ChatGPT Business, Copilot, Mistral Le Chat: DSGVO-konform?

Mehr zur KI-Implementierung in Luxemburg, und die allgemeine DSGVO-Prüfliste für jeden KI-Anbieter finden Sie in unserem Leitfaden DSGVO-konforme KI für Luxemburger KMU.

In den meisten Luxemburger Unternehmen, die ich besuche, nutzen die Beschäftigten bereits täglich einen KI-Assistenten. Die Frage ist nur, welchen, und mit welchem Konto. Meist ist es eine Mischung: Microsoft 365 Copilot für die einen, ein privates ChatGPT-Konto für die anderen, Mistrals Le Chat für die Französischsprachigen, Claude für die Person, die es zuerst entdeckt hat. Die Datenschutzfrage lautet also nicht „Ist dieses Tool erlaubt?“, sondern „Ist dieser Tarif, mit diesem Vertrag und diesen Einstellungen, erlaubt?“.

Bei 20 More richte ich diese Assistenten für Luxemburger KMU ein und konfiguriere sie. Dieser Leitfaden behandelt nur die Chatassistenten, die Beschäftigte direkt nutzen, nicht die Entwickler-APIs, und das, was ein Administrator prüfen muss. Wer Modelle nach Qualität und Datenstandort vergleichen will, findet das in unserem Vergleich von Mistral, ChatGPT und Claude.

Welche Tarife sind Business-Tarife, und trainieren sie mit Ihren Daten?

Entscheidend ist nicht die Marke, sondern der Vertrag. Privattarife sind Verträge mit dem einzelnen Beschäftigten. Business-Tarife sind Verträge mit Ihrem Unternehmen, und erst das ermöglicht einen Vertrag nach Artikel 28. Stand der Herstellerdokumentation am 9. Oktober 2026:

Zwei Hinweise. Mistral hat Le Chat 2026 in Vibe umbenannt; Konten, Gespräche und Tarife wurden übernommen (Mistral Help). Und bei mehreren Anbietern ist Feedback die Ausnahme vom „kein Training“: Mistrals DPA erlaubt die Nutzung eines Daumen-hoch oder Daumen-runter samt zugehöriger Ein- und Ausgabe (Mistral DPA), und Anthropic sagt dasselbe über ausdrückliches Feedback (Anthropic Privacy Center). Bitten Sie die Beschäftigten, Gespräche mit personenbezogenen Daten nicht zu bewerten.

Wo werden die Daten gespeichert und verarbeitet?

Hier unterscheiden sich die Business-Tarife am stärksten, und die Voreinstellung ist nicht immer die EU. Stand der Herstellerdokumentation am 9. Oktober 2026:

Eine Verarbeitung außerhalb der EU ist nicht automatisch rechtswidrig. Übermittlungen in die USA können sich auf das EU-US Data Privacy Framework stützen, angenommen am 10. Juli 2023 (Europäische Kommission) und vom Gericht der EU am 3. September 2025 in der Rechtssache Latombe bestätigt (T-553/23, EuGH), oder auf Standardvertragsklauseln nach Kapitel V DSGVO (DSGVO). Ein Rechtsmittel ist anhängig, deshalb sollten die Klauseln als Rückfallebene im Vertrag bleiben. Was nicht geht: die Frage zu ignorieren. Die Übermittlung muss dokumentiert sein.

Mistral und DSGVO: Ist die europäische Option automatisch konform?

