ChatGPT Business speichert jetzt in Europa: reicht das für den Datenschutz?
Seit 3. September können neue ChatGPT-Business-Workspaces ihre Daten in Europa ablegen. Ein echter Fortschritt, der drei Fragen offenlässt: Was ist mit der Verarbeitung, was mit dem US-Zugriff, was mit bestehenden Workspaces? Die ehrliche Einordnung, plus die Alternativen.
Am 3. September 2026 hat OpenAI die Datenresidenz auf ChatGPT Business ausgeweitet. Wer einen neuen Business-Workspace anlegt, kann Europa als Speicherregion wählen. Chats, hochgeladene Dateien und eigene GPTs liegen dann auf Servern in der EU. Nach Angaben von OpenAI nutzen 63 Prozent der Enterprise-Workspaces in der EU diese Funktion bereits. Für den Mittelstand, der bisher nur Business bezahlen wollte, ist das die relevanteste Datenschutz-Nachricht des Sommers. Und sie verdient eine genaue Lektüre.
Was genau angeboten wird
- Speicherung im Ruhezustand in Europa: Chats, Dateien, Custom GPTs.
- Nur für neue Business-Workspaces. Bestehende können nicht umgestellt werden, die Region wird bei der Anlage festgelegt und ist danach fix.
- Nicht für private Konten. Wer privat arbeitet, muss in einen Business-Workspace wechseln.
Die drei offenen Fragen
1. Speicherung ist nicht Verarbeitung. Datenresidenz heißt bei OpenAI, wie bei den meisten US-Anbietern: Die Daten liegen in Europa. Ob die Anfrage auch in Europa verarbeitet wird, also das Modell auf europäischen Servern antwortet, ist eine andere Frage, die Sie in den Vertragsunterlagen prüfen sollten. Für die DSGVO zählt jede Verarbeitung, nicht nur die Ablage.
2. Der Zugriff aus den USA bleibt. OpenAI ist ein US-Unternehmen. Daten in Frankfurt unterliegen weiterhin dem US CLOUD Act, wenn eine US-Behörde sie herausverlangt. Die Übermittlung ist über das Data Privacy Framework abgesichert, solange das Bestand hat. Das ist heute eine tragfähige Rechtsgrundlage. Es ist keine Garantie gegen Zugriff.
3. Bestehende Workspaces bleiben, wo sie sind. Wer seit 2024 mit ChatGPT Business arbeitet, hat seine Daten in den USA und bekommt sie mit diesem Update nicht nach Europa. Die einzige Option ist ein neuer Workspace und ein Umzug. Das ist bei zwanzig Nutzern ein Nachmittag, bei zweihundert ein Projekt.
Was Sie trotzdem brauchen
Datenresidenz ersetzt keinen der Punkte aus unserer DSGVO-Checkliste:
- Auftragsverarbeitungsvertrag nach Art. 28. Bei Business im Standardvertrag enthalten, aber lesen: Unterauftragsverarbeiter, Löschfristen, Trainingsausschluss.
- Trainingsausschluss. Bei Business standardmäßig aktiv. Prüfen, ob er für alle Nutzer und alle Funktionen gilt, auch für Connectors und Agenten.
- Nutzungsrichtlinie. Was darf hinein, was nie. Datenresidenz macht Gesundheitsdaten im Prompt nicht zulässig.
- Datenschutzerklärung und Verarbeitungsverzeichnis aktualisieren: neuer Speicherort, neue Region.
Die Alternativen, ehrlich verglichen
Der Sommer hat den Markt bewegt. Drei Optionen, die es im Juni noch nicht so gab:
Mistral mit regionalen Endpunkten. Seit 11. August können Kunden wählen, ob die Verarbeitung in Europa oder den USA läuft. Ein europäischer Anbieter, EU-Vertrag, EU-Verarbeitung. Mistral selbst räumt ein, dass einzelne Werkzeugaufrufe wie Websuche Unterauftragsverarbeiter außerhalb der Region nutzen können. Auch hier: Vertrag lesen.
Offene Modelle auf eigenem Server. DeepSeek V4 Flash (seit 31. Juli, MIT-Lizenz) und Qwen3.8-27B (seit 14. August, Apache 2.0) laufen auf Hardware, die ein Mittelständler bezahlen kann. Daten verlassen das Haus nicht, es gibt keinen Drittlandtransfer, und der Preis pro Anfrage ist ein Bruchteil. Die Kosten sind Betrieb und Know-how. Wann sich das lohnt, steht in Eigene KI oder fremdes Tool.
Anthropic und Google über EU-Regionen. Claude ist über AWS Bedrock und Google Vertex in EU-Regionen verfügbar, mit Verarbeitung in Europa. Über Microsofts Foundry in Europa ist die Datenresidenz noch nicht vollständig, dort steht „2026". Für den Mittelstand meist nur über einen Integrationspartner sinnvoll.
Unsere Einordnung
Für einen Betrieb, der ChatGPT für Texte, Recherche und Zusammenfassungen ohne sensible Daten nutzt, ist ChatGPT Business mit EU-Residenz und AVV eine saubere Lösung. Für alles, was Kunden-, Personal- oder Gesundheitsdaten enthält, ist der Speicherort das kleinste Problem. Dort entscheidet die Architektur: Daten im Haus, Verarbeitung in der EU, Freigabe durch Menschen.
Kurz gesagt: Datenresidenz ist die Antwort auf die Frage „Wo liegen die Daten?". Die DSGVO stellt aber vier Fragen: wo, wer, warum, wie lange. Auf drei davon hat das Update keine Antwort. Welche Architektur zu Ihrem Datenbestand passt, klärt der Entscheidungsbaum On-Premise, DE-Cloud oder US-Cloud.