--- title: "Azure OpenAI DSGVO: Ja — mit Microsoft-AVV und deutschen Regionen" description: "Ja — mit Microsoft-AVV und EU-Residenz in Germany North oder West Central. Kein Training mit Ihren Daten; AI-Act-Klasse und Betriebsrat zusätzlich prüfen." image: "https://compound.law/assets/images/og-image-de.webp" source: "https://compound.law/de-DE/tools/azure-openai/" language: "de" --- ![Azure OpenAI DSGVO und AVV für Unternehmen in Deutschland](https://compound.law/assets/images/tools/tools_2.webp) tools # Azure OpenAI DSGVO: Ja — mit Microsoft-AVV und deutschen Regionen 11\. April 2026 Kurzantwort Azure OpenAI kann für deutsche Unternehmen DSGVO-konform betrieben werden, wenn EU-Datenresidenz in einer deutschen Azure-Region konfiguriert und der Auftragsverarbeitungsvertrag mit Microsoft abgeschlossen ist — allerdings müssen Rechts- und Compliance-Teams AVV-Umfang, regionale Einstellungen, Trainings-Opt-out. - Den Microsoft AVV abschließen und bestätigen, dass er den genutzten Azure-OpenAI-Dienst und die gewählte Region abdeckt. - Deutschland Nord oder Deutschland West Central als Deployment-Region wählen, um Verarbeitung und Datenspeicherung in Deutschland zu halten. - AI-Act-Risikoklasse bestimmen, HIPAA-Eignung für Gesundheitsdaten prüfen und Betriebsrat frühzeitig einbinden. **Azure OpenAI kann für deutsche Unternehmen DSGVO-konform betrieben werden — aber diese Konformität stellt sich nicht automatisch ein.** Rechts- und Compliance-Teams müssen den AVV-Umfang prüfen, EU-Datenresidenz in einer deutschen Azure-Region konfigurieren, verstehen, welche Telemetriedaten Deutschland verlassen können, die AI-Act-Risikoklasse für den geplanten Einsatz bestimmen und Betriebsratspflichten klären, bevor der Betrieb aufgenommen wird. Einen Überblick über weitere Enterprise-KI-Plattformen bietet die [KI-Tool-Übersicht von Compound Law](https://compound.law/de-DE/tools/). ## Betriebsratsanforderungen In Deutschland kann der Einsatz von Azure OpenAI im Unternehmen **Mitbestimmungsrechte des Betriebsrats** nach dem **Betriebsverfassungsgesetz (BetrVG)** auslösen. Dies ist keine Kann-Bestimmung: Wird ein KI-Tool ohne Beteiligung des Betriebsrats eingeführt, obwohl Mitbestimmungsrechte bestehen, kann der Betriebsrat per einstweiliger Verfügung den Einsatz untersagen lassen. **Wann greifen Mitbestimmungsrechte:** - **§ 87 Abs. 1 Nr. 6 BetrVG** — Technische Einrichtungen, die geeignet sind, das Verhalten oder die Leistung der Arbeitnehmerinnen und Arbeitnehmer zu überwachen. Wenn Azure OpenAI Eingaben von Beschäftigten protokolliert, Nutzungsmuster aufzeichnet oder Berichte über individuelle Aktivitäten erzeugt, greift diese Bestimmung sehr wahrscheinlich. - **§ 87 Abs. 1 Nr. 13 BetrVG** — Grundlegende Änderungen von Arbeitsverfahren und Arbeitsabläufen. Der Einsatz von KI-Tools, der die Arbeitsweise von Beschäftigten wesentlich verändert, kann zustimmungspflichtig sein. - **§ 26 BDSG** — Verarbeitung personenbezogener Daten von Beschäftigten. Wenn Azure OpenAI im Rahmen von HR-Analysen, Leistungsbeurteilungen oder Kommunikationstools auf Mitarbeiterdaten zugreift, gelten die engeren Voraussetzungen des Bundesdatenschutzgesetzes zusätzlich zur DSGVO. **Praktisches Vorgehen:** 1. Alle Einsatzszenarien identifizieren, die Beschäftigte betreffen — etwa Kundenservice-Mitarbeitende mit KI-Copiloten, HR-Teams mit KI-gestützter Dokumentenprüfung oder Entwicklerinnen und Entwickler mit Code-Completion-Funktionen. 2. Eine **Betriebsvereinbarung** aushandeln, die zulässige Anwendungsfälle, verarbeitete Datenkategorien, Transparenzrechte der Beschäftigten und Überwachungsgrenzen festlegt. 3. Protokollierungskonfigurationen und Zugriffskontrollen dem Betriebsrat offen legen. 4. Falls Microsoft 365 Copilot parallel zu Azure OpenAI eingesetzt wird, sollte die Betriebsratsberatung beide Tools einschließen — siehe [Microsoft 365 Copilot Compliance](https://compound.law/de-DE/tools/copilot-microsoft-365/). ## Ist Azure OpenAI DSGVO-konform? Die kurze Antwort lautet ja — unter den richtigen Voraussetzungen. Azure OpenAI kann so eingesetzt werden, dass die **Anforderungen der DSGVO** (Verordnung (EU) 2016/679) erfüllt werden, sofern drei Bedingungen vorliegen: 1. **Der Microsoft Auftragsverarbeitungsvertrag (AVV) ist abgeschlossen.** Er begründet Microsoft als Auftragsverarbeiter nach Art. 28 DSGVO und regelt Sicherheit, Subunternehmer, Meldepflichten und Datenlöschung. 2. **EU-Datenresidenz ist konfiguriert.