Kurz gesagt
Odoo S.A. erklärt sich für DSGVO konform, die Pflichten als Verantwortlicher bleiben aber bei Ihrem Unternehmen. In der Odoo Cloud ist Odoo laut Hersteller Auftragsverarbeiter, bei eigenem Betrieb tragen Sie beide Rollen. Laut Hersteller laufen Cloud Datenbanken der Region Europa in Frankreich und Belgien, die KI Funktionen senden Anfragen an OpenAI oder Google.
Wer welche Rolle hat
In der Odoo Cloud, also Odoo Online und Odoo.sh, ist laut Hersteller der Inhaber der Datenbank Verantwortlicher und Odoo S.A. Auftragsverarbeiter. Läuft Odoo im eigenen Haus oder bei einem Hoster Ihrer Wahl, hat Odoo laut Hersteller keine Rolle. Im eigenen Haus sind Sie laut Hersteller Verantwortlicher und Verarbeiter zugleich, dann liegen auch die Sicherheit des Betriebs und die Sicherung bei Ihnen. Bei einem fremden Hoster bleiben Sie Verantwortlicher, und mit dem Hoster brauchen Sie einen Vertrag zur Auftragsverarbeitung.
Auftragsverarbeitung
Die Regeln zur Auftragsverarbeitung stehen laut Hersteller im Odoo Enterprise Subscription Agreement, im Abschnitt zum Datenschutz, samt einem Abschnitt zu Unterauftragnehmern. Ein gesonderter Vertrag wird auf der Seite zur DSGVO nicht beschrieben. Legen Sie die Klauseln Ihrem Datenschutzbeauftragten vor, bevor das Haus sich festlegt.
Wo die Daten liegen
Für die Region Europa nennt Odoo als Standorte der Produktion Frankreich und Belgien, für Backups Frankreich, die Niederlande und Schweden, das Hosting SLA nennt noch Europa und Kanada. Backups nur in der EU gelten laut Hersteller derzeit für neue Kunden ab Version 19, andere Kunden in der EU haben bis zum Abschluss des Übergangs eine zusätzliche Sicherung in Kanada. Die Hauptregion lässt sich laut Hersteller wählen oder auf Anfrage wechseln, soweit verfügbar, die Orte der Backups nicht. Als Unterauftragnehmer für das Hosting nennt Odoo unter anderem OVH und Google Cloud.
Löschen und Aufbewahren
Einen Kontakt, auf den sich ein Geschäftsdokument bezieht, löscht Odoo laut Hersteller nicht, dann bleibt das Anonymisieren. Gelöschte personenbezogene Daten können bis zu 12 Monate in Backups bleiben. Nach einer Kündigung bleibt eine Datenbank in der Cloud 3 Wochen deaktiviert und wird dann zerstört. Klären Sie früh, wie sich Löschpflichten und die Aufbewahrung von Buchungsdaten in Ihrem Haus vertragen.
Wohin die KI Funktionen Daten senden
Bei Ask AI und KI Agenten gehen laut Datenschutzseite der In App Dienste die Eingabe, der Verlauf, der Kontext aus Odoo und Auszüge aus hinterlegten Quellen an OpenAI oder Google Gemini. Als Ort der Verarbeitung steht dort für beide global. Ab Version 20 wählt Odoo den Anbieter laut dieser Seite automatisch, die Release Notes zu Version 20 beschreiben dagegen, dass der Nutzer den Anbieter und Odoo das Modell wählt. Klären Sie das schriftlich. Odoo schreibt, die Daten würden dort nicht gespeichert und nicht zum Training genutzt. Dieselbe Seite nennt aber eine Aufbewahrung, soweit die Anfrage sie braucht und die Bedingungen des KI Dienstes sie vorsehen, und laut Release Notes zu Version 20 bleiben Gespräche mit Agenten bis zu 30 Tage nach der letzten Nachricht gespeichert. Prüfen Sie das gegen Ihre Vorgaben, bevor jemand die App einschaltet.
Weitere Fragen
Läuft Odoo auf Servern in Deutschland?
In der Datenschutzerklärung nennt Odoo für die Region Europa Frankreich und Belgien als Standorte der Produktion, Deutschland steht dort nicht. Wenn Ihr Haus einen Standort in Deutschland verlangt, bleibt der Betrieb im eigenen Rechenzentrum oder bei einem Hoster Ihrer Wahl. Im eigenen Rechenzentrum tragen Sie laut Hersteller auch die Rolle des Verarbeiters, samt Sicherheit und Sicherung. Mit einem Hoster schließen Sie einen Vertrag zur Auftragsverarbeitung, die Verantwortung bleibt bei Ihnen.
Ist die Community Version beim Datenschutz im Vorteil?
Das hängt am Ort des Betriebs. Die Community Version läuft ohne Abonnement im eigenen Betrieb, dann fließen die Daten nicht über die Odoo Cloud, solange keine In App Dienste genutzt werden. Die App Odoo AI gehört laut Hersteller zur Enterprise Version. Auch im eigenen Betrieb gilt die DSGVO unverändert für Ihr Haus.
Wie passt ein KI Agent neben Odoo zur DSGVO?
Wenn MindsMachines ein ERP auf Odoo aufsetzt, läuft die KI neben dem ERP in der Umgebung des Kunden. Ein Agent bekommt nur die Rechte, die er für einen Ablauf braucht, und legt Entwürfe an, die ein Mensch freigibt. Welche Rechte er im ERP hat und wie er angebunden ist, legt Ihre IT Leitung fest. Die Verantwortung bleibt bei Ihrem Haus, die Prüfung im Einzelfall gehört zu Ihrem Datenschutzbeauftragten oder zu einer Anwältin oder einem Anwalt.
Welche Funktionen helfen bei Anfragen von Betroffenen?
Odoo nennt das Kundenportal und den Export von Daten als CSV oder Excel für Auskunft und Übertragbarkeit, das Feld für den Widerspruch gegen Massenmails und die Änderung eigener Daten im Portal. Dazu kommen Zugriffsrechte nach Gruppen und Regeln für einzelne Datensätze, ab Version 20 als Domain direkt am Zugriffsrecht. Ein fertiger Ablauf für Anfragen von Betroffenen ist das nicht, den legen Sie selbst fest.
Quellen Odoo, GDPR, Odoo, Datenschutzerklärung, gültig ab 24. September 2026, Odoo, Datenschutz der In App Dienste, Stand 22. September 2026, Odoo Enterprise Subscription Agreement, Version 20, Odoo Cloud Hosting SLA, Abruf am 30.10.2026, Angaben des Herstellers und, wo genannt, Stichprobe auf GitHub. Dazu Kapitel 3, Welche KI an welche Stelle gehört im Leitfaden Ihr nächstes ERP mit Odoo und KI aufbauen. Diese Seite ist keine Rechts oder Steuerberatung. Stand der Seite 30.10.2026.
