Das ist keine Rechtsberatung, sondern die Betreiber-Perspektive, mit der ich KI-Werkzeuge für mein eigenes Business und echte Kundendaten prüfe. Ob du Grok DSGVO-konform im Unternehmen einsetzen kannst, hängt vor allem davon ab, welchen der vier Wege du nutzt: die Grok-Apps, Grok Business, die xAI-API oder Grok Bot. Für die API schreibt xAI, dass es ohne deine ausdrückliche Erlaubnis nicht mit deinen Eingaben und Ausgaben trainiert, sie aber standardmäßig 30 Tage speichert; mit Zero Data Retention für das ganze Team entfällt das. Einen garantierten Verarbeitungsort dokumentiert xAI nur für die USA, gegen 10 Prozent Aufschlag, und nur für zwei Modelle ohne Werkzeuge und Dateien; einen EU-Endpunkt nennt die Seite zu den Regionen nicht. Auf der Seite zu Grok Imagine wirbt xAI allerdings mit „EU data residency options“, ohne zu sagen, wie und für wen. Frag danach, bevor du dich darauf verlässt. Grok Bot läuft laut xAI auf Rechnern in der Cloud von Cursor in den USA. Für den Auftragsverarbeitungsvertrag verweist xAI in seiner Entwicklerdoku auf einen Data Processing Addendum auf seinen Rechtsseiten. Diese Seiten konnte ich beim Abruf nicht öffnen, deshalb weiß ich nicht, was darin steht und für welche Produkte er gilt. Lass dir das vor dem ersten Kundendatensatz schriftlich bestätigen. Dazu kommen drei Verfahren gegen X, das Unternehmen hinter der Plattform, in denen es um Grok geht: zwei der irischen Datenschutzbehörde DPC und eines der EU-Kommission nach dem Digital Services Act. Festgestellt ist bisher in keinem ein Verstoß, Stand 26.10.2026. Unten findest du eine Prüfliste in zehn Schritten und den Vergleich mit Claude Team und lokalen Modellen.
Bei mir laufen geschäftliche Daten über Claude Team, weil dort Trainingsausschluss und Auftragsverarbeitungsvertrag dabei sind; wie ich zu dieser Entscheidung gekommen bin, steht in Claude Enterprise oder Team: Kosten, DSGVO. Grok habe ich für diesen Beitrag nicht getestet. Alles hier stammt aus der Dokumentation von xAI und Cursor und aus den Mitteilungen der Behörden, abgerufen am 26.10.2026. Alles zu KI im Arbeitsalltag sammle ich auf der Seite KI.
Vier Wege zu Grok, vier Datenregeln
Für die Apps ist ein Punkt unscheinbar und wichtig: xAI führt grok.com und die Apps als Angebot für Verbraucher („consumer-facing“). Wer im Team mit privaten Grok-Konten arbeitet, entscheidet jeder für sich, ob der Schalter an ist. Zentral steuern kannst du das erst mit Grok Business: Mit einer Enterprise-Lizenz kann die Organisation laut xAI persönliche Arbeitsbereiche abschalten.
Bei der API ist Zero Data Retention die stärkste Stellschraube. xAI rät aber selbst den meisten Kunden davon ab, weil dann Funktionen wegfallen, die gespeicherte Daten brauchen: die zustandsbehaftete Responses-API, Dateien und Sammlungen, die Batch-API und gespeicherte Bilder und Videos. Zero Data Retention gilt immer für das ganze Team, nicht für einzelne Schlüssel. Auf die eigene FAQ-Frage, ob xAI DSGVO- und SOC-2-konform sei, antwortet die Doku nur mit der SOC-2-Type-2-Zertifizierung und verweist auf ein Trust Center, das Kunden mit unterschriebener Vertraulichkeitsvereinbarung offensteht. Für Enterprise-Bedingungen und Data Processing Addendum verweist die Doku auf die Rechtsseiten unter x.ai/legal. Diese Seiten, auch die Datenschutzerklärung, konnte ich beim Abruf nicht öffnen; was dort steht, ist in diesem Beitrag deshalb nicht ausgewertet.
Bei Grok Bot liegt der Schwerpunkt bei Cursor. Die Rechner speichern Dateien, Browser-Sitzungen und alles, was im Browser gespeichert wird, dauerhaft; eine Aufbewahrungsregel je Organisation gibt es laut xAI nicht. Die Modelle wählt Cursor, auch Modelle von Drittanbietern aus Cursors Liste der Unterauftragsverarbeiter. Wenn dein Vertrag festlegt, welche Unterauftragsverarbeiter deine Daten sehen dürfen, sollst du dich laut xAI vor dem Einsatz an dein Account-Team wenden.