** Deutschland Nord oder Deutschland West Central muss als Deployment-Region gewählt werden, damit Inferenz und Datenspeicherung in Deutschland verbleiben. 3. **Eine geeignete Rechtsgrundlage liegt vor.** Typischerweise Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) für interne Anwendungsfälle — oder eine Einwilligung, soweit erforderlich. Was Azure OpenAI im DSGVO-Kontext von direkten OpenAI-API-Produkten unterscheidet, ist entscheidend: **Microsoft bestätigt ausdrücklich, dass an Azure OpenAI übermittelte Daten nicht zum Training oder zur Verbesserung der zugrundeliegenden OpenAI-Modelle verwendet werden.** Damit entfällt das Trainings-Daten-Risiko, das direkte Verbraucher-OpenAI-Produkte für den Unternehmensbetrieb unter der DSGVO problematisch macht. **Hinweis zur Abgrenzung von Microsoft 365 Copilot:** Azure OpenAI als API-Dienst und Microsoft 365 Copilot (das KI-Assistenzsystem in Office-Produkten) sind rechtlich unterschiedlich zu bewerten. Beide greifen auf Azure-OpenAI-Modelle zurück, unterscheiden sich aber in Verarbeitungslogik, Protokollierung und dem zugrunde liegenden Vertragsrahmen. Unternehmen, die beide Produkte einsetzen, sollten die Compliance-Prüfung für jeden Dienst separat durchführen. ## Auftragsverarbeitungsvertrag (AVV) mit Microsoft Der **Microsoft AVV** ist das vertragliche Fundament jedes DSGVO-konformen Azure-OpenAI-Betriebs. Er ist in die Microsoft-Produktbedingungen integriert und gilt, sobald die Online Services-Bedingungen akzeptiert werden — Rechtsabteilungen sollten den Umfang jedoch aktiv prüfen und nicht von einer automatischen Abdeckung ausgehen. **Wo der AVV zu finden und zu akzeptieren ist:** Im Microsoft Azure-Portal unter dem Bereich Compliance der jeweiligen Subscription. Enterprise-Kunden mit einem Microsoft Enterprise Agreement (EA) sollten sicherstellen, dass Azure OpenAI — und nicht nur Azure generell — im vereinbarten Service-Scope des EA abgedeckt ist. Wesentliche Regelungsinhalte des Microsoft AVV: - **Art. 28 DSGVO-Auftragsverarbeitungspflichten** — Microsoft verpflichtet sich, personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen hin zu verarbeiten. - **Subunternehmer** — Microsoft veröffentlicht eine Subunternehmerliste und informiert über Ergänzungen; ein Widerspruchsrecht des Kunden besteht. - **Technisch-organisatorische Maßnahmen (TOM)** — Die Sicherheitsmaßnahmen sind im Online Services Security Addendum beschrieben. - **Meldung von Datenpannen** — Microsoft verpflichtet sich zur unverzüglichen Meldung von Sicherheitsvorfällen, die Kundendaten betreffen. - **Prüfrechte** — Der Verantwortliche kann die Einhaltung der Datenschutzanforderungen durch Microsoft selbst oder durch beauftragte Dritte prüfen. - **Datenlöschung** — Nach Vertragsende verpflichtet sich Microsoft zur Löschung oder Rückgabe der Kundendaten innerhalb definierter Fristen. **Pflichten des Verantwortlichen nach Art. 28 DSGVO:** Als Verantwortlicher trägt Ihr Unternehmen die Pflicht, Zweck und Rechtsgrundlage der Verarbeitung zu dokumentieren, ein Verzeichnis von Verarbeitungstätigkeiten (VVT) zu führen, das Azure OpenAI als eingesetztes Tool ausweist, und sicherzustellen, dass Nutzerinnen und Nutzer keine Daten übermitteln, die außerhalb des dokumentierten Verarbeitungszwecks liegen. Für Teams, die Anwendungen auf Basis von Azure OpenAI entwickeln, enthält der [Leitfaden zur Compliance bei KI-Code-Generierung](https://compound.law/de-DE/compliance/ai-code-generation/) Hinweise zu Art.-28-Pflichten im Entwicklungskontext. ## EU-Datenresidenz: Deutsche Azure-Regionen **Datenresidenz ist eine Konfigurationsentscheidung, keine Standardeinstellung.** Azure OpenAI unterstützt zwei deutsche Regionen: - **Deutschland Nord** — Standort Hamburg - **Deutschland West Central** — Standort Frankfurt am Main Durch die Wahl einer dieser Regionen verbleiben **Modellinferenz und gespeicherte Daten unter Standardbetrieb innerhalb Deutschlands**. Dies ist die stärkste verfügbare Datenresidenzoption für DSGVO-Zwecke und vermeidet das Drittlandübermittlungsrisiko nach Kapitel V DSGVO, das entsteht, wenn Daten die EU verlassen. Rechtsabteilungen sollten dennoch vier separate Residenzfragen prüfen: | Datenkategorie | Verhalten in der deutschen Region | Was zu prüfen ist | | ------------------------------------- | -------------------------------------------------------------------- | -------------------------------------------------------------------- | | Inferenz (Prompts und Antworten) | Verbleib in der gewählten Region unter Standard-API-Nutzung | Sicherstellen, dass