--- title: "OpenAI API DSGVO & AVV: Kein Training, Zero Data Retention möglich" description: "OpenAI API bietet deutschen Unternehmen einen AVV — API-Daten werden nicht für Training genutzt. AVV abschließen, SCCs prüfen, Rechtsgrundlage dokumentieren." image: "https://compound.law/assets/images/og-image-de.webp" source: "https://compound.law/de-DE/tools/openai-api/" language: "de" --- ![OpenAI API DSGVO-Compliance und Auftragsverarbeitungsvertrag für deutsche Unternehmen](https://compound.law/assets/images/tools/tools_2.webp) tools # OpenAI API DSGVO & AVV: Kein Training, Zero Data Retention möglich 6\. April 2026 **OpenAI stellt API-Kunden einen Auftragsverarbeitungsvertrag (AVV) zur Verfügung. Deutsche Unternehmen, die die OpenAI API nutzen, müssen diesen AVV gemäß Artikel 28 DSGVO abschließen, bevor sie personenbezogene Daten über OpenAI-Endpunkte verarbeiten.** Die API umfasst GPT-4o, GPT-4, GPT-3.5, Whisper, DALL-E sowie die Assistants API. Die Datenverarbeitung erfolgt auf US-Infrastruktur von Microsoft Azure, weshalb Standardvertragsklauseln für EU-US-Datentransfers erforderlich sind. API-Eingaben und -Ausgaben werden standardmäßig nicht für das Modelltraining verwendet. Unternehmen mit strengeren Datenlokalisierungsanforderungen sollten ChatGPT Enterprise oder den Azure OpenAI Service prüfen, die eine Verarbeitung in europäischen Rechenzentren ermöglichen. ## Bietet OpenAI einen AVV für die API an? Ja. OpenAI stellt einen **Data Processing Addendum (DPA)**, der als **Auftragsverarbeitungsvertrag (AVV)** im Sinne des Artikel 28 DSGVO fungiert, für API-Kunden bereit. Er ist direkt über die OpenAI-Kontoeinstellungen verfügbar oder kann im Rahmen eines Enterprise-Vertrags mit dem OpenAI-Vertrieb ausgehandelt werden. Wesentliche Inhalte des OpenAI AVV: - **Auftragsverarbeiter-Stellung:** OpenAI verarbeitet Daten in Ihrem Auftrag. Sie als Unternehmen bleiben Verantwortlicher (Art. 4 Nr. 7 DSGVO) und bestimmen Zweck und Mittel der Verarbeitung. - **Kein Training mit API-Daten:** API-Eingaben und -Ausgaben werden standardmäßig nicht zur Verbesserung oder zum Training von OpenAI-Modellen verwendet. Dies unterscheidet die API wesentlich vom Verbraucherprodukt ChatGPT. - **Standardvertragsklauseln:** Der AVV enthält die EU-Standardvertragsklauseln (Durchführungsbeschluss 2021/914 der Kommission) für Datentransfers aus dem EWR in die USA. - **Unterauftragsverarbeiter-Liste:** OpenAI veröffentlicht eine Liste seiner Unterauftragsverarbeiter — darunter Microsoft Azure als primärer Cloud-Infrastrukturanbieter — und informiert bei Änderungen. - **Datenspeicherung:** API-Daten werden für einen begrenzten Zeitraum zur Missbrauchsprüfung aufbewahrt und anschließend gelöscht. Für einige Modelle ist über Enterprise-Verträge eine Zero Data Retention (ZDR)-Option verfügbar. Der AVV muss **vor** der ersten Verarbeitung personenbezogener Daten über die API abgeschlossen sein. Eine Verarbeitung personenbezogener Daten ohne Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO stellt einen Datenschutzverstoß dar, der von Aufsichtsbehörden geahndet werden kann. ## OpenAI API AVV für Deutschland: So schließen Sie ihn ab So stellen Sie eine DSGVO-konforme Auftragsverarbeitungsbeziehung mit OpenAI her: 1. **AVV akzeptieren:** Den OpenAI Data Processing Addendum in den Kontoeinstellungen unter „Datenschutz” akzeptieren oder einen unterzeichneten Enterprise-Vertrag mit OpenAI vereinbaren. 2. **Standardvertragsklauseln prüfen:** Sicherstellen, dass der AVV die aktuellen EU-SCCs (Modul 2: Verantwortlicher an Auftragsverarbeiter) für den EU-US-Datentransfer enthält. 3. **Verzeichnis der Verarbeitungstätigkeiten aktualisieren:** OpenAI API als Auftragsverarbeiter in das Verzeichnis nach Artikel 30 DSGVO aufnehmen — für jede API-gestützte Verarbeitungstätigkeit separat. 4. **Unterauftragsverarbeiter prüfen:** Die OpenAI-Liste der Unterauftragsverarbeiter einsehen und beurteilen, ob einzelne Sub-Prozessoren zusätzliche Risiken begründen. 