ChatGPT DSGVO-konform im Unternehmen nutzen

Ob du ChatGPT DSGVO-konform im Unternehmen nutzen kannst, hängt von 3 Dingen ab: der Version, den Daten, die hineinfließen, und den Regeln für dein Team. Ein Unternehmenstarif mit Vertrag zur Datenverarbeitung und klare Vorgaben für das Team bilden die Grundlage.

Private Accounts für Geschäftsdaten sollen Unternehmen laut Datenschutzkonferenz untersagen. Dieser Beitrag gibt den Stand vom November 2026 wieder und ersetzt keine Rechtsberatung. Lass den konkreten Einsatz von deinem Datenschutzbeauftragten oder einer Kanzlei prüfen.

Warum ist ChatGPT datenschutzrechtlich heikel?

Sobald jemand Kundennamen, E-Mails oder Bewerbungen in ein KI-Tool kopiert, verarbeitet dein Unternehmen personenbezogene Daten. Dafür braucht es einen klaren Zweck und eine Rechtsgrundlage.

Die Datenschutzkonferenz (DSK), das Gremium der deutschen Aufsichtsbehörden, hat dazu im Mai 2024 die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ veröffentlicht. Sie empfiehlt unter anderem, Einsatzbereiche und Zwecke festzulegen, und nennt die Prüfung der Rechtsgrundlagen zwingend.

Wie genau Behörden hinschauen, zeigte Italien. Die Datenschutzbehörde Garante verhängte im Dezember 2024 ein Bußgeld von 15 Mio. € gegen OpenAI. Genannt wurden Training ohne geeignete Rechtsgrundlage, mangelnde Transparenz, fehlende Altersprüfung und eine nicht gemeldete Datenpanne.

Im März 2026 gab das Gericht in Rom dem Einspruch von OpenAI statt. Die Garante hat die Entscheidung daraufhin vorübergehend von ihrer Website entfernt.

Das Verfahren betraf OpenAI als Anbieter. Für dich zählt vor allem, wie dein Unternehmen das Werkzeug einsetzt.

Transparenz gegenüber Kunden

Die DSK-Orientierungshilfe behandelt laut LfD Niedersachsen unter anderem Transparenzpflichten und Betroffenenrechte. Prüfe deshalb, ob deine Datenschutzerklärung den KI-Einsatz abdeckt. Lege außerdem fest, wer Auskunftsanfragen beantwortet.

Welche ChatGPT-Version eignet sich für Unternehmen?

Die Hamburger Checkliste rät für dienstliche Nutzung ausschließlich zu Unternehmenskonten und -lizenzen. Laut OpenAI, berichtet von The Decoder und Netzwoche im Februar 2025, gelten für ChatGPT Enterprise, ChatGPT Edu und die API diese Zusagen:

• Kundendaten werden nicht zum Training der Modelle genutzt, sofern der Kunde es nicht ausdrücklich wünscht.
• Ein Zusatz zur Datenverarbeitung regelt Rollen und Verantwortung nach DSGVO.
• Gespeicherte Daten sind mit AES-256 verschlüsselt, Übertragungen mit TLS 1.2 oder höher.
• Bei Enterprise und Edu lassen sich Daten inklusive Konversationen und Dateien in der EU speichern. Neue API-Projekte können Europa als Region wählen.

Bestehende API-Projekte lassen sich laut OpenAI nicht nachträglich auf Europa umstellen. Wer auf EU-Speicherung Wert legt, sollte das deshalb beim Einrichten festlegen.

Das sind Herstellerangaben. Lies vor dem Vertragsschluss die aktuelle Fassung von Vertrag und Datenverarbeitungszusatz direkt bei OpenAI.

Für andere Tarife liegen uns keine entsprechenden Angaben vor. Prüfe dort selbst, welche Zusagen der Vertrag enthält.

ChatGPT DSGVO: Was verlangen Datenschutzbehörden?

Die DSK-Orientierungshilfe und die Checkliste des Hamburger Datenschutzbeauftragten lassen sich, wie Haufe zusammenfasst, auf wenige Punkte bringen:

• Einsatzbereiche und Zwecke festlegen, Rechtsgrundlage prüfen
• klare Regeln und Handlungsanweisungen für Beschäftigte vorgeben
• nur Unternehmenskonten und -lizenzen nutzen, private Accounts und Geräte untersagen
• keine personenbezogenen Daten eingeben oder ausgeben lassen
• Ergebnisse auf Richtigkeit und Diskriminierung prüfen
• keine automatisierten Entscheidungen über Menschen allein durch die KI
• Datenschutz-Folgenabschätzung durchführen, wo sie nötig ist
• Betriebsrat einbinden und Mitarbeitende sensibilisieren

Der wichtigste Punkt für den Alltag ist der Account. Nutzt eine Vertriebsmitarbeiterin ihr privates ChatGPT für Kundenmails, hat das Unternehmen keinen Vertrag mit dem Anbieter und keinen Überblick über die Daten.

Folgenabschätzung und Betriebsrat

Die DSK nennt die Datenschutz-Folgenabschätzung ausdrücklich. Ob sie für deinen Einsatz Pflicht ist, hängt von Art und Umfang der Daten ab. Das klärt dein Datenschutzbeauftragter.

Den Betriebsrat solltest du laut DSK einbinden. Kläre vor der Freigabe der Werkzeuge mit ihm, welche Daten erfasst und wie Ergebnisse genutzt werden.

Welche Daten dürfen in ChatGPT?

