# ChatGPT im Unternehmen und DSGVO: Was du beachten musst

> ChatGPT lässt sich im Unternehmen datenschutzkonform einsetzen, wenn du ein Business-Angebot mit Auftragsverarbeitungsvertrag nutzt, eine Rechtsgrundlage für personenbezogene Daten hast und klare interne Regeln festlegst. Private Konten der Mitarbeitenden erfüllen diese Voraussetzungen in der Regel nicht und sollten für dienstliche Daten tabu sein. Hey2Ai erklärt, worin sich die Angebote unterscheiden, welche DSGVO-Pflichten gelten und was die Datenschutzkonferenz empfiehlt.

Quelle: https://hey2.ai/ratgeber/chatgpt-dsgvo-unternehmen/ · Stand: 24.10.2026 · Hey2Ai, München

## Das Wichtigste in Kürze

- Private ChatGPT-Konten: Inhalte können zum Training genutzt werden, sofern der Nutzer nicht widerspricht
- Business, Enterprise, Edu und API: laut OpenAI standardmäßig kein Training auf Geschäftsdaten
- Für Cloud-KI ist meist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO nötig
- Bei hohem Risiko ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO Pflicht
- Die DSK empfiehlt betriebliche Accounts und Voreinstellungen ohne Training
- Namen zu entfernen reicht laut DSK oft nicht, um den Personenbezug aufzuheben

## Privates Konto, Business oder API: der Unterschied

Die DSGVO-Bewertung hängt vor allem davon ab, welche Variante genutzt wird. Angaben nach den Datenschutzseiten von OpenAI, Stand Oktober 2026.

| Variante | Training auf Inhalten | Vertrag mit dem Unternehmen |
|---|---|---|
| Privates Konto (Free, Plus) | Möglich, abschaltbar über „Improve the model for everyone“ | Nein, das Konto schließt die Person selbst ab |
| ChatGPT Business, Enterprise, Edu | Standardmäßig nein | Data Processing Addendum von OpenAI verfügbar |
| OpenAI API | Standardmäßig nein | Data Processing Addendum von OpenAI verfügbar |

## Welche DSGVO-Pflichten beim Einsatz gelten

Sobald personenbezogene Daten in ChatGPT gelangen, ist dein Unternehmen Verantwortlicher im Sinne der DSGVO. Daraus folgen mehrere Pflichten:

- **Rechtsgrundlage.** Für jede Verarbeitung und für die Übermittlung an den Anbieter brauchst du eine Rechtsgrundlage nach Art. 6 DSGVO.
- **Auftragsverarbeitung.** Nutzt dein Unternehmen eine Cloud-Lösung zu eigenen Zwecken, besteht laut DSK häufig eine Auftragsverarbeitung, für die ein Vertrag nach Art. 28 Abs. 3 DSGVO abzuschließen ist.
- **Drittlandübermittlung.** Werden Daten außerhalb der EU verarbeitet, sind die Regeln in Kapitel V DSGVO (Art. 44 ff.) zu beachten.
- **Transparenz.** Betroffene Personen sind nach Art. 13 und 14 DSGVO über die Verarbeitung zu informieren.
- **Folgenabschätzung.** Ergibt die Vorabprüfung ein voraussichtlich hohes Risiko, ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich. Beim Einsatz von KI wird das nach Einschätzung der DSK vielfach der Fall sein.
- **Keine automatisierte Entscheidung.** Entscheidungen mit Rechtswirkung darf nach Art. 22 DSGVO grundsätzlich nicht allein die Maschine treffen. Ein Mensch muss tatsächlich entscheiden.

## Was die Datenschutzkonferenz empfiehlt

Die DSK verlangt in ihrer Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ vom 6. Mai 2024 vor allem klare Regeln und betriebliche Konten. Die Orientierungshilfe nennt ChatGPT nicht als Einzelfall, sondern gilt für KI-Anwendungen allgemein. Für den Einsatz von ChatGPT lassen sich daraus diese Punkte ableiten:

1. Arbeitgeber stellen Geräte und Accounts bereit. Beschäftigte sollen nicht mit privaten Konten arbeiten müssen, weil dabei Profile über sie entstehen können.
2. Accounts werden so voreingestellt, dass Eingaben nicht zum Training verwendet und keine Eingabe-Historie über die Sitzung hinaus gespeichert wird.
3. Interne Weisungen regeln dokumentiert, welche Anwendungen für welche Zwecke erlaubt sind, mit Beispielen für erlaubte und untersagte Szenarien.
4. Datenschutzbeauftragte werden eingebunden, die Beteiligung des Betriebsrats wird geprüft.
5. Beschäftigte werden durch Schulungen und Leitfäden sensibilisiert.

