Wo die Daten liegen und wie lange

Wer ein Sprachmodell über eine Schnittstelle nutzt, gibt Text aus der Hand. Ob der Anbieter damit trainieren darf und wer das Modell betreibt, klärt Kapitel 01. Dieses Kapitel fragt danach, was mit dem Text geschieht, solange er beim Anbieter liegt: an welchem Ort er gespeichert wird, an welchem er verarbeitet wird, wie lange er bleibt und mit wem darüber ein Vertrag besteht. Jede der großen Dokumentationen führt diese Angaben getrennt, und wer sie zusammenzieht, liest eine Zusage heraus, die dort nicht steht.

Speichern und Rechnen sind zwei Orte

Google schreibt die Trennung in der Doku zur Datenresidenz (externe Seite, docs.cloud.google.com) in zwei auf­ein­an­der­fol­gende Sätze. Der erste betrifft das, was liegen bleibt: Gespeicherte Daten bleiben an dem Ort, den der Kunde gewählt hat.

Der zweite betrifft die Verarbeitung, und zwar dann, wenn die Anfrage an einen globalen Endpunkt geht. Sie kann dann an jedem Standort von Google Cloud auf der Welt gerechnet werden, und eine Zusage zum Ort gibt es für sie nicht.

Ein Projekt mit Speicherort Frankfurt kann also Anfragen haben, die in einem ganz anderen Erdteil gerechnet werden. Beides ist eine eigene Einstellung.

Anthropic führt für die eigene Schnittstelle ebenfalls zwei Einstellungen, eine für das Rechnen und eine für das Speichern. Voreingestellt ist laut der Doku zur Datenresidenz (externe Seite, platform.claude.com) beim Rechnen jedes verfügbare Gebiet, ausgewählt nach Leistung und Verfügbarkeit.

Die einzige Alternative dazu sind die USA. Beim Speicherort stehen derzeit nur die USA zur Wahl. Eine europäische Wahl bietet Anthropic direkt bei keiner der beiden Einstellungen an. Über einen der großen Betreiber sieht das anders aus, das steht in Kapitel 01.

Die Region gilt für den Inhalt

Wer eine Region wählt, bindet damit den Inhalt der Anfragen, also Eingaben und Ausgaben. Was drumherum anfällt, gehört nicht dazu. OpenAI schreibt in der Anleitung zu den Datenkontrollen (externe Seite, developers.openai.com) ausdrücklich, dass die gewählte Region nicht für Systemdaten gilt; die können außerhalb verarbeitet und gespeichert werden.

Zu diesen Systemdaten zählt dieselbe Seite Kontodaten, Metadaten und Nutzungsdaten, darunter Abrechnung und Supportanfragen. Sie zeigen, wer wann wie viel mit welchem Modell gearbeitet hat, und sie liegen dort, wo der Anbieter sie führt.

Dazu kommt ein zweiter Rand. Anthropic nennt auf der Hilfeseite zum Serverstandort (externe Seite, privacy.claude.com) für interne Zwecke eigene Orte: Für Sicher­heits­prü­fungen, Produktsupport oder die Bearbeitung von Vorfällen können Daten in jedem Land verarbeitet werden, in dem Anthropic oder ein verbundenes Unternehmen tätig ist.

Eine Sicher­heits­prü­fung, eine Supportanfrage oder ein Vorfall kann den Text also an einen Ort bringen, den keine Einstellung festlegt.

Der Speicher, der ohne Training entsteht

Die bekannteste Zusage lautet, dass mit den Daten nicht trainiert wird. Sie sagt nichts darüber, ob die Daten gespeichert werden. Viele Anbieter halten Eingaben eine Zeit lang vor, um Missbrauch zu erkennen, und diese Frist steht neben der Trainingsfrage. OpenAI beziffert sie in der Anleitung zu den Datenkontrollen (externe Seite, developers.openai.com) für die Schnittstelle: Voreingestellt entstehen bei jeder Funktion Protokolle zur Miss­brauchs­prü­fung, die bis zu 30 Tage bleiben. Länger bleiben sie, wenn ein Gesetz es verlangt oder wenn es nach vernünftigem Ermessen nötig ist, um die Dienste oder Dritte vor Schaden zu schützen.

