OpenAI
KI-API · openai.com · zuletzt gelesen 2026-11-09
Auf einen Blick
- Ist OpenAI DSGVO-konform?
- Kein Werkzeug ist für sich allein DSGVO-konform: Es kommt darauf an, was Sie damit verarbeiten und wie. Hier steht, was OpenAI selbst veröffentlicht, jede Antwort mit Quelle und Abrufdatum.
- Hat OpenAI einen Auftragsverarbeitungsvertrag (AVV)?
- Ja. OpenAI veröffentlicht einen Auftragsverarbeitungsvertrag auf openai.com. Der Vertrag beschreibt, wie neue Unterauftragsverarbeiter angekündigt werden, nennt aber keine Frist. Der Vertrag sagt eine Meldung von Datenschutzverletzungen „unverzüglich“ zu, ohne Stundenzahl. Quelle und Datum
- Welche Fassung des AVV von OpenAI ist aktuell?
- Am 2026-11-09 stand im AVV von OpenAI auf openai.com: „Updated: December 1, 2025 Effective: January 1, 2026“. Quelle und Datum
- Wie übermittelt OpenAI personenbezogene Daten aus der EU?
- Der Vertrag von OpenAI stützt sich auf die EU-Standardvertragsklauseln und das britische Übermittlungs-Addendum. Auf der offiziellen Data Privacy Framework List haben wir keinen Eintrag für OpenAI gefunden. Quelle und Datum
- Wo speichert OpenAI die Daten von EU-Kunden?
- Ein EU-Standort existiert, setzt aber einen kostenpflichtigen Tarif oder ein Add-on voraus. Tarif: Eligible customers, new Projects only. Quelle und Datum
- Welche Unterauftragsverarbeiter setzt OpenAI ein?
- OpenAI nennt 17 externe Unterauftragsverarbeiter; 16 davon geben mindestens ein Verarbeitungsland außerhalb des EWR an. Zuletzt gelesen am 2026-10-19. Wir haben 1 Änderung daran erfasst, zuletzt am 2026-10-19. Quelle und Datum
- Wie meldet man OpenAI eine Sicherheitslücke?
- OpenAI veröffentlicht eine security.txt auf openai.com mit dem Kontakt https://bugcrowd.com/openai oder [email protected]. Die Datei erfüllt RFC 9116 nicht vollständig; Einzelheiten in der Tabelle. Quelle und Datum
Vertragspartner und Eigentümer
| Vertragspartner | OpenAI OpCo, LLC |
|---|---|
| Sitz | US |
| Muttergesellschaft | — |
| Oberste Eigentümerschaft (Land) | US |
| Vertragspartner für die EU | OpenAI Ireland Ltd. |
| LEI | 984500C7AD3A48B9FP18 |
| Reichweite des US CLOUD Act | Vertragspartner ist eine US-Gesellschaft |
| Quelle | cdn.openai.com · 2026-10-08 |
Vertragspartner laut den eigenen Bedingungen des Anbieters. LEI, Registerland und Muttergesellschaft aus dem Global LEI Index (GLEIF); wo GLEIF keine Muttergesellschaft nennt, bleibt die Eigentümerschaft leer. Die CLOUD-Act-Zeile leitet sich allein aus diesen Ländern ab und ist keine Risikobewertung.
Datenstandort
| Region | EU-Datenstandort | Mindesttarif | Quelle | Gelesen am |
|---|---|---|---|---|
| EU | Gegen Aufpreis | Eligible customers, new Projects only | developers.openai.com | 2026-09-18 |
EU: Reviewed 2026-09-18: the first citation for this row was help.openai.com, which is a stub reading 'This content has moved' and stating only that eligible customers may opt to process data in Europe. It did not support the uplift, the new-Projects limit or the sales gate, so the row is re-cited to the page that does. That page states: 'Contact our sales team to see if you are eligible for using data residency controls. Data residency endpoints are charged a 10% uplift for models released on or after March 5, 2026, that are eligible for data residency.' A region may be set only for NEW projects. Residency does not cover system data - account data, metadata, usage data, billing and support - which may be processed outside the selected region.