Die DSK weist außerdem darauf hin, dass technisch geschlossene Systeme aus Datenschutzsicht vorzugswürdig sind und dass es regelmäßig nicht genügt, nur Namen und Anschriften aus einer Eingabe zu entfernen, weil sich der Personenbezug oft aus dem Zusammenhang ergibt.

## So setzt du ChatGPT und Alternativen sicher ein

Entscheide zuerst, welche Daten überhaupt in ein KI-Werkzeug dürfen, und wähle dann das passende Angebot. Für allgemeine Texte ohne Personenbezug genügt oft ein Business-Konto mit klarer Richtlinie. Für Mandanten-, Kunden- oder Versicherungsdaten lohnt sich eine Lösung mit Verarbeitung in der EU.

Hey2Ai entwickelt dafür eine [eigene KI-Plattform](https://hey2.ai/firmen-ki-chat/) mit Hosting in Deutschland und ohne Training von Modellen auf Kundendaten. Welche Pflichten zusätzlich aus dem [EU AI Act](https://hey2.ai/eu-ai-act/) folgen, etwa die Maßnahmen zur KI-Kompetenz nach Art. 4 seit dem 2. Februar 2025, klärt Hey2Ai gemeinsam mit dir in der kostenlosen KI-Analyse. Der Inhaber von Hey2Ai ist zertifizierter AI Officer.

## Fragen zu ChatGPT und DSGVO

### Ist ChatGPT DSGVO-konform?

Das hängt von der Variante und vom Einsatz ab, nicht vom Werkzeug allein. Mit einem Business-Angebot, Auftragsverarbeitungsvertrag, Rechtsgrundlage und internen Regeln ist ein datenschutzkonformer Einsatz möglich. Private Konten erfüllen diese Voraussetzungen für dienstliche Daten in der Regel nicht.

### Dürfen meine Mitarbeitenden ChatGPT mit Kundendaten nutzen?

Nicht über private Konten. Kundendaten gehören nur in ein freigegebenes Werkzeug mit Auftragsverarbeitungsvertrag, für das eine Rechtsgrundlage besteht. Lege in einer KI-Richtlinie fest, welche Datenklassen erlaubt sind.

### Nutzt OpenAI meine Unternehmensdaten zum Training?

Bei ChatGPT Business, Enterprise, Edu und der API nach Angaben von OpenAI standardmäßig nicht. Bei privaten Konten können Unterhaltungen zum Training verwendet werden, solange die Einstellung „Improve the model for everyone“ aktiviert ist.

### Brauche ich für ChatGPT einen Auftragsverarbeitungsvertrag?

In der Regel ja, wenn personenbezogene Daten verarbeitet werden. Die DSK sieht beim Einsatz einer Cloud-KI zu eigenen Zwecken häufig eine Auftragsverarbeitung nach Art. 28 DSGVO. OpenAI bietet für seine Business-Angebote ein Data Processing Addendum an.

### Muss ich für ChatGPT eine Datenschutz-Folgenabschätzung machen?

Wenn die Vorabprüfung ein voraussichtlich hohes Risiko ergibt, ja, nach Art. 35 DSGVO. Die DSK geht davon aus, dass dies beim Einsatz von KI vielfach der Fall sein wird. Binde deine Datenschutzbeauftragten früh ein.

### Reicht es, Namen vor der Eingabe in ChatGPT zu entfernen?

Meist nicht. Die DSK weist darauf hin, dass sich der Personenbezug oft aus dem Zusammenhang ergibt, etwa aus Firma, Funktion und Zeitpunkt. Behandle solche Eingaben weiterhin als personenbezogen.

## Quellen

- [DSK, Orientierungshilfe „Künstliche Intelligenz und Datenschutz“, Version 1.0, 6. Mai 2024](https://www.datenschutzkonferenz-online.de/media/oh/20240506_DSK_Orientierungshilfe_KI_und_Datenschutz.pdf)
- [Verordnung (EU) 2016/679 (DSGVO), EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679)
- [OpenAI, Business data privacy, security, and compliance](https://openai.com/business-data/)
- [OpenAI Help Center, Data Controls in ChatGPT](https://help.openai.com/en/articles/7730893-data-controls-faq)
- [OpenAI, Introducing data residency in Europe](https://openai.com/index/introducing-data-residency-in-europe/)
- [Verordnung (EU) 2024/1689 (KI-Verordnung), EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689)

## Kontakt

Kostenlose KI-Analyse (30 Minuten): https://cal.com/hey2ai-ki-check/termin · E-Mail: info@hey2.ai