Darf man ChatGPT im Unternehmen datenschutzkonform nutzen?
Ja, wenn du einen Business- oder Enterprise-Tarif nutzt, für den OpenAI laut e-recht24 (Stand: 16. Juli 2026) ein Data Processing Addendum als Grundlage für einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO bereitstellt, für jeden Zweck eine Rechtsgrundlage nach Art. 6 DSGVO hast und die Übermittlung in die USA absicherst. Die kostenlosen und privaten Tarife stuft e-recht24 für personenbezogene Daten als eher nicht oder nur eingeschränkt geeignet ein. Lege außerdem in einer KI-Richtlinie fest, welche Daten in Prompts dürfen, und schule deine Mitarbeitenden. Das ersetzt keine Rechtsberatung im Einzelfall.
Der Einsatz von ChatGPT und anderen großen Sprachmodellen (LLMs) ist aus der europäischen Unternehmenslandschaft nicht mehr wegzudenken. Mit dieser Innovation wachsen aber auch die Anforderungen an Datenschutz, IT-Sicherheit und regulatorische Konformität. Dieser Leitfaden zeigt die datenschutzrechtlichen Herausforderungen, die Auswirkungen des EU AI Act und pragmatische Schritte, wie du dich rechtskonform aufstellst.
Wie ChatGPT funktioniert: technisches Verständnis als Grundlage für Compliance
ChatGPT basiert auf einem KI-Modell mit allgemeinem Verwendungszweck (General Purpose AI, GPAI), das mit großen Mengen an Texten trainiert wurde. Aus Datenschutzsicht kritisch ist, dass Eingaben je nach Tarif und Einstellung zur Weiterentwicklung der Modelle verwendet werden können. Laut e-recht24 (Stand: 16. Juli 2026) können Eingaben in den Tarifen Free, Go, Plus und Pro standardmäßig zum Training genutzt werden (Opt-out möglich). In Business und Enterprise werden Inhalte standardmäßig nicht zum Training verwendet, bei der API ist das Training laut Artikel standardmäßig ausgeschlossen.
Hinzu kommt: Welche Daten wie lange gespeichert und wie verarbeitet werden, ist für Nutzer:innen oft nur eingeschränkt nachvollziehbar. Das erfordert ein gutes Verständnis der Datenverarbeitung, bevor ChatGPT im Unternehmen eingesetzt wird.
Welcher ChatGPT-Tarif eignet sich für Unternehmen?
Die Tarifwahl entscheidet, ob du einen Auftragsverarbeitungsvertrag abschließen kannst und ob Eingaben standardmäßig zum Training genutzt werden. Quelle der Angaben: e-recht24, Stand: 16. Juli 2026. Tarife und Bedingungen ändern sich, prüfe sie vor dem Einsatz bei OpenAI.
| Tarif | Training standardmäßig | AVV verfügbar | Eignung für personenbezogene Daten |
|---|---|---|---|
| Free, Go | ja, Opt-out möglich | nein | eher nicht geeignet |
| Plus, Pro | ja, Opt-out möglich | nein | nur eingeschränkt geeignet |
| Business, Enterprise | nein | ja, über das Data Processing Addendum von OpenAI | von der Quelle empfohlen, Enterprise „besonders geeignet“ |
| API | nein, standardmäßig ausgeschlossen | Angaben der Quelle widersprüchlich, bei OpenAI prüfen | nicht bewertet |
Datenschutzrechtliche Herausforderungen mit LLMs im Überblick
Die Integration von ChatGPT in Unternehmensprozesse bringt spezifische Datenschutzrisiken mit sich. Diese Punkte musst du klären:
Rechtsgrundlage und Tarifwahl
Sobald personenbezogene Daten in Prompts landen, brauchst du eine Rechtsgrundlage nach Art. 6 DSGVO – etwa ein berechtigtes Interesse oder die Erfüllung eines Vertrags. Für besondere Kategorien wie Gesundheitsdaten gelten strengere Regeln. Private Konten von Mitarbeitenden sind für den geschäftlichen Einsatz ungeeignet, weil dort laut e-recht24 kein Auftragsverarbeitungsvertrag verfügbar ist und Eingaben standardmäßig zum Training genutzt werden können.