Mistral ist die Frage, die mir deutschsprachige Kunden am häufigsten stellen, und die Antwort lautet: der beste Ausgangspunkt, nicht das Ziel. Mistral AI ist ein französisches Unternehmen, und die Daten von Le Chat werden standardmäßig in der EU gehostet (Mistral Help). Damit entfällt der größte Teil der Übermittlungsanalyse. Der Rest nicht:

• Tarif. Free und Pro trainieren mit Ein- und Ausgaben, solange der Nutzer nicht widerspricht (Mistral Help). Unternehmensdaten gehören in Team oder Enterprise.
• Trainingsschalter. Bei Team kann der Administrator das Training für die ganze Organisation im Admin-Bereich abschalten; Enterprise ist standardmäßig ausgeschlossen (Mistral Help). Prüfen Sie das, statt es anzunehmen.
• AVV. Mistrals DPA gilt, wenn Mistral unter den kommerziellen Bedingungen personenbezogene Daten in Ihrem Auftrag verarbeitet (Mistral Commercial Terms). Laden Sie es herunter und legen Sie es zu Ihrem Verzeichnis.
• Aufbewahrung. Gespräche werden nach manueller Löschung oder Kontolöschung entfernt, vorbehaltlich einer kurzen Karenzzeit und gesetzlicher Aufbewahrung (Mistral Help); Zero Data Retention gibt es für das Chatprodukt nicht (Mistral Help). Legen Sie fest, wie lange Beschäftigte Gespräche behalten, und sagen Sie es ihnen.
• Konnektoren. Eine Verbindung von Le Chat mit E-Mail, Drive oder SharePoint erweitert, was der Assistent sieht; Mistral beschreibt, wie sich Daten aus Drittanwendungen steuern und löschen lassen (Mistral Help).

Die Luxemburger Datenschutzbehörde CNPD hat dasselbe in ihrer Mitteilung zu DeepSeek gesagt: KI-Tools bevorzugen, die dem europäischen Rahmen (DSGVO, AI Act) entsprechen, keine personenbezogenen oder vertraulichen Daten in Tools ohne angemessene Garantien eingeben und die Beschäftigten für die Risiken sensibilisieren (CNPD). Mistral erfüllt die erste Empfehlung. Die beiden anderen bleiben Ihre Aufgabe.

Die Konfigurations-Checkliste in 8 Punkten

Diese Liste arbeite ich ab, bevor ein Assistent live geht. Sie gilt für alle vier.

Zu Punkt 7: Will die Geschäftsleitung die Prompts von Beschäftigten lesen, um deren Arbeit zu kontrollieren, ist das ein anderer Zweck als der Betrieb des Tools, und Artikel L.261-1 des Code du travail zur Überwachung am Arbeitsplatz greift. Unser Leitfaden zu KI-Protokollierung von Besprechungen und Überwachung am Arbeitsplatz erklärt das Verfahren.

Zu Punkt 8: Artikel 4 des AI Act gilt seit dem 2. Februar 2025 für jeden Betreiber, dessen Beschäftigte KI nutzen (AI Act Service Desk). Der Digital-Omnibus hat den Wortlaut 2026 geändert, die Pflicht aber beibehalten; unser Leitfaden zu Artikel 4 erklärt, was heute erwartet wird.

Was gehört in eine einseitige KI-Nutzungsrichtlinie?

Lange Richtlinien werden nicht gelesen. Die Fassung, die in den KMU funktioniert, mit denen ich arbeite, passt auf eine Seite und beantwortet sechs Fragen:

1. Welche Tools sind freigegeben? Nennen Sie sie samt Tarif: „Microsoft 365 Copilot und Mistral Team, mit Ihrer Firmenanmeldung“. Alles andere, auch Privatkonten derselben Tools, ist für Unternehmensdaten nicht freigegeben.
2. Was darf eingefügt werden? Drei Stufen:

3. Wer prüft das Ergebnis? Wer es verwendet. KI-Antworten sind Entwürfe; alles, was an Kunden geht oder in eine Entscheidung über eine Person einfließt, liest vorher ein Mensch.
4. Was ist mit Schatten-KI? Browsererweiterungen, Meeting-Bots und „kostenlose Tests“, die mit einem Geschäftskonto verbunden werden, sind ohne Freigabe der IT nicht erlaubt. Sagen Sie, warum: Sie verarbeiten Unternehmensdaten unter Bedingungen, die niemand unterschrieben hat.
5. Was tun, wenn etwas schiefgeht? Jemand hat eine Kundenakte in ein Privatkonto kopiert: noch am selben Tag dem Datenschutzbeauftragten oder der Führungskraft melden. Eine Verletzung des Schutzes personenbezogener Daten kann innerhalb von 72 Stunden an die CNPD zu melden sein (DSGVO Art. 33, DSGVO), deshalb zählt Tempo mehr als Schuldzuweisung.
6. Wer ist für die Richtlinie verantwortlich? Eine namentlich benannte Person, ein Überprüfungsdatum und ein Link zur kurzen Schulung.