Kreuz-Regions-Inferenz-Features deaktiviert sind | | Gespeicherte Fine-Tuned-Modelle | Verbleib in der gewählten Region | Prüfen, ob Fine-Tuning- und Anpassungsworkloads im Scope liegen | | Telemetrie und Missbrauchsüberwachung | Kann außerhalb Deutschlands verarbeitet werden | Aktuelle Microsoft-Telemetriedokumentation prüfen | | Kundensupport-Daten | Support-Interaktionen können nicht-EU-Mitarbeitenden zugänglich sein | Support-Tier und Datenbehandlungskonditionen prüfen | **Was Deutschland verlassen kann:** Microsoft weist darauf hin, dass bestimmte Dienstqualitäts- und Missbrauchsüberwachungssignale außerhalb der Deployment-Region verarbeitet werden können. Dies ist der wesentliche Residenzvorbehalt für Azure OpenAI. Für die meisten Enterprise-Anwendungsfälle umfasst diese Telemetrie keine Prompt- oder Antwortinhalte — Rechtsabteilungen sollten dies jedoch anhand der aktuellen Microsoft-Dokumentation bestätigen und ggf. in der Datenschutz-Folgenabschätzung (DSFA) festhalten. **Vergleich mit Alternativen:** AWS Bedrock bietet Frankfurt und Irland als EU-Regionen; Google Vertex AI bietet EU-Regionen einschließlich Frankfurt. Die deutschlandspezifische Option von Azure OpenAI — insbesondere Deutschland West Central in Frankfurt — wird von deutschen Unternehmen häufig bevorzugt, wenn in Verträgen oder regulatorischen Meldungen ein konkreter deutscher Datenspeicherort nachzuweisen ist. Einen detaillierten Vergleich der EU-Residenzpositionierung bietet der [AWS Bedrock DSGVO-Leitfaden](https://compound.law/de-DE/tools/aws-bedrock/). ## HIPAA-Eignung Azure OpenAI ist auf Microsofts Compliance-Seite als **HIPAA-fähiger Dienst** aufgeführt. Das bedeutet, er kann in einen Microsoft **Business Associate Agreement (BAA)** aufgenommen werden — die vertragliche Anforderung des US-amerikanischen Health Insurance Portability and Accountability Act für die Verarbeitung geschützter Gesundheitsinformationen (Protected Health Information, PHI). **Bedeutung für Deutschland:** HIPAA ist ein US-Bundesgesetz, relevant für deutsche Unternehmen im Gesundheitswesen, die international tätig sind, Patientendaten für US-Kunden verarbeiten oder ihre Datenschutzpositionen an internationalen Gesundheitsstandards ausrichten. Das deutsche Gesundheitswesen wird primär durch die **DSGVO** zusammen mit sektorspezifischen Regelungen im **Sozialgesetzbuch (SGB V, X)** und dem **Patientendaten-Schutz-Gesetz (PDSG)** geregelt. Die HIPAA-BAA-Eignung ersetzt diese Anforderungen nicht, signalisiert aber ein Maß an vertraglicher Reife bei der Gesundheitsdatenverarbeitung, das eine breitere Compliance-Argumentation stützt. Unternehmen im Gesundheitswesen, die Azure OpenAI einsetzen, sollten: 1. Sicherstellen, dass der BAA als Teil des Azure Enterprise Agreements abgeschlossen ist. 2. Prüfen, ob der genutzte Azure-OpenAI-Diensttier im BAA-Scope liegt. 3. Eine **Datenschutz-Folgenabschätzung (DSFA)** nach Art. 35 DSGVO für die risikoreiche Verarbeitung von Gesundheitsdaten durchführen. 4. Patientendatenflüsse kartieren, um sicherzustellen, dass keine personenbezogenen Gesundheitsdaten ohne geeignete Pseudonymisierung das Modell erreichen. ## AI-Act-Pflichten Unter dem **EU AI Act** (Verordnung (EU) 2024/1689) richten sich Ihre Pflichten danach, **wie Sie Azure OpenAI einsetzen** — nicht nach dem Modell selbst. **KI-Modelle mit allgemeinem Verwendungszweck (GPAI):** Azure OpenAI basiert auf OpenAI-Grundlagenmodellen, die als GPAI-Modelle im Sinne des EU AI Act einzustufen sind. Microsoft als Distributor übernimmt Pflichten zur Transparenz und technischen Dokumentation von GPAI-Modellen. **Deployer** — also Unternehmen, die Anwendungen auf Basis von Azure OpenAI entwickeln — tragen eigene Pflichten abhängig von der Risikokategorie des resultierenden KI-Systems. **Risikoklassen für typische Anwendungsfälle:** - **Minimales Risiko:** Allgemeine Produktivität, Dokumentenentwurf, internes Q\&A, Zusammenfassungen. Keine verpflichtenden Anforderungen jenseits guter Praxis. - **Begrenztes Risiko:** Kundenseitige Chatbots, die mit Personen interagieren, ohne deutlich zu machen, dass es sich um KI handelt. **Transparenzpflicht** nach Art. 52 EU AI Act ist verpflichtend. - **Hohes Risiko:** HR-Entscheidungsunterstützung, Kreditwürdigkeitsbewertung, Unterstützung bei medizinischen Diagnosen, Bildungsbewertungen. Umfangreiche Dokumentation, menschliche Aufsicht, Genauigkeitsanforderungen und Registrierung in der EU-Datenbank sind vorgeschrieben. Für Unternehmen im Finanzsektor empfiehlt sich der [Leitfaden zur KI-Regulierung im Finanzbereich](https://compound.law/de-DE/ai-act/financial-services/). Für sicherheitskritische KI-Anwendungen bietet der [KI-Cybersecurity-Compliance-Leitfaden](https://compound.law/de-DE/compliance/ai-cybersecurity/) weiterführende Hinweise. ## Deployment-Checkliste für Azure OpenAI Für Rechts-, Sicherheits- und Beschaffungsteams vor der Freigabe eines Azure-OpenAI-Einsatzes: 1. **Microsoft AVV akzeptieren** — Bestätigen, dass das Datenschutzaddendum unter Ihrer Azure-Subscription aktiv ist und Azure OpenAI abdeckt. 