--- title: "ChatGPT Enterprise in Deutschland: DSGVO, AI Act und Betriebsrat 2025" description: "ChatGPT Enterprise DSGVO-konform in Deutschland einsetzen: AVV, EU-Datenresidenz, AI Act, Betriebsrat. Aktueller Compliance-Leitfaden 2025." image: "https://compound.law/assets/images/og-image-de.webp" source: "https://compound.law/de-DE/tools/chatgpt-enterprise/" language: "de" --- ![ChatGPT Enterprise Compliance Deutschland DSGVO AI Act](https://compound.law/assets/images/tools/tools_4.webp) tools # ChatGPT Enterprise in Deutschland: DSGVO, AI Act und Betriebsrat 2025 7\. April 2026 **ChatGPT Enterprise ist mit geeigneter Vorbereitung DSGVO-konform in Deutschland einsetzbar.** OpenAI stellt einen Auftragsverarbeitungsvertrag (AVV) bereit, bietet EU-Datenresidenz an und hat GPAI-Transparenzpflichten unter dem EU AI Act umgesetzt. Die Anforderungen an Betreiber—also Ihr Unternehmen—hängen aber stark davon ab, wie Sie das Tool konkret nutzen. Wer personenbezogene Daten von Mitarbeitern oder Kunden verarbeitet, für HR-Entscheidungen oder rechtliche Bewertungen einsetzt oder die Betriebsratsanforderungen unterschätzt, riskiert erhebliche Compliance-Lücken. Diese Seite fasst zusammen, was deutsche Unternehmen 2025 für einen rechtssicheren ChatGPT-Enterprise-Rollout wissen müssen. ## Was ChatGPT Enterprise mitbringt OpenAI hat ChatGPT Enterprise mit enterprise-spezifischen Compliance-Funktionen ausgestattet: - **EU-Datenresidenz:** Verarbeitung und Speicherung wahlweise in der EU (primär Irland) — muss in der Admin-Konsole aktiv konfiguriert werden. - **Kein Modelltraining mit Ihren Daten:** Enterprise-Kunden sind standardmäßig aus dem Training ausgenommen. - **AVV / DPA:** OpenAI stellt einen Standardauftragsverarbeitungsvertrag nach Art. 28 DSGVO bereit, der Unterauftragsverarbeiter, Standardvertragsklauseln (SCC) für Drittlandtransfers und Löschverfahren abdeckt. - **SSO, SCIM und Audit-Logs:** Enterprise-Kontrollen für Zugang, Nutzer-Verwaltung und Compliance-Dokumentation. - **SOC 2 Type II-Zertifizierung:** OpenAI hält eine aktuelle SOC-2-Zertifizierung für ChatGPT Enterprise. - **GPT-4o und erweiterte Analyse:** Zugang zu aktuellen Modellen inklusive Dateianalyse, Web-Suche und Code-Interpreter. Diese Funktionen erleichtern DSGVO-Compliance erheblich — sie ersetzen aber nicht die eigene Rollout-Prüfung. ## DSGVO: Was vor dem Deployment zu klären ist ### Auftragsverarbeitungsvertrag abschließen Bevor Sie ChatGPT Enterprise unternehmensweit aktivieren, muss der AVV mit OpenAI abgeschlossen sein. Gehen Sie nicht davon aus, dass er automatisch gilt — viele Unternehmen übergehen diesen Schritt beim Enterprise-Kauf. Der OpenAI-AVV enthält: - Verarbeitungsumfang und erlaubte Verarbeitungszwecke - Liste der genehmigten Unterauftragsverarbeiter (u.a. Microsoft Azure) - EU-Standardvertragsklauseln für Transfers in die USA, falls EU-Datenresidenz nicht vollständig greift - Lösch- und Aufbewahrungsfristen - Sicherheitsmaßnahmen und Incident-Notification Prüfen Sie den AVV gegen Ihre konkreten Nutzungsszenarien — nicht nur abstrakt. ### EU-Datenresidenz aktivieren und dokumentieren Mit aktiver EU-Datenresidenz bleiben Prompts, Konversationshistorien und Outputs in Europa. Das reduziert Schrems-II-Risiken erheblich und vereinfacht die Transferdokumentation. Überprüfen Sie die Einstellung in der Admin-Konsole und dokumentieren Sie sie als Nachweis für Ihre Datenschutzfolgenabschätzung (DSFA). ### Rechtsgrundlage je Anwendungsfall festlegen Für allgemeine Produktivitätszwecke — Entwürfe, Zusammenfassungen, Recherche, Code-Unterstützung — kann berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO tragen. Sobald personenbezogene Daten über Mitarbeiter oder Kunden gezielt verarbeitet werden, ist eine sorgfältigere