KI und Datenschutz
Welche europäischen KI-Assistenten und Modelle es gibt, was europäisch genau bedeutet und welche Datenschutzfragen ein europäischer Anbieter löst.
Die bekannteste europäische KI ist Mistral AI aus Frankreich mit dem Assistenten Mistral Vibe. Daneben gibt es Lumo vom Schweizer Unternehmen Proton, die Modelle des deutschen Anbieters Aleph Alpha für Organisationen, die Übersetzungs- und Schreibdienste von DeepL und das niederländische Sprachmodell GPT-NL. Keines dieser Angebote erledigt die Anforderungen der DSGVO für Sie: Sie machen einen einzelnen Teilbereich kleiner.
Dieser Artikel nennt ausschließlich Anbieter, deren eigene Website am 13. Oktober 2026 durchgesehen wurde. Er ist keine Rangliste und enthält keinen Test der Antwortqualität. Es geht um die Fragen, die sich eine Organisation stellt, bevor sie wechselt: Was bekomme ich, wo liegen meine Daten, und was muss ich anschließend noch selbst regeln? Angebot und Bedingungen ändern sich schnell. Öffnen Sie die verlinkten Seiten, bevor Sie Ihre Wahl treffen.
Dies ist eine Erläuterung, keine Rechtsberatung. Den Überblick bietet ChatGPT, Claude, Mistral Vibe und die DSGVO.
Das Wort umfasst drei verschiedene Dinge. Ein Anbieter kann in allen drei Punkten europäisch sein oder nur in einem.
Wo sitzt Ihr Vertragspartner? Ein Unternehmen mit EU-Niederlassung unterliegt DSGVO und europäischer Aufsicht. Das unterscheidet weniger als gedacht. Art. 3 DSGVO erfasst auch Nicht-EU-Unternehmen, die Menschen in der EU Dienste anbieten. Auch ein Anbieter außerhalb Europas muss also die DSGVO beachten.
Wo werden Gespräche gespeichert und verarbeitet? Darum geht es in Kapitel V DSGVO. Personenbezogene Daten dürfen nur unter dessen Voraussetzungen außerhalb des EWR gelangen (Art. 44): Angemessenheitsbeschluss der Kommission (Art. 45) oder geeignete Garantien wie Standardvertragsklauseln (Art. 46).
Sitz und Speicherung fallen nicht automatisch zusammen. Europäische Firmen können Komponenten bei Nicht-EU-Parteien betreiben lassen. Nicht-europäische Firmen können europäische Speicherung anbieten.
Wer hat das Sprachmodell gebaut? Eine europäische App kann ein Modell eines Nicht-EU-Anbieters verwenden. Dann ist die Oberfläche europäisch, Ihre Frage geht aber an einen Dritten. Umgekehrt können Sie ein europäisches Modell auf frei gewählter Infrastruktur betreiben. Fragen Sie immer nach Modell und Betreiber.
| Bedeutung | Ihre Frage | Wo die Antwort steht | Bedeutung für die DSGVO |
|---|---|---|---|
| Sitz | Wo sitzt mein Vertragspartner? | Impressum, Bedingungen, Auftragsverarbeitungsvertrag | Bestimmt Vertragspartner und federführende Aufsicht |
| Speicherung und Verarbeitung | Wo liegen und laufen meine Daten? | Datenstandortseite und Unterauftragsverarbeiterliste | Bestimmt, ob Kapitel V zur Übermittlung greift |
| Modell | Wer entwickelt und betreibt das Modell? | Produktdokumentation und Unterauftragsverarbeiterliste | Bestimmt, ob eine zusätzliche Partei Eingaben erhält |
Stand Oktober 2026 anhand der Anbieterwebsites.
Mistral AI wurde im April 2023 gegründet und sitzt in Paris. Es entwickelt eigene Sprachmodelle und einen Assistenten, der seit 2026 Mistral Vibe heißt, zuvor Le Chat. Auf der Produktseite beschreibt Mistral ihn als Assistenten und Agenten für Arbeit und Programmierung mit Verbindungen zu weiteren Tools. Gespräche, Einstellungen und Abonnements wurden übernommen.
Laut Mistral werden Daten standardmäßig in der Europäischen Union gehostet. Je Funktion können sie vorübergehend außerhalb gelangen. Für große Kunden nennt die Produktseite den Betrieb in eigener Umgebung.
