Wo die Daten liegen und wie lange

Wer ein Sprachmodell über eine Schnittstelle nutzt, gibt Text aus der Hand. Ob der Anbieter damit trainieren darf und wer das Modell betreibt, klärt Kapitel 01. Dieses Kapitel fragt danach, was mit dem Text geschieht, solange er beim Anbieter liegt: an welchem Ort er gespeichert wird, an welchem er verarbeitet wird, wie lange er bleibt und mit wem darüber ein Vertrag besteht. Jede der großen Dokumentationen führt diese Angaben getrennt, und wer sie zusammenzieht, liest eine Zusage heraus, die dort nicht steht.

Speichern und Rechnen sind zwei Orte

Google schreibt die Trennung in zwei aufeinanderfolgende Sätze. Der erste betrifft das, was liegen bleibt:

Data stored at rest in the customer selected location remains at rest in that location (externe Seite, docs.cloud.google.com)

Der zweite betrifft die Verarbeitung, und zwar dann, wenn die Anfrage an einen weltweiten Endpunkt geht:

Requests submitted to a global endpoint may be processed in any Google Cloud location around the world, and therefore don’t provide any data residency guarantees. (externe Seite, docs.cloud.google.com)

Ein Projekt mit Speicherort Frankfurt kann also Anfragen haben, die in einem ganz anderen Erdteil gerechnet werden. Beides ist eine eigene Einstellung.

Anthropic führt für die eigene Schnittstelle ebenfalls zwei Einstellungen, eine für das Rechnen und eine für das Speichern. Voreingestellt ist beim Rechnen:

Inference may run in any available geography for optimal performance and availability. (externe Seite, platform.claude.com)

Die einzige Alternative dazu sind die USA, beim Speicherort ebenfalls. Eine europäische Wahl bietet Anthropic direkt bei keiner der beiden Einstellungen an. Über einen der großen Betreiber sieht das anders aus, das steht in Kapitel 01.

Die Region gilt für den Inhalt

Wer eine Region wählt, bindet damit den Inhalt der Anfragen, also Eingaben und Ausgaben. Was drumherum anfällt, gehört nicht dazu. OpenAI schreibt das ausdrücklich:

Data residency does not apply to system data, which may be processed and stored outside the selected region. (externe Seite, developers.openai.com)

Zu diesen Systemdaten zählt dieselbe Seite Kontodaten, Metadaten und Nutzungsdaten, darunter Abrechnung und Supportanfragen. Sie zeigen, wer wann wie viel mit welchem Modell gearbeitet hat, und sie liegen dort, wo der Anbieter sie führt.

Dazu kommt ein zweiter Rand. Anthropic nennt für interne Zwecke eigene Orte:

We may also process data for internal processes (such as safety-related review, product support, or incident response) in countries where we or our affiliates operate. (externe Seite, privacy.claude.com)

Eine Sicherheitsprüfung, eine Supportanfrage oder ein Vorfall kann den Text also an einen Ort bringen, den keine Einstellung festlegt.

Der Speicher, der ohne Training entsteht

Die bekannteste Zusage lautet, dass mit den Daten nicht trainiert wird. Sie sagt nichts darüber, ob die Daten gespeichert werden. Viele Anbieter halten Eingaben eine Zeit lang vor, um Missbrauch zu erkennen, und diese Frist steht neben der Trainingsfrage. OpenAI beziffert sie für die Schnittstelle:

By default, abuse monitoring logs are generated for all API feature usage and retained for up to 30 days, unless longer retention is required by law, or is reasonably necessary to protect our services or any third party from harm. (externe Seite, developers.openai.com)

Der Satz hat zwei Teile, und der zweite ist der wichtigere: Die 30 Tage sind eine Obergrenze für den Regelfall. Bei Anthropic steht die Ausnahme als eigene Zahl da, und sie gilt ausdrücklich auch für Kunden, die einen Betrieb ohne Speicherung vereinbart haben:

if a chat or session is flagged, Anthropic may retain inputs and outputs for up to 2 years (externe Seite, platform.claude.com)

Wer also „keine Speicherung“ vereinbart, vereinbart sie für den Normalfall. Ein Text, den ein automatischer Prüfer für einen Verstoß hält, bleibt länger. Eine Voreinstellung ohne diesen Speicher gibt es trotzdem: Amazon schreibt für seinen Modelldienst

This means that by default, Amazon Bedrock does not store model inputs or outputs. (externe Seite, docs.aws.amazon.com)

und nennt auf derselben Seite die Modelle, für die es davon abweicht. Die Übersicht über sechs Anbieter steht in Ebene 2.