Bewertung nötig: - **Mitarbeiterdaten in Prompts:** Erhöhte Anforderungen, Interessenabwägung dokumentieren. - **Kundendaten:** Prüfen, ob Datenschutzhinweis und AVV den tatsächlichen Workflow abdecken. - **Besondere Datenkategorien (Gesundheit, Religion, etc.):** Ausdrückliche Einwilligung oder andere Rechtsgrundlage aus Art. 9 Abs. 2 DSGVO erforderlich. ### Datenschutzhinweis und interne Richtlinien aktualisieren Wenn Mitarbeiter ChatGPT Enterprise für Aufgaben mit Personenbezug nutzen dürfen, sollten externe Datenschutzhinweise und interne Nutzungsrichtlinien den tatsächlichen Einsatz realistisch abbilden. Klären Sie, welche Daten nie in Prompts eingegeben werden dürfen (z.B. vollständige Patientenakten, Bankdaten, Passwörter). ## Betriebsrat: Unterschätzter Compliance-Faktor In Deutschland löst die Einführung von ChatGPT Enterprise regelmäßig Betriebsratsbeteiligung nach § 87 Abs. 1 Nr. 6 BetrVG aus. Das Mitbestimmungsrecht gilt für technische Einrichtungen, die das Verhalten oder die Leistung von Arbeitnehmern überwachen können — und ChatGPT Enterprise mit Audit-Logs, SSO-Nutzungsdaten und organisationsweitem Deployment erfüllt dieses Kriterium typischerweise. **Was das konkret bedeutet:** 1. Betriebsrat frühzeitig informieren — vor dem Rollout, nicht danach. 2. Erklären, wie das Tool funktioniert, welche Nutzungsdaten erhoben werden und wie Audit-Logs ausgewertet werden. 3. Schriftliche Betriebsvereinbarung aushandeln, die erlaubte und verbotene Nutzungen, Datenzugriffe und Kontrollgrenzen regelt. 4. Keine unternehmensweite Aktivierung ohne abgeschlossene Betriebsvereinbarung — das Risiko einer einstweiligen Verfügung durch den Betriebsrat ist real. ## AI Act: Pflichten für Betreiber OpenAI erfüllt als GPAI-Anbieter eigene Pflichten unter dem EU AI Act — Transparenzdokumentation, Urheberrechts-Compliance, Watermarking-Fähigkeiten (Art. 50 AI Act). Für Sie als **Betreiber (Deployer)** gelten eigene Anforderungen: ### Was jetzt gilt (seit Februar 2025) Verbotene KI-Praktiken sind seit dem 2. Februar 2025 in Kraft. Prüfen Sie, ob Ihre ChatGPT-Enterprise-Nutzung verbotene Praktiken berühren könnte: - Manipulation durch unterschwellige Techniken: Irrelevant für Standard-Enterprise-Nutzung. - Biometrische Kategorisierung nach sensiblen Merkmalen: Nicht anwendbar für ChatGPT Enterprise. - Social Scoring durch Behörden: Nicht anwendbar. Außerdem gilt seit Februar 2025 die **KI-Literacy-Pflicht** (Art. 4 AI Act): Betreiber müssen sicherstellen, dass Mitarbeiter, die KI einsetzen, über ausreichende KI-Kompetenz verfügen. Das bedeutet keine formale Zertifizierung — aber strukturierte Schulungen für Nutzer sind empfohlen. ### Hochrisiko-Anwendungsfälle erkennen und dokumentieren ChatGPT Enterprise ist ein Allzweck-KI-System. Ob Ihr Einsatz Hochrisiko-Anforderungen auslöst, hängt vom konkreten Anwendungsfall ab: | Anwendungsfall | AI-Act-Risikoklasse | Hinweis | | ---------------------------------------------- | --------------------------------- | ------------------------------------------------ | | Entwürfe, Recherche, Zusammenfassungen | Minimal | Standardpraxis, keine zusätzlichen Anforderungen | | Code-Unterstützung, Dokumentenanalyse | Minimal bis begrenzt | Transparenz empfohlen | | HR-Screening oder Kandidatenbewertung | **Hochrisiko** (Annex III, Nr. 4) | Umfassende Compliance-Anforderungen | | Kreditbewertung oder Bonitätsprüfung | **Hochrisiko** (Annex III, Nr. 5) | Vertiefte Prüfung erforderlich | | Rechtliche Entscheidungsunterstützung (Justiz) | **Hochrisiko** (Annex III, Nr. 8) | Strengste Anforderungen | | Kundendialog-Assistent (direkte Interaktion) | Begrenzt (Art. 50) | Transparenzpflicht ab August 2026 | Für Hochrisiko-Einsätze brauchen Sie ein Risikomanagementsystem, Logging, Human