Zero Data Retention (ZDR) bedeutet so viel wie „keine Datenspeicherung“ und bezeichnet einen Betriebsmodus von KI- und API-Anbietern, bei dem Eingaben (Prompts), Ausgaben (Antworten) und zugehörige Metadaten nicht dauerhaft gespeichert, nicht protokolliert und nicht zum Training oder zur Modellverbesserung genutzt werden. Wer Tools wie ChatGPT oder Claude sicher nutzen will, kann die gleichnamige Einstellung in seinem Profil aktivieren. Die Daten durchlaufen die Infrastruktur des Anbieters dann ausschließlich zur Erzeugung der Antwort und werden anschließend verworfen, es verbleibt kein persistenter Datensatz. Für Unternehmen, die personenbezogene Daten oder Geschäftsgeheimnisse über KI-Dienste verarbeiten, ist ZDR häufig eine vertragliche Voraussetzung für den produktiven Einsatz und ein zentraler Baustein DSGVO-konformer KI-Nutzung.
Was Zero Data Retention konkret bedeutet
Im Normalbetrieb speichern die meisten großen KI-Anbieter Prompts und Antworten standardmäßig für einen begrenzten Zeitraum, typischerweise 30 Tage zur Missbrauchserkennung, und behalten sich teilweise die Nutzung zur Modellverbesserung vor, sofern der Kunde nicht widerspricht. Auch für den Widerspruch der Datennutzung zu Trainingsszwecken gibt es entsprechende Optionen bei KI-Werkzeugen wie ChatGPT, Claude oder Gemini. Zero Data Retention eliminiert beide Aspekte in einer einzigen vertraglichen Zusicherung: keine Speicherung und keine nachgelagerte Nutzung.
Technische und vertragliche Kernmerkmale von Zero Data Retention
- Keine persistente Speicherung: Inhalte werden nur für die Dauer der Antworterzeugung (Inference) im Arbeitsspeicher gehalten und danach verworfen.
- Kein Training / kein Fine-Tuning: Prompts und Outputs fließen nicht in die Weiterentwicklung der Anbietermodelle ein.
- Reduziertes oder deaktiviertes Logging: Telemetrie- und Debug-Logs werden deaktiviert, anonymisiert oder stark eingeschränkt.
- Eingeschränkte menschliche Durchsicht: keine manuelle Review der Inhalte außer über definierte, protokollierte Safety- und Abuse-Pfade.
Warum ZDR eine GRC-Frage ist
Sobald ein Unternehmen personenbezogene Daten über einen externen KI-Dienst verarbeitet, liegt eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO vor. Der KI-Anbieter wird zum Auftragsverarbeiter und darf die Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten. Jede eigenmächtige Zweckänderung – wie etwa die Modellverbesserung aus Kundenprompts – verlässt die Auftragsverarbeitung und wird zu einer eigenständigen, in der Regel unzulässigen Verarbeitung. Genau hier setzt ZDR an: Es überführt die Grundsätze der Datenminimierung und der Speicherbegrenzung nach Art. 5 Abs. 1 lit. c und e DSGVO in eine technisch-vertragliche Zusicherung des Anbieters.
- Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO): Daten dürfen nur so lange in identifizierender Form vorliegen, wie es der Zweck erfordert – ZDR reduziert diese Dauer auf das technische Minimum.
- Auftragsverarbeitung (Art. 28 DSGVO): ZDR-Modi gehören zu den konfigurierbaren Log-Retention-Klauseln, die im AVV zu regeln sind.
- Drittlandtransfer (Art. 44 ff. DSGVO): ZDR ersetzt keine Datenresidenz, bei US-Anbietern bleiben Standardvertragsklauseln und Transfer-Impact-Assessment erforderlich.
- Technische und organisatorische Maßnahmen (Art. 32 DSGVO): ZDR ist eine dokumentierbare TOM zur Risikoreduzierung.
