„Microsoft ChatGPT“ ist kein Produkt mit diesem Namen — und genau das ist der erste Punkt, den deutsche Unternehmen klären sollten. Gemeint ist ChatGPT-Technologie, also die generativen Modelle von OpenAI, bereitgestellt über das Microsoft-Ökosystem. Für den Unternehmenseinsatz gibt es drei unterschiedliche Wege, die sich in Aufwand, Kontrolle, Kosten und Datenschutz deutlich unterscheiden: Microsoft 365 Copilot, den Azure OpenAI Service und den direkten Bezug bei OpenAI. Dieser Leitfaden erklärt die drei Wege, was sie für DSGVO, Datenresidenz und Governance bedeuten und wo eine DSGVO-native deutsche Plattform wie meinGPT hineinpasst — mit konkreten Workflows, einem Beispiel-Prompt und einer Entscheidungs-Checkliste.
Kurz erklärt: ChatGPT erreicht Unternehmen über das Microsoft-Ökosystem auf drei Wegen — als fertiger Assistent (Microsoft 365 Copilot), als Cloud-API zum Selbstbauen (Azure OpenAI Service) oder direkt bei OpenAI (ChatGPT Enterprise/Team, OpenAI-API). Microsoft ist an OpenAI beteiligt und betreibt die Modelle in seiner Azure-Cloud — deshalb erscheinen ChatGPT-Funktionen häufig innerhalb von Microsoft-Produkten.
Warum die Unterscheidung zählt: Wer „wir nutzen einfach das Microsoft-ChatGPT“ sagt, meint je nach Abteilung drei völlig verschiedene Dinge mit verschiedenen Verträgen, Kosten und Datenflüssen. Ohne diese Klarheit lässt sich weder eine saubere Datenschutzprüfung noch ein belastbarer Rollout aufsetzen.
Microsoft 365 Copilot ist ein fertiger KI-Assistent, der in Word, Excel, PowerPoint, Outlook und Teams eingebettet ist. Er arbeitet auf den Daten, auf die der jeweilige Nutzer in seiner Microsoft-365-Umgebung ohnehin Zugriff hat — entwirft E-Mails in Outlook, fasst Teams-Meetings zusammen, erstellt Folien aus einem Dokument. Copilot wird als kostenpflichtiges Add-on je Nutzer oben auf ein bestehendes Microsoft-365-Abonnement lizenziert und setzt eine passende Microsoft-365-Umgebung voraus.
Copilot ist die richtige Wahl, wenn ein Unternehmen tief in Microsoft 365 investiert ist und KI vor allem innerhalb der Office-Apps wirken soll. Die Grenze: Copilot ist an das Microsoft-Ökosystem und an die von Microsoft angebotenen Modelle gebunden — es ist kein neutraler Zugang zu mehreren Anbietern.
Der Azure OpenAI Service stellt die OpenAI-Modelle als API in der Azure-Cloud bereit. Er ist kein fertiges Chat-Produkt, sondern eine Plattform zum Selbstbauen: Die IT-Abteilung entwickelt damit eigene Anwendungen — etwa einen internen Assistenten, der an Fachsysteme angebunden ist. Abgerechnet wird nutzungsabhängig nach verarbeiteten Tokens, dazu kommt der Entwicklungs- und Betriebsaufwand.
Azure OpenAI ist die richtige Wahl, wenn eine eigene Entwicklungsmannschaft eine maßgeschneiderte Lösung mit voller Kontrolle über Architektur und Datenflüsse bauen soll — und der dafür nötige Aufwand eingeplant ist. Für viele Fachbereiche, die „nur“ einen sicheren KI-Zugang für alle Mitarbeitenden brauchen, ist das der aufwendigste Weg.
