ChatGPT im Betrieb: Datenschutz-Checkliste

Das Wichtigste in drei Sätzen

ChatGPT und ähnliche Werkzeuge sind im Betrieb nicht verboten. Sobald personenbezogene Daten hineingehen, gilt die DSGVO: Sie brauchen eine Rechtsgrundlage, häufig einen Vertrag zur Auftragsverarbeitung und eine Prüfung des Risikos. Die Datenschutzkonferenz empfiehlt dafür Firmenkonten statt privater Konten, abgeschaltetes Training mit Eingaben, klare Anweisungen an die Beschäftigten und geprüfte Ergebnisse.

Darf man ChatGPT im Betrieb überhaupt nutzen?

Ja. Es gibt kein allgemeines Verbot. Entscheidend ist, was Sie eingeben. Aufgaben ganz ohne Bezug zu Personen fallen nicht unter das Datenschutzrecht, etwa ein Entwurf für eine Produktbeschreibung oder die Fehlersuche in Programmcode ohne Kundendaten.

Anders ist es bei Namen, E-Mail-Adressen, Kundenanfragen oder Angaben zu Beschäftigten. Die Datenschutzkonferenz weist darauf hin, dass es oft nicht reicht, Namen und Anschriften zu entfernen. Schon die Bitte um ein Arbeitszeugnis für „einen Kundenberater im Autohaus X“ kann eine Person erkennbar machen, wenn klar ist, wer sie wann gestellt hat.

Was verlangt die DSGVO beim Einsatz von KI-Werkzeugen?

Die Datenschutzkonferenz, also das gemeinsame Gremium der deutschen Datenschutzaufsichtsbehörden, nennt in ihrer Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ vom 06.05.2024 vor allem diese Punkte:

Rechtsgrundlage: Für jeden Schritt, in dem ein KI-Werkzeug personenbezogene Daten verarbeitet, braucht es eine Rechtsgrundlage. Für Gesundheitsdaten und andere besondere Kategorien gelten strengere Regeln.
Auftragsverarbeitung: Nutzt Ihr Betrieb ein Cloud-Werkzeug für eigene Zwecke, ist der Anbieter häufig Auftragsverarbeiter. Dann ist ein Vertrag nach Art. 28 Abs. 3 DSGVO abzuschließen.
Information der Betroffenen: Personen, deren Daten Sie mit KI verarbeiten, sind darüber zu informieren.
Menschliche Entscheidung: Entscheidungen mit Rechtswirkung trifft ein Mensch, der wirklich abwägt. Eine KI, die Bewerbungen auswertet und selbst Einladungen verschickt, nennt die Datenschutzkonferenz als Verstoß gegen Art. 22 DSGVO.
Risikoprüfung: Vor der Verarbeitung steht eine Vorabprüfung des Risikos. Ist das Risiko voraussichtlich hoch, ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO Pflicht. Beim Einsatz von KI wird das nach Einschätzung der Datenschutzkonferenz vielfach der Fall sein.

Welche Schritte empfiehlt die Datenschutzkonferenz? Die Checkliste

Zweck festlegen: Vorab klären, wofür das Werkzeug genutzt werden soll und wofür nicht.
Firmenkonten statt privater Konten: Der Betrieb stellt Geräte und Konten. Beschäftigte sollen nicht mit privaten Konten arbeiten müssen. Für die Anmeldung empfiehlt die Datenschutzkonferenz eine Funktionsadresse des Betriebs statt Konten mit Namen einzelner Beschäftigter, soweit das Werkzeug nicht auf eigenen Servern läuft.
Training und Verlauf einstellen: Schon beim Einrichten so wählen, dass Eingaben nicht zum Training genutzt werden und der Verlauf nicht über die Sitzung hinaus gespeichert wird.
Vertrag zur Auftragsverarbeitung abschließen: Vom Anbieter anfordern und ablegen, zusammen mit der Liste seiner Unterauftragnehmer.
Keine personenbezogenen Daten ohne Rechtsgrundlage: Im Zweifel nichts eingeben, was auf eine Person schließen lässt. Bei Gesundheitsdaten und ähnlich sensiblen Angaben besonders vorsichtig sein.
Ergebnisse prüfen: KI-Texte können falsch sein oder benachteiligen. Vor jeder Weiterverwendung prüft ein Mensch Inhalt und mögliche Benachteiligungen.
Beschäftigte anweisen: Eine dokumentierte Anweisung, welche Werkzeuge wofür erlaubt sind, mit Beispielen für Erlaubtes und Verbotenes. Ein Muster für eine KI-Richtlinie hilft beim Start.
Schulen: Beschäftigte durch Schulungen, Leitfäden und Gespräche sensibilisieren.
Datenschutz-Folgenabschätzung, wo nötig: Das Ergebnis der Vorabprüfung festhalten. Bei hohem Risiko die Folgenabschätzung durchführen.
Datenschutzbeauftragte und Betriebsrat einbinden: Früh beteiligen. Die Einführung kann ein Mitbestimmungsrecht auslösen.
Regelmäßig nachsehen: Werkzeuge und Einstellungen ändern sich. Die Regeln gehören in eine feste Routine.

