KI und Datenschutz
Claude, Microsoft Copilot, Gemini und Mistral Vibe neben ChatGPT Business: Training, Verträge, Datenstandort und Verwaltung. Stand Oktober 2026.
Das hängt davon ab, wo Ihre Daten liegen dürfen und welche Bürosoftware Sie bereits nutzen. Arbeiten Sie mit Microsoft 365, liegt Copilot nahe; bei Google Workspace ist es Gemini. Wünschen Sie standardmäßig eine Speicherung in der EU, kommen Sie auf Mistral Vibe. Claude Team ist die Alternative, die ChatGPT Business am stärksten ähnelt.
Wer eine ChatGPT-Alternative sucht, sucht selten ein besseres Modell. Meist geht es darum, welchen Assistenten man bei der Arbeit verwenden darf. Dieser Artikel vergleicht deshalb nicht die Qualität der Antworten. Er stellt fünf geschäftliche Abonnements anhand von vier für die DSGVO relevanten Fragen gegenüber: Training mit Eingaben, Auftragsverarbeitungsvertrag, Datenstandort und Verwaltung.
Alles Folgende entspricht dem Stand Oktober 2026, gelesen in der eigenen Dokumentation der Anbieter am 13. Oktober 2026. Bedingungen ändern sich mehrmals jährlich. Wo die Dokumentation keine Antwort gibt, steht „prüfen“. Preise lassen wir weg. Dies ist eine Erläuterung, keine Rechtsberatung; den Überblick zu Chatbots und DSGVO finden Sie auf ChatGPT, Claude, Mistral Vibe und die DSGVO.
Eine Übersicht europäischer Anbieter, darunter Lumo und DeepL, bietet Europäische KI: die Alternativen zu ChatGPT im Überblick. Um einen Assistenten aus China geht es in DeepSeek und die DSGVO.
Auch persönliche Abonnements, kostenlos oder kostenpflichtig, sind ausgenommen. Dort ist der Mitarbeiter der Kunde und nicht die Organisation, und es gibt keinen Auftragsverarbeitungsvertrag. Das erläutert für jedes Abonnement ChatGPT Free, Plus, Business oder Enterprise: welches Abonnement dürfen Sie geschäftlich nutzen?.
Wird das, was Sie eingeben und hochladen, zur Verbesserung des Modells verwendet? Bei geschäftlichen Abonnements lautet die Antwort meist „standardmäßig nicht“. Achten Sie auf Ausnahmen: Feedback, das Sie selbst einsenden, und Schalter, die ein Administrator umstellen kann.
Art. 28 der DSGVO verlangt einen Vertrag mit jeder Partei, die in Ihrem Auftrag personenbezogene Daten verarbeitet. Gilt er automatisch oder müssen Sie ihn anfordern, und für welche Abonnements? Worauf Sie im Text achten, steht in Auftragsverarbeitungsvertrag mit OpenAI, Anthropic, Microsoft oder Mistral: worauf achten Sie?.
Wo werden Gespräche und Dateien gespeichert, und wo rechnet das Modell? Das sind zwei Fragen. Liegen oder fließen Daten außerhalb des EWR, gilt Kapitel V der DSGVO: Die Übermittlung muss auf einem Angemessenheitsbeschluss (Art. 45) oder geeigneten Garantien wie Standardvertragsklauseln (Art. 46) beruhen, und Sie dokumentieren sie in Ihrem Verarbeitungsverzeichnis.
Kann die Organisation Konten ausgeben und entziehen, Aufbewahrungsfristen festlegen und Vorgänge einsehen? Ohne Verwaltung wissen Sie bei einem Auskunfts- oder Löschungsersuchen nicht, was vorhanden ist.
Stand Oktober 2026, auf Grundlage der in den folgenden Abschnitten verlinkten Seiten. „Prüfen“ bedeutet: Die Dokumentation gibt keine eindeutige Antwort; fragen Sie den Anbieter oder lesen Sie den Vertrag.
