Prüfstand · KI-Assistent Stand:

ChatGPT DSGVO-konform nutzen? Prüfstand mit Quellen (Stand Okt. 2026)

Zehn Kriterien, jede Aussage mit Quelle und wörtlichem Zitat. Geprüft am 19. Oktober 2026, nächste Prüfung spätestens am 17. Januar 2027.

von 10 Kriterien erfüllt
7 von 10 Kriterien erfüllt
mit Einschränkung
3 mit Einschränkung
nicht erfüllt oder nicht ausgewiesen
0 nicht erfüllt oder nicht ausgewiesen
Belege mit Zitat
24 Belege mit Zitat

Unser Kurzurteil

Kurzurteil für ChatGPT: Mit Auflagen

Mit personenbezogenen Daten nur in ChatGPT Business oder Enterprise, nie in Free, Plus oder Pro. Vertragspartner ist OpenAI Ireland, die AVV ist Vertragsbestandteil, und Ihre Inhalte gehen standardmäßig nicht ins Training. Einschränkungen bleiben: OpenAI ist nicht unter dem Data Privacy Framework gelistet, die Übermittlung in die USA stützt sich allein auf Standardvertragsklauseln, und Speicherung in Europa gibt es nur für neue Enterprise-Arbeitsbereiche.

Geeigneter Tarif
Geeignet
Geeignet ChatGPT Business oder ChatGPT Enterprise (Datenstandort Europa, SCIM und Compliance-API nur Enterprise)
Ungeeignet
Ungeeignet
Ungeeignet ChatGPT Free, Go, Plus und Pro: Verbrauchertarife ohne AVV, Inhalte fließen ins Training, solange niemand es abschaltet

In 30 Sekunden

  • Mit Auflagen: Einsetzbar, aber nur im richtigen Tarif und mit Einstellungen, die Sie selbst vornehmen müssen.
  • Nehmen Sie ChatGPT Business oder ChatGPT Enterprise (Datenstandort Europa, SCIM und Compliance-API nur Enterprise).
  • Offen bei den Kernkriterien: Drittlandübermittlung (mit Einschränkung).
  • Erster Schritt: Schließen Sie ChatGPT Business oder Enterprise auf die Firma ab und untersagen Sie private Free-, Plus- oder Pro-Konten für dienstliche Inhalte schriftlich.
  • 7 erfüllt
  • 3 mit Einschränkung

Die zehn Kriterien mit Belegen

Aufklappen zeigt Quelle, wörtliches Zitat und Abrufdatum. Bewertet ist der geeignete Tarif.

  1. Erfüllt 01 Vertragspartner Kern · Erfüllt Unternehmen mit Sitz im EWR oder in der Schweiz schließen den Vertrag mit der OpenAI Ireland Ltd. in Dublin. Damit sitzt Ihr Vertragspartner in der EU.

    Prüffrage: Mit wem schließen Sie den Vertrag, und sitzt er in der EU?

    Maßstab: Grün: Vertragspartner mit Sitz in der EU oder im EWR. Gelb: Sitz außerhalb, Vertrag mit Standardvertragsklauseln. Rot: kein eindeutiger Vertragspartner.

    Andere Tarife: Free, Go, Plus und Pro laufen über die Verbraucher-Bedingungen. Dort ist OpenAI selbst Verantwortlicher, nicht Ihr Auftragsverarbeiter.

    • OpenAI Ireland Ltd. für Kunden im EWR und in der Schweiz

      “OpenAI Contracting Party” means: (a) OpenAI OpCo, LLC, for Customers located outside the EEA or Switzerland; (b) OpenAI Ireland Ltd. for Customers located in the EEA or Switzerland; or (c) OpenAI Public Sector, LLC if designated on the Order Form.

      Quelle: openai.com (öffnet neues Fenster) abgerufen am

    • Services Agreement gilt für ChatGPT Business und Enterprise, nicht für Verbraucher

      This OpenAI Services Agreement only applies to use of OpenAI’s APIs, ChatGPT Enterprise, ChatGPT Business, ChatGPT for Clinicians, and other services for customers who are businesses and developers, and does not apply to OpenAI services used by consumers or individuals unless specified above.

