Mistral, ChatGPT oder Claude: Was ist DSGVO-konform?

Kurz gesagt (Stand September 2026): Die Datenresidenz ist heute das entscheidende Kriterium, und die Anbieter unterscheiden sich stärker, als ihr Marketing vermuten lässt. Mistral ist ein französisches Unternehmen mit in der EU gehosteten Diensten. OpenAI bietet EU-Datenresidenz für ChatGPT Enterprise, Edu und die API. Anthropics eigene Claude-API und -Apps verarbeiten Daten nur in den USA oder „global“ — Claude in einer EU-Region gibt es nur über Amazon Bedrock oder Google Cloud. Bei personenbezogenen Daten wählen Sie zuerst den Bereitstellungsweg, dann das Modell.

„Wir wollen KI nutzen — aber welche sollen wir eigentlich nehmen?“

Das ist die häufigste Frage Luxemburger Unternehmer, wenn sie sich mit KI-Implementierung in Luxemburg beschäftigen. Das Modell selbst ist weniger entscheidend als noch vor einem Jahr: Die Spitzenmodelle von OpenAI, Anthropic und Google überholen sich alle paar Monate gegenseitig. Nicht angeglichen hat sich dagegen, wohin Ihre Daten gehen. Diese Frage muss ein Luxemburger Unternehmen mit Kundendaten zuerst beantworten, und die meisten Vergleiche übergehen sie.

Diese Seite wurde am 24. September 2026 neu geschrieben. Eine frühere Fassung ordnete Claude als „europäische Cloud-KI“ ein. Das war für Anthropics eigene Dienste falsch und ist unten korrigiert.

Schnellvergleich für Luxemburger Unternehmen (September 2026)

Weg	Beispiele	Wo die Inferenz läuft	Geeignet für
Spitzen-Cloud-KI, vom Anbieter gehostet	ChatGPT, Claude, Gemini	Je nach Tarif: ChatGPT Enterprise/API lässt sich auf Europa festlegen; Anthropics eigene Claude-Dienste nur USA/global	Allgemeine Produktivität; Kundendaten nur mit EU-Residenz-Tarif
Spitzenmodell in einer EU-Cloud-Region	Claude über Amazon Bedrock oder Google Cloud, Modelle in EU-Regionen von Azure oder Google Cloud	Die von Ihnen gewählte EU-Region	Regulierte Unternehmen, die ein Spitzenmodell in einer EU-Region wollen
Europäischer Anbieter	Mistral (Le Chat, La Plateforme)	In der EU gehostet	Kundendaten, FR/DE/EN-Arbeit, EU-Rechtsraum
Open-Weight oder privat	Open-Weight-Familien Llama, Mistral und DeepSeek, dedizierte Deployments	Eigene oder Luxemburger/EU-Infrastruktur	Banken, Fonds, Gesundheitswesen, maximale Kontrolle

---

Drei Fragen, bevor Sie Modelle vergleichen

Bei jedem Deployment für einen Luxemburger Kunden stellen wir drei Fragen, bevor überhaupt ein Modellname fällt:

1. Wo läuft die Inferenz? Gemeint ist das Rechenzentrum, das den Prompt verarbeitet, nicht der Firmensitz.
2. Wo werden Daten gespeichert? Chatverläufe, hochgeladene Dateien und Logs zählen alle dazu.
3. Was macht die Übermittlung rechtmäßig, wenn Daten den EWR verlassen? Für die USA ist das entweder die Zertifizierung des Empfängers unter dem EU-US Data Privacy Framework oder Standardvertragsklauseln.

Ein hervorragendes Modell, das diese Fragen schlecht beantwortet, ist für Kundendaten die falsche Wahl. Ein etwas schwächeres Modell, das sie gut beantwortet, ist meist die richtige. Die vier Wege unten sind schlicht die vier möglichen Antworten.

