ChatGPT DSGVO-konform und rechtssicher im Unternehmen einsetzen — Mit CompanyGPT zum privaten GPT (2026)

Aktualisiert: 29. Juni 2026 — Dieser Leitfaden wurde umfassend aktualisiert: aktuelle DSGVO- und EU-AI-Act-Praxis, Stand der ChatGPT-Enterprise-Verträge, OpenAI-Pflichtoffenlegung von 20 Mio. Nutzer-Chats (Urheberrechtsstreit), Multi-LLM-Realität (GPT-5, Claude, Gemini), und das Deployment-Modell im eigenen Cloud-Tenant (Azure / Google Cloud / STACKIT).

Die rasante Entwicklung Künstlicher Intelligenz bietet Unternehmen enorme Effizienz- und Produktivitätsgewinne — und gleichzeitig stellt der Einsatz öffentlicher Dienste wie ChatGPT den Datenschutz vor reale, oft unterschätzte Herausforderungen. Mit DSGVO und EU AI Act gilt 2026: Wer ChatGPT geschäftlich einsetzt, ohne ein klares Datenschutz- und Governance-Konzept, riskiert Bußgelder, Geschäftsgeheimnisse und im schlimmsten Fall Mandantenvertrauen.

Dieser Artikel zeigt aus 50+ Praxisprojekten, wo die Risiken konkret liegen, was die kostenpflichtigen ChatGPT-Versionen (Business, Enterprise) abdecken — und warum die strategisch richtige Antwort 2026 aus unserer Sicht nicht „ChatGPT Enterprise“ heißt, sondern eine private KI-Plattform im eigenen Cloud-Tenant.

Kontextueller Tiefgang: unser Pillar-Leitfaden „KI für Unternehmen 2026" ordnet diesen Artikel in das Gesamtbild von Strategie, Plattformwahl, Compliance und Rollout ein.

Die drei realen Risiken von ChatGPT im Unternehmen

1. Schatten-KI: Mitarbeiter nutzen ChatGPT trotz Verbot

Bitkom-Studien (2024/2025) zeigen: Über 70 % der Wissensarbeiter nutzen privat ChatGPT, Claude oder Gemini — auch mit Firmendaten. Eine offizielle Sperre auf Firmenrechnern verschiebt das Problem nur aufs Smartphone. Schatten-KI ist 2026 das größte ungelöste DSGVO-Risiko in deutschen Unternehmen.

Der prominenteste dokumentierte Fall: Samsung hat 2023 vertrauliche Halbleiter-Designdaten an ChatGPT verloren, die in OpenAIs Trainingspipeline einflossen. Ähnliche Fälle gibt es 2025/2026 reihenweise — meist nicht öffentlich, weil betroffene Unternehmen schweigen.

Mehr dazu in unserem Artikel zu Bring Your Own AI (BYOAI) im Mittelstand.

2. Datenübermittlung in die USA

Die kostenlose ChatGPT-Version und ChatGPT Plus verarbeiten Daten in den USA. Für die Geschäftsversionen bietet OpenAI inzwischen Optionen zur Datenresidenz an: Bei ChatGPT Enterprise und Edu lassen sich Inhalte laut OpenAI in Europa (EWR und Schweiz) speichern, optional auch mit Modellausführung in Europa (Inference Residency). Bei ChatGPT Business (ehemals Team) betrifft die wählbare Region laut OpenAI nur die Speicherung, nicht die Verarbeitung; die Option wird schrittweise ausgerollt. Ohne gebuchte Residenz-Option werden Daten in die USA übermittelt, abgesichert über die im Auftragsverarbeitungsvertrag vorgesehenen Mechanismen. Welche Variante welche Zusagen enthält, ordnen wir im Vergleich CompanyGPT vs. ChatGPT ein.

OpenAI ist ein US-Unternehmen. US-Anbieter unterliegen grundsätzlich dem US CLOUD Act, unabhängig davon, wo Daten gespeichert werden; ein Auftragsverarbeitungsvertrag ändert daran nichts. Für vertrauliche Daten (Geschäftsgeheimnisse, Personaldaten, Mandanteninformationen, Patientendaten) sollte dieser Punkt in die Risikobewertung einfließen.

