CompanyGPT vs. ChatGPT für Unternehmen: Was Datenresidenz wirklich abdeckt

„Wir haben doch einen AVV mit OpenAI" ist einer der häufigsten Sätze in unseren Erstgesprächen. Er ist richtig — beantwortet aber nicht die Frage, die Ihr Datenschutzbeauftragter stellt.

Diese Seite erklärt den Unterschied zwischen dem, was ein Auftragsverarbeitungsvertrag regelt, und dem, was ein Produktmerkmal namens Datenresidenz leistet. Und sie sagt fairerweise dazu, was sich bei OpenAI zuletzt verbessert hat.

Zuerst: ChatGPT für Unternehmen ist nicht ein Produkt, sondern drei

Die meisten Missverständnisse entstehen, weil über „ChatGPT im Unternehmen" gesprochen wird, ohne zu klären, welches Angebot gemeint ist. Für die Datenschutzbewertung ist der Unterschied erheblich:

Was der AVV zusichert — und was nicht

Hier liegt der eigentliche Punkt, und er lässt sich sauber belegen.

Der Auftragsverarbeitungsvertrag von OpenAI regelt in Ziffer 4.1 ausdrücklich den Fall, dass OpenAI Ireland Limited Daten aus dem EWR und der Schweiz an andere OpenAI-Gesellschaften oder Dritte außerhalb des EWR übermittelt — abgesichert über Standardvertragsklauseln.

Anders gesagt: Der AVV verhindert die Drittlandübermittlung nicht, er regelt sie. Wer eine geografisch begrenzte Verarbeitung will, braucht zusätzlich das Produktmerkmal Datenresidenz. Das ist keine Kritik an OpenAI — so funktionieren Auftragsverarbeitungsverträge grundsätzlich. Es ist nur nicht das, was viele annehmen, wenn sie „wir haben einen AVV" sagen.

Fairerweise: Was sich im Januar 2026 verbessert hat

Ein verbreiteter Satz im Markt lautet, OpenAI speichere zwar in der EU, verarbeite aber grundsätzlich global. Das stimmt so nicht mehr.

Seit dem 16. Januar 2026 bietet OpenAI Inference Residency an: Die Modellausführung auf der GPU findet für berechtigte Kunden ausschließlich in der gewählten Region statt — Europa (EWR und Schweiz) ist unterstützt. Das gilt für ChatGPT Enterprise, Edu und ChatGPT for Healthcare.

Wer heute noch behauptet, bei OpenAI verlasse jede Anfrage zwangsläufig die EU, argumentiert mit einem veralteten Stand. Wir sagen das ausdrücklich, weil eine Entscheidung auf falscher Grundlage niemandem hilft.

Was auch mit Inference Residency außerhalb der Region bleiben kann

Genauso wichtig ist die Einschränkung, die OpenAI selbst dokumentiert. Sinngemäß aus der Hilfe-Dokumentation:

Inference Residency garantiert die GPU-Ausführung auf den erfassten Inhalten in der gewählten Region. Andere Verarbeitungsschritte — etwa Authentifizierung, Routing, Indexierung und Protokollierung ohne Inhalte — können weiterhin außerhalb der Region stattfinden. Auf die Frage, ob Inference Residency garantiere, dass sämtliche Verarbeitung in der Region bleibt, antwortet die Dokumentation ausdrücklich mit „Nein". Für strengere Anforderungen verweist OpenAI auf eine in Entwicklung befindliche Roadmap für umfassendere Compute-Residency.

Ebenfalls nicht von der Residenz erfasst sind laut Dokumentation unter anderem Daten, die über externe Integrationen verarbeitet werden — etwa Apps, MCP-Anbindungen und die Websuche, sofern aktiviert.

Der Punkt, den man bei ChatGPT Business kennen sollte

Für ChatGPT Business dokumentiert OpenAI eine Regelung, die in Compliance-Gesprächen regelmäßig für Überraschung sorgt: Die gewählte Region steuert die Speicherung der primären Inhalte im Ruhezustand, umfasst aber keine Inference Residency. Und bei Wahl einer Region außerhalb der USA wird laut Dokumentation zusätzlich eine Kopie jeder Anfrage und jeder Antwort befristet in den USA gespeichert — zu Sicherheits- und Missbrauchsüberwachungszwecken, auch wenn der Workspace auf eine andere Region konfiguriert ist.

Wer also mit ChatGPT Business arbeitet und annimmt, damit sei die europäische Verarbeitung geklärt, sollte diese Passage kennen. Für ChatGPT Enterprise und Edu gelten laut OpenAI ausdrücklich eigene, davon abweichende Regelungen.

Zur Frage nach Codex: Ja, eigene Endpunkte sind möglich

Weil uns das häufig gefragt wird: Die Codex-CLI lässt sich laut OpenAI-Dokumentation auf andere Endpunkte umbiegen. Über openai_base_url kann der eingebaute Provider auf einen LLM-Proxy, einen Router oder ein Projekt mit aktivierter Datenresidenz gezeigt werden; alternativ lassen sich eigene Model-Provider mit eigener base_url definieren. Es gibt einen eingebauten Amazon-Bedrock-Provider mit Regionswahl, und über --oss lässt sich die CLI gegen lokale Modelle über Ollama oder LM Studio betreiben. Die Codex-CLI steht unter Apache-2.0-Lizenz.

Microsoft dokumentiert außerdem den Betrieb der Codex-CLI gegen Azure — mit dem ausdrücklichen Ziel, den Coding-Agenten vollständig auf Azure-Infrastruktur innerhalb der eigenen Compliance-Grenze zu betreiben. Zu beachten: Entra-ID-Unterstützung ist laut Microsoft-Doku für Codex derzeit nicht verfügbar, es bleibt also bei API-Key-Authentifizierung.