Oversight und eine Konformitätsbewertung. Dokumentieren Sie diese Anwendungsfälle explizit. ### Transparenzpflichten ab August 2026 Ab dem 2. August 2026 greift Art. 50 AI Act für alle Betreiber, die KI-Systeme nutzen, die direkt mit natürlichen Personen interagieren. Wenn ChatGPT Enterprise im Kundenkontakt eingesetzt wird — als Chatbot, für Support-Antworten, für automatisierte Kommunikation — muss diese KI-Interaktion für die betroffene Person erkennbar sein. Planen Sie das jetzt in Ihr System-Design ein. ## Praktische Rollout-Checkliste für Deutschland 1. EU-Datenresidenz in der Admin-Konsole aktivieren und dokumentieren. 2. AVV mit OpenAI formell abschließen und gegen Ihre Nutzungsszenarien prüfen. 3. Betriebsrat informieren und Betriebsvereinbarung verhandeln. 4. Anwendungsfälle inventarisieren und AI-Act-Risikoklasse je Use Case bestimmen. 5. Mitarbeiter-Schulung zur KI-Literacy (Art. 4 AI Act) planen und durchführen. 6. Interne Nutzungsrichtlinie erstellen: Was darf eingegeben werden, was nicht. 7. Datenschutzhinweise und AVV-Dokumentation auf Vollständigkeit prüfen. 8. Hochrisiko-Anwendungsfälle (HR, Kredit, Justiz) separat bewerten und ggf. auf separate Systeme mit voller Compliance auslagern. ## Wie Compound Law unterstützt - AVV-Prüfung und Gap-Analyse für Ihre konkreten Nutzungsszenarien - Betriebsrats-Verhandlungsunterstützung und Betriebsvereinbarungsentwurf - Use-Case-Inventar und AI-Act-Risikoklassifizierung - KI-Literacy-Schulungsformate für Mitarbeiter - Datenschutzfolgenabschätzung (DSFA) für ChatGPT Enterprise - Acceptable-Use-Policy und interne Nutzungsrichtlinien - Laufende Compliance-Überwachung bei Produktupdates Für ergänzende Fragen zu verwandten KI-Tools finden Sie auf unserer Website Guides zu [Copilot für Microsoft 365](https://compound.law/de-DE/tools/copilot-microsoft-365/), [Gemini Enterprise](https://compound.law/de-DE/tools/gemini-enterprise/) und [KI im Kundenservice](https://compound.law/de-DE/compliance/ai-customer-service/). ## Häufig gestellte Fragen ### Ist ChatGPT Enterprise DSGVO-konform? Mit EU-Datenresidenz, abgeschlossenem AVV und ordnungsgemäßem Rollout ist ChatGPT Enterprise in der Praxis DSGVO-konform einsetzbar. Entscheidend ist nicht das Tool selbst, sondern Ihre konkrete Nutzung, die gewählte Rechtsgrundlage und die Vollständigkeit der Compliance-Dokumentation. ### Brauchen wir einen AVV mit OpenAI? Ja, zwingend. Sobald personenbezogene Daten über ChatGPT Enterprise verarbeitet werden — auch Mitarbeiterprompts mit Personenbezug — ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich. OpenAI stellt einen Standardvertrag bereit; lassen Sie diesen gegen Ihre Nutzungsszenarien prüfen. ### Dürfen Mitarbeiter Kundendaten in Prompts eingeben? Mit aktiver EU-Datenresidenz und AVV ist die Verarbeitung bestimmter Kundendaten möglich. Sensible Daten (Gesundheit, Finanzen, besondere Kategorien nach Art. 9 DSGVO) sollten grundsätzlich vermieden werden. Prüfen Sie jeden Anwendungsfall einzeln und legen Sie intern klare Regeln fest. ### Was ist mit Mitarbeitern, die private ChatGPT-Konten nutzen (Schatten-IT)? Direkt adressieren: interne Nutzungsrichtlinie klären, genehmigte Enterprise-Tools bereitstellen und Mitarbeiter auf Risiken der privaten KI-Nutzung bei der Arbeit hinweisen. Privat genutzte ChatGPT-Konten fallen nicht unter Ihren Enterprise-AVV und bieten keinen DSGVO-Schutz für Unternehmensdaten. ### Welche Betriebsrats-Rechte gelten beim ChatGPT-Enterprise-Rollout? § 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat Mitbestimmungsrechte bei technischen Einrichtungen, die Arbeitnehmerverhalten überwachen können. ChatGPT Enterprise mit Audit-Logs und SSO-Nutzungsdaten fällt typischerweise darunter. Ohne Betriebsvereinbarung droht ein Unterlassungsanspruch. Binden