Aktueller Praxisfall: Im Frühjahr 2026 wurde OpenAI im Rahmen eines US-Urheberrechtsstreits zur Offenlegung von 20 Millionen Nutzer-Chats verpflichtet. Wir haben den Fall in unserem Artikel „Urheberrechtsstreit zwingt OpenAI zur Offenlegung von 20 Mio. Nutzer-Chats" analysiert. Wer ChatGPT geschäftlich nutzt, muss damit rechnen, dass Inhalte unter US-Recht herausgegeben werden müssen.

3. Verlust der Datenkontrolle und fehlender Geschäftskontext

ChatGPT im Free-/Plus-Tarif behält sich vor, Eingaben zum Training globaler Modelle zu nutzen. Bei ChatGPT Business (ehemals Team) und Enterprise schließt OpenAI das vertraglich aus. Für Firmenwissen bietet OpenAI Konnektoren, etwa zu SharePoint, die laut OpenAI nur Inhalte abrufen, auf die das jeweilige Konto zugreifen darf. Der Unterschied zu einer Plattform im eigenen Tenant liegt im Betriebsort: Bei ChatGPT laufen Wissensanbindung und Verarbeitung in der Umgebung von OpenAI.

Was die kostenpflichtigen ChatGPT-Versionen abdecken

Microsoft Copilot ist eine ernst zu nehmende Alternative. Was dabei zur EU Data Boundary dokumentiert ist, haben wir im Artikel „Microsoft Copilot Flex Routing: Datenverarbeitung außerhalb EU“ beschrieben. Der wesentliche Unterschied zu CompanyGPT liegt im Betriebsmodell: Copilot ist ein Microsoft-Dienst mit von Microsoft angebotenen Modellen (OpenAI, optional Anthropic) und wird pro Nutzer lizenziert; CompanyGPT läuft im eigenen Cloud-Tenant mit frei wählbaren Modellen und n8n als Workflow-Ebene. Details im Vergleich CompanyGPT vs. Microsoft 365 Copilot.

Der bessere Weg: KI-Plattform im eigenen Cloud-Tenant

Statt eines US-SaaS oder einer Per-User-Plattform mit fremder Mandanten-Hoheit empfehlen wir bei innFactory AI für Unternehmen ab ca. 20 produktiven Nutzern den eigenen Cloud-Tenant:

• Plattform läuft in Ihrer Azure-, Google-Cloud- oder STACKIT-Subscription — nicht beim SaaS-Anbieter
• Daten und Konfiguration bleiben vollständig in Ihrer Hoheit, Sie schließen den Cloud-AVV direkt mit Microsoft, Google oder STACKIT ab
• Kein Per-User-Lizenzmodell — Sie zahlen Infrastruktur und Token-Nutzung zum Listenpreis des Cloud-Anbieters (ohne Aufschlag durch innFactory), dazu ein Festpreis-/Wartungsmodell für Aufbau und optionalen Managed-Service
• Multi-LLM-Routing zwischen Azure OpenAI (GPT-5, GPT-4o), Anthropic Claude (via Bedrock/Vertex), Gemini, sowie souveränen Open-Source-Modellen über STACKIT AI Model Serving
• n8n-Workflow-Engine im selben Stack für Automation, MCP-Server und eigene Agenten

Genau das ist die CompanyGPT-Architektur: ein Open-Source-Fundament (LibreChat), erweitert um produktive Enterprise-Funktionen (companyRAG für SharePoint mit Berechtigungs-Spiegelung, companyFILES für Office-Bearbeitung, companyTRANSLATE für DSGVO-konforme Übersetzungen), aufgebaut im Cloud-Tenant des Kunden — wahlweise auf Azure, Google Cloud oder vollständig souverän auf STACKIT.

Wir haben die drei Deployment-Varianten und ihre Souveränitätsstufen detailliert in unserem ES³-Artikel eingeordnet.

Drei konkrete Vorteile gegenüber ChatGPT Enterprise

Vorteil 1: Mandantenhoheit beim Kunden

Bei CompanyGPT existiert kein „SaaS-Mandant beim Anbieter". Die Plattform läuft in Ihrer eigenen Cloud-Subscription. Wenn Sie morgen den Anbieter wechseln wollen — innFactory durch ein anderes Beratungshaus ersetzen — bleibt die Plattform stehen, weil sie auf offenen Standards (LibreChat, PostgreSQL, Kubernetes, Standard-LLM-APIs) basiert. Kein Vendor-Lock-in.

