ChatGPT im Unternehmen: Datenschutz & DSGVO richtig umsetzen

Ist ChatGPT DSGVO-konform?

Die Frage wird häufig gestellt, lässt sich aber nicht mit einem einfachen Ja oder Nein beantworten. Die DSGVO bewertet nicht allein ein bestimmtes Produkt, sondern die konkrete Verarbeitung personenbezogener Daten.

Ein Unternehmen kann ChatGPT beispielsweise ausschließlich für allgemeine Textentwürfe ohne Personenbezug einsetzen. In einem anderen Unternehmen werden dagegen Bewerbungen, Kundenanfragen oder Mitarbeiterinformationen eingegeben. Datenschutzrechtlich sind das unterschiedliche Verarbeitungssituationen.

Vor der Einführung einer KI-Anwendung sollte deshalb festgelegt werden, für welche Zwecke sie eingesetzt werden soll, welche Daten dabei verarbeitet werden, welche Rechtsgrundlage einschlägig ist und wie der Anbieter mit Ein- und Ausgaben umgeht.

Wann verarbeitet ChatGPT personenbezogene Daten?

Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören nicht nur Name, Anschrift, Telefonnummer oder E-Mail-Adresse.

Auch Kundennummern, Personalnummern, Standortinformationen, berufliche Angaben oder die Kombination mehrerer Merkmale können dazu führen, dass eine Person identifizierbar wird.

Namen entfernen reicht nicht immer aus

Gerade bei generativer KI ist Vorsicht geboten. Das bloße Entfernen eines Namens bedeutet nicht automatisch, dass ein Text anonym ist. Ergibt sich aus dem Zusammenhang weiterhin, um welche Person es geht, handelt es sich weiterhin um personenbezogene Daten.

Besondere Vorsicht bei sensiblen Daten

Für besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO gelten erhöhte Anforderungen. Dazu gehören beispielsweise Gesundheitsdaten, biometrische Daten zur eindeutigen Identifizierung, Informationen über politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit sowie Angaben zum Sexualleben oder zur sexuellen Orientierung.

Unternehmen aus Bereichen wie Gesundheitswesen, Personalwesen, Versicherungen oder sozialen Einrichtungen sollten deshalb besonders sorgfältig prüfen, ob und unter welchen Voraussetzungen solche Informationen überhaupt in ein externes generatives KI-System eingegeben werden dürfen.

Darf man Kundendaten oder Mitarbeiterdaten in ChatGPT eingeben?

Nicht pauschal. Sobald personenbezogene Daten mit Hilfe einer KI-Anwendung verarbeitet werden, muss für den jeweiligen Verarbeitungsschritt eine datenschutzrechtliche Rechtsgrundlage bestehen.

Außerdem müssen die Grundsätze des Art. 5 DSGVO beachtet werden. Dazu zählen insbesondere Zweckbindung, Datenminimierung, Richtigkeit, Transparenz sowie Integrität und Vertraulichkeit.

Besonders kritisch: Entscheidungen über Personen

Wird KI eingesetzt, um Bewerber, Mitarbeiter, Kunden oder andere Personen zu bewerten, sind zusätzliche Anforderungen zu beachten. Art. 22 DSGVO enthält besondere Regeln für ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung.

Wird ein KI-Ergebnis lediglich formal durch einen Menschen bestätigt, ohne dass dieser tatsächlich einen eigenen Entscheidungsspielraum hat, kann dies datenschutzrechtlich problematisch sein. KI-Vorschläge sollten daher gerade bei Personal-, Kredit-, Versicherungs- oder vergleichbaren Entscheidungen nicht ungeprüft übernommen werden.

Welche ChatGPT-Version eignet sich für Unternehmen?

Auch die eingesetzte Produktvariante spielt eine Rolle. OpenAI unterscheidet zwischen persönlichen ChatGPT-Workspaces und Angeboten für Unternehmen und Organisationen.

Nach Angaben von OpenAI werden Eingaben und Ausgaben aus ChatGPT Business und ChatGPT Enterprise standardmäßig nicht zum Training der Modelle verwendet. Gleiches gilt nach Angaben des Anbieters grundsätzlich für seine API-Plattform.

Bei persönlichen ChatGPT-Workspaces können Nutzer über die Datenkontrollen festlegen, ob neue Unterhaltungen zur Verbesserung der Modelle verwendet werden dürfen. Für Unternehmen bleibt jedoch zusätzlich die Frage wichtig, wie Zugänge, Berechtigungen, Vertragsbedingungen und Datenflüsse zentral gesteuert werden.

Auch die Datenschutzkonferenz empfiehlt für die berufliche Nutzung von KI-Anwendungen, Beschäftigten betriebliche Geräte und Accounts zur Verfügung zu stellen.

AV-Vertrag und Drittlandübermittlung: Was muss geprüft werden?

Nutzt ein Unternehmen einen externen KI-Anbieter und verarbeitet dieser personenbezogene Daten im Auftrag des Unternehmens, kann eine Auftragsverarbeitung nach Art. 28 DSGVO vorliegen.

OpenAI stellt für die hiervon erfassten Unternehmensdienste ein Data Processing Addendum (DPA) bereit. Darin beschreibt OpenAI, dass das Unternehmen im Rahmen der erfassten Verarbeitung von Kundendaten als Auftragsverarbeiter tätig wird.

Vor dem produktiven Einsatz sollten Unternehmen unter anderem prüfen:

• Welche konkrete OpenAI-Leistung wird eingesetzt?
• Welche Vertragsbedingungen gelten für diese Leistung?
• Welche personenbezogenen Daten werden verarbeitet?
• Welche Unterauftragsverarbeiter können beteiligt sein?
• Wo findet die Datenverarbeitung statt?
• Welche technischen und organisatorischen Maßnahmen bestehen?
• Welche Aufbewahrungs- und Löschmöglichkeiten stehen zur Verfügung?