Sie den Betriebsrat frühzeitig ein. ### Ist ChatGPT Enterprise unter dem EU AI Act ein Hochrisiko-System? ChatGPT Enterprise selbst ist ein GPAI-System mit eigenem Compliance-Rahmen. Ob Ihr konkreter Einsatz als Hochrisiko gilt, hängt vom Anwendungsfall ab. HR-Screening, Kreditbewertung oder Justiz-Unterstützung sind Hochrisiko-Kategorien. Allgemeine Produktivitätsnutzung ist typischerweise minimal oder begrenzt risikobehaftet. Inventarisieren Sie Ihre Use Cases. ## Weitere Tool-Guides [![Canva AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_3.webp)](https://compound.law/de-DE/tools/canva-avv/) [tools](https://compound.law/de-DE/tools/canva-avv/) ### [Hat Canva eine AVV? Ja — Canva-AVV-Leitfaden für Deutschland](https://compound.law/de-DE/tools/canva-avv/) [Ja — Canva bietet einen Auftragsverarbeitungsvertrag: das Data Processing Addendum. Was der Canva AVV klauselweise regelt und wo deutsche Pflichten ansetzen.](https://compound.law/de-DE/tools/canva-avv/) [![Cursor AVV Auftragsverarbeitungsvertrag Art. 28 DSGVO für Deutschland](https://compound.law/assets/images/tools/tools_2.webp)](https://compound.law/de-DE/tools/cursor-avv/) [tools](https://compound.law/de-DE/tools/cursor-avv/) ### [Cursor AVV: Ja — Was der Anysphere-Auftragsverarbeitungsvertrag regelt](https://compound.law/de-DE/tools/cursor-avv/) [Ja, Cursor bietet einen AVV an — öffentlich unter cursor.com/terms/dpa. Was der Cursor-AVV nach Art. 28 DSGVO regelt und wie deutsche Teams ihn prüfen.](https://compound.law/de-DE/tools/cursor-avv/) [![ElevenLabs AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/elevenlabs-avv/) [tools](https://compound.law/de-DE/tools/elevenlabs-avv/) ### [Hat ElevenLabs eine AVV? Ja — ElevenLabs-AVV für Deutschland](https://compound.law/de-DE/tools/elevenlabs-avv/) [Ja — ElevenLabs bietet einen Auftragsverarbeitungsvertrag unter elevenlabs.io/dpa. Was der ElevenLabs AVV klauselweise nach Art. 28 DSGVO regelt.](https://compound.law/de-DE/tools/elevenlabs-avv/) [![Synthesia DSGVO-Fakten: KI-Training mit Kundendaten, AVV und EU-Speicherung](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/synthesia/) [tools](https://compound.law/de-DE/tools/synthesia/) ### [Synthesia DSGVO: Trainiert Synthesia auf Kundendaten? AVV & Fakten](https://compound.law/de-DE/tools/synthesia/) [Nein — Synthesia trainiert nicht auf Kundendaten. DSGVO-tauglich für deutsche Firmen: AVV nach Art. 28, EU-Speicherung in Irland. Was Sie prüfen müssen.](https://compound.law/de-DE/tools/synthesia/) [![Claude EU-Hosting Vergleich für Anthropic API, AWS Bedrock und Vertex AI](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-eu-hosting/) [tools](https://compound.law/de-DE/tools/claude-eu-hosting/) ### [Claude EU-Hosting: Wo Claude gehostet ist und was unter DSGVO gilt (2026)](https://compound.law/de-DE/tools/claude-eu-hosting/) [Wo ist Claude gehostet? Direkte Nutzung: US-Speicher als Standard. EU-Regionen gibt es über AWS Bedrock oder Vertex AI – inklusive DSGVO-Prüfpunkte.](https://compound.law/de-DE/tools/claude-eu-hosting/) [![Claude ZDR: Zero Data Retention erklärt — Scope für Anthropic API und Claude Code](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-zdr/) [tools](https://compound.law/de-DE/tools/claude-zdr/) ### [Claude ZDR: Zero Data Retention erklärt — Scope für API und Claude Code](https://compound.law/de-DE/tools/claude-zdr/) [ZDR bedeutet Zero Data Retention — keine dauerhafte Speicherung. Scope für Anthropic API und Claude Code, Policy-Quellen, AVV und DSGVO erklärt.](https://compound.law/de-DE/tools/claude-zdr/) Tool Library ### Mehr KI-Tools nach Thema durchsuchen Vergleichen Sie weitere Tools, Datenschutzfragen und Einsatzszenarien in unserer vollständigen KI-Tool-Bibliothek. [Alle KI-Tools