5. **Datenschutzhinweise aktualisieren:** Datenschutzerklärungen gegenüber Mitarbeitenden und Kunden müssen die API-gestützte Verarbeitung sowie den Datentransfer in die USA offenlegen. ## Datenspeicherort: Wo verarbeitet OpenAI die API-Daten? Standard-API-Anfragen werden auf der **Microsoft-Azure-Infrastruktur in den Vereinigten Staaten** verarbeitet. Für die Standard-OpenAI-API besteht keine EU-Rechenzentrum-Option. Dies begründet einen obligatorischen EU-US-Datentransfer nach Kapitel V DSGVO — abgedeckt durch die Standardvertragsklauseln im OpenAI AVV. Für Unternehmen mit strengen Datenlokalisierungsanforderungen gibt es zwei Alternativen: **Azure OpenAI Service:** Microsoft bietet OpenAI-Modelle (GPT-4, GPT-3.5 etc.) über Azure an, mit der Möglichkeit, europäische Rechenzentrumsregionen (z. B. „Sweden Central”, „West Europe”) auszuwählen. In einer europäischen Azure-Region verarbeitete Daten verlassen die EU nicht. Der Vertrag läuft dann über den Microsoft Azure-Datenschutzvertrag. Dies ist die bevorzugte Option für Unternehmen in regulierten Branchen — Banken, Versicherungen, Gesundheitswesen —, die EU-Datenlokalisierung benötigen. **ChatGPT Enterprise:** Das Enterprise-Produkt von OpenAI enthält einen AVV mit erweiterten Bedingungen und bietet EU-Datenverarbeitungsoptionen. ChatGPT Enterprise ist primär eine Chat-Oberfläche, eignet sich aber für Geschäftsanwendungen ohne direkte API-Integration. Für die meisten deutschen Startups und KMUs, die die Standard-API nutzen, bieten die Standardvertragsklauseln im OpenAI AVV den erforderlichen Transfermechanismus. Die dokumentierte Nutzung der SCCs — ggf. ergänzt durch eine Transfer Impact Assessment (TIA) — ist der Standardansatz. ## OpenAI API vs. ChatGPT Enterprise — Compliance-Unterschiede | Merkmal | OpenAI API | ChatGPT Enterprise | | --------------------------------- | ---------------- | ------------------- | | AVV verfügbar | Ja (API DPA) | Ja (Enterprise DPA) | | Daten für Training genutzt | Nein (Standard) | Nein | | EU-Datenverarbeitung möglich | Nein (Azure USA) | Ja (Enterprise) | | Zero Data Retention | Ja (Enterprise) | Ja | | SCCs für Unterauftragsverarbeiter | Ja | Ja | | SAML SSO / Zugriffskontrolle | Nein | Ja | | Geeignet für regulierte Branchen | Mit Azure OpenAI | Besser geeignet | Wenn Ihre Anwendung sensible personenbezogene Daten verarbeitet — Gesundheitsdaten, Finanzinformationen, Personalakten — und EU-Datenlokalisierung zwingend erforderlich ist, ist der **Azure OpenAI Service** (nicht die Standard-OpenAI-API) die DSGVO-konformere Wahl. ## OpenAI API in Deutschland: EU AI Act Die OpenAI API stellt **General-Purpose AI (GPAI)-Modelle** bereit — primär GPT-4o, GPT-4 und GPT-3.5. Gemäß dem EU AI Act (Verordnung (EU) 2024/1689) unterliegen GPAI-Modelle, die auf dem EU-Markt bereitgestellt werden, Transparenz- und Dokumentationspflichten. Als Modellanbieter trägt OpenAI diese Verpflichtungen — nicht unmittelbar der API-Kunde. Als **Betreiber** der API müssen deutsche Unternehmen jedoch: - **Das Risikoniveau der eigenen Anwendung bestimmen.** Ein internes FAQ-Chatbot-Tool ist begrenztes Risiko; ein automatisiertes Entscheidungssystem mit Auswirkungen auf Mitarbeitende oder Kunden kann hohes Risiko darstellen. - **Menschliche Aufsicht sicherstellen**, wenn KI-Ausgaben wesentliche Entscheidungen beeinflussen. - **KI-Interaktionen offenlegen**, wenn Nutzer direkt mit einer KI interagieren, Artikel 52 EU AI Act. - **Hochrisikoanwendungen dokumentieren**, die in den Kategorien aus Anhang III des AI Act fallen — z. B. Beschäftigung, Bildung, wesentliche Dienstleistungen. Die meisten API-basierten Produktivitätsanwendungen, Code-Assistenten und Content-Generierungen fallen unter **begrenztes oder minimales Risiko**. Komplexere Anwendungen — automatische Bewerbungsauswahl, KI-gestützte Kreditwürdigkeitsbewertung, prädiktive HR-Analysen — erfordern eine vollständige Konformitätsbewertung. ## Compliance-Checkliste für die DSGVO-konforme OpenAI-API-Integration - [ ] **AVV abgeschlossen:** OpenAI Data Processing Addendum über Kontoeinstellungen akzeptiert oder unterzeichneter Enterprise-Vertrag vorhanden - [ ] **Standardvertragsklauseln bestätigt:** EU-SCCs (Modul 2) im AVV für US-Datentransfer enthalten - [ ] **Unterauftragsverarbeiter