Dieselbe Frage für jeden Anbieter: wo SaaS-Anbieter EU-Daten speichern.
Die Liste der Unterauftragsverarbeiter von OpenAI nennt AWS, Microsoft, Google und Oracle für Hosting oder Infrastruktur. Welche SaaS-Anbieter auf welcher Cloud laufen, und die souveränen Angebote der Clouds (auf Englisch): Sovereign clouds.
Unterauftragsverarbeiter
17 Drittanbieter · 5 eigene Konzerngesellschaften · 16 mit einem Land außerhalb des EWR · alle gelesen am 2026-10-19
| Unterauftragsverarbeiter | Land | Zweck |
|---|---|---|
| Accenture International Limited | US, CA, PH | Customer support; moderation of content |
| Amazon Web Services, Inc. | US | Cloud infrastructure |
| Cerebras | US, CA | Cloud infrastructure |
| Cinder Technologies, Inc. | US | Platform for content moderation; platform for moderation of GPTs |
| Cloudflare, Ltd. | — | Content delivery network provider |
| Cloudflare, Ltd. | US | Web Hosting |
| CoreWeave, Inc. | NO, ES, SE, GB, US | Cloud infrastructure |
| Fivetran, Inc. | US | ETL provider |
| Google Cloud Platform | FI, JP, NL, NO, SG, GB, US | Cloud infrastructure |
| Merge API, Inc. | AU, CA, FR, IN, IE, JP, SG, KR, SE, GB, US | Infrastructure management |
| Microsoft Corporation | AU, BE, BR, CA, DK, FR, DE, IN, ID, IE, IT, JP, MY, MX, NL, NZ, NO, PL, SG, ZA, KR, ES, SE, CH, AE, GB, US | Cloud infrastructure |
| Oracle Cloud Infrastructure | BR, JP, MY, NL, GB, US | Cloud infrastructure |
| Pylon Labs | US | Customer support (at election of customer; premium support only) |
| Salesforce | AU, BR, CA, FR, DE, IN, ID, IE, IT, JP, SG, ZA, KR, SE, CH, NL, AE, GB, US | Customer support |
| Snowflake, Inc. | US | Data warehousing |
| TaskUs, LLC | PH | Customer support; moderation of content; moderation of GPTs |
| WorkOS, Inc. | US | Cross-domain identity management |
Eigene Konzerngesellschaften von OpenAI, die als Unterauftragsverarbeiter geführt werden (5)
| Gesellschaft | Land | Zweck |
|---|---|---|
| OAI International, Inc. | US | Technical and operational support for the Services |
| OpenAI Ireland Ltd. | IE | Technical and operational support for the Services |
| OpenAI Japan Ltd. | JP | Technical and operational support for the Services |
| OpenAI UK Ltd. | GB | Technical and operational support for the Services |
| OpenAI, OpCo, LLC | US | Technical and operational support for the Services |
Die Zahl außerhalb des EWR ist eine reine Auszählung der Länderspalte, keine rechtliche Bewertung. Eine Übermittlung außerhalb des EWR kann vollkommen rechtmäßig sein; ob sie es ist, hängt von Ihrer Nutzung ab, nicht vom Anbieter.
Alle Unterauftragsverarbeiter im Register, und welche Anbieter sie nennen (auf Englisch): Subprocessors.