Unabhängig von Microsoft lässt sich ChatGPT auch direkt bei OpenAI beziehen — über ChatGPT Enterprise/Team (fertiges Produkt mit Admin-Verwaltung) oder die OpenAI-API. Datenschutzrechtlich gelten hier eigene Bedingungen; wichtig ist die klare Trennung: Private ChatGPT-Accounts gehören nicht in den geschäftlichen Einsatz — für sie gelten andere Bedingungen als für Business- und Enterprise-Angebote, und Unternehmenswissen kann unkontrolliert abfließen (Schatten-KI). Wie sich verwaltete Unternehmenskonten von privaten Accounts unterscheiden, erklärt unser Beitrag ChatGPT Firmen-Account: Was ist das & wie richtet man ihn ein?.
| Kriterium | Microsoft 365 Copilot | Azure OpenAI Service | Direkt bei OpenAI |
|---|
| Was es ist | fertiger Assistent in Office-Apps | Cloud-API zum Selbstbauen | fertiges Produkt / API |
| Für wen | Fachbereiche in Microsoft 365 | Entwicklungsteams | Teams & Entwickler |
| Aufwand | gering (lizenzieren) | hoch (Eigenentwicklung) | mittel |
| Abrechnung | je Nutzer/Monat (Add-on) | nutzungsabhängig (Tokens) | je Nutzer bzw. Tokens |
| Modellauswahl | an Microsoft-Angebot gebunden | an Microsoft-Angebot gebunden | an OpenAI gebunden |
| Verantwortlicher hinter dem Dienst | US-Konzern (Microsoft) | US-Konzern (Microsoft) | US-Unternehmen (OpenAI) |
Alle drei Wege binden an einen Modellanbieter und führen über ein US-Unternehmen — das ist kein Ausschlusskriterium, aber genau der Punkt, an dem Unternehmen mit hohem Datenschutzanspruch nach einer in Deutschland betriebenen, modell-agnostischen Alternative fragen.
Der wichtigste Irrtum zuerst: Keiner der drei Wege ist „automatisch DSGVO-konform“. DSGVO-Konformität entsteht nicht durch das Produktlabel, sondern durch nachprüfbare Bedingungen. Für deutsche Unternehmen zählen vier objektive Kriterien — unabhängig davon, über welchen Anbieter die KI bezogen wird:
- EU-Verarbeitung / Datenresidenz — Werden die Eingaben in einer europäischen Region verarbeitet und gespeichert? Beim Azure OpenAI Service etwa ist die Region konfigurierbar (europäische Regionen sind verfügbar), doch die tatsächliche Verarbeitungsregion hängt von der Konfiguration ab und einzelne Funktionen können zeitweise ausgelagert werden — das ist ausdrücklich zu prüfen und abzusichern.
- Auftragsverarbeitungsvertrag (AVV) — Liegt ein AVV vor, der Zwecke, Weisungsbindung und Löschung regelt?
- Kein Training auf Eingaben — Ist vertraglich zugesichert, dass Ihre Inhalte nicht zum Training der Modelle verwendet werden? Microsoft sichert dies für seine kommerziellen KI-Dienste zu ; verifizieren Sie die Zusage stets an den zum Vertragszeitpunkt gültigen Bedingungen.
- Transparenz über Unterauftragsverarbeiter & Drittlandtransfer — Wer verarbeitet noch mit, und in welchem Land? Da Microsoft und OpenAI US-Unternehmen sind, kommt beim Bezug über sie die Frage des Drittlandtransfers hinzu, die vertraglich (u. a. über das EU-US Data Privacy Framework) adressiert wird.
Quotable: DSGVO-Konformität ist kein Produktmerkmal, sondern das Ergebnis von vier prüfbaren Bedingungen — EU-Verarbeitung, AVV, kein Training auf Eingaben und Transparenz über Unterauftragsverarbeiter. Diese Kriterien gelten für Microsoft 365 Copilot, Azure OpenAI und jede andere KI-Plattform gleichermaßen.
Für Unternehmen mit hohem Datenschutzanspruch ist die zusätzliche Ebene „US-Konzern als Verantwortlicher hinter dem Dienst“ der Punkt, an dem viele nach einer in Deutschland betriebenen Alternative fragen — nicht, weil die Microsoft-Wege unbrauchbar wären, sondern weil sich der Drittlandbezug damit vollständig vermeiden lässt.
Der Modellzugang ist heute eine Commodity. Ob ChatGPT über Microsoft, direkt oder über eine deutsche Plattform bezogen wird, entscheidet nicht über den Projekterfolg. Entscheidend sind Governance und Adoption:
- Zentrale Rollen & Rechte — Wer darf welche Modelle und welche Datenquellen nutzen? Zugriffe sollten nach dem Least-Privilege-Prinzip vergeben, protokolliert und regelmäßig überprüft werden.