Die Angabe hat zwei Teile, und der zweite ist der wichtigere: Die 30 Tage sind eine Obergrenze für den Regelfall. Bei Anthropic steht die Ausnahme als eigene Zahl da, und sie gilt ausdrücklich auch für Kunden, die einen Betrieb ohne Speicherung vereinbart haben. Nach der Doku zur Datenaufbewahrung (externe Seite, platform.claude.com) darf Anthropic Eingaben und Ausgaben eines markierten Chats oder einer markierten Sitzung bis zu zwei Jahre aufbewahren.

Wer also „keine Speicherung“ vereinbart, vereinbart sie für den Normalfall. Ein Text, den ein automatischer Prüfer für einen Verstoß hält, bleibt länger. Auch Amazon Bedrock kennt solche Fälle. Laut der Doku zur Miss­brauch­ser­ken­nung (externe Seite, docs.aws.amazon.com) darf Amazon Eingaben und Ausgaben der Modelle in begrenzten Fällen speichern oder prüfen, und die Seite nennt darunter die Modelle, für die das gilt. Die Übersicht über sechs Anbieter steht in Ebene 2.

Der Vertragspartner hängt am Weg

Daten­schutz­recht­lich ist, wer ein Modell im eigenen Unternehmen einsetzt, der Verantwortliche. Der Anbieter verarbeitet in seinem Auftrag und ist Auf­trags­ver­ar­beiter. Welcher Anbieter das ist, hängt am Zugangsweg. Anthropic zählt vier Wege auf, die eigene Schnittstelle, die Claude Platform on AWS, Claude in Microsoft Foundry und Claude Models on Google Cloud (Anthropic managed). Für diese Wege nennt sich Anthropic in der Doku zur Datenaufbewahrung (externe Seite, platform.claude.com) selbst als Auf­trags­ver­ar­beiter. Für Amazon Bedrock und Claude Models on Google Cloud (Google managed), das Angebot in Googles Agent Platform, ist es nach derselben Seite der jeweilige Cloud-Betreiber. Bei Foundry steht Microsoft mit in der Kette: Anthropic handelt dort laut der Doku zu Claude in Foundry (externe Seite, platform.claude.com) für Microsoft, und für die Kunden gelten Anthropics Bedingungen zur Datennutzung.

Dasselbe Modell kann also unter drei verschiedenen Verträgen laufen, mit drei verschiedenen Speicherfristen und drei verschiedenen Regionen. Welche davon gilt, steht im Vertrag des Weges, den eine Anfrage tatsächlich nimmt. Der Name einer Cloud im Zugangsweg legt den Partner dabei nicht fest: Über die Claude Platform on AWS bleibt es Anthropic, über Bedrock ist es Amazon. In Google Cloud gibt es beide Fälle nebeneinander. Das Rechtliche dahinter, bis zur Frage, wann eine Angabe überhaupt personenbezogen ist, steht in Ebene 3.

Ebene 1 trennt vier Fragen: wo gespeichert wird, wo gerechnet wird, wie lange ein Speicher zur Miss­brauchs­prü­fung Anfragen vorhält und mit wem der Vertrag besteht. Hier stehen die Antworten von sechs Anbietern, jeweils für den Geschäftszugang über die Schnittstelle. Was für Privatkonten gilt und wer mit den Daten trainieren darf, steht in Kapitel 01.

Die Übersicht

Stand 10.10.2026, die Zeilen Amazon Bedrock und Microsoft Foundry 20.10.2026, nach den unten verlinkten Seiten. Jede Zelle hat eine Bedingung, und die folgenden Abschnitte nennen sie. Die zweite und die dritte Spalte sehen ähnlich aus und beantworten verschiedene Fragen.

OpenAI: Europa auf Antrag

OpenAI bietet eine europäische Region für Speicherung und Verarbeitung an, als Europa mit EWR und Schweiz. Sie steht nicht jedem Konto offen: Nach der Anleitung zu den Datenkontrollen (externe Seite, developers.openai.com) braucht jede Region außer den USA eine Freigabe für die Einstellungen zur Miss­brauchs­prü­fung und einen unterschriebenen Zusatzvertrag zur geänderten Aufbewahrung.

