7,5/10

Warum 7,5/10? ✅ AVV mit SCCs standardmäßig Vertragsbestandteil, Training vertraglich ausgeschlossen ✅ SOC 2 Type II zertifiziert (laut Trust Portal) ✅ Datenregion für Business-Daten frei wählbar ❌ Betroffenenrechte nur per E-Mail, kein Self-Service-Portal ❌ AVV-Geltung für Free-Tarif nicht öffentlich verifizierbar ❌ US-Hyperscaler (AWS, GCP, Azure) als Subprozessoren – Cloud-Act-Risiko bleibt ❌ Aufbewahrungsfrist für Account-Daten vage formuliert

Hauptabzüge entstehen durch die unklare AVV-Geltung im Free-Tarif, fehlenden Self-Service bei Betroffenenrechten und das Cloud-Act-Restrisiko durch US-Hyperscaler.

Beim Cloud Act sind zwei Risiken zu trennen: Ein Zugriff aufgrund einer US-Muttergesellschaft ist nach unserer Recherche nicht ersichtlich, da Weaviate B.V. ein niederländisches Unternehmen ohne dokumentierten US-Mutterkonzern ist. Unabhängig davon bleiben US-Cloudanbieter wie AWS und GCP als dokumentierte Subprozessoren ein eigener Risikofaktor, unabhängig von der gewählten Serverregion. Die genannten Scores sind Risikoeinschätzungen nach unserer Methodik, keine rechtlichen Gutachten.

Weaviate vs. Pinecone

Pinecone ist ausschließlich Managed Service, Weaviate erlaubt zusätzlich Self-Hosting und startet mit EU-Firmensitz – relevant für Compliance-getriebene Infrastruktur-Kontrolle. Bei reiner Managed-Nutzung gleichen sich beide Anbieter in Funktionsumfang und US-Cloud-Abhängigkeit aber stärker an, als der EU-Sitz vermuten lässt.

Alternativen

Pinecone – reiner Managed Service, ohne EU-Firmensitz. Qdrant – Open Source, Rust-basiert, eigenes Self-Hosting-Modell, direkter Konkurrent bei API und Performance. Milvus/Zilliz Cloud – für sehr große Vektormengen, populär bei Milliarden-Objekt-Skalierung.

Wer den offenen Weaviate-Kern selbst auf europäischer Infrastruktur betreiben will, kann das etwa auf T Cloud Public tun (DSGVO-Score 7,0/10 laut unserer Datenbank) – Preise beim Anbieter prüfen (Stand: 2026-08).

Häufige Fragen

Eignet sich Weaviate für DSGVO-kritische Daten? Weaviate bringt mit EU-Firmensitz, einem AVV inklusive SCCs und vertraglich ausgeschlossenem KI-Training gute Voraussetzungen mit. Für Gesundheitsdaten ist gezielt der Dedicated-Tarif mit HIPAA-Unterstützung zu prüfen – zusätzlich sind die konkreten technischen, vertraglichen und datenschutzrechtlichen Anforderungen im Einzelfall zu klären.

Kann ich Weaviate in der EU hosten? Ja – bei Weaviate Cloud lässt sich die Region unter rund 40 AWS-, GCP- und Azure-Standorten wählen, darunter EU-Regionen. Alternativ ist Self-Hosting des Open-Source-Kerns auf beliebiger EU-Infrastruktur möglich.

Gibt es einen kostenlosen Plan? Ja, der Free-Sandbox-Tarif ist ohne Kreditkarte nutzbar, begrenzt auf 100.000 Objekte und 1 GB RAM. Für Prototypen reicht das meist, bei täglicher Produktionsnutzung ist das Limit schnell erreicht.

Was bedeutet der Cloud Act für Weaviate-Nutzer? Da AWS, GCP und Azure als Subprozessoren im Einsatz sind, bleibt ein Cloud-Act-Zugriffsrisiko auch bei EU-Firmensitz und EU-Region-Wahl bestehen – unabhängig davon, ob ein US-Mutterkonzern existiert.

Ist Weaviate DPF-zertifiziert? Weaviate selbst ist laut Datenschutzerklärung nicht als eigenständig DPF-zertifiziert dokumentiert; die Erklärung verweist stattdessen auf die DPF-Zertifizierung einzelner US-Empfänger als Transfermechanismus.

Fazit & Empfehlung

Wähle Weaviate, wenn du eine RAG- oder KI-Such-Anwendung baust und zwischen Managed Cloud und Self-Hosting flexibel bleiben willst. Lieber zu Pinecone greifen, wenn ausschließlich ein vollständig verwalteter Service ohne Self-Hosting gefragt ist; lieber zu Qdrant, wenn Self-Hosting-Performance im Vordergrund steht.

Weaviate punktet mit EU-Firmensitz, öffentlich einsehbarem AVV samt SCCs und einem vertraglich verankerten Trainingsverbot. Offen bleiben die AVV-Tier-Frage im Free-Tarif und fehlende Self-Service-Optionen bei Betroffenenrechten – vor dem Start mit personenbezogenen Daten lohnt sich ein Blick ins AVV.