KI und Datenschutz: So nutzen Unternehmen ChatGPT sauber

„Dürfen wir ChatGPT überhaupt benutzen?“ Die Frage kommt in fast jedem Erstgespräch — meist gefolgt vom Geständnis, dass das halbe Team es längst tut. Die gute Nachricht: Ja, Unternehmen dürfen ChatGPT, Claude & Co. DSGVO-konform einsetzen. Die schlechte: So, wie es die meisten gerade tun, ist es ein Datenschutzverstoß mit Ansage. Hier ist die Rechtslage in verständlich — und der Weg, es richtig zu machen.

Das Kernproblem: Consumer-Konto vs. Firmen-Lösung

Der entscheidende Unterschied liegt nicht im Tool, sondern im Konto. Wer das kostenlose Privat-Konto nutzt, hat in der Regel keinen Auftragsverarbeitungsvertrag (AVV), keine Kontrolle über den Speicherort — und die Eingaben können je nach Einstellung zum Training der Modelle verwendet werden. Kundendaten dort einzugeben heißt: personenbezogene Daten an einen Dritten übermitteln, ohne Rechtsgrundlage, ohne Vertrag. Das kann einen Datenschutzverstoß auslösen und muss im Einzelfall bewertet werden.

Business-Varianten (etwa ChatGPT Business/Enterprise, Claude Team, Azure OpenAI oder europäische Anbieter wie Mistral) bieten dagegen AVV, Trainingsausschluss und teils EU-Hosting. Damit wird der Einsatz rechtlich sauber gestaltbar.

Die 4 Regeln für den DSGVO-konformen Einsatz

Regel 1: Nur Firmen-Konten mit AVV

Schließen Sie für jedes eingesetzte KI-Tool einen Auftragsverarbeitungsvertrag ab (bei Business-Tarifen meist per Klick verfügbar) und dokumentieren Sie ihn. Private Konten für Firmenzwecke: verbieten — und zwar mit angebotener Alternative, sonst entsteht Schatten-KI.

Regel 2: Trainingsausschluss aktivieren und prüfen

Ihre Daten dürfen nicht zum Modelltraining verwendet werden. In Business-Tarifen ist das standardmäßig oder per Einstellung ausgeschlossen — prüfen und schriftlich festhalten.

Regel 3: Datenminimierung als Alltagsregel

Auch mit AVV gilt: So wenig Personenbezug wie möglich. Für die meisten Aufgaben (Texte, Zusammenfassungen, Angebots-Entwürfe) lassen sich Namen und Kontaktdaten vorher entfernen oder durch Platzhalter ersetzen. Faustregel fürs Team: Würde ich diese Daten einem externen Dienstleister ohne Vertrag mailen? Nein? Dann gehören sie auch nicht in den Chat.

Regel 4: Regeln aufschreiben und schulen

Eine kurze KI-Richtlinie mit Daten-Ampel plus eine dokumentierte Schulung unterstützt die DSGVO-Rechenschaftspflicht und die KI-Kompetenz nach Artikel 4 des EU AI Act. Ob weitere Maßnahmen nötig sind, hängt vom konkreten Einsatz ab.

Was ist mit den Daten in den USA?

Viele KI-Anbieter sitzen in den USA. Übermittlungen dorthin sind derzeit über das EU-US Data Privacy Framework und Standardvertragsklauseln gestaltbar — aber die Rechtslage bleibt in Bewegung. Wer auf Nummer sicher gehen will, wählt EU-Hosting: Azure OpenAI mit EU-Region, europäische Anbieter wie Mistral, oder lokal betriebene Modelle im eigenen Haus. Für besonders sensible Branchen (Gesundheit, Recht, Finanzen) ist das unsere Standardempfehlung.

Die häufigsten Fehler aus der Praxis

• Der Lebenslauf im Chat: Bewerberdaten in ein KI-Tool kopieren — gleich doppelt heikel (DSGVO + künftig AI-Act-Hochrisiko-Bereich Personalauswahl).
• Das Kundenpostfach als Prompt: Komplette E-Mail-Verläufe mit Namen, Adressen, Vertragsdetails einfügen, statt den relevanten Inhalt anonymisiert zu übernehmen.
• Stillschweigende Duldung: Die Geschäftsführung weiß, dass alle ChatGPT nutzen, regelt aber nichts — im Schadensfall ist genau das das Organisationsverschulden.
• Einmal geregelt, nie geprüft: Tools und Tarife ändern sich. Einstellungen und AVV-Status gehören halbjährlich auf den Prüfstand.

Was Anbieter versprechen und was Ihr Unternehmen trotzdem tun muss

OpenAI erklärt für ChatGPT Business und Enterprise, dass Geschäftsdaten standardmäßig nicht zum Training der Modelle verwendet werden. Microsoft macht für Microsoft 365 Copilot eine ähnliche Zusage. Das ist wichtig, ersetzt aber weder Rechtsgrundlage noch interne Regeln.

Prüfen Sie Vertrag, Unterauftragsverarbeiter, Aufbewahrung, Datenstandort, Zugriffsrechte und Löschkonzept. Die Datenschutzkonferenz stellt dafür Orientierungshilfen zu KI, technischen Maßnahmen und RAG-Systemen bereit.

Datenschutzrechtliche Prüfung vor dem KI-Einsatz

KI und Datenschutz beginnen mit dem Zweck der Datenverarbeitung. Verantwortliche müssen klären, welche personenbezogenen Daten in KI-Systemen verarbeitet werden, welche Rechtsgrundlage gilt und wie Betroffene ihre Rechte ausüben. Die Datenschutz-Grundverordnung gilt auch dann, wenn ChatGPT oder andere KI-Systeme als Business-Dienst genutzt werden.

Bei voraussichtlich hohem Risiko kann eine Datenschutz-Folgenabschätzung notwendig sein. Dazu gehören technische und organisatorische Maßnahmen, Aufbewahrung, Löschung und Zugriff. Für Chatbots gelten dieselben Grundsätze: so wenig Daten wie möglich, klare Information und eine datenschutzrechtliche Prüfung des konkreten Systems.

Fazit: Erlauben, aber richtig

ChatGPT im Unternehmen ist kein Datenschutzproblem — der ungeregelte Umgang damit ist eines. Mit Firmen-Konto, AVV, Trainingsausschluss, Daten-Ampel und einer kurzen Schulung ist der Einsatz sauber machbar, meist innerhalb einer Woche. Das ist deutlich einfacher, als die Nutzung zu verbieten und dann der Schatten-KI hinterherzulaufen.

Unsicher, wo Ihr Betrieb steht? Im kostenlosen Erstgespräch gehen wir Ihre aktuelle KI-Nutzung einmal durch — inklusive Datenschutz-Kurzcheck. Die Einrichtung der sauberen Lösung übernehmen wir auf Wunsch komplett: KI-Umsetzung.

Häufige Fragen