ChatGPT und Datenschutz im Unternehmen: was gilt nach DSGVO?

Darf ein Unternehmen ChatGPT nach der DSGVO nutzen?

Ja, die DSGVO verbietet kein bestimmtes Programm. Sie regelt, wie Ihr Unternehmen personenbezogene Daten verarbeitet, also alle Angaben zu einer bestimmten oder bestimmbaren Person (Art. 4 Nr. 1 DSGVO).

Solche Daten landen leicht in ChatGPT: eine Kundenmail zum Umformulieren, eine Liste mit Namen, die Konten Ihrer Beschäftigten bei OpenAI. Auch eine Antwort kann personenbezogene Daten enthalten, wenn die Frage keine enthielt, schreibt die Datenschutzkonferenz (DSK) in ihrer Orientierungshilfe zu KI (Rn. 52).

Für jeden Schritt, in dem ChatGPT personenbezogene Daten verarbeitet, braucht Ihr Unternehmen eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Für Gesundheitsdaten und die anderen besonderen Kategorien gilt zusätzlich Art. 9.

Art. 4 Nr. 1 · Art. 6 Abs. 1 · Art. 9 Abs. 1 DSGVO

Welcher ChatGPT Plan ist für Firmendaten gedacht?

OpenAI nennt die Pläne Free, Go, Plus, Pro, Business, Edu und Enterprise. Für Arbeitsbereiche in Business, Enterprise und Edu schreibt OpenAI in seiner Dokumentation für Admins: Die Daten sind bei der Übertragung und im Speicher verschlüsselt und werden standardmäßig nicht zum Training der Modelle von OpenAI genutzt (Stand Oktober 2026).

Für die API, über die eigene Programme die Modelle von OpenAI direkt ansprechen, schreibt OpenAI: Seit dem 1. März 2023 dienen Daten an die API nicht zum Training, es sei denn, Sie stimmen ausdrücklich zu. Protokolle zur Missbrauchskontrolle, die auch Eingaben und Antworten enthalten können, bewahrt OpenAI standardmäßig bis zu 30 Tage auf.

Für Free, Go, Plus und Pro stehen die Regeln zum Training auf Seiten von OpenAI, die wir am 16. Oktober 2026 nicht öffnen konnten. Die DSK rät ohnehin, für die berufliche Nutzung betriebliche Konten und Geräte bereitzustellen, damit niemand mit privaten Konten arbeiten muss (Rn. 41).

Brauchen Sie einen AVV mit OpenAI?

Verarbeitet OpenAI personenbezogene Daten in Ihrem Auftrag, ist es Ihr Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO). Dann brauchen Sie einen Vertrag nach Art. 28 Abs. 3, kurz AVV, den Sie auch elektronisch schließen können (Art. 28 Abs. 9). Bei KI aus der Cloud sieht die DSK häufig genau dieses Verhältnis (Rn. 32).

Der Vertrag legt unter anderem fest, dass OpenAI nur auf Ihre dokumentierte Weisung verarbeitet (Art. 28 Abs. 3 Buchst. a). Entscheidet ein Auftragsverarbeiter unter Verstoß gegen die DSGVO selbst über Zwecke und Mittel, gilt er dafür als Verantwortlicher (Art. 28 Abs. 10). Deshalb gehört die Frage nach dem Training zur Prüfung.

Auf seinem Trust Portal schreibt OpenAI, es könne mit Kunden einen DPA schließen, und verweist auf ein Formular dafür und auf seinen Data Processing Addendum unter openai.com/policies. Den Text konnten wir nicht lesen: openai.com verweigerte uns am 16. und 17. Oktober 2026 den Zugriff. Was er regelt und für welche Pläne er gilt, prüfen Sie in Ihrem Vertrag mit OpenAI.

Art. 4 Nr. 8 · Art. 28 Abs. 3, 9 und 10 DSGVO

Was gilt, wenn die Daten die EU verlassen?

Eine Übermittlung in ein Land außerhalb der EU ist nur unter den Bedingungen der Art. 44 ff. DSGVO erlaubt, etwa mit einem Angemessenheitsbeschluss der Kommission (Art. 45) oder mit ihren Standarddatenschutzklauseln (Art. 46 Abs. 2 Buchst. c), meist Standardvertragsklauseln genannt.

Für die API bietet OpenAI eine Region „Europe (EEA + Switzerland)“ für Speicherung und Verarbeitung, nach Freigabe durch OpenAI und ohne Systemdaten wie Konto und Abrechnung. Für ChatGPT hängt die Datenresidenz laut OpenAI von Vertrag, Region und Einstellungen ab; die Hilfeseite dazu konnten wir nicht öffnen.

Auf welche Garantie sich Übermittlungen bei OpenAI stützen, konnten wir nicht prüfen. Fragen Sie danach. Das Drittland gehört in Ihr Verzeichnis der Verarbeitungstätigkeiten (Art. 30 Abs. 1 Buchst. e), die Garantie in Ihre Datenschutzinformation (Art. 13 Abs. 1 Buchst. f).

Art. 44 · Art. 45 Abs. 1 · Art. 46 Abs. 2 Buchst. c · Art. 13 Abs. 1 Buchst. f · Art. 30 Abs. 1 Buchst. e DSGVO

Ein Beispiel, und was oft schiefgeht

Die Kemper Lohse GmbH, ein erfundener Hersteller von Förderbändern, will ChatGPT im Vertrieb nutzen. Sie richtet einen Business Arbeitsbereich ein und legt schriftlich fest: Angebote und Produkttexte ja, Bewerbungen und Personalakten nein.

Danach ergänzt sie ihr Verzeichnis der Verarbeitungstätigkeiten um OpenAI als Empfänger und die Übermittlung mit dem Drittland (Art. 30 Abs. 1 Buchst. d und e). Ihre Datenschutzinformation für Kunden nennt die Empfänger und die Garantie für die Übermittlung (Art. 13 Abs. 1 Buchst. e und f).

Häufige Fehler: Beschäftigte nutzen weiter private Konten. Namen werden gestrichen, als sei der Text damit anonym; die DSK hält das regelmäßig für unzureichend, weil der Zusammenhang die Person verraten kann (Rn. 49). Und eine KI, die Bewerbungen auswertet und Einladungen selbst verschickt, verstößt nach der DSK gegen Art. 22 Abs. 1 (Rn. 13).

Art. 13 Abs. 1 Buchst. e und f · Art. 22 Abs. 1 · Art. 30 Abs. 1 DSGVO

Mit einem KI Assistenten

Ein Assistent wie ChatGPT oder Claude kann diese Prüfung vorbereiten. Er gleicht einen Vertrag, der Ihnen vorliegt, mit Art. 28 Abs. 3 ab, entwirft einen Eintrag für Ihr Verzeichnis und formuliert eine Nutzungsregel für Beschäftigte.

Welcher Plan, welche Daten erlaubt sind und ob der Vertrag passt, entscheidet Ihr Unternehmen als Verantwortlicher (Art. 5 Abs. 2). Geben Sie dem Assistenten dafür Verträge und Richtlinien, keine Personaldaten, denn was er liest, verarbeitet sein Anbieter mit.

Ein DSGVO Durchgang auf nisd2.eu ist in Arbeit, mit demselben MCP Server wie der NIS 2 Durchgang. Über diesen Server trägt ein KI Assistent heute Angaben in den NIS 2 Durchgang ein, mit den Rechten der Person, die ihn verbunden hat.