Werden Daten außerhalb der EU verarbeitet?

Auch internationale Datenübermittlungen gehören in die Prüfung. Das aktuelle OpenAI-DPA sieht vor, dass Daten aus dem Europäischen Wirtschaftsraum unter bestimmten Voraussetzungen auch außerhalb des EWR verarbeitet werden können.

Für entsprechende Übermittlungen nennt OpenAI unter anderem Angemessenheitsbeschlüsse der Europäischen Kommission oder Standardvertragsklauseln als mögliche Übermittlungsinstrumente. Unternehmen sollten daher auch die Anforderungen der Art. 44 ff. DSGVO berücksichtigen.

Muss ChatGPT ins VVT und braucht man eine Datenschutz-Folgenabschätzung?

ChatGPT und das Verzeichnis von Verarbeitungstätigkeiten

Nach Art. 30 DSGVO müssen Verarbeitungstätigkeiten angemessen dokumentiert werden. Wird ChatGPT innerhalb eines Prozesses eingesetzt, bei dem personenbezogene Daten verarbeitet werden, sollte deshalb geprüft werden, wie der KI-Einsatz im Verzeichnis von Verarbeitungstätigkeiten (VVT) abzubilden ist.

Dabei muss nicht für jedes eingesetzte Softwareprodukt zwangsläufig ein eigener VVT-Eintrag entstehen. Ist ChatGPT beispielsweise Bestandteil der Bearbeitung von Kundenanfragen, kann eine bestehende Verarbeitungstätigkeit entsprechend ergänzt werden.

Entscheidend ist, dass die Dokumentation die tatsächliche Verarbeitung, beteiligte Empfänger beziehungsweise Dienstleister und relevante Datenflüsse nachvollziehbar widerspiegelt.

Wann ist eine Datenschutz-Folgenabschätzung erforderlich?

Eine Datenschutz-Folgenabschätzung ist nicht allein deshalb erforderlich, weil ein KI-System eingesetzt wird. Vor der Verarbeitung sollte jedoch eine Risikobewertung erfolgen.

Ergibt diese Bewertung, dass die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, ist nach Art. 35 DSGVO eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen.

Die Datenschutzkonferenz weist ausdrücklich darauf hin, dass dies beim Einsatz von KI-Anwendungen vielfach der Fall sein kann. Maßgeblich bleibt jedoch immer die konkrete Verarbeitung.

Braucht ein Unternehmen eine interne KI-Richtlinie?

Eine ausdrücklich so bezeichnete „KI-Richtlinie“ schreibt die DSGVO nicht pauschal jedem Unternehmen vor. Klare interne Regeln zum Einsatz generativer KI sind dennoch sinnvoll und werden auch von der Datenschutzkonferenz empfohlen.

Beschäftigte sollten wissen, welche KI-Anwendungen freigegeben sind, für welche Zwecke sie genutzt werden dürfen und welche Informationen nicht eingegeben werden sollen.

Zusätzlich zur DSGVO ist die europäische KI-Verordnung – der sogenannte AI Act – zu beachten. Seit dem 2. August 2026 gilt die Verordnung grundsätzlich, wobei für einzelne Regelungsbereiche besondere Übergangs- und Anwendungsfristen bestehen.

Die Pflicht zur Förderung ausreichender KI-Kompetenz nach Art. 4 AI Act gilt bereits seit dem 2. Februar 2025. Anbieter und Betreiber von KI-Systemen müssen im Rahmen ihrer Möglichkeiten Maßnahmen treffen, um bei Mitarbeitern und anderen Personen, die in ihrem Auftrag mit KI-Systemen arbeiten, ein ausreichendes Maß an KI-Kompetenz sicherzustellen.

Welche Maßnahmen angemessen sind, hängt insbesondere von Kenntnissen, Erfahrung, Ausbildung und dem konkreten Nutzungskontext der eingesetzten KI-Systeme ab.

ChatGPT datenschutzkonform einführen: 7 praktische Schritte

Statt ChatGPT unkontrolliert im Unternehmen freizugeben, empfiehlt sich ein strukturierter Einführungsprozess.

Datenschutz bei ChatGPT ist eine Frage der richtigen Gestaltung

Generative KI kann Unternehmen bei zahlreichen Aufgaben sinnvoll unterstützen. Datenschutzrechtlich entscheidend ist jedoch nicht allein, welches KI-System verwendet wird, sondern wie und wofür es eingesetzt wird.

Unternehmen sollten deshalb Einsatzzwecke definieren, Datenarten und Rechtsgrundlagen prüfen, geeignete Vertrags- und Produkteinstellungen auswählen, Risiken bewerten und klare interne Regeln für die Nutzung schaffen.

Besonders bei Kunden-, Beschäftigten-, Bewerber- oder Gesundheitsdaten sollte generative KI nicht unkontrolliert wie ein gewöhnliches Textwerkzeug behandelt werden. Gleichzeitig bedeutet Datenschutz nicht, dass Unternehmen auf KI verzichten müssen.

Ein strukturierter Auswahl- und Einführungsprozess ermöglicht es, die Vorteile moderner KI-Systeme zu nutzen und Datenschutzrisiken systematisch zu begrenzen.

Wer sich darüber hinaus mit den Aufgaben, Anforderungen und der Qualifikation von Datenschutzverantwortlichen beschäftigen möchte, findet weitere Informationen im Fachbeitrag „Datenschutzbeauftragter werden: Voraussetzungen, Aufgaben & Weiterbildung“ .