OpenAI DSGVO-konform nutzen: So geht es ohne Datenschutzrisiko
Die OpenAI API und ChatGPT sind leistungsstarke KI-Werkzeuge. Doch sobald Kundendaten in Prompts landen, entsteht ein Datenschutzproblem. Dieser Leitfaden zeigt, wie Sie die OpenAI API in Ihrem Unternehmen DSGVO-konform einsetzen.
Warum ist OpenAI ein DSGVO-Problem?
Wenn Sie die OpenAI API nutzen, werden Ihre Daten an Server von OpenAI in den USA gesendet. Enthalten Ihre Prompts personenbezogene Daten (Namen, E-Mails, Adressen, Bankdaten), liegt eine Datenübermittlung in ein Drittland vor. Die DSGVO erlaubt das nur unter bestimmten Bedingungen.
Auch das Data Processing Agreement (DPA) von OpenAI löst das Problem nicht vollständig: OpenAI kann Daten für Modelltraining verwenden (bei der API standardmäßig deaktiviert), und die Rechtsgrundlage für den Drittstaatentransfer ist umstritten.
Das gleiche Problem besteht bei Azure OpenAI (EU-Region löst nur den Serverstandort, nicht das Modelltraining), Mistral AI, Anthropic Claude und allen anderen KI-Anbietern.
Die Lösung: pii-cloak als Reverse-Proxy
pii-cloak sitzt zwischen Ihrer Anwendung und der OpenAI API. Bevor ein Request an OpenAI gesendet wird, erkennt pii-cloak alle personenbezogenen Daten und ersetzt sie durch Pseudonyme. OpenAI sieht nur Pseudonyme — nie echte Kundendaten.
# Vorher: direkt an OpenAI
client = OpenAI(base_url="https://api.openai.com/v1")
# Nachher: über pii-cloak
client = OpenAI(base_url="https://www.pii-cloak.com/v1")Eine Zeile ändern — fertig. Ihre gesamte OpenAI-Integration ist sofort DSGVO-konform. Keine neuen SDKs, keine Code-Änderungen, keine Infrastruktur.
Funktioniert auch mit ChatGPT, Mistral und Azure
pii-cloak ist nicht auf OpenAI beschränkt. Die Engine unterstützt alle Anbieter mit einer OpenAI-kompatiblen API:
- ✓OpenAI — GPT-4, GPT-4o, GPT-3.5 Turbo
- ✓Mistral AI — Mistral Small, Medium, Large
- ✓Azure OpenAI — Ihre eigene Azure-Instanz
- ✓Anthropic Claude — über OpenAI-kompatiblen Wrapper
- ✓Lokale Modelle — Ollama, vLLM, LM Studio
Mit der Bring Your Own Key (BYOK)-Funktion nutzen Sie Ihren eigenen API-Key. pii-cloak pseudonymisiert den Traffic unabhängig vom KI-Anbieter.
Was Ihr Datenschutzbeauftragter wissen muss
Wo laufen die Server?
pii-cloak läuft auf deutschen Servern (Hetzner, Standort Deutschland). Pseudonym-Zuordnungen verlassen nie die EU.
Gibt es einen Audit-Trail?
Ja. Jeder pseudonymisierte Request wird protokolliert: Original vs. was an den KI-Anbieter ging. Exportierbar als DSGVO-Nachweis.
Werden Daten gespeichert?
Pseudonym-Zuordnungen werden für die Session gespeichert (konfigurierbare TTL) und danach automatisch gelöscht. Kein permanentes Logging von Kundendaten.
Ist pii-cloak selbst DSGVO-konform?
Ja. Deutsche Server, EU-Datenhaltung, automatische TTL-Löschung, kein Tracking, AV-Vertrag verfügbar.
OpenAI DSGVO-konform nutzen — jetzt testen
Sehen Sie live, wie pii-cloak Kundendaten pseudonymisiert. Ohne Account, ohne Installation.