2. **Deployment-Region festlegen** — Deutschland Nord oder Deutschland West Central für alle produktiven Workloads mit personenbezogenen Daten wählen. 3. **Datenflussanalyse durchführen** — Erfassen, welche personenbezogenen Datenkategorien an Azure OpenAI übermittelt werden, auf welcher Rechtsgrundlage und zu welchem Zweck. 4. **Training-Opt-out dokumentieren** — Die vertragliche Microsoft-Zusicherung, dass Kundendaten nicht zum Modelltraining genutzt werden, im Verarbeitungsverzeichnis festhalten. 5. **AI-Act-Risikoklasse bestimmen** — Jeden Anwendungsfall nach dem AI-Act-Risikorahmen klassifizieren und entsprechende Pflichten ableiten. 6. **HIPAA-Eignung prüfen** — Bei Gesundheitsdaten sicherstellen, dass der BAA abgeschlossen ist und der Diensttier im Scope liegt. 7. **Betriebsrat einbinden** — Wenn beschäftigtenbezogene Daten verarbeitet werden oder beschäftigtenseitige Tools eingesetzt werden, die Betriebsratsberatung vor dem Rollout starten. 8. **Nutzungsrichtlinie entwickeln** — Festlegen, was Mitarbeitende an Azure OpenAI übermitteln dürfen und was nicht; dies über Schulungen kommunizieren. 9. **Compliance-Entscheidung dokumentieren** — DSFA-Ergebnis (soweit erforderlich), Betriebsvereinbarung und Rechtsgrundlage im KI-Governance-Framework festhalten. ## So hilft Compound Law Compound Law unterstützt deutsche und DACH-Unternehmen bei: - **AVV-Prüfung und Gap-Analyse** — Überprüfung, ob Umfang, Subunternehmerliste und Prüfrechte des Microsoft Auftragsverarbeitungsvertrags Ihre spezifischen Anforderungen erfüllen. - **Beratung zur EU-Datenresidenz** — Überprüfung der technischen und vertraglichen Konfiguration, um korrekte Implementierung und Dokumentation der deutschen Region zu bestätigen. - **AI-Act-Risikoklassifikation** — Zuordnung von Azure-OpenAI-Anwendungsfällen zu den EU-AI-Act-Risikokategorien und Beratung zu Pflichten wie Transparenz, menschliche Aufsicht und GPAI-Dokumentation. - **Betriebsratsstrategie** — Erstellung von Betriebsvereinbarungen und Begleitung von Mitbestimmungsverfahren für KI-Tool-Deployments. - **Nutzungsrichtlinien-Entwicklung** — Erstellung interner Richtlinien zu zulässigen Anwendungsfällen, Datenverarbeitungsregeln und Schulungsanforderungen. - **DSFA-Durchführung** — Prüfung, ob eine Datenschutz-Folgenabschätzung erforderlich ist, und Begleitung bei der Erstellung. ## Häufig gestellte Fragen ### Ist Azure OpenAI DSGVO-konform? Azure OpenAI kann von deutschen Unternehmen DSGVO-konform genutzt werden, wenn der Microsoft Auftragsverarbeitungsvertrag abgeschlossen ist, die EU-Datenresidenz in der Region Deutschland Nord oder Deutschland West Central konfiguriert wurde und eine geeignete Rechtsgrundlage nach Art. 6 DSGVO und Art. 28 DSGVO vorliegt. ### Gibt es einen Auftragsverarbeitungsvertrag (AVV) für Azure OpenAI? Ja. Microsoft stellt einen AVV über die Microsoft-Produktbedingungen und das Datenschutzaddendum bereit. Kunden müssen diese Bedingungen akzeptieren, um eine wirksame Auftragsverarbeitungsbeziehung nach Art. 28 DSGVO zu begründen. Der AVV erfasst Subunternehmer, Sicherheitsmaßnahmen, Meldepflichten bei Datenpannen, Prüfrechte und Datenlöschung. ### Kann ich Azure OpenAI in Deutschland nutzen? Ja. Azure OpenAI bietet die Regionen Deutschland Nord und Deutschland West Central an. Durch die Wahl dieser Regionen verbleiben Inferenz und gespeicherte Daten unter Standardbedingungen innerhalb Deutschlands — dies ist die stärkste verfügbare Datenresidenzoption für DSGVO-Zwecke. ### Werden meine Daten zum Training von OpenAI-Modellen genutzt? Nein. Microsoft bestätigt ausdrücklich, dass an Azure OpenAI übermittelte Daten nicht zum Training oder zur Verbesserung von OpenAI-Grundlagenmodellen verwendet werden. Dies ist ein wesentlicher rechtlicher Unterschied zur direkten Nutzung der Verbraucher- oder API-Produkte von OpenAI. ### Erfüllt Azure OpenAI die HIPAA-Anforderungen? Azure OpenAI ist als HIPAA-fähiger Dienst