OpenAI erweitert Zero Data Retention: Was Unternehmen daraus ableiten können
OpenAI hat am 19. August 2026 eine neue Sicherheitsarchitektur für besonders datensensible API-Nutzungen vorgestellt. Die wichtigste Einordnung: Zero Data Retention ist ein relevantes Vertrags- und Technikmerkmal, aber kein pauschales Datenschutzsiegel für jedes OpenAI-Produkt.
Diese Einordnung stützt sich auf die aktuelle OpenAI-Ankündigung, die offiziellen Angaben zu Geschäftsdaten und die Dokumentation zur Datenresidenz. Mehr zu unserem Redaktionsstandard →
Was OpenAI angekündigt hat
OpenAI bezeichnet Zero Data Retention, kurz ZDR, als Angebot für berechtigte API-Kunden. Nach der Verarbeitung sollen Prompts und Modellausgaben nicht regulär aufbewahrt werden. Unternehmensdaten werden nach den Geschäftsbedingungen standardmäßig nicht zum Training verwendet, sofern der Kunde nicht ausdrücklich zustimmt.
Neu vorgestellt wurde außerdem „Private Safety Processing“. Das Verfahren befindet sich in einer frühen Phase und soll sicherheitsrelevante Muster über mehrere Interaktionen erkennen, ohne OpenAI-Mitarbeitenden den zugrunde liegenden Inhalt zugänglich zu machen.
Wie Private Safety Processing funktionieren soll
OpenAI beschreibt zwei mögliche Bereitstellungen. Inhalte können auf Infrastruktur bleiben, die der Kunde kontrolliert. Alternativ sollen Inhalte auf OpenAI-Infrastruktur mit kundenseitig kontrollierten Schlüsseln verschlüsselt gespeichert werden können. Bei erkannten Risiken erhält OpenAI nach eigener Darstellung nur ein begrenztes Sicherheitssignal.
Wichtig: Die Funktion ist noch keine allgemeine Standardleistung. OpenAI testet sie zunächst mit ausgewählten Kunden und kündigt weitere technische Unterlagen an.
Was Zero Data Retention nicht automatisch bedeutet
- ZDR gilt nicht pauschal für ChatGPT Free, Plus, Pro oder jeden Business-Arbeitsbereich.
- Eine aktivierte Integration kann Daten an einen weiteren Anbieter übertragen, für den eigene Bedingungen gelten.
- Datenresidenz für Speicherung ist nicht dasselbe wie eine ausschließlich europäische Verarbeitung.
- Metadaten, Sicherheitsinformationen und gesetzlich erforderliche Ausnahmen können anderen Regeln unterliegen.
- OpenAI nennt für möglicherweise strafrechtlich relevantes Bildmaterial eine besondere Ausnahme zur manuellen Prüfung.
Warum das für deutsche Unternehmen trotzdem relevant ist
Kurze oder entfallende Inhaltsaufbewahrung kann Risiken reduzieren, besonders bei vertraulichen Dokumenten, internen Analysen und spezialisierten Agenten. Sie ersetzt aber nicht die Prüfung von Zweck, Rechtsgrundlage, Datenminimierung, AVV/DPA, Unterauftragnehmern und Drittlandtransfers.
Für ChatGPT Business weist OpenAI beispielsweise darauf hin, dass regionale Speicherung schrittweise ausgerollt wird und bestimmte Sicherheitskopien beziehungsweise Protokolle weiterhin in den USA liegen können. Enterprise- und API-Konfigurationen haben teilweise andere Optionen.
Prüfliste vor einer Einführung
- Welches konkrete Produkt und welcher Tarif werden eingesetzt?
- Ist ZDR vertraglich für genau diese Endpunkte und Funktionen bestätigt?
- Welche Apps, Websuchen oder externen Werkzeuge verlassen die ZDR-Umgebung?
- Welche Inhalte dürfen Beschäftigte eingeben und welche ausdrücklich nicht?
- Wie werden Agentenrechte, Freigaben, Protokolle und Löschung kontrolliert?
- Ist für den Einsatz eine Datenschutz-Folgenabschätzung erforderlich?
Fazit
Die Ankündigung ist ein wichtiger Schritt für Organisationen, die leistungsfähige Modelle mit strengen Aufbewahrungsanforderungen verbinden müssen. Für eine belastbare Entscheidung zählt jedoch die konkrete Vertrags- und Produktkonfiguration. „OpenAI bietet ZDR“ und „unser gesamter ChatGPT-Einsatz speichert nichts“ sind nicht dieselbe Aussage.