In 30 Sekunden
- Grok Business kostet laut xAI 30 US-Dollar je Nutzer und Monat und bringt Teamverwaltung, Konnektoren zu Gmail, Outlook, Teams, SharePoint und Salesforce, Freigaberegeln und nach Herstellerangabe kein Training auf Kundendaten.
- Grok Enterprise ergänzt SSO, Verzeichnisabgleich per SCIM, eigene Rollen und eine Organisationsebene über mehrere Teams; der Preis ist nur auf Anfrage erhältlich. Eigene Schlüssel und eine getrennte Datenebene gibt es mit Enterprise Vault.
- Der Knackpunkt: Die Enterprise-Bedingungen vom 27. Oktober 2026 und der Auftragsverarbeitungsvertrag verlangen, personenbezogene Daten nur über die ZDR-API zu verarbeiten. Grok Business ist ein Chat-Arbeitsplatz, keine ZDR-API.
- Keine Zusage für Verarbeitung in der EU: Der Auftragsverarbeitungsvertrag erlaubt die Verarbeitung weltweit außerhalb Europas. Die Unterauftragsverarbeiter sitzen laut xAI-Liste in den USA, eine Tochtergesellschaft im Vereinigten Königreich.
Executive Summary
Als Arbeitsplatz für Recherche, Entwürfe und Analysen ohne Personenbezug ist Grok Business ordentlich ausgestattet. Für den üblichen Büroalltag mit E-Mails, Kundendaten und Personalthemen passt er nach den veröffentlichten Standardbedingungen nicht. Die Entscheidung lautet deshalb: entweder ein eng begrenzter Einsatz ohne Personendaten oder Enterprise mit einer schriftlich abweichenden Vereinbarung.
Was Unternehmen jetzt tun sollten
- Datenschutz und Recht, vor dem KaufKlären, ob ein Einsatz ohne personenbezogene Daten fachlich überhaupt sinnvoll ist. Wenn nicht: Grok Enterprise nur mit einer Order Form, die die Verarbeitung personenbezogener Daten in grok.com ausdrücklich regelt.
- Team-Admin, am ersten TagFreigaben für Unterhaltungen und Projekte von „Organisation“ auf „Team“ oder „Privat“ senken und nur Konnektoren freischalten, deren Quellen keine Personendaten enthalten.
- IT und Fachbereich, im PilotKlare Nutzungsregel schreiben, welche Inhalte in Grok dürfen, und den persönlichen Workspace in die Regel einbeziehen.
Der Beitrag richtet sich an IT-Leitung, Datenschutz und Einkauf, die Grok als Chat-Assistenten für Mitarbeitende prüfen, etwa als Alternative oder Ergänzung zu ChatGPT Enterprise oder Microsoft 365 Copilot. Sinnvoll beginnt man nicht mit dem Funktionsvergleich, sondern mit den Bedingungen: Welche Daten dürfen nach dem Vertrag überhaupt hinein? Erst danach lohnt der Blick auf SSO, Konnektoren und Freigaberegeln. Die technische Seite von Grok 4.7 über die API haben wir im Grok-4.7-Unternehmenscheck beschrieben, Vertragspartner und Behördenverfahren im EU-Check zu Grok.
Grok Business wirbt mit Konnektoren zu Postfächern, Kalendern und dem CRM, also genau zu den Quellen mit personenbezogenen Daten. Wer den Tarif nach dem Funktionsumfang kauft, ohne die Vertragsfrage zu klären, trägt das Risiko allein.
Was Grok Business und Enterprise sind und wo sie im xAI-Angebot stehen
xAI, das inzwischen unter SpaceX Super Intelligence LLC (SpaceXSI) auftritt, hat Grok Business und Grok Enterprise am 30. Dezember 2025 vorgestellt. Beide sind Arbeitsplätze auf grok.com für Teams, mit eigenem Team-Workspace, Verwaltung in der xAI-Konsole und gemeinsamer Abrechnung. Im Angebot von xAI stehen sie neben der Grok API für eigene Anwendungen, Grok Voice für Sprachdialoge und dem Programmierassistenten Grok Bot. Laut Tarifseite sind in beiden Tarifen Grok 4.7, die Bild- und Videoerzeugung Imagine, Voice, Grok Build und Konnektoren enthalten. Den Überblick über alle Angebote gibt die Seite xAI für Unternehmen.