auf Microsofts Compliance-Seite aufgeführt und kann in einen Business Associate Agreement (BAA) einbezogen werden. Unternehmen im deutschen Gesundheitswesen sollten sicherstellen, dass der BAA abgeschlossen ist und der genutzte Diensttier im Scope liegt — zusätzlich zu den Anforderungen aus DSGVO und Sozialgesetzbuch. ## Weitere Tool-Guides [![Canva AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_3.webp)](https://compound.law/de-DE/tools/canva-avv/) [tools](https://compound.law/de-DE/tools/canva-avv/) ### [Hat Canva eine AVV? Ja — Canva-AVV-Leitfaden für Deutschland](https://compound.law/de-DE/tools/canva-avv/) [Ja — Canva bietet einen Auftragsverarbeitungsvertrag: das Data Processing Addendum. Was der Canva AVV klauselweise regelt und wo deutsche Pflichten ansetzen.](https://compound.law/de-DE/tools/canva-avv/) [![Cursor AVV Auftragsverarbeitungsvertrag Art. 28 DSGVO für Deutschland](https://compound.law/assets/images/tools/tools_2.webp)](https://compound.law/de-DE/tools/cursor-avv/) [tools](https://compound.law/de-DE/tools/cursor-avv/) ### [Cursor AVV: Ja — Was der Anysphere-Auftragsverarbeitungsvertrag regelt](https://compound.law/de-DE/tools/cursor-avv/) [Ja, Cursor bietet einen AVV an — öffentlich unter cursor.com/terms/dpa. Was der Cursor-AVV nach Art. 28 DSGVO regelt und wie deutsche Teams ihn prüfen.](https://compound.law/de-DE/tools/cursor-avv/) [![ElevenLabs AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/elevenlabs-avv/) [tools](https://compound.law/de-DE/tools/elevenlabs-avv/) ### [Hat ElevenLabs eine AVV? Ja — ElevenLabs-AVV für Deutschland](https://compound.law/de-DE/tools/elevenlabs-avv/) [Ja — ElevenLabs bietet einen Auftragsverarbeitungsvertrag unter elevenlabs.io/dpa. Was der ElevenLabs AVV klauselweise nach Art. 28 DSGVO regelt.](https://compound.law/de-DE/tools/elevenlabs-avv/) [![Synthesia DSGVO-Fakten: KI-Training mit Kundendaten, AVV und EU-Speicherung](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/synthesia/) [tools](https://compound.law/de-DE/tools/synthesia/) ### [Synthesia DSGVO: Trainiert Synthesia auf Kundendaten? AVV & Fakten](https://compound.law/de-DE/tools/synthesia/) [Nein — Synthesia trainiert nicht auf Kundendaten. DSGVO-tauglich für deutsche Firmen: AVV nach Art. 28, EU-Speicherung in Irland. Was Sie prüfen müssen.](https://compound.law/de-DE/tools/synthesia/) [![Claude EU-Hosting Vergleich für Anthropic API, AWS Bedrock und Vertex AI](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-eu-hosting/) [tools](https://compound.law/de-DE/tools/claude-eu-hosting/) ### [Claude EU-Hosting: Wo Claude gehostet ist und was unter DSGVO gilt (2026)](https://compound.law/de-DE/tools/claude-eu-hosting/) [Wo ist Claude gehostet? Direkte Nutzung: US-Speicher als Standard. EU-Regionen gibt es über AWS Bedrock oder Vertex AI – inklusive DSGVO-Prüfpunkte.](https://compound.law/de-DE/tools/claude-eu-hosting/) [![Claude ZDR: Zero Data Retention erklärt — Scope für Anthropic API und Claude Code](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-zdr/) [tools](https://compound.law/de-DE/tools/claude-zdr/) ### [Claude ZDR: Zero Data Retention erklärt — Scope für API und Claude Code](https://compound.law/de-DE/tools/claude-zdr/) [ZDR bedeutet Zero Data Retention — keine dauerhafte Speicherung. Scope für Anthropic API und Claude Code, Policy-Quellen, AVV und DSGVO erklärt.](https://compound.law/de-DE/tools/claude-zdr/) Tool Library ### Mehr KI-Tools nach Thema durchsuchen Vergleichen Sie weitere Tools, Datenschutzfragen und Einsatzszenarien in unserer vollständigen KI-Tool-Bibliothek. [Alle KI-Tools ansehen](https://compound.law/de-DE/tools/) - [HubSpot DSGVO-konform? Marketing Hub, Free CRM und AVV tools](https://compound.law/de-DE/tools/hubspot/) - [Cursor AVV 2026: Wo Sie ihn finden und was er regelt tools](https://compound.law/de-DE/tools/cursor/) - [DeepSeek DSGVO-konform? Was deutsche Unternehmen wissen müssen tools](https://compound.law/de-DE/tools/deepseek/) - [Zapier DSGVO 2026: AVV, Art. 28 & EU-Datentransfer aktuell tools](https://compound.law/de-DE/tools/zapier/) - [Ist Claude Code DSGVO-konform? AVV, Datenspeicherung und Hosting tools](https://compound.law/de-DE/tools/claude-code-dsgvo/) - [Claude Enterprise Preise: Kein Listenpreis — Angebot, AVV, EU-Grenzen tools](https://compound.law/de-DE/tools/claude-enterprise/) - [Claude DSGVO: Welche Claude-Tarife fuer Unternehmen zulaessig sind tools](https://compound.law/de-DE/tools/claude-dsgvo/) - [Anthropic Standardvertragsklauseln (SCC): DSGVO-Leitfaden Modul 2 und 3 tools](https://compound.law/de-DE/tools/anthropic-scc/) - [Zoom AI Companion DSGVO-Konformität für deutsche Unternehmen tools](https://compound.law/de-DE/tools/zoom/) - [Hat Airtable einen AVV? Ja — aber nur im Enterprise-Plan (DSGVO) tools](https://compound.law/de-DE/tools/airtable-ai/) - [Claude Team vs. Enterprise: Tarifvergleich für Unternehmen in Deutschland tools](https://compound.law/de-DE/tools/claude-team-vs-enterprise/) - [Claude Enterprise für Kanzleien und Rechtsabteilungen tools](https://compound.law/de-DE/tools/claude-enterprise-kanzleien/) - [Anthropic AVV: Datenverarbeitungsvertrag nach Art. 28 DSGVO? tools](https://compound.law/de-DE/tools/anthropic-datenverarbeitungsvertrag/) - [Claude Enterprise für Deutschland — DSGVO-konform & sicher tools](https://compound.law/de-DE/tools/claude-enterprise-deutschland/) - [Anthropic DPA: Art. 28 DSGVO-Prüfung für Deutschland tools](https://compound.law/de-DE/tools/anthropic-dpa/) ## Häufige Fragen Azure OpenAI kann von deutschen Unternehmen DSGVO-konform genutzt werden, wenn der Microsoft Auftragsverarbeitungsvertrag abgeschlossen ist, die EU-Datenresidenz in der Region Deutschland Nord oder Deutschland West Central konfiguriert wurde und eine geeignete Rechtsgrundlage nach Art. 6 DSGVO und Art. 28 DSGVO vorliegt. Ja. Microsoft stellt einen Auftragsverarbeitungsvertrag über die Microsoft-Produktbedingungen und das Datenschutzaddendum (Data Protection Addendum) bereit. Kunden müssen diese Bedingungen akzeptieren, um eine wirksame Auftragsverarbeitungsbeziehung im Sinne von Art. 28 DSGVO zu begründen. Der AVV erfasst Subunternehmer, Sicherheitsmaßnahmen, Meldepflichten bei Datenpannen, Prüfrechte und. Ja. Azure OpenAI bietet die Regionen Deutschland Nord und Deutschland West Central an. Durch die Wahl dieser Regionen verbleiben Inferenz und gespeicherte Daten unter Standardbedingungen innerhalb Deutschlands — dies ist die stärkste verfügbare Datenresidenzoption für DSGVO-Zwecke. Nein. Microsoft bestätigt ausdrücklich, dass an Azure OpenAI übermittelte Daten nicht zum Training oder zur Verbesserung von OpenAI-Grundlagenmodellen verwendet werden. Dies ist ein wesentlicher rechtlicher Unterschied zur direkten Nutzung der Verbraucher- oder API-Produkte von OpenAI. Azure OpenAI ist als HIPAA-fähiger Dienst auf Microsofts Compliance-Seite aufgeführt und kann in einen Business Associate Agreement (BAA) einbezogen werden. Unternehmen im deutschen Gesundheitswesen sollten sicherstellen, dass der BAA abgeschlossen ist und der genutzte Diensttier im Scope liegt — zusätzlich zu den Anforderungen aus DSGVO und Sozialgesetzbuch. ## Structured data ```json [ { "@context": "https://schema.org", "@type": [ "Organization", "LegalService" ], "@id": "https://compound.law/#organization", "name": "Compound Law", "alternateName": "Compound Law — AI Law Firm", "url": "https://compound.law/", "logo": { "@type": "ImageObject", "url": "https://compound.law/press/logos/PNG/Compound_Law_Icon.png", "width": 1024, "height": 1024 }, "image": "https://compound.law/assets/images/og-image.webp", "description": "Die KI-native Kanzlei in Berlin für Start-ups, Mittelstand und Konzerne: Commercial und Vertragsrecht, Datenschutz, KI-Verordnung, Marken, Gesellschaftsrecht sowie Sanierung und Insolvenz. Jedes Ergebnis prüft ein Anwalt, abgerechnet zum Festpreis.", "foundingDate": "2026", "founder": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] } ], "employee": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Marc Schuba", "jobTitle": "Founding Partner, Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/marc-schuba/", "sameAs": [ "https://www.linkedin.com/in/marcschuba/" ], "knowsAbout": [ "IP- und IT-Recht", "SaaS- und IT-Verträge, IT-Outsourcing", "Software- und Open-Source-Lizenzen", "Datenschutzrecht (DSGVO)", "KI-Recht und KI-Verordnung (AI Act)" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] }, { "@type": "Person", "name": "Philipp Brandt", "jobTitle": "Partner, Rechtsanwalt, Fachanwalt für gewerblichen Rechtsschutz", "url": "https://compound.law/de-DE/lawyers/philipp-brandt/", "sameAs": [ "https://www.linkedin.com/in/philipp-brandt-81b446a/" ], "knowsAbout": [ "Sanierungs- und Insolvenzrecht (Krisenberatung der Geschäftsführung, Schutzschirm- und Planverfahren, Insolvenzverwaltung)", "Gewerblicher Rechtsschutz (Marken, Wettbewerbsrecht, Urheberrecht, Geschäftsgeheimnisse, Lizenzverträge)", "Datenschutzrecht (Datenpannen, Bußgeldverfahren, Auskunft