OpenAI-Datenschutzupdate: Was für Business- und API-Kunden gilt

OpenAI hat Anfang Februar 2026 seine EU-Datenschutzrichtlinie überarbeitet. Hierüber hatten wir schon im Business Briefing berichtet. Die Änderungen reichen von personalisierter Werbung über Kontaktsynchronisation bis zur systematischen Inhaltsüberwachung. Für Unternehmen, die ChatGPT über ein Enterprise-, oder Business-Konto nutzen oder die API einsetzen, stellt sich die Frage: Betrifft das auch uns? Die kurze Antwort: Nein. Die lange Antwort ist etwas komplizierter. Zwei getrennte Regelwerke OpenAI unterscheidet strikt zwischen Consumer- und Business-Kunden. Die aktualisierte Datenschutzrichtlinie gilt ausschließlich für die Inhalte von Einzelnutzern, also für alle, die ChatGPT mit einem privaten Konto verwenden, ob kostenlos oder als Plus-, Pro- oder Go-Abonnement. Diese Datenschutzrichtlinie gilt nicht für Inhalte, die wir im Auftrag von Kunden unserer Business-Angebote (wie z. B. unsere API) verarbeiten. Unsere Nutzung dieser Daten wird durch unsere Kundenvereinbarungen geregelt, die den Zugang zu und die Nutzung dieser Angebote abdecken. OpenAI, 2026 Business-Kunden, Enterprise-Kunden und API-Nutzer fallen unter ein eigenes Vertragswerk: die Dienstvereinbarung (Services Agreement) in Kombination mit dem Data Processing Addendum (DPA). Beide traten am 1. Januar 2026 in Kraft (bzw. wurden aktualisiert) und blieben vom Februar-Update der Consumer-Richtlinie unberührt. Auch die Enterprise-Datenschutzseite, die OpenAI am 8. Januar 2026 aktualisierte, formuliert die Zusagen explizit: kein Modelltraining mit Geschäftsdaten, volle Eigentumsrechte an Ein- und Ausgaben, Kontrolle über Aufbewahrungsfristen. Was für Business- und API-Kunden anders läuft Werbung gibt es für Enterprise-, Business-, Edu- und Healthcare-Konten nicht. Inhalte aus API-Anfragen und Enterprise-Chats fließen standardmäßig nicht ins Modelltraining. OpenAI verarbeitet Kundendaten laut DPA ausschließlich als Auftragsverarbeiter (Processor), begrenzt auf die Bereitstellung des Dienstes und die Einhaltung gesetzlicher Pflichten. Bei der Datenhaltung gelten ebenfalls strengere Regeln. Enterprise- und Edu-Admins steuern die Aufbewahrungsdauer selbst. Bei ChatGPT Business entscheiden die Endnutzer, ob Gespräche gespeichert werden. API-Daten löscht OpenAI nach maximal 30 Tagen. Ein Punkt verdient besondere Aufmerksamkeit, weil er leicht übersehen wird. Auch Geschäftsdaten durchlaufen laut OpenAI automatisierte Inhaltsklassifizierer und Sicherheitstools („Abuse Monitoring“). OpenAI speichert Logs bis zu 30 Tage – oder auch länger, falls die Firma dazu verpflichtet wurde. Protokolle zur Missbrauchsüberwachung können bestimmte Kundeninhalte enthalten, wie etwa Prompts und Antworten, sowie aus diesen Kundeninhalten abgeleitete Metadaten, beispielsweise Klassifizierergebnisse. Standardmäßig werden für die Nutzung aller API-Funktionen Protokolle zur Missbrauchsüberwachung erstellt und bis zu 30 Tage lang gespeichert, sofern wir nicht gesetzlich verpflichtet sind, die Protokolle länger aufzubewahren. Für qualifizierte API- und Enterprise-Kunden bietet OpenAI zusätzlich Zero Data Retention (ZDR) an: OpenAI löscht die Daten nach der Verarbeitung, speichert sie nicht in Logs und lässt sie nicht von menschlichen Prüfern einsehen. Diese Vereinbarung („Enterprise agreement“) muss ein Unternehmen allerdings erst einmal mit OpenAI aushandeln. Aus unserer Erfahrung sind hierfür die Hürden hoch. Seit Anfang 2026 können Enterprise-Kunden ihre Daten in verschiedenen Regionen speichern, darunter Europa, und eigene Verschlüsselungsschlüssel verwalten (Enterprise Key Management). Fein abgestimmte Modelle gehören laut OpenAI ausschließlich dem jeweiligen Kunden und fließen nicht in andere Modelle ein. Trotzdem kein Grund zur Sorglosigkeit Dass die Consumer-Richtlinie formal nicht greift, heißt nicht, dass Unternehmen das Update ignorieren können: Viele Mitarbeitende nutzen ChatGPT auch privat oder mit persönlichen Konten im Arbeitskontext. Für sie gelten die neuen Consumer-Regeln vollständig, einschließlich Inhaltsüberwachung, Personalisierung und potenzieller Datenweitergabe an Dritte. Wer keine klare interne Richtlinie hat, welche Konten für geschäftliche Zwecke erlaubt sind, riskiert unkontrollierte Datenabflüsse. Managed Accounts und Zero Data Retention als Schutzmaßnahmen Unternehmen sollten sicherstellen, dass alle Mitarbeitenden ausschließlich über verwaltete Business-Konten oder die API auf OpenAI-Dienste zugreifen. Wer die API einsetzt, sollte prüfen, ob Zero Data Retention für sensible Anwendungsfälle in Frage kommt. Für Business- und API-Kunden bleiben die Schutzstandards hoch. Es lohnt sich allerdings, genau hinzusehen.

OpenAI-Datenschutzupdate: Was für Business- und API-Kunden gilt

heise KI PROKI VERSTEHEN UND ANWENDEN

heise KI PRO
KI VERSTEHEN UND ANWENDEN