Datenresidenz bei OpenAI: Was die Europa-Region für Steuerkanzleien bedeutet

Wer in einer Steuerkanzlei über ein KI-Modell von OpenAI nachdenkt, stößt früher oder später auf das Wort „Datenresidenz“ und auf den Satz, OpenAI biete eine „Europa-Region“ an. Beides klingt beruhigend, und beides ist erklärungsbedürftig: Was genau bleibt in Europa, was nicht, und reicht das für eine Kanzlei, die Berufsgeheimnisse verwaltet? Dieser Leitfaden erklärt den Begriff in Alltagssprache, benennt, was die Europa-Region nicht ändert, und zeigt, mit welchen drei Fragen eine Kanzlei jeden Anbieter prüfen kann. Stand ist Oktober 2026; die Quellen sind die Angaben von OpenAI selbst, das Steuerberatungsgesetz und das FAQ der Bundessteuerberaterkammer.

Was „Datenresidenz“ heißt

Wenn Sie einem KI-Assistenten eine Frage stellen, passiert dreierlei: Die Frage wird irgendwohin geschickt, dort beantwortet, und etwas davon wird irgendwo abgelegt, und sei es nur für kurze Zeit. „Datenresidenz“ beschreibt, wo das geschieht. Gemeint ist der Ort der Rechenzentren, in denen ein Anbieter Ihre Eingaben entgegennimmt, verarbeitet und speichert.

Bei OpenAI gibt es dafür Regionen. Die Voreinstellung ist die der USA. Für Geschäftskunden bietet OpenAI daneben eine Europa-Region an, die den Europäischen Wirtschaftsraum und die Schweiz umfasst. Nach OpenAIs eigener Beschreibung gilt für diese Region beides: Was gespeichert wird, liegt in Europa, und die Antwort wird auch in Europa berechnet. Das ist nicht selbstverständlich. Für einige andere Regionen sichert OpenAI nur die Speicherung zu, die Verarbeitung kann dann außerhalb stattfinden. Dazu kommt ein technisches Detail mit praktischer Bedeutung: Die verschlüsselte Verbindung von Ihrem Server zu OpenAI endet bei der Europa-Region in Europa. Erst dort wird Ihre Frage entschlüsselt; auf dem Weg dorthin ist sie für niemanden lesbar.

Sitz, Vertragspartner, Verarbeitungsort: drei verschiedene Dinge

Vieles an der Diskussion um amerikanische Anbieter wird klarer, wenn man drei Fragen auseinanderhält, die im Alltag gern in eine fallen.

Erstens: Wo sitzt das Unternehmen? OpenAI ist ein amerikanisches Unternehmen mit Sitz in San Francisco. Daran ändert keine Region etwas.

Zweitens: Mit wem schließt die Kanzlei den Vertrag? Für Personen im Europäischen Wirtschaftsraum und in der Schweiz nennt OpenAIs Datenschutzerklärung die OpenAI Ireland Limited mit Sitz in Dublin als verantwortliche Stelle: eine Tochter der amerikanischen Mutter, aber eine Gesellschaft nach europäischem Recht, beaufsichtigt von der irischen Datenschutzbehörde.

Drittens: Wo wird gearbeitet? Das ist die Frage der Datenresidenz. Mit der Europa-Region werden Ihre Fragen in Rechenzentren im Europäischen Wirtschaftsraum beantwortet und, soweit überhaupt etwas gespeichert wird, dort gespeichert.

Alle drei Antworten gehören in eine Prüfung, und alle drei stehen am Ende in der Vereinbarung über die Auftragsverarbeitung. Ein Anbieter, der nur den Firmensitz nennt oder nur den Serverstandort, beantwortet zwei Drittel der Frage nicht.

Was die Europa-Region nicht ändert

Drei Dinge bleiben, wie sie sind, und OpenAI schreibt sie selbst.

Die Region gilt für Inhalte, nicht für Verwaltungsdaten. Kontodaten, Abrechnungsmengen, Nutzungsstatistiken und Supportanfragen nimmt OpenAI ausdrücklich von der Datenresidenz aus. Das sind Angaben darüber, dass und wie viel ein Konto genutzt wurde, nicht, was gefragt wurde. Für den Schutz von Mandantengeheimnissen ist der Unterschied entscheidend, für eine vollständige Prüfung gehört er trotzdem auf den Tisch.