und Schadensersatz)", "Vertriebs- und Handelsrecht (Vertriebsverträge, Kauf und Verkauf von Industrieanlagen)" ] }, { "@type": "Person", "name": "Dr. Markus Dreißigacker", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/markus-dreissigacker/", "sameAs": [ "https://www.linkedin.com/in/markusdreissigacker" ], "knowsAbout": [ "M&A (Due Diligence, Post-Merger-Integration, IPO-Readiness)", "Gesellschaftsrecht (Governance, Gremienarbeit, Restrukturierung)", "Handelsrecht (Kundenverträge, Lieferantenvereinbarungen, NDAs)", "IP (Markenmanagement, IP-Übertragungsverträge)", "Compliance & ESG (Globale Compliance-Programme, Menschenrechte, Nachhaltigkeit)", "Datenschutz (DSGVO-Strategie, DPO-Erfahrung, Datenschutzprogramme)" ] } ], "address": { "@type": "PostalAddress", "addressLocality": "Berlin", "addressCountry": "DE" }, "areaServed": [ "Germany", "Austria", "Switzerland", "European Union", "United Kingdom", "United States", "Singapore" ], "availableLanguage": [ "de", "en" ], "serviceType": [ "AI law firm", "AI-native legal services", "legal counsel for start-ups and growth companies", "legal counsel for mid-sized companies and corporates", "Commercial Law", "Corporate Law", "Employment Law", "Regulatory & Compliance", "Intellectual Property", "Insolvency & Restructuring" ], "hasOfferCatalog": { "@type": "OfferCatalog", "name": "Compound Law services", "itemListElement": [ { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Commercial Contracts", "description": "Battle-tested contracts for your sales process", "serviceType": [ "enterprise contracts", "MSA", "DPA", "sales contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "International Employment", "description": "Compliant hiring across borders", "serviceType": [ "international employment", "hiring abroad", "employment contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "VSOP/ESOP Setup", "description": "Employee participation that actually works", "serviceType": [ "VSOP", "ESOP", "employee stock options", "equity incentives" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Funding Round Support", "description": "Clean legal for your next raise", "serviceType": [ "funding round", "term sheet", "SHA", "due diligence", "cap table" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Corporate Housekeeping", "description": "Get your legal house in order", "serviceType": [ "corporate governance", "board resolutions", "shareholder register" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Data Protection & Privacy", "description": "GDPR compliance that doesn't slow you down", "serviceType": [ "GDPR", "data protection", "privacy", "DPA", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI Act Compliance", "description": "Navigate EU AI regulation", "serviceType": [ "AI Act", "AI compliance", "AI governance", "EU AI regulation" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "IP & Competition", "description": "Protect and enforce what you've built", "serviceType": [ "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Fractional General Counsel", "description": "In-house legal without the full-time cost", "serviceType": [ "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "FinTech Compliance", "description": "Navigate financial regulation", "serviceType": [ "fintech compliance", "BaFin", "banking regulation", "AML", "KYC" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Legal Retainer", "description": "Predictable legal support when you need it", "serviceType": [ "legal retainer", "legal subscription", "ongoing legal support" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "M&A Preparation", "description": "Get ready for acquisition interest", "serviceType": [ "M&A preparation", "acquisition", "due diligence", "exit" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Restructuring & Insolvency", "description": "From the first liquidity check to the restructuring itself", "serviceType": [ "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } } ] }, "contactPoint": { "@type": "ContactPoint", "contactType": "sales", "email": "contact@compound.law", "availableLanguage": [ "English", "German" ], "areaServed": [ "DE", "AT", "CH", "EU", "GB", "US", "SG" ] }, "email": "contact@compound.law", "sameAs": [ "https://www.linkedin.com/company/compoundlawfirm", "https://x.com/CompoundLawFirm" ], "knowsAbout": [ "Commercial Contracts", "enterprise contracts", "MSA", "DPA", "sales contracts", "International Employment", "international employment", "hiring