- Nachweisbarkeit — Audit-Logs machen sichtbar, wer worauf zugreift — die Grundlage für Nachweise gegenüber Datenschutz, Betriebsrat und Auditoren.
- Ein Anbieter oder mehrere? — Copilot und Azure OpenAI binden an die von Microsoft angebotenen Modelle. Wer je Aufgabe das passende Modell wählen und Anbieter-Abhängigkeit vermeiden will, braucht einen modell-agnostischen Zugang.
- Adoption — Der häufigste Grund für gescheiterte KI-Projekte ist nicht die Technik, sondern fehlende Nutzung. Ohne Schulung, Champions je Abteilung und Nutzungs-Reporting bleiben Lizenzen ungenutzt.
Bewährt hat sich ein Rollout in vier Schritten: Pilot → Governance → Enablement → Messung. Erst ein Pilot mit sicherer Gruppe und klaren Use Cases, dann Rollen/Rechte/Freigaben, dann Schulungen und ein Champion-Programm, schließlich Messung der tatsächlichen Nutzung — mit Nachschärfung dort, wo Teams die KI noch nicht regelmäßig einsetzen.
Zwischen „alles über Microsoft“ und „alles selbst über Azure bauen“ liegt ein dritter, oft praktischerer Weg: eine DSGVO-native Plattform, die in der EU betrieben wird und mehrere Modelle hinter einer Oberfläche bündelt. Genau hier ist meinGPT einzuordnen — nicht als Gegner der Microsoft-Modelle, sondern als neutrale Betriebs- und Governance-Schicht darüber.
Faktisch, geerdet in unseren öffentlichen Nachweisen:
- Betrieb & Datenschutz: meinGPT wird von der SelectCode GmbH in der EU betrieben, ein Auftragsverarbeitungsvertrag (AVV) ist Standard, und Unternehmenseingaben werden nicht zum Training der Modelle verwendet.
- Unabhängige Nachweise: SelectCode ist nach ISO 27001 zertifiziert und lässt die Sicherheit regelmäßig durch unabhängige Penetrationstests prüfen (zuletzt SySS, 2025). Zugriffe folgen dem Least-Privilege-Prinzip, sind protokolliert und Gegenstand regelmäßiger Zugriffsprüfungen. Nachweise sind über das Trust Center einsehbar.
- Modell-Agnostik statt Anbieter-Bindung: Mehrere führende Modelle (etwa die GPT-, Claude- und Gemini-Reihen, ergänzt um europäische und Open-Source-Modelle) liegen austauschbar hinter einer Oberfläche — je Aufgabe lässt sich das passende Modell wählen, ohne Governance oder Datenschutzniveau zu wechseln.
- Integration statt isoliertem Chat: Über Connector (MCP) und API wird die KI an erlaubte interne Systeme angebunden und liefert mit Quellen belegte Antworten aus dem eigenen Unternehmenswissen. Mehr dazu im Beitrag zur Integration von ChatGPT und Outlook sowie unter DSGVO-konforme KI.
- Transparente Preise: Self-Service ab 29 € pro Nutzer und Monat inklusive Nutzungsguthaben; der begleitete Rollout kombiniert eine monatliche Plattform-Grundgebühr mit einer nach Nutzerzahl gestaffelten Lizenz und einer einmaligen Einrichtung. Die KI-Nutzung läuft über ein gemeinsames Guthaben (Credits) statt über Flatrates — Details unter Preise und zur Enterprise-Betrachtung im Beitrag ChatGPT Enterprise-Lizenz.
Die drei Wege schließen sich nicht aus: Manche Unternehmen nutzen Microsoft 365 Copilot in den Office-Apps und eine DSGVO-native Plattform als zentralen, prüfbaren KI-Zugang für alle übrigen Fälle.
Vorher: Ein Vertriebsmitarbeiter kopiert Textbausteine aus alten Angeboten zusammen, sucht Preise im ERP und formuliert per Hand — pro Angebot 45–60 Minuten, uneinheitliche Qualität. Nachher: Ein freigegebener Assistent zieht Kontext aus den angebundenen Quellen und liefert einen Entwurf, den der Mitarbeitende nur noch prüft und freigibt.