      Quelle: openai.com (öffnet neues Fenster) abgerufen am

  2. Erfüllt 02 Auftragsverarbeitung (AVV) Kern · Erfüllt Das Data Processing Addendum ist per Verweis Teil des Services Agreement und gilt mit Vertragsschluss. Eine gesondert unterzeichnete Fassung bietet OpenAI über ein Formular an.

    Prüffrage: Gibt es einen Vertrag nach Art. 28 DSGVO, und wie kommt er zustande?

    Maßstab: Grün: AVV nach Art. 28 DSGVO gilt für den Tarif automatisch oder per Klick. Gelb: nur auf Anfrage oder mit Einschränkungen. Rot: kein AVV.

    Andere Tarife: Für Free, Go, Plus und Pro gibt es keine AVV.

    • DPA ist Vertragsbestandteil

      If Customer uses the Services to process Personal Data, OpenAI and Customer will comply with the DPA, which is incorporated by this reference into the Agreement.

      Quelle: openai.com (öffnet neues Fenster) abgerufen am

    • OpenAI handelt als Auftragsverarbeiter

      OpenAI acts as a Data Processor on the Customer’s behalf, and this DPA governs such Processing.

      Quelle: openai.com (öffnet neues Fenster) abgerufen am

    • DPA für Business, Enterprise und API, Abschluss per Formular

      Yes, we are able to execute a Data Processing Addendum (DPA) with customers for their use of ChatGPT Business, ChatGPT Enterprise, and the API in support of their compliance with GDPR and other privacy laws.

      Quelle: openai.com (öffnet neues Fenster) abgerufen am

  3. Erfüllt 03 Unterauftragsverarbeiter · Erfüllt Die Liste der Unterauftragsverarbeiter ist öffentlich, mit Ort und Zweck je Dienstleister. Änderungen kündigt OpenAI an, per E-Mail nach Anmeldung, und Sie können binnen 30 Tagen widersprechen.

    Prüffrage: Ist die Liste öffentlich, und werden Änderungen angekündigt?

    Maßstab: Grün: öffentliche Liste und Ankündigung von Änderungen mit Widerspruchsrecht. Gelb: Liste nur im Vertrag oder ohne Ankündigung. Rot: keine Liste.

    • Öffentliche Liste mit Ort und Zweck

      OpenAI engages the following entities to provide processing activities for Customer Data (as defined in the OpenAI Data Processing Agreement).

      Quelle: openai.com (öffnet neues Fenster) abgerufen am

    • Ankündigung von Änderungen, Widerspruch binnen 30 Tagen

      Customer may object to the use of such additional Sub-processor within 30 days of receiving notice of the change by following the instructions set forth in the Sub-Processor List or by contacting privacy@openai.com.

      Quelle: openai.com (öffnet neues Fenster) abgerufen am

  4. Mit Einschränkung 04 Datenstandort · Mit Einschränkung Speicherung in Europa (EWR und Schweiz) gibt es nur für neue Arbeitsbereiche in ChatGPT Enterprise und Edu, auf Wunsch auch mit Verarbeitung auf europäischen GPUs. ChatGPT Business bietet keine Wahl des Datenstandorts; laut Liste der Unterauftragsverarbeiter wird dort auch in den USA verarbeitet.

    Prüffrage: Wo liegen die Inhalte, und lässt sich Europa wählen?

    Maßstab: Grün: Inhalte in der EU, als Standard oder im Tarif wählbar. Gelb: EU nur auf Antrag, gegen Aufpreis oder nur teilweise. Rot: keine EU-Option.

    Andere Tarife: Bestehende Arbeitsbereiche lassen sich nicht nachträglich auf Europa umstellen; die Region wird beim Einrichten gewählt.

  5. Mit Einschränkung 05 Drittlandübermittlung Kern · Mit Einschränkung OpenAI ist auf der Data-Privacy-Framework-Liste des US-Handelsministeriums nicht verzeichnet (Suche am 19.10.2026 ohne Treffer). Übermittlungen an US-Konzerngesellschaften und Dienstleister stützen sich auf Standardvertragsklauseln.