Diese Seite ist zugleich der Kern Ihrer Information an die Beschäftigten und Ihres Nachweises zur KI-Kompetenz.

Häufige Fragen

Ist ChatGPT Business DSGVO-konform?

ChatGPT Business und Enterprise lassen sich DSGVO-konform nutzen: OpenAI trainiert standardmäßig nicht mit Geschäftsdaten, bietet ein DPA an und lässt Admins die Aufbewahrung steuern. EU-Datenresidenz gibt es für ChatGPT Enterprise und Edu; bei ChatGPT Business wird sie schrittweise eingeführt und betrifft nur die Speicherung. Die Tarife Free und Plus laufen unter Verbraucherbedingungen und sind für Unternehmens- oder Kundendaten nicht geeignet.

Ist Mistral Le Chat DSGVO-konform?

Mistrals Le Chat (inzwischen Vibe genannt) wird standardmäßig in der EU gehostet und ist damit einer der am einfachsten nach DSGVO zu dokumentierenden Assistenten. Nutzen Sie den Tarif Team oder Enterprise, prüfen Sie, dass das Training für die Organisation abgeschaltet ist, und legen Sie Mistrals DPA ab. Die Tarife Free und Pro trainieren mit den Gesprächen, solange der Nutzer nicht widerspricht.

Ist Microsoft 365 Copilot DSGVO-konform?

Microsoft 365 Copilot ist durch Microsofts Data Protection Addendum abgedeckt und ein Dienst innerhalb der EU Data Boundary, und Prompts werden nicht zum Training der Basismodelle genutzt. Prüfen Sie zwei Einstellungen: Flex Routing, das die Inferenz bei Lastspitzen aus der EU verlagern kann und für berechtigte, nach dem 25. März 2026 angelegte Tenants standardmäßig aktiv ist, und Anthropic-Modelle, die von der EU Data Boundary ausgenommen sind. Von Copilot erzeugte Websuchanfragen fallen nicht unter das DPA.

Eignet sich Claude für ein europäisches Unternehmen?

Claude Team und Enterprise laufen unter Anthropics kommerziellen Bedingungen: standardmäßig kein Training mit Ihren Daten und ein DPA mit Standardvertragsklauseln. Anthropics eigene Apps bieten keine EU-Datenresidenz, die Daten liegen in den USA, und die Übermittlung stützt sich auf diese Klauseln. Claude in einer EU-Region ist nur über Amazon Bedrock oder Google Cloud Vertex AI möglich, nicht über die Claude-App.

Wie gut ist Mistral im Vergleich zu Claude?

Beim Datenstandort ist Mistral einfacher: EU-Hosting als Standard und ein europäischer Anbieter. Bei der Qualität ist Claude unsere erste Wahl für sorgfältige Texte und Dokumentenanalyse, aber der Unterschied bei Ihren eigenen Dokumenten zählt mehr als jede Rangliste, also testen Sie beide mit echter Arbeit. Eine sinnvolle Aufteilung ist Mistral für Arbeit mit personenbezogenen Kundendaten und Claude für interne Texte, wobei die Nutzungsrichtlinie festlegt, welche Daten wohin dürfen.

Wenn Sie eine zweite Meinung zu Tarif und Einstellungen des Assistenten wollen, den Ihr Team schon nutzt, sagen Sie uns, welcher es ist und wie er konfiguriert ist. Konfiguration und Richtlinie sind oft förderfähig: Prüfen Sie es in zwei Minuten.