KI · Ratgeber · Datenschutz
ChatGPT im Unternehmen datenschutzkonform nutzen
ChatGPT ist im Betrieb meistens schon da, nur selten geregelt. Ich zeige dir die sechs Schritte, mit denen du es so einsetzt, dass Kundendaten geschützt sind, die DSGVO eingehalten wird und dein Team trotzdem schneller arbeitet. Das gilt sinngemäß auch für andere KI-Chats.
Kann man ChatGPT im Unternehmen datenschutzkonform nutzen?
Ja, wenn die Rahmenbedingungen stimmen. Dazu gehören ein Firmentarif mit Vertrag zur Auftragsverarbeitung statt privater Konten, ausgeschaltetes Training mit den eigenen Eingaben, klare Regeln, welche Daten hineindürfen, und eine Prüfung der Ergebnisse durch einen Menschen. Personenbezogene Daten brauchen eine Rechtsgrundlage. OpenAI gibt an, Daten aus seinen Business-Tarifen standardmäßig nicht zum Training zu nutzen. Die Verantwortung für die Eingaben bleibt beim Betrieb.
Frag in einem Team mit zehn Leuten, wer schon einmal ChatGPT für die Arbeit genutzt hat. Meistens gehen mehr Hände hoch, als der Chef erwartet. Meistens mit privaten Konten, ohne Regeln, manchmal mit einer Kundenmail im Eingabefeld. Das ist kein böser Wille. Es fehlt einfach eine Ansage, wie es richtig geht.
Dieser Ratgeber beschreibt die Schritte, mit denen ich Betrieben helfe, ChatGPT und ähnliche Werkzeuge sauber einzuführen. Er nennt keine Preise, weil sich Tarife ständig ändern, und er ersetzt keine Rechtsberatung. Wenn du KI insgesamt in den Betrieb bringen willst, ist der Ratgeber KI-Einführung im Unternehmen der breitere Einstieg.
Veröffentlicht am 24. Oktober 2026 · 7 Min. Lesezeit · Autor: Christoph Brinke · Alle Blogbeiträge
Ich verkaufe keine KI, ich verkaufe Veränderung.
Grundlage
Was die DSGVO beim Einsatz von ChatGPT verlangt
Die DSGVO verbietet ChatGPT nicht. Sie regelt, was mit personenbezogenen Daten passiert. Sobald ein Name, eine Adresse, eine Mail mit Signatur oder ein Foto mit Kennzeichen in das Eingabefeld geht, verarbeitet dein Betrieb personenbezogene Daten. Dafür braucht es eine Rechtsgrundlage nach Art. 6 DSGVO. Und weil der Anbieter die Daten in deinem Auftrag verarbeitet, braucht es in der Regel einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
Die Datenschutzkonferenz, das Gremium der deutschen Datenschutzaufsichtsbehörden, hat dazu im Mai 2024 eine Orientierungshilfe veröffentlicht. Sie empfiehlt Unternehmen unter anderem, für frei verfügbare KI-Dienste interne Richtlinien aufzustellen und die Beschäftigten über den datenschutzkonformen Einsatz zu informieren. Und sie macht deutlich, dass es nicht reicht, nur den Namen zu streichen, wenn sich die Person aus dem Rest trotzdem erkennen lässt.
- ✓Personenbezug braucht eine Rechtsgrundlage (Art. 6 DSGVO)
- ✓Anbieter verarbeitet im Auftrag (Art. 28 DSGVO)
- ✓Interne Richtlinie empfohlen (Datenschutzkonferenz)
Sechs Schritte
In sechs Schritten zur datenschutzkonformen Nutzung
Die Reihenfolge ist wichtig. Wer mit dem vierten Schritt anfängt und gleich Kundenmails hineinkopiert, hat die ersten drei übersprungen.
- 01
Firmenkonto statt Privatkonto
Ein Firmentarif, bei dem der Betrieb Vertragspartner ist, statt privater Konten der Mitarbeiter. Nur so hast du einen Vertrag, eine Verwaltung der Zugänge und den Überblick, wer das Werkzeug nutzt. Scheidet jemand aus, wird sein Zugang gesperrt, und die Chats bleiben nicht auf einem privaten Konto zurück.