Abgrenzung: Was ZDR NICHT ist
Ein häufiges und haftungsrelevantes Missverständnis: Zero Data Retention macht die Datenverarbeitung nicht per se DSGVO-konform und ersetzt weder AVV noch Rechtsgrundlage. ZDR ist eine Zusicherung des Auftragsverarbeiters über den Umgang mit Daten auf seiner Seite – die Pflichten des Verantwortlichen bleiben vollständig bestehen.
| Zero Data Retention ist NICHT … | Begründung |
|---|---|
| … Anonymisierung | Die Daten sind während der Verarbeitung weiterhin personenbezogen, sie werden nur nicht im Verarbeitungssystem gespeichert. |
| … Verzicht auf AVV | Der Auftragsverarbeitungsvertrag (AVV) ist unabhängig von ZDR zwingend erforderlich. |
| … EU-Datenresidenz | Wo die Verarbeitung stattfindet, ist eine separate Frage. ZDR sagt nichts über den Verarbeitungsort der Daten aus. |
| … Löschung nach Art. 17 DSGVO | Das Betroffenenrecht auf Löschung betrifft die Datenbestände beim Verantwortlichen, nicht den flüchtigen Inference-Vorgang innerhalb der LLMs. |
Praxisrelevanz von Zero Data Retention für Unternehmen
ZDR ist besonders relevant, wenn Unternehmen sensible Inhalte und auch personenbezogene Daten über eine KI verarbeiten, etwa im Kundenservice (Reklamationen, Vertragsrückfragen), im Gesundheitswesen, im Finanz- und Versicherungssektor oder in agentischen Workflows, bei denen KI-Agenten auf interne Systeme zugreifen. Bei den großen Anbietern ist ZDR typischerweise nicht in Standard-Pay-as-you-go-Tarifen enthalten, sondern erfordert einen ausgehandelten Business / Enterprise-Vertrag. Einzelne spezialisierte europäische Anbieter bieten ZDR mittlerweile bereits ab der Einstiegsstufe an, was durchaus ein prüfenswerter Unterschied bei der Anbieterauswahl der einzusetzenden KI-Werkzeuge sein kann.
Typische Einsatzszenarien
- Kundenservice-Automatisierung mit personenbezogenen Ticketinhalten (Beschwerden, Anfragen etc.)
- Verarbeitung von Vertrags- und Gesundheitsdaten über LLM-APIs
- Agentische Workflows mit Zugriff auf CRM, ERP oder Dokumentenablagen (interne wie externe Daten)
- Transkription und Zusammenfassung sensibler Gesprächs- oder Audiodaten
Rechtliche Einordnung
Zero Data Retention ist kein Rechtsbegriff der DSGVO, sondern eine Produkt- und Vertragskategorie der Anbieter. Rechtliche Wirkung entfaltet ZDR erst über seine Verankerung im Auftragsverarbeitungsvertrag und über die dokumentierte Weisungsbindung nach Art. 28 Abs. 3 DSGVO. Entscheidend ist, dass die Zusicherung prüfbar und verbindlich ist – idealerweise ergänzt durch eine veröffentlichte, versionierte Subprozessor-Liste, klare Datenresidenz-Zusagen und die vertragliche Meldung von Änderungen der Trainings-Policy mit Widerspruchsrecht.
ZDR als Baustein der KI-Governance
Zero Data Retention entfaltet seine volle Schutzwirkung nur im Zusammenspiel mit den übrigen Bausteinen der KI-Governance: einem vollständigen KI-Inventar, geprüften Auftragsverarbeitungsverträgen, dokumentierten Rechtsgrundlagen, einer internen KI-Richtlinie und – wo personenbezogene Daten in großem Umfang oder mit hohem Risiko verarbeitet werden – einer Datenschutz-Folgenabschätzung (DSFA). Ergänzend zu ZDR reduziert eine vorgelagerte PII-Maskierung (Pseudonymisierung oder Anonymisierung vor dem API-Aufruf) das Risiko weiter, weil personenbezogene Daten den Verarbeitungspfad idealerweise gar nicht erst erreichen.