| Anbieter | Geschäftliches Abonnement | Training mit Eingaben | Auftragsverarbeitungsvertrag | Datenstandort |
|---|---|---|---|---|
| ChatGPT (OpenAI) | Business; Enterprise | Standardmäßig nicht, außer Sie entscheiden sich für das Teilen | Ja, auf Anfrage über ein Formular | Business: keine Wahl. Enterprise: Regionswahl, darunter Europa; nicht alles ist erfasst |
| Claude (Anthropic) | Team; Enterprise | Nicht, außer Sie entscheiden sich zur Teilnahme; eingesandtes Feedback kann verwendet werden | Ja, automatisch Bestandteil der geschäftlichen Bedingungen | Speicherung in den Vereinigten Staaten; Verarbeitung kann über mehrere Regionen laufen |
| Microsoft Copilot | Lizenz zu Microsoft 365 | Nicht zum Training der Basismodelle | Ja, der Vertrag von Microsoft 365 gilt | Für EU-Kunden innerhalb der EU Data Boundary; Anthropic-Modelle sind ausgenommen und in der EU standardmäßig deaktiviert |
| Gemini in Google Workspace | Workspace-Edition mit Gemini; welche Edition: prüfen | Nicht ohne Erlaubnis oder Anweisung des Kunden | Ja, der Auftragsverarbeitungsvertrag von Workspace gilt | Regionswahl (USA oder Europa) für Speicherung; Verarbeitung in der Region nur bei den höchsten Editionen |
| Mistral Vibe (Mistral) | Team; Enterprise | Enterprise standardmäßig nicht. Team: Administrator kann es abschalten; Standardeinstellung prüfen | Ja, Bestandteil des Vertrags; für welche Abonnements: prüfen | Standardmäßig in der EU; je nach Funktion vorübergehend außerhalb |
Anthropic schreibt zu seinen geschäftlichen Produkten, darunter Team und Enterprise, dass Gespräche nicht zum Training von Modellen verwendet werden, sofern der Kunde nicht teilnimmt. Die Seite nennt zwei Ausnahmen: ein Entwicklerprogramm, für das Sie sich anmelden, und Material, das Sie selbst melden, etwa mit einem Daumen nach oben oder unten.
Den Auftragsverarbeitungsvertrag müssen Sie nicht anfordern. Laut Anthropic ist er automatisch in die geschäftlichen Bedingungen aufgenommen, einschließlich Standardvertragsklauseln.
Die Seite zu Serverstandorten erklärt, dass Daten in den Vereinigten Staaten gespeichert werden. Datenverkehr kann über mehrere Kontinente geleitet werden. Es liegt also eine Übermittlung vor, die Sie begründen und dokumentieren müssen.
Laut der Preisseite von Claude bietet Team Anmeldung per SSO, zentrale Verwaltung und Verwaltung von Verbindungen. Audit-Logs und eigene Aufbewahrungsfristen stehen dort bei Enterprise. Die Einzelheiten je Abonnement finden Sie in Claude AI und die DSGVO: ist Claude für die geschäftliche Nutzung sicher?.
Copilot bildet eine Ebene über Ihrer Microsoft-365-Umgebung. Microsoft schreibt, dass Prompts, Antworten und Daten aus Ihrer Umgebung nicht zum Training der Basismodelle verwendet werden. Sie werden unter den Vereinbarungen verarbeitet und gespeichert, die bereits für Ihre übrigen Inhalte in Microsoft 365 gelten. Die bestehenden Produktbedingungen und der Auftragsverarbeitungsvertrag von Microsoft finden Anwendung.
Für Kunden in der EU ist Copilot laut derselben Seite ein Dienst innerhalb der EU Data Boundary: Datenverkehr aus der EU bleibt innerhalb dieser Grenze. Administratoren können Aufbewahrungsfristen für Copilot-Gespräche festlegen und gespeicherte Gespräche durchsuchen.
Google schreibt in seinem Datenschutz-Hub für generative KI in Workspace, dass Prompts als Kundendaten unter den Auftragsverarbeitungsvertrag von Workspace fallen und dass Workspace Kundendaten nicht ohne vorherige Erlaubnis oder Anweisung des Kunden zum Modelltraining verwendet. Laut der Seite werden Inhalte nicht von Menschen geprüft. Das gilt nur für eine von Google dafür ausgewiesene Edition.
Workspace bietet eine Regionswahl: Vereinigte Staaten, Europäische Union oder keine Präferenz. Die Übersicht der von Datenregionen erfassten Daten nennt die Prompts und Antworten von Gemini. Speicherung in der gewählten Region gibt es in mehr Editionen, darunter Business Standard und Business Plus. Verarbeitung in der Region gibt es nur bei den höchsten Editionen oder mit einem Zusatzpaket. Protokolle und vorübergehende Kopien sind ausgenommen.
Gemini Notebook, bis vor Kurzem NotebookLM, folgt der Regionswahl nicht. Der Datenschutz-Hub sagt ausdrücklich, dass Freigabe- und Regionseinstellungen dort nicht gelten, weil das Notizbuch eine eigene Kopie Ihrer Dateien erstellt. Mehr dazu steht in NotebookLM und die DSGVO: dürfen Sie Unternehmensdokumente dort ablegen?, und über Gemini selbst in Google Gemini und die DSGVO: ist Gemini für die geschäftliche Nutzung sicher?.
