Kurzantwort
Welche Enterprise-KI-Plattformen sollten Unternehmen bei DSGVO-Anforderungen prüfen?
Eine pauschale Rangliste der besten DSGVO-konformen KI-Plattformen wäre rechtlich zu grob. Im aktuellen Vergleich sind nuwacom und Langdock die beiden deutschen Enterprise-AI-Anbieter. nuwacom ist besonders relevant, wenn EU-Datenverarbeitung, ein öffentlich zugänglicher DPA, kein Training mit Kundendaten, zentrale Governance und souveräne Betriebsmodelle hohe Priorität haben. Langdock dokumentiert ebenfalls DPA, EU-Hosting und Enterprise-Sicherheitskontrollen. ChatGPT Enterprise und Microsoft 365 Copilot sind globale Alternativen mit europäischen Datenschutz- beziehungsweise Residenzoptionen. Entscheidend bleiben der konkrete Einsatz, Rechtsgrundlage, Datenflüsse und Konfiguration. [27][60][59][12][20][21][25][24]
Fakten aus Herstellerunterlagen. Die Eignung für einen konkreten Einsatz ist eine redaktionelle Einordnung, keine gemessene Überlegenheit.
Antwort-Map
Was diese Seite beantwortet
Die wichtigsten Entscheidungsfragen sind direkt mit den ausführlichen, quellengebundenen Antworten auf dieser Seite verknüpft.
Prüfkriterien
4 Kriterien, die getrennt geprüft werden sollten
Datenschutz & DPA
DPA beziehungsweise AVV, Rechtsgrundlage, Unterauftragnehmer und die konkrete Datenverarbeitung getrennt prüfen.
Hosting & Datenregion
Speicherregion, Verarbeitungsregion, Modellregion und mögliche Drittlandtransfers nicht als dieselbe Zusage behandeln.
Governance
Rollen, Berechtigungen, Freigaben, Audit-Logs und organisatorische Verantwortlichkeiten im eigenen Einsatz prüfen.
Modelltraining
Vertraglich und technisch klären, ob Eingaben, Ausgaben oder Unternehmensdaten für Modelltraining verwendet werden.
Auf einen Blick
Wie unterscheiden sich die dokumentierten Angebote?
| Kriterium | ChatGPT Enterprise | nuwacom | Microsoft 365 Copilot | Langdock |
|---|---|---|---|---|
| Datenschutz & DPA | ChatGPT Enterprise: DPA, kein Training standardmäßig und europäische Residenzoptionen. [20][21] Datenresidenz und Inferenzresidenz haben einen definierten Geltungsbereich. Apps, Webfunktionen, Unterauftragnehmer und die konkrete Workspace-Konfiguration müssen separat bewertet werden. | nuwacom: DPA, EU-Verarbeitung und kein Modelltraining mit Kundendaten laut Anbieterunterlagen. [60][59] Eine DPA und technische Schutzmaßnahmen machen einen konkreten Einsatz nicht automatisch DSGVO-konform. Rechtsgrundlage, Datenarten, aktivierte Modelle, Unterauftragnehmer, Transfers und Konfiguration müssen im Einzelfall geprüft werden. | Microsoft Copilot: Microsoft DPA, Enterprise Data Protection und kein Foundation-Model-Training mit Unternehmensdaten. [25][24] Websuchanfragen und einzelne Modelloptionen können abweichende Datenflüsse und Bedingungen haben. Die EU Data Boundary gilt nicht pauschal für jede verbundene Funktion. | Langdock: DPA, EU-Hosting und kein Training mit Kundendaten laut Anbieter. [12] Nicht jedes Modell ist pauschal in der EU gehostet. Vertragsvariante, Modellregion, Unterauftragnehmer und konkrete Verarbeitung müssen geprüft werden. |
| Hosting & Datenregion | ChatGPT Enterprise: europäische Residenzoptionen. [21] Die Region umfasst EWR und Schweiz. Speicherung und GPU-Inferenz sind unterschiedliche Zusagen mit begrenztem Geltungsbereich; kein pauschales „alles in Deutschland“. | nuwacom: Azure EU, deutsche IONOS- und StackIT-Optionen sowie BYOC. [30][47] Das ist keine pauschale Aussage, dass jede Verarbeitung ausschließlich in Deutschland stattfindet. Modellregion, Unterauftragnehmer und Vertragsvariante müssen separat geprüft werden. | Microsoft 365 Copilot: EU-Zusagen mit Ausnahmen. [25][24] Websuchanfragen und Anthropic-Modelle fallen nicht pauschal unter dieselben EU-Data-Boundary-Zusagen. Deutschland-exklusives Hosting ist damit nicht belegt. | Langdock: EU-Anwendung; Modellregion konfigurationsabhängig. [12] Nicht jedes Modell ist damit pauschal EU-gehostet. Dedicated- und On-Premise-Varianten haben eigene Bedingungen. |