Dazu kommt ein Aufschlag von 10 Prozent auf die Endpunkte mit Datenresidenz, und zwar für die dafür zugelassenen Modelle, die am 05.03.2026 oder später erschienen sind.

Und nicht jede Region, die sich als Speicherort wählen lässt, rechnet auch dort. Unterstützt eine gewählte Region die Verarbeitung vor Ort nicht (die Seite führt die Regionen einzeln auf), darf OpenAI Kundeninhalte für den Dienst auch außerhalb verarbeiten und vorübergehend speichern.

Den Speicher zur Miss­brauchs­prü­fung, bis zu 30 Tage, führt dieselbe Seite als Tabelle je Endpunkt. Für die Sprach­schnitt­stelle in Echtzeit stehen dort 30 Tage, für die Umwandlung von Sprache in Text steht dort keine Speicherung.

Ohne diesen Speicher arbeitet nur, wen OpenAI dafür freigibt. Auch nach der Freigabe behält OpenAI sich vor, einzelne Modelle für einzelne Kunden wieder herauszunehmen, nach schriftlicher Ankündigung und wenn es nach vernünftigem Ermessen nötig ist, um schwere Risiken zu untersuchen oder zu verhindern.

Inhalte, die ein Klassifikator dann als möglichen Verstoß markiert, darf OpenAI aufbewahren und von Menschen prüfen lassen.

Anthropic: zwei Jahre für das Auffällige

Für die eigene Schnittstelle nennt Anthropic auf der Seite zur Aufbewahrung für Organisationen (externe Seite, privacy.claude.com) eine Löschfrist im Regelfall: Eingaben und Ausgaben werden innerhalb von 30 Tagen nach Eingang oder Erzeugung automatisch gelöscht.

Der Satz geht mit einer Liste von Ausnahmen weiter, und eine davon hat eigene Zahlen. Markieren die automatischen Prüfsysteme einen Chat als Verstoß gegen die Nut­zungs­richt­linie, bleiben Eingaben und Ausgaben bis zu zwei Jahre, die Bewertungen der Prüfsysteme bis zu sieben Jahre.

Ein Betrieb ohne Speicherung (Zero Data Retention, ZDR) lässt sich vereinbaren, und die Doku zur Datenaufbewahrung (externe Seite, platform.claude.com) sagt, wie weit er reicht. Eingaben und Antworten speichert Anthropic dann nicht über die Rückgabe der Antwort hinaus. Auch mit einer solchen Vereinbarung (oder einer nach dem US-Gesetz HIPAA) darf Anthropic Daten aufbewahren, wenn ein Gesetz es verlangt oder die automatischen Prüfsysteme sie markiert haben.

Für vier Modelle steht dieser Betrieb gar nicht zur Wahl. Claude Fable 5 und 5.1 sowie Claude Mythos 5 und 5.1 führt Anthropic als Covered Models, die eine Speicherung von 30 Tagen voraussetzen. Ohne Speicherung laufen sie nur, wenn Anthropic das ausdrücklich genehmigt.

Woher diese Pflicht kommt und wie Anthropic sie für Unternehmen lockern will, steht im Beitrag Wie aus Anthropics Speicherpflicht für Unternehmen ein Kompromiss mit eigenem Schlüssel wurde.

Eine europäische Region gibt es über den direkten Weg nicht. Die Einstellung für das Rechnen kennt nur weltweit oder USA, die für das Speichern derzeit nur die USA. Den Speicherort legt man laut der Doku zur Datenresidenz (externe Seite, platform.claude.com) beim Anlegen eines Arbeitsbereichs fest, danach lässt er sich nicht mehr ändern.

Mit europäischem Rechenort gibt es Claude über Amazon Bedrock und Googles Agent Platform, dann gelten deren Regeln. In Google Cloud betreibt Anthropic außerdem ein eigenes Angebot, Claude Models on Google Cloud (Anthropic managed). Es kennt laut der Doku zur Datenresidenz (externe Seite, platform.claude.com) dieselbe Einstellung wie der direkte Weg und rechnet weltweit oder in den USA. In Microsoft Foundry rechnet Claude laut der Doku zu Claude in Foundry (externe Seite, platform.claude.com) weltweit oder in den USA. Welcher Weg für welches Modell wo rechnet, zählt Nutzung und Anpassung von LLMs, Kapitel 06 durch.