Unter den hier genannten Anbietern kommt Mistral AI einem europäischen ChatGPT am nächsten: ein Fenster für Fragen, Dokumente und Aufgaben, kostenlose Version und bezahlte Abonnements.
Lumo ist der Assistent von Proton, dem Unternehmen hinter Proton Mail. Proton AG sitzt in der Schweiz und hat laut Datenschutzerklärung einen EU-Vertreter. Auf der Lumo-Seite schreibt Proton, gespeicherte Gespräche seien so verschlüsselt, dass nur der Nutzer sie lesen kann, sie dienten nicht dem Modelltraining und der Code sei öffentlich. Laut Lumo-Datenschutzerklärung verwendet Proton nur selbst eingesandtes Feedback zur Modellverbesserung. Es gibt eine kostenlose, eine bezahlte Version und ein Unternehmensangebot.
Die Schweiz gehört weder EU noch EWR an. Für die DSGVO ist sie ein Drittland mit Angemessenheitsbeschluss: Sie steht auf der Kommissionsliste. Übermittlung kann daher auf Art. 45 beruhen. Sie wird im Verarbeitungsverzeichnis genannt.
Aleph Alpha GmbH sitzt in Heidelberg. Auf seiner Website bietet es das eigene Sprachmodell Kolibri, eine Plattform für KI-Anwendungen und Unterstützung bei der Einführung. Zielgruppe sind Behörden und Unternehmen. Ein Verbraucherassistent fehlt. Es ersetzt also nicht ChatGPT für einzelne Mitarbeitende, sondern ist ein Baustein für eigene Organisationsanwendungen.
DeepL SE aus Köln ist für Übersetzung bekannt und bietet auch Schreibhilfe. Es ist kein allgemeiner Chatbot, aber für viele Büroarbeiten die erste genutzte KI. Die Datenschutzerklärung zeigt dasselbe Muster wie große Chatbots. Die kostenlose Version bewahrt Texte begrenzt auf und nutzt sie zum Training. Bezahlte Pro-Versionen speichern laut DeepL nicht dauerhaft und nutzen Texte nicht zur Dienstverbesserung. Dokumente werden laut Erklärung auf EWR-Infrastruktur verarbeitet.
GPT-NL ist ein niederländisches Sprachmodell von TNO, NFI und SURF, drei gemeinnützigen Organisationen. Laut Website ist es für geschäftliche Nutzung mit rechtmäßig gewonnenen Daten entwickelt, für Zusammenfassung und Suche in eigenen Dokumenten. Die erste Version ist für Herbst 2026 angekündigt und vorläufig nur einer ersten Kundengruppe zugänglich. Ein heute frei zu öffnender Assistent ist es noch nicht.
| Anbieter | Land | Angebot | Wo die Bedingungen stehen |
|---|---|---|---|
| Mistral AI | Frankreich | Eigene Modelle, Mistral Vibe für Arbeit und Code, API | Mistrals rechtliche Seiten mit Auftragsverarbeitungsvertrag |
| Proton (Lumo) | Schweiz | Lumo, kostenlos, bezahlt und für Unternehmen | Lumo-Datenschutzerklärung auf Protons Website |
| Aleph Alpha | Deutschland | Kolibri, Plattform und Begleitung für Organisationen | Datenschutzerklärung und eigener Vertrag beim Abschluss |
| DeepL | Deutschland | Übersetzen und Schreiben, kostenlos und Pro | Datenschutzerklärung und Bedingungen auf DeepLs Website |
| GPT-NL | Niederlande | Sprachmodell für Organisationen in früher Phase | GPT-NL-Website; Bedingungen bei Teilnahme |
Stand Oktober 2026. Die Liste ist unvollständig. Weitere europäische Firmen bieten KI, oft als Oberfläche um fremde Modelle. Stellen Sie zuerst die drei genannten Fragen.
Sitzt der Vertragspartner in der EU und bleiben Daten dort, greift Kapitel V nicht oder deutlich weniger. Sie müssen weder Angemessenheitsbeschluss noch Standardvertragsklauseln beurteilen und keine Drittlandübermittlung im Verzeichnis dokumentieren. Kleinen Organisationen ohne Juristen erspart das Arbeit und Unsicherheit.
Mistral beschreibt die Grenzen selbst, Stand Oktober 2026. Der US-API-Endpunkt führt zu US-Hosting. Einige Funktionen können Daten vorübergehend außerhalb der EU an im Trust Center genannte Unterauftragsverarbeiter geben, mit Standardvertragsklauseln, soweit nötig. Nur Enterprise-Kunden können einige davon abschalten. Bei jedem Anbieter gilt: Unterauftragsverarbeiterliste lesen, bevor Sie „in der EU“ dokumentieren.