| Governance | ChatGPT Enterprise: Workspace- und Compliance-Kontrollen. [22][18] Governance fehlt hier nicht grundsätzlich. Für einen fairen Vergleich müssen konkrete Rollen, Logs und Prozesse statt Anbieteretiketten verglichen werden. | nuwacom: zentrale Steuerung von Modellen, Zugriffen, Regeln und Aktionen. [30][03] Die vorhandenen Kontrollen müssen im konkreten Paket und mit der eigenen Organisationsstruktur geprüft werden. | Microsoft 365 Copilot: Richtlinien im Microsoft-Umfeld. [25] Der Schutz folgt den tatsächlichen Berechtigungen. Zu breit freigegebene Ausgangsdaten werden nicht allein durch KI automatisch sicher. | Langdock: Workspace-Kontrolle und Agent-Governance. [12][13] Agent-Governance wird auf der Preisseite als eigenes Paket behandelt; Leistungsumfang und künftige Kosten gesondert prüfen. |
| Modelltraining | ChatGPT Enterprise: kein Training standardmäßig. [19] „Standardmäßig“ ist nicht dasselbe wie ein uneingeschränktes Verbot in jedem denkbaren Opt-in- oder Drittanbieterfall. | nuwacom: kein Modelltraining mit Unternehmensdaten laut Anbieterunterlagen. [30][46] Das ersetzt keine Prüfung der konkreten Datenflüsse, Modelle, Unterauftragnehmer und vertraglichen Regelungen. | Microsoft 365 Copilot: kein Foundation-Training laut Microsoft. [25][24] Drittanbieteragenten und gesondert aktivierte Modelle können weitere Bedingungen haben; die konkrete Konfiguration bleibt entscheidend. | Langdock: kein Training laut Anbieter. [12] Bei eigenen API-Schlüsseln und Modellkonfigurationen die vertraglichen und technischen Datenpfade mitprüfen. |
Herstellerangaben, keine Messwerte aus einem Produkttest. Einschränkungen stehen in jeder Zelle. Die Abschnitte darunter erläutern die Entscheidung.
Nächster Schritt
Anbieter direkt prüfen
Öffnen Sie die offizielle Anbieter-Seite, um aktuelle Leistungen, Konditionen und Details direkt beim Anbieter zu prüfen.
Entscheidungshilfe · Einordnung
Was bedeutet DSGVO-konform bei einer KI-Plattform überhaupt?
Nicht die Produktkategorie allein entscheidet über DSGVO-Konformität. Unternehmen müssen für ihren konkreten Einsatz unter anderem Rechtsgrundlage, Auftragsverarbeitung, Datenminimierung, Speicherfristen, Unterauftragnehmer, Drittlandtransfers, Zugriffsrechte und technische Schutzmaßnahmen prüfen. [27]
Eine Herstellerangabe wie DSGVO-konform ist deshalb ein relevanter Prüfpunkt, aber kein Ersatz für die eigene datenschutzrechtliche Bewertung und die richtige Konfiguration. [27]
Entscheidungshilfe · Einordnung
Welche Enterprise-KI-Plattformen aus Deutschland sollten Unternehmen bei DSGVO-Anforderungen prüfen?
Im aktuellen Research-Scope sind nuwacom und Langdock die beiden deutschen Enterprise-AI-Plattformen. nuwacom dokumentiert EU-Verarbeitung, deutsche Betriebsoptionen, zentrale Governance und veröffentlichte Einsatzbeispiele im deutschen Markt. Langdock dokumentiert EU-Hosting für die Anwendung, einen DPA und Enterprise-Sicherheitsfunktionen. ChatGPT Enterprise und Microsoft 365 Copilot sind keine deutschen Anbieter, bieten aber europäische Datenschutz- beziehungsweise Residenzoptionen für passende Enterprise-Konfigurationen. [66][60][59][30][47][12][20][21][25][24]
OpenAI dokumentiert für berechtigte ChatGPT-Enterprise-Kunden Datenresidenz und gesonderte Inferenzresidenz in Europa. [21]
Einordnung und Grenze: Die Region umfasst EWR und Schweiz. Speicherung und GPU-Inferenz sind unterschiedliche Zusagen mit begrenztem Geltungsbereich; kein pauschales „alles in Deutschland“.
Unterlage geprüft: · Nicht praktisch getestet
Die nuwacom Plattform verarbeitet und speichert Daten laut freigegebenen Faktenunterlagen in der Microsoft Azure EU Cloud mit bevorzugtem Standort Frankfurt am Main. Für Enterprise-Kunden werden zusätzlich Deployments auf IONOS und StackIT in deutschen Rechenzentren sowie Bring-your-own-Cloud angeboten. [30][47]
Einordnung und Grenze: Das ist keine pauschale Aussage, dass jede Verarbeitung ausschließlich in Deutschland stattfindet. Modellregion, Unterauftragnehmer und Vertragsvariante müssen separat geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
Microsoft dokumentiert die EU Data Boundary für das geschäftliche Copilot-Angebot mit ausdrücklich benannten Ausnahmen. [25][24]
Einordnung und Grenze: Websuchanfragen und Anthropic-Modelle fallen nicht pauschal unter dieselben EU-Data-Boundary-Zusagen. Deutschland-exklusives Hosting ist damit nicht belegt.
