ChatGPT in Luxemburg: wo Ihre Daten landen, was erlaubt ist
· Aktualisiert am
Joaquín Trapero in Experte für künstliche Intelligenz und Datenschutz, Gründer von Nonimo.
Wer in Luxemburg ChatGPT öffnet, hat es mit einer Verantwortlichen in Dublin und einer federführenden Aufsicht in Dublin zu tun. Trotzdem bleibt eine Behörde in Belvaux für Sie zuständig, wenn etwas schiefgeht. Diese Aufteilung entscheidet, wo Sie Ihre Rechte einfordern.
Hier geht es um das, was nur ChatGPT betrifft: Zuständigkeiten, Beschwerdeweg, Einstellungen, Kontoarten und den Finanzplatz. Den allgemeinen Rahmen mit Rechtsgrundlage, Folgenabschätzung und Meldefristen erklärt die Seite zur DSGVO und KI in Luxemburg.
ChatGPT ist in Luxemburg erlaubt; verantwortlich für Ihre Daten ist OpenAI Ireland Limited, beaufsichtigt von der irischen DPC. Beschweren können Sie sich trotzdem bei der CNPD, auf Luxemburgisch, Französisch oder Deutsch. Das Training schalten Sie unter Datenkontrollen aus. Kundendaten aus Bank, Fonds oder Fiduciaire gehören nicht in ein privates Konto.
OpenAI Ireland und Server in den USA: wer für Ihre Daten verantwortlich ist
Wohnen Sie in Luxemburg, ist nach der EU-Datenschutzrichtlinie von OpenAI (Fassung vom 24. August 2026) die OpenAI Ireland Limited in Dublin für Ihre Daten verantwortlich. Anträge auf Auskunft, Berichtigung oder Löschung gehen über privacy.openai.com oder an dsar@openai.com.
Verarbeitet wird allerdings auch außerhalb Irlands. Dieselbe Richtlinie nennt Server in den Vereinigten Staaten und stützt die Übermittlung auf Angemessenheitsbeschlüsse oder Standardvertragsklauseln. Zu den Inhalten zählt sie ausdrücklich Dateien und Bilder, also auch das Foto Ihrer Identitätskarte.
Die irische Adresse halte ich für einen Vorteil: Sie haben es mit einer Firma zu tun, die unmittelbar der DSGVO unterliegt. Wo Ihre Prompts physisch liegen, ändert sie allerdings nicht.
Vier Stellen, die bei einem Prompt aus Luxemburg mitspielen
An wen Sie sich wofür wenden.
| Stelle | Rolle | Was das für Sie heißt |
|---|---|---|
| OpenAI Ireland Limited, Dublin | Verantwortliche nach der DSGVO | Empfängerin Ihrer Anträge auf Auskunft, Löschung oder Widerspruch |
| Server von OpenAI in den USA | Verarbeitung und Speicherung | Übermittlung auf Grundlage von Angemessenheitsbeschlüssen oder Standardvertragsklauseln |
| Data Protection Commission (DPC), Irland | Federführende Aufsichtsbehörde | Führt grenzüberschreitende Verfahren gegen OpenAI |
| CNPD, Belvaux | Ihre örtliche Aufsichtsbehörde | Nimmt Ihre Beschwerde an und hält Sie auf dem Laufenden |
OpenAI, EU-Datenschutzrichtlinie vom 24. August 2026, Abschnitte zu Übermittlung, Rechten und Datenverantwortlichem; DSGVO Art. 56 und 77.
Beschwerde bei der CNPD: was Belvaux trotz One-Stop-Shop für Sie tut
Bis zum 15. Februar 2024 hatte OpenAI keine Niederlassung in der EU, jede Aufsichtsbehörde konnte selbst ermitteln. Seitdem gilt laut dem Bericht der ChatGPT-Taskforce des EDSA der One-Stop-Shop. Federführend nach Art. 56 DSGVO ist die irische DPC, so nennt es OpenAI selbst.
Ihre Anlaufstelle bleibt trotzdem die CNPD (Nationale Kommission für den Datenschutz). Art. 77 DSGVO lässt Ihnen die Wahl zwischen Wohn- und Arbeitsort. Für Grenzgänger ist das Belvaux oder die Behörde zu Hause; bei OpenAI landet der Fall so oder so in Dublin.
Die CNPD erwartet, dass Sie OpenAI vorher selbst geschrieben haben. Danach finde ich den luxemburgischen Weg angenehm: Sie schreiben in Ihrer Sprache, und die Abstimmung mit Dublin erledigen die Behörden unter sich.
Wer bei Ihrer Beschwerde was tut
Links Ihre Schritte, rechts die der Behörden, von oben nach unten.
Sie
1. OpenAI anschreiben, über privacy.openai.com oder dsar@openai.com2. Bleibt das ohne Ergebnis: Online-Formular der CNPD, auf Luxemburgisch, Französisch oder Deutsch3. OpenAI Ireland als Verantwortliche nennen, Antworten und Belege beifügen4. Nachfragen mit der Referenz der CNPD; in den ersten zwei Monaten muss sie darauf nicht antwortenDie Behörden
Die CNPD bestätigt den Eingang binnen 10 Arbeitstagen und vergibt eine ReferenzDie DPC führt das Verfahren als federführende Behörde (Art. 60 DSGVO)Die CNPD teilt Ihnen den Beschluss mit; wird die Beschwerde abgewiesen, erlässt sie ihn selbstGegen den Abschluss des Falls durch die CNPD: Klage beim Verwaltungsgericht binnen 3 MonatenCNPD, Beschwerdeverfahren vom 16. Oktober 2020, Art. 2, 4, 6, 9 und 10; DSGVO Art. 60 Abs. 7 und 8. Anonyme Beschwerden schließt die CNPD grundsätzlich ohne Folgen.
ChatGPT Datenschutz-Einstellungen: welche Schalter etwas ändern
In Free, Go, Plus und Pro steuert ein Schalter das Training: Einstellungen, Datenkontrollen, «Das Modell für alle verbessern». Ist er aus, nutzt OpenAI neue Gespräche nicht mehr dafür. Gespeicherte Chats bleiben im Verlauf, bis Sie sie löschen; Archivieren ändert daran nichts.
Zwei Dinge übersieht man leicht. Ein «Daumen hoch» oder «Daumen runter» kann das ganze Gespräch doch ins Training bringen. Und die Erinnerungen sind eine eigene Einstellung. Temporäre Chats tauchen nicht im Verlauf auf, trainieren nichts und bleiben bis zu 30 Tage bei OpenAI.
In Chats mit Kundennamen hat der Daumen für mich nichts verloren. Wer ohne Konto arbeitet, speichert die Einstellung nur im Browser. Was grundsätzlich nicht in einen Prompt gehört, zeigt die Anleitung Text anonymisieren.
Ihr ChatGPT-Konto in sechs Punkten
Haken Sie ab, was bei Ihnen schon stimmt.
0 von 6 erledigt
Ihr Konto gibt mehr von Ihnen preis als nötig. Die ersten beiden Punkte sind schnell erledigt.
Die Grundlagen sitzen. Was fehlt, steht oben in der Liste der offenen Punkte.
Mehr lässt sich über die Einstellungen nicht erreichen. Der Rest hängt davon ab, was Sie eintippen.
Privates Konto oder ChatGPT Business: was sich für Luxemburger Firmen ändert
Für Business, Enterprise und Edu schreibt OpenAI, Inhalte standardmäßig nicht zum Training zu verwenden. Einen Vertrag zur Auftragsverarbeitung bietet OpenAI laut seiner Seite zum Unternehmensdatenschutz (Stand 8. Januar 2026) für Business, Enterprise und die API an. Ein privates Plus-Konto hat keinen.