Der Vertragspartner hängt am Weg

Datenschutzrechtlich ist, wer ein Modell im eigenen Unternehmen einsetzt, der Verantwortliche. Der Anbieter verarbeitet in seinem Auftrag und ist Auftragsverarbeiter. Welcher Anbieter das ist, hängt am Zugangsweg. Anthropic nennt für die eigene Schnittstelle sich selbst,

where Anthropic is the data processor (externe Seite, platform.claude.com)

und für die beiden großen Betreiber den jeweiligen Betreiber:

On Amazon Bedrock and Google Cloud’s Agent Platform, the cloud provider is the data processor (externe Seite, platform.claude.com)

Dasselbe Modell kann also unter drei verschiedenen Verträgen laufen, mit drei verschiedenen Speicherfristen und drei verschiedenen Regionen. Welche davon gilt, steht im Vertrag des Weges, den eine Anfrage tatsächlich nimmt. Das Rechtliche dahinter, bis zur Frage, wann eine Angabe überhaupt personenbezogen ist, steht in Ebene 3.

Ebene 1 trennt vier Fragen: wo gespeichert wird, wo gerechnet wird, wie lange ein Speicher zur Missbrauchsprüfung Anfragen vorhält und mit wem der Vertrag besteht. Hier stehen die Antworten von sechs Anbietern, jeweils für den Geschäftszugang über die Schnittstelle. Was für Privatkonten gilt und wer mit den Daten trainieren darf, steht in Kapitel 01.

Die Übersicht

Anbieter	Speicherort in der EU	Rechnen in der EU	Speicher zur Missbrauchsprüfung	Betrieb ohne Speicher
OpenAI	mit Freigabe und Zusatzvertrag	ja, für die Region Europa ausgewiesen	bis 30 Tage	nach Freigabe
Anthropic, direkt	nein, derzeit nur USA	nein, weltweit oder USA	30 Tage, bei Markierung bis 2 Jahre	vereinbar, Markierte ausgenommen
Google Cloud	ja	nur über einen regionalen Endpunkt	nur bei Verdacht, bis 90 Tage	ja, mit Ausnahmen
Amazon Bedrock	ja	mit geografisch begrenztem Profil	voreingestellt keiner, einzelne Modelle bis 30 Tage	Voreinstellung
Microsoft Foundry	ja	nur beim regionalen Bereitstellungstyp	Frist auf den Seiten nicht genannt	menschliche Prüfung auf Antrag abschaltbar
Mistral	Voreinstellung	ja, mit vorübergehenden Ausnahmen	30 rollierende Tage	nur mit bezahltem Zugang

Stand 23.09.2026, nach den unten zitierten Seiten. Jede Zelle hat eine Bedingung, und die folgenden Abschnitte nennen sie. Die zweite und die dritte Spalte sehen ähnlich aus und beantworten verschiedene Fragen.

OpenAI: Europa auf Antrag

OpenAI bietet eine europäische Region für Speicherung und Verarbeitung an, als Europa mit EWR und Schweiz. Sie steht nicht jedem Konto offen:

To use data residency with any region other than the United States, you must be approved for abuse monitoring controls, and execute a Modified Retention amendment. (externe Seite, developers.openai.com)

Dazu kommt ein Aufschlag auf die neueren Modelle:

Data residency endpoints are charged a 10% uplift for models released on or after March 5, 2026, that are eligible for data residency. (externe Seite, developers.openai.com)

Und nicht jede Region, die sich als Speicherort wählen lässt, rechnet auch dort. Für die übrigen gilt:

If your selected Region does not support regional processing, as identified below, OpenAI may also process and temporarily store Customer Content outside of the Region to deliver the services. (externe Seite, developers.openai.com)

Den Speicher zur Missbrauchsprüfung, bis zu 30 Tage, führt dieselbe Seite als Tabelle je Endpunkt. Für die Sprachschnittstelle in Echtzeit stehen dort 30 Tage, für die Umwandlung von Sprache in Text steht dort keine Speicherung.