Zwei Einschränkungen gehören dazu, damit das Bild vollständig ist:

• In OpenAIs Liste der residency-fähigen Modelle taucht kein Codex-Modell auf. Man kann die CLI auf den EU-Endpunkt zeigen — dann aber nicht mit einem Codex-Modell.
• Die administrative Zwangseinstellung enforce_residency in der Managed Configuration akzeptiert laut Referenz derzeit ausschließlich den Wert us.

Auf Azure ist eine EU-begrenzte Verarbeitung eines Codex-Modells nach aktueller Microsoft-Regionsübersicht über Data Zone Provisioned erreichbar, dort allerdings nicht mit den neuesten Codex-Modellen. Global-Deployments führt Microsoft ausdrücklich als Transfer aus der EU Data Boundary — Prompts und Ausgaben können dort in jeder Azure-Region weltweit verarbeitet werden. Per Azure Policy lässt sich die Global-Standard-SKU blockieren.

Wie CompanyGPT die Frage anders stellt

CompanyGPT verlagert die Frage von „Welche Residency-Stufe habe ich gebucht?" zu „In welchem Tenant und in welcher Region läuft das?". Die Plattform wird in Ihrer eigenen Cloud aufgebaut — Azure, Google Cloud oder souverän auf STACKIT. Sie wählen Region und Modellzugang, und die Chat- und Wissensdaten bleiben in Ihrem Tenant.

GPT-Modelle können Sie darin über Ihre Azure-Subscription nutzen — parallel zu Claude, Gemini und offenen Modellen, geroutet je Anwendungsfall.

Wann ChatGPT die richtige Wahl ist

• Wenn Sie ChatGPT Enterprise einsetzen können und die Inference Residency für Europa Ihre Anforderungen abdeckt.
• Wenn die Oberfläche und das Ökosystem von OpenAI genau das sind, was Ihre Nutzer brauchen.
• Wenn Sie keine Modellvielfalt über OpenAI hinaus benötigen.
• Wenn Sie keinen eigenen Betrieb aufsetzen wollen.

Wann CompanyGPT die bessere Wahl ist

• Wenn der Verarbeitungsort vollständig im eigenen Tenant liegen soll, statt über Residency-Stufen gesteuert zu werden.
• Wenn Sie mehrere Modellfamilien parallel brauchen — auch, um Kosten je Anwendungsfall zu steuern.
• Wenn die Wissensbasis bestehende Berechtigungen abbilden muss, insbesondere aus SharePoint.
• Wenn die Kosten nicht mit der Mitarbeiterzahl wachsen sollen.
• Wenn Sie Automatisierung über n8n und MCP in Fachprozesse bringen wollen.

Fazit

Der wichtigste Satz dieser Seite ist nicht „OpenAI ist unsicher" — das wäre schlicht falsch, und die Inference Residency seit Januar 2026 ist ein echter Fortschritt.

Der wichtigste Satz ist: Ein AVV ist keine Zusage über den Verarbeitungsort. Wer geografische Kontrolle braucht, muss das passende Produkt buchen, dessen Grenzen kennen — oder die Verarbeitung von vornherein in den eigenen Tenant holen. Welcher der drei Wege für Sie der richtige ist, hängt von Ihrer Compliance-Lage ab, und wir sagen Ihnen auch, wenn ChatGPT Enterprise dafür ausreicht.

Quellen

Alle Angaben zu OpenAI stammen aus der OpenAI- bzw. Microsoft-Dokumentation, abgerufen am 23. August 2026:

• Data residency and inference residency for ChatGPT — https://help.openai.com/en/articles/9903489-data-residency-and-inference-residency-for-chatgpt
• Where your ChatGPT Business content is stored — https://help.openai.com/en/articles/20001418-where-your-chatgpt-business-content-is-stored
• Introducing data residency in Europe — https://openai.com/index/introducing-data-residency-in-europe/ — Update vom 16. Januar 2026
• OpenAI Data Processing Addendum — https://openai.com/policies/data-processing-addendum/ — Ziffer 4.1
• Your data — OpenAI Platform — https://platform.openai.com/docs/guides/your-data
• Codex config reference — https://developers.openai.com/codex/config-reference
• Codex on Azure — https://learn.microsoft.com/en-us/azure/ai-foundry/openai/how-to/codex
• Azure deployment types — https://learn.microsoft.com/en-us/azure/foundry/foundry-models/concepts/deployment-types

Hinweis zu den Angaben: Alle Aussagen über Produkte anderer Anbieter beruhen auf deren öffentlich zugänglicher Dokumentation zum angegebenen Stand. Anbieter entwickeln ihre Produkte, Funktionen und Konditionen laufend weiter — maßgeblich sind stets die aktuellen Angaben des jeweiligen Anbieters. Sollte Ihnen eine Angabe veraltet oder unzutreffend erscheinen, schreiben Sie uns kurz an info@innfactory.ai; wir prüfen und korrigieren zeitnah. Dieser Vergleich ersetzt keine Rechts- oder Datenschutzberatung im Einzelfall.

Weiterführende Artikel

• ChatGPT im Unternehmen: DSGVO-konforme private GPTs – der Grundlagenartikel
• DSGVO-konforme KI-Plattformen im Vergleich 2026 – der Marktüberblick
• CompanyGPT vs. Claude – der Vergleich zu Anthropic
• CompanyGPT im Überblick – Plattform, Addons und Betriebsmodell