Auftragsverarbeitungsvertrag (AVV)
Aus dem Auftragsverarbeitungsvertrag des Anbieters (englische Fassung) · gelesen am 2026-10-09 · openai.com
| Regelung | Was der Vertrag sagt (Originalwortlaut, englisch) |
|---|---|
| Übermittlungsgrundlage | SCC Modul 2 (Verantwortlicher an Auftragsverarbeiter) |
| Übermittlungsgrundlage | SCC Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter) |
| Übermittlungsgrundlage | UK-Nachtrag (UK Addendum) |
| Übermittlungsgrundlage | Sonstige |
| Ankündigung neuer Unterauftragsverarbeiter | Notice of Sub-Processor List changes via blog post, in-Services notification or other reasonable means, or by email if Customer subscribes; no advance notice period stated |
| Ankündigung neuer Unterauftragsverarbeiter | Prior notice under SCC Clause 9 Option 2 (general written authorization); minimum period as set forth in Section 2.9 of the DPA |
| Widerspruchsrecht | Object within 30 days of notice (per Sub-Processor List instructions or [email protected]); OpenAI offers commercially reasonable alternatives; if unresolved within 30 days, either party may terminate the affected Services, with a refund of applicable pre-paid fees |
| Weitergabe der Pflichten an Unterauftragsverarbeiter | Contractual arrangements with each Sub-Processor imposing obligations comparable to those on OpenAI under the DPA; OpenAI remains liable for Sub-Processors |
| Meldung von Datenschutzverletzungen | without undue delay |
| Löschung nach Vertragsende | After expiry or termination, return or delete Customer Data and existing copies at Customer's instruction, unless retention is required by law, in which case the data is isolated and protected from further processing |
| Rückgabe der Daten | After expiry or termination, Customer Data is returned at Customer's instruction (as an alternative to deletion) |
| Unterstützung bei Betroffenenrechten | informs Customer of requests received, won't respond without Customer's prior written authorization, may redirect requests to Customer; assists via appropriate technical and organizational measures |
| Kontroll- und Auditrechte | On reasonable written request, no more than once per year: privacy and security policies and compliance information; audits or inspections by or on behalf of Customer at Customer's sole expense, subject to a confidentiality agreement, minimally disruptive, no more than once per year; OpenAI may instead provide a summary of Audit Reports where permitted |
| Verarbeitung nur auf Weisung | only in accordance with Customer's documented instructions (DPA, Agreement, Order Form, in-Service configuration tools), unless required by law, with prior notice to Customer unless legally prohibited |
| Vertraulichkeit der Beschäftigten | authorized persons committed to confidentiality or under an appropriate statutory obligation of confidentiality |
| Technische und organisatorische Maßnahmen | reasonable and appropriate organizational and technical security measures, as set forth in the Agreement |
Regelungen so, wie der Vertrag sie formuliert. Wo er zu einem Punkt schweigt, gibt es keine Zeile – das heißt nicht, dass der Anbieter ihn nicht anbietet.
Welche Fassung gilt
Am 2026-11-09 stand im Vertrag: Updated: December 1, 2025 Effective: January 1, 2026
auf openai.com
Gültig ab 2026-01-01 · Zuletzt aktualisiert 2025-12-01
Diese Fassung ist seit dem 2026-10-09 in unseren Kopien.
Diese Regelungen für alle Anbieter nebeneinander (auf Englisch): Data processing agreements compared. Was Anbieter für ein Transfer Impact Assessment bereitstellen: Transfer impact assessments.