Alles ohne Standortbezug. Einzelheiten stehen in Mistral Vibe und die DSGVO: ist ein europäischer Chatbot automatisch sicher?. Hier die Hauptpunkte.
Bei Mistral werden laut Hilfezentrum Ein- und Ausgaben standardmäßig zum Training verwendet, außer Sie schalten es aus. Enterprise ist standardmäßig ausgenommen. Daumenbewertungen erlauben die Nutzung von Bewertung samt Gespräch in jedem Abonnement. Bei DeepL verläuft die Grenze zwischen kostenlos und Pro. Ein europäischer Sitz sagt daher nichts über Training. Prüfen Sie je Abonnement wie bei ChatGPT und Claude.
Art. 28 DSGVO verlangt einen Vertrag mit jeder Partei, die für Sie personenbezogene Daten verarbeitet. Ein eigenes kostenloses Konto eines Mitarbeiters bei einem EU-Anbieter hat diesen nicht. Unbemerkte Privatkontennutzung ist dasselbe Problem; siehe Schatten-KI: was sie ist, wie groß das Risiko ist und wie Sie es beherrschen. Prüfpunkte erklärt Auftragsverarbeitungsvertrag mit OpenAI, Anthropic, Microsoft oder Mistral: worauf achten Sie?.
Art. 5 Abs. 1 Buchst. c verlangt nur zwecknotwendige Verarbeitung. Wer eine ganze Akte für eine Frage hochlädt, sendet in Paris genauso viel wie anderswo. Mistral zählt hochgeladene Dokumente ausdrücklich als Eingaben.
Sie brauchen eine Rechtsgrundlage und bei Gesundheit oder anderen besonderen Daten eine Ausnahme vom Verbot. Berufsgeheimnisträger prüfen zusätzlich, ob ein Dritter die Akte sehen darf; siehe Berufsgeheimnis und KI: was Anwälte, Notare und Wirtschaftsprüfer wissen müssen. Die Verarbeitung gehört ins Verzeichnis, mit DSFA bei voraussichtlich hohem Risiko.
In der Nutzung ähnelt Mistral Vibe ChatGPT: Fragenfenster, Dokumentupload, Dienstverbindungen und Teamversion. Die Abonnements sind ähnlich gegliedert: kostenlos, bezahlt persönlich, Team und Vertrag für große Organisationen.
Der DSGVO-Unterschied liegt an einer Stelle: Mistral AI ist europäisch und hostet standardmäßig in der EU. Bei ChatGPT ist Europa-Speicherung eine Wahl im höchsten Abonnement. Sonst fällt der Vergleich weniger günstig aus, als die Herkunft vermuten lässt. Bei Mistral ist Training standardmäßig an, nur Enterprise ist ausgenommen. Den Vergleich bietet ChatGPT Free, Plus, Business oder Enterprise: welches Abonnement dürfen Sie geschäftlich nutzen?.
PrivaSearch ist kein KI-Assistent und keine Alternative zu einem der oben genannten Anbieter. Es behandelt das Thema, das auch ein europäischer Anbieter offenlässt: wie viele Daten mitgehen. Personenbezogene Daten werden innerhalb von PrivaSearch erkannt und durch Pseudonyme ersetzt. Ein Kollege kontrolliert das Ergebnis, bevor ein Dokument durchsuchbar wird. Siehe So funktioniert PrivaSearch.
Sie können vollständig in PrivaSearch suchen. Semantische Suche nutzt einen europäischen KI-Anbieter und nur pseudonymisierten, geprüften Text. Originale, Pseudonym-Tresor, Suchindex und Erkennung laufen in EU-Rechenzentren. Beteiligte stehen in der Unterauftragsverarbeiterübersicht, Grundsätze auf Hosting in der EU.
Zusätzlich können Assistenten per offenem MCP-Standard suchen. Verbindungen sind mit Claude, ChatGPT Business und Mistral Vibe möglich. Der Assistent erhält nur freigegebene, pseudonymisierte Textstellen mit kurzer Quellenangabe und keine Dateien. Seine Ergebnisse werden Teil des Gesprächs bei seinem Anbieter; eigene Eingaben gehen direkt dorthin. Deshalb empfehlen wir auch bei europäischen Assistenten ein Geschäftskonto mit Auftragsverarbeitungsvertrag.