Für alle, die standardmäßig Speicherung in der EU wünschen, ist Mistral Vibe die deutlichste Antwort. Mistral schreibt, dass Daten standardmäßig in der Europäischen Union gehostet werden. Dieselbe Seite nennt die Grenzen: Je nach Funktion können Daten vorübergehend die EU verlassen, zu Unterauftragsverarbeitern, die Mistral in seinem Trust Center auflistet; nur Enterprise-Kunden können einen Teil dieser Funktionen abschalten.
Die Seite zum Abmelden vom Training erklärt, dass Enterprise-Kunden standardmäßig abgemeldet sind. Bei Team kann der Administrator das Training für die gesamte Organisation abschalten. Die Standardeinstellung von Team nennt die Seite nicht. Öffnen Sie die Verwaltungsansicht und prüfen Sie unter Datenschutz die Stellung des Schalters.
Der Auftragsverarbeitungsvertrag von Mistral ist Bestandteil des Vertrags mit dem Kunden. Der Text nennt keine Abonnements: Lesen Sie in Ihren eigenen Bedingungen nach, ob er für Ihr Abonnement gilt. Den Rest erläutert Mistral Vibe und die DSGVO: ist ein europäischer Chatbot automatisch sicher?.
OpenAI erklärt auf der Seite Datenschutz für Unternehmen, dass Daten aus ChatGPT Business und Enterprise standardmäßig nicht zum Modelltraining verwendet werden und dass ein Auftragsverarbeitungsvertrag geschlossen werden kann. Diesen fordern Sie über ein Formular an. Administratoren eines Business-Arbeitsbereichs können Gespräche von Nutzern ansehen, exportieren und löschen.
Eine Regionswahl gibt es bei Business nicht. Die Seite zum Speicherort bei ChatGPT nennt neue Enterprise- und Edu-Kunden sowie bestimmte API-Kunden. Europa ist eine der Regionen; Kontodaten, Metadaten und alles, was über Verbindungen an Dritte geht, sind ausgenommen.
Stand Oktober 2026. Die Verwaltung unterscheidet sich erheblich je nach Edition.
| Anbieter | Was die Dokumentation zur Verwaltung nennt | Was Sie nachfragen |
|---|---|---|
| ChatGPT Business | Arbeitsbereich mit Administratoren, die Gespräche einsehen, exportieren und löschen können | Anmeldung per SSO und eigene Aufbewahrungsfristen: prüfen |
| Claude Team | SSO, zentrale Verwaltung, Verwaltung von Verbindungen | Audit-Log und eigene Aufbewahrungsfristen gehören zu Enterprise |
| Microsoft Copilot | Verwaltung im Admin Center von Microsoft 365, Aufbewahrungsrichtlinie und Suche in Gesprächen | Ob Ihre SharePoint-Berechtigungen in Ordnung sind |
| Gemini in Google Workspace | Administratoren bestimmen, ob und wie lange Gespräche aufbewahrt werden; Notizbuch pro Gruppe ein- oder ausgeschaltet | Welche Edition Sie haben und was sie abdeckt |
| Mistral Vibe Team | Verwaltungsansicht mit einem Schalter für Training | SSO, Protokolle und Aufbewahrungsfristen: prüfen |
Informieren Sie Mitarbeitende vorab darüber, was Administratoren sehen können.
Wer den Anbieter wechselt, wechselt den Vertragspartner. Alles andere zieht mit um.
PrivaSearch ist kein KI-Assistent und damit keine Alternative zu einem der fünf. Es behandelt den Punkt, der bei jedem Anbieter bleibt: was eingegeben wird. Statt eine Akte hochzuladen, lassen Sie einen Assistenten Textstellen durchsuchen, aus denen die personenbezogenen Daten bereits entfernt wurden.
Dokumente werden innerhalb von PrivaSearch analysiert, ohne externen KI-Anbieter. Erkannte Daten werden durch Pseudonyme ersetzt, die innerhalb eines Projekts gleich bleiben. Ein Kollege prüft das Ergebnis neben dem Original und gibt es frei; bis dahin ist ein Dokument nicht durchsuchbar. Siehe So funktioniert PrivaSearch.
Anschließend können Sie in PrivaSearch selbst oder über einen verbundenen Assistenten suchen. Die Verbindung verwendet den offenen MCP-Standard und funktioniert mit Claude, ChatGPT Business und Mistral Vibe. Der Assistent erhält nur freigegebene, pseudonymisierte Textstellen mit einer kurzen Quellenangabe und keine Dateien. Was er erhält, wird Teil des Gesprächs beim Anbieter dieses Assistenten; was Sie selbst eingeben, geht direkt dorthin. Ein geschäftliches Abonnement mit Auftragsverarbeitungsvertrag bleibt deshalb nötig, unabhängig davon, welchen der drei Sie wählen.