ansehen](https://compound.law/de-DE/tools/) - [HubSpot DSGVO-konform? Marketing Hub, Free CRM und AVV tools](https://compound.law/de-DE/tools/hubspot/) - [Cursor AVV 2026: Wo Sie ihn finden und was er regelt tools](https://compound.law/de-DE/tools/cursor/) - [DeepSeek DSGVO-konform? Was deutsche Unternehmen wissen müssen tools](https://compound.law/de-DE/tools/deepseek/) - [Zapier DSGVO 2026: AVV, Art. 28 & EU-Datentransfer aktuell tools](https://compound.law/de-DE/tools/zapier/) - [Ist Claude Code DSGVO-konform? AVV, Datenspeicherung und Hosting tools](https://compound.law/de-DE/tools/claude-code-dsgvo/) - [Claude Enterprise Preise: Kein Listenpreis — Angebot, AVV, EU-Grenzen tools](https://compound.law/de-DE/tools/claude-enterprise/) - [Claude DSGVO: Welche Claude-Tarife fuer Unternehmen zulaessig sind tools](https://compound.law/de-DE/tools/claude-dsgvo/) - [Anthropic Standardvertragsklauseln (SCC): DSGVO-Leitfaden Modul 2 und 3 tools](https://compound.law/de-DE/tools/anthropic-scc/) - [Zoom AI Companion DSGVO-Konformität für deutsche Unternehmen tools](https://compound.law/de-DE/tools/zoom/) - [Hat Airtable einen AVV? Ja — aber nur im Enterprise-Plan (DSGVO) tools](https://compound.law/de-DE/tools/airtable-ai/) - [Claude Team vs. Enterprise: Tarifvergleich für Unternehmen in Deutschland tools](https://compound.law/de-DE/tools/claude-team-vs-enterprise/) - [Claude Enterprise für Kanzleien und Rechtsabteilungen tools](https://compound.law/de-DE/tools/claude-enterprise-kanzleien/) - [Anthropic AVV: Datenverarbeitungsvertrag nach Art. 28 DSGVO? tools](https://compound.law/de-DE/tools/anthropic-datenverarbeitungsvertrag/) - [Claude Enterprise für Deutschland — DSGVO-konform & sicher tools](https://compound.law/de-DE/tools/claude-enterprise-deutschland/) - [Anthropic DPA: Art. 28 DSGVO-Prüfung für Deutschland tools](https://compound.law/de-DE/tools/anthropic-dpa/) ## Häufige Fragen Mit EU-Datenresidenz, abgeschlossenem AVV und ordnungsgemäßem Rollout ist ChatGPT Enterprise in der Praxis DSGVO-konform einsetzbar. Entscheidend ist nicht das Tool selbst, sondern Ihre konkrete Nutzung, die gewählte Rechtsgrundlage und die Vollständigkeit der Compliance-Dokumentation. Ja, zwingend. Sobald personenbezogene Daten über ChatGPT Enterprise verarbeitet werden — auch Mitarbeiterprompts mit Personenbezug — ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich. OpenAI stellt einen Standardvertrag bereit; lassen Sie diesen gegen Ihre Nutzungsszenarien prüfen. Mit aktiver EU-Datenresidenz und AVV ist die Verarbeitung bestimmter Kundendaten möglich. Sensible Daten (Gesundheit, Finanzen, besondere Kategorien nach Art. 9 DSGVO) sollten grundsätzlich vermieden werden. Prüfen Sie jeden Anwendungsfall einzeln und legen Sie intern klare Regeln fest. Direkt adressieren: interne Nutzungsrichtlinie klären, genehmigte Enterprise-Tools bereitstellen und Mitarbeiter auf Risiken der privaten KI-Nutzung bei der Arbeit hinweisen. Privat genutzte ChatGPT-Konten fallen nicht unter Ihren Enterprise-AVV und bieten keinen DSGVO-Schutz für Unternehmensdaten. § 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat Mitbestimmungsrechte bei technischen Einrichtungen, die Arbeitnehmerverhalten überwachen können. ChatGPT Enterprise mit Audit-Logs und SSO-Nutzungsdaten fällt typischerweise darunter. Ohne Betriebsvereinbarung droht ein Unterlassungsanspruch. Binden Sie den Betriebsrat frühzeitig ein. ChatGPT Enterprise selbst ist ein GPAI-System mit eigenem Compliance-Rahmen. Ob Ihr konkreter Einsatz als Hochrisiko gilt, hängt vom Anwendungsfall ab. HR-Screening, Kreditbewertung oder Justiz-Unterstützung sind Hochrisiko-Kategorien. Allgemeine Produktivitätsnutzung ist typischerweise minimal oder begrenzt risikobehaftet. Inventarisieren Sie