Die laufenden Verfahren, im Wortlaut der Behörden
Alle drei Verfahren richten sich gegen X bzw. die irische X Internet Unlimited Company, nicht gegen dich als Nutzer. Keines hat bisher einen Verstoß festgestellt; es sind Prüfungen.
Die EU-Kommission schreibt zu ihrem Verfahren ausdrücklich: „The opening of formal proceedings does not prejudge its outcome.“ Ihre Seite trägt den Stand 26.05.2026. In dem älteren Verfahren von Dezember 2023, das die Kommission dabei erweitert hat, hat sie am 05.12.2025 zu anderen Punkten (irreführende Gestaltung, Werbetransparenz, Datenzugang für Forschung) einen Verstoß festgestellt und 120 Millionen Euro Bußgeld verhängt; Grok betraf das nicht. Auf der Liste der Pressemitteilungen der DPC steht bis heute keine Entscheidung zu einem der beiden X-Verfahren.
Was die Verfahren für dein Unternehmen heißen, und was nicht
Das ist meine Einordnung, keine Rechtsauskunft.
Die Verfahren prüfen, was X als Plattform getan hat: ob öffentliche Beiträge für das Training genutzt werden durften und ob X die Risiken der Bildfunktionen vorher bewertet hat. Sie sagen nichts darüber, ob deine eigene Nutzung der API oder von Grok Bot zulässig ist; das hängt an deinem Vertrag, deinen Daten und deinem Zweck. Für deine Bewertung zählen sie trotzdem, aus zwei Gründen. Erstens gehört zur Auswahl eines Dienstleisters, wie er mit Daten umgeht; laufende Prüfungen der zuständigen Aufsicht sind ein Punkt, den du in deiner Bewertung dokumentieren solltest. Zweitens kann ein Ergebnis die Lage ändern, deshalb gehört der Verfahrensstand auf deine Wiedervorlage.
Prüfliste: Grok im Unternehmen in zehn Schritten
- Weg festlegen. App, Grok Business, API oder Grok Bot? Jeder Weg hat andere Datenregeln, siehe Tabelle oben. Private Grok-Konten für Firmendaten schließt du am besten schriftlich aus.
- Daten einteilen. Welche Daten sollen hinein: öffentliche Informationen, interne Texte, personenbezogene Kundendaten, besondere Kategorien wie Gesundheitsdaten? Für die erste Gruppe reicht oft eine interne Regel, für die anderen nicht.
- Auftragsverarbeitung klären. Verarbeitet der Anbieter personenbezogene Daten in deinem Auftrag, brauchst du einen Vertrag nach Art. 28 DSGVO. Lass dir zeigen, welcher Vertrag für deinen Weg gilt: xAI verweist auf einen Data Processing Addendum unter x.ai/legal, bei Grok Bot nennt xAI den Data Processing Agreement von Cursor.
- Verarbeitungsort und Übermittlung prüfen. Der Standard-Endpunkt der API garantiert keinen Ort. Der US-Endpunkt garantiert die USA für Anfrage, Inferenz, Moderation und gespeicherte Anfragedaten, aber nur für grok-4.7 und grok-4.6 und nicht für Dateien, Sammlungen und Werkzeuge wie die Websuche; xAI schreibt selbst, das sei keine umfassende Zusage zur Datenresidenz. Grok Bot läuft in den USA. Frag ausdrücklich nach den „EU data residency options“, mit denen die Imagine-Seite wirbt: für welche Produkte, wo, zu welchem Preis. Für Übermittlungen in Drittländer gelten Art. 44 ff. DSGVO; lass dir die Rechtsgrundlage nennen, etwa die Teilnahme am EU-U.S. Data Privacy Framework oder Standardvertragsklauseln.
- Training ausschließen. API: kein Training ohne Erlaubnis, also keine Erlaubnis erteilen; in Grok Build die Abfrage zur Datenaufbewahrung ablehnen und unter
/privacy die Aufbewahrung von Code abschalten. Grok Bot: Privacy Mode im Cursor-Team einschalten. Apps: Schalter zur Modellverbesserung in den Datenkontrollen prüfen.
- Speicherdauer festlegen. API: 30 Tage Standard oder Zero Data Retention, mit den genannten Funktionsverlusten. Grok Bot: Dateien und Logins können auf dem Rechner bleiben, auch wenn du einen Bot löschst.
- Unterauftragsverarbeiter lesen. Bei Grok Bot wählt Cursor die Modelle, auch von Drittanbietern; die Liste steht bei Cursor im Trust Center. Die Modell-Allowlist deines Cursor-Teams gilt für Grok Bot laut xAI nicht.