Die Muttergesellschaft bleibt amerikanisch. OpenAIs Datenschutzerklärung für den Europäischen Wirtschaftsraum sagt offen, dass personenbezogene Daten auch auf Servern außerhalb Europas verarbeitet werden können, und stützt solche Übermittlungen auf Angemessenheitsbeschlüsse der Europäischen Kommission und auf die EU-Standardvertragsklauseln. Für die Inhalte von Geschäftskunden verweist sie auf die Kundenverträge; wer sicher gehen will, braucht die Zusage zur Verarbeitung in Europa deshalb dort, im Vertrag, nicht nur in einer Datenschutzerklärung.

Und: Datenresidenz sagt nichts darüber, wie lange etwas aufbewahrt wird. Ohne weitere Vereinbarung bewahrt OpenAI Eingaben bis zu 30 Tage in Protokollen zur Missbrauchskontrolle auf, in Europa, aber eben auf. Zum Training werden Eingaben von Geschäftskunden seit dem 1. März 2023 nicht mehr verwendet. „Wo“ und „wie lange“ sind zwei verschiedene Fragen.

Warum man die Europa-Region nicht einfach anklickt

Wer die Europa-Region nutzen will, kann sie nicht wie eine Einstellung im Konto umlegen. OpenAI richtet die Verarbeitung in Europa nach eigener Beschreibung nur für Kunden ein, die zuvor für eine eingeschränkte Missbrauchskontrolle freigegeben wurden und eine Zusatzvereinbarung zur Aufbewahrung unterschrieben haben. Die Verarbeitung in Europa setzt außerdem eine der strengeren Aufbewahrungsregeln voraus, zum Beispiel die Vereinbarung „Zero Data Retention“, nach der Fragen und Antworten nach der Beantwortung nicht gespeichert werden. Auch diese Vereinbarung gibt es nur nach vorheriger Prüfung und Freigabe durch OpenAI. Was sie im Einzelnen zusagt und wo ihre Grenzen liegen, erklärt der Leitfaden Zero Data Retention: Was die Zusage bedeutet.

Für eine Kanzlei heißt das: Ein Anbieter, der OpenAI nutzt, hat die Europa-Region nicht automatisch. Entweder sein Konto ist dafür freigegeben, dann kann er das belegen, oder die Fragen der Kanzlei laufen über die Voreinstellung, also die USA.

Was das Berufsrecht dazu sagt

Für Steuerberater ist der Ort der Verarbeitung keine Geschmacksfrage. § 62a des Steuerberatungsgesetzes regelt, unter welchen Bedingungen Dienstleister Zugang zu fremden Geheimnissen bekommen dürfen. Der Dienstleister ist sorgfältig auszuwählen, der Vertrag braucht die Textform und muss den Dienstleister unter Belehrung über die strafrechtlichen Folgen zur Verschwiegenheit verpflichten. Absatz 4 betrifft genau den Fall dieses Leitfadens: Bei Dienstleistungen im Ausland darf der Zugang zu fremden Geheimnissen nur eröffnet werden, wenn der Schutz der Geheimnisse dort dem Schutz im Inland vergleichbar ist, es sei denn, der Schutz der Geheimnisse gebietet das nicht.

Die Bundessteuerberaterkammer wendet diese Vorschrift in ihrem FAQ zu KI ausdrücklich auf KI-Anbieter an. Unter der Frage, wo die Daten verarbeitet werden sollten, schreibt sie: Bei Anbietern außerhalb der EU, etwa in den USA, finde ein Datentransfer in Drittländer statt, der nur mit einem anerkannten Datenschutzniveau oder anderen Sicherungen wie Standardvertragsklauseln zulässig sei. OpenAI sei, Stand Juli 2025, nicht unter dem EU-US Data Privacy Framework zertifiziert, weshalb weitere Schutzmaßnahmen nötig seien; ob ein ausländischer Anbieter ein dem deutschen Berufsgeheimnis vergleichbares Schutzniveau biete, sei häufig unklar, und § 62a Absatz 4 verlange dann besondere Vorkehrungen. Die Empfehlung der Kammer: europäische KI-Anbieter oder solche mit Rechenzentren in der EU bevorzugen. Wer dennoch auf Dienste in den USA zurückgreift, solle vorab prüfen, ob der Anbieter vertraglich zusichert, die DSGVO einzuhalten, und ob eine Auftragsverarbeitung vereinbart werden kann.