Die Kehrseite für Beschäftigte: Die Administratoren eines Business- oder Enterprise-Kontos können auf Ihre Inhalte zugreifen. Und wer sich mit der Firmenadresse anmeldet, muss damit rechnen, dass OpenAI dem Arbeitgeber das Konto meldet.
Mein Vorschlag ist eine klare Trennung: Kundendaten nur ins Firmenkonto, Privates nur ins eigene. Was der Vertrag nach Art. 28 DSGVO enthalten muss, steht auf der Seite zur DSGVO und KI in Luxemburg.
Was sich mit dem Kontotyp ändert
Für Kunden- und Personaldaten kommt nur die rechte Spalte in Frage.
Free, Go, Plus, Pro
- Training über den Schalter «Das Modell für alle verbessern»
- Kein Vertrag zur Auftragsverarbeitung
- Export und Kontolöschung selbst in den Einstellungen
- Free und Go: personalisierte Anzeigen möglich, steuerbar in den Werbeeinstellungen
Business, Enterprise
- Standardmäßig kein Training mit Ihren Inhalten
- Vertrag zur Auftragsverarbeitung auf Anfrage
- Aufbewahrung legen die Administratoren fest
- Administratoren können auf Inhalte der Mitglieder zugreifen
OpenAI, EU-Datenschutzrichtlinie vom 24. August 2026; Hilfeseite «Datenkontrollen in ChatGPT»; Unternehmensdatenschutz, Stand 8. Januar 2026.
Berufsgeheimnis in Bank, Fondsgesellschaft und Fiduciaire: Art. 41 geht vor
Art. 41 des Gesetzes vom 5. April 1993 über den Finanzsektor verpflichtet beaufsichtigte Institute, ihre Leitung und Angestellten, anvertraute Informationen geheim zu halten. Verstöße bestraft Art. 458 des Code pénal. Ein Vertrag mit OpenAI hebt das nicht auf.
Weitergeben darf ein Institut nur unter den Bedingungen von Art. 41 Abs. 2bis: an einen in Luxemburg beaufsichtigten Dienstleister, oder wenn der Kunde der Auslagerung zugestimmt hat und der Empfänger zur Verschwiegenheit verpflichtet ist.
Aus einem privaten Konto sehe ich keinen Weg dorthin. Ob für Fondsgesellschaft oder Fiduciaire dieselbe Regel oder ein anderes Geheimnis greift, klärt Ihre Compliance; Einzelheiten stehen auf der Seite zum Bankgeheimnis in Luxemburg.
Darf diese Kundennotiz in ChatGPT?
Zwei oder drei Fragen, bevor Sie einfügen.
Arbeiten Sie für eine Bank oder einen anderen Gewerbetreibenden des Finanzsektors unter Aufsicht der CSSF?
Enthält der Text etwas, das Ihnen ein Kunde im Rahmen Ihrer Arbeit anvertraut hat?
Gilt für Ihren Beruf ein eigenes Geheimnis, nach Art. 458 Code pénal oder einem Fachgesetz?
Gesetz vom 5. April 1993, Art. 41 Abs. 1 und 2bis, konsolidierte Fassung der CSSF; Code pénal Art. 458. Die Reihenfolge der Fragen ist meine Vereinfachung, keine Auslegung der CSSF.
Chatverlauf und Bilder bei OpenAI löschen: was die 30 Tage bedeuten
Löschen Sie einen Chat oder Ihr Konto, entfernt OpenAI die Daten laut Richtlinie binnen 30 Tagen, außer Gesetz oder Sicherheit verlangen mehr. Wie das in der App geht, zeigt die Anleitung ChatGPT-Verlauf löschen.
Fotos und PDFs behandelt OpenAI als Inhalte wie Text. Was mit hochgeladenen und erzeugten Bildern geschieht, erklärt die Seite Speichert ChatGPT Bilder?.
Mir ist ein sauber geschwärztes Dokument lieber als jede Löschfrist, denn was nie hochgeladen wurde, muss niemand löschen. Wie man Text wirklich entfernt statt ihn zu übermalen, zeigt PDF schwärzen.