abroad", "employment contracts", "VSOP/ESOP Setup", "VSOP", "ESOP", "employee stock options", "equity incentives", "Funding Round Support", "funding round", "term sheet", "SHA", "due diligence", "cap table", "Corporate Housekeeping", "corporate governance", "board resolutions", "shareholder register", "Data Protection & Privacy", "GDPR", "data protection", "privacy", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR", "AI Act Compliance", "AI Act", "AI compliance", "AI governance", "EU AI regulation", "IP & Competition", "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance", "Fractional General Counsel", "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer", "FinTech Compliance", "fintech compliance", "BaFin", "banking regulation", "AML", "KYC", "Legal Retainer", "legal subscription", "ongoing legal support", "M&A Preparation", "M&A preparation", "acquisition", "exit", "Restructuring & Insolvency", "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ] }, { "@context": "https://schema.org", "@type": "Article", "headline": "Azure OpenAI DSGVO: Ja — mit Microsoft-AVV und deutschen Regionen", "description": "Ja — mit Microsoft-AVV und EU-Residenz in Germany North oder West Central. Kein Training mit Ihren Daten; AI-Act-Klasse und Betriebsrat zusätzlich prüfen.", "image": "https://compound.law/assets/images/tools/tools_2.webp", "datePublished": "2026-04-11T00:00:00.000Z", "dateModified": "2026-04-11T00:00:00.000Z", "author": { "@type": "Person", "name": "Julian Jantze", "image": "https://compound.law/assets/images/team/julianjantze.webp" }, "publisher": { "@type": "Organization", "@id": "https://compound.law/#organization", "name": "Compound Law" }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://compound.law/de-DE/tools/azure-openai/" } }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://compound.law/de-DE/" }, { "@type": "ListItem", "position": 2, "name": "KI-Tools", "item": "https://compound.law/de-DE/tools/" }, { "@type": "ListItem", "position": 3, "name": "Azure OpenAI DSGVO: Ja — mit Microsoft-AVV und deutschen Regionen", "item": "https://compound.law/de-DE/tools/azure-openai/" } ] }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Ist Azure OpenAI DSGVO-konform?", "acceptedAnswer": { "@type": "Answer", "text": "Azure OpenAI kann von deutschen Unternehmen DSGVO-konform genutzt werden, wenn der Microsoft Auftragsverarbeitungsvertrag abgeschlossen ist, die EU-Datenresidenz in der Region Deutschland Nord oder Deutschland West Central konfiguriert wurde und eine geeignete Rechtsgrundlage nach Art. 6 DSGVO und Art. 28 DSGVO vorliegt." } }, { "@type": "Question", "name": "Gibt es einen Auftragsverarbeitungsvertrag (AVV) für Azure OpenAI?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. Microsoft stellt einen Auftragsverarbeitungsvertrag über die Microsoft-Produktbedingungen und das Datenschutzaddendum (Data Protection Addendum) bereit. Kunden müssen diese Bedingungen akzeptieren, um eine wirksame Auftragsverarbeitungsbeziehung im Sinne von Art. 28 DSGVO zu begründen. Der AVV erfasst Subunternehmer, Sicherheitsmaßnahmen, Meldepflichten bei Datenpannen, Prüfrechte und." } }, { "@type": "Question", "name": "Kann ich Azure OpenAI in Deutschland nutzen?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. Azure OpenAI bietet die Regionen Deutschland Nord und Deutschland West Central an. Durch die Wahl dieser Regionen verbleiben Inferenz und gespeicherte Daten unter Standardbedingungen innerhalb Deutschlands — dies ist die stärkste verfügbare Datenresidenzoption für DSGVO-Zwecke." } }, { "@type": "Question", "name": "Werden meine Daten zum Training von OpenAI-Modellen genutzt?", "acceptedAnswer": { "@type": "Answer", "text": "Nein. Microsoft bestätigt ausdrücklich, dass an Azure OpenAI übermittelte Daten nicht zum Training oder zur Verbesserung von OpenAI-Grundlagenmodellen verwendet werden. Dies ist ein wesentlicher rechtlicher Unterschied zur direkten Nutzung der Verbraucher- oder API-Produkte von OpenAI." } }, { "@type": "Question", "name": "Erfüllt Azure OpenAI die HIPAA-Anforderungen?", "acceptedAnswer": { "@type": "Answer", "text": "Azure OpenAI ist als HIPAA-fähiger Dienst auf Microsofts Compliance-Seite aufgeführt und kann in einen Business Associate Agreement (BAA) einbezogen werden. Unternehmen im deutschen Gesundheitswesen sollten sicherstellen, dass der BAA abgeschlossen ist und der genutzte Diensttier im Scope liegt — zusätzlich zu den Anforderungen aus DSGVO und Sozialgesetzbuch." } } ] } ] ```