SovergateKurz gesagt: Die Verbraucherversionen von ChatGPT sind für personenbezogene Daten im Unternehmen nicht geeignet. ChatGPT Business, Enterprise und Edu sowie die OpenAI-API enthalten einen Auftragsverarbeitungsvertrag und lassen sich DSGVO-konform nutzen, wenn Sie eine Rechtsgrundlage haben und personenbezogene Daten sparsam einsetzen. EU-Datenresidenz und Zero Data Retention gibt es nur nach Freigabe durch OpenAI. Und weil OpenAI ein US-Unternehmen ist, gilt der CLOUD Act unabhängig vom Speicherort.
Vier Tarife, vier Antworten
„ChatGPT“ ist kein einzelnes Produkt. Für die DSGVO entscheidend ist, ob ein Vertrag zur Auftragsverarbeitung besteht, ob Ihre Daten zum Training verwendet werden und wo sie verarbeitet werden:
| Tarif | AVV | Training mit Ihren Daten | EU-Datenresidenz | Einsatz im Unternehmen |
|---|---|---|---|---|
| ChatGPT Free, Plus, Pro | Nein | Je nach Nutzereinstellung | Nein | Nicht für personenbezogene Daten |
| ChatGPT Business | Ja | Nein | Nein | Mit AVV, ohne EU-Residenz |
| ChatGPT Enterprise / Edu | Ja | Nein | Ja, nach Freigabe | Geeignet bei richtiger Konfiguration |
| OpenAI-API | Ja | Nein | Ja, nach Freigabe | Geeignet bei richtiger Konfiguration |
Das größte Risiko sind private Konten. Wenn Beschäftigte Kundendaten, Bewerbungen oder Patienteninformationen in ihr privates ChatGPT-Konto kopieren, gibt es keinen Auftragsverarbeitungsvertrag. Das Unternehmen bleibt trotzdem verantwortlich. Eine klare Nutzungsrichtlinie und ein freigegebener Unternehmenstarif sind die wirksamste Gegenmaßnahme.
Der Auftragsverarbeitungsvertrag (AVV)
OpenAIs Data Processing Addendum gilt für die API, ChatGPT Business, Enterprise und Edu. Es ist Teil des OpenAI Services Agreement und gilt mit dessen Annahme; eine gesonderte Unterschrift ist nicht nötig. Vertragspartner für Unternehmen im EWR und in der Schweiz ist OpenAI Ireland Ltd.
Für Unterauftragsverarbeiter außerhalb des EWR stützt sich OpenAI auf Standardvertragsklauseln oder einen Angemessenheitsbeschluss, etwa das EU-US Data Privacy Framework für zertifizierte Empfänger. Prüfen Sie die veröffentlichte Liste der Unterauftragsverarbeiter und abonnieren Sie Änderungsmitteilungen.
Der AVV ist keine Rechtsgrundlage. Er regelt, wie OpenAI in Ihrem Auftrag verarbeitet. Warum Sie personenbezogene Daten überhaupt an OpenAI geben dürfen, müssen Sie selbst nach Art. 6 DSGVO begründen.
Was OpenAI speichert
Bei der API bewahrt OpenAI Ein- und Ausgaben standardmäßig bis zu 30 Tage in Protokollen zur Missbrauchserkennung auf, sofern nicht gesetzlich eine längere Aufbewahrung vorgeschrieben ist. Für das Training werden API-Daten nicht verwendet, es sei denn, Sie stimmen ausdrücklich zu.
- —Zero Data Retention und Modified Abuse Monitoring nehmen Ihre Inhalte aus diesen Protokollen heraus. Beide gibt es nur nach vorheriger Freigabe durch OpenAI; einen Schalter zum Selbstaktivieren gibt es nicht.
- —Nicht alle Schnittstellen sind abgedeckt: Files, Vector Stores, Assistants, Batches und Fine-Tuning speichern Daten unabhängig davon.
- —Auch mit Zero Data Retention kann OpenAI Inhalte aufbewahren, wenn das Gesetz es verlangt, wenn Bilder beim Scan auf Missbrauchsdarstellungen markiert werden oder wenn Inhalte als schwerwiegendes Risiko eingestuft werden.