Google: ein Speicher nur bei Verdacht

Google legt Eingaben zur Miss­brauchs­prü­fung nur ab, wenn ein automatischer Prüfer anschlägt. Laut der Doku zur Miss­brauchs­prü­fung (externe Seite, docs.cloud.google.com) liegen sie dann bis zu 90 Tage gesichert in der Region oder Mehrfachregion, die der Kunde für sein Projekt gewählt hat.

Wer einen Rahmenvertrag mit Google Cloud hat (Master Agreement), ist von dieser Ablage in der Voreinstellung ausgenommen.

Für Modelle, die Google als Advanced AI einstuft, gilt eine strengere Regel. Dort wird jede Anfrage samt Antwort bis zu 30 Tage gesichert abgelegt, allein zur Miss­brauchs­prü­fung.

Die zweite Ausnahme betrifft ein Werkzeug. Wer Antworten mit der Google-Suche unterfüttert, lässt die Anfragedaten bis zu drei Tage liegen, auch bei vereinbartem Betrieb ohne Speicherung. Abschalten lässt sich diese Ablage nach der Doku zum Betrieb ohne Speicherung (externe Seite, docs.cloud.google.com) nicht.

Für die Unterfütterung mit Google Maps gilt dasselbe, dort mit 30 Tagen. Wer ohne Speicherung suchen lassen will, bekommt von Google den Rat, Web Grounding for Enterprise zu nehmen.

Der Speicherort bleibt in der gewählten Region. Wo gerechnet wird, entscheidet der Endpunkt, und der globale gibt dafür keine Zusage, wie Ebene 1 zeigt.

Amazon: Speicher in begrenzten Fällen

Nach der Doku zur Miss­brauch­ser­ken­nung (externe Seite, docs.aws.amazon.com) darf Amazon Eingaben und Ausgaben der Modelle in begrenzten Fällen speichern oder prüfen. Die Seite nennt die Modelle beim Namen: Bei Claude Fable 5 und 5.1 bleibt jede Anfrage bis zu 30 Tage liegen, für eine automatische, nachträgliche Miss­brauch­ser­ken­nung.

Dasselbe gilt mit anderen Bedingungen für mehrere OpenAI-Modelle. Der Ort dieses Speichers folgt dem Ort der Verarbeitung, und der ist bei Bedrock eine eigene Einstellung. Die regi­ons­über­grei­fende Verarbeitung verteilt Anfragen auf andere Regionen, und zwar laut der Doku zur regi­ons­über­grei­fenden Verarbeitung (externe Seite, docs.aws.amazon.com) auch auf solche, die im Konto nie von Hand freigeschaltet wurden.

Für Vorgaben zum Ort empfiehlt Amazon dort die geografisch begrenzte Variante, die die Verarbeitung innerhalb festgelegter Grenzen hält. Das EU-Profil für Claude schließt laut Anthropics Doku zu Claude in Bedrock (externe Seite, platform.claude.com) auch London und Zürich ein, also zwei Regionen außerhalb der EU.

Wird dabei bei einem der genannten Modelle eine Anfrage aufbewahrt, dann am Zielort, so die Doku zur Miss­brauch­ser­ken­nung (externe Seite, docs.aws.amazon.com).

Microsoft: der Bereitstellungstyp entscheidet

Bei Microsoft hängt der Verarbeitungsort am Bereit­stel­lungstyp, und die Regionswahl allein legt ihn nicht fest. Laut der Seite zum Datenschutz (externe Seite, learn.microsoft.com) werden Eingaben und Antworten in dem Gebiet verarbeitet, das der Kunde angibt, außer beim Typ Global oder DataZone. Innerhalb des Gebiets können sie für den Betrieb zwischen Regionen wandern.