Datenflüsse und Auftragsverarbeitung: die Krux bei Drittlandtransfers
Viele Unternehmen nutzen ChatGPT direkt bei OpenAI oder über Cloud-Plattformen wie Azure OpenAI. Wie du die Bereitstellung wählst, zeigt unser Artikel zu US-Cloud, EU-Cloud oder lokal. Du brauchst einen Auftragsverarbeitungsvertrag (AVV) und eine Grundlage für den Drittlandtransfer: entweder die Zertifizierung des Anbieters unter dem EU-US Data Privacy Framework oder Standardvertragsklauseln (SCC) mit einem Transfer Impact Assessment (TIA). e-recht24 nennt OpenAI als nach dem Data Privacy Framework zertifiziert. Das Gericht der EU hat die Klage gegen das Framework am 3. September 2025 abgewiesen, die Berufung vom 31. Oktober 2025 ist beim EuGH anhängig (laut WilmerHale, Stand: 1. Dezember 2025). Halte deshalb SCC als Alternative bereit.
Transparenz und Informationspflichten
Art. 13 und Art. 14 DSGVO verpflichten dich, Betroffene über Zweck, Art und Umfang der Datenverarbeitung zu informieren. Setzt du ChatGPT etwa im Kundenservice oder im Recruiting ein, muss das in deinen Datenschutzhinweisen stehen. Bei LLMs ist das anspruchsvoll, weil die Verarbeitung komplex ist – mit klaren internen Regeln und einer sauberen Dokumentation ist es aber machbar.
Praxisnahe Risikofelder im Unternehmen: Wo lauern die Gefahren?
Der unbedachte Einsatz von ChatGPT kann in verschiedenen Bereichen zu Datenschutzverletzungen führen. Typische Szenarien:
- Marketing: Beim Erstellen von Texten landen vertrauliche CRM-Daten wie Kundeninformationen oder strategische Pläne im Prompt.
- Personalwesen (HR): In der Bewerberkommunikation können besondere Kategorien personenbezogener Daten verarbeitet werden, etwa Gesundheitsdaten oder Angaben zur ethnischen Herkunft. Mehr dazu im Artikel zu KI im Recruiting.
- Recht und Compliance: KI-Ausgaben werden trotz fehlender Nachvollziehbarkeit als Grundlage für rechtliche Entscheidungen verwendet, oder vertrauliche Rechtsdokumente werden eingegeben.
- Kundenservice: Bei der Beantwortung von Anfragen werden Namen, Adressen oder Bestellhistorien von Kund:innen unbeabsichtigt offengelegt.
- Forschung und Entwicklung: Bei der Codegenerierung oder Datenanalyse werden Betriebsgeheimnisse eingegeben, die – je nach Tarif – zum Training verwendet werden könnten.
Der EU AI Act: Was gilt für Unternehmen, die ChatGPT nutzen?
Der EU AI Act gilt schrittweise. Wichtig ist die Unterscheidung zwischen Anbietern und nutzenden Unternehmen (Betreibern). Stand: 2. November 2026.
| Ab wann | Regelung | Was das für dein Unternehmen bedeutet |
|---|---|---|
| 2.2.2025 | Art. 4 AI Act: KI-Kompetenz | Du ergreifst Maßnahmen zur Förderung der KI-Kompetenz deiner Mitarbeitenden, die mit KI arbeiten. Ein bestimmtes Kompetenzniveau musst du nicht garantieren. Mehr: KI-Kompetenz nach dem AI Act. |
| 2.8.2025 | Pflichten für GPAI-Modelle (Kapitel V) | Treffen Anbieter wie OpenAI, nicht dein Unternehmen. |
| 2.8.2026 | Art. 50 AI Act: Transparenz | Anbieter machen die KI-Interaktion erkennbar und kennzeichnen synthetische Inhalte maschinenlesbar (Abs. 1 und 2). Als Betreiber legst du Deepfakes offen und kennzeichnest KI-generierte Texte zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse, außer sie wurden menschlich geprüft und redaktionell verantwortet (Abs. 4). Für Systeme, die vor dem 2.8.2026 in Verkehr gebracht wurden, gilt Abs. 2 erst ab 2.12.2026. |
| 2.12.2027 | Hochrisiko-Systeme nach Annex III | Nutzt du ChatGPT für Entscheidungen in sensiblen Bereichen, etwa zur Vorauswahl von Bewerbenden, kann ein Hochrisiko-System vorliegen – mit deutlich strengeren Pflichten. |
Die Verordnung (EU) 2026/1744 („Digital Omnibus on AI“) ist seit 27. Juli 2026 in Kraft und hat die Hochrisiko-Fristen verschoben (Annex III auf den 2. Dezember 2027, Annex I auf den 2. August 2028). Hintergründe findest du im Artikel zum Digital Omnibus. Mehr zur Umsetzung liest du in unserem Artikel zu den praktischen Schritten für den EU AI Act. Für eigene KI-Agenten gilt zusätzlich unser Leitfaden zu DSGVO-konformer KI.