Genau hier setzt die Europa-Region an: Sie ist der Weg, einen amerikanischen Anbieter mit Rechenzentren in der EU zu nutzen, mit einer Zusatzvereinbarung, in der die Zusagen stehen. Ob das im eigenen Fall genügt, prüft jede Kanzlei selbst; dieser Leitfaden ist keine Rechtsberatung, und die Entscheidung nach § 62a nimmt Ihnen kein Anbieter ab.

Drei Fragen an jeden Anbieter

Daraus ergibt sich eine kurze Prüfliste, die für jeden KI-Dienst taugt, nicht nur für OpenAI.

1. Wo wird meine Frage beantwortet? Nicht „wo stehen die Server“, sondern: Wo wird gerechnet, und wo endet die verschlüsselte Verbindung? Wer nur die Speicherung in Europa zusichert, hat die Frage noch nicht beantwortet.
2. Wer ist mein Vertragspartner? Eine Gesellschaft nach europäischem Recht mit Namen und Anschrift, oder die amerikanische Mutter? Und wer ist der Unterauftragsverarbeiter, wenn der Anbieter selbst ein Modell von OpenAI nutzt?
3. Steht beides in meiner Vereinbarung über die Auftragsverarbeitung, mit Namen? Firma, Verarbeitungsort, Aufbewahrungsdauer, die Ausnahmen und die Regel für den Fall, dass doch etwas die EU verlässt. Was nur auf einer Website steht, ist keine Zusage an Ihre Kanzlei.

Wer auf alle drei Fragen eine Antwort mit Namen bekommt, hat die Grundlage für die Prüfung nach § 62a in der Hand.

Wie KanzKI es hält

Zero Data Retention bei KanzKI: Mistral ✅ OpenAI ✅

KanzKI arbeitet voreingestellt mit dem europäischen Modell von Mistral. Ob stattdessen OpenAI antwortet, entscheidet die Kanzlei selbst, unter Verwaltung → KI-Modell, und sie kann die Wahl jederzeit mit einem Klick zurücknehmen. Wählt sie OpenAI, gelten die drei Antworten aus diesem Leitfaden in der strengsten Form, die OpenAI anbietet.

Erstens ruft KanzKI ausschließlich die europäische Adresse von OpenAI auf; einen anderen Weg gibt es in der Anwendung nicht, und vor dem Speichern der Wahl prüft KanzKI die Verbindung einmal echt. Zweitens gilt für das Konto, über das KanzKI mit OpenAI spricht, die Vereinbarung Zero Data Retention: Fragen und Antworten werden nach der Beantwortung nicht gespeichert, sind für Mitarbeiter von OpenAI nicht einsehbar und werden nicht zum Training verwendet. Drittens steht all das in Ihrer Vereinbarung über die Auftragsverarbeitung. Beim Wechsel zeigt KanzKI die Ergänzung in der Fassung 1.5: OpenAI Ireland Ltd. wird mit Namen als Unterauftragsverarbeiter aufgenommen, mit dem Hinweis auf die Muttergesellschaft in den USA, der Verarbeitung in Rechenzentren im Europäischen Wirtschaftsraum, der Zusage Zero Data Retention samt ihren Ausnahmen und den EU-Standardvertragsklauseln als Rückfall, falls doch einmal etwas an die Muttergesellschaft geht, etwa im Support. Die Kanzlei bestätigt die Fassung mit einem Klick, mit Datum und Namen.

Ihre Dokumente bleiben dabei, wie immer, auf Ihrem eigenen Server in Deutschland. Texterkennung und die Suche in den Unterlagen erledigt weiter der europäische Anbieter; an OpenAI gehen je Frage nur die Frage selbst und die Auszüge, die zur Antwort nötig sind. Warum KanzKI OpenAI überhaupt anbietet und wie sich die Modelle in der Praxis unterscheiden, zeigt der Vergleich KI-Modelle im Vergleich: Welches Modell in KanzKI antwortet und warum.