geprüft:** OpenAI-Liste gesichtet; Microsoft Azure als primärer Auftragsverarbeiter erfasst - [ ] **Verarbeitungsverzeichnis aktualisiert:** OpenAI API nach Art. 30 DSGVO für jede relevante Verarbeitung eingetragen - [ ] **Rechtsgrundlage dokumentiert:** Art. 6(1) DSGVO-Rechtsgrundlage für jeden API-Anwendungsfall ermittelt (b — Vertrag, f — berechtigtes Interesse, a — Einwilligung wo erforderlich) - [ ] **Datenschutzhinweise aktualisiert:** Kunden- und mitarbeiterbezogene Hinweise offenbaren API-Verarbeitung und US-Datentransfer - [ ] **Zero Data Retention geprüft:** Bewertung, ob ZDR für sensible Anwendungsfälle erforderlich ist - [ ] **Azure OpenAI geprüft:** Bei zwingend erforderlicher EU-Datenlokalisierung Azure OpenAI Service als Alternative evaluiert - [ ] **AI Act Klassifizierung durchgeführt:** Risikoniveau des Anwendungsfalls nach Anhang III EU AI Act bewertet - [ ] **DSFA durchgeführt:** Bei Hochrisikoverarbeitung nach Art. 35 DSGVO (groß angelegte Verarbeitung, besondere Datenkategorien, automatisierte Entscheidungsfindung) - [ ] **Betriebsrat informiert:** Betriebsrat einbezogen, wenn API-Tool Arbeitsprozesse von Mitarbeitenden betrifft (§87 BetrVG) - [ ] **Prompt-Sicherheitsüberprüfung erfolgt:** Sicherstellen, dass in API-Prompts keine unnötigen personenbezogenen Daten enthalten sind Compound Law berät deutsche Unternehmen bei OpenAI-API-Deployments: AVV-Prüfung, Transfer Impact Assessments, Datenschutz-Folgenabschätzungen und AI-Act-Compliance. Weitere Informationen unter [Compliance-Services](https://compound.law/de-DE/compliance/). Weiterführend: [OpenAI Whisper DSGVO-Compliance](https://compound.law/de-DE/tools/whisper/) sowie der [AI-Act-Compliance-Hub](https://compound.law/de-DE/compliance/). *** ## Häufig gestellte Fragen ### Bietet OpenAI einen AVV (Auftragsverarbeitungsvertrag) für die API an? Ja. OpenAI stellt einen Data Processing Addendum für API-Kunden bereit, der als Auftragsverarbeitungsvertrag (AVV) gemäß Artikel 28 DSGVO fungiert. Der AVV ist über die Kontoeinstellungen unter dem Abschnitt „Datenschutz” verfügbar oder kann als unterzeichneter Enterprise-Vertrag vereinbart werden. Er legt fest, dass OpenAI als Auftragsverarbeiter handelt, enthält EU-Standardvertragsklauseln für den US-Datentransfer und bestätigt, dass API-Daten standardmäßig nicht für das Modelltraining verwendet werden. Der AVV muss vor der ersten Verarbeitung personenbezogener Daten abgeschlossen sein. ### Ist die OpenAI API DSGVO-konform? Die OpenAI API kann DSGVO-konform eingesetzt werden — die Konformität hängt jedoch von Ihrer Implementierung ab. Sie müssen einen AVV mit OpenAI abschließen, eine Rechtsgrundlage nach Art. 6 DSGVO für jeden Anwendungsfall dokumentieren, Ihre Datenschutzhinweise aktualisieren und OpenAI in das Verarbeitungsverzeichnis nach Art. 30 DSGVO aufnehmen. OpenAI selbst zertifiziert keine DSGVO-Konformität — die Rechtmäßigkeit Ihrer Nutzung hängt von Ihrer eigenen Umsetzung ab. ### Verarbeitet OpenAI API-Daten in der EU? Nein — Standard-API-Anfragen werden auf der Microsoft-Azure-Infrastruktur in den Vereinigten Staaten verarbeitet. Es gibt keine EU-Rechenzentrum-Option für die Standard-OpenAI-API. Der OpenAI AVV enthält Standardvertragsklauseln, die diesen EU-US-Transfer abdecken. Wenn EU-Datenlokalisierung zwingend erforderlich ist, empfiehlt sich der Azure OpenAI Service, über den europäische Azure-Regionen (z. B. „Sweden Central”) ausgewählt werden können. ### Brauchen wir eine Betriebsvereinbarung für die OpenAI API? Wenn Sie die OpenAI API für Anwendungen einsetzen, die Arbeitsprozesse von Mitarbeitenden betreffen — z. B. ein interner KI-Assistent, Code-Tool oder Wissensdatenbank — kann der Betriebsrat Mitbestimmungsrechte nach §87 Abs. 1 Nr. 6 BetrVG haben. Jedes technische System, das das Verhalten oder die Leistung von Arbeitnehmern überwachen kann oder Arbeitsprozesse wesentlich verändert, bedarf der Beteiligung des Betriebsrats. Binden Sie den Betriebsrat frühzeitig ein und schließen Sie ggf. eine Betriebsvereinbarung über den zulässigen Einsatz, Datenzugang und Überwachungsbeschränkungen ab. ### Was