    Prüffrage: Worauf stützt sich die Übermittlung in die USA (DPF, Standardvertragsklauseln)?

    Maßstab: Grün: keine Übermittlung nötig oder Empfänger aktiv im EU-US Data Privacy Framework und Standardvertragsklauseln im Vertrag. Gelb: nur Standardvertragsklauseln. Rot: keine Grundlage.

    • Standardvertragsklauseln für Übermittlungen aus dem EWR

      To the extent OpenAI Ireland Limited transfers EEA and Swiss Data to other OpenAI Affiliates or third parties outside the European Economic Area or Switzerland to provide the Services, it will do so on the basis of agreements containing SCCs that ensure appropriate safeguards for the protection of Customer Data are in place or an adequacy decision issued by the European Commission under Article 45 GDPR.

      Quelle: openai.com (öffnet neues Fenster) abgerufen am

    • SCC auch zwischen den OpenAI-Gesellschaften

      We use the Standard Contractual Clauses as a valid transfer mechanism among affiliates.

      Quelle: openai.com (öffnet neues Fenster) abgerufen am

  6. Erfüllt 06 KI-Training mit Ihren Daten Kern · Erfüllt Inhalte aus ChatGPT Business und Enterprise nutzt OpenAI standardmäßig nicht zum Training. Training gibt es nur, wenn Sie ausdrücklich zustimmen, etwa über Feedback.

    Prüffrage: Werden Ihre Inhalte zum Training von KI-Modellen genutzt?

    Maßstab: Grün: kein Training mit Ihren Inhalten, ohne dass Sie etwas tun müssen. Gelb: nur per Abschalten (Opt-out). Rot: Training ohne Abschaltmöglichkeit.

    Andere Tarife: In Free, Go, Plus und Pro nutzt OpenAI Ihre Inhalte zum Training, solange Sie es nicht abschalten. Das geht unter Einstellungen → Datenkontrollen → „Improve the model for everyone“.

    • Kein Training mit Geschäftsdaten ohne Opt-in

      By default, we do not use your business data for training our models. If you have explicitly opted in to share your data with us (for example, through our opt-in feedback mechanisms) to improve our services, then we may use the shared data to train our models.

      Quelle: openai.com (öffnet neues Fenster) abgerufen am

    • Gilt auch für Daten aus verbundenen Apps

      By default, we do not train our models on any data accessed from apps.

      Quelle: openai.com (öffnet neues Fenster) abgerufen am

  7. Erfüllt 07 Zertifikate · Erfüllt OpenAI weist SOC 2 Type 2 sowie ISO/IEC 27001, 27017, 27018 und 27701 nach, dazu CSA STAR. Ein BSI-C5-Testat ist nicht ausgewiesen.

    Prüffrage: ISO 27001, SOC 2, BSI C5: Was ist nachgewiesen?

    Maßstab: Grün: ISO 27001 oder SOC 2 Typ II nachgewiesen. Gelb: nur Selbstauskunft. Rot: kein Nachweis.

  8. Mit Einschränkung 08 Verwaltung & Kontrolle · Mit Einschränkung ChatGPT Business bietet SSO, Mehr-Faktor-Anmeldung und Admin-Zugriff auf die Chats im Arbeitsbereich. SCIM, Rollenrechte und das Audit-Log über die Compliance-API gibt es nur in Enterprise.

    Prüffrage: SSO, Rollen und Audit-Log: Können Sie den Einsatz steuern?

    Maßstab: Grün: SSO, Rollen und Protokoll im geprüften Tarif. Gelb: nur teilweise oder erst im höheren Tarif. Rot: keine zentrale Verwaltung.

    Andere Tarife: In Enterprise vollständig erfüllt (SSO, SCIM, Rollen, Compliance-API).

    • Business: SSO und MFA

      Everything is encrypted, with features like SSO and multi-factor authentication,plus support for compliance with GDPR, CCPA, and other privacy laws.