Beispiel-Prompt: „Erstelle einen Angebotsentwurf für die Musterfirma GmbH über 25 Nutzerlizenzen unserer Plattform inkl. Onboarding. Nutze unsere Standard-Konditionen aus der Wissensbasis, Tonalität sachlich-verbindlich. Gib Positionen als Tabelle aus und markiere jede Stelle, an der ich einen Wert bestätigen muss.“
Beispiel-Output (gekürzt):
Sehr geehrte Frau Muster,
gerne unterbreiten wir Ihnen folgendes Angebot:
| Position | Menge | Einzelpreis | Summe |
|---|
| Nutzerlizenz (Staffel ≤ 50) | 25 | 20 € / Monat | 500 € / Monat |
| Einmaliges Onboarding | 1 | ⟨bitte bestätigen⟩ | — |
Hinweis des Assistenten: Der Onboarding-Preis liegt laut Wissensbasis in einer Spanne — bitte den konkreten Wert vor Versand bestätigen. Die fachliche Prüfung bleibt beim Menschen.
Ein Notetaker protokolliert das Kundengespräch, extrahiert Aufgaben mit Verantwortlichen und schlägt eine Follow-up-Mail vor. Was früher 20 Minuten Nacharbeit kostete, wird zur Minutensache — die Inhalte bleiben innerhalb der DSGVO-konformen Plattform, statt in einem beliebigen Einzeltool mit eigenem Datenschutzstatus zu landen.
Statt einer allgemeinen Internet-Auskunft durchsucht die KI die erlaubten internen Dokumente (nach vergebenen Berechtigungen) und liefert eine mit Fundstellen belegte Antwort. So sieht jede Person nur, wofür sie freigegeben ist — nachvollziehbar über Protokolle.
- KI ersetzt keine fachliche Prüfung: Angebote, Verträge und Berechnungen müssen vor Verwendung freigegeben werden.
- Der Nutzen aus internen Daten hängt von sauberer Anbindung und Berechtigungen ab — ohne gepflegte Quellen bleiben Antworten allgemein.
- Adoption entsteht nicht durch Zugang allein: Ohne Schulung und Champions nutzen erfahrungsgemäß nur wenige Teams die KI regelmäßig.
- Produkt- und Vertragsdetails der Anbieter (Regionen, Preise, Trainingszusagen) ändern sich — prüfen Sie sie an den jeweils aktuellen Bedingungen.
Quotable — welcher Weg passt?
- Tief in Microsoft 365 investiert, KI vor allem in den Office-Apps gewünscht? → Microsoft 365 Copilot prüfen.
- Eigene Entwicklungsmannschaft, maßgeschneiderte Anwendung mit voller Architektur-Kontrolle? → Azure OpenAI Service prüfen.
- Zentraler, prüfbarer KI-Zugang für alle Mitarbeitenden, ohne Anbieter-Bindung und ohne Drittlandbezug? → DSGVO-native deutsche Plattform prüfen.
- Unabhängig vom Weg immer klären: EU-Verarbeitung, AVV, kein Training auf Eingaben, Sub-Prozessor-Transparenz — und ein Rollout in vier Schritten (Pilot → Governance → Enablement → Messung).
„Microsoft ChatGPT“ ist ein Sammelbegriff, kein Produkt — und die erste Aufgabe deutscher Unternehmen ist, die drei Wege (Copilot, Azure OpenAI, direkt bei OpenAI) auseinanderzuhalten. Datenschutz entscheidet sich nicht am Label, sondern an vier prüfbaren Kriterien; der Projekterfolg entscheidet sich an Governance und Adoption, nicht am Modell. Wer einen zentralen, in der EU betriebenen und prüfbaren KI-Zugang für alle Mitarbeitenden sucht — modell-agnostisch, ohne Anbieter-Bindung —, findet in einer DSGVO-nativen Plattform wie meinGPT die passende Betriebs- und Governance-Schicht. Weiterführend: ChatGPT im Unternehmen (Firmen-Account), ChatGPT Enterprise-Lizenz und DSGVO-konforme KI.
