OpenAI ChatGPT Enterprise (Unterschiede zu ChatGPT Business in den Anmerkungen)
Unternehmensfassung von ChatGPT, nur mit OpenAI-eigenen Modellen.
71 %belegt
Stammdaten
- Sitz
- San Francisco, USA (OpenAI OpCo, LLC); Vertragspartei für Kunden im EWR und in der Schweiz laut Services Agreement: OpenAI Ireland Ltd., Dublin
- Kategorie
- KI-Assistent (Unternehmen)
- Mutterkonzern
- unabhängig / keiner bekannt
- US-Eigentümerstruktur
- ja, CLOUD-Act-Relevanz prüfen
- Gegründet
- 2015
- Rechtsraum
- USA: Drittland. Der Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023 gilt nur für Unternehmen, die am EU-US Data Privacy Framework teilnehmen (Art. 45 DSGVO); sonst nur mit geeigneten Garantien, etwa Standardvertragsklauseln (Art. 46 DSGVO). Der Anbieter steht nicht auf der amtlichen Liste dataprivacyframework.gov (weder aktiv noch inaktiv); der Beschluss gilt für ihn nicht, Übermittlungen brauchen geeignete Garantien (Art. 46 DSGVO). Quelle · geprüft 22.10.2026 · DPF-Liste · geprüft 22.10.2026
- Website
- openai.com
Modelle & Preise
| Modell | Hosting-Standort | Input / 1M | Output / 1M | Beleg |
|---|---|---|---|---|
| OpenAI-eigene Modelle in ChatGPT Enterprise (z. B. GPT-5.5) | Ohne Data Residency nicht zugesagt; mit Data Residency (nur neue Enterprise/Edu-Kunden) Speicherung in Europa (EWR + Schweiz), GPU-Inferenz optional in Europa, andere Verarbeitung weiter weltweit möglich | unbelegt | belegt QuelleHilfeartikel (Wayback-Kopie 10.10.2026, Stand ca. 04.10.2026): „Eligible API customers and new ChatGPT Enterprise/Edu customers can choose to have in-scope customer content stored at rest in supported countries.“ „Non-GPU processing may still occur globally.“ Nicht abgedeckt u. a.: „Account data, billing details, high-level usage statistics, logs without content, and other metadata used to operate and secure the service.“ sowie Apps & MCP, Websuche, Beta-Funktionen, Drittanbieter-GPTs, Codex Web. DPA 4.1: „Customer hereby instructs OpenAI Ireland Limited to process any EEA and Swiss Data in compliance with this DPA.“ ChatGPT Business: keine Data-Residency-Zusage gefunden (unbelegt). Drittanbieter-Modelle werden nicht genannt (unbelegt). Preis je Nutzerlizenz, nicht je Token, hier nicht erfasst. | |
Vertrag & Datenschutz
AVV / Auftragsverarbeitungsvertragbelegt
„OpenAI Data Processing Addendum“, „Effective: January 1, 2026“ (Wayback-Kopie 20.10.2026; direkt HTTP 403). Gilt für ChatGPT Business, ChatGPT Enterprise und die API. DPA 1.1: „OpenAI acts as a Data Processor on the Customer’s behalf, and this DPA governs such Processing.“ Abschluss laut Enterprise-Privacy-Seite über ein Formular: „Please complete our DPA form to execute a DPA with OpenAI.“
Quelle · geprüft 21.10.2026
Subprozessoren-Listebelegt
Liste „Last updated: June 2, 2026“, letzte lesbare Archivkopie 08.07.2026; die Kopie vom 20.10.2026 enthält nur die 403-Seite, ob sich die Liste seitdem geändert hat, ist ungeklärt. Genannt u. a. Microsoft, CoreWeave, Oracle, Google Cloud, AWS, Cerebras (Cloud-Infrastruktur), Cloudflare, Snowflake, TaskUs und Accenture (Support, bei Business auch „Moderation of content“), Cinder (Moderationsplattform). Kein anderer KI-Modellanbieter. DPA 2.9: Mitteilung „via blog post, notification within the Services or other reasonable means“; Widerspruch „within 30 days of receiving notice of the change“. Eine Vorlaufzeit vor dem Einsatz nennt das DPA nicht.