---

Die vier Bereitstellungswege, auf die es ankommt

1. Spitzen-Cloud-KI, vom Anbieter gehostet (ChatGPT, Claude, Gemini)

Was es ist: Sie nutzen die App oder API des Anbieters — ChatGPT, claude.ai oder die Claude-API, Gemini.

Wohin Ihre Daten gehen — hier unterscheiden sich die Anbieter:

• OpenAI hat im Februar 2025 Datenresidenz in Europa eingeführt. Sie gilt für ChatGPT Enterprise, ChatGPT Edu und die API-Plattform. Die Verbraucherversion von ChatGPT und kleinere Business-Tarife bieten diese Zusage nicht: Prüfen Sie Ihren Tarif.
• Anthropics eigene Datenresidenz-Einstellungen bieten derzeit nur zwei Inferenz-Standorte: "us" und "global". Der einzige Speicherort für Workspaces ist "us". Für Anthropics eigene Claude-API und -Apps gibt es heute keine EU-Option.
• Google Gemini folgt in der Verbraucher- und Workspace-Version den Bedingungen von Google. Für eine festgelegte Region nutzen Unternehmen Gemini über Google Cloud (Weg 2).

Geeignet für: allgemeine Produktivität — Entwürfe, Zusammenfassungen, Recherche — ohne personenbezogene Kundendaten. Für Kundendaten nur mit einem Tarif, der eine vertragliche EU-Residenz-Zusage enthält.

Stärken: die leistungsfähigsten Allzweckmodelle und die größten Integrations-Ökosysteme. Claude bleibt unsere erste Wahl für sorgfältiges Business-Schreiben, Vertragsprüfung und Dokumentenanalyse — siehe was Claude für Luxemburger Unternehmen leisten kann.

Einschränkungen: EU-Residenz hängt vom Tarif ab oder ist bei Anthropics eigenen Diensten nicht verfügbar. Datenresidenz bedeutet auch nicht EU-Rechtsraum: Der Anbieter bleibt ein US-Unternehmen.

2. Ein Spitzenmodell in einer EU-Cloud-Region (Bedrock, Google Cloud, Azure)

Was es ist: Sie nutzen dieselben Spitzenmodelle über einen Hyperscaler, mit dem Sie bereits einen Vertrag haben, und wählen eine EU-Region. Laut Anthropics Dokumentation bestimmt bei Amazon Bedrock und Google Cloud der gewählte Endpunkt bzw. das Inferenzprofil die Inferenzregion, nicht Anthropics Parameter inference_geo.

Geeignet für: Treuhänder, Kanzleien, PSF und Fondsdienstleister, die Claude-Qualität mit Inferenz in einer EU-Region wollen, unter einem bestehenden Cloud-Vertrag und AVV.

Einschränkungen: Nicht jede Modellversion ist ab dem ersten Tag in jeder EU-Region verfügbar. Die Einrichtung ist technisch: IAM, Logging, Netzwerkkontrollen. Ein Anbieter mit Sitz in den USA bleibt in der Kette, daher gilt die Übermittlungsanalyse unten weiterhin.

3. Ein europäischer Anbieter (Mistral)

Was es ist: Mistral AI hat seinen Sitz in Frankreich und bietet Le Chat und die API La Plateforme aus europäischer Infrastruktur an. Mistral veröffentlicht außerdem Open-Weight-Modelle, die Sie selbst betreiben können (Weg 4).

Geeignet für: Unternehmen, die einen europäischen Anbieter unter EU-Recht wollen und starke Ergebnisse auf Französisch und in europäischen Sprachen — ein Vorteil in Luxemburgs dreisprachigem Umfeld. Für die Frage „Mistral AI und DSGVO“ ist das der zentrale Punkt: EU-Anbieter, EU-Hosting, kein Drittlandtransfer im Standardfall.