      Quelle: chatgpt.com (öffnet neues Fenster) abgerufen am

    • Audit-Log über die Compliance-API (Enterprise)

      Your organization has control over workspaces, and workspace admins can access an audit log of conversations and GPTs through the Enterprise Compliance API.

      Quelle: openai.com (öffnet neues Fenster) abgerufen am

    • SCIM und Rollenrechte nur Enterprise

      Need Enterprise SCIM, role-based access controls, or data residency?

      Quelle: chatgpt.com (öffnet neues Fenster) abgerufen am

  9. Erfüllt 09 Löschung · Erfüllt Gelöschte Chats entfernt OpenAI binnen 30 Tagen, nach Vertragsende alle Kundeninhalte ebenfalls binnen 30 Tagen. Die Aufbewahrungsdauer legen Ihre Admins fest; die gerichtliche Aufbewahrungsanordnung aus dem NYT-Verfahren betraf Enterprise nie und ist seit 26.09.2025 beendet.

    Prüffrage: Werden Daten nach Vertragsende und auf Anforderung gelöscht, und in welcher Frist?

    Maßstab: Grün: Löschfristen nach Vertragsende und auf Anforderung verbindlich genannt. Gelb: Frist offen. Rot: keine Löschzusage.

    • Löschung binnen 30 Tagen nach Vertragsende

      OpenAI will delete all Customer Content from its systems within thirty days, unless: (i) OpenAI is legally required to retain it; or (ii) Customer has agreed otherwise in writing.

      Quelle: openai.com (öffnet neues Fenster) abgerufen am

    • Admins steuern die Aufbewahrung, gelöschte Chats nach 30 Tagen weg

      Your workspace admins can control how long your data is retained. Any deleted or unsaved conversations are removed from our systems within 30 days, unless longer retention is required by law, or is reasonably necessary to protect our services or any third party from harm.

      Quelle: openai.com (öffnet neues Fenster) abgerufen am

    • Gerichtliche Aufbewahrungsanordnung beendet

      After months of litigation, we are no longer under a legal order to retain consumer ChatGPT and API content indefinitely. Our obligations under the earlier order ended on September 26, 2025.

      Quelle: openai.com (öffnet neues Fenster) abgerufen am

  10. Erfüllt 10 Betroffenenrechte · Erfüllt OpenAI leitet Anfragen Betroffener an Sie weiter und unterstützt Sie technisch. Admins in Business können Chats im Arbeitsbereich einsehen, exportieren und löschen, damit Sie Auskunft und Löschung selbst erledigen.

    Prüffrage: Unterstützt der Anbieter Auskunft, Berichtigung und Löschung nach Art. 15 bis 17 DSGVO?

    Maßstab: Grün: Unterstützung vertraglich zugesagt und Export oder Löschung möglich. Gelb: nur allgemeiner Kontaktweg. Rot: keine Unterstützung.

    Andere Tarife: Privatnutzer stellen Anfragen selbst über privacy.openai.com oder dsar@openai.com.

    • Unterstützung bei Betroffenenanfragen laut DPA

      Taking into account the nature of the processing, OpenAI will assist Customer by implementing appropriate technical and organizational measures, in so far as this is possible, to allow Customer to respond to Data Subject Requests.

      Quelle: openai.com (öffnet neues Fenster) abgerufen am

    • Admins können Chats einsehen, exportieren und löschen

      Workspace admins have control over workspaces and can view, access, export, and delete end user conversations in the workspace.

      Quelle: openai.com (öffnet neues Fenster) abgerufen am

So setzen Sie ChatGPT sauber ein

Die Schritte in dieser Reihenfolge abarbeiten. Was erledigt ist, können Sie abhaken; das bleibt nur in Ihrem Browser.

Aus dem Subprozessor-Monitor

Unterauftragsverarbeiter von ChatGPT

OpenAI veröffentlicht seine Liste nicht so, dass unser Monitor sie täglich automatisch lesen kann (Anmeldung, Bot-Sperre oder nur im Vertragsanhang). Wir prüfen sie deshalb bei jeder Nachprüfung von Hand.