Wie Sie Zero Data Retention beantragen und was genau ausgenommen ist, beschreibt unser Leitfaden zu Zero Data Retention und EU-Datenresidenz (Englisch).
EU-Datenresidenz
OpenAIs Region „Europa“ umfasst den EWR und die Schweiz. Für unterstützte Schnittstellen werden Inhalte dort gespeichert und auch verarbeitet. Die Bedingungen:
- —Die Berechtigung prüft OpenAIs Vertrieb; die Option steht nicht jedem Konto offen.
- —Für die API ist zuerst eine freigegebene Kontrolle zur Missbrauchsüberwachung nötig, etwa Zero Data Retention.
- —Die Region wird beim Anlegen eines neuen Projekts festgelegt. Bestehende Projekte lassen sich nicht umstellen.
- —Anfragen gehen an https://eu.api.openai.com/v1. Für berechtigte Modelle ab dem 5. März 2026 gilt ein Preisaufschlag von 10 %.
- —Systemdaten wie Kontodaten, Metadaten und Nutzungsstatistiken sind ausgenommen und können außerhalb der EU liegen.
- —Für ChatGPT gibt es EU-Datenresidenz bei Enterprise und Edu, nicht bei ChatGPT Business.
Der CLOUD Act: die Grenze jeder EU-Region
OpenAI ist ein US-Unternehmen. Nach dem US CLOUD Act können US-Behörden die Herausgabe von Daten verlangen, die ein US-Unternehmen kontrolliert, unabhängig davon, wo sie gespeichert sind. EU-Datenresidenz bestimmt den Speicher- und Verarbeitungsort, nicht aber, wer zur Herausgabe verpflichtet werden kann.
Für die meisten Anwendungsfälle ist das ein Restrisiko, das Sie in der Transfer-Folgenabschätzung und der Datenschutz-Folgenabschätzung dokumentieren. Für besonders sensible Daten ist ein Anbieter ohne US-Muttergesellschaft die sicherere Wahl; unser Vergleich DSGVO-konformer LLM-APIs (Englisch) stellt die Optionen gegenüber.
Wie genau Aufsichtsbehörden hinschauen, zeigt Italien: Die Datenschutzbehörde verhängte im Dezember 2024 ein Bußgeld von 15 Millionen Euro gegen OpenAI wegen der Verbraucherversion von ChatGPT. Ein Gericht in Rom hob das Bußgeld im März 2026 auf, doch die Prüfpunkte (Rechtsgrundlage für Trainingsdaten, Transparenz, Altersprüfung) bleiben die Themen, auf die europäische Behörden immer wieder zurückkommen.
Checkliste für Unternehmen
- Einen Tarif mit AVV wählen (Business, Enterprise, Edu oder API) und private Konten für Unternehmensdaten untersagen.
- Den AVV prüfen und die Liste der Unterauftragsverarbeiter dokumentieren.
- Für jeden Zweck eine Rechtsgrundlage nach Art. 6 DSGVO festlegen, bei besonderen Kategorien zusätzlich nach Art. 9.
- Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchführen, wenn die Verarbeitung voraussichtlich ein hohes Risiko birgt.
- Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) und die Datenschutzhinweise aktualisieren.
- Den Drittlandtransfer in einer Transfer-Folgenabschätzung bewerten, einschließlich CLOUD Act.
- Den Betriebsrat früh einbinden: Nach § 87 Abs. 1 Nr. 6 BetrVG ist eine Einführung meist mitbestimmungspflichtig.
- Beschäftigte schulen: Die KI-Verordnung verlangt seit dem 2. Februar 2025 ausreichende KI-Kompetenz (Art. 4).
- Personenbezogene Daten vor dem Versand minimieren oder automatisch entfernen (Englisch).
- Bei Hochrisiko-KI, etwa im Recruiting oder bei der Kreditprüfung, eigene manipulationssichere Protokolle führen und mindestens sechs Monate aufbewahren (Art. 12 KI-Verordnung, Englisch).