- 02
Auftragsverarbeitung abschließen
OpenAI bietet für seine Unternehmensangebote einen Vertrag zur Auftragsverarbeitung an. Lies ihn, schließ ihn ab, leg ihn ab. Prüf dabei, wo die Daten verarbeitet werden. Eine Datenhaltung in Europa bietet OpenAI nach eigenen Angaben für bestimmte Unternehmenstarife und die Schnittstelle an. Kläre, ob dein Tarif dazugehört.
- 03
Training ausschalten
OpenAI gibt an, Daten aus seinen Business-Tarifen und der Schnittstelle standardmäßig nicht zum Training der Modelle zu nutzen. Bei privaten Konten ist das anders: Dort muss das Training in den Einstellungen abgeschaltet werden. Prüf die Einstellung trotzdem in jedem Konto, denn Anbieter ändern ihre Voreinstellungen.
- 04
Daten-Regeln festlegen
Welche Daten dürfen hinein, welche nie? Gesundheitsdaten, Personalakten, Zugangsdaten und Geschäftsgeheimnisse gehören in keinen allgemeinen KI-Chat. Kundendaten nur, wenn Vertrag und Rechtsgrundlage stimmen und die Aufgabe sie wirklich braucht. Meistens braucht sie sie nicht.
- 05
Ergebnisse prüfen
ChatGPT formuliert überzeugend, auch wenn es falsch liegt. Zahlen, Fristen, Rechtsangaben und Fachaussagen werden gegen die Quelle geprüft, bevor sie zum Kunden gehen. Die DSGVO verlangt außerdem richtige Daten: Eine KI, die über einen Kunden etwas Falsches schreibt, erzeugt falsche personenbezogene Daten.
- 06
Team einweisen und festhalten
Eine kurze Einweisung mit echten Beispielen, eine Seite Regeln, eine Liste, wer wann eingewiesen wurde. Damit erledigst du gleichzeitig einen guten Teil dessen, was Art. 4 der KI-Verordnung an KI-Kompetenz verlangt. Den Aufbau der Regeln beschreibt der Ratgeber KI-Richtlinie für Mitarbeiter.
Alltag
Was im Alltag geht und wo es heikel wird
Die meisten nützlichen Aufgaben brauchen gar keine personenbezogenen Daten. Ein Angebotstext aus Stichpunkten, eine Stellenanzeige, eine Antwort auf eine allgemeine Kundenfrage, die Gliederung für eine Präsentation, eine verständlichere Fassung einer Betriebsanweisung. Hier kannst du mit einem sauber eingerichteten Firmenkonto ohne Bedenken arbeiten.
Schwieriger wird es bei echten Vorgängen: eine Kundenmail zusammenfassen, eine Reklamation beantworten, ein Gesprächsprotokoll aufbereiten. Das geht, wenn Vertrag und Rechtsgrundlage stimmen. Oft ist es aber einfacher, vorher die Angaben zu entfernen, die für die Aufgabe nicht nötig sind. Nicht „Frau Müller aus der Bahnhofstraße hat sich beschwert“, sondern „eine Kundin beschwert sich über eine verspätete Lieferung“.
- ✓Ohne Personenbezug: Texte, Vorlagen, Gliederungen
- ✓Mit Personenbezug: nur mit Vertrag und Rechtsgrundlage
- ✓Was die Aufgabe nicht braucht, bleibt draußen
Sonderfälle
Wann du genauer hinschauen musst
Drei Fälle verdienen mehr Sorgfalt. Erstens Gesundheitsdaten und andere besondere Kategorien nach Art. 9 DSGVO, etwa in Praxen, in der Pflege oder bei Personalfragen. Zweitens Entscheidungen über Menschen: Wer mit KI Bewerbungen vorsortiert, betritt ein Feld, in dem die KI-Verordnung Systeme zur Auswahl von Bewerbern als hochriskant einstuft und die DSGVO in Art. 22 automatisierte Einzelentscheidungen begrenzt. Drittens Werkzeuge, die mehr dürfen als chatten, etwa auf Postfächer, Kalender oder Dateien zugreifen.
In diesen Fällen lohnt eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO oder zumindest das Gespräch mit deinem Datenschutzbeauftragten, bevor das Werkzeug läuft. Mit Zugriff auf Postfach und Kalender wird aus einem Chat ein Agent, der selbst handelt. Was das bedeutet, steht im Ratgeber KI-Agenten.
- ✓Besondere Kategorien nach Art. 9 DSGVO
- ✓Entscheidungen über Menschen
- ✓Zugriff auf Postfach, Kalender, Dateien
Alternativen
Andere KI-Chats und eigene Lösungen
Alles in diesem Beitrag gilt sinngemäß auch für die KI-Chats anderer Anbieter. Vergleiche nicht die Werbung, sondern vier Punkte: Gibt es einen Firmentarif mit Vertrag zur Auftragsverarbeitung? Werden Eingaben zum Training genutzt? Wo werden die Daten verarbeitet? Lassen sich Zugänge zentral verwalten? Wer diese vier Fragen für sein Werkzeug beantworten kann, hat den Kern der Prüfung erledigt.
Für Abläufe mit vielen Kundendaten baue ich lieber eigene Lösungen: ein Sprachmodell über eine Schnittstelle, mit eigenem Zugang und Monatslimit je Anwendung, die Daten in einer Datenbank in Frankfurt. Das ist mehr Aufwand als ein Chat-Abo, aber dann weiß der Betrieb genau, welche Daten wohin gehen. Ob sich das für dich lohnt, klären wir in der KI-Beratung.
Kurz-Check
Kurz-Check für deinen Betrieb
Wenn du diese Fragen mit Ja beantworten kannst, ist die Grundlage gelegt. Jedes Nein ist eine Aufgabe für die nächsten Wochen.
Den Überblick, wie dein Betrieb insgesamt bei KI dasteht, liefert der AI-Ready-Check in 60 Minuten. Wenn du vorher selbst sehen willst, wo die meiste Zeit verloren geht, hilft der Zeitfresser-Finder.
Frag dich selbst
- Nutzt dein Team ChatGPT über ein Firmenkonto statt über private Konten?
- Liegt ein Vertrag zur Auftragsverarbeitung mit dem Anbieter vor?
- Ist das Training mit euren Eingaben abgeschaltet oder vertraglich ausgeschlossen?
- Weiß jeder im Team, welche Daten nie hineingehören?
- Prüft ein Mensch jedes Ergebnis, bevor es zum Kunden geht?
- Ist festgehalten, wer wann eingewiesen wurde?
Quellen
Quellen und Stand
- Verordnung (EU) 2016/679 (DSGVO), EUR-Lex – Art. 6 (Rechtsgrundlage), Art. 9 (besondere Kategorien), Art. 22 (automatisierte Entscheidungen), Art. 28 (Auftragsverarbeitung), Art. 35 (Datenschutz-Folgenabschätzung). Abgerufen am 24. Oktober 2026.
- Datenschutzkonferenz: Orientierungshilfe KI und Datenschutz (6. Mai 2024) – Interne Richtlinien für frei verfügbare KI-Dienste, Information der Beschäftigten, Personenbezug trotz oberflächlicher Pseudonymisierung. Abgerufen am 24. Oktober 2026.
- OpenAI: Datenhaltung in Europa für Unternehmenskunden – Angaben zur Nutzung von Business-Daten für das Training und zur Datenhaltung in Europa für bestimmte Tarife und die Schnittstelle. Herstellerangabe. Abgerufen am 24. Oktober 2026.
- EU-Kommission: AI Literacy, Questions & Answers – KI-Kompetenz gilt auch bei der Nutzung von ChatGPT, Information über Risiken wie erfundene Antworten. Seitenstand 20. Oktober 2026. Abgerufen am 24. Oktober 2026.