- Zugriffe begrenzen. Bei Grok Bot teilen sich alle Bots eines Nutzers einen Rechner samt Logins; xAI schreibt, getrennte Bots seien keine Sicherheitsgrenze. Lege Freigaberegeln an, etwa „Ask first“ vor jeder externen Mail.
- Dokumentieren. Trag die Verarbeitung in dein Verzeichnis nach Art. 30 DSGVO ein und prüfe, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist. Genau diese Pflicht ist auch Teil der Prüfung der DPC gegen X.
- Wiedervorlage setzen. Prüfe den Stand der drei Verfahren, die Preise und die Datenregeln alle drei Monate; bei Grok haben sich Abos und Produkte allein 2026 mehrfach geändert.
Mein Rat: Wenn du die Schritte 3 und 4 nicht schriftlich beantwortet bekommst, gehören keine personenbezogenen Kundendaten hinein. Wie ich vor jeder Eingabe trenne, was die KI sehen darf, steht in KI und Datenschutz: was die KI sehen darf.
Vergleich: Grok, Claude Team und ein lokales Modell
Die Zeilen zu Claude stammen aus Anthropics Unterlagen, Stand 26.10.2026. Was bei Claude genau gilt, steht in Claude Datenschutz und DSGVO: was gilt.
Ein lokales Modell ist der einzige Weg, bei dem die Daten für die Rechenarbeit das Haus nicht verlassen. Auch von Grok gibt es offene Gewichte: xAI hat Grok 1 (März 2024, Apache 2.0) und Grok 2 (August 2025) auf Hugging Face veröffentlicht, beides ältere Generationen. Wie du lokal arbeitest und was das kostet, steht in Lokale KI und Datenschutz: Cloud oder Server?, Eigener KI-Server: Hardware und Kosten und Open-Source-KI-Modelle im Vergleich. Welche Lizenz welches offene Modell hat, steht in Open-Weight-Lizenzen.
Häufige Fragen
Ist Grok DSGVO-konform?
Das lässt sich nicht pauschal sagen, und es ist keine Rechtsberatung. Belegt ist: xAI trainiert nicht ohne Erlaubnis mit API-Daten, speichert sie standardmäßig 30 Tage, nennt in der Entwicklerdoku keinen EU-Endpunkt, verweist für den Auftragsverarbeitungsvertrag auf Rechtsseiten, die ich nicht öffnen konnte, und Grok Bot läuft auf Rechnern in den USA. Ob das für deinen Fall reicht, klärst du mit deinem Datenschutzbeauftragten.
Was ist Grok Zero Data Retention?
Eine Einstellung für die xAI-API, mit der Eingaben und Ausgaben nicht gespeichert werden. Sie gilt für das ganze Team, ein Admin schaltet sie in der Console ein. Dafür fallen Funktionen weg, die gespeicherte Daten brauchen, etwa die Batch-API, Dateien und Sammlungen.
Gibt es ein Verfahren gegen Grok in der EU?
Es gibt drei Verfahren gegen X, in denen es um Grok geht: zwei der irischen Datenschutzbehörde (11.04.2025 zum Training mit X-Beiträgen, 17.02.2026 zu sexualisierten Bildern) und eines der EU-Kommission nach dem Digital Services Act (26.01.2026). Festgestellt ist bisher kein Verstoß (Stand 26.10.2026).
Darf ich Kundendaten in Grok Bot geben?
Nur, wenn du Auftragsverarbeitung und Übermittlung in die USA geklärt hast, denn die Rechner laufen laut xAI dort, und alle Bots eines Nutzers teilen sich einen Rechner. Ohne diese Klärung würde ich nur öffentliche oder interne, nicht personenbezogene Daten hineingeben.
Wie lösche ich mein Grok-Konto?
Über die Kontoseite unter accounts.x.ai. Laut xAI verlierst du damit auch den API-Zugang, wenn du dasselbe Konto nutzt; innerhalb von 30 Tagen kannst du das Konto durch erneutes Anmelden wiederherstellen.
Wie du weitermachst
Geh die Prüfliste mit dem einen Weg durch, den du wirklich nutzen willst, und schreib zu jedem Punkt die Antwort mit Quelle dazu. Was offen bleibt, ist deine Liste für das Gespräch mit dem Anbieter und mit deinem Datenschutzbeauftragten. Wie Grok und Claude sich jenseits des Datenschutzes unterscheiden, steht in Grok vs Claude 2026: der Vergleich. Wie ich meine KI-Mitarbeiter so aufbaue, dass klar ist, welche Daten sie sehen, zeige ich in meiner deutschsprachigen Community Claude Practitioners.