Ihre Use Cases. ## Structured data ```json [ { "@context": "https://schema.org", "@type": [ "Organization", "LegalService" ], "@id": "https://compound.law/#organization", "name": "Compound Law", "alternateName": "Compound Law — AI Law Firm", "url": "https://compound.law/", "logo": { "@type": "ImageObject", "url": "https://compound.law/press/logos/PNG/Compound_Law_Icon.png", "width": 1024, "height": 1024 }, "image": "https://compound.law/assets/images/og-image.webp", "description": "Die KI-native Kanzlei in Berlin für Start-ups, Mittelstand und Konzerne: Commercial und Vertragsrecht, Datenschutz, KI-Verordnung, Marken, Gesellschaftsrecht sowie Sanierung und Insolvenz. Jedes Ergebnis prüft ein Anwalt, abgerechnet zum Festpreis.", "foundingDate": "2026", "founder": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] } ], "employee": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Marc Schuba", "jobTitle": "Founding Partner, Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/marc-schuba/", "sameAs": [ "https://www.linkedin.com/in/marcschuba/" ], "knowsAbout": [ "IP- und IT-Recht", "SaaS- und IT-Verträge, IT-Outsourcing", "Software- und Open-Source-Lizenzen", "Datenschutzrecht (DSGVO)", "KI-Recht und KI-Verordnung (AI Act)" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] }, { "@type": "Person", "name": "Philipp Brandt", "jobTitle": "Partner, Rechtsanwalt, Fachanwalt für gewerblichen Rechtsschutz", "url": "https://compound.law/de-DE/lawyers/philipp-brandt/", "sameAs": [ "https://www.linkedin.com/in/philipp-brandt-81b446a/" ], "knowsAbout": [ "Sanierungs- und Insolvenzrecht (Krisenberatung der Geschäftsführung, Schutzschirm- und Planverfahren, Insolvenzverwaltung)", "Gewerblicher Rechtsschutz (Marken, Wettbewerbsrecht, Urheberrecht, Geschäftsgeheimnisse, Lizenzverträge)", "Datenschutzrecht (Datenpannen, Bußgeldverfahren, Auskunft und Schadensersatz)", "Vertriebs- und Handelsrecht (Vertriebsverträge, Kauf und Verkauf von Industrieanlagen)" ] }, { "@type": "Person", "name": "Dr. Markus Dreißigacker", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/markus-dreissigacker/", "sameAs": [ "https://www.linkedin.com/in/markusdreissigacker" ], "knowsAbout": [ "M&A (Due Diligence, Post-Merger-Integration, IPO-Readiness)", "Gesellschaftsrecht (Governance, Gremienarbeit, Restrukturierung)", "Handelsrecht (Kundenverträge, Lieferantenvereinbarungen, NDAs)", "IP (Markenmanagement, IP-Übertragungsverträge)", "Compliance & ESG (Globale Compliance-Programme, Menschenrechte, Nachhaltigkeit)", "Datenschutz (DSGVO-Strategie, DPO-Erfahrung, Datenschutzprogramme)" ] } ], "address": { "@type": "PostalAddress", "addressLocality": "Berlin", "addressCountry": "DE" }, "areaServed": [ "Germany", "Austria", "Switzerland", "European Union", "United Kingdom", "United States", "Singapore" ], "availableLanguage": [ "de", "en" ], "serviceType": [ "AI law firm", "AI-native legal services", "legal counsel for start-ups and growth companies", "legal counsel for mid-sized companies and corporates", "Commercial Law", "Corporate Law", "Employment Law", "Regulatory & Compliance", "Intellectual Property", "Insolvency & Restructuring" ], "hasOfferCatalog": { "@type": "OfferCatalog", "name": "Compound Law services", "itemListElement": [ { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Commercial Contracts", "description": "Battle-tested contracts for your sales process", "serviceType": [ "enterprise contracts", "MSA", "DPA", "sales contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "International Employment", "description": "Compliant hiring across borders", "serviceType": [ "international employment", "hiring abroad", "employment contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "VSOP/ESOP Setup", "description": "Employee