Die fünf Prüfkriterien
- Variante: Business- oder Enterprise-Version statt privater Accounts
- Vertrag: Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO
- Training: Keine Nutzung der Eingaben für das Training, standardmäßig oder nachweisbar abgeschaltet
- Datentransfer: Verarbeitung in der EU oder Drittlandtransfer rechtlich abgesichert
- Kontrolle: Admin-Konsole, Anmeldung über Firmenkonto, Lösch- und Auskunftsmöglichkeiten
Die gängigen Tools im Vergleich
| Tool | Geeignete Variante | Training in dieser Variante | Datenstandort | Einschätzung |
|---|---|---|---|---|
| ChatGPT | Business, Enterprise | Standardmäßig aus | EU-Speicherung für Enterprise, Edu und API | Mit Vertrag einsetzbar |
| Microsoft Copilot | Mit Arbeitskonto | Kein Training von Basismodellen | EU Data Boundary, mit Ausnahmen | Mit Vertrag einsetzbar, Oversharing beachten |
| Google Gemini | Google Workspace mit Lizenz | Kein Training | Über Workspace-Datenregionen | Mit Vertrag einsetzbar |
| Claude | Team, Enterprise, API | Nicht von den Verbraucherregeln erfasst | Beim Anbieter prüfen | Mit Vertrag einsetzbar |
| DeepL | Pro | Kein Training | Dokumentübersetzung im EWR | Mit Vertrag einsetzbar |
| Mistral Vibe | Enterprise, Team mit deaktiviertem Training | Enterprise standardmäßig aus | Vorrangig EU-Dienstleister | Mit Vertrag und geprüften Einstellungen einsetzbar |
| DeepSeek (App und Web) | Keine | Laut Anbieter Speicherung in China | China | Nach Auffassung deutscher Behörden nicht rechtskonform nutzbar |
Stand: November 2026. Die Details mit Quellen stehen in den einzelnen Tool-Checks. Anbieter ändern ihre Bedingungen häufig, vor einer Freigabe sollten die aktuellen Vertragsunterlagen geprüft werden.
Was "einsetzbar" konkret heißt
Auch ein geeignetes Tool wird erst durch die Umsetzung datenschutzkonform. Dazu gehören neben dem Vertrag eine Rechtsgrundlage für jede Verarbeitung, der Eintrag im Verzeichnis der Verarbeitungstätigkeiten, gegebenenfalls eine Datenschutz-Folgenabschätzung und klare Regeln, welche Daten eingegeben werden dürfen. Die Datenklassen-Ampel und der Freigabeprozess auf diesem Portal helfen dabei.
Eigene Modelle als Alternative
Offene Sprachmodelle lassen sich auf eigenen Servern oder bei europäischen Cloud-Anbietern betreiben. Daten verlassen dann nicht die eigene Kontrolle beziehungsweise die EU. Das löst den Datentransfer, schafft aber neue Aufgaben: Betrieb, Absicherung, Aktualisierung und eine eigene Prüfung der Modellqualität. Für kleine Unternehmen ist ein Business-Tool mit Vertrag meist die einfachere und sicherere Lösung.