Wie Elsen GRC Sie beim Thema ZDR unterstützt
Ein ZDR-Häkchen ist zwar schnell gesetzt, eine belastbare Datenschutz- und Governance-Struktur wächst aber nicht über Nacht. Elsen GRC hilft Unternehmen, wichtige Faktoren wie Zero Data Retention bei KI-Nutzung korrekt einzuordnen und in einen nachvollziehbaren, prüfbaren Rahmen einzubetten, statt sich auf ein Marketing-Versprechen zu verlassen.
- KI Governance Beratung: Aufbau tragfähiger Kontroll- und Dokumentationsstrukturen für den DSGVO-konformen KI-Einsatz.
- Privacy QuickCheck: Schnelle Standortbestimmung zu KI-Datenflüssen, Auftragsverarbeitungsverträgen und Drittlandtransfers.
- DSGVO- & AVV-Begleitung: Prüfung und Verhandlung der relevanten Vertragsklauseln inklusive Log-Retention und Trainings-Policy.
Häufige Fragen zu Zero Data Retention (FAQ)
Macht Zero Data Retention meine KI-Nutzung automatisch DSGVO-konform?
Nein. ZDR ist eine Zusicherung des Anbieters über den Umgang mit Daten auf seiner Seite. Ihre eigenen Pflichten als Verantwortlicher – Rechtsgrundlage, Auftragsverarbeitungsvertrag, gegebenenfalls Datenschutz-Folgenabschätzung – bleiben vollständig bestehen.
Brauche ich trotz ZDR noch einen Auftragsverarbeitungsvertrag?
Ja. Sobald personenbezogene Daten über den Dienst verarbeitet werden, ist ein AVV nach Art. 28 DSGVO zwingend erforderlich – unabhängig davon, ob der Anbieter ZDR anbietet. ZDR ist idealerweise als Klausel im AVV verankert.
Ist ZDR dasselbe wie Anonymisierung?
Nein. Während der Antworterzeugung sind die Daten weiterhin personenbezogen – sie werden lediglich nicht dauerhaft gespeichert. Eine echte Anonymisierung oder eine vorgelagerte PII-Maskierung ist ein zusätzlicher, ergänzender Schutzmechanismus.
Löst ZDR das Problem des Drittlandtransfers bei US-Anbietern?
Nein. ZDR sagt nichts darüber aus, wo die Verarbeitung stattfindet. Bei Anbietern außerhalb der EU bleiben Standardvertragsklauseln und ein Transfer-Impact-Assessment erforderlich. Datenresidenz und Datenspeicherung sind zwei getrennte Fragen.
Hat Zero Data Retention etwas mit dem EU AI Act zu tun?
Nein, nicht direkt. Zero Data Retention ist ein datenschutzrechtliches Konzept, es zielt auf DSGVO-Grundsätze ab (Speicherbegrenzung, Datenminimierung, Auftragsverarbeitung). Der EU AI Act reguliert KI-Systeme nach Risikoklassen, Transparenz- und Dokumentationspflichten, er sagt nichts zu ZDR und schreibt es auch nicht vor. Bei sog. Hochrisiko-Systemen verlangt der AI Act aber Daten-Governance und technische Dokumentation, ZDR kann dort als eine dokumentierbare Maßnahme einzahlen.
Verwandte Themen
- Model Context Protocol (MCP): Definition, Bedeutung & GRC-Pflichten
- KI Governance: Erklärung, Aufgaben und Prinzipien
- Auftragsverarbeitungsvertrag (AVV): Definition & Pflichten im Sinne der DSGVO
Quellen
- EUR-Lex: Verordnung (EU) 2016/679 (DSGVO), Art. 5 und Art. 28
- Anthropic: Zero Data Retention Agreements (Enterprise)
- OpenAI: Data Processing Addendum & Zero Data Retention
- activeMind AG: Speicherbegrenzung bei der Datenverarbeitung
Bild: © Andrea De Santis – Unsplash.com