ChatGPT und Datenschutz: So setzen Unternehmen KI DSGVO-konform ein
Ja, ChatGPT lässt sich im Unternehmen datenschutzkonform nutzen, aber nicht mit privaten Free- oder Plus-Konten. Voraussetzung sind ein Firmentarif mit Auftragsverarbeitungsvertrag, klare Regeln, welche Daten hineindürfen, und die Dokumentation im Verarbeitungsverzeichnis. Für besonders sensible Daten ist eine lokale KI oft der einfachere Weg.
- AVVnur in Firmentarifen
- Kein Trainingmit Firmendaten als Voreinstellung
- EU-Speicherungfür Enterprise, Edu und API
- Art. 50KI-Kennzeichnung seit August 2026
- Lokalkeine Übermittlung an Dritte
Welcher ChatGPT-Tarif ist datenschutzkonform?
Entscheidend ist der Vertrag. Nur Firmentarife haben einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Für Kunden aus dem EWR ist der Vertragspartner OpenAI Ireland Ltd.
| Tarif | AVV | Training mit Ihren Eingaben | Speicherort | Für Firmendaten |
|---|---|---|---|---|
| Free, Go, Plus, Pro | nein | ja, in den Einstellungen abschaltbar | vor allem USA | nicht geeignet |
| Business (früher Team) | ja | nein (Voreinstellung) | USA, Europa-Optionen eingeschränkt | mit klaren Regeln |
| Enterprise, Edu | ja | nein (Voreinstellung) | Europa wählbar, seit Januar 2026 auch die Verarbeitung | geeignet |
| API | ja | nein (Voreinstellung) | Europa für geeignete Projekte | für eigene Anwendungen |
Quellen: OpenAI: Data residency in Europe (Februar 2025, ergänzt Januar 2026), Collective Brain (Stand September 2026). Tarifdetails ändern sich häufig, prüfen Sie den aktuellen Vertrag vor dem Abschluss.
DSGVO-konforme KI: acht Punkte, die Sie klären sollten
- Firmentarif mit AVV
Private Konten für Firmeninhalte sperren. Nur lizenzierte Arbeitsbereiche mit Auftragsverarbeitungsvertrag nutzen.
- Zweck und Rechtsgrundlage
Für welche Aufgaben wird KI genutzt, und auf welche Rechtsgrundlage stützt sich die Verarbeitung personenbezogener Daten?
- Erlaubte Daten festlegen
Was darf hinein, was nicht? Gesundheits-, Personal- und Mandantendaten im Zweifel ausschließen.
- Drittlandübermittlung prüfen
Bei Verarbeitung in den USA braucht es eine Grundlage, etwa Standardvertragsklauseln oder das EU-US Data Privacy Framework. Prüfen Sie, worauf sich Ihr Vertrag stützt.
- Dokumentieren
Eintrag im Verarbeitungsverzeichnis, Löschfristen, bei hohem Risiko eine Datenschutz-Folgenabschätzung.
- Richtlinie und Schulung
Eine kurze KI-Richtlinie und eine Einweisung der Mitarbeitenden. Zum rechtlichen Rahmen: KI-Kompetenz nach Artikel 4.
- Transparenz nach Art. 50
Seit 2. August 2026 gelten Kennzeichnungspflichten der KI-Verordnung, etwa wenn Kunden mit einem Chatbot sprechen.
- Berufsgeheimnisse beachten
Für Kanzleien, Praxen und Steuerberater gilt zusätzlich § 203 StGB: Mandantendaten in KI-Diensten.
Und Copilot, Gemini oder Claude?
Für die anderen großen Assistenten gilt das gleiche Muster: Firmentarife mit AVV und ohne Training auf Ihren Daten, Privatkonten nicht für Firmeninhalte.
Microsoft 365 Copilot
Verarbeitung nach den Microsoft-Produktbedingungen und dem Microsoft-AVV. Der Speicherort folgt dem Datenstandort Ihres Microsoft-365-Mandanten.
Gemini für Workspace
Für Business- und Enterprise-Kunden gilt der Workspace-AVV. Die Datenregion lässt sich je nach Workspace-Edition auf Europa festlegen.
Claude
Team- und Enterprise-Tarife mit AVV und ohne Training auf Ihren Daten. Über die API ist eine Verarbeitung in EU-Regionen bei Cloud-Anbietern wie AWS möglich.