Vorteil 2: Multi-LLM mit echter Modellfreiheit

ChatGPT Enterprise ist auf OpenAI-Modelle festgelegt. CompanyGPT routet pro Use Case und pro Anfrage zum jeweils besten Modell:

• GPT-5 / GPT-4o für multimodale Aufgaben und Tool-Use
• Claude Sonnet / Opus für Reasoning, lange Dokumente, Coding (siehe Claude für Unternehmen einsetzen)
• Gemini 2.5 für Google-Workspace-Integration und große multimodale Inputs
• Llama / Mistral / Aleph Alpha über STACKIT AI Model Serving für vollständig souveräne Verarbeitung

In der Praxis senken Multi-LLM-Strategien die Token-Kosten spürbar und erhöhen gleichzeitig die Output-Qualität, weil pro Anfrage das wirtschaftlichste passende Modell genutzt wird. Mehr dazu im Pillar-Leitfaden.

Vorteil 3: Erweiterbarkeit über MCP, n8n und eigene Agenten

ChatGPT Enterprise bietet GPTs (custom assistants) als geschlossenes Konstrukt. CompanyGPT integriert das offene Model Context Protocol (MCP) — siehe unser Artikel zu MCP als USB-C-Schnittstelle für LLMs — und n8n als Workflow-Engine. Sie können also eigene Tools, ERP-Anbindungen, Branchen-Agenten und Automatisierungen bauen, ohne die Plattform zu verlassen. Wir setzen das in unseren eigenen Projekten produktiv ein, wie der Artikel „KI-assistierte Softwareentwicklung mit OpenCode" zeigt.

DSGVO und EU AI Act in der Praxis

DSGVO-Pflichten (Stand 2026)

• Auftragsverarbeitungsvertrag (AVV) — bei CompanyGPT: AVV mit innFactory plus Cloud-AVV mit Microsoft/Google/STACKIT
• Datenschutz-Folgenabschätzung (DSFA) für Hochrisiko-Anwendungen (Recruiting, automatisierte Entscheidungen, Bonität)
• Löschkonzept und Betroffenenrechte — bei CompanyGPT: vollständige Audit-Trails und programmatisches Löschen
• Internationale Datenübermittlung — vermeiden, wenn möglich; bei CompanyGPT optional komplett vermeidbar (STACKIT-Variante)

EU AI Act ab 2026

Der EU AI Act ist seit August 2024 in Kraft, mit gestaffelten Fristen:

• Februar 2025: Verbotene KI-Praktiken, Pflicht zur KI-Kompetenz (Art. 4)
• August 2025: Pflichten für General-Purpose AI (GPAI)
• August 2026: Volle Anwendbarkeit für Hochrisiko-Systeme (Recruiting, Bildung, kritische Infrastruktur)

Praktische Konsequenz: Sie müssen Mitarbeiter schulen, Hochrisiko-Anwendungen klassifizieren, Risikomanagement nach Art. 9 etablieren. Wir bieten das als KI-Compliance-Service und KI-Beauftragter as a Service — mit unserem Beirat Andreas Noerr, Fachanwalt für IT-Recht, und Prof. Dr. Sebastian Bayerl, Professor für angewandte KI.

Tieferer Kontext im Artikel „NIS2, KRITIS und der EU AI Act: Was mittelständische Unternehmen jetzt wissen müssen".

Wie unterscheidet sich das Kostenmodell von ChatGPT Enterprise?

ChatGPT Enterprise folgt einem Per-User-Abo-Modell: Die Kosten skalieren mit jeder weiteren Nutzerlizenz, hinzu kommen Token-Kosten, Implementierung und Schulung.