Eine einfache Ampel hilft deinem Team mehr als ein langer Leitfaden. Die folgende Einteilung ist ein Vorschlag, den du mit deinem Datenschutzbeauftragten abstimmen solltest.

Die Hamburger Checkliste empfiehlt, personenbezogene Daten gar nicht einzugeben. Das ist der sicherste Weg.

Ersetze Namen durch Platzhalter wie „Kunde A“, bevor ein Text ins Tool geht. Achte darauf, dass auch der restliche Text keine Rückschlüsse auf die Person zulässt.

Beispiel: Kundenanfrage im Vertrieb

Eine Mitarbeiterin will eine Kundenanfrage mit KI beantworten. Statt der Original-Mail kopiert sie nur den Kern der Frage ins Tool, ohne Namen, Firma und Kontaktdaten.

Den fertigen Entwurf ergänzt sie danach im E-Mail-Programm um die persönlichen Angaben. So bleibt die Anfrage in der Stufe Gelb.

Wie sieht eine KI-Richtlinie für das Team aus?

Eine gute Richtlinie passt auf 1 bis 2 Seiten. Sie beantwortet 6 Fragen:

1. Welche Werkzeuge sind erlaubt, mit welchem Account?
2. Welche Daten sind tabu?
3. Wer prüft Ergebnisse, bevor sie an Kunden gehen?
4. Wann wird KI-Einsatz gegenüber Kunden offengelegt?
5. Wer ist Ansprechpartner bei Fragen oder Vorfällen?
6. Wie und wann wird geschult?

Die Schulung erfüllt gleich 2 Zwecke. Die Datenschutzbehörden fordern, Beschäftigte zu sensibilisieren. Auch der EU AI Act enthält Vorgaben zur KI-Kompetenz. Mehr dazu steht im Beitrag EU AI Act: Was Unternehmen jetzt tun müssen.

Halte fest, wer wann geschult wurde. Bei einer Prüfung durch die Aufsicht kannst du so zeigen, dass dein Unternehmen den Einsatz geregelt hat.

Musterregeln für deine KI-Richtlinie

Konkrete Formulierungen helfen mehr als allgemeine Appelle. Passe diese Beispiele an und stimme sie mit Datenschutz und Betriebsrat ab:

• „Für dienstliche Aufgaben nutzen wir ausschließlich den Firmen-Account. Private Accounts und Geräte sind dafür nicht erlaubt.“
• „Namen, Kontaktdaten und Kundennummern ersetzen wir vor der Eingabe durch Platzhalter.“
• „KI-Ergebnisse, die an Kunden gehen, liest vorher eine verantwortliche Person gegen.“
• „Entscheidungen über Bewerber, Kunden oder Beschäftigte trifft immer ein Mensch.“
• „Versehentlich eingegebene Daten meldest du sofort an [Ansprechpartner].“

Wie prüfst du KI-Ergebnisse im Alltag?

Die Hamburger Checkliste nennt 2 Prüfpunkte: Richtigkeit und Diskriminierung. Auch die DSK-Orientierungshilfe behandelt laut LfD Niedersachsen die Richtigkeit von Ergebnissen.

Für die Richtigkeit hilft ein fester Schritt im Ablauf. Zahlen, Namen, Termine und Zitate werden vor dem Versand gegen die Quelle geprüft.

Diskriminierung fällt seltener auf. Achte auf Texte und Bewertungen, die Gruppen von Menschen ungleich behandeln, etwa in Stellenanzeigen oder bei der Einordnung von Anfragen.

Wann ist ChatGPT die falsche Wahl?

Ein Chatfenster passt gut für Entwürfe, Zusammenfassungen und Recherche. Es passt schlecht, wenn Prozesse regelmäßig und ohne Kopieren ablaufen sollen, etwa das Vorsortieren von Anfragen oder das Befüllen des CRM.

Für solche Aufgaben ist eine Anbindung über die API mit festen Regeln meist sinnvoller. Dann legst du fest, welche Felder an das Modell gehen, welche geschwärzt werden und wo die Daten gespeichert sind.

Beispiele dafür findest du bei unseren Anwendungsfällen und bei KI-Agenten.

Vorsicht ist bei sensiblen Daten geboten. Personalakten, Gesundheitsdaten oder Bewerbungen gehören nur nach sorgfältiger Prüfung in ein KI-System. Ob für KI in Bewerbungsverfahren zusätzliche Pflichten aus dem AI Act gelten, erklärt unser Beitrag zum EU AI Act.

Was du diese Woche tun kannst

1. Bestandsaufnahme: Wer nutzt welche KI-Werkzeuge mit welchem Account?
2. Unternehmenstarif wählen und den Zusatz zur Datenverarbeitung abschließen.
3. Bei neuen API-Projekten Europa als Region festlegen, falls gewünscht.
4. Richtlinie und Datenampel schreiben, mit Datenschutz und Betriebsrat abstimmen.
5. Prüfen, ob für geplante Einsätze eine Datenschutz-Folgenabschätzung nötig ist.
6. Eine kurze Schulung ansetzen und die Teilnahme dokumentieren.

Weitere Einstiegsideen nach Abteilung findest du im Beitrag Wie kann ich KI im Unternehmen nutzen?. Antworten auf häufige Fragen stehen in den FAQ.

KI nerds baut und integriert KI-Systeme für Vertrieb, Service und Backoffice. Wenn du klären willst, wie ein datenschutzbewusster Aufbau bei dir aussehen kann, sprich uns gern im kostenlosen Erstgespräch an.