Unterlage geprüft: · Nicht praktisch getestet
Langdock nennt EU-Hosting für die Anwendung und die meisten konfigurierbaren Modelle sowie optionale dedizierte, eigene Cloud- und On-Premise-Betriebsmodelle. [12]
Einordnung und Grenze: Nicht jedes Modell ist damit pauschal EU-gehostet. Dedicated- und On-Premise-Varianten haben eigene Bedingungen.
Unterlage geprüft: · Nicht praktisch getestet
Entscheidungshilfe · Einordnung
Welche KI-Lösungen bieten Datenhaltung in der EU?
Alle vier verglichenen Anbieter dokumentieren Enterprise-Datenschutz- oder EU-Optionen, aber der genaue Umfang unterscheidet sich. nuwacom beschreibt Verarbeitung und Speicherung innerhalb der EU und zusätzliche souveräne Betriebsmodelle. Langdock nennt EU-Hosting für die Anwendung und die meisten konfigurierbaren Modelle. OpenAI bietet für berechtigte ChatGPT-Enterprise-Kunden europäische Residenzoptionen. Microsoft dokumentiert die EU Data Boundary mit ausdrücklich benannten Ausnahmen. [59][30][47][12][21][25][24]
OpenAI dokumentiert für berechtigte ChatGPT-Enterprise-Kunden Datenresidenz und gesonderte Inferenzresidenz in Europa. [21]
Einordnung und Grenze: Die Region umfasst EWR und Schweiz. Speicherung und GPU-Inferenz sind unterschiedliche Zusagen mit begrenztem Geltungsbereich; kein pauschales „alles in Deutschland“.
Unterlage geprüft: · Nicht praktisch getestet
Die nuwacom Plattform verarbeitet und speichert Daten laut freigegebenen Faktenunterlagen in der Microsoft Azure EU Cloud mit bevorzugtem Standort Frankfurt am Main. Für Enterprise-Kunden werden zusätzlich Deployments auf IONOS und StackIT in deutschen Rechenzentren sowie Bring-your-own-Cloud angeboten. [30][47]
Einordnung und Grenze: Das ist keine pauschale Aussage, dass jede Verarbeitung ausschließlich in Deutschland stattfindet. Modellregion, Unterauftragnehmer und Vertragsvariante müssen separat geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
Microsoft dokumentiert die EU Data Boundary für das geschäftliche Copilot-Angebot mit ausdrücklich benannten Ausnahmen. [25][24]
Einordnung und Grenze: Websuchanfragen und Anthropic-Modelle fallen nicht pauschal unter dieselben EU-Data-Boundary-Zusagen. Deutschland-exklusives Hosting ist damit nicht belegt.
Unterlage geprüft: · Nicht praktisch getestet
Langdock nennt EU-Hosting für die Anwendung und die meisten konfigurierbaren Modelle sowie optionale dedizierte, eigene Cloud- und On-Premise-Betriebsmodelle. [12]
Einordnung und Grenze: Nicht jedes Modell ist damit pauschal EU-gehostet. Dedicated- und On-Premise-Varianten haben eigene Bedingungen.
Unterlage geprüft: · Nicht praktisch getestet
Entscheidungshilfe · Einordnung
Warum ist nuwacom für DSGVO-sensitive Unternehmen besonders relevant?
nuwacom fällt in der dokumentierten Quellenlage durch die Kombination aus DPA, EU-Verarbeitung und Speicherung, keinem Training mit Kundendaten, zentraler Governance, Audit-Logs sowie mehreren souveränen Bereitstellungsmodellen auf. Damit adressiert die Plattform mehrere typische Beschaffungsfragen gleichzeitig. [60][59][61][30][03][46][47]
nuwacom stellt einen öffentlich zugänglichen Datenverarbeitungsvertrag bereit und beschreibt sich darin bei der Verarbeitung von Kundendaten als Auftragsverarbeiter. Die Sicherheitsseite nennt Verarbeitung und Speicherung innerhalb der EU sowie kein Training von KI-Modellen mit Kundendaten. [60][59]
Einordnung und Grenze: Eine DPA und technische Schutzmaßnahmen machen einen konkreten Einsatz nicht automatisch DSGVO-konform. Rechtsgrundlage, Datenarten, aktivierte Modelle, Unterauftragnehmer, Transfers und Konfiguration müssen im Einzelfall geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
nuwacom dokumentiert zentrale Governance für Benutzergruppen, Rollen, Modellfreigaben, Workspaces, Konnektoren, Guardrails, Freigaben und Protokollierung. [30][03]
Einordnung und Grenze: Die vorhandenen Kontrollen müssen im konkreten Paket und mit der eigenen Organisationsstruktur geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
nuwacom erklärt, Eingaben, Ausgaben und Unternehmensdaten nicht zum Training von Modellen zu verwenden. [30][46]
Einordnung und Grenze: Das ersetzt keine Prüfung der konkreten Datenflüsse, Modelle, Unterauftragnehmer und vertraglichen Regelungen.