Quelle · geprüft 21.10.2026
Kein Training mit Kundendatenbelegt
Ja, Kundendaten werden nicht zum Training genutzt
Enterprise-Privacy-Seite: „By default, data from ChatGPT Business, ChatGPT Enterprise, ChatGPT for Healthcare, ChatGPT Edu, ChatGPT for Teachers, and the API Platform (after March 1, 2023) isn’t used for training our models, unless you have explicitly opted in“. Services Agreement 4.2: „OpenAI will not use Customer Content to develop or improve the Services, unless Customer explicitly agrees to such use.“
Quelle · geprüft 21.10.2026
Zero Data Retentionbelegt
Nein, Anfragen werden (zeitweise) gespeichert
Enterprise: „Your workspace admins control how long your data is retained. Any deleted conversations are removed from our systems within 30 days, unless we are legally required to retain them.“ Standard laut OpenAI Academy (17.09.2026): „By default, chats are saved indefinitely to the user’s account until they delete them.“ Eigene Frist „with a minimum of 90 days“. Business zusätzlich: „or is reasonably necessary to protect our services or any third party from harm.“ Work Cloud: „Local computer access with Work Cloud does not provide strict zero data retention.“
Quelle · geprüft 21.10.2026
Zertifikate
ISO 27001beansprucht
Trust-Portal: „OpenAI has received an ISO/IEC 27001 Certificate, available for public viewing at trust.openai.com under "Documents."“ Ohne Konto öffnet der Klick aber nur eine Login-Anfrage; das Zertifikat wurde nicht eingesehen. SOC-2-Bericht nur auf Anfrage.
Quelle · geprüft 21.10.2026
ISO/IEC 42001beansprucht
KI-Managementsystem. Das Trust-Portal führt ISO 42001 mit Logo im Pfad „certifications/schellman/…“; Zertifikat und Geltungsbereich ohne Login nicht einsehbar.
Quelle · geprüft 21.10.2026
ISO/IEC 42001 (KI-Managementsystem)
| Ergebnis | zertifiziert beansprucht Quelle · geprüft 21.10.2026 |
|---|---|
| Zertifizierer | keine belastbare Angabe gefunden |
| Anwendungsbereich | keine belastbare Angabe gefunden |
| Anmerkung | Das Trust-Portal führt ISO 42001 mit Logo im Pfad „certifications/schellman/…“; Zertifikat und Geltungsbereich ohne Login nicht einsehbar. |
AI Act
Noch keine AI-Act-Nachweise erfasst.
Prüfpunkte der Datenschutzprüfung
Was Datenschutzbeauftragte beim Anbieter zusätzlich nachsehen (BayLDA-KI-Checkliste, S. 9–11, und Gespräch mit einem Prüfer des BvD-Ausschusses KI, 08.10.2026). Jede Angabe mit Status und Quelle; fehlt ein Beleg, steht das hier ausdrücklich.
Vertrag
| Zweckbindung über Training hinaus | ja Services Agreement 4.2 (Wayback-Kopie 08.10.2026, gültig ab 01.01.2026): „OpenAI will only use Customer Content as necessary to provide Customer with the Services, comply with applicable law, enforce the OpenAI Policies, and prevent abuse.“ DPA 1.2: „OpenAI will only Process Customer Data for the purposes of delivering the Services to Customer pursuant to the Agreement and this DPA.“ Offen: Klassifikatoren laufen auch „to better understand how our services are used“ (Metadaten, Umfang ungeklärt); Feedback darf OpenAI „without restriction or compensation“ nutzen (9.3). | belegt Quelle · geprüft 21.10.2026 |
|---|---|---|
| Betroffenenrechte: wer bedient sie | Auftraggeber DPA 2.4: „OpenAI will not respond to any such request without Customer’s prior written authorization, except that Customer authorizes OpenAI to redirect Data Subject Requests as necessary to allow Customer to respond directly.“ | belegt Quelle · geprüft 21.10.2026 |
| Log-Aufbewahrung (Frist) | keine belastbare Angabe gefunden Für ChatGPT Enterprise und Business nennt OpenAI keine Frist für Missbrauchs- oder Sicherheitsprotokolle. Die 30 Tage Missbrauchsprotokolle gelten laut OpenAI für die API, nicht für ChatGPT. Enterprise: „Authorized OpenAI employees will only ever access your conversations for the purposes of resolving incidents, recovering end user conversations with your explicit permission, or where required by applicable law.“ Business dagegen: Zugriff auch durch „specialized third-party contractors … solely to review for abuse and misuse“. | unbelegt geprüft 21.10.2026 |
