Was AI-Anbieter mit euren Daten machen: Datenschutz-Bestimmungen im Vergleich

Die häufigste Datenschutzfrage zu AI lautet: „Was passiert mit meinen Daten?” Die ehrliche Antwort: Das hängt weniger vom Anbieter ab als von der Zugangsart. Derselbe Anbieter behandelt Daten im Gratis-Konto völlig anders als im Business-Vertrag. Dieser Vergleich zeigt, wo der Unterschied liegt und worauf es bei ChatGPT, Claude, Gemini und Copilot ankommt.

Inhalt

• Der entscheidende Unterschied: Consumer vs. Business
• Die vier Vergleichsdimensionen
• Die Anbieter im Überblick
• Der Cloud-Act-Faktor
• Was das für die Anbieterwahl heißt
• Häufige Fragen
• Quellen

Der entscheidende Unterschied: Consumer vs. Business

Die wichtigste Linie verläuft nicht zwischen den Anbietern, sondern zwischen den Zugangsarten. Im Consumer-Konto (gratis oder privates Abo) werden Eingaben bei den großen Anbietern häufig standardmäßig fürs Training genutzt, sofern nicht widersprochen wird. In Business-, Enterprise- und API-Zugängen ist das Training auf Kundendaten standardmäßig ausgeschlossen.

Wer AI im Unternehmen einsetzt, sollte deshalb nie über private Gratis-Konten arbeiten. Der Wechsel auf einen Geschäftszugang ist der wirksamste einzelne Datenschutz-Schritt, unabhängig vom Anbieter.

Die vier Vergleichsdimensionen

Anbieter lassen sich an vier Fragen sauber vergleichen:

• Training: Werden Eingaben zum Modelltraining genutzt und in welchem Tier?
• Aufbewahrung: Wie lange werden Daten gespeichert?
• Datenstandort: Werden Daten in der EU verarbeitet, gibt es eine EU-Datenregion?
• Vertrag: Gibt es einen Auftragsverarbeitungsvertrag (AVV) und Enterprise-Kontrollen?

Die Anbieter im Überblick

Stand 2026 und ausdrücklich mit dem Hinweis, dass sich Bedingungen schnell ändern; vor dem Einsatz immer die aktuelle Anbieter-Dokumentation prüfen.

• OpenAI / ChatGPT: Consumer (Free, Plus, Pro) trainiert standardmäßig auf Eingaben, Opt-out in den Data Controls. Business, Enterprise und Edu trainieren standardmäßig nicht. Die API trainiert nicht und speichert Eingaben rund 30 Tage zur Missbrauchsprüfung; Zero Data Retention ist für Enterprise möglich (Quelle: OpenAI, 2026).
• Anthropic / Claude: Seit August 2025 nutzt Anthropic Consumer-Chats (Free, Pro, Max) fürs Training, sofern nicht widersprochen wird, mit Aufbewahrung bis zu fünf Jahren bei Freigabe. Commercial-Zugänge (Team, Enterprise, API, Bedrock, Vertex) sind ausgenommen. Hinweis: Sicherheitsrelevant markierte Konversationen können laut aktualisierter Richtlinie unabhängig vom Opt-out genutzt werden (Quelle: Anthropic, 2025/2026).
• Google / Gemini: Workspace- und Enterprise-Daten werden nicht fürs Training genutzt und nicht von Menschen geprüft. Im kostenlosen Consumer-Gemini ist Training standardmäßig aktiv, mit Opt-out (Quelle: Google Workspace, 2025).
• Microsoft / Copilot: Prompts, Antworten und über Microsoft Graph abgerufene Daten werden nicht zum Training der Foundation-Modelle genutzt; es gilt die EU Data Boundary. Wichtiger Caveat: Seit Januar 2026 setzt Microsoft Anthropic als Subprozessor ein: diese Modelle liegen außerhalb der EU-Data-Boundary-Zusage (Quelle: Microsoft Learn, 2026).
• Europäische und Open-Source-Optionen: Anbieter wie Mistral sowie Open-Source-Modelle und Self-hosted AI sind der Schlüssel für maximale Datenkontrolle und digitale Souveränität.

Nicht der Anbieter entscheidet zuerst über den Datenschutz, sondern die Zugangsart und der Vertrag.

Der Cloud-Act-Faktor

Bei US-Anbietern bleibt eine Restfrage auch im Enterprise-Tier: Der US Cloud Act kann US-Behörden Zugriff auf Daten US-amerikanischer Unternehmen ermöglichen, selbst wenn diese in der EU gespeichert sind. EU-Datenregionen und der EU-US Data Privacy Framework mildern das, lösen es aber nicht vollständig. Für besonders sensible Daten sind europäische oder selbst gehostete Modelle die konsequentere Antwort. Mehr dazu unter data residency.

Was das für die Anbieterwahl heißt

Drei Konsequenzen:

1. Nie über Consumer-Konten arbeiten. Business- oder Enterprise-Zugang mit AVV ist Pflicht.
2. Modell nach Sensibilität wählen. Alltagsaufgaben auf etablierten Business-Zugängen; hochsensible Daten auf EU-/self-hosted-Lösungen.
3. Kein Lock-in. Wer Modelle tauschbar hält, kann auf geänderte Bedingungen reagieren. Bei netzstrategen ist das Teil von AI Operations: das beste Modell je Aufgabe, Sensibles bleibt im Haus. Wie man das praktisch einstellt, zeigt AI datenschutzkonform einrichten; welche Risiken real sind, ordnet AI & Datenschutz: Welche Risiken wirklich zählen ein.

Häufige Fragen

Trainiert ChatGPT auf meinen Daten?

Im Consumer-Konto standardmäßig ja, sofern nicht in den Data Controls widersprochen. In Business, Enterprise und über die API standardmäßig nicht (Quelle: OpenAI, 2026).

Ist Claude oder ChatGPT datenschutzfreundlicher?

Im Geschäftszugang nehmen sich beide wenig: Beide trainieren dort nicht auf Kundendaten. Der relevante Unterschied liegt im Consumer-Bereich und in Details wie Aufbewahrung und EU-Datenregion und ändert sich laufend.

Reicht ein Enterprise-Vertrag für DSGVO-Konformität?

Er ist die Grundlage (AVV, keine Trainingsnutzung), aber nicht alles. Rechtsgrundlage, Datenminimierung, Datenstandort und der Cloud-Act-Faktor gehören dazu. Wo der größte Ansatzpunkt liegt, zeigt der kostenlose Diagnose-Call.

Quellen

• OpenAI: Enterprise Privacy & How your data is used, 2026
• Anthropic: Updates to Consumer Terms and Privacy Policy, 2025
• Google Workspace: Generative AI Privacy Hub, 2025
• Microsoft Learn: Enterprise data protection in Microsoft 365 Copilot, 2026