Wie lange was bei OpenAI bleibt
Die Fristen, die OpenAI selbst nennt.
| Fall | Frist | Einschränkung |
|---|---|---|
| Chat oder Konto gelöscht (Free, Go, Plus, Pro) | Aus den Systemen binnen 30 Tagen | Außer bei gesetzlicher Pflicht oder aus Sicherheitsgründen |
| Temporärer Chat | Automatisch gelöscht binnen 30 Tagen | Erscheint nicht im Verlauf, kein Training |
| Gelöschter Chat in Business oder Enterprise | Binnen 30 Tagen | Die übrige Aufbewahrung legen die Administratoren fest |
| Training ausgeschaltet | Keine Löschung | Gespeicherte Chats bleiben im Verlauf |
| Inhalte, die für das Training schon anonymisiert und vom Konto getrennt wurden | Löschen erreicht sie nicht | Gilt nur, wenn das Training vorher an war |
OpenAI, EU-Datenschutzrichtlinie vom 24. August 2026, Abschnitt Aufbewahrung; Hilfeseite «Datenkontrollen in ChatGPT»; Unternehmensdatenschutz, Stand 8. Januar 2026.
![E-Mail-Adresse durch [EMAIL_1] ersetzt: Gelöschte Chats bleiben bei ChatGPT bis zu 30 Tage in den Systemen von OpenAI](/guias/de-lu/chatgpt-geloeschte-daten-30-tage-platzhalter.webp "30 Tage nach dem Löschen")
ChatGPT anonym nutzen: wann ein Prompt niemanden mehr verrät
Ohne Anmeldung lässt sich ChatGPT öffnen, anonym ist es dadurch nicht: Der Text geht trotzdem zu OpenAI. Anonym wird ein Prompt erst, wenn darin niemand mehr zu erkennen ist. Für die meisten Fragen reicht mir der Sachverhalt ohne Personalien.
Diesen Schritt nimmt Ihnen die Nonimo-App auf Mac und Windows ab, bevor der Prompt bei OpenAI ankommt: Namen, E-Mail-Adressen, GSM-Nummern, IBAN, Geburtsdaten und Matrikelnummern werden zu Platzhaltern. Kopieren Sie die Antwort, stehen die echten Angaben wieder darin.
Rutscht eine Depotnummer durch, markieren Sie sie und wählen «Maskieren». Für ein einzelnes PDF oder Word-Dokument, das Sie hochladen wollen, gibt es die Werkzeuge von Nonimo, ohne etwas zu installieren. Was Ihr Haus konkret darf, steht in Ihren Verträgen und Compliance-Regeln, die diese Seite nicht kennt.
Was vor dem Einfügen weg muss
Wählen Sie den Fall, der Ihrem am nächsten kommt.
Bleibt: Vertragsart, Kündigungsdatum, Grund, gewünschter Ton.
Kommt weg: Ihr Name, Ihre Anschrift, Kunden- und Vertragsnummer, GSM-Nummer, IBAN für die Rückzahlung.
Bleibt: die Frage selbst, etwa zu einer Frist oder einem Formular, ohne Bezug zur Person.
Kommt weg: Name des Anlegers, Register- oder Depotnummer, IBAN, E-Mail-Adresse, Beträge seines Bestands. Vorher klären, ob ein Berufsgeheimnis den Chat ganz ausschließt.
Bleibt: Aufgaben, Zeitraum, Stichworte zur Leistung.
Kommt weg: Name, Geburtsdatum, Matrikelnummer, Fehlzeiten wegen Krankheit, denn das sind Gesundheitsdaten.
Erfundene Fälle ohne echte Personen. Konditionen der App stehen auf der Preisseite.
Quellen
- OpenAI, EU-Datenschutzrichtlinie, Fassung vom 24. August 2026: OpenAI Ireland Limited als Verantwortliche, DPC federführend, Server in den USA, 30 Tage, Administratoren, Anzeigen in Free und Go.
