{
  "id": "openai-chatgpt-enterprise",
  "name": "OpenAI ChatGPT Enterprise (Unterschiede zu ChatGPT Business in den Anmerkungen)",
  "kategorie": "assistent",
  "kurzbeschreibung": "Unternehmensfassung von ChatGPT, nur mit OpenAI-eigenen Modellen.",
  "stammdaten": {
    "sitz": "San Francisco, USA (OpenAI OpCo, LLC); Vertragspartei für Kunden im EWR und in der Schweiz laut Services Agreement: OpenAI Ireland Ltd., Dublin",
    "land": "US",
    "mutterkonzern": null,
    "us_eigner": true,
    "gegruendet": 2015,
    "website": "https://openai.com",
    "dpf": {
      "status": "belegt",
      "wert": false,
      "quelle": "https://www.dataprivacyframework.gov/list",
      "geprueft": "2026-10-22",
      "anmerkung": "Suche in der amtlichen DPF-Liste nach „OpenAI“, „Open AI“, „OpCo“ und „OpenAI OpCo“ am 22.10.2026: 0 Treffer, weder aktiv noch inaktiv. Der Beschluss vom 10.07.2023 deckt Übermittlungen an OpenAI damit nicht. OpenAI nennt selbst Standardvertragsklauseln: DPA 4.1 („on the basis of agreements containing SCCs … or an adequacy decision“; einen Angemessenheitsbeschluss für OpenAI gibt es mangels DPF-Teilnahme nicht) und Unterauftragnehmer-Seite („We use the Standard Contractual Clauses as a valid transfer mechanism among affiliates“). Kopie der Suchantworten + SHA-256 in belege/rechtsraum/dpf-2026-10-22/"
    }
  },
  "modelle": [
    {
      "name": "OpenAI-eigene Modelle in ChatGPT Enterprise (z. B. GPT-5.5)",
      "standort": "Ohne Data Residency nicht zugesagt; mit Data Residency (nur neue Enterprise/Edu-Kunden) Speicherung in Europa (EWR + Schweiz), GPU-Inferenz optional in Europa, andere Verarbeitung weiter weltweit möglich",
      "preis_input_1m_eur": null,
      "preis_output_1m_eur": null,
      "quelle": "https://help.openai.com/en/articles/9903489-data-residency-and-inference-residency-for-chatgpt",
      "geprueft": "2026-10-21",
      "status": "belegt",
      "anmerkung": "Hilfeartikel (Wayback-Kopie 10.10.2026, Stand ca. 04.10.2026): „Eligible API customers and new ChatGPT Enterprise/Edu customers can choose to have in-scope customer content stored at rest in supported countries.“ „Non-GPU processing may still occur globally.“ Nicht abgedeckt u. a.: „Account data, billing details, high-level usage statistics, logs without content, and other metadata used to operate and secure the service.“ sowie Apps & MCP, Websuche, Beta-Funktionen, Drittanbieter-GPTs, Codex Web. DPA 4.1: „Customer hereby instructs OpenAI Ireland Limited to process any EEA and Swiss Data in compliance with this DPA.“ ChatGPT Business: keine Data-Residency-Zusage gefunden (unbelegt). Drittanbieter-Modelle werden nicht genannt (unbelegt). Preis je Nutzerlizenz, nicht je Token, hier nicht erfasst.",
      "backup_standort": {
        "wert": "Nur bei Data Residency: Backups und Replikate in der Region",
        "status": "belegt",
        "quelle": "https://help.openai.com/en/articles/9903489-data-residency-and-inference-residency-for-chatgpt",
        "geprueft": "2026-10-21",
        "anmerkung": "Hilfeartikel: „Backups and replicas of in-scope customer content are also stored in-region.“ Ohne Data Residency (und für Business) nennt OpenAI keinen Backup-Ort; die Security Measures sagen nur „Ensuring that systems may be restored in the event of an interruption;“."
      },
      "vorgeschaltete_filter": {
        "wert": true,
        "status": "belegt",
        "quelle": "https://web.archive.org/web/20261002004812/https://openai.com/enterprise-privacy/",
        "geprueft": "2026-10-21",
        "anmerkung": "Enterprise-Privacy-Seite (Wayback-Kopie 02.10.2026, „Updated: January 8, 2026“): „We may run any business data submitted to OpenAI’s services through automated content classifiers and safety tools, including to better understand how our services are used.“ Subprozessorliste: Markierte Inhalte können als Stichproben an Moderations-Dienstleister gehen. Einzelheiten der Klassifikatoren nennt OpenAI nicht."
      }
    }
  ],
  "vertrag": {
    "avv": {
      "wert": "https://web.archive.org/web/20261020000721/https://openai.com/policies/data-processing-addendum/",
      "status": "belegt",
      "quelle": "https://web.archive.org/web/20261020000721/https://openai.com/policies/data-processing-addendum/",
      "geprueft": "2026-10-21",
      "anmerkung": "„OpenAI Data Processing Addendum“, „Effective: January 1, 2026“ (Wayback-Kopie 20.10.2026; direkt HTTP 403). Gilt für ChatGPT Business, ChatGPT Enterprise und die API. DPA 1.1: „OpenAI acts as a Data Processor on the Customer’s behalf, and this DPA governs such Processing.“ Abschluss laut Enterprise-Privacy-Seite über ein Formular: „Please complete our DPA form to execute a DPA with OpenAI.“"
    },
    "subprozessoren": {
      "wert": "https://web.archive.org/web/20260708120959/https://openai.com/policies/sub-processor-list/",
      "status": "belegt",
      "quelle": "https://web.archive.org/web/20260708120959/https://openai.com/policies/sub-processor-list/",
      "geprueft": "2026-10-21",
      "anmerkung": "Liste „Last updated: June 2, 2026“, letzte lesbare Archivkopie 08.07.2026; die Kopie vom 20.10.2026 enthält nur die 403-Seite, ob sich die Liste seitdem geändert hat, ist ungeklärt. Genannt u. a. Microsoft, CoreWeave, Oracle, Google Cloud, AWS, Cerebras (Cloud-Infrastruktur), Cloudflare, Snowflake, TaskUs und Accenture (Support, bei Business auch „Moderation of content“), Cinder (Moderationsplattform). Kein anderer KI-Modellanbieter. DPA 2.9: Mitteilung „via blog post, notification within the Services or other reasonable means“; Widerspruch „within 30 days of receiving notice of the change“. Eine Vorlaufzeit vor dem Einsatz nennt das DPA nicht."
    },
    "training_opt_out": {
      "wert": true,
      "status": "belegt",
      "quelle": "https://web.archive.org/web/20261002004812/https://openai.com/enterprise-privacy/",
      "geprueft": "2026-10-21",
      "anmerkung": "Enterprise-Privacy-Seite: „By default, data from ChatGPT Business, ChatGPT Enterprise, ChatGPT for Healthcare, ChatGPT Edu, ChatGPT for Teachers, and the API Platform (after March 1, 2023) isn’t used for training our models, unless you have explicitly opted in“. Services Agreement 4.2: „OpenAI will not use Customer Content to develop or improve the Services, unless Customer explicitly agrees to such use.“"
    },
    "zero_data_retention": {
      "wert": false,
      "status": "belegt",
      "quelle": "https://web.archive.org/web/20261002004812/https://openai.com/enterprise-privacy/",
      "geprueft": "2026-10-21",
      "anmerkung": "Enterprise: „Your workspace admins control how long your data is retained. Any deleted conversations are removed from our systems within 30 days, unless we are legally required to retain them.“ Standard laut OpenAI Academy (17.09.2026): „By default, chats are saved indefinitely to the user’s account until they delete them.“ Eigene Frist „with a minimum of 90 days“. Business zusätzlich: „or is reasonably necessary to protect our services or any third party from harm.“ Work Cloud: „Local computer access with Work Cloud does not provide strict zero data retention.“"
    },
    "zweckbindung": {
      "wert": true,
      "status": "belegt",
      "quelle": "https://openai.com/policies/business-terms/",
      "geprueft": "2026-10-21",
      "anmerkung": "Services Agreement 4.2 (Wayback-Kopie 08.10.2026, gültig ab 01.01.2026): „OpenAI will only use Customer Content as necessary to provide Customer with the Services, comply with applicable law, enforce the OpenAI Policies, and prevent abuse.“ DPA 1.2: „OpenAI will only Process Customer Data for the purposes of delivering the Services to Customer pursuant to the Agreement and this DPA.“ Offen: Klassifikatoren laufen auch „to better understand how our services are used“ (Metadaten, Umfang ungeklärt); Feedback darf OpenAI „without restriction or compensation“ nutzen (9.3)."