Anthropic: zwei Jahre für das Auffällige

Für die eigene Schnittstelle nennt Anthropic eine Löschfrist im Regelfall:

For Anthropic API users, we automatically delete inputs and outputs on our backend within 30 days of receipt or generation (externe Seite, privacy.claude.com)

Der Satz geht mit einer Liste von Ausnahmen weiter, und eine davon hat eigene Zahlen:

We retain inputs and outputs for up to 2 years and trust and safety classification scores for up to 7 years if your chat is flagged by our automated trust and safety systems as violating our Usage Policy (externe Seite, privacy.claude.com)

Ein Betrieb ohne Speicherung lässt sich vereinbaren, und er sagt über sich selbst, wie weit er reicht:

Under a ZDR arrangement, Anthropic does not store customer prompts or responses at rest after the API response is returned. (externe Seite, platform.claude.com)

Even with ZDR or HIPAA arrangements in place, Anthropic may retain data where required by law or where it has been flagged by Anthropic’s automated trust and safety systems. (externe Seite, platform.claude.com)

Eine europäische Region gibt es über den direkten Weg nicht. Die Einstellung für das Rechnen kennt nur weltweit oder USA, die für das Speichern derzeit nur die USA, und sie lässt sich nach dem Anlegen nicht mehr ändern:

Workspace geo is set when you create a workspace and can’t be changed afterward. (externe Seite, platform.claude.com)

Dieselben Modelle in einer europäischen Region gibt es über die großen Betreiber, dann gelten deren Regeln.

Google: ein Speicher nur bei Verdacht

Google legt Eingaben zur Missbrauchsprüfung nur ab, wenn ein automatischer Prüfer anschlägt, und dann in der Region des Kunden:

This data is stored securely for up to 90 days in the same region or multi-region selected by the customer for their project (externe Seite, docs.cloud.google.com)

Wer einen Rahmenvertrag hat, ist davon ausgenommen:

customers with a Google Cloud Master Agreement are exempt from prompt logging for this abuse monitoring by default (externe Seite, docs.cloud.google.com)

Für Modelle, die Google als Advanced AI einstuft, gilt eine strengere Regel. Dort wird jede Anfrage abgelegt:

All prompts and responses will be logged and securely stored for up to 30 days for the sole purpose of monitoring for abuse. (externe Seite, docs.cloud.google.com)

Die zweite Ausnahme betrifft ein Werkzeug. Wer Antworten mit der Google-Suche unterfüttert, lässt die Anfragedaten bis zu drei Tage liegen, auch bei vereinbartem Betrieb ohne Speicherung:

There is no way to disable the storage of this information if you use Grounding with Google Search. (externe Seite, docs.cloud.google.com)

Der Speicherort bleibt in der gewählten Region. Wo gerechnet wird, entscheidet der Endpunkt, und der weltweite gibt dafür keine Zusage, wie Ebene 1 zeigt.