participation that actually works", "serviceType": [ "VSOP", "ESOP", "employee stock options", "equity incentives" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Funding Round Support", "description": "Clean legal for your next raise", "serviceType": [ "funding round", "term sheet", "SHA", "due diligence", "cap table" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Corporate Housekeeping", "description": "Get your legal house in order", "serviceType": [ "corporate governance", "board resolutions", "shareholder register" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Data Protection & Privacy", "description": "GDPR compliance that doesn't slow you down", "serviceType": [ "GDPR", "data protection", "privacy", "DPA", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI Act Compliance", "description": "Navigate EU AI regulation", "serviceType": [ "AI Act", "AI compliance", "AI governance", "EU AI regulation" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "IP & Competition", "description": "Protect and enforce what you've built", "serviceType": [ "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Fractional General Counsel", "description": "In-house legal without the full-time cost", "serviceType": [ "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "FinTech Compliance", "description": "Navigate financial regulation", "serviceType": [ "fintech compliance", "BaFin", "banking regulation", "AML", "KYC" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Legal Retainer", "description": "Predictable legal support when you need it", "serviceType": [ "legal retainer", "legal subscription", "ongoing legal support" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "M&A Preparation", "description": "Get ready for acquisition interest", "serviceType": [ "M&A preparation", "acquisition", "due diligence", "exit" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Restructuring & Insolvency", "description": "From the first liquidity check to the restructuring itself", "serviceType": [ "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } } ] }, "contactPoint": { "@type": "ContactPoint", "contactType": "sales", "email": "contact@compound.law", "availableLanguage": [ "English", "German" ], "areaServed": [ "DE", "AT", "CH", "EU", "GB", "US", "SG" ] }, "email": "contact@compound.law", "sameAs": [ "https://www.linkedin.com/company/compoundlawfirm", "https://x.com/CompoundLawFirm" ], "knowsAbout": [ "Commercial Contracts", "enterprise contracts", "MSA", "DPA", "sales contracts", "International Employment", "international employment", "hiring abroad", "employment contracts", "VSOP/ESOP Setup", "VSOP", "ESOP", "employee stock options", "equity incentives", "Funding Round Support", "funding round", "term sheet", "SHA", "due diligence", "cap table", "Corporate Housekeeping", "corporate governance", "board resolutions", "shareholder register", "Data Protection & Privacy", "GDPR", "data protection", "privacy", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR", "AI Act Compliance", "AI Act", "AI compliance", "AI governance", "EU AI regulation", "IP & Competition", "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance", "Fractional General Counsel", "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer", "FinTech Compliance", "fintech compliance", "BaFin", "banking regulation", "AML", "KYC", "Legal Retainer", "legal subscription", "ongoing legal support", "M&A Preparation", "M&A preparation", "acquisition", "exit", "Restructuring & Insolvency", "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ] }, { "@context": "https://schema.org", "@type": "Article", "headline": "ChatGPT Enterprise in Deutschland: DSGVO, AI Act und Betriebsrat 2025", "description": "ChatGPT Enterprise