- OpenAI Hilfe, Datenkontrollen in ChatGPT: Trainingsschalter, temporäre Chats, Feedback, Erinnerungen, Nutzung ohne Anmeldung, verwaltete Workspaces.
- EDSA, Bericht der ChatGPT-Taskforce vom 24. Mai 2024: einzige EU-Niederlassung von OpenAI seit 15. Februar 2024, One-Stop-Shop.
- Verordnung (EU) 2016/679, DSGVO: Art. 56, 60 und 77.
- CNPD, Ihre Rechte geltend machen: Online-Formular, vorheriger Antrag beim Verantwortlichen.
- CNPD, Verfahren für Beschwerden: Sprachen, Empfangsbestätigung in 10 Arbeitstagen, anonyme Beschwerden, Klagefrist.
- Gesetz vom 1. August 2018 über die Organisation der CNPD: Art. 3 und 4, CNPD als unabhängige Aufsicht.
- Gesetz vom 5. April 1993 über den Finanzsektor, konsolidierte Fassung der CSSF: Art. 41 Abs. 1 und 2bis.
Abgerufen am 9. November 2026.
Weitere Leitfäden
Häufige Fragen
Werden Daten von ChatGPT weitergegeben?
Ja, an Dienstleister und verbundene Unternehmen von OpenAI. Die EU-Richtlinie nennt etwa Hosting, Cloud, Kundendienst und Zahlungsabwicklung. Behörden bekommen Daten, wenn ein Gesetz es verlangt. Im Firmenkonto sehen außerdem die Administratoren Ihre Inhalte.
Kann ich ChatGPT anonym nutzen?
Nur zum Teil. ChatGPT funktioniert auch ohne Anmeldung, die Trainingseinstellung gilt dann nur in diesem Browser. Ihr Text erreicht OpenAI trotzdem. Anonym wird ein Prompt erst, wenn Namen und Nummern vorher verschwunden sind.
Wie kann ich meine Daten bei ChatGPT schützen?
Am wirksamsten, indem Sie sie gar nicht erst eingeben. Schalten Sie außerdem unter Datenkontrollen «Das Modell für alle verbessern» aus, nutzen Sie temporäre Chats und bewerten Sie keine Antworten in Chats mit Personendaten.
Was passiert mit Fotos, die ich in ChatGPT hochlade?
Sie zählen als Inhalte, genau wie getippter Text. Die EU-Richtlinie von OpenAI nennt hochgeladene Dateien und Bilder ausdrücklich. Löschen Sie den Chat, entfernt OpenAI die Daten nach eigenen Angaben binnen 30 Tagen, mit gesetzlichen Ausnahmen.
Wie lösche ich meine Daten bei ChatGPT?
Chats löschen Sie im Verlauf, das ganze Konto in den Einstellungen. In Free, Go, Plus und Pro geht beides selbst. In Business- und Enterprise-Workspaces läuft die Kontolöschung über die Inhaber des Workspace.
Ist ChatGPT beim Datenschutz sicher?
Für Fragen ohne Personendaten ja, für Kundendaten im Privatkonto nein. Dort fehlt ein Vertrag zur Auftragsverarbeitung, und OpenAI verarbeitet auch in den USA. Ein Firmenkonto mit Vertrag hilft, hebt aber kein Berufsgeheimnis auf.
Wo beschwere ich mich in Luxemburg über ChatGPT?
Bei der CNPD in Belvaux, am besten über ihr Online-Formular. Vorher sollten Sie OpenAI selbst angeschrieben haben. Das Verfahren führt meist die irische DPC; das Ergebnis teilt Ihnen die CNPD mit.
Kann ich ChatGPT als Firma in Luxemburg nutzen?
Ja, am besten mit ChatGPT Business oder Enterprise. Dafür bietet OpenAI einen Vertrag zur Auftragsverarbeitung an und trainiert standardmäßig nicht mit Ihren Inhalten. Kundendaten gehören erst hinein, wenn Sie Vertrag und Berufsgeheimnis geprüft haben.