    },
    "betroffenenrechte_traeger": {
      "wert": "auftraggeber",
      "status": "belegt",
      "quelle": "https://web.archive.org/web/20261020000721/https://openai.com/policies/data-processing-addendum/",
      "geprueft": "2026-10-21",
      "anmerkung": "DPA 2.4: „OpenAI will not respond to any such request without Customer’s prior written authorization, except that Customer authorizes OpenAI to redirect Data Subject Requests as necessary to allow Customer to respond directly.“"
    },
    "log_frist": {
      "wert": null,
      "status": "unbelegt",
      "quelle": null,
      "geprueft": "2026-10-21",
      "anmerkung": "Für ChatGPT Enterprise und Business nennt OpenAI keine Frist für Missbrauchs- oder Sicherheitsprotokolle. Die 30 Tage Missbrauchsprotokolle gelten laut OpenAI für die API, nicht für ChatGPT. Enterprise: „Authorized OpenAI employees will only ever access your conversations for the purposes of resolving incidents, recovering end user conversations with your explicit permission, or where required by applicable law.“ Business dagegen: Zugriff auch durch „specialized third-party contractors … solely to review for abuse and misuse“."
    },
    "log_zweck": {
      "wert": "Sicherheit und Erkennung (intern); für Kunden Compliance-Protokolle für eDiscovery, DLP, SIEM (Enterprise/Edu, 30 Tage vorgehalten)",
      "status": "belegt",
      "quelle": "https://help.openai.com/en/articles/9261474-compliance-api-for-enterprise-customers",
      "geprueft": "2026-10-21",
      "anmerkung": "Compliance-API-Artikel (Wayback-Kopie 11.08.2026): „The Compliance Logs Platform retains data for 30 days.“ und „This API does not provide the capability for deleting any data logged internally specifically for audit or security within OpenAI.“ Security Measures: „OpenAI aggregates system logs for security and general observability from a range of systems to facilitate detection and response;“. Fristen interner Protokolle nennt OpenAI nicht."
    }
  },
  "zertifikate": [
    {
      "typ": "ISO 27001",
      "status": "beansprucht",
      "quelle": "https://trust.openai.com/",
      "geprueft": "2026-10-21",
      "anmerkung": "Trust-Portal: „OpenAI has received an ISO/IEC 27001 Certificate, available for public viewing at trust.openai.com under \"Documents.\"“ Ohne Konto öffnet der Klick aber nur eine Login-Anfrage; das Zertifikat wurde nicht eingesehen. SOC-2-Bericht nur auf Anfrage.",
      "anwendungsbereich": {
        "wert": "OpenAI API, ChatGPT Enterprise, ChatGPT Edu (laut Übersicht vom 04.08.2026 auch Healthcare, Teachers, Codex); ChatGPT Business nicht",
        "status": "belegt",
        "quelle": "https://trust.openai.com/",
        "geprueft": "2026-10-21",
        "anmerkung": "Trust-Portal: „… ISO/IEC 27001:2022 for OpenAI’s API, ChatGPT Enterprise, and ChatGPT Edu services.“ Produktübersicht (Wayback-Kopie 08.10.2026, „Updated August 4, 2026“): Zeile „ChatGPT Business“ nur mit Haken bei „SOC 2 Type 2“, leer bei ISO/IEC 27001:2022. Das Zertifikat selbst wurde nicht eingesehen."
      },
      "zertifizierer": {
        "wert": "Schellman",
        "status": "beansprucht",
        "quelle": "https://trust.openai.com/",
        "geprueft": "2026-10-21",
        "anmerkung": "Nur in den eingebetteten Seitendaten des Trust-Portals („auditor“:„Schellman“ beim Eintrag ISO/IEC 27001:2022), nicht im sichtbaren Text und nicht im Zertifikat geprüft. Sichtbarer Text: „evaluated by an independent third-party auditor“."