Zertifizierungen und Testate
| Standard | Status | Geltungsbereich | Quelle | Gelesen am |
|---|---|---|---|---|
| CCPA | Nur behauptet | — | trust.openai.com | 2026-10-05 |
| CSA STAR · CSA | Nur behauptet | — | trust.openai.com | 2026-10-05 |
| FedRAMP 20x · FedRAMP | Nur behauptet | — | trust.openai.com | 2026-10-05 |
| GDPR | Nur behauptet | — | trust.openai.com | 2026-10-05 |
| ISO/IEC 27001:2022 · ISO27001 | Auf Anfrage | OpenAI’s API, ChatGPT Enterprise, and ChatGPT Edu services | trust.openai.com | 2026-10-05 |
| ISO/IEC 27017:2015 · ISO27017 | Auf Anfrage | additional control sets, per the ISO/IEC 27001 certificate for OpenAI’s API, ChatGPT Enterprise, and ChatGPT Edu services | trust.openai.com | 2026-10-05 |
| ISO/IEC 27018:2019 · ISO27018 | Auf Anfrage | additional control sets, per the ISO/IEC 27001 certificate for OpenAI’s API, ChatGPT Enterprise, and ChatGPT Edu services | trust.openai.com | 2026-10-05 |
| ISO/IEC 27701:2019 · ISO27701 | Auf Anfrage | PIMS requirements, control implementation guidance, and additional control set | trust.openai.com | 2026-10-05 |
| ISO/IEC 42001:2023 · ISO42001 | Nur behauptet | — | trust.openai.com | 2026-10-05 |
| PCI DSS v4.0.1 · PCIDSS | Nur behauptet | — | trust.openai.com | 2026-10-05 |
| PCI-DSS · PCIDSS | Auf Anfrage | the components of ChatGPT that support delegated payment processing | trust.openai.com | 2026-10-05 |
| SOC2 | Auf Anfrage | Period January 1, 2025 to June 30, 2025; Security, Availability, Confidentiality, and Privacy Trust Services Criteria for the API Platform, ChatGPT Enterprise, ChatGPT Edu, and ChatGPT Team | trust.openai.com | 2026-10-05 |
| SOC 2 Type 2 · SOC2T2 | Auf Anfrage | Period July 1, 2025 to June 30, 2026; Security, Availability, Confidentiality, and Privacy Trust Services Criteria | trust.openai.com | 2026-10-05 |
| SOC 3 · SOC3 | Nur behauptet | — | trust.openai.com | 2026-10-05 |
| TX-RAMP · TXRAMP | Nur behauptet | — | trust.openai.com | 2026-10-05 |
Nur behauptet heißt: Der Anbieter nennt den Standard auf seiner Seite, legt aber nichts weiter vor. Auf Anfrage heißt: Bericht oder Zertifikat existieren, liegen aber hinter einer Anfrage, einem Login oder einer NDA. In beiden Fällen haben wir kein Zertifikat gesehen. Diese Unterscheidung trifft jeder Prüfer – also treffen wir sie auch.
C5, SecNumCloud, ENS und HDS für jeden Anbieter: Zertifizierungen im Vergleich.
Amtliche Register
| Register | Angebot, wie das Register es nennt | Status | Stufe | Gültig bis | Gelesen am |
|---|---|---|---|---|---|
| FedRAMP Marketplace (USA) | ChatGPT Enterprise and API Platform · OpenAI | FedRAMP Authorized | 20x Moderate | — | 2026-10-04 |
| Globaler LEI-Index (GLEIF) | OPENAI OPCO, LLC · OPENAI OPCO, LLC | ISSUED | US-DE | 2027-02-27 | 2026-10-08 |
| Unterzeichner des GPAI-Verhaltenskodex (Europäische Kommission) | General-Purpose AI Code of Practice (AI Act), as a provider of general-purpose AI models · OpenAI | signatory | — | — | 2026-11-09 |
- ACN-qualifizierte Cloud (Italien): geprüft am 2026-11-09, kein Eintrag gesucht unter OpenAI; OpenAI Ireland Ltd.; OpenAI OpCo, LLC
- ISO 27001 auf der Basis von IT-Grundschutz (BSI): geprüft am 2026-11-09, kein Eintrag gesucht unter OpenAI; OpenAI Ireland Ltd.; OpenAI OpCo, LLC