Amazon: voreingestellt nichts, mit Ausnahmen

Bedrock speichert in der Voreinstellung weder Eingaben noch Ausgaben. Für einzelne Modelle weicht Amazon davon ab, und die Seite nennt sie beim Namen:

For Anthropic Claude Fable 5 and Claude Fable 5.1, all traffic will be retained for up to 30 days for automated offline abuse detection. (externe Seite, docs.aws.amazon.com)

Dasselbe gilt mit anderen Bedingungen für mehrere OpenAI-Modelle. Der Ort dieses Speichers folgt dem Ort der Verarbeitung, und der ist bei Bedrock eine eigene Einstellung. Die regionsübergreifende Verarbeitung verteilt Anfragen auf andere Regionen, und zwar auch auf solche, die im Konto gar nicht freigeschaltet sind:

Cross-Region inference can route requests to AWS Regions that are not manually enabled in your AWS account. (externe Seite, docs.aws.amazon.com)

Für Vorgaben zum Ort empfiehlt Amazon die begrenzte Variante:

Choose Geographic cross-Region inference when you have data residency requirements and need to ensure data processing remains within specific geographic boundaries. (externe Seite, docs.aws.amazon.com)

Wird dabei eine Anfrage aufbewahrt, dann am Zielort:

If cross-region inference is enabled for these models, retained inputs and outputs are stored in destination regions (externe Seite, docs.aws.amazon.com)

Microsoft: der Bereitstellungstyp entscheidet

Bei Microsoft hängt der Verarbeitungsort am Bereitstellungstyp, und die Regionswahl allein legt ihn nicht fest:

Prompts and responses are processed within the customer-specified geography (unless you are using a Global or DataZone deployment type), but may be processed between regions within the geography for operational purposes (externe Seite, learn.microsoft.com)

Den Fall der weltweiten Bereitstellung erzählt Kapitel 01 in Ebene 3, die Prüfer im EWR stehen dort in Ebene 2. Die menschliche Durchsicht lässt sich abschalten:

This human review abuse monitoring process won’t take place if the customer has been approved for modified abuse monitoring. (externe Seite, learn.microsoft.com)

Eine Frist für diesen Speicher nennt Microsoft auf den beiden Seiten nicht, die das Thema behandeln. In der Tabelle steht deshalb keine Zahl.

Mistral: Europa als Voreinstellung

Mistral ist der einzige der sechs mit Sitz in der EU und legt die Daten dort ab, solange niemand etwas anderes wählt:

By default, your data is hosted in the European Union (externe Seite, help.mistral.ai)

Ein eigener Endpunkt führt in die USA. Und je nach Funktion wandern Daten vorübergehend zu Unterauftragnehmern:

Depending on the feature you use, your data can be temporarily transferred outside of the European Union (externe Seite, help.mistral.ai)

Die Frist zur Missbrauchsprüfung steht in der Datenschutzerklärung:

we keep your Input and Output for the period necessary to generate the Output and then for thirty (30) rolling days to monitor abuse (unless zero data retention is activated) (externe Seite, legal.mistral.ai)

Den Betrieb ohne Speicherung gibt es nur gegen Bezahlung, im kostenlosen Modus fehlt er:

When ZDR is enabled, your API inputs and outputs are not retained on our systems beyond what is required to return the response. (externe Seite, help.mistral.ai)

ZDR is available only with pay-as-you-go (externe Seite, help.mistral.ai)

Was daraus folgt

Lesen Sie die zweite und die dritte Spalte getrennt. Ein europäischer Speicherort ist bei fünf von sechs zu haben. Ein europäischer Rechenort hängt dagegen an einem Endpunkt, einem Profil oder einem Bereitstellungstyp, und jeder davon ist eine eigene Einstellung.

Fragen Sie nach der Ausnahme. Alle Fristen oben gelten für den Regelfall. Eine markierte Anfrage bleibt bei Anthropic bis zu zwei Jahre, und ein Suchwerkzeug bei Google speichert trotz vereinbartem Betrieb ohne Speicher.

Schreiben Sie Datum und Wortlaut auf. Keine dieser Seiten führt eine Versionsgeschichte, mehrere wurden in den letzten drei Monaten geändert. Die Tabelle oben ist der Stand eines Tages.

Die beiden ersten Ebenen lesen die Zusagen der Anbieter. Diese Ebene liest das Recht, auf das die Zusagen antworten: die Datenschutz-Grundverordnung in ihrer geltenden Fassung, zwei Urteile, einen Vorschlag der Kommission und einen Angemessenheitsbeschluss. Sie nennt die Stellen, an denen die Fragen aus Ebene 1 ihre Begriffe haben.