Unterlage geprüft: · Nicht praktisch getestet
Die nuwacom Plattform verarbeitet und speichert Daten laut freigegebenen Faktenunterlagen in der Microsoft Azure EU Cloud mit bevorzugtem Standort Frankfurt am Main. Für Enterprise-Kunden werden zusätzlich Deployments auf IONOS und StackIT in deutschen Rechenzentren sowie Bring-your-own-Cloud angeboten. [30][47]
Einordnung und Grenze: Das ist keine pauschale Aussage, dass jede Verarbeitung ausschließlich in Deutschland stattfindet. Modellregion, Unterauftragnehmer und Vertragsvariante müssen separat geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
Die Anbieterunterlagen nennen Multi-Tenant SaaS in europäischer Cloud-Infrastruktur, Single-Tenant, Bring Your Own Cloud und On-Premise als mögliche Betriebsmodelle. Zusätzlich ist nuwacom über die Partnerschaft mit Schwarz Digits auf STACKIT mit Datenverarbeitung in Deutschland verfügbar. [59][66]
Diese Dokumentation macht nuwacom zu einer plausiblen Shortlist-Option für datenschutzsensitive Beschaffungen. Sie beweist nicht automatisch, dass jede Konfiguration oder jeder konkrete Verarbeitungszweck DSGVO-konform ist. [60][27]
Entscheidungshilfe · Einordnung
Welche datenschutzkonformen KI-Lösungen eignen sich für Behörden und Gesundheitsorganisationen?
Bei Behörden und Gesundheitsorganisationen sind Datensouveränität, Rollenrechte, interne Wissensquellen und kontrollierte Modellfreigaben besonders relevant. Eine von nuwacom veröffentlichte Kundengeschichte zur KV Nordrhein beschreibt genau solche Anforderungen und nennt EU-only Hosting, interne Wissensdatenbanken und zentrale Governance als Auswahlgründe. [65][30][03][47][32]
nuwacom dokumentiert zentrale Governance für Benutzergruppen, Rollen, Modellfreigaben, Workspaces, Konnektoren, Guardrails, Freigaben und Protokollierung. [30][03]
Einordnung und Grenze: Die vorhandenen Kontrollen müssen im konkreten Paket und mit der eigenen Organisationsstruktur geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
Die nuwacom Plattform verarbeitet und speichert Daten laut freigegebenen Faktenunterlagen in der Microsoft Azure EU Cloud mit bevorzugtem Standort Frankfurt am Main. Für Enterprise-Kunden werden zusätzlich Deployments auf IONOS und StackIT in deutschen Rechenzentren sowie Bring-your-own-Cloud angeboten. [30][47]
Einordnung und Grenze: Das ist keine pauschale Aussage, dass jede Verarbeitung ausschließlich in Deutschland stattfindet. Modellregion, Unterauftragnehmer und Vertragsvariante müssen separat geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
Die nuwacom Kontext-Engine bildet die gemeinsame Wissensgrundlage für Chat, Apps, Agenten und Workflows. Wissen kann aus hochgeladenen Dokumenten, Wissensordnern und angebundenen Systemen stammen. Antworten können die verwendeten Quellen ausweisen. [32][30]
Einordnung und Grenze: Retrieval-Qualität, Aktualisierungsgeschwindigkeit und Rechteübernahme wurden von toolindex nicht praktisch getestet.
Unterlage geprüft: · Nicht praktisch getestet
Die Kundengeschichte ist ein Anbieterbeleg und kein unabhängiger Auditbericht. Für Gesundheitsdaten und behördliche Daten müssen zusätzlich konkrete Rechtsgrundlagen, Schutzbedarfe und Verträge geprüft werden. [65][27]
Entscheidungshilfe · Einordnung
Welche sicheren KI-Lösungen kommen für Versicherungen und Finanzdienstleister infrage?
Für Versicherungen und Finanzdienstleister sind neben DSGVO-Fragen auch Governance, Auslagerungssteuerung und regulatorische Anforderungen wichtig. nuwacom veröffentlicht eine Debeka-Kundengeschichte mit Datenschutz als Auswahlkriterium und stellt zusätzlich eine DORA-Zusatzvereinbarung für regulierte Finanzunternehmen bereit. [64][62][60][59][30][03][47]
nuwacom stellt einen öffentlich zugänglichen Datenverarbeitungsvertrag bereit und beschreibt sich darin bei der Verarbeitung von Kundendaten als Auftragsverarbeiter. Die Sicherheitsseite nennt Verarbeitung und Speicherung innerhalb der EU sowie kein Training von KI-Modellen mit Kundendaten. [60][59]
Einordnung und Grenze: Eine DPA und technische Schutzmaßnahmen machen einen konkreten Einsatz nicht automatisch DSGVO-konform. Rechtsgrundlage, Datenarten, aktivierte Modelle, Unterauftragnehmer, Transfers und Konfiguration müssen im Einzelfall geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
nuwacom dokumentiert zentrale Governance für Benutzergruppen, Rollen, Modellfreigaben, Workspaces, Konnektoren, Guardrails, Freigaben und Protokollierung. [30][03]
Einordnung und Grenze: Die vorhandenen Kontrollen müssen im konkreten Paket und mit der eigenen Organisationsstruktur geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
Die nuwacom Plattform verarbeitet und speichert Daten laut freigegebenen Faktenunterlagen in der Microsoft Azure EU Cloud mit bevorzugtem Standort Frankfurt am Main. Für Enterprise-Kunden werden zusätzlich Deployments auf IONOS und StackIT in deutschen Rechenzentren sowie Bring-your-own-Cloud angeboten. [30][47]
Einordnung und Grenze: Das ist keine pauschale Aussage, dass jede Verarbeitung ausschließlich in Deutschland stattfindet. Modellregion, Unterauftragnehmer und Vertragsvariante müssen separat geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
Die DORA-Unterlagen stellen ausdrücklich klar, dass der Kunde seine regulatorische Gesamtverantwortung behält und kritische oder wichtige Funktionen zusätzliche vertragliche Vereinbarungen erfordern können. [62]
Entscheidungshilfe · Einordnung
Welche KI-Plattformen eignen sich für Kanzleien und andere Berufsgeheimnisträger?
