Schritt 3: Zahlung einrichten + Budget-Limit setzen

Settings → Billing → Payment methods → Kreditkarte hinterlegen. Das ist trivial.

Direkt danach – und das ist der Schritt, der dich vor unangenehmen Überraschungen schützt – setzt du Usage Limits. Das findest du unter Settings → Billing → Limits.

Es gibt zwei Limits:

Soft Limit löst eine E-Mail-Warnung aus, wenn der monatliche Verbrauch den Wert überschreitet. Stell das auf einen Betrag, bei dem du noch ruhig schlafen kannst – für Pilotprojekte typischerweise 50 bis 100 Euro.

Hard Limit blockiert die API-Calls, sobald der Wert erreicht ist. Das ist der wirkliche Schutz. Stell das auf einen Wert, bei dem du auch mit einer fehlerhaften Schleife in deinem Code überleben würdest. Für Pilotprojekte sind 200 bis 500 Euro im Monat ein sinnvoller Korridor.

Praxistipp aus eigener Erfahrung: Wir hatten einmal ein Skript, das in einer Schleife versehentlich dieselbe Anfrage 10.000-mal an GPT-4 geschickt hat. Ohne Hard Limit wären das mehrere hundert Euro Schaden gewesen. Mit Hard Limit war bei 50 Euro Schluss, der Rest wurde abgewiesen. Hard Limit ist nicht optional.

Schritt 4: Die zwei Datenschutz-Einstellungen, die alle vergessen

Hier kommen die zwei Klicks, die in der Datenschutzprüfung den Unterschied machen. Settings → Organization → Data Controls.

Einstellung A: "Allow our partners to use your data"

Standard ist off. Lass es off. Wenn das aus Versehen on ist – Häkchen weg.

Einstellung B: "Improve the model for everyone"

Standard ist seit März 2023 für die API off. Trotzdem: einmal nachschauen. Bei manchen Konten, die aus älteren ChatGPT-Anmeldungen migriert wurden, kann das anders sein. Häkchen weg.

Beide Einstellungen zusammen sind die "OpenAI nutzt unsere Daten nicht weiter"-Garantie. Im Datenschutzaudit fragt der Prüfer genau danach. Screenshot beider Settings machen, in die Datenschutz-Dokumentation legen.

Schritt 5: API-Key generieren (mit Hygiene)

Settings → API keys → Create new secret key.

Drei Regeln für API-Keys:

Ein Key pro Anwendung. Nicht "ein Key für alles". Wenn du den Vorqualifikations-Agenten und den Newsletter-Generator hast, sind das zwei Keys. Wenn einer kompromittiert wird, deaktivierst du nur den einen.

Sprechende Namen. Nicht "Key 1". Sondern "fortuna-vorquali-prod-2026-04". So weißt du in sechs Monaten noch, was wo läuft.

Niemals im Code. API-Keys gehören in eine Environment-Variable oder einen Secrets-Manager. Ein versehentlich auf GitHub gepushter Key wird in unter 60 Sekunden missbraucht – wir haben das mehrmals live gesehen.

Schritt 6: Erster Test (3 Minuten)

Bevor du den Key in dein Produktivsystem legst, ein Smoke-Test im Terminal:

curl https://api.openai.com/v1/chat/completions \
  -H "Authorization: Bearer DEIN_KEY_HIER" \
  -H "Content-Type: application/json" \
  -d '{
    "model": "gpt-4o-mini",
    "messages": [
      {"role": "user", "content": "Antworte mit OK"}
    ]
  }'

Wenn die Antwort eine JSON-Struktur mit "OK" enthält, ist alles richtig konfiguriert. Wenn ein 401 zurückkommt, stimmt der Key nicht. Wenn ein 429 zurückkommt, ist deine Organisation noch nicht freigeschaltet – kann bei Neuanmeldungen 1 bis 2 Stunden dauern.

Was du in deine Datenschutz-Doku schreibst

Damit du nicht in vier Wochen wieder von vorn anfangen musst, ein Mini-Template für die DSFA-Eintragung:

Das ist dein minimales DSFA-Gerüst. Für Standardfälle reicht das. Sensible Daten brauchen die volle DSFA und je nach Risiko die Konsultation der Aufsichtsbehörde.

Wann OpenAI direkt nicht reicht

Du hast jetzt ein voll funktionsfähiges Setup. Trotzdem ist OpenAI direkt nicht für jeden Use Case der richtige Weg. Drei Situationen, in denen du auf Azure umziehen solltest:

Wenn du Gesundheitsdaten, anwaltliche Mandantendaten oder Daten verarbeitest, die unter besondere Kategorien nach Art. 9 DSGVO fallen, ist die USA-Datenverarbeitung für dich kritisch – auch mit SCCs. Der Azure-Setup-Guide zeigt, wie du dasselbe Modell in Schweden statt Texas laufen lässt.

Wenn dein Mandant explizit "keine US-Anbieter" verlangt – das passiert in Behörden- und Forschungskontexten häufig –, ist Azure auch nicht genug. Dann ist der lokale Weg mit Ollama der einzige.

Wenn dein Volumen so hoch wird, dass die Token-Kosten die Hardware-Investition übersteigen, lohnt sich ebenfalls der lokale Weg. Faustregel: Ab ~3 Mio. Token täglich kippt die Wirtschaftlichkeit.