Darf mein Unternehmen ChatGPT überhaupt nutzen?
Ja. Die DSGVO verbietet keine bestimmten KI-Tools. Sie regelt, was mit personenbezogenen Daten passiert. Ob der Einsatz von ChatGPT in deinem Unternehmen in Ordnung ist, hängt deshalb an drei Fragen: Welche Daten landen im Prompt? Über welchen Tarif und welchen Vertrag läuft die Nutzung? Und gibt es Regeln, an die sich dein Team hält?
Eine gute Orientierung bietet die Datenschutzkonferenz (DSK), also das Gremium der deutschen Datenschutzaufsichtsbehörden. Ihre Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ (Version 1.0 vom 6. Mai 2024) ist als Checkliste für Unternehmen und Behörden gedacht und konzentriert sich auf Sprachmodelle wie ChatGPT. Die folgenden Abschnitte greifen die Punkte auf, die für kleine und mittlere Unternehmen am wichtigsten sind.
Privat-Konto oder Business-Tarif: der wichtigste Unterschied
Die meisten Datenschutzprobleme mit ChatGPT entstehen nicht durch das Tool an sich, sondern dadurch, dass Mitarbeitende ihr privates Konto für dienstliche Aufgaben nutzen. OpenAI trennt die beiden Welten nämlich deutlich.
Private Tarife: Laut der EU-Datenschutzerklärung von OpenAI kann das Unternehmen Inhalte, die Nutzer eingeben, zur Verbesserung seiner Dienste verwenden, zum Beispiel für das Training der Modelle. Nutzer können das in den Datenkontrollen abschalten, und temporäre Chats werden nicht zum Training genutzt. Verantwortlicher für Nutzer im EWR ist die OpenAI Ireland Ltd. Für dein Unternehmen heißt das: Es gibt keinen Vertrag zur Auftragsverarbeitung, und du hast keinen Einfluss darauf, was mit den Eingaben passiert.
Business-Angebote: Für ChatGPT Business, ChatGPT Enterprise, ChatGPT Edu und die API-Plattform gibt OpenAI an, die Daten der Organisation standardmäßig nicht zum Training zu verwenden. Das Data Processing Addendum (DPA) von OpenAI ist laut eigenem Wortlaut Bestandteil des OpenAI Services Agreement. Übermittlungen aus dem EWR heraus stützt es auf Standardvertragsklauseln oder einen Angemessenheitsbeschluss der EU-Kommission.
| Punkt | Privates Konto (Free, Plus, Pro) | Business, Enterprise, API |
|---|---|---|
| Training mit Eingaben | möglich, abschaltbar | standardmäßig nein |
| Vertrag zur Auftragsverarbeitung | nein | DPA im Services Agreement |
| Verwaltung durch das Unternehmen | nein | ja, über Admin-Konten |
| Datenspeicherung in Europa | von OpenAI nicht als Option genannt | für berechtigte Enterprise-, Edu- und API-Kunden |
Zur Speicherung in Europa lohnt ein genauer Blick. OpenAI bietet seit Februar 2025 an, dass berechtigte Kunden von ChatGPT Enterprise, ChatGPT Edu und der API Inhalte in Europa speichern lassen können. Das gilt nur für neu angelegte Workspaces und API-Projekte, nachträglich lässt es sich nicht hinzufügen. ChatGPT Business wird auf der Datenschutzseite von OpenAI für die Datenresidenz nicht genannt. Stand aller Angaben zu OpenAI: November 2026.
Die DSK empfiehlt außerdem ausdrücklich, dass Arbeitgeber dienstliche Geräte und Accounts bereitstellen, damit Beschäftigte nicht über private Konten arbeiten. Die praktische Konsequenz: Wenn ChatGPT im Team genutzt wird, dann über einen Business-Tarif, den dein Unternehmen verwaltet.
Welche Daten gehören nicht in den Prompt?