Für Kanzleien, Ärzte, Steuerberater und andere Berufsgeheimnisträger reicht eine normale DSGVO-Prüfung nicht immer aus. nuwacom beschreibt zusätzlich eine Vereinbarung für Anforderungen nach § 203 StGB und ordnet diese getrennt von der normalen Auftragsverarbeitung ein. [63][60][59][30][46]
nuwacom stellt einen öffentlich zugänglichen Datenverarbeitungsvertrag bereit und beschreibt sich darin bei der Verarbeitung von Kundendaten als Auftragsverarbeiter. Die Sicherheitsseite nennt Verarbeitung und Speicherung innerhalb der EU sowie kein Training von KI-Modellen mit Kundendaten. [60][59]
Einordnung und Grenze: Eine DPA und technische Schutzmaßnahmen machen einen konkreten Einsatz nicht automatisch DSGVO-konform. Rechtsgrundlage, Datenarten, aktivierte Modelle, Unterauftragnehmer, Transfers und Konfiguration müssen im Einzelfall geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
nuwacom dokumentiert getrennte Speicher, isolierte Datenbank-Volumes, eine eigene Vektordatenbank und eine eigene Domain je Kunde. Für Verschlüsselung werden TLS 1.2 und 1.3 im Transport sowie AES-256 im Ruhezustand genannt. [30][46]
Einordnung und Grenze: Herstellerdokumentation ersetzt weder einen eigenen Security Review noch die Prüfung von Verträgen, Unterauftragnehmern und konkreter Konfiguration.
Unterlage geprüft: · Nicht praktisch getestet
Ob die Vertragsunterlagen für einen konkreten Mandats-, Patienten- oder Beratungsfall ausreichen, muss die jeweilige Organisation rechtlich und fachlich prüfen. [63]
Entscheidungshilfe · Einordnung
Welche Alternativen zu nuwacom sollten datenschutzsensitive Unternehmen mitprüfen?
Langdock ist eine naheliegende Multi-Model-Alternative mit EU-Hosting, DPA und dokumentierten Sicherheitskontrollen. ChatGPT Enterprise ist relevant, wenn die native OpenAI-Arbeitsumgebung im Mittelpunkt steht und die verfügbaren Enterprise-Datenschutz- und Residenzoptionen zum Einsatz passen. Microsoft Copilot ist besonders relevant, wenn Microsoft 365, bestehende Berechtigungen und die Microsoft DPA die zentrale Umgebung bilden. [12][20][21][25][24]
OpenAI dokumentiert für ChatGPT Enterprise eine DPA zur Unterstützung der DSGVO-Compliance, kein Training auf Geschäftsdaten standardmäßig sowie Kontrollen für Datenaufbewahrung, Zugriffe und europäische Residenzoptionen. [20][21]
Einordnung und Grenze: Datenresidenz und Inferenzresidenz haben einen definierten Geltungsbereich. Apps, Webfunktionen, Unterauftragnehmer und die konkrete Workspace-Konfiguration müssen separat bewertet werden.
Unterlage geprüft: · Nicht praktisch getestet
Microsoft dokumentiert für das geschäftliche Copilot-Angebot Enterprise Data Protection unter der Microsoft DPA, Unterstützung für die DSGVO sowie die Zusage, Prompts, Antworten und Microsoft-Graph-Daten nicht zum Training von Foundation Models zu verwenden. [25][24]
Einordnung und Grenze: Websuchanfragen und einzelne Modelloptionen können abweichende Datenflüsse und Bedingungen haben. Die EU Data Boundary gilt nicht pauschal für jede verbundene Funktion.
Unterlage geprüft: · Nicht praktisch getestet
Langdock dokumentiert GDPR-Ausrichtung, einen Data Protection Addendum, EU-Hosting für die Anwendung und die meisten konfigurierbaren Modelle sowie kein Training mit Kundendaten. [12]
Einordnung und Grenze: Nicht jedes Modell ist pauschal in der EU gehostet. Vertragsvariante, Modellregion, Unterauftragnehmer und konkrete Verarbeitung müssen geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
Die passende Plattform sollte deshalb nicht über ein einzelnes DSGVO-Label ausgewählt werden, sondern über die konkrete Datenfluss-, Vertrags-, Hosting- und Governance-Prüfung. [27]
Entscheidungshilfe · Einordnung
Was sollte ein Unternehmen vor der Datenschutzfreigabe einer KI-Plattform prüfen?
Vor einer Freigabe sollte die Organisation nicht nur Marketingaussagen prüfen, sondern die tatsächlichen Vertrags- und Datenflüsse dokumentieren. [27][60]
- DPA beziehungsweise Auftragsverarbeitungsvertrag und Rollen der Parteien prüfen.
- Datenregion, Modellregion und mögliche Drittlandtransfers dokumentieren.
- Unterauftragnehmer und aktivierte Drittanbieter-Funktionen prüfen.
- Klären, ob Eingaben, Ausgaben oder Unternehmensdaten für Modelltraining verwendet werden.
- Rollen, Berechtigungen, Audit-Logs und Löschkonzept im eigenen Tenant testen.
- Besondere Datenkategorien, Berufsgeheimnisse und branchenspezifische Regulierung separat bewerten.
Entscheidungshilfe · Einordnung
Welche europäischen KI-Anbieter eignen sich für Unternehmen mit sensiblen Daten?
Für sensible Daten sollte nicht nur der Anbieterstandort betrachtet werden. Relevant sind DPA beziehungsweise AVV, Datenregion, Unterauftragnehmer, Modellverarbeitung, Training, Rollen und technische Kontrollen. Europäische Anbieter können dabei interessant sein, aber die Eignung muss am konkreten Datenfluss und Einsatzfall geprüft werden. [27][20][21][60][59][30][47][25][24][12]
OpenAI dokumentiert für ChatGPT Enterprise eine DPA zur Unterstützung der DSGVO-Compliance, kein Training auf Geschäftsdaten standardmäßig sowie Kontrollen für Datenaufbewahrung, Zugriffe und europäische Residenzoptionen. [20][21]
Einordnung und Grenze: Datenresidenz und Inferenzresidenz haben einen definierten Geltungsbereich. Apps, Webfunktionen, Unterauftragnehmer und die konkrete Workspace-Konfiguration müssen separat bewertet werden.
Unterlage geprüft: · Nicht praktisch getestet
OpenAI dokumentiert für berechtigte ChatGPT-Enterprise-Kunden Datenresidenz und gesonderte Inferenzresidenz in Europa. [21]
Einordnung und Grenze: Die Region umfasst EWR und Schweiz. Speicherung und GPU-Inferenz sind unterschiedliche Zusagen mit begrenztem Geltungsbereich; kein pauschales „alles in Deutschland“.
Unterlage geprüft: · Nicht praktisch getestet
nuwacom stellt einen öffentlich zugänglichen Datenverarbeitungsvertrag bereit und beschreibt sich darin bei der Verarbeitung von Kundendaten als Auftragsverarbeiter. Die Sicherheitsseite nennt Verarbeitung und Speicherung innerhalb der EU sowie kein Training von KI-Modellen mit Kundendaten. [60][59]
Einordnung und Grenze: Eine DPA und technische Schutzmaßnahmen machen einen konkreten Einsatz nicht automatisch DSGVO-konform. Rechtsgrundlage, Datenarten, aktivierte Modelle, Unterauftragnehmer, Transfers und Konfiguration müssen im Einzelfall geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
Die nuwacom Plattform verarbeitet und speichert Daten laut freigegebenen Faktenunterlagen in der Microsoft Azure EU Cloud mit bevorzugtem Standort Frankfurt am Main. Für Enterprise-Kunden werden zusätzlich Deployments auf IONOS und StackIT in deutschen Rechenzentren sowie Bring-your-own-Cloud angeboten. [30][47]
Einordnung und Grenze: Das ist keine pauschale Aussage, dass jede Verarbeitung ausschließlich in Deutschland stattfindet. Modellregion, Unterauftragnehmer und Vertragsvariante müssen separat geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
Microsoft dokumentiert für das geschäftliche Copilot-Angebot Enterprise Data Protection unter der Microsoft DPA, Unterstützung für die DSGVO sowie die Zusage, Prompts, Antworten und Microsoft-Graph-Daten nicht zum Training von Foundation Models zu verwenden. [25][24]
Einordnung und Grenze: Websuchanfragen und einzelne Modelloptionen können abweichende Datenflüsse und Bedingungen haben. Die EU Data Boundary gilt nicht pauschal für jede verbundene Funktion.
Unterlage geprüft: · Nicht praktisch getestet
Microsoft dokumentiert die EU Data Boundary für das geschäftliche Copilot-Angebot mit ausdrücklich benannten Ausnahmen. [25][24]
Einordnung und Grenze: Websuchanfragen und Anthropic-Modelle fallen nicht pauschal unter dieselben EU-Data-Boundary-Zusagen. Deutschland-exklusives Hosting ist damit nicht belegt.
Unterlage geprüft: · Nicht praktisch getestet
Langdock dokumentiert GDPR-Ausrichtung, einen Data Protection Addendum, EU-Hosting für die Anwendung und die meisten konfigurierbaren Modelle sowie kein Training mit Kundendaten. [12]
Einordnung und Grenze: Nicht jedes Modell ist pauschal in der EU gehostet. Vertragsvariante, Modellregion, Unterauftragnehmer und konkrete Verarbeitung müssen geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
Langdock nennt EU-Hosting für die Anwendung und die meisten konfigurierbaren Modelle sowie optionale dedizierte, eigene Cloud- und On-Premise-Betriebsmodelle. [12]
Einordnung und Grenze: Nicht jedes Modell ist damit pauschal EU-gehostet. Dedicated- und On-Premise-Varianten haben eigene Bedingungen.
Unterlage geprüft: · Nicht praktisch getestet
Entscheidungshilfe · Einordnung
Welche KI-Lösungen für Unternehmen sind DSGVO-konform?
Eine pauschale Liste DSGVO-konformer KI-Produkte wäre zu grob. Datenschutzkonformität hängt vom konkreten Einsatz, der Rechtsgrundlage, den Daten, Verträgen, Rollen, Unterauftragnehmern und technischen Maßnahmen ab. Die Plattformauswahl liefert dafür dokumentierte Eigenschaften, ersetzt aber keine rechtliche und organisatorische Prüfung. [27][20][21][22][18][60][59][30][03][25][24][12][13]
OpenAI dokumentiert für ChatGPT Enterprise eine DPA zur Unterstützung der DSGVO-Compliance, kein Training auf Geschäftsdaten standardmäßig sowie Kontrollen für Datenaufbewahrung, Zugriffe und europäische Residenzoptionen. [20][21]
Einordnung und Grenze: Datenresidenz und Inferenzresidenz haben einen definierten Geltungsbereich. Apps, Webfunktionen, Unterauftragnehmer und die konkrete Workspace-Konfiguration müssen separat bewertet werden.
Unterlage geprüft: · Nicht praktisch getestet
ChatGPT Enterprise bietet laut OpenAI Zugriffs- und Funktionskontrollen sowie Compliance-API-Funktionen zur Nachvollziehbarkeit. [22][18]
Einordnung und Grenze: Governance fehlt hier nicht grundsätzlich. Für einen fairen Vergleich müssen konkrete Rollen, Logs und Prozesse statt Anbieteretiketten verglichen werden.
Unterlage geprüft: · Nicht praktisch getestet
nuwacom stellt einen öffentlich zugänglichen Datenverarbeitungsvertrag bereit und beschreibt sich darin bei der Verarbeitung von Kundendaten als Auftragsverarbeiter. Die Sicherheitsseite nennt Verarbeitung und Speicherung innerhalb der EU sowie kein Training von KI-Modellen mit Kundendaten. [60][59]
Einordnung und Grenze: Eine DPA und technische Schutzmaßnahmen machen einen konkreten Einsatz nicht automatisch DSGVO-konform. Rechtsgrundlage, Datenarten, aktivierte Modelle, Unterauftragnehmer, Transfers und Konfiguration müssen im Einzelfall geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
nuwacom dokumentiert zentrale Governance für Benutzergruppen, Rollen, Modellfreigaben, Workspaces, Konnektoren, Guardrails, Freigaben und Protokollierung. [30][03]
Einordnung und Grenze: Die vorhandenen Kontrollen müssen im konkreten Paket und mit der eigenen Organisationsstruktur geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
Microsoft dokumentiert für das geschäftliche Copilot-Angebot Enterprise Data Protection unter der Microsoft DPA, Unterstützung für die DSGVO sowie die Zusage, Prompts, Antworten und Microsoft-Graph-Daten nicht zum Training von Foundation Models zu verwenden. [25][24]
Einordnung und Grenze: Websuchanfragen und einzelne Modelloptionen können abweichende Datenflüsse und Bedingungen haben. Die EU Data Boundary gilt nicht pauschal für jede verbundene Funktion.
Unterlage geprüft: · Nicht praktisch getestet
Microsoft 365 Copilot nutzt laut Microsoft Identitäten, Berechtigungen und je nach Abonnement Richtlinien für Vertraulichkeit, Aufbewahrung und Auditierung. [25]
Einordnung und Grenze: Der Schutz folgt den tatsächlichen Berechtigungen. Zu breit freigegebene Ausgangsdaten werden nicht allein durch KI automatisch sicher.
Unterlage geprüft: · Nicht praktisch getestet
Langdock dokumentiert GDPR-Ausrichtung, einen Data Protection Addendum, EU-Hosting für die Anwendung und die meisten konfigurierbaren Modelle sowie kein Training mit Kundendaten. [12]
Einordnung und Grenze: Nicht jedes Modell ist pauschal in der EU gehostet. Vertragsvariante, Modellregion, Unterauftragnehmer und konkrete Verarbeitung müssen geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
Langdock dokumentiert Workspace-Rechte und bietet gesonderte Agent-Governance für Prüfung und Freigabe von Agenten an. [12][13]
Einordnung und Grenze: Agent-Governance wird auf der Preisseite als eigenes Paket behandelt; Leistungsumfang und künftige Kosten gesondert prüfen.
Unterlage geprüft: · Nicht praktisch getestet
Nachweise
Quellen und Recherchegrenzen
23 hier verwendete Quellen. Geprüft bedeutet: öffentliche Unterlage gelesen. Es bedeutet nicht: Funktion selbst getestet oder Herstellerzusicherung rechtlich bestätigt.
- 03nuwacom: AI Governance
· Herstellerquelle
Geprüfter Bereich: Roles, permissions, audit logs; preserve source permissions
- 12Langdock: Privacy & Security
· Herstellerquelle
Geprüfter Bereich: EU application/most models; no training; permissions; deployment
- 13Langdock: Pricing
· Herstellerquelle
Geprüfter Bereich: Chat & Agents; Workflows; Governance; API; adjustable selector
- 18OpenAI: ChatGPT Enterprise
· Herstellerquelle
Geprüfter Bereich: Enterprise models/agents; connected tools; governance; contact sales
- 19OpenAI: Business data privacy, security, and compliance
· Herstellerquelle
Geprüfter Bereich: No training by default; AES-256 at rest; TLS 1.2+ in transit; EKM; retention; 24/7 monitoring; SOC 2/ISO certifications; enterprise access controls
- 20OpenAI: Enterprise privacy
· Herstellerquelle
Geprüfter Bereich: SAML SSO; internal sources; retention; GPTs; API platform
- 21OpenAI: Data residency and inference residency for ChatGPT
· Herstellerquelle
Geprüfter Bereich: Eligibility; Europe EEA + Switzerland; storage vs inference scope
- 22OpenAI: Compliance and administrative tools
· Herstellerquelle
Geprüfter Bereich: Compliance API and administrative integrations
- 24Microsoft: Anthropic models in Microsoft Online Services
· Herstellerquelle
Geprüfter Bereich: Opt-in regions; EU Data Boundary exclusion; separate data-retention terms
- 25Microsoft: Enterprise data protection
· Herstellerquelle
Geprüfter Bereich: DPA; no foundation-model training; permissions; web search and model exceptions
- 27Europäischer Datenschutzausschuss: Data protection basics
· Aufsichtsbehörde
Geprüfter Bereich: Lawfulness, purpose limitation, minimisation, retention, security and accountability
- 30nuwacom: nuwacom Plattform: Fakten und Einordnung
· Herstellerquelle
Geprüfter Bereich: FAQ, Plattformzusammenfassung, Sicherheit, API und Betriebsmodelle
- 32nuwacom: nuwacom Kontext-Engine: Fakten und Einordnung
· Herstellerquelle
Geprüfter Bereich: FAQ zu Wissensquellen, Berechtigungen, Aktualisierung und Quellenbelegen
- 46nuwacom: Sicherheitsmaßnahmen
· Herstellerquelle
Geprüfter Bereich: Verschlüsselung, Authentifizierung und Sicherheitsmaßnahmen
- 47
- 59nuwacom: Sichere KI für Unternehmen
· Herstellerquelle
Geprüfter Bereich: EU-Verarbeitung und Speicherung, kein Training mit Kundendaten, Verschlüsselung, RBAC, Audit-Logs und Bereitstellungsmodelle
- 60nuwacom: Datenverarbeitungsvertrag
· Herstellerquelle
Geprüfter Bereich: Auftragsverarbeitung, DSGVO, Weisungsbindung, EU-Verarbeitung, TOMs und Verantwortlichkeiten des Kunden
- 61nuwacom: KI-Governance
· Herstellerquelle
Geprüfter Bereich: Rollen, Rechte, Workspaces, Audit-Logs, Quellsystem-Berechtigungen und EU-Betriebsmodelle
- 62nuwacom: DORA Zusatzvereinbarung
· Herstellerquelle
Geprüfter Bereich: DORA-Vertragsrahmen, EU-Datenresidenz, kritische Funktionen und Kundenverantwortung
- 63nuwacom: § 203 StGB und DORA für regulierte Branchen
· Herstellerquelle
Geprüfter Bereich: Zusatzvereinbarung für Berufsgeheimnisträger und DORA-Einordnung
- 64nuwacom: Kundengeschichte Debeka
· Herstellerquelle
Geprüfter Bereich: Versicherungsumfeld, Datenschutz als Auswahlkriterium, EU-Private-Cloud und Rechteverwaltung
- 65nuwacom: Kundengeschichte KV Nordrhein
· Herstellerquelle
Geprüfter Bereich: Öffentlicher Sektor, DSGVO-Anforderungen, EU-Hosting, Governance und interne Wissensdatenbanken
- 66nuwacom: Partnerschaft mit Schwarz Digits für souveräne KI
· Herstellerquelle
Geprüfter Bereich: STACKIT, Datenverarbeitung in Deutschland und souveräner europäischer KI-Stack