Pseudonymisieren ist nicht Anonymisieren. Für Ihre Organisation bleiben es personenbezogene Daten; Rechtsgrundlage, Verzeichnis und DSFA bleiben Ihre Arbeit. Den Unterschied erklärt Pseudonymisieren oder Anonymisieren: der Unterschied und seine Bedeutung für KI.
Möchten Sie eine Frage zur Akte beantwortet sehen, ohne sie mitzusenden, fragen Sie eine Demo an.
Für einzelne Nutzer kommt Mistral Vibe AI am nächsten: ein Assistent für Fragen, Dokumente und Aufgaben mit einer kostenlosen und einer bezahlten Version. Lumo vom Schweizer Unternehmen Proton ist ein zweiter Assistent für alle. Aleph Alpha und GPT-NL liefern Modelle an Organisationen und sind keine Chatbots, die Sie unmittelbar öffnen können. Ob die Qualität für Ihre Arbeit ausreicht, testen Sie selbst.
Ein Produkt mit diesem Namen gibt es nicht. Wer nach „europäischem ChatGPT“ sucht, meint meist einen Chatbot eines europäischen Unternehmens, das Daten in Europa aufbewahrt. Mistral Vibe entspricht dieser Beschreibung am ehesten: Mistral ist ein französisches Unternehmen und hostet Daten standardmäßig in der EU. Bei einigen Funktionen können Daten laut Mistral vorübergehend außerhalb der EU gelangen. Lesen Sie deshalb die Liste der Unterauftragsverarbeiter.
Das hängt wie bei anderen Anbietern vom Abonnement und den Einstellungen ab. Mistral AI hostet standardmäßig in der EU, was die Frage der Übermittlung verkleinert. Training mit Eingaben ist laut Hilfezentrum standardmäßig aktiviert, außer bei Enterprise. Für Arbeit mit personenbezogenen Daten brauchen Sie ein Geschäftskonto mit Auftragsverarbeitungsvertrag sowie Vereinbarungen darüber, was Mitarbeitende eingeben. Dies ist der Stand Oktober 2026.
Nein. Ein europäischer Anbieter beseitigt ein Thema weitgehend: die Übermittlung in ein Land außerhalb der EU. Rechtsgrundlage, Auftragsverarbeitungsvertrag, Training mit Eingaben, Aufbewahrungsfrist, Datenminimierung und Dokumentation im Verzeichnis bleiben dieselben. Kein Produkt regelt das für Sie. Die Beurteilung Ihrer eigenen Situation bleibt bei Ihnen und Ihrem Datenschutzbeauftragten, gegebenenfalls unter Beteiligung eines Juristen.
Nicht automatisch. Der Sitz eines Unternehmens sagt nicht, wo alle Bestandteile betrieben werden. Mistral hostet standardmäßig in der EU, nennt aber selbst Funktionen, bei denen Daten vorübergehend an einen Ort außerhalb der EU gelangen. Andere Dienste verwenden das Modell einer dritten Partei. Die Antwort steht auf der Seite zum Datenstandort und in der Unterauftragsverarbeiterliste des Anbieters, nicht im Namen oder in seiner Herkunft.
Geografisch ja, rechtlich nicht ganz. Die Schweiz ist weder Mitglied der EU noch des EWR. Die Europäische Kommission hat für die Schweiz allerdings einen Angemessenheitsbeschluss erlassen, durch den die Übermittlung personenbezogener Daten nach Art. 45 DSGVO möglich ist. Sie nennen die Übermittlung dennoch in Ihrem Verzeichnis. Die anderen Anforderungen der DSGVO gelten wie bei jedem Anbieter.
Wo eine hochgeladene Datei landet, wie lange sie bleibt, wer Zugriff hat und was Löschen bedeutet. Mit vier Vorgehensweisen für personenbezogene Akten.
Wie Schulen KI nutzen, warum Schülerdaten besonders geschützt sind, welche Anwendungen verboten oder hochriskant sind und was eine Schule regeln muss.
Was ChatGPT speichert, wer darauf zugreifen kann und wie Sie Training ausschalten. Dazu temporäre Chats, Erinnerungen und geteilte Links mit Checkliste.
Wir zeigen es mit fiktiven Akten aus Ihrer Branche: Upload, Erkennung, Prüfung, Suche und die Verbindung mit Ihrem KI-Assistenten. Danach wissen Sie genau, was Ihr Team sicher nutzen kann.
Demo planen →