Nach First AI Movers: EU Residency Guide (April 2026). Auch bei EU-Speicherung kann Personal des Anbieters von außerhalb der EU Zugriff haben. Prüfen Sie Unterauftragsverarbeiter und Zugriffsregeln im AVV.
Wann lokale KI die bessere Wahl ist
Lokale KI ist sinnvoll bei
- Mandanten-, Patienten- und Personaldaten
- Konstruktionsdaten und Betriebsgeheimnissen
- Vorgaben, die keine Übermittlung an Dritte erlauben
- vielen Nutzern, für die Abos teuer würden
Was lokale KI nicht erledigt
- Zweck, Löschkonzept und Zugriffsrechte bleiben Pflicht
- Verarbeitungsverzeichnis und ggf. Folgenabschätzung
- Schulung und Richtlinie für Mitarbeitende
- Wartung und Updates des Servers
Bei einer lokalen KI läuft das Sprachmodell auf einem KI-Server in Ihrem Netz. Es gibt keinen KI-Anbieter, an den Daten übermittelt werden. Welche Modelle und welche Hardware dafür nötig sind, steht im Ratgeber Lokale KI: Modelle, Hardware und Kosten.
Wie streng prüfen die Behörden?
Die italienische Datenschutzbehörde verhängte im Dezember 2024 ein Bußgeld von 15 Millionen Euro gegen OpenAI, unter anderem wegen fehlender Rechtsgrundlage für das Training und mangelnder Transparenz. Ein Gericht in Rom hob das Bußgeld im März 2026 auf, die Begründung war zunächst nicht veröffentlicht (Bericht vom 20.03.2026).
Für Unternehmen heißt das: Die Rechtslage rund um KI-Anbieter ist in Bewegung. Verantwortlich für die Eingaben Ihrer Mitarbeitenden bleiben Sie selbst. Klare Regeln und der passende Tarif sind deshalb wichtiger als die Wahl des Anbieters.
Fragen zu ChatGPT und Datenschutz
Ist ChatGPT DSGVO-konform?
Der Dienst selbst ist weder konform noch unzulässig. Entscheidend ist, wie Sie ihn nutzen: mit Firmentarif und AVV, festgelegten erlaubten Daten, geprüfter Drittlandübermittlung und Dokumentation. Private Free- und Plus-Konten erfüllen diese Voraussetzungen für Firmendaten nicht.
Darf ich personenbezogene Daten in ChatGPT eingeben?
Nur mit Rechtsgrundlage und über einen Firmentarif mit AVV. Besondere Kategorien wie Gesundheitsdaten und Daten, die einem Berufsgeheimnis unterliegen, sollten Sie ohne gesonderte Prüfung ausschließen.
Brauche ich einen AVV für ChatGPT?
Ja, sobald personenbezogene Daten verarbeitet werden. OpenAI bietet ihn für Business, Enterprise, Edu und die API an, nicht für Free, Go, Plus und Pro.
Nutzt OpenAI meine Eingaben zum Training?
In den Firmentarifen und über die API nach Angaben von OpenAI nicht, solange Sie nicht ausdrücklich zustimmen. In privaten Konten ist das Training voreingestellt und lässt sich in den Einstellungen abschalten.
Was ist DSGVO-konforme KI?
KI, deren Einsatz die Vorgaben der DSGVO erfüllt: Rechtsgrundlage, Zweckbindung, AVV mit dem Anbieter, geprüfte Übermittlung in Drittländer, Löschkonzept und Dokumentation. Das gilt für Cloud-Dienste ebenso wie für lokale KI.
Ist lokale KI automatisch DSGVO-konform?
Nein, aber vieles wird einfacher. Ohne Übermittlung an einen KI-Anbieter entfallen AVV und Drittlandfragen für diesen Dienst. Zweck, Zugriffsrechte, Löschfristen und Dokumentation bleiben Ihre Aufgabe.
Dieser Ratgeber gibt einen allgemeinen Überblick und ist keine Rechtsberatung. Für Ihren konkreten Fall wenden Sie sich an Ihren Datenschutzbeauftragten oder eine Kanzlei.
KI ohne Datenschutzsorgen
Wir zeigen Ihnen, ob ein Firmentarif reicht oder ob eine lokale KI für Ihre Daten besser passt, und rechnen beides durch.