Nicht abgedeckt sind eigene Anwendungen über Programmierschnittstellen; dafür ist die API mit eigenen Preisen und Einstellungen zuständig. Auch eine garantierte Verarbeitung in der EU bietet keiner der beiden Tarife an.
Was Business und Enterprise unterscheidet
| Bereich | Grok Business | Grok Enterprise |
|---|---|---|
| Preis | 30 US-Dollar je Nutzer und Monat, Abschluss selbst online | Auf Anfrage beim Vertrieb |
| Anmeldung und Nutzer | Einladung per E-Mail, Domain-Verifizierung, Rollen Admin und Mitglied | Zusätzlich SSO (etwa Okta, Azure AD, Google Workspace), SCIM, eigene Rollen |
| Struktur | Ein Team in der Konsole | Organisation über mehrere Teams mit zentraler Nutzerübersicht |
| Daten und Sicherheit | Kein Training laut xAI, Nutzungsanalysen, Freigaberegeln; „Custom data retention“ laut Tarifseite | Zusätzlich mit Vault: eigene Schlüssel (CMEK), Verschlüsselung auf Anwendungsebene, getrennte Datenebene |
| Persönlicher Workspace | Vorhanden | Lässt sich laut Doku abschalten |
Eigene Zusammenfassung der Tarifseite, der Lizenzverwaltung, der Organisationsverwaltung und des Nutzerhandbuchs, Stand 10. November 2026.
Zwei Angaben widersprechen sich in den Unterlagen von xAI. Die Tarifseite führt „Custom data retention“ und „Advanced audit and security controls“ mit Häkchen auch für Business. Die Ankündigung vom Dezember 2025 nannte die erweiterten Audit-Kontrollen als Enterprise-Funktion, und das Nutzerhandbuch spricht von eigenen Aufbewahrungsregeln „für die Enterprise-Stufe“. Welche Aufbewahrung und welche Protokolle ein Business-Team tatsächlich einstellen kann, sollte vor dem Kauf in der Konsole oder schriftlich beim Vertrieb geklärt werden. Bei Vault ist ebenfalls offen, ob es zum Enterprise-Tarif gehört oder ein Zusatz ist: Die Ankündigung nennt es „Add-on“, die Tarifseite listet die Vault-Funktionen unter Enterprise.
Was die Bedingungen bei personenbezogenen Daten verlangen
Die Enterprise-Bedingungen in der Fassung vom 27. Oktober 2026 gelten laut eigenem Hinweis für geschäftliche Nutzer der API „und verbundener Dienste (einschließlich Grok)“. Darin versichert der Kunde, keine personenbezogenen Daten an die Dienste zu übermitteln, außer über die ZDR-API, und Mitarbeitende und Endnutzer mit angemessenen Mitteln daran zu hindern. Der Auftragsverarbeitungsvertrag vom 22. September 2026 wiederholt das: Personenbezogene Daten dürfen nur über die ZDR-API laufen, ein Verstoß gilt als wesentliche Vertragsverletzung, und SpaceXSI übernimmt für Verarbeitung außerhalb der ZDR-Dienste keine Verantwortung.
Die ZDR-API ist eine Programmierschnittstelle ohne Speicherung. Grok Business ist ein Chat-Arbeitsplatz mit gespeicherten Unterhaltungen, geteilten Projekten und Konnektoren. In den veröffentlichten Unterlagen findet sich keine Ausnahme, die Grok Business oder Enterprise von dieser Regel ausnimmt. Für Unternehmen folgt daraus: Nach den Standardbedingungen ist Grok Business nicht für Inhalte mit Personenbezug vorgesehen. Das betrifft auch beiläufige Personendaten, etwa Namen in einer weitergeleiteten E-Mail oder in einem Protokoll. Eine Enterprise-Order-Form kann abweichende Regeln enthalten; ob xAI das anbietet, ist öffentlich nicht dokumentiert.
Redaktionelle, schematische Darstellung mit hypothetischen Beispielinhalten auf Basis der Enterprise-Bedingungen und des Auftragsverarbeitungsvertrags von xAI, kein Produkt-Screenshot und keine Rechtsberatung.