- CISPE Data Protection Code of Conduct (DSGVO Art. 40): geprüft am 2026-11-09, kein Eintrag gesucht unter OpenAI; OpenAI Ireland Ltd.; OpenAI OpCo, LLC
- Kritische IKT-Drittdienstleister nach DORA (ESAs): geprüft am 2026-11-09, kein Eintrag gesucht unter OpenAI; OpenAI Ireland Ltd.; OpenAI OpCo, LLC
- Data Privacy Framework List (USA): geprüft am 2026-11-09, kein Eintrag gesucht unter OpenAI; OpenAI Ireland Ltd.; OpenAI OpCo, LLC
- ENS-Konformitätszertifikate (CCN, Spanien): geprüft am 2026-11-09, kein Eintrag gesucht unter OpenAI; OpenAI Ireland Ltd.; OpenAI OpCo, LLC
- EU Cloud Code of Conduct (DSGVO Art. 40): geprüft am 2026-11-09, kein Eintrag gesucht unter OpenAI; OpenAI Ireland Ltd.; OpenAI OpCo, LLC
- FedRAMP Marketplace (USA): geprüft am 2026-11-09, 1 Eintrag gesucht unter OpenAI; OpenAI Ireland Ltd.; OpenAI OpCo, LLC
- Unterzeichner des GPAI-Verhaltenskodex (Europäische Kommission): geprüft am 2026-11-09, 1 Eintrag gesucht unter OpenAI; OpenAI Ireland Ltd.; OpenAI OpCo, LLC
- SecNumCloud-qualifizierte Dienste (ANSSI, Frankreich): geprüft am 2026-11-09, kein Eintrag gesucht unter OpenAI; OpenAI Ireland Ltd.; OpenAI OpCo, LLC
Was die Behörde veröffentlicht, nicht was der Anbieter behauptet. Ein Eintrag gilt nur für das genannte Angebot: Eine FedRAMP-Autorisierung für eine Behördenversion sagt nichts über den kommerziellen Dienst. Kein Eintrag ist kein Befund über die Sicherheit – die meisten Anbieter beantragen nie – und ein Eintrag unter einem hier nicht aufgeführten Namen wäre nicht gefunden worden.
Was ein Eintrag in der Data Privacy Framework List abdeckt, und welche Anbieter einen haben (auf Englisch): EU-US Data Privacy Framework.
Supportzeitraum
| Produkt | Supportzeitraum | Stand | SBOM | Quelle | Gelesen am |
|---|---|---|---|---|---|
| OpenAI API (SaaS) | — | Reiner Dienst | unbekannt | openai.com | 2026-09-18 |
Meldung von Schwachstellen: bugcrowd.com, [email protected] (security.txt, kein Expires-Feld; gelesen 2026-10-17)
Wie andere Anbieter ihre veröffentlichen (auf Englisch): security.txt im Register.
Dokumente
| Dokument | Zugänglichkeit | Erfassung | HTTP | Gelesen am |
|---|---|---|---|---|
| ai | Öffentlich | full | 200 | 2026-10-28 |
| ai-2 | Öffentlich | full | 200 | 2026-10-28 |
| ai-3 | Öffentlich | full | 200 | 2026-10-28 |
| dpa | Öffentlich | full | 200 | 2026-10-09 |
| subprocessors | Öffentlich | full | 200 | 2026-10-19 |
| tia | Öffentlich | full | 200 | 2026-10-20 |
Verlauf
| Festgestellt | Was sich geändert hat | Ursache | Quelle |
|---|---|---|---|
| 2026-10-19 | Unterauftragsverarbeiter entfernt Confluent; Intercom, Inc.; Okta, Inc. Unterauftragsverarbeiter Standort geändert Google Cloud Platform: FI, GB, JP, NL, NO, US -> FI, GB, JP, NL, NO, SG, US; Microsoft Corporation: AE, AU, BR, CA, CH, DE, ES, FR, GB, ID, IE, IN, IT, JP, KR, MX, NL, NO, PL, SE, SG, US, ZA -> AE, AU, BE, BR, CA, CH, DE, DK, ES, FR, GB, ID, IE, IN, IT, JP, KR, MX, MY, NL, NO, NZ, PL, SE, SG, US, ZA | der Anbieter hat es geändert | openai.com |
| 2026-09-18 | EU-Datenstandort Keine Angabe → Gegen Aufpreis Mindesttarif gesetzt auf Eligible customers, new Projects only Hinweis neu formuliert | wir haben eine bessere Quelle gelesen | developers.openai.com |
Alle geprüften Änderungen im Register, die neuesten zuerst (auf Englisch): Vendor changes.