Erfüllt

Stand 19. Oktober 2026: Die Liste der Unterauftragsverarbeiter ist öffentlich, mit Ort und Zweck je Dienstleister. Änderungen kündigt OpenAI an, per E-Mail nach Anmeldung, und Sie können binnen 30 Tagen widersprechen.

17 Anbieter im Monitor ansehen

Änderungshistorie

Nächste Prüfung spätestens am 17. Januar 2027.

  1. Erstprüfung.

Weiterlesen

Hugo DSB

Jedes Tool im Verzeichnis, jeder AVV an seinem Platz

Mit Hugo DSB dokumentieren Sie ChatGPT und alle anderen Dienstleister im Verzeichnis der Verarbeitungstätigkeiten, mit externem Datenschutzbeauftragten an Ihrer Seite.

Hugo DSB ansehen

Einschätzung der frag.hugo Informationssicherheit GmbH auf Basis öffentlicher Angaben von OpenAI, Stand 19. Oktober 2026. Keine Rechtsberatung. Herstellerangaben können sich ändern; maßgeblich sind die verlinkten Originaldokumente. Wie wir prüfen: Methode.

In ChatGPT Business und Enterprise ist ein DSGVO-konformer Einsatz nach unserer Einschätzung möglich: Es gibt eine AVV mit OpenAI Ireland, und Ihre Inhalte gehen standardmäßig nicht ins Training. Die Übermittlung in die USA stützt sich aber nur auf Standardvertragsklauseln, weil OpenAI nicht unter dem Data Privacy Framework gelistet ist. Free, Plus und Pro sind für personenbezogene Daten ungeeignet.

Nur in einem Business- oder Enterprise-Arbeitsbereich mit AVV und nur, wenn der Zweck das deckt. In private Konten mit Free, Plus oder Pro gehören keine Kundendaten, denn dort gibt es keine AVV und Inhalte fließen ins Training, solange niemand es abschaltet. Besondere Kategorien wie Gesundheitsdaten sollten Sie auch im Business-Tarif nicht eingeben.

Standardmäßig verarbeitet OpenAI Daten unter anderem in den USA; die Liste der Unterauftragsverarbeiter nennt Microsoft, Google, Oracle, CoreWeave und weitere Rechenzentren weltweit. Speicherung in Europa (EWR und Schweiz) können Sie nur für neue Arbeitsbereiche in ChatGPT Enterprise oder Edu wählen. ChatGPT Business hat keine Wahl des Datenstandorts.

In ChatGPT Business, Enterprise und über die API nicht, solange Sie nicht ausdrücklich zustimmen, etwa über Feedback. In den Verbrauchertarifen Free, Go, Plus und Pro werden Inhalte genutzt, solange Sie das Training nicht abschalten. Dort schalten Sie es unter Einstellungen → Datenkontrollen → „Improve the model for everyone“ ab.

Ja, für ChatGPT Business, Enterprise und die API. Das Data Processing Addendum ist Teil des Services Agreement und gilt mit Vertragsschluss; Vertragspartner für Unternehmen im EWR ist die OpenAI Ireland Ltd. Eine unterzeichnete Fassung erhalten Sie über das DPA-Formular von OpenAI.

Gelöschte Chats entfernt OpenAI binnen 30 Tagen, sofern keine gesetzliche Pflicht zur längeren Aufbewahrung besteht. Nach Vertragsende werden alle Kundeninhalte ebenfalls binnen 30 Tagen gelöscht. Die Aufbewahrungsanordnung aus dem Verfahren der New York Times endete am 26.09.2025 und betraf Enterprise nie.

Weitere kostenlose Werkzeuge

Alle ohne Anmeldung, alle ohne Kosten.

Alle Werkzeuge

Werkzeuge zeigen Lücken. Schließen muss sie jemand.

Wir übernehmen Datenschutz und Informationssicherheit als externer Dienstleister — TÜV-zertifiziert, mit festem Ansprechpartner, ab 79 € im Monat.

Angebot in 60 Sekunden 15 Minuten sprechen