Konnektoren verschärfen das Problem: Laut Konnektor-Doku greift Grok über Gmail, Outlook, Microsoft Teams, SharePoint, OneDrive und Salesforce auf Postfächer, Chats, Kalender und CRM-Datensätze zu; bei Salesforce auch schreibend. Diese Quellen enthalten fast immer personenbezogene Daten. In Business und Enterprise muss ein Team-Admin jeden Konnektor erst in der Konsole freischalten. Diese Freigabe ist der Ort, an dem die Regel durchgesetzt wird.
Wo die Daten liegen und wer sie verarbeitet
Die Liste der Unterauftragsverarbeiter nennt unter anderem AWS, Google Cloud, Oracle, MongoDB und Konzerngesellschaften von SpaceXSI, alle mit Standort USA; nur eine Tochtergesellschaft sitzt im Vereinigten Königreich. Der Auftragsverarbeitungsvertrag erlaubt die Verarbeitung „weltweit außerhalb Europas“, insbesondere in den USA, und stützt Übermittlungen auf Standardvertragsklauseln. Nutzereingaben werden laut Enterprise-Bedingungen spätestens 30 Tage nach Ende der Sitzung gelöscht, sofern nichts anderes vereinbart oder in Selbstbedienung eingestellt ist, gesetzlich vorgeschrieben ist oder für Sicherheit, Moderation und Missbrauchsprüfung nötig ist. Vertragsrecht ist texanisches Recht mit Gerichtsstand Wichita County, Texas.
Für das Training gilt laut Enterprise-FAQ: Geschäftsdaten werden nicht zum Training genutzt. Dieselbe FAQ erwähnt aber, dass xAI in manchen Fällen Gratisguthaben gegen eine Trainingserlaubnis anbietet. Solche Angebote sollte der Einkauf ablehnen. Außerdem dürfen laut Enterprise-Bedingungen anonymisierte und aggregierte Nutzungsdaten für beliebige rechtmäßige Zwecke verwendet werden, außer bei ZDR.
Die Kontrollen, die ein Admin am ersten Tag setzen sollte
Die Lizenzverwaltung legt fest, wie weit Mitarbeitende Unterhaltungen, Projekte und Skills teilen dürfen: Privat, Team, Organisation oder Öffentlich. Öffentliche Links gibt es nur für Unterhaltungen. Ab Werk dürfen Unterhaltungen und Projekte organisationsweit geteilt werden, Skills starten auf Privat. Eine Verschärfung wirkt sofort und schränkt auch bestehende Freigaben ein. Für den Pilot empfehlen wir Team als Obergrenze.
Zweiter Punkt ist der persönliche Workspace. Laut Nutzerhandbuch gelten die Business-Bedingungen im Team-Workspace; Mitarbeitende sollen vor jeder Unterhaltung prüfen, ob sie im richtigen Workspace sind. Den persönlichen Workspace abschalten kann laut Doku nur eine Organisation mit Enterprise-Lizenz. Wer eine Lizenz entzieht, nimmt den Zugang zum Team-Workspace, der persönliche bleibt bestehen. Im Business-Tarif hilft deshalb nur eine klare Nutzungsregel.
Drittens die Konnektoren. Eigene MCP-Server lassen sich anbinden, müssen laut Doku aber aus dem öffentlichen Internet erreichbar sein. Interne Systeme direkt anzubinden heißt also, sie nach außen zu öffnen. Für den Pilot sollten nur Konnektoren freigeschaltet werden, deren Quellen nachweislich keine Personendaten enthalten, etwa eine Ablage mit Produktdokumentation.
Was Enterprise zusätzlich löst und was nicht
Laut Organisationsdoku verknüpft Enterprise eine E-Mail-Domain mit der Organisation, erzwingt nach Aktivierung SSO für alle Domain-Nutzer und ordnet über SCIM Gruppen aus dem Verzeichnis Rollen, Teams und Lizenzen zu. xAI warnt selbst, die SCIM-Umstellung sei „sehr disruptiv“ und könne Zugriffe ungewollt vergeben oder entziehen; die Vorschau vor der Aktivierung ist deshalb Pflicht. Mit Vault kommen eigene Schlüssel und eine getrennte Datenebene hinzu. Ohne Vault läuft Grok laut Ankündigung auf dem gemeinsam genutzten Stack, den auch Privatnutzer verwenden.