      },
      "akkreditiert_dakks": {
        "wert": null,
        "status": "unbelegt",
        "quelle": null,
        "geprueft": "2026-10-21",
        "anmerkung": "OpenAI nennt keine Akkreditierungsstelle. Schellman schreibt auf seiner Seite, für ISO 27001 von ANAB (USA) und UKAS (Großbritannien) akkreditiert zu sein; welche auf OpenAIs Zertifikat steht, ist ungeklärt."
      },
      "normiert": [
        "iso-27001"
      ]
    },
    {
      "typ": "ISO/IEC 42001",
      "status": "beansprucht",
      "quelle": "https://trust.openai.com/",
      "geprueft": "2026-10-21",
      "anmerkung": "KI-Managementsystem. Das Trust-Portal führt ISO 42001 mit Logo im Pfad „certifications/schellman/…“; Zertifikat und Geltungsbereich ohne Login nicht einsehbar.",
      "anwendungsbereich": {
        "wert": null,
        "status": "unbelegt",
        "quelle": "https://trust.openai.com/",
        "geprueft": "2026-10-21",
        "anmerkung": "Geltungsbereich ohne Login nicht einsehbar."
      },
      "zertifizierer": {
        "wert": null,
        "status": "unbelegt",
        "quelle": "https://trust.openai.com/",
        "geprueft": "2026-10-21",
        "anmerkung": "Zertifizierungsstelle nicht öffentlich lesbar."
      },
      "akkreditiert_dakks": {
        "wert": null,
        "status": "unbelegt",
        "quelle": "https://trust.openai.com/",
        "geprueft": "2026-10-21",
        "anmerkung": "Akkreditierung nicht geprüft, Zertifikat nicht lesbar."
      },
      "normiert": [
        "iso-42001"
      ]
    }
  ],
  "iso_42001": {
    "status": "beansprucht",
    "wert": true,
    "zertifizierer": null,
    "anwendungsbereich": null,
    "quelle": "https://trust.openai.com/",
    "geprueft": "2026-10-21",
    "anmerkung": "Das Trust-Portal führt ISO 42001 mit Logo im Pfad „certifications/schellman/…“; Zertifikat und Geltungsbereich ohne Login nicht einsehbar."
  },
  "ai_act": [],
  "geprueft": "2026-10-21",
  "url": "https://belegbar.eu/anbieter/openai-chatgpt-enterprise/",
  "beleg_quote_prozent": 71,
  "zuletzt_geprueft": "2026-10-21",
  "quellenlauf": {
    "zuletzt": null,
    "quellen": 8,
    "nachgelesen": 0,
    "unveraendert": 0,
    "veraendert_gelesen": 0,
    "offen": 0,
    "verschwunden": 0,
    "statuswechsel_30_tage": 1
  },
  "rechtsraum": {
    "land": "US",
    "name": "USA",
    "einordnung": "dpf",
    "erlaeuterung": "Drittland. Der Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023 gilt nur für Unternehmen, die am EU-US Data Privacy Framework teilnehmen (Art. 45 DSGVO); sonst nur mit geeigneten Garantien, etwa Standardvertragsklauseln (Art. 46 DSGVO).",
    "hinweis": "Der Anbieter steht nicht auf der amtlichen Liste dataprivacyframework.gov (weder aktiv noch inaktiv); der Beschluss gilt für ihn nicht, Übermittlungen brauchen geeignete Garantien (Art. 46 DSGVO).",
    "dpf": {
      "status": "belegt",
      "wert": false,
      "quelle": "https://www.dataprivacyframework.gov/list",
      "geprueft": "2026-10-22",
      "anmerkung": "Suche in der amtlichen DPF-Liste nach „OpenAI“, „Open AI“, „OpCo“ und „OpenAI OpCo“ am 22.10.2026: 0 Treffer, weder aktiv noch inaktiv. Der Beschluss vom 10.07.2023 deckt Übermittlungen an OpenAI damit nicht. OpenAI nennt selbst Standardvertragsklauseln: DPA 4.1 („on the basis of agreements containing SCCs … or an adequacy decision“; einen Angemessenheitsbeschluss für OpenAI gibt es mangels DPF-Teilnahme nicht) und Unterauftragnehmer-Seite („We use the Standard Contractual Clauses as a valid transfer mechanism among affiliates“). Kopie der Suchantworten + SHA-256 in belege/rechtsraum/dpf-2026-10-22/"
    },
    "quelle": "https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en",
    "geprueft": "2026-10-22"
  }
}