Auch mit Business-Vertrag bleibt die wichtigste Regel: so wenig personenbezogene Daten wie möglich. Die DSK weist darauf hin, dass es regelmäßig nicht reicht, nur Namen und Anschriften aus einer Eingabe zu entfernen. Oft lässt sich eine Person über den Zusammenhang trotzdem erkennen, etwa über eine seltene Funktion, ein Datum oder einen beschriebenen Vorfall.
Diese Daten sollten ohne ausdrückliche Freigabe nicht in ChatGPT landen:
- Kundendaten wie E-Mail-Verläufe mit Namen, Bestellungen oder Beschwerden mit Kontaktdaten
- Beschäftigtendaten wie Bewerbungen, Zeugnisse, Krankmeldungen oder Leistungsbeurteilungen
- Besondere Kategorien nach Art. 9 DSGVO, zum Beispiel Gesundheitsdaten, religiöse Überzeugungen oder Gewerkschaftszugehörigkeit
- Berufsgeheimnisse, etwa in Kanzleien, Praxen oder Steuerbüros
- Geschäftsgeheimnisse wie Angebote, Kalkulationen oder Verträge, auch wenn das kein reines DSGVO-Thema ist
Ein zweiter Punkt aus der Orientierungshilfe: Entscheidungen mit rechtlicher Wirkung dürfen nach Art. 22 DSGVO grundsätzlich nicht allein automatisiert fallen. Wenn ChatGPT Bewerbungen vorsortiert, muss ein Mensch mit echtem Entscheidungsspielraum entscheiden. Ein bloßes Abnicken reicht laut DSK nicht. Ergebnisse solltest du außerdem auf Richtigkeit und Diskriminierung prüfen, bevor du sie weiterverwendest.
Die interne KI-Richtlinie: 7 Regeln mit Formulierungsvorschlag
Die DSK empfiehlt klare, dokumentierte interne Weisungen dazu, welche Tools für welche Zwecke unter welchen Bedingungen genutzt werden dürfen. Eine Richtlinie für ein kleines Team muss nicht lang sein. Diese sieben Punkte decken das Wichtigste ab. Die Formulierungen sind Vorschläge, die du an dein Unternehmen anpasst.
- Zugelassene Tools. „Für dienstliche Aufgaben nutzen wir ausschließlich die vom Unternehmen bereitgestellten KI-Konten. Private KI-Konten sind für dienstliche Inhalte nicht erlaubt.“
- Erlaubte Zwecke. „Erlaubt sind zum Beispiel Entwürfe für Texte, Zusammenfassungen öffentlicher Informationen, Ideensammlungen und Formulierungshilfen.“
- Tabu-Daten. „Keine Kundendaten, Beschäftigtendaten, Gesundheitsdaten, Berufs- oder Geschäftsgeheimnisse in Prompts. Im Zweifel vorher fragen.“
- Prüfpflicht. „KI-Ergebnisse werden vor der Verwendung inhaltlich geprüft. Fakten, Zahlen und Rechtsaussagen werden an einer verlässlichen Quelle kontrolliert.“
- Keine automatischen Entscheidungen. „Entscheidungen über Personen, etwa Bewerbungen oder Kündigungen, trifft immer ein Mensch.“
- Ansprechperson. „Fragen zur KI-Nutzung gehen an [Name], neue Tools werden vorher mit der oder dem Datenschutzbeauftragten abgestimmt.“
- Schulung. „Wer KI-Tools nutzt, nimmt an der internen Einweisung teil. Die Teilnahme wird dokumentiert.“
Bevor du die Richtlinie einführst, bezieh die oder den Datenschutzbeauftragten ein und, falls es einen gibt, den Betriebsrat. Beides nennt die DSK ausdrücklich. Prüfe außerdem, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist. Laut DSK wird das beim Einsatz von KI-Anwendungen vielfach der Fall sein, vor allem wenn doch personenbezogene Daten verarbeitet werden.