Wenn Sie keinen externen Assistenten möchten, suchen Sie in PrivaSearch selbst. Welche Parteien an welchem Schritt beteiligt sind, steht in der Übersicht der Unterauftragsverarbeiter; die Grundsätze finden Sie auf Hosting in der EU.
Pseudonymisieren ist nicht Anonymisieren: Für Ihre eigene Organisation bleiben es personenbezogene Daten. Anbieterwahl, Verarbeitungsverzeichnis und DSFA bleiben deshalb Ihre Aufgabe. Möchten Sie sehen, wie dies neben Ihrem aktuellen Assistenten funktioniert, fragen Sie eine Demo an.
Es gibt nicht die eine. Wer nach „ChatGPT-Alternative“ sucht, findet vier ernsthafte Optionen: Claude Team, Microsoft Copilot, Gemini in Google Workspace und Mistral Vibe. Welche passt, hängt von Ihrer Bürosoftware und davon ab, wo Ihre Daten liegen dürfen. Copilot und Gemini fallen unter den Vertrag, den Sie bereits haben, Mistral Vibe hostet standardmäßig in der EU, und Claude Team ähnelt ChatGPT Business am stärksten.
Mistral Vibe hostet laut eigener Dokumentation standardmäßig in der EU, mit Ausnahmen je Funktion. Microsoft Copilot fällt für EU-Kunden unter die EU Data Boundary, ausgenommen Modelle von Anthropic. Gemini in Google Workspace bietet eine Regionswahl; die Verarbeitung in der Region gilt nur für die höchsten Editionen. Claude speichert in den Vereinigten Staaten. Das ist der Stand Oktober 2026.
Bei einem geschäftlichen Abonnement standardmäßig nicht, sagen die Anbieter selbst. OpenAI, Anthropic, Microsoft und Google schreiben, dass geschäftliche Eingaben nicht zum Modelltraining verwendet werden, außer der Kunde entscheidet sich dafür. Bei Mistral ist Enterprise standardmäßig abgemeldet und der Administrator von Team kann es abschalten. Bei persönlichen Abonnements liegt das anders: Dort können Eingaben für das Training verwendet werden.
Das lässt sich nicht mit einem Wort beantworten. Copilot fällt unter den Vertrag, den Ihre Organisation bereits mit Microsoft hat, und verarbeitet Daten von EU-Kunden innerhalb der EU Data Boundary. Dem steht gegenüber, dass Copilot alles zeigen kann, was Mitarbeitende öffnen dürfen, auch zu breit geteilte Inhalte. Das Risiko verschiebt sich damit vom Anbieter zu Ihrer eigenen Berechtigungsverwaltung.
Für Arbeit ohne personenbezogene Daten ist das möglich, wenn Ihre eigene Richtlinie es erlaubt. Für Daten von Mandanten oder Mitarbeitenden nicht. Bei einem kostenlosen oder persönlichen Konto gibt es keinen Auftragsverarbeitungsvertrag, die Organisation hat keine Verwaltung und die Eingaben können für Training verwendet werden. Das gilt für jeden Anbieter, auch für einen europäischen.
Nein, nicht automatisch. Ein Anbieter, der in der EU hostet, verringert die Übermittlungsfrage. Rechtsgrundlage, Auftragsverarbeitungsvertrag, Datenminimierung, Aufbewahrungsfrist und Dokumentation im Verarbeitungsverzeichnis bleiben gleich. Kein Produkt regelt das für Sie. Die Beurteilung Ihrer eigenen Situation bleibt bei Ihnen und Ihrem Datenschutzbeauftragten, gegebenenfalls mit einem Juristen.
Wo eine hochgeladene Datei landet, wie lange sie bleibt, wer Zugriff hat und was Löschen bedeutet. Mit vier Vorgehensweisen für personenbezogene Akten.
Wie Schulen KI nutzen, warum Schülerdaten besonders geschützt sind, welche Anwendungen verboten oder hochriskant sind und was eine Schule regeln muss.
Was ChatGPT speichert, wer darauf zugreifen kann und wie Sie Training ausschalten. Dazu temporäre Chats, Erinnerungen und geteilte Links mit Checkliste.
Wir zeigen es mit fiktiven Akten aus Ihrer Branche: Upload, Erkennung, Prüfung, Suche und die Verbindung mit Ihrem KI-Assistenten. Danach wissen Sie genau, was Ihr Team sicher nutzen kann.
Demo planen →