Häufige Fragen
Ist ChatGPT DSGVO-konform?
Das hängt vom Tarif ab. Die Verbraucherversionen (Free, Plus, Pro) eignen sich nicht für personenbezogene Daten im Unternehmen: Es gibt keinen Auftragsverarbeitungsvertrag, und ob Chats zum Training verwendet werden, hängt von den Einstellungen der einzelnen Nutzer ab. ChatGPT Business, Enterprise und Edu sowie die OpenAI-API enthalten einen AVV und lassen sich mit der richtigen Konfiguration DSGVO-konform nutzen.
Gibt es einen Auftragsverarbeitungsvertrag (AVV) mit OpenAI?
Ja, für die API, ChatGPT Business, Enterprise und Edu. OpenAIs Data Processing Addendum ist Bestandteil des OpenAI Services Agreement und gilt mit dessen Annahme; eine gesonderte Unterschrift ist nicht nötig. Vertragspartner für Unternehmen im EWR und in der Schweiz ist OpenAI Ireland Ltd. Der AVV regelt die Auftragsverarbeitung, ersetzt aber keine Rechtsgrundlage.
Speichert OpenAI Daten in der EU?
Nur nach Freigabe. EU-Datenresidenz gibt es für berechtigte Kunden der API sowie von ChatGPT Enterprise und Edu, beantragt über OpenAIs Vertrieb und nur für neu angelegte Projekte. ChatGPT Business bietet keine EU-Datenresidenz. Standardmäßig werden API-Daten global verarbeitet; Systemdaten wie Konto- und Nutzungsdaten sind von der Residenz ausgenommen.
Nutzt OpenAI meine Daten zum Training?
Bei der API sowie bei ChatGPT Business, Enterprise und Edu nicht, es sei denn, Sie stimmen ausdrücklich zu. Bei den Verbraucherversionen entscheidet die Einstellung des jeweiligen Nutzers darüber, ob Gespräche zur Verbesserung der Modelle verwendet werden.
Darf man personenbezogene Daten in ChatGPT eingeben?
In einem Unternehmenstarif mit AVV grundsätzlich ja, sofern es eine Rechtsgrundlage nach Art. 6 DSGVO gibt, die Datenschutz-Folgenabschätzung dies trägt und Sie nur so viele Daten verwenden wie nötig. Besondere Kategorien wie Gesundheitsdaten brauchen zusätzlich eine Ausnahme nach Art. 9 DSGVO. In Verbraucherversionen sollten Beschäftigte keine personenbezogenen Daten eingeben.
Muss der Betriebsrat der Einführung von ChatGPT zustimmen?
Häufig ja. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat ein Mitbestimmungsrecht bei technischen Einrichtungen, die geeignet sind, Verhalten oder Leistung von Beschäftigten zu überwachen. Bei einer unternehmensweiten Einführung mit Protokollierung ist eine Betriebsvereinbarung üblich. Klären Sie das früh und mit rechtlicher Beratung.
Quellen
OpenAI ändert seine Bedingungen häufig. Prüfen Sie die aktuelle Dokumentation, bevor Sie etwas vereinbaren oder konfigurieren.
- OpenAI: Data controls in the OpenAI platform
- OpenAI: Data Processing Addendum
- OpenAI: Sub-processors
- Datenschutz-Grundverordnung (DSGVO), EUR-Lex
- KI-Verordnung (EU) 2024/1689, EUR-Lex
Dieser Leitfaden wird von Sovergate gepflegt. Wir bauen Protokollierung nach Artikel 12 der KI-Verordnung für Unternehmen, die LLMs in Hochrisiko-Anwendungen einsetzen, unabhängig vom LLM-Anbieter. Er dient der Information und ist keine Rechtsberatung.
Zuletzt mit der Dokumentation von OpenAI abgeglichen: 26. Oktober 2026.
KI-Entscheidungen DSGVO-konform protokollieren
Zwei Zeilen Code. Personenbezogene Daten werden in Ihrer Infrastruktur entfernt. Manipulationssichere Protokolle in Deutschland und Berichte nach Artikel 12 für Ihre Rechtsabteilung.