DSGVO-konform in Deutschland einsetzen: AVV, EU-Datenresidenz, AI Act, Betriebsrat. Aktueller Compliance-Leitfaden 2025.", "image": "https://compound.law/assets/images/tools/tools_4.webp", "datePublished": "2026-04-07T00:00:00.000Z", "dateModified": "2026-04-07T00:00:00.000Z", "author": { "@type": "Person", "name": "Dr. Markus Dreißigacker", "image": "https://compound.law/assets/images/team/markusdreissigacker.webp" }, "publisher": { "@type": "Organization", "@id": "https://compound.law/#organization", "name": "Compound Law" }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://compound.law/de-DE/tools/chatgpt-enterprise/" } }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://compound.law/de-DE/" }, { "@type": "ListItem", "position": 2, "name": "KI-Tools", "item": "https://compound.law/de-DE/tools/" }, { "@type": "ListItem", "position": 3, "name": "ChatGPT Enterprise in Deutschland: DSGVO, AI Act und Betriebsrat 2025", "item": "https://compound.law/de-DE/tools/chatgpt-enterprise/" } ] }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Ist ChatGPT Enterprise DSGVO-konform?", "acceptedAnswer": { "@type": "Answer", "text": "Mit EU-Datenresidenz, abgeschlossenem AVV und ordnungsgemäßem Rollout ist ChatGPT Enterprise in der Praxis DSGVO-konform einsetzbar. Entscheidend ist nicht das Tool selbst, sondern Ihre konkrete Nutzung, die gewählte Rechtsgrundlage und die Vollständigkeit der Compliance-Dokumentation." } }, { "@type": "Question", "name": "Brauchen wir einen AVV mit OpenAI?", "acceptedAnswer": { "@type": "Answer", "text": "Ja, zwingend. Sobald personenbezogene Daten über ChatGPT Enterprise verarbeitet werden — auch Mitarbeiterprompts mit Personenbezug — ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich. OpenAI stellt einen Standardvertrag bereit; lassen Sie diesen gegen Ihre Nutzungsszenarien prüfen." } }, { "@type": "Question", "name": "Dürfen Mitarbeiter Kundendaten in Prompts eingeben?", "acceptedAnswer": { "@type": "Answer", "text": "Mit aktiver EU-Datenresidenz und AVV ist die Verarbeitung bestimmter Kundendaten möglich. Sensible Daten (Gesundheit, Finanzen, besondere Kategorien nach Art. 9 DSGVO) sollten grundsätzlich vermieden werden. Prüfen Sie jeden Anwendungsfall einzeln und legen Sie intern klare Regeln fest." } }, { "@type": "Question", "name": "Was ist mit Mitarbeitern, die private ChatGPT-Konten nutzen (Schatten-IT)?", "acceptedAnswer": { "@type": "Answer", "text": "Direkt adressieren: interne Nutzungsrichtlinie klären, genehmigte Enterprise-Tools bereitstellen und Mitarbeiter auf Risiken der privaten KI-Nutzung bei der Arbeit hinweisen. Privat genutzte ChatGPT-Konten fallen nicht unter Ihren Enterprise-AVV und bieten keinen DSGVO-Schutz für Unternehmensdaten." } }, { "@type": "Question", "name": "Welche Betriebsrats-Rechte gelten beim ChatGPT-Enterprise-Rollout?", "acceptedAnswer": { "@type": "Answer", "text": "§ 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat Mitbestimmungsrechte bei technischen Einrichtungen, die Arbeitnehmerverhalten überwachen können. ChatGPT Enterprise mit Audit-Logs und SSO-Nutzungsdaten fällt typischerweise darunter. Ohne Betriebsvereinbarung droht ein Unterlassungsanspruch. Binden Sie den Betriebsrat frühzeitig ein." } }, { "@type": "Question", "name": "Ist ChatGPT Enterprise unter dem EU AI Act ein Hochrisiko-System?", "acceptedAnswer": { "@type": "Answer", "text": "ChatGPT Enterprise selbst ist ein GPAI-System mit eigenem Compliance-Rahmen. Ob Ihr konkreter Einsatz als Hochrisiko gilt, hängt vom Anwendungsfall ab. HR-Screening, Kreditbewertung oder Justiz-Unterstützung sind Hochrisiko-Kategorien. Allgemeine Produktivitätsnutzung ist typischerweise minimal oder begrenzt risikobehaftet. Inventarisieren Sie Ihre Use Cases." } } ] } ] ```