CompanyGPT folgt einer grundlegend anderen Kostenlogik:

• Plattform-Aufbau im Kunden-Tenant: einmaliges Festpreismodell, das nicht linear mit der Nutzerzahl skaliert
• Cloud-Infrastruktur (Azure/STACKIT): wird direkt mit dem Hyperscaler abgerechnet
• Token-Nutzung: zum Listenpreis des Cloud-Anbieters, ohne Aufschlag durch innFactory
• Optionaler Managed Service durch innFactory (Updates, Optimierung, Monitoring) im Wartungsmodell

Weil der Aufbau ein Festpreis ist und kein Per-User-Abo, wird der wirtschaftliche Vorteil gegenüber einem Per-User-SaaS mit jeder weiteren Nutzerlizenz größer — bei voller Datenhoheit, Multi-LLM und Erweiterbarkeit über MCP und n8n. Konkrete Preise nennen wir transparent auf der CompanyGPT-Produktseite; eine individuelle Vergleichsrechnung erstellen wir im Architektur-Workshop.

Häufig gestellte Fragen

Ist ChatGPT Enterprise DSGVO-konform? Nur bedingt. Mit AVV, EU-Region und DPF-Übermittlung ist eine Nutzung möglich, der US CLOUD Act bleibt aber ein juristisches Restrisiko. Für vertrauliche Daten ist eine im eigenen Cloud-Tenant (Azure/STACKIT) betriebene Plattform deutlich sicherer.

Ab wie vielen Nutzern lohnt sich CompanyGPT? Wirtschaftlich ab ca. 20 produktiven Nutzern. Der Festpreis-Aufbau im eigenen Tenant skaliert nicht linear mit der Nutzerzahl, weshalb der Vorteil gegenüber Per-User-SaaS mit jeder weiteren Lizenz größer wird.

Müssen wir Microsoft, Google oder STACKIT auswählen? Nein, das richtet sich nach Ihrer bestehenden Cloud-Strategie. Als Microsoft-, Google-Cloud- und STACKIT-Partner bauen wir die Plattform in jeder dieser drei Umgebungen auf — und kombinieren sie auf Wunsch (z. B. STACKIT für souveränen Kern plus Azure für Frontier-Modelle).

Wie lange dauert die Einführung? Der technische Aufbau im Kunden-Tenant ist in wenigen Tagen abgeschlossen. Pilot mit 10–30 Power-Usern in 6 Wochen, voller Rollout typisch nach 3–6 Monaten.

Können bestehende ChatGPT-Enterprise-Lizenzen abgelöst werden? Ja, in den meisten Fällen sinnvoll. Die Migration umfasst Custom GPTs, Wissensbasen und Prompt-Vorlagen — wir haben das mehrfach durchgeführt. Sprechen Sie uns für eine Migrations-Roadmap an.

Was ist mit Microsoft Copilot for M365? Eine valide Alternative für Standardprodukte, aber ohne Multi-LLM, ohne MCP, ohne n8n-Workflows. Details und Schwächen analysieren wir im Artikel „Microsoft Copilot Flex Routing" und im Vergleich LibreChat vs. Open WebUI vs. Copilot.

Die nächsten Schritte

Wenn Sie ChatGPT-Risiken in Ihrem Unternehmen reduzieren und gleichzeitig die volle KI-Power nutzen möchten — drei konkrete Optionen:

1. Architektur-Workshop (kostenlos, 60 Min): Wir analysieren Ihre IT-Landschaft (M365, Google Workspace, On-Premise) und geben eine fundierte Plattform-Empfehlung — Termin buchen.
2. CompanyGPT-Demo: 30-Minuten-Live-Demo der Plattform mit Ihren eigenen Use-Cases — Demo anfragen.
3. EU-AI-Act-Readiness-Check: In vier Wochen wissen Sie, wo Sie stehen und was bis zur vollen Anwendbarkeit zu tun ist — Service ansehen.

Wir sind ein deutsches Beratungshaus mit Tech- und Legal-DNA — Tobias Jonas (M.Sc. KI/Cloud), Fabian Artmann (M.Eng. Wirtschaftsingenieurwesen), unser Beirat mit Andreas Noerr (Fachanwalt IT-Recht), Prof. Dr. Sebastian Bayerl (Angewandte KI) und Daniel Artmann (MdL Bayern). Microsoft-, Google-Cloud- und STACKIT-Partner. Mehr über uns.

Aktualisiert von Tobias Jonas, Co-CEO innFactory AI Consulting GmbH. Letzte Aktualisierung: 29. Juni 2026. Wir aktualisieren diesen Artikel regelmäßig auf Basis neuer Rechtsprechung, Modell-Releases und Erkenntnisse aus laufenden Projekten.