OpenAI-Modelle DSGVO-konform nutzen?

Häufig gestellte Fragen zur datenschutzkonformen Nutzung von OpenAI-Modellen in MeinGPT über Azure OpenAI Service und OpenAI mit EU-Datenresidenz

Diese FAQ erklärt, wie wir bei MeinGPT OpenAI-Modelle unter vollständiger Einhaltung der DSGVO und europäischer Datenschutzstandards nutzen.

Azure OpenAI Service statt Standard OpenAI

Warum Azure OpenAI Service der DSGVO-sichere Weg ist

Fundamentaler Unterschied zu normaler OpenAI API:

Tipp

Microsoft-Vertragsrahmen statt OpenAI Inc. Die meisten OpenAI-Modelle in MeinGPT laufen über Azure OpenAI Service, einen eigenständigen Microsoft-Service ohne Vertragsbeziehung zu OpenAI Inc. Für diese Modelle verlassen Deine Daten den Microsoft-Vertragsrahmen nicht. Einzelne Modelle betreibt stattdessen OpenAI Ireland Ltd. mit EU-Datenresidenz als eigener Unterauftragsverarbeiter.

Die wichtigsten Garantien bei Modellen über Azure OpenAI Service (Microsoft Dokumentation):

  • ❌ NICHT verfügbar für OpenAI Inc.
  • ❌ NICHT verwendet für OpenAI-Modelltraining
  • ❌ NICHT verfügbar für andere Kunden
  • ✅ Ausschließlich in Microsoft Azure-Umgebung gehostet

🇪🇺 EU-DataZone: Garantierte Datenresidenz

Wie funktionieren Azure OpenAI DataZones?

Neu seit November 2024: Azure OpenAI DataZones für die EU

Hinweis

EU-DataZone Garantie: Bei EU-DataZone Deployments werden Deine Daten ausschließlich innerhalb der EU-Mitgliedsstaaten verarbeitet – niemals in Drittländern.

Deployment-Optionen und unsere Wahl:

  1. 🌍 Global – Weltweite Verarbeitung (❌ nicht DSGVO-sicher)
  2. 🇪🇺 EU-DataZone – Nur EU-Verarbeitung (✅ unsere Wahl bei EU-gehosteten Modellen)
  3. 🏢 Regional – Eine Region (✅ strengste Option)

Warum wir uns für EU-DataZone entschieden haben

  • 🚀 Bessere Performance als Regional
  • 🔒 EU-Datenresidenz garantiert
  • 💰 Kostengünstiger als Regional-only
  • 📈 Höhere Verfügbarkeit der neuesten Modelle

🛡️ Technische DSGVO-Compliance

Wie schützen wir Deine Daten technisch?

Zero-Trust Architektur (Microsoft Trust Center):

  • 🔐 TLS 1.2+ Verschlüsselung bei der Übertragung
  • 🏭 Logisch isolierte GPU-Verarbeitung
  • 🚫 Zero Data Retention (keine dauerhafte Kopie Deiner Eingaben beim Anbieter)
  • 🔑 AES-256 + Customer Managed Keys

Rechtliche Absicherung:

  • ✅ EU-US Data Privacy Framework zertifiziert
  • ✅ Standard Contractual Clauses (SCCs)
  • ✅ Microsoft GDPR-Commitments (Details hier)

Achtung

Wichtig: Standard OpenAI API bietet keine dieser Garantien – Daten können weltweit verarbeitet und für Training verwendet werden.

⚖️ Rechtsgrundlagen und Betroffenenrechte

DSGVO-Rechtsgrundlagen (Art. 6 DSGVO)

  • Art. 6 Abs. 1 lit. b – Vertragserfüllung (KI-Services)
  • Art. 6 Abs. 1 lit. f – Berechtigte Interessen (Sicherheit)
  • Art. 6 Abs. 1 lit. a – Einwilligung (erweiterte Features)

Deine Rechte

Betroffenenrechte:

  • 📋 Auskunft (Art. 15) – Anfragen richtest Du an Dein Unternehmen als Verantwortlichen; MeinGPT unterstützt es dabei gemäß Auftragsverarbeitungsvertrag
  • 🗑️ Löschung (Art. 17) – Vollständige Entfernung in 30 Tagen
  • 📤 Datenportabilität (Art. 20) – Einzelne Inhalte (z. B. Artifacts, Folien, generierte Dateien und Bilder) lassen sich einzeln herunterladen, einzelne Antworten kopieren. Eine Funktion, mit der Du alle Chats oder alle generierten Dateien auf einmal exportierst, gibt es aktuell nicht.

🔍 Vertrauen durch Transparenz

Wie kannst Du unsere Compliance verifizieren?

Dein Unternehmen kann sich als Verantwortlicher von den technischen und organisatorischen Maßnahmen überzeugen. Regelmäßig geschieht das über das aktuelle ISO/IEC-27001:2022-Zertifikat samt Erklärung zur Anwendbarkeit, ergänzt um Auskünfte, Dokumentation und einen Prüfungsfragebogen; MeinGPT stellt diese Unterlagen auf Anfrage bereit.

Öffentliche Belege:

Tipp

Kurzfassung: EU-gehostete OpenAI-Modelle werden in MeinGPT mit Datenverarbeitung in der EU und ohne dauerhafte Kopie Deiner Eingaben beim Anbieter (Zero Data Retention) betrieben. Welcher Anbieter dahintersteht, hängt vom gewählten Modell ab; die eingesetzten Anbieter stehen in der Unterauftragsverarbeiter-Liste Deines AVV.

📞 Weitere Informationen

Bei Fragen zur DSGVO-Compliance:

  • 📧 Datenschutzbeauftragter: datenschutz@heydata.eu
  • 🏢 heyData GmbH – Dein externer DSB mit 20+ Jahren Erfahrung

Technische Details:

War diese Seite hilfreich?