Gibt es eine neuere Fassung der Orientierungshilfe?

Nach unserem Stand vom 14.10.2026 ist die Version 1.0 vom 06.05.2024 weiterhin die aktuelle Fassung. Die Datenschutzkonferenz hat seitdem zwei ergänzende Papiere veröffentlicht: im Juni 2025 zu technischen und organisatorischen Maßnahmen bei Entwicklung und Betrieb von KI-Systemen und im Oktober 2025 zu KI-Systemen, die eigene Dokumente einbeziehen (RAG-Methode). Für die Nutzung von Werkzeugen wie ChatGPT bleibt die Fassung von 2024 der Ausgangspunkt.

Was unterscheidet private Konten von Team- und Enterprise-Konten?

Ein privates Konto gehört der Person, nicht dem Betrieb. Der Betrieb kann die Einstellungen weder vorgeben noch prüfen. Am Beispiel ChatGPT: Bei privaten Konten legt jede Person selbst fest, ob ihre Gespräche zum Training beitragen. Laut OpenAI kann eine Bewertung per Daumen das ganze Gespräch für das Training freigeben, auch nach einem Widerspruch.

Für die geschäftlichen Angebote ChatGPT Business, Enterprise und die Programmierschnittstelle gibt OpenAI an, Inhalte standardmäßig nicht zum Training zu nutzen. Dazu kommen eine zentrale Verwaltung mit Rollen und die Möglichkeit, einen Vertrag zur Auftragsverarbeitung abzuschließen. Größere Tarife bieten weitere Kontrollen, etwa die Speicherung von Daten in Europa für berechtigte Kunden.

Tarifnamen und Einstellungen ändern sich. Prüfen Sie den aktuellen Stand beim Anbieter, bevor Sie ein Werkzeug einführen. Ein Geschäftskonto ersetzt auch nicht die übrigen Schritte der Checkliste, etwa die Rechtsgrundlage oder die Prüfung von Übermittlungen in Länder außerhalb der EU.

Was gilt für Kanzleien und Arztpraxen?

Wer einem Berufsgeheimnis unterliegt, etwa in Steuer- und Anwaltskanzleien oder Arztpraxen, muss zusätzlich die Regeln zur Verschwiegenheit beachten, zum Beispiel § 203 StGB und das eigene Berufsrecht. Klären Sie das vor dem Einsatz mit Ihrer Kammer oder Ihrem Datenschutzbeauftragten.

Was hat die KI-Verordnung damit zu tun?

Die KI-Verordnung ersetzt die DSGVO nicht, sie kommt hinzu. Artikel 4 verlangt Maßnahmen zur KI-Kompetenz Ihrer Beschäftigten. Seit August 2026 gelten außerdem Pflichten, bestimmte KI-Inhalte zu kennzeichnen. Was das für Betriebe heißt, steht in unserem Ratgeber zur KI-Kennzeichnungspflicht.

Wie wir helfen

Bei der KI-Beratung richten wir Firmenkonten ein, stellen Training und Verlauf passend ein und beschaffen den Vertrag zur Auftragsverarbeitung samt Unterauftragnehmerliste für Ihren Datