Darf mein Team ChatGPT nutzen, ohne gegen die DSGVO zu verstoßen? Dieser Leitfaden zeigt, welche Version Sie brauchen, welche Verträge fehlen – und wo die eigentliche Gefahr liegt.
Es ist längst passiert, bevor die Geschäftsführung davon erfährt. Ein Mitarbeiter kopiert ein Angebot in ChatGPT, um die Formulierung zu verbessern. Eine Kollegin lädt eine Kundenliste hoch, damit die KI sie sortiert. Jemand fügt ein Bewerbungsschreiben ein und fragt nach einer Einschätzung.
Alles gut gemeint. Alles produktiv. Und alles möglicherweise ein Datenschutzverstoß.
Die Frage ist deshalb nicht mehr, ob in Ihrem Unternehmen KI genutzt wird – sondern ob es geordnet geschieht. Dieser Leitfaden zeigt, wann ChatGPT im Unternehmen DSGVO-konform ist, wo die Fallstricke liegen und welche Version Sie wirklich brauchen.
Hinweis: Dieser Beitrag gibt eine praxisnahe Orientierung, keine Rechtsberatung. Für die verbindliche Bewertung Ihres konkreten Falls ist Ihr Datenschutzbeauftragter oder ein Fachanwalt zuständig.
ChatGPT ist weder pauschal „verboten" noch pauschal „erlaubt". Entscheidend ist die Kombination aus drei Dingen: welche Version Sie nutzen, welche Verträge dahinterstehen und welche Daten Sie eingeben. In der richtigen Konstellation lässt sich ChatGPT datenschutzkonform einsetzen. In der falschen – und das ist der Normalfall im Alltag – nicht.
Hier liegt der häufigste Fehler. Die kostenlose Version und ChatGPT Plus sind für die Verarbeitung personenbezogener Daten im Unternehmen nicht geeignet:
Die Geschäftskunden-Tarife ChatGPT Team und Enterprise ändern das:
Die Kurzregel: Für alles, was über harmlose, anonyme Spielerei hinausgeht, braucht es mindestens Team oder Enterprise – plus abgeschlossenen AVV.
Ein Tarif allein macht nichts konform. Datenschutz entsteht aus dem Zusammenspiel mehrerer Bausteine:
Der gefährlichste Zustand ist nicht die bewusste Entscheidung für ein Tool. Es ist die unkontrollierte Nutzung, von der niemand weiß: private Accounts, verstreute Tools, sensible Daten, die unbemerkt in fremde Systeme fließen.
Ein Verbot löst das Problem nicht – es verlagert es nur in den Untergrund. Was hilft, ist ein klarer Rahmen: ein freigegebenes Werkzeug, verständliche Regeln, geschulte Mitarbeiter. Erst dadurch wird aus „irgendjemand nutzt irgendwas" ein kontrollierter Prozess.
Für viele Aufgaben reicht ein sauber aufgesetztes ChatGPT Enterprise mit AVV und EU-Hosting völlig aus. Es gibt aber Daten, die das Haus schlicht nicht verlassen sollen – Gesundheitsdaten, Geschäftsgeheimnisse, ganze Kundendatenbanken.
Für diesen Fall gibt es einen zweiten Weg: KI-Modelle, die vollständig im eigenen Haus laufen. Mit Werkzeugen wie Ollama lassen sich Sprachmodelle auf eigener Hardware betreiben – kein Wort verlässt dann das Unternehmen. Wie ein solcher sicherer KI-Arbeitsplatz aussieht, beschreibt unser Beitrag zum Corporate LLM für Unternehmen.
Der pragmatische Mittelweg, den viele Unternehmen gehen: Cloud-Lösung mit AVV für das Unkritische, lokales Modell für das Sensible. Die Sprachregel dahinter ist ehrlich und wichtig: Die KI arbeitet mit Ihren Daten für Sie – aber die Modelle lernen nicht von Ihren Daten.
Es ist verlockend, Datenschutz bei KI als reine Rechtsfrage zu behandeln: das richtige Häkchen, der richtige Vertrag, der richtige Tarif. Das alles gehört dazu. Aber es verfehlt den Kern.
Die DSGVO stellt im Grunde eine sehr menschliche Frage: Was darf über einen Menschen wohin? Jede Eingabe in ein KI-System ist eine kleine Entscheidung darüber – meist getroffen von jemandem, der unter Zeitdruck nur schnell eine Aufgabe erledigen wollte. Kein Vertrag der Welt nimmt diese Entscheidung ab. Er kann sie nur rahmen.
Deshalb ist die eigentliche Aufgabe nicht, ein Tool „konform zu machen", sondern im Unternehmen ein Bewusstsein dafür zu schaffen, welche Daten Gewicht haben. Sobald eine KI sich erinnert, entsteht eine neue Verantwortung: zu unterscheiden, was bleiben darf. Wer diese Unterscheidung im Team verankert, hat mehr für den Datenschutz getan als mit jedem Häkchen.
Wenn Sie klären möchten, welche KI-Nutzung in Ihrem Unternehmen unbedenklich ist und wo eine sichere Architektur nötig wird, schauen wir im Strategiegespräch gemeinsam darauf.
Nein, nicht für die Verarbeitung personenbezogener Daten im Unternehmen. Es fehlt der Auftragsverarbeitungsvertrag, und Eingaben können ins Modelltraining einfließen. Für geschäftliche Nutzung mit Personenbezug braucht es mindestens ChatGPT Team oder Enterprise mit abgeschlossenem AVV.
Ein AVV nach Art. 28 DSGVO regelt, wie ein Dienstleister – hier OpenAI – personenbezogene Daten in Ihrem Auftrag verarbeitet. Sobald Sie solche Daten in ChatGPT eingeben, ist er gesetzlich vorgeschrieben. In den Team- und Enterprise-Tarifen wird er von OpenAI bereitgestellt.
Bei der kostenlosen Version und Plus können Eingaben ins Training einfließen (ein Opt-out ist teils möglich, aber nicht der Standard). Bei ChatGPT Team und Enterprise werden Eingaben standardmäßig nicht zum Training genutzt.
Für Unternehmenskunden bietet OpenAI EU-Datenhaltung und seit Anfang 2026 auch EU-Verarbeitung an. Das muss im Konto entsprechend konfiguriert sein. Wer maximale Kontrolle braucht, betreibt Modelle lokal – dann bleiben die Daten physisch im Haus.
Ja. Seit Februar 2025 verlangt die EU-KI-Verordnung (AI Act, Art. 4), dass Personen, die KI einsetzen, nachweislich über ausreichende KI-Kompetenz verfügen. Eine dokumentierte Schulung ist damit Pflicht – und lässt sich für viele Unternehmen fördern.