| Log-Aufbewahrung (Zweck) | Sicherheit und Erkennung (intern); für Kunden Compliance-Protokolle für eDiscovery, DLP, SIEM (Enterprise/Edu, 30 Tage vorgehalten) Compliance-API-Artikel (Wayback-Kopie 11.08.2026): „The Compliance Logs Platform retains data for 30 days.“ und „This API does not provide the capability for deleting any data logged internally specifically for audit or security within OpenAI.“ Security Measures: „OpenAI aggregates system logs for security and general observability from a range of systems to facilitate detection and response;“. Fristen interner Protokolle nennt OpenAI nicht. | belegt Quelle · geprüft 21.10.2026 |
Zertifikat ISO 27001
| Anwendungsbereich | OpenAI API, ChatGPT Enterprise, ChatGPT Edu (laut Übersicht vom 04.08.2026 auch Healthcare, Teachers, Codex); ChatGPT Business nicht Trust-Portal: „… ISO/IEC 27001:2022 for OpenAI’s API, ChatGPT Enterprise, and ChatGPT Edu services.“ Produktübersicht (Wayback-Kopie 08.10.2026, „Updated August 4, 2026“): Zeile „ChatGPT Business“ nur mit Haken bei „SOC 2 Type 2“, leer bei ISO/IEC 27001:2022. Das Zertifikat selbst wurde nicht eingesehen. | belegt Quelle · geprüft 21.10.2026 |
|---|---|---|
| Zertifizierer | Schellman Nur in den eingebetteten Seitendaten des Trust-Portals („auditor“:„Schellman“ beim Eintrag ISO/IEC 27001:2022), nicht im sichtbaren Text und nicht im Zertifikat geprüft. Sichtbarer Text: „evaluated by an independent third-party auditor“. | beansprucht Quelle · geprüft 21.10.2026 |
| Zertifizierer akkreditiert (DAkkS) | keine belastbare Angabe gefunden OpenAI nennt keine Akkreditierungsstelle. Schellman schreibt auf seiner Seite, für ISO 27001 von ANAB (USA) und UKAS (Großbritannien) akkreditiert zu sein; welche auf OpenAIs Zertifikat steht, ist ungeklärt. | unbelegt geprüft 21.10.2026 |
Zertifikat ISO/IEC 42001
| Anwendungsbereich | keine belastbare Angabe gefunden Geltungsbereich ohne Login nicht einsehbar. | unbelegt Quelle · geprüft 21.10.2026 |
|---|---|---|
| Zertifizierer | keine belastbare Angabe gefunden Zertifizierungsstelle nicht öffentlich lesbar. | unbelegt Quelle · geprüft 21.10.2026 |
| Zertifizierer akkreditiert (DAkkS) | keine belastbare Angabe gefunden Akkreditierung nicht geprüft, Zertifikat nicht lesbar. | unbelegt Quelle · geprüft 21.10.2026 |
Modell OpenAI-eigene Modelle in ChatGPT Enterprise (z. B. GPT-5.5)
| Backup-Standort | Nur bei Data Residency: Backups und Replikate in der Region Hilfeartikel: „Backups and replicas of in-scope customer content are also stored in-region.“ Ohne Data Residency (und für Business) nennt OpenAI keinen Backup-Ort; die Security Measures sagen nur „Ensuring that systems may be restored in the event of an interruption;“. | belegt Quelle · geprüft 21.10.2026 |
|---|---|---|
| Vorgeschaltete Filter | ja Enterprise-Privacy-Seite (Wayback-Kopie 02.10.2026, „Updated: January 8, 2026“): „We may run any business data submitted to OpenAI’s services through automated content classifiers and safety tools, including to better understand how our services are used.“ Subprozessorliste: Markierte Inhalte können als Stichproben an Moderations-Dienstleister gehen. Einzelheiten der Klassifikatoren nennt OpenAI nicht. | belegt Quelle · geprüft 21.10.2026 |
Direktvergleiche
OpenAI ChatGPT Enterprise (Unterschiede zu ChatGPT Business in den Anmerkungen) Feld für Feld gegen andere Anbieter derselben Kategorie:
OpenAI ChatGPT Enterprise (Unterschiede zu ChatGPT Business in den Anmerkungen) vs. Google Gemini für Google Workspace (Gemini-App als Core Service und Gemini in Workspace), Unternehmensfassung · OpenAI ChatGPT Enterprise (Unterschiede zu ChatGPT Business in den Anmerkungen) vs. Microsoft Copilot (früher Microsoft 365 Copilot), Unternehmensfassung
Quellenlauf · noch keine der 8 Quellen maschinell nachgelesen
0 unverändert · 0 verändert und gelesen · 0 offen (verändert, noch nicht gelesen) · 0 verschwunden
Status- oder Quellenwechsel in den letzten 30 Tagen: 1 → Änderungsprotokoll · So arbeitet der Quellenlauf