Gemini und ChatGPT im Datenschutz-Check: Wo Eingaben von Nutzern landen

Ein Prompt ist schnell getippt: eine Vertragsklausel, eine Kundenliste, der Entwurf für die nächste Mitteilung. Was danach mit dieser Eingabe geschieht, entscheidet sich nicht im Chatfenster, sondern bei Kontoart, Voreinstellung und Vertragslage. Ein Blick auf Gemini und ChatGPT zeigt, wo die Unterschiede liegen.

Standardeinstellungen bei Gemini und ChatGPT

So viel also zu Gemini: Ob etwas gespeichert wird, hängt hier stark von der Einstellung „Aktivitäten speichern“ ab. Wie die Hilfeseite von Google zu Gemini-Aktivitäten sagt, landen Eingaben bei aktiver Einstellung im Google-Konto. Bei Arbeits- und Schulkonten bestimmt der Workspace-Administrator die Regeln, Nutzer können sie in der Regel nicht selbst abändern. Wer die Speicherung abschaltet, ist allerdings auch nicht ganz raus: Google hält nach Angaben von TechCrunch Unterhaltungen bis zu 72 Stunden vor.

Bei OpenAI gilt für Free, Plus und Pro standardmäßig die Datenfreigabe, wie der Hilfeartikel von OpenAI zum Modelltraining erklärt. Der Widerspruch läuft über die Datenkontrollen. Bei Business, Enterprise, Edu und der API trainiert OpenAI standardmäßig nicht mit Eingaben.




Wer Eingaben gar nicht erst an US-Dienste geben will, vergleicht Alternativen. Eine ChatGPT-Alternative aus Deutschland wie souveraen.ai der clouditiv GmbH läuft laut Anbieter in deutschen Rechenzentren, bietet ab dem Pro-Tarif einen Vertrag zur Auftragsverarbeitung und nutzt Inhalte der Kunden nicht zum Training.

Serverstandort und Zugriffsschutz sind zwei Fragen

Ein Rechenzentrum in der EU beantwortet nur die erste. Der US CLOUD Act verpflichtet Anbieter unter US-Recht, Daten unter ihrer Kontrolle auf behördliche Anordnung herauszugeben. Der Zugriff ist auch dann möglich, wenn die Daten ausschließlich in der EU verarbeitet werden.

Der Europäische Datenschutzausschuss sieht darin einen Widerspruch zu Art. 48 DSGVO, wie CMS Deutschland zur Position des EDSA zusammenfasst. Eine Übermittlung an US-Behörden ist demnach nur in engen Grenzen zulässig. Maßgeblich sei die Kontrolle über die Daten, nicht der Standort, erläutert Kiteworks. Ein US-Anbieter mit Rechenzentrum in Frankfurt bleibt ein US-Unternehmen.

Für Kunden hat das eine vertragliche Seite. Mit einem ordnungsgemäßen Auftragsverarbeitungsvertrag darf der Anbieter Daten nur auf dokumentierte Weisung verarbeiten. Entscheidet er eigenständig, einer Anordnung nach dem CLOUD Act zu folgen, wird er nach Art. 28 Abs. 10 DSGVO selbst zum Verantwortlichen und haftet für die Folgen. Für den Kunden bleibt es dennoch ein Risiko, denn eine Offenlegung kann mit einer Geheimhaltungsanordnung verbunden sein, die den Anbieter zum Schweigen verpflichtet.

Das Data Privacy Framework: tragfähig, aber nicht endgültig

Für Datenübermittlungen in die USA stützen sich viele Unternehmen auf das EU-US Data Privacy Framework, einen Angemessenheitsbeschluss nach Art. 45 DSGVO. Das Gericht der EU wies am 3. September 2025 die Klage des Abgeordneten Philippe Latombe dagegen ab (Rechtssache T-553/23), wie der European Law Blog zum Urteil darstellt. Die beiden Vorgänger Safe Harbor und Privacy Shield hatte der EuGH zuvor gekippt.




Latombe kündigte Berufung an, berichtet heise. Ob der Beschluss langfristig hält, klärt also der EuGH. Zudem löst das Framework laut Kiteworks das CLOUD-Act-Risiko nicht, weil vertragliche Instrumente wie Standardvertragsklauseln gegenüber US-Anordnungen keine rechtliche Wirkung entfalten.

Was Unternehmen vor der Freigabe eines KI-Tools prüfen sollten

Fünf Punkte lassen sich in einer Stunde klären:

• Kontoart: Privates Konto oder Business-Tarif? Davon hängt die Trainingsvoreinstellung ab.
• Vertrag: Liegt ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vor? Der Anbieter darf dann nur auf dokumentierte Weisung handeln.
• Rechtsraum: Wo sitzt der Anbieter, und unter welches Recht fällt er?
• Speicherdauer: Wie lange bleiben Eingaben gespeichert, auch bei abgeschalteter Historie?
• Nachprüfbarkeit: Nennt das Tool Quellen für seine Antworten, sodass Teams sie kontrollieren können?

Am Anfang steht eine Bestandsaufnahme. Welche KI-Dienste nutzen Teams bereits, über welche Konten, mit welchen Daten? Erst mit dieser Liste lässt sich entscheiden, ob Einstellungen genügen oder ob ein Wechsel des Anbieters sinnvoll ist.

---

---