ist der Unterschied zwischen OpenAI API und Azure OpenAI Service aus DSGVO-Sicht? Der wesentliche Unterschied liegt im Datenspeicherort. Die Standard-OpenAI-API verarbeitet Daten in US-Rechenzentren; der Azure OpenAI Service ermöglicht die Auswahl europäischer Azure-Regionen, sodass keine Daten die EU verlassen. Der AVV ist beim Azure OpenAI Service mit Microsoft abzuschließen (nicht mit OpenAI). Für Unternehmen in regulierten Branchen oder mit vertraglichen EU-Datenlokalisierungspflichten ist der Azure OpenAI Service die rechtlich sicherere Wahl. ## Weiterführende Informationen für Kanzleien Für Rechtsanwälte und Kanzleien gelten über die DSGVO hinaus berufsrechtliche Anforderungen nach §43a BRAO. Der detaillierte Compliance-Leitfaden zu [AI APIs für Anwälte: §43a BRAO, Verschwiegenheit und DSGVO](https://compound.law/de-DE/compliance/ki-api-brao-kanzleien/) erläutert, was vor dem Produktivbetrieb einer AI API wie der OpenAI API in der Kanzlei zu prüfen ist. ## Weitere Tool-Guides [![Canva AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_3.webp)](https://compound.law/de-DE/tools/canva-avv/) [tools](https://compound.law/de-DE/tools/canva-avv/) ### [Hat Canva eine AVV? Ja — Canva-AVV-Leitfaden für Deutschland](https://compound.law/de-DE/tools/canva-avv/) [Ja — Canva bietet einen Auftragsverarbeitungsvertrag: das Data Processing Addendum. Was der Canva AVV klauselweise regelt und wo deutsche Pflichten ansetzen.](https://compound.law/de-DE/tools/canva-avv/) [![Cursor AVV Auftragsverarbeitungsvertrag Art. 28 DSGVO für Deutschland](https://compound.law/assets/images/tools/tools_2.webp)](https://compound.law/de-DE/tools/cursor-avv/) [tools](https://compound.law/de-DE/tools/cursor-avv/) ### [Cursor AVV: Ja — Was der Anysphere-Auftragsverarbeitungsvertrag regelt](https://compound.law/de-DE/tools/cursor-avv/) [Ja, Cursor bietet einen AVV an — öffentlich unter cursor.com/terms/dpa. Was der Cursor-AVV nach Art. 28 DSGVO regelt und wie deutsche Teams ihn prüfen.](https://compound.law/de-DE/tools/cursor-avv/) [![ElevenLabs AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/elevenlabs-avv/) [tools](https://compound.law/de-DE/tools/elevenlabs-avv/) ### [Hat ElevenLabs eine AVV? Ja — ElevenLabs-AVV für Deutschland](https://compound.law/de-DE/tools/elevenlabs-avv/) [Ja — ElevenLabs bietet einen Auftragsverarbeitungsvertrag unter elevenlabs.io/dpa. Was der ElevenLabs AVV klauselweise nach Art. 28 DSGVO regelt.](https://compound.law/de-DE/tools/elevenlabs-avv/) [![Synthesia DSGVO-Fakten: KI-Training mit Kundendaten, AVV und EU-Speicherung](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/synthesia/) [tools](https://compound.law/de-DE/tools/synthesia/) ### [Synthesia DSGVO: Trainiert Synthesia auf Kundendaten? AVV & Fakten](https://compound.law/de-DE/tools/synthesia/) [Nein — Synthesia trainiert nicht auf Kundendaten. DSGVO-tauglich für deutsche Firmen: AVV nach Art. 28, EU-Speicherung in Irland. Was Sie prüfen müssen.](https://compound.law/de-DE/tools/synthesia/) [![Claude EU-Hosting Vergleich für Anthropic API, AWS Bedrock und Vertex AI](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-eu-hosting/) [tools](https://compound.law/de-DE/tools/claude-eu-hosting/) ### [Claude EU-Hosting: Wo Claude gehostet ist und was unter DSGVO gilt (2026)](https://compound.law/de-DE/tools/claude-eu-hosting/) [Wo ist Claude gehostet? Direkte Nutzung: US-Speicher als Standard. EU-Regionen gibt es über AWS Bedrock oder Vertex AI – inklusive DSGVO-Prüfpunkte.](https://compound.law/de-DE/tools/claude-eu-hosting/) [![Claude ZDR: Zero Data Retention erklärt — Scope für Anthropic API und Claude Code](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-zdr/) [tools](https://compound.law/de-DE/tools/claude-zdr/) ### [Claude ZDR: Zero Data Retention erklärt — Scope für API und Claude Code](https://compound.law/de-DE/tools/claude-zdr/) [ZDR bedeutet Zero Data Retention — keine dauerhafte Speicherung. Scope für Anthropic API und Claude Code, Policy-Quellen, AVV und DSGVO erklärt.](https://compound.law/de-DE/tools/claude-zdr/) Tool Library ### Mehr KI-Tools nach Thema durchsuchen Vergleichen Sie weitere Tools, Datenschutzfragen und Einsatzszenarien in unserer vollständigen KI-Tool-Bibliothek. [Alle KI-Tools ansehen](https://compound.law/de-DE/tools/) - [HubSpot DSGVO-konform? Marketing Hub, Free CRM und AVV tools](https://compound.law/de-DE/tools/hubspot/) - [Cursor AVV 2026: Wo Sie ihn finden und was er regelt tools](https://compound.law/de-DE/tools/cursor/) - [DeepSeek DSGVO-konform? Was deutsche Unternehmen wissen müssen tools](https://compound.law/de-DE/tools/deepseek/) - [Zapier DSGVO 2026: AVV, Art. 28 & EU-Datentransfer aktuell tools](https://compound.law/de-DE/tools/zapier/) - [Ist Claude Code DSGVO-konform? AVV, Datenspeicherung und Hosting tools](https://compound.law/de-DE/tools/claude-code-dsgvo/) - [Claude Enterprise Preise: Kein Listenpreis — Angebot, AVV, EU-Grenzen tools](https://compound.law/de-DE/tools/claude-enterprise/) - [Claude DSGVO: Welche Claude-Tarife fuer Unternehmen zulaessig sind tools](https://compound.law/de-DE/tools/claude-dsgvo/) - [Anthropic Standardvertragsklauseln (SCC): DSGVO-Leitfaden Modul 2 und 3 tools](https://compound.law/de-DE/tools/anthropic-scc/) - [Zoom AI Companion DSGVO-Konformität für deutsche Unternehmen tools](https://compound.law/de-DE/tools/zoom/) - [Hat Airtable einen AVV? Ja — aber nur im Enterprise-Plan (DSGVO) tools](https://compound.law/de-DE/tools/airtable-ai/) - [Claude Team vs. Enterprise: Tarifvergleich für Unternehmen in Deutschland tools](https://compound.law/de-DE/tools/claude-team-vs-enterprise/) - [Claude Enterprise für Kanzleien und Rechtsabteilungen tools](https://compound.law/de-DE/tools/claude-enterprise-kanzleien/) - [Anthropic AVV: Datenverarbeitungsvertrag nach Art. 28 DSGVO? tools](https://compound.law/de-DE/tools/anthropic-datenverarbeitungsvertrag/) - [Claude Enterprise für Deutschland — DSGVO-konform & sicher tools](https://compound.law/de-DE/tools/claude-enterprise-deutschland/) - [Anthropic DPA: Art. 28 DSGVO-Prüfung für Deutschland tools](https://compound.law/de-DE/tools/anthropic-dpa/) ## Häufige Fragen Ja. OpenAI stellt einen Data Processing Addendum für API-Kunden bereit, der als Auftragsverarbeitungsvertrag (AVV) gemäß Artikel 28 DSGVO fungiert. Der AVV ist über die Kontoeinstellungen unter dem Abschnitt „Datenschutz" verfügbar oder kann als unterzeichneter Enterprise-Vertrag vereinbart werden. Er legt fest, dass OpenAI als Auftragsverarbeiter handelt, enthält EU-Standardvertragsklauseln für den US-Datentransfer und bestätigt, dass API-Daten standardmäßig nicht für das Modelltraining verwendet werden. Der AVV muss vor der ersten Verarbeitung personenbezogener Daten abgeschlossen sein. Die OpenAI API kann DSGVO-konform eingesetzt werden — die Konformität hängt jedoch von Ihrer Implementierung ab. Sie müssen einen AVV mit OpenAI abschließen, eine Rechtsgrundlage nach Art. 6 DSGVO für jeden Anwendungsfall dokumentieren, Ihre Datenschutzhinweise aktualisieren und OpenAI in das Verarbeitungsverzeichnis nach Art. 30 DSGVO aufnehmen. OpenAI selbst zertifiziert keine DSGVO-Konformität — die Rechtmäßigkeit Ihrer Nutzung hängt von Ihrer eigenen Umsetzung ab. Nein — Standard-API-Anfragen werden auf der Microsoft-Azure-Infrastruktur in den Vereinigten Staaten verarbeitet. Es gibt keine EU-Rechenzentrum-Option für die Standard-OpenAI-API. Der OpenAI AVV enthält Standardvertragsklauseln, die diesen EU-US-Transfer abdecken. Wenn EU-Datenlokalisierung zwingend erforderlich ist, empfiehlt sich der Azure OpenAI Service, über den europäische Azure-Regionen (z. B. „Sweden Central") ausgewählt werden können. Wenn Sie die OpenAI API für Anwendungen einsetzen, die Arbeitsprozesse von Mitarbeitenden betreffen — z. B. ein interner KI-Assistent, Code-Tool oder Wissensdatenbank — kann der Betriebsrat Mitbestimmungsrechte nach §87 Abs. 1 Nr. 6 BetrVG haben. Jedes technische System, das das Verhalten oder die Leistung von Arbeitnehmern überwachen kann oder Arbeitsprozesse wesentlich verändert, bedarf der Beteiligung des Betriebsrats. Binden Sie den Betriebsrat frühzeitig ein und schließen Sie ggf. eine Betriebsvereinbarung über den zulässigen Einsatz, Datenzugang und Überwachungsbeschränkungen ab. Der wesentliche Unterschied liegt im Datenspeicherort. Die Standard-OpenAI-API verarbeitet Daten in US-Rechenzentren; der Azure OpenAI Service ermöglicht die Auswahl europäischer Azure-Regionen, sodass keine Daten die EU verlassen. Der AVV ist beim Azure OpenAI Service mit Microsoft abzuschließen (nicht mit OpenAI). Für Unternehmen in regulierten Branchen oder mit vertraglichen EU-Datenlokalisierungspflichten ist der Azure OpenAI Service die rechtlich sicherere Wahl. ## Structured data ```json [ { "@context": "https://schema.org", "@type": [ "Organization", "LegalService" ], "@id": "https://compound.law/#organization", "name": "Compound Law", "alternateName": "Compound Law — AI Law Firm", "url": "https://compound.law/", "logo": { "@type": "ImageObject", "url": "https://compound.law/press/logos/PNG/Compound_Law_Icon.png", "width": 1024, "height": 1024 }, "image": "https://compound.law/assets/images/og-image.webp", "description": "Die KI-native Kanzlei in Berlin für Start-ups, Mittelstand und Konzerne: Commercial und Vertragsrecht, Datenschutz, KI-Verordnung, Marken, Gesellschaftsrecht sowie Sanierung und Insolvenz. Jedes Ergebnis prüft ein Anwalt, abgerechnet zum Festpreis.", "foundingDate": "2026", "founder": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] } ], "employee": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Marc Schuba", "jobTitle": "Founding Partner, Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/marc-schuba/", "sameAs": [ "https://www.linkedin.com/in/marcschuba/" ], "knowsAbout": [ "IP- und IT-Recht", "SaaS- und IT-Verträge, IT-Outsourcing", "Software- und Open-Source-Lizenzen", "Datenschutzrecht (DSGVO)", "KI-Recht und KI-Verordnung (AI Act)" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] }, { "@type": "Person", "name": "Philipp Brandt", "jobTitle": "Partner, Rechtsanwalt, Fachanwalt für gewerblichen Rechtsschutz", "url": "https://compound.law/de-DE/lawyers/philipp-brandt/", "sameAs": [ "https://www.linkedin.com/in/philipp-brandt-81b446a/" ], "knowsAbout": [ "Sanierungs- und Insolvenzrecht (Krisenberatung der Geschäftsführung, Schutzschirm- und Planverfahren, Insolvenzverwaltung)", "Gewerblicher Rechtsschutz (Marken, Wettbewerbsrecht, Urheberrecht, Geschäftsgeheimnisse, Lizenzverträge)", "Datenschutzrecht (Datenpannen, Bußgeldverfahren, Auskunft und Schadensersatz)", "Vertriebs- und Handelsrecht (Vertriebsverträge, Kauf und Verkauf von Industrieanlagen)" ] }, { "@type": "Person", "name": "Dr. Markus Dreißigacker", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/markus-dreissigacker/", "sameAs": [ "https://www.linkedin.com/in/markusdreissigacker" ], "knowsAbout": [ "M&A (Due Diligence, Post-Merger-Integration, IPO-Readiness)", "Gesellschaftsrecht (Governance, Gremienarbeit, Restrukturierung)", "Handelsrecht (Kundenverträge, Lieferantenvereinbarungen, NDAs)", "IP (Markenmanagement, IP-Übertragungsverträge)", "Compliance & ESG (Globale Compliance-Programme, Menschenrechte, Nachhaltigkeit)", "Datenschutz (DSGVO-Strategie, DPO-Erfahrung, Datenschutzprogramme)" ] } ], "address": { "@type": "PostalAddress", "addressLocality": "Berlin", "addressCountry": "DE" }, "areaServed": [ "Germany", "Austria", "Switzerland", "European Union", "United Kingdom", "United States", "Singapore" ], "availableLanguage": [ "de", "en" ], "serviceType": [ "AI law firm", "AI-native legal services", "legal counsel for start-ups and growth companies", "legal counsel for mid-sized companies and corporates", "Commercial Law", "Corporate Law", "Employment Law", "Regulatory & Compliance", "Intellectual Property", "Insolvency & Restructuring" ], "hasOfferCatalog": { "@type": "OfferCatalog", "name": "Compound Law services", "itemListElement": [ { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Commercial Contracts", "description": "Battle-tested contracts for your sales process", "serviceType": [ "enterprise contracts", "MSA", "DPA", "sales contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "International Employment", "description": "Compliant hiring across borders", "serviceType": [ "international employment", "hiring abroad", "employment contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "VSOP/ESOP Setup", "description": "Employee participation that actually works", "serviceType": [ "VSOP", "ESOP", "employee stock options", "equity incentives" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Funding Round Support", "description": "Clean legal for your next raise", "serviceType": [ "funding round", "term sheet", "SHA", "due diligence", "cap table" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Corporate Housekeeping", "description": "Get your legal house in order", "serviceType": [ "corporate governance", "board resolutions", "shareholder register" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Data Protection & Privacy", "description": "GDPR compliance that doesn't slow you down", "serviceType": [ "GDPR", "data protection", "privacy", "DPA", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI Act Compliance", "description": "Navigate EU AI regulation", "serviceType": [ "AI Act", "AI compliance", "AI governance", "EU AI regulation" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "IP & Competition", "description": "Protect and enforce what you've built", "serviceType": [ "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Fractional General Counsel", "description": "In-house legal without the full-time cost", "serviceType": [ "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "FinTech Compliance", "description": "Navigate financial regulation", "serviceType": [ "fintech compliance", "BaFin", "banking regulation", "AML", "KYC" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Legal Retainer", "description": "Predictable legal support when you need it", "serviceType": [ "legal retainer", "legal subscription", "ongoing legal support" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "M&A Preparation", "description": "Get ready for acquisition interest", "serviceType": [ "M&A preparation", "acquisition", "due diligence", "exit" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Restructuring & Insolvency", "description": "From the first liquidity check to the restructuring itself", "serviceType": [ "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } } ] }, "contactPoint": { "@type": "ContactPoint", "contactType": "sales", "email": "contact@compound.law", "availableLanguage": [ "English", "German" ], "areaServed": [ "DE", "AT", "CH", "EU", "GB", "US", "SG" ] }, "email": "contact@compound.law", "sameAs": [ "https://www.linkedin.com/company/compoundlawfirm", "https://x.com/CompoundLawFirm" ], "knowsAbout": [ "Commercial Contracts", "enterprise contracts", "MSA", "DPA", "sales contracts", "International Employment", "international employment", "hiring abroad", "employment contracts", "VSOP/ESOP Setup", "VSOP", "ESOP", "employee stock options", "equity incentives", "Funding Round Support", "funding round", "term sheet", "SHA", "due diligence", "cap table", "Corporate Housekeeping", "corporate governance", "board resolutions", "shareholder register", "Data Protection & Privacy", "GDPR", "data protection", "privacy", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR", "AI Act Compliance", "AI Act", "AI compliance", "AI governance", "EU AI regulation", "IP & Competition", "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance", "Fractional General Counsel", "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer", "FinTech Compliance", "fintech compliance", "BaFin", "banking regulation", "AML", "KYC", "Legal Retainer", "legal subscription", "ongoing legal support", "M&A Preparation", "M&A preparation", "acquisition", "exit", "Restructuring & Insolvency", "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ] }, { "@context": "https://schema.org", "@type": "Article", "headline": "OpenAI API DSGVO & AVV: Kein Training, Zero Data Retention möglich", "description": "OpenAI API bietet deutschen Unternehmen einen AVV — API-Daten werden nicht für Training genutzt. AVV abschließen, SCCs prüfen, Rechtsgrundlage