- § 38 BDSG (Datenschutzbeauftragte nichtöffentlicher Stellen), gesetze-im-internet.de – Benennungspflicht in Deutschland. Abgerufen am 24. Oktober 2026.
Keine Rechtsberatung: Dieser Ratgeber gibt die Rechtslage und die Herstellerangaben nach den genannten Quellen mit Stand 24. Oktober 2026 wieder. Tarife, Voreinstellungen und Vertragsbedingungen der Anbieter ändern sich. Prüf sie vor dem Einsatz beim Anbieter und lass deinen Einzelfall im Zweifel von deinem Datenschutzbeauftragten oder einer Rechtsanwältin prüfen.
Über den Autor
Christoph Brinke
Ich war über 15 Jahre in der Kfz-Branche, als Lackierer, als Kfz-Sachverständiger und auf der Seite, die Aufträge verteilt. Heute baue ich KI für inhabergeführte Unternehmen und empfehle nur, was ich selbst gebaut habe.
Gelernter Fahrzeuglackierer, Kfz-Sachverständiger · Weiterbildung: IHK AI Practitioner · KI-Kompetenz nach Art. 4 KI-Verordnung (IMB.Berlin, 2025) · Claude Code Masterclass (Everlast, 2026)
LinkedIn-ProfilWerdegang und QualifikationenAlle BlogbeiträgeGespräch anfragen
Häufige Fragen
Häufige Fragen zu ChatGPT und Datenschutz
Ist ChatGPT DSGVO-konform?
Das hängt davon ab, wie es eingesetzt wird. Ein Werkzeug ist nicht an sich konform oder verboten. Konform wird der Einsatz durch einen Firmentarif mit Vertrag zur Auftragsverarbeitung, eine Rechtsgrundlage für personenbezogene Daten, Regeln für die Eingaben und eine Prüfung der Ergebnisse. Ein privates Konto mit Kundendaten erfüllt diese Punkte in der Regel nicht.
Darf ich Kundendaten in ChatGPT eingeben?
Nur, wenn ein Vertrag zur Auftragsverarbeitung besteht, eine Rechtsgrundlage vorliegt und die Aufgabe die Daten wirklich braucht. Für viele Aufgaben reicht es, Namen und andere Angaben vorher zu entfernen. Gesundheitsdaten, Personalakten und Zugangsdaten gehören nicht in einen allgemeinen KI-Chat.
Nutzt OpenAI meine Eingaben zum Training?
OpenAI gibt an, Daten aus seinen Business-Tarifen und der Schnittstelle standardmäßig nicht zum Training zu verwenden. Bei privaten Konten werden Eingaben zum Training genutzt, solange das in den Einstellungen nicht abgeschaltet ist. Prüf die Einstellung in jedem genutzten Konto, denn Anbieter ändern Bedingungen und Voreinstellungen.
Brauche ich für ChatGPT einen Datenschutzbeauftragten?
Ob ein Betrieb einen Datenschutzbeauftragten braucht, hängt nicht von ChatGPT ab, sondern von den allgemeinen Regeln, in Deutschland vor allem von § 38 BDSG und der Zahl der Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Gibt es einen, sollte er vor der Einführung eingebunden werden.
Muss ich mein Team für ChatGPT schulen?
Ja. Wer KI beruflich einsetzt, muss nach Art. 4 der EU-KI-Verordnung Maßnahmen zur KI-Kompetenz ergreifen, das gilt auch für ChatGPT. Die EU-Kommission nennt als Beispiel ausdrücklich die Information über Risiken wie erfundene Antworten. Ein Zertifikat ist nicht nötig. Eine kurze Einweisung mit Regeln und Beispielen reicht in vielen Betrieben.
Der erste Schritt
KI nutzen, ohne Daten aus der Hand zu geben.
Im AI-Ready-Check schauen wir in 60 Minuten auf Prozesse, Daten, Technik und Organisation. Du siehst danach, wo KI in deinem Betrieb schon läuft, wo Regeln fehlen und welche Aufgabe sich für den sauberen Einstieg eignet.