KI-Kompetenz nach Art. 4 KI-Verordnung
Neben der DSGVO gilt seit dem 2. Februar 2025 Art. 4 der KI-Verordnung. Er betrifft alle Unternehmen, die KI-Systeme einsetzen, also auch eines, dessen Team ChatGPT für Texte nutzt. Im Juli 2026 wurde der Artikel durch die Verordnung (EU) 2026/1744 neu gefasst. Jetzt heißt es: Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit KI-Systemen arbeiten. Ein bestimmtes Kompetenzniveau einzelner Personen müssen sie ausdrücklich nicht garantieren.
Was das praktisch heißt: eine kurze Einweisung in die Richtlinie, die typischen Fehler von Sprachmodellen (erfundene Fakten, veraltetes Wissen) und den Umgang mit Daten. Ein Zertifikat ist laut den FAQ der EU-Kommission nicht nötig, eine interne Dokumentation der Schulungen reicht. Stand: November 2026.
Und wenn Kunden mit KI chatten sollen?
Viele Unternehmen wollen KI nicht nur intern nutzen, sondern auch Kundenfragen auf der Website beantworten lassen. Ein privates ChatGPT-Konto ist dafür keine Option. Du brauchst entweder die API mit eigenem Vertrag oder einen Chatbot-Anbieter, der dir einen AVV nach Art. 28 DSGVO gibt und offenlegt, wo Plattform und Sprachmodell laufen.
Dazu kommen die Pflichten, die jeder Website-Chatbot erfüllt: Der Chat gehört mit Zweck, Empfängern und Speicherdauer in die Datenschutzerklärung, und seit dem 2. August 2026 müssen Besucher nach Art. 50 KI-Verordnung erfahren, dass sie mit einer KI sprechen. Details dazu findest du in unseren Artikeln DSGVO-konformer Chatbot und KI-Kennzeichnungspflicht für Website-Chatbots.
Besonders genau hinschauen sollten Berufsgruppen mit Schweigepflicht. Wie ein Chatbot in einer Kanzlei Mandantenanfragen entgegennimmt und über die Kanzlei informiert, ohne Rechtsberatung zu geben, zeigen wir auf der Seite KI-Chatbot für Anwaltskanzleien. Welche Pläne es bei Webweezl AI gibt, siehst du in der Preisübersicht.
Checkliste: ChatGPT datenschutzkonform einführen
| Schritt | Was zu tun ist |
|---|---|
| 1. Tarif wählen | Business-, Enterprise- oder API-Zugang statt privater Konten |
| 2. Vertrag prüfen | DPA bzw. AVV ablegen, Unterauftragnehmer und Datenstandort notieren |
| 3. Einstellungen | Aufbewahrung und Freigaben im Admin-Bereich festlegen |
| 4. Richtlinie | Zugelassene Tools, Zwecke und Tabu-Daten schriftlich regeln |
| 5. DSFA prüfen | Mit der oder dem Datenschutzbeauftragten klären, ob Art. 35 DSGVO greift |
| 6. Schulung | Kurze Einweisung nach Art. 4 KI-VO, Teilnahme dokumentieren |
| 7. Kundenkontakt | Für Website-Chats nur Anbieter mit AVV, Datenschutzerklärung und KI-Hinweis |
Häufig gestellte Fragen
Fazit
ChatGPT im Unternehmen ist kein Datenschutz-Verstoß an sich. Riskant wird es, wenn Mitarbeitende private Konten nutzen und dort Kundendaten eingeben. Mit einem Business-Tarif und Vertrag, einer kurzen Richtlinie, einer dokumentierten Einweisung und klaren Tabu-Daten bist du für die meisten Fragen gut aufgestellt.
Wenn du KI auch für deine Kundenanfragen einsetzen willst, probier aus, wie ein Chatbot mit EU-Verarbeitung und AVV auf deinen eigenen Inhalten antwortet. Der Test-Modus enthält alle Business-Features, dein Bot bleibt nicht öffentlich, bis du einen Plan wählst.