Handlungsempfehlungen für eine DSGVO- und AI-Act-konforme KI-Nutzung
Um ChatGPT datenschutzkonform und sicher in deinem Unternehmen einzusetzen, helfen diese Schritte:
- Nutzungskontext festlegen: Definiere, in welchen Abteilungen und zu welchen Zwecken ChatGPT eingesetzt werden darf. Halte das in einer KI-Policy fest.
- Risiken bewerten: Prüfe für jeden Einsatzzweck, welche Daten verarbeitet werden dürfen und ob eine Datenschutz-Folgenabschätzung nötig ist.
- Technische und organisatorische Maßnahmen umsetzen: Nutze einen Business- oder Enterprise-Tarif, regle Zugriffe zentral und setze, wo möglich, Filter zur Anonymisierung von Eingaben ein. Mehr dazu unter technische und organisatorische Maßnahmen.
- Vertraglich absichern: Schließe einen Auftragsverarbeitungsvertrag mit dem Anbieter und prüfe die Grundlage für den Drittlandtransfer.
- Mitarbeitende schulen: Die Schulung zur KI-Kompetenz ist eine Möglichkeit, die Maßnahmen nach Art. 4 AI Act umzusetzen. Sie schärft auch das Bewusstsein für Datenschutzrisiken bei KI-Nutzung. Weitere Angebote findest du bei den Compliance-Schulungen.
- Governance etablieren: Lege Verantwortlichkeiten fest, prüfe die Nutzung regelmäßig und passe deine Regeln an neue Tools und Rechtslagen an. Nimm die Nutzung, soweit nötig, in dein Verarbeitungsverzeichnis auf (Art. 30 DSGVO).
Kein Update verpassen.
Neue Gesetze, Fristen und Praxistipps direkt in dein Postfach – einmal pro Monat, kein Spam.
Rolle von heyData: Befähigung statt Rechtsberatung
heyData bietet keine juristische AI-Act-Beratung im klassischen Sinne. Unsere Leistungen im KI-Kontext sollen Unternehmen befähigen, KI sicher einzusetzen:
- Risikobewertung der KI-Nutzung in deinem Unternehmen
- Trainings zur KI-Kompetenz und zur datenschutzkonformen Nutzung von KI-Systemen
- DSGVO-konforme Vorlagen und Richtlinien für den KI-Einsatz
Fazit: Regulierung muss Innovation nicht bremsen
ChatGPT und ähnliche KI-Systeme sind gekommen, um zu bleiben. Wer dauerhaft auf der sicheren Seite sein will, braucht klare interne Prozesse, technische Schutzmaßnahmen und ein Grundverständnis der rechtlichen Rahmenbedingungen. Der EU AI Act und die DSGVO sind dabei keine Hindernisse, sondern Leitplanken für eine verantwortungsvolle KI-Nutzung.
Mit der KI-Compliance von heyData bekommst du die Werkzeuge, Schulungen und Strukturen, um ChatGPT und andere KI-Tools sicher einzusetzen.
Mach den ersten Schritt: Buche jetzt eine kostenlose Demo
EU AI Act: Leitfaden für KI-Compliance | heyData
Erfahre, welche Pflichten der EU AI Act für Unternehmen bringt und wie du KI-Risiken, Dokumentation, Aufsicht und Governance strukturiert umsetzt.
Kostenlos & unverbindlich
FAQ
Kann man ChatGPT überhaupt datenschutzkonform nutzen?
Kann man ChatGPT überhaupt datenschutzkonform nutzen?
Ja, wenn du die Voraussetzungen schaffst: einen Business- oder Enterprise-Tarif, für den OpenAI laut e-recht24 (Stand: 16. Juli 2026) ein Data Processing Addendum als Grundlage für einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO bereitstellt, eine Rechtsgrundlage nach Art. 6 DSGVO, eine Grundlage für den Drittlandtransfer, klare interne Nutzungsregeln und geschulte Mitarbeitende. Personenbezogene oder vertrauliche Daten solltest du nur eingeben, wenn es dafür eine Rechtsgrundlage gibt und der Zweck es erfordert. Das ersetzt keine Rechtsberatung im Einzelfall.
Welche sind die größten Datenschutzrisiken für mein Unternehmen bei der Verwendung von ChatGPT?
Welche sind die größten Datenschutzrisiken für mein Unternehmen bei der Verwendung von ChatGPT?
Die Hauptrisiken liegen in der unbeabsichtigten Eingabe vertraulicher oder personenbezogener Daten, die – je nach Tarif – gespeichert oder zum Training verwendet werden können. Hinzu kommt die Übermittlung von Daten in die USA. Dafür brauchst du einen Auftragsverarbeitungsvertrag und eine Transfergrundlage: das EU-US Data Privacy Framework oder Standardvertragsklauseln mit Transfer Impact Assessment. Gegen das Framework ist eine Berufung beim EuGH anhängig (laut WilmerHale, Stand: 1. Dezember 2025), halte deshalb Standardvertragsklauseln als Alternative bereit.
Wie hängen der EU AI Act und die DSGVO zusammen?
Wie hängen der EU AI Act und die DSGVO zusammen?
Der EU AI Act und die DSGVO ergänzen sich, sind aber getrennte Gesetze. Die DSGVO schützt personenbezogene Daten. Der AI Act regelt Sicherheit, Transparenz und Governance von KI-Systemen und KI-Modellen mit allgemeinem Verwendungszweck – wie dem Modell hinter ChatGPT. Beim Einsatz von KI gelten oft beide Regelwerke gleichzeitig.
Welche Pflichten bringt der EU AI Act für Unternehmen, die ChatGPT nutzen?
Welche Pflichten bringt der EU AI Act für Unternehmen, die ChatGPT nutzen?
Die Pflichten für GPAI-Modelle (seit 2. August 2025) treffen die Anbieter wie OpenAI. Für dein Unternehmen gilt vor allem: Seit 2. Februar 2025 musst du nach Art. 4 AI Act Maßnahmen zur Förderung der KI-Kompetenz deiner Mitarbeitenden ergreifen, ein bestimmtes Kompetenzniveau musst du nicht garantieren. Seit 2. August 2026 gelten die Transparenzpflichten nach Art. 50 AI Act, etwa für Deepfakes oder veröffentlichte KI-Texte. Für Hochrisiko-Systeme nach Annex III, zum Beispiel bei der Personalauswahl, gelten die strengeren Pflichten ab dem 2. Dezember 2027 (Stand: 2. November 2026).
Welche praktischen Schritte sollte mein Unternehmen jetzt unternehmen, um sich auf diese Vorschriften vorzubereiten?
Welche praktischen Schritte sollte mein Unternehmen jetzt unternehmen, um sich auf diese Vorschriften vorzubereiten?
Ein Unternehmen sollte als ersten Schritt eine klare Richtlinie für die KI-Nutzung definieren. Es ist entscheidend, eine Risikobewertung für jede KI-Anwendung durchzuführen, die notwendigen vertraglichen Vereinbarungen (wie AVVs) mit den Anbietern zu treffen und alle Mitarbeitenden in Bezug auf KI-Kompetenz („AI Literacy“) und die damit verbundenen Datenschutzrisiken zu schulen.