Was Enterprise nach den veröffentlichten Unterlagen nicht löst: die Regel zu personenbezogenen Daten, den Verarbeitungsort außerhalb der EU und das texanische Vertragsrecht. Das sind Verhandlungsthemen für die Order Form, keine Funktionen, die sich in der Konsole einschalten lassen.
Ein hypothetisches Beispiel: Ein Maschinenbauer mit 300 Beschäftigten will Grok Business für Vertrieb und Produktmanagement einführen. Für Wettbewerbsanalysen aus öffentlichen Quellen und Entwürfe von Produkttexten passt der Tarif. Der Vertrieb möchte aber den Salesforce-Konnektor, um Angebote vorzubereiten. Kontaktnamen, E-Mail-Adressen und Gesprächsnotizen im CRM sind personenbezogene Daten. Nach den Standardbedingungen bleibt der Konnektor deshalb gesperrt, bis eine Enterprise-Vereinbarung die Verarbeitung ausdrücklich zulässt oder die Anwendung über die ZDR-API neu gebaut wird.
Vor dem Kauf schriftlich von xAI bestätigen lassen:
- Gilt die Regel „personenbezogene Daten nur über die ZDR-API“ auch für grok.com, und welche Regel enthält unsere Order Form stattdessen?
- Gehört Vault zum Enterprise-Tarif oder ist es ein Zusatz, und was genau umfasst die getrennte Datenebene?
- Welche Aufbewahrung und welche Audit-Protokolle lassen sich im gewählten Tarif einstellen, und wie lange werden Protokolle vorgehalten?
- In welchen Ländern werden Unterhaltungen, Dateien und Konnektor-Daten verarbeitet und gespeichert?
Pilotfragen vor dem Einsatz
- Welche Aufgaben bleiben übrig, wenn keine personenbezogenen Daten hineindürfen, und rechtfertigen sie 30 US-Dollar je Nutzer und Monat?
- Wer schaltet neue Konnektoren frei, und nach welchem Kriterium wird geprüft, ob eine Quelle Personendaten enthält?
- Wie verhindern wir, dass Mitarbeitende im persönlichen Workspace oder über einen nicht freigegebenen Konnektor arbeiten?
- Ist die Verarbeitung außerhalb Europas auf Basis von Standardvertragsklauseln für unsere Inhalte zulässig, und ist sie im Verzeichnis der Verarbeitungstätigkeiten dokumentiert?
Kleine Teams kommen mit einer Nutzungsregel, der Freigabe „Team“ und ohne Konnektoren aus. Wer Grok unternehmensweit einführt, braucht Enterprise mit SSO und SCIM, eine geprüfte Order Form und eine regelmäßige Durchsicht der Nutzungsanalysen. Für Grok in der eigenen Softwareentwicklung gelten andere Fragen, die wir im Beitrag zu Cursor bei SpaceX behandelt haben.
Fazit: Gute Verwaltung, enge Datenregel
Die Verwaltungsfunktionen von Grok Business und Enterprise reichen für einen Team-Assistenten. Die Grenze setzt der Vertrag: Er lässt personenbezogene Daten nur über die ZDR-API zu und erlaubt die Verarbeitung weltweit außerhalb Europas, mit Unterauftragsverarbeitern in den USA und im Vereinigten Königreich.
Die nächste Entscheidung: Reicht ein Einsatz ganz ohne Personendaten, oder verhandeln wir Enterprise mit einer schriftlich abweichenden Regel, bevor die erste Lizenz gekauft wird?
Quellen
Anbieter (abgerufen am 10. November 2026)
- SpaceXSI: SpaceXSI for Business, Tarifseite
- SpaceXSI: Introducing Grok Business and Grok Enterprise (30. Dezember 2025)
- SpaceXSI: Terms of Service – Enterprise (Fassung vom 27. Oktober 2026)
- SpaceXSI: Data Processing Addendum (gültig ab 22. September 2026)
- SpaceXSI: Subprocessor List und Enterprise FAQs
- SpaceXSI Docs: Grok.com User Guide (10. Oktober 2026), License & User Management, Organization Management, Connector Management, Connectors