Zwei Rollen und ein Vertrag

Die Verordnung unterscheidet, wer entscheidet und wer ausführt. Verantwortlich ist die Stelle,

die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet (externe Seite, eur-lex.europa.eu)

Auftragsverarbeiter ist eine Stelle,

die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (externe Seite, eur-lex.europa.eu)

Zwischen beiden steht nach Artikel 28 ein Vertrag:

Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments (externe Seite, eur-lex.europa.eu)

Die großen Anbieter bieten diesen Vertrag als Anhang zu ihren Bedingungen an. OpenAI ordnet sich darin ein:

OpenAI acts as a Data Processor on the Customer’s behalf, and this DPA governs such Processing. (externe Seite, openai.com)

Bei Anthropic ist er Teil der kommerziellen Bedingungen und endet dort, wo ein anderer Weg beginnt:

If you access Claude via a third-party platform or service provider, your use of Claude in those cases is governed by the third-party platform’s terms of service. (externe Seite, privacy.claude.com)

Das ist die rechtliche Seite des Rollenwechsels aus Ebene 1: Wer Claude über einen Cloud-Betreiber aufruft, hat den Vertrag mit dem Betreiber.

Eine Rolle muss dabei nicht für alle Zwecke gelten. Mistral verarbeitet für den Betrieb im Auftrag, für das Training eigener Modelle aber in eigener Sache. Der Vertrag nennt den zweiten Zweck ausdrücklich:

Mistral AI is authorized to process the Personal Data as Controller for the purposes of (externe Seite, legal.mistral.ai)

und zwar für das Training, solange der Kunde nicht widersprochen hat. Wer den Widerspruch nicht einlegt, hat für diesen Teil einen zweiten Verantwortlichen. Welche Konten standardmäßig in das Training gehen, steht in Kapitel 01.

Wann eine Eingabe personenbezogen ist

Alles an der Verordnung hängt am Begriff der personenbezogenen Daten. Gemeint sind

alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (externe Seite, eur-lex.europa.eu)

beziehen. Ein naheliegender Schutz vor dem Versand an einen Anbieter ist, Namen und Kennungen vorher zu ersetzen. Die Verordnung kennt das als Pseudonymisierung, also als

die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können (externe Seite, eur-lex.europa.eu)

Wie weit das reicht, sagt Erwägungsgrund 26, der nur im Amtsblatt steht:

Einer Pseudonymisierung unterzogene personenbezogene Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, sollten als Informationen über eine identifizierbare natürliche Person betrachtet werden. (externe Seite, eur-lex.europa.eu)

Anonyme Daten liegen dagegen außerhalb:

Die Grundsätze des Datenschutzes sollten daher nicht für anonyme Informationen gelten (externe Seite, eur-lex.europa.eu)

Offen ist, für wen die Zuordnung möglich sein muss. Der Europäische Datenschutzausschuss hat im Januar 2025 eine strenge Lesart festgehalten:

Pseudonymised data, which could be attributed to an individual by the use of additional information, remains information related to an identifiable natural person and is therefore still personal data. (externe Seite, edpb.europa.eu)

Der Gerichtshof hat am 04.09.2025 anders entschieden, und zwar zu einer Nachbarverordnung. Das Urteil betrifft die Verordnung 2018/1725 für die Organe der Union, deren Begriffe denen der DSGVO nachgebildet sind. In Randnummer 86 heißt es, dass

pseudonymisierte Daten für die Zwecke der Anwendung der Verordnung 2018/1725 nicht in jedem Fall und für jede Person als personenbezogene Daten betrachtet werden (externe Seite, eur-lex.europa.eu)

müssen. Für einen Empfänger, der die Zuordnung mit den ihm verfügbaren Mitteln nicht herstellen kann, können dieselben Daten also etwas anderes sein als für den Absender, der den Schlüssel hat. Für den Versand an ein Sprachmodell ist genau das die Frage: Ist eine Eingabe, aus der die Namen ersetzt sind, beim Anbieter noch personenbezogen?