Einschränkungen: ein kleineres Integrations-Ökosystem als bei OpenAI oder Microsoft. Bei den schwierigsten Reasoning-Aufgaben ändern sich die Benchmark-Positionen mit jedem Release. Testen Sie Mistral mit Ihren Dokumenten statt mit einer Momentaufnahme aus einer Rangliste.

4. Open-Weight-Modelle und private Deployments

Was es ist: Open-Weight-Modelle (u. a. die Familien Llama, Mistral und DeepSeek) auf Ihren eigenen Servern, in einem Luxemburger Rechenzentrum oder auf einer dedizierten EU-Cloud-Instanz. Ein privates Deployment bettet sie in Ihre Sicherheitsrichtlinien ein und integriert sie in Ihre Systeme. Mehr dazu in unserem Beitrag zum privaten KI-Deployment für regulierte Branchen.

Geeignet für: Banken, Fondsadministration, Gesundheitswesen, M&A — überall dort, wo Daten eine von Ihnen kontrollierte Umgebung nicht verlassen dürfen.

Stärken: maximale Datensouveränität. Die Modelle lassen sich an Ihre eigenen Daten anpassen, ohne Gebühren pro Nutzer. Luxemburger Unternehmen erhalten subventionierte GPU-Rechenleistung über MeluXina und die AI Factory. Förderungen über SME Packages AI und Fit 4 AI können einen Teil der Projektkosten abdecken.

Einschränkungen: Open-Weight-Modelle liegen bei den schwierigsten Aufgaben hinter den besten proprietären Modellen. Betrieb, Updates und Monitoring liegen bei Ihnen. Die Anfangskosten sind höher.

---

Unsicher, welcher Weg passt? Unsere KI-Beratung in Luxemburg beginnt genau mit dieser Datenfluss-Analyse, bevor ein Tool ausgewählt wird.

DSGVO im September 2026: was tatsächlich gilt

• Übermittlungen in die USA sind nicht automatisch unzulässig. Der Angemessenheitsbeschluss der Kommission zum EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795) gilt für darunter zertifizierte US-Empfänger. Das Gericht der EU hat die Klage dagegen am 3. September 2025 abgewiesen (Rechtssache T-553/23, Latombe/Kommission). Ein Rechtsmittel ist beim Gerichtshof anhängig (Rechtssache C-703/25 P): Betrachten Sie das DPF als gültig, aber nicht als endgültig. Halten Sie Standardvertragsklauseln als Rückfalloption bereit, wo Ihr Anbieter sie anbietet.
• EU-Datenresidenz verringert Übermittlungen, ändert aber nicht die Nationalität des Anbieters. Ein US-Anbieter mit EU-Rechenzentren unterliegt weiterhin US-Recht. Für die meisten KMU-Anwendungsfälle sind EU-Residenz und ein ordentlicher AVV eine verhältnismäßige Antwort. Für Bankgeheimnis oder Gesundheitsdaten ist genau das der Grund für Weg 4.
• Ihre eigenen Pflichten bleiben. Eine Datenschutz-Folgenabschätzung (DSFA), wenn die Verarbeitung nach Art. 35 DSGVO ein hohes Risiko birgt, ein Verarbeitungsverzeichnis und Anweisungen an die Mitarbeitenden, was in welches Tool eingegeben werden darf, gelten unabhängig vom Modell.

Ein Entscheidungsrahmen für Luxemburger Unternehmen

Keine personenbezogenen oder vertraulichen Daten, allgemeine Produktivität: jedes Spitzenmodell in einem Business-Tarif. Wählen Sie das, was Ihr Team tatsächlich nutzt.

Personenbezogene Kundendaten, normale Sensibilität: ein Tarif oder Weg mit vertraglicher EU-Residenz-Zusage. Das heißt ChatGPT Enterprise oder die API mit europäischer Residenz, Claude über Bedrock oder Google Cloud in einer EU-Region, oder Mistral.