Der Typ Data Zone bindet das Rechnen an einen Verbund von Ländern. Liegt die Ressource in einem EU-Staat, rechnet Microsoft laut derselben Seite dort oder in einem anderen Mitgliedstaat der EU. Die Seite zu den Bereit­stel­lungs­typen (externe Seite, learn.microsoft.com) fasst die Zone weiter: Sie folgt der EU Data Boundary, und die kann Staaten der EFTA wie Norwegen und die Schweiz einschließen. Welches Modell es in welcher Zone gibt und was „EU“ bei den einzelnen Anbietern umfasst, zählt Nutzung und Anpassung von LLMs, Kapitel 06 durch.

Den Fall der weltweiten Bereitstellung erzählt Kapitel 01 in Ebene 3, die Prüfer im EWR stehen dort in Ebene 2. Die menschliche Durchsicht lässt sich abschalten: Sie entfällt laut der Doku zur Miss­brauchs­prü­fung (externe Seite, learn.microsoft.com), wenn der Kunde für eine geänderte Miss­brauchs­prü­fung zugelassen ist.

Für diese Durchsicht legt Microsoft Anfragen ab, die das System als auffällig markiert hat, und zwar in der Region der eigenen Ressource. Mit genehmigtem Antrag entfallen nach der Seite zum Datenschutz (externe Seite, learn.microsoft.com) Ablage und Durchsicht zusammen.

Eine Frist für diesen Speicher nennt Microsoft auf den beiden Seiten nicht, die das Thema behandeln. In der Tabelle steht deshalb keine Zahl. Das alles gilt für die Modelle, die Microsoft selbst verkauft. Für Claude in Microsoft Foundry nennt Anthropic sich selbst als Auf­trags­ver­ar­beiter, wie Ebene 1 zeigt, und dann gelten Anthropics Fristen.

Mistral: Europa als Voreinstellung

Mistral ist der einzige der sechs mit Sitz in der EU und legt die Daten dort ab, solange niemand etwas anderes wählt; so steht es auf der Hilfeseite zum Speicherort (externe Seite, help.mistral.ai).

Ein eigener Endpunkt führt in die USA. Und je nach Funktion können Daten laut derselben Seite vorübergehend die EU verlassen, zu Unter­auf­trag­neh­mern.

Die Frist zur Miss­brauchs­prü­fung steht in der Daten­schutz­er­klä­rung (externe Seite, legal.mistral.ai): Eingaben und Ausgaben bleiben so lange, wie das Erzeugen der Antwort dauert, und danach 30 rollierende Tage zur Miss­brauchs­prü­fung, außer bei aktiviertem Betrieb ohne Speicherung.

Den Betrieb ohne Speicherung gibt es nur gegen Bezahlung, im kostenlosen Modus fehlt er. Ist er eingeschaltet, behält Mistral nach der Hilfeseite dazu (externe Seite, help.mistral.ai) Eingaben und Ausgaben nur so lange, wie die Antwort es erfordert. Zu haben ist er nur mit nut­zungs­ab­hän­giger Abrechnung.

Freigeschaltet wird er auf einen begründeten Antrag, und über den entscheidet Mistral nach eigenem Ermessen. Er gilt außerdem nur für zustandslose Endpunkte; Agenten, Batch-Dateien und die Files API speichern weiter.

Was daraus folgt

Lesen Sie die zweite und die dritte Spalte getrennt. Ein europäischer Speicherort ist bei fünf von sechs zu haben. Ein europäischer Rechenort hängt dagegen an einem Endpunkt, einem Profil oder einem Bereit­stel­lungstyp, und jeder davon ist eine eigene Einstellung.

Fragen Sie nach der Ausnahme. Alle Fristen oben gelten für den Regelfall. Eine markierte Anfrage bleibt bei Anthropic bis zu zwei Jahre, und ein Suchwerkzeug bei Google speichert trotz vereinbartem Betrieb ohne Speicher. Bei Anthropic und OpenAI kann außerdem ein einzelnes Modell aus diesem Betrieb herausfallen.

Schreiben Sie Datum und Wortlaut auf. Ein Ände­rungs­pro­to­koll führt unter diesen Seiten Microsofts Datenschutzseite (externe Seite, learn.microsoft.com), der letzte Eintrag stammt vom 03.10.2025. Die übrigen nennen höchstens das Datum der letzten Änderung, und mehrere davon liegen in den letzten drei Monaten. Die Tabelle oben ist der Stand eines Tages.