dokumentieren.", "image": "https://compound.law/assets/images/tools/tools_2.webp", "datePublished": "2026-04-06T00:00:00.000Z", "dateModified": "2026-04-06T00:00:00.000Z", "author": { "@type": "Person", "name": "Dr. Markus Dreißigacker", "image": "https://compound.law/assets/images/team/markusdreissigacker.webp" }, "publisher": { "@type": "Organization", "@id": "https://compound.law/#organization", "name": "Compound Law" }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://compound.law/de-DE/tools/openai-api/" } }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://compound.law/de-DE/" }, { "@type": "ListItem", "position": 2, "name": "KI-Tools", "item": "https://compound.law/de-DE/tools/" }, { "@type": "ListItem", "position": 3, "name": "OpenAI API DSGVO & AVV: Kein Training, Zero Data Retention möglich", "item": "https://compound.law/de-DE/tools/openai-api/" } ] }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Bietet OpenAI einen AVV (Auftragsverarbeitungsvertrag) für die API an?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. OpenAI stellt einen Data Processing Addendum für API-Kunden bereit, der als Auftragsverarbeitungsvertrag (AVV) gemäß Artikel 28 DSGVO fungiert. Der AVV ist über die Kontoeinstellungen unter dem Abschnitt „Datenschutz\" verfügbar oder kann als unterzeichneter Enterprise-Vertrag vereinbart werden. Er legt fest, dass OpenAI als Auftragsverarbeiter handelt, enthält EU-Standardvertragsklauseln für den US-Datentransfer und bestätigt, dass API-Daten standardmäßig nicht für das Modelltraining verwendet werden. Der AVV muss vor der ersten Verarbeitung personenbezogener Daten abgeschlossen sein." } }, { "@type": "Question", "name": "Ist die OpenAI API DSGVO-konform?", "acceptedAnswer": { "@type": "Answer", "text": "Die OpenAI API kann DSGVO-konform eingesetzt werden — die Konformität hängt jedoch von Ihrer Implementierung ab. Sie müssen einen AVV mit OpenAI abschließen, eine Rechtsgrundlage nach Art. 6 DSGVO für jeden Anwendungsfall dokumentieren, Ihre Datenschutzhinweise aktualisieren und OpenAI in das Verarbeitungsverzeichnis nach Art. 30 DSGVO aufnehmen. OpenAI selbst zertifiziert keine DSGVO-Konformität — die Rechtmäßigkeit Ihrer Nutzung hängt von Ihrer eigenen Umsetzung ab." } }, { "@type": "Question", "name": "Verarbeitet OpenAI API-Daten in der EU?", "acceptedAnswer": { "@type": "Answer", "text": "Nein — Standard-API-Anfragen werden auf der Microsoft-Azure-Infrastruktur in den Vereinigten Staaten verarbeitet. Es gibt keine EU-Rechenzentrum-Option für die Standard-OpenAI-API. Der OpenAI AVV enthält Standardvertragsklauseln, die diesen EU-US-Transfer abdecken. Wenn EU-Datenlokalisierung zwingend erforderlich ist, empfiehlt sich der Azure OpenAI Service, über den europäische Azure-Regionen (z. B. „Sweden Central\") ausgewählt werden können." } }, { "@type": "Question", "name": "Brauchen wir eine Betriebsvereinbarung für die OpenAI API?", "acceptedAnswer": { "@type": "Answer", "text": "Wenn Sie die OpenAI API für Anwendungen einsetzen, die Arbeitsprozesse von Mitarbeitenden betreffen — z. B. ein interner KI-Assistent, Code-Tool oder Wissensdatenbank — kann der Betriebsrat Mitbestimmungsrechte nach §87 Abs. 1 Nr. 6 BetrVG haben. Jedes technische System, das das Verhalten oder die Leistung von Arbeitnehmern überwachen kann oder Arbeitsprozesse wesentlich verändert, bedarf der Beteiligung des Betriebsrats. Binden Sie den Betriebsrat frühzeitig ein und schließen Sie ggf. eine Betriebsvereinbarung über den zulässigen Einsatz, Datenzugang und Überwachungsbeschränkungen ab." } }, { "@type": "Question", "name": "Was ist der Unterschied zwischen OpenAI API und Azure OpenAI Service aus DSGVO-Sicht?", "acceptedAnswer": { "@type": "Answer", "text": "Der wesentliche Unterschied liegt im Datenspeicherort. Die Standard-OpenAI-API verarbeitet Daten in US-Rechenzentren; der Azure OpenAI Service ermöglicht die Auswahl europäischer Azure-Regionen, sodass keine Daten die EU verlassen. Der AVV ist beim Azure OpenAI Service mit Microsoft abzuschließen (nicht mit OpenAI). Für Unternehmen in regulierten Branchen oder mit vertraglichen EU-Datenlokalisierungspflichten ist der Azure OpenAI Service die rechtlich sicherere Wahl." } } ] } ] ```