Bankgeheimnis, Fondsdaten, Gesundheitsdaten, M&A: ein privates Deployment oder Open-Weight-Modelle auf von Ihnen kontrollierter Infrastruktur, Spitzen-Cloud-Modelle nur für nicht sensible Arbeit.

Die meisten Luxemburger KMU landen bei zwei Stufen: ein Spitzenassistent für den Alltag und ein kontrollierter Weg für Prozesse mit Kundendaten.

---

Was passiert bei der falschen Wahl?

Der teure Fehler liegt selten im Modell. Er liegt darin, Kundendaten über einen Weg zu schicken, dessen Datenfluss niemand geprüft hat. Beispiele sind ein Verbraucher-ChatGPT-Konto für Mandantenakten oder die Annahme „Claude ist in der EU gehostet“, obwohl das Konto Anthropics eigene, US-gebundene API nutzt. Umgekehrt verschwendet ein Unternehmen, das überkorrigiert und ein privates Deployment für Aufgaben kauft, die ein normaler Business-Tarif abdecken würde, Budget und bremst die Einführung.

Beginnen Sie mit den drei Fragen oben und wählen Sie dann den Weg passend zu den Daten.

---

FAQ: KI-Modellwahl in Luxemburg

Ist ChatGPT für Luxemburger Unternehmen DSGVO-konform?

Es kann es sein, je nach Tarif. Seit Februar 2025 bietet OpenAI Datenresidenz in Europa für ChatGPT Enterprise, ChatGPT Edu und die API. Zusammen mit einem Auftragsverarbeitungsvertrag ist das die Konfiguration für personenbezogene Kundendaten. Verbraucher- und kleine Team-Tarife haben nicht dieselbe Residenz-Zusage: Halten Sie personenbezogene Kundendaten dort heraus.

Ist Mistral AI DSGVO-konform?

Mistral ist ein französisches Unternehmen, das seine Dienste in der EU hostet. Damit entfällt im Standardfall die Drittlandübermittlung, die bei US-Anbietern zu prüfen ist. Ihre eigenen Pflichten — Rechtsgrundlage, AVV, gegebenenfalls DSFA — bleiben bestehen.

Ist Claude in der EU gehostet?

Nicht über Anthropics eigene Dienste, Stand September 2026. Anthropics Dokumentation zur Datenresidenz nennt für die Inferenz nur „us“ und „global“, für die Speicherung nur „us“. Für Claude-Inferenz in einer EU-Region nutzen Sie Claude über Amazon Bedrock oder Google Cloud und wählen dort eine EU-Region.

Welches KI-Modell beherrscht Französisch, Deutsch und Englisch am besten?

Alle aktuellen Spitzenmodelle schreiben gut auf FR/DE/EN. Mistral ist besonders stark auf Französisch und ein EU-Unternehmen mit EU-Hosting. Claude ist unsere erste Wahl für sorgfältige Dokumentenanalyse in allen drei Sprachen. Testen Sie mit Ihren eigenen Dokumenten: Der Unterschied zwischen Modellen bei Ihren Texten zählt mehr als jede allgemeine Rangliste.

Wann ist ein privates KI-Deployment sinnvoll?

Wenn Sie in einer regulierten Branche tätig sind — Banking, Fondsadministration, Gesundheitswesen — oder hochsensible Daten wie M&A-Dokumente, Kundenfinanzen oder Patientenakten verarbeiten. Ein privates Deployment hält die Daten in Ihrer kontrollierten Umgebung und lässt sich an Ihre eigenen Daten anpassen.

---

Bei 20 More helfen wir Luxemburger Unternehmen, ihre Datenflüsse zu erfassen, den richtigen Weg und das richtige Modell zu wählen und umzusetzen — von einem sauber konfigurierten ChatGPT-Enterprise-Workspace bis zu einem vollständig privaten KI-System. Buchen Sie eine kostenlose Beratung, um eine auf Ihr Unternehmen zugeschnittene Empfehlung zu erhalten.