Zero Data Retention: Reicht das für den Datenschutz?

Was bedeutet Zero Data Retention?

Zero Data Retention (ZDR) ist eine Zusage eines Modellanbieters: Eingaben und Antworten werden nach der Verarbeitung nicht gespeichert, auch nicht in Protokollen zur Missbrauchserkennung. Ohne ZDR bewahren viele Anbieter Inhalte eine Zeit lang auf. Bei OpenAI etwa gelten nach der eigenen Dokumentation (Stand Oktober 2026) für die Programmierschnittstelle standardmäßig bis zu 30 Tage Aufbewahrung zur Missbrauchserkennung; ZDR gibt es dort nur nach vorheriger Freigabe durch OpenAI und nur für bestimmte Endpunkte.

Welche Ausnahmen gibt es meistens?

Die Zusagen unterscheiden sich je Anbieter. Typisch sind:

• Nur nach Freigabe: ZDR muss beantragt und genehmigt werden, oft nur für Unternehmenskunden.
• Nur für bestimmte Funktionen: Gespeicherte Unterhaltungen, hochgeladene Dateien oder Suchindizes beim Anbieter bleiben gespeichert, bis jemand sie löscht.
• Gesetzliche Pflichten: Aufbewahrung, wenn ein Gesetz oder eine Anordnung es verlangt.
• Schutz vor Missbrauch: Vorbehalte, Inhalte bei Verdacht auf Missbrauch doch aufzubewahren.

Lesen Sie deshalb die Dokumentation zu jedem Endpunkt und jeder Funktion, die Ihre Anwendung nutzt, und lassen Sie sich die Freigabe schriftlich bestätigen.

Warum reicht ZDR nicht?

ZDR regelt nur, was nach der Antwort passiert. Die DSGVO setzt früher an: Schon die Übermittlung und die Verarbeitung beim Anbieter sind eine Verarbeitung im Sinne von Art. 4 Nr. 2 DSGVO.

Frage	Löst ZDR sie?
Verlassen die Daten Ihr Haus?	Nein, sie werden beim Anbieter verarbeitet.
Brauchen Sie eine Rechtsgrundlage und einen AVV?	Ja, unverändert.
Wird mit Ihren Daten trainiert?	Eigene Zusage, getrennt prüfen.
Ist ein Anbieter aus den USA beteiligt?	Nein. Der US Cloud Act gilt für US-Unternehmen auch in europäischen Rechenzentren, und während der Verarbeitung liegen die Daten beim Anbieter.
Ist das Berufsgeheimnis gewahrt?	Nein, auch eine Verarbeitung ohne Speicherung ist ein Offenbaren nach § 203 StGB.
Welche Funktionen sind erfasst?	Nur die, die der Anbieter nennt.
Was speichert Ihre eigene Plattform?	Nicht erfasst: Chats, Dokumente und Protokolle in der Anwendung brauchen eigene Löschregeln.

Die Datenschutzkonferenz unterscheidet deshalb zwischen geschlossenen Systemen, bei denen die Daten in einer abgegrenzten Umgebung bleiben, und offenen Systemen, bei denen Eingaben den geschützten Bereich verlassen. Technisch geschlossene Systeme hält sie für vorzugswürdig.

Was sollten Sie stattdessen prüfen?

1. Ort: Wo läuft das KI-Modell, in welchem Rechenzentrum, bei wem?
2. Rolle: Ist der Modellanbieter Ihr Auftragsverarbeiter oder Unterauftragsverarbeiter, mit AVV?
3. Training: vertraglich ausgeschlossen?
4. Speicherung: Wie lange, wofür, wer hat Zugriff? Hier gehört ZDR hin.
5. Drittland: Angemessenheitsbeschluss, Standardvertragsklauseln, US Cloud Act (US Cloud Act und KI).
6. Geheimnisschutz: Vereinbarung nach § 203 StGB, bei Sozialdaten § 80 SGB X.
7. Eigene Plattform: Wie lange bleiben Chats und Protokolle bei Ihnen? (Protokollierung und Aufbewahrung)

Wie geht das mit basebox?

Beim Server läuft das KI-Modell auf Ihrer Hardware; Eingaben gehen an keinen Modellanbieter, die Frage nach ZDR stellt sich dort nicht. In der Cloud läuft das KI-Modell auf unseren Servern im Rechenzentrum München-Ost; basebox ist ein deutsches Unternehmen, der US Cloud Act gilt dafür nicht. Ihre Daten trainieren kein Modell.

Ein externes Modell gibt es nur als eigene App mit externem Modell, in einem Rechenzentrum in Frankfurt. Der Anbieter verwendet die Eingaben nicht für Training und protokolliert sie zur Missbrauchserkennung längstens 30 Tage. Weil er ein US-Unternehmen ist, gilt dort der US Cloud Act. Ihr Administrator gibt eine solche App nur für ausgewählte Gruppen frei, und Sie entscheiden mit Ihrem Datenschutzbeauftragten, für welche Daten.

Nutzt basebox zusätzliche Rechenleistung bei anderen Anbietern, etwa STACKIT, werden Eingaben dort gar nicht gespeichert. Jeder solche Anbieter steht in der Liste der Unterauftragsverarbeiter.

Keine Rechtsberatung: Zusagen der Anbieter ändern sich; maßgeblich sind Vertrag und aktuelle Dokumentation. Die Bewertung für Ihre Daten trifft Ihre Organisation mit ihrem Datenschutzbeauftragten. Stand der Recherche: 11. Oktober 2026.