Was der Digital-Omnibus daran ändern soll

Die Kommission hat am 19.11.2025 einen Vorschlag vorgelegt, der mehrere Digitalgesetze zugleich ändert, darunter die DSGVO. Für Artikel 4 sieht er einen Zusatz vor, der die Lesart des Gerichtshofs in die Verordnung schreibt:

Information shall not be personal for a given entity where that entity cannot identify the natural person to whom the information relates, taking into account the means reasonably likely to be used by that entity. (externe Seite, eur-lex.europa.eu)

Geltendes Recht ist das nicht. Die konsolidierte Fassung der DSGVO bei EUR-Lex ist weiter die vom 04.05.2016, und das Verfahren steht im Parlament bei:

Awaiting committee decision (externe Seite, oeil.secure.europarl.europa.eu)

Stand 23.09.2026, mit einem Berichtsentwurf vom 22.06.2026 und Änderungsanträgen vom 27.07.2026. Für die Beurteilung heute heißt das: Das Urteil gibt der Pseudonymisierung ein Argument, der Datenschutzausschuss eine Gegenposition, und der Gesetzgeber hat noch nicht entschieden. Wer sich darauf stützt, dass ersetzte Namen beim Anbieter keine personenbezogenen Daten mehr sind, stützt sich auf eine offene Frage.

Die Übermittlung in die USA

Daten dürfen in ein Land außerhalb der EU gehen, wenn die Kommission dessen Schutzniveau anerkannt hat. Die Verordnung sagt es so:

Eine Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation darf vorgenommen werden, wenn die Kommission beschlossen hat, dass das betreffende Drittland (externe Seite, eur-lex.europa.eu)

ein angemessenes Schutzniveau bietet. Für die USA hat die Kommission das am 10.07.2023 beschlossen, mit einer Einschränkung auf eingetragene Unternehmen. Danach

gewährleisten die Vereinigten Staaten ein angemessenes Schutzniveau für personenbezogene Daten, die aus der Union an Organisationen in den Vereinigten Staaten übermittelt werden (externe Seite, eur-lex.europa.eu)

die in der Liste des Data Privacy Framework stehen. Die Kommission fasst es ebenso:

On the basis of the adequacy decision, personal data can flow freely from the EU to companies in the United States that participate in the Data Privacy Framework. (externe Seite, commission.europa.eu)

Wer auf der Liste steht, lässt sich nachsehen. Stand 23.09.2026 führt die Liste des US-Handelsministeriums (externe Seite, dataprivacyframework.gov) Google, Amazon und Microsoft als aktiv eingetragen, Microsoft mit einer laufenden Neuzertifizierung. OpenAI und Anthropic stehen nicht darin, weder aktiv noch als frühere Teilnehmer. Für sie gilt der Beschluss deshalb nicht, und ihre Verträge nennen den anderen Weg der Verordnung, die Standardvertragsklauseln. Bei OpenAI:

it will do so on the basis of agreements containing SCCs that ensure appropriate safeguards for the protection of Customer Data are in place or an adequacy decision issued by the European Commission under Article 45 GDPR (externe Seite, openai.com)

Bei Anthropic ist die Klausel Teil des Vertrags:

Anthropic’s DPA with Standard Contractual Clauses (SCCs) is automatically incorporated into our Commercial Terms of Service (externe Seite, privacy.claude.com)

Mistral hat seinen Sitz in der EU und übermittelt nur für einzelne Funktionen nach außen, wie Ebene 2 zeigt.

Der Beschluss selbst ist angefochten. Das Gericht der Europäischen Union hat die Klage am 03.09.2025 abgewiesen:

Die Klage wird abgewiesen. (externe Seite, eur-lex.europa.eu)

Gegen dieses Urteil ist ein Rechtsmittel beim Gerichtshof anhängig, eingereicht am 31.10.2025 unter dem Aktenzeichen C-703/25 P (externe Seite, curia.europa.eu). Für die Übermittlung an die eingetragenen Anbieter gilt der Beschluss, bis der Gerichtshof entschieden hat.