Die beiden ersten Ebenen lesen die Zusagen der Anbieter. Diese Ebene liest das Recht, auf das die Zusagen antworten: die Datenschutz-Grundverordnung in ihrer geltenden Fassung, zwei Urteile, einen Vorschlag der Kommission und einen Ange­mes­sen­heits­be­schluss, dazu die Lesart des Europäischen Daten­schutz­aus­schusses. Sie nennt die Stellen, an denen die Fragen aus Ebene 1 ihre Begriffe haben.

Zwei Rollen und ein Vertrag

Die Verordnung unterscheidet, wer entscheidet und wer ausführt. Nach den Begriffs­be­stim­mungen in Artikel 4 der DSGVO (externe Seite, eur-lex.europa.eu) ist verantwortlich, wer allein oder mit anderen über Zwecke und Mittel der Verarbeitung entscheidet. Auf­trags­ver­ar­beiter ist, wer die Daten im Auftrag dieses Verantwortlichen verarbeitet.

Zwischen beiden verlangt Artikel 28 einen Vertrag oder ein anderes Rechtsinstrument als Grundlage.

Die großen Anbieter bieten diesen Vertrag als Anhang zu ihren Bedingungen an. OpenAI ordnet sich in seinem Vertrag zur Auf­trags­ver­ar­bei­tung (externe Seite, openai.com) als Auf­trags­ver­ar­beiter des Kunden ein, für den dieser Vertrag gilt.

Bei Anthropic ist er Teil der kommerziellen Bedingungen und endet dort, wo ein anderer Weg beginnt. Wer Claude über die Plattform eines Dritten aufruft, für den gelten nach der Hilfeseite zum Vertrag (externe Seite, privacy.claude.com) die Bedingungen dieser Plattform.

Das ist die rechtliche Seite des Rollenwechsels aus Ebene 1: Wer Claude über Amazon Bedrock oder Googles Agent Platform aufruft, hat den Vertrag mit dem Betreiber. Für die Claude Platform on AWS, Claude in Microsoft Foundry und Claude Models on Google Cloud (Anthropic managed) nennt Anthropic dagegen sich selbst als Auf­trags­ver­ar­beiter. Bei Foundry handelt Anthropic dabei laut der Doku zu Claude in Foundry (externe Seite, platform.claude.com) als unabhängiger Auf­trags­ver­ar­beiter für Microsoft, die Kette hat also eine Stufe mehr.

Eine Rolle muss dabei nicht für alle Zwecke gelten. Mistral verarbeitet für den Betrieb im Auftrag. Für zwei weitere Zwecke nennt der Vertrag zur Auf­trags­ver­ar­bei­tung (externe Seite, legal.mistral.ai) eine eigene Rolle: Dafür darf Mistral die Daten als Verantwortlicher verarbeiten.

Der erste Zweck ist das Training eigener Modelle, solange der Kunde nicht widersprochen hat. Wer den Widerspruch nicht einlegt, hat für diesen Teil einen zweiten Verantwortlichen. Der zweite ist die automatische Moderation, samt der Miss­brauchs­prü­fung an den Schnittstellen. Ausgenommen ist sie nur bei vereinbartem Betrieb ohne Speicherung. Die 30 rollierenden Tage aus Ebene 2 liegen damit in Mistrals eigener Verantwortung. Welche Konten standardmäßig in das Training gehen, steht in Kapitel 01.

Wann eine Eingabe personenbezogen ist

Alles an der Verordnung hängt am Begriff der personenbezogenen Daten. Gemeint sind nach Artikel 4 der DSGVO (externe Seite, eur-lex.europa.eu) alle Informationen über eine identifizierte oder identifizierbare natürliche Person.

Ein naheliegender Schutz vor dem Versand an einen Anbieter ist, Namen und Kennungen vorher zu ersetzen. Die Verordnung kennt das als Pseudonymisierung: Die Daten lassen sich danach ohne zusätzliche Informationen keiner bestimmten Person mehr zuordnen. Wie das Ersetzen gebaut ist und wo die Erkennung Angaben übersieht, zeigt Nutzung und Anpassung von LLMs, Kapitel 07.

Wie weit das reicht, sagt Erwägungsgrund 26, der nur im Amtsblatt (externe Seite, eur-lex.europa.eu) steht. Pseudonymisierte Daten, die sich mit zusätzlichen Informationen einer Person zuordnen ließen, gelten weiter als Informationen über eine identifizierbare Person. Für anonyme Informationen sollen die Grundsätze des Datenschutzes dagegen nicht gelten.

Offen war lange, für wen die Zuordnung möglich sein muss. Der Europäische Daten­schutz­aus­schuss hat im Januar 2025 Leitlinien zur Pseudonymisierung (externe Seite, edpb.europa.eu) mit einer strengen Lesart zur Konsultation gestellt: Pseudonymisierte Daten, die sich mit zusätzlichen Informationen einer Person zuordnen lassen, bleiben personenbezogen.

Der Gerichtshof hat am 04.09.2025 anders entschieden, und zwar zu einer Nachbarverordnung. Das Urteil (externe Seite, eur-lex.europa.eu) betrifft die Verordnung 2018/1725 für die Organe der Union, deren Begriffe denen der DSGVO nachgebildet sind. Nach Randnummer 86 sind pseudonymisierte Daten für die Zwecke dieser Verordnung nicht zwingend für jeden Beteiligten personenbezogen. Für einen Empfänger, der die Zuordnung mit den ihm verfügbaren Mitteln nicht herstellen kann, können dieselben Daten also etwas anderes sein als für den Absender, der den Schlüssel hat. Für den Versand an ein Sprachmodell ist genau das die Frage: Ist eine Eingabe, aus der die Namen ersetzt sind, beim Anbieter noch personenbezogen?

Der Daten­schutz­aus­schuss hat das Urteil im Juli 2026 aufgenommen, in Leitlinien zur Anonymisierung, die bis zum 30.10.2026 zur Konsultation stehen. Laut der Mitteilung dazu (externe Seite, edpb.europa.eu) sind Daten anonym, wenn sie sich auf keine identifizierte oder identifizierbare Person beziehen, und ob das zutrifft, kann von Stelle zu Stelle verschieden sein.

Dieselben Leitlinien beantworten die Frage für den häufigsten Weg. Verarbeitet eine Stelle im Auftrag, zählt nach Randnummer 15 die Sicht des Auftraggebers (Leitlinien 02/2026 (externe Seite, edpb.europa.eu)). Kann der Kunde die ersetzten Namen zurückführen, sind die Daten dann auch beim Anbieter personenbezogen, und der Anbieter hat die Pflichten eines Auf­trags­ver­ar­bei­ters. Eine eigene Prüfung aus Sicht des Empfängers sieht der Ausschuss für eine Stelle vor, die selbstständig und für eigene Zwecke verarbeitet.

Was der Digital-Omnibus daran ändern soll

Die Kommission hat am 19.11.2025 einen Vorschlag vorgelegt, der mehrere Digitalgesetze zugleich ändert, darunter die DSGVO. Für Artikel 4 sieht der Vorschlag (externe Seite, eur-lex.europa.eu) einen Zusatz vor, der die Lesart des Gerichtshofs in die Verordnung schreibt: Für eine Stelle, die die Person mit den Mitteln, die sie vernünftigerweise einsetzen würde, nicht identifizieren kann, sind die Informationen nicht personenbezogen.

Geltendes Recht ist das nicht. Die konsolidierte Fassung der DSGVO bei EUR-Lex ist weiter die vom 04.05.2016, und im Verfahren des Parlaments (externe Seite, oeil.secure.europarl.europa.eu) wartet der Vorschlag auf die Entscheidung des zuständigen Ausschusses. Vorgelegt sind dort, Stand 10.10.2026, ein Berichtsentwurf vom 22.06.2026 und Änderungsanträge vom 27.07.2026. Der Daten­schutz­aus­schuss und der Europäische Daten­schutz­be­auf­tragte haben im Februar 2026 gemeinsam Stellung genommen und den Gesetzgeber dringend gebeten, die Definition so nicht zu ändern. Der Daten­schutz­be­auf­tragte begründete das in der gemeinsamen Mitteilung (externe Seite, edpb.europa.eu) damit, dass die Änderung der Rechtsprechung des Gerichtshofs widerspreche und den Begriff der personenbezogenen Daten deutlich verenge.

Für die Beurteilung heute heißt das: Das Urteil gibt der Pseudonymisierung ein Argument, und der Daten­schutz­aus­schuss folgt ihm für Empfänger in eigener Sache. Für den Anbieter, der im Auftrag verarbeitet, zählt nach seiner Lesart die Sicht des Kunden, und der Gesetzgeber hat noch nicht entschieden. Wer bei einem Anbieter, der im Auftrag verarbeitet, darauf baut, dass ersetzte Namen dort keine personenbezogenen Daten mehr sind, hat den Ausschuss gegen sich. Das Gesetz, auf das er hoffen könnte, ist noch ein Vorschlag.

Die Übermittlung in die USA

Daten dürfen in ein Land außerhalb der EU gehen, wenn die Kommission dessen Schutzniveau anerkannt hat. Nach Artikel 45 der DSGVO (externe Seite, eur-lex.europa.eu) ist eine Übermittlung in ein Drittland erlaubt, wenn die Kommission beschlossen hat, dass es ein angemessenes Schutzniveau bietet.

Für die USA hat die Kommission das am 10.07.2023 beschlossen, mit einer Einschränkung auf eingetragene Unternehmen. Nach dem Ange­mes­sen­heits­be­schluss (externe Seite, eur-lex.europa.eu) gewährleisten die USA ein angemessenes Schutzniveau für Daten, die Organisationen in den USA aus der Union erhalten, sofern sie in der Liste des Data Privacy Framework stehen. Die Kommission fasst es auf ihrer Seite zum Datentransfer (externe Seite, commission.europa.eu) ebenso: Auf Grundlage des Beschlusses können Daten frei an die US-Unternehmen fließen, die am Data Privacy Framework teilnehmen.

Wer auf der Liste steht, lässt sich nachsehen. Stand 10.10.2026 führt die Liste des US-Han­dels­mi­nis­te­riums (externe Seite, dataprivacyframework.gov) Google, Amazon und Microsoft als aktiv eingetragen. OpenAI und Anthropic stehen nicht darin, weder aktiv noch als frühere Teilnehmer. Für sie gilt der Beschluss deshalb nicht, und ihre Verträge nennen den anderen Weg der Verordnung, die Stan­dard­ver­trags­klau­seln (SCC). OpenAI stützt eine Übermittlung nach seinem Vertrag zur Auf­trags­ver­ar­bei­tung (externe Seite, openai.com) auf Vereinbarungen mit solchen Klauseln oder auf einen Ange­mes­sen­heits­be­schluss der Kommission nach Artikel 45.

Bei Anthropic ist der Vertrag samt Klauseln laut der Hilfeseite zum Vertrag (externe Seite, privacy.claude.com) automatisch Teil der kommerziellen Nut­zungs­be­din­gungen.

Mistral hat seinen Sitz in der EU und übermittelt nur für einzelne Funktionen nach außen, wie Ebene 2 zeigt.

Der Beschluss selbst ist angefochten. Das Gericht der Europäischen Union hat die Klage am 03.09.2025 abgewiesen (externe Seite, eur-lex.europa.eu).

Gegen dieses Urteil ist ein Rechtsmittel beim Gerichtshof anhängig, eingereicht am 31.10.2025 unter dem Aktenzeichen C-703/25 P (externe Seite, infocuria.curia.europa.eu), Stand 10.10.2026. Für die Übermittlung an die eingetragenen Anbieter gilt der Beschluss, bis der Gerichtshof entschieden hat.

Der Beschluss regelt Daten, die in die USA übermittelt werden. Ob eine US-Behörde von einem Anbieter Daten verlangen kann, die er in der EU hält, ist eine zweite Prüfung. Sie steht in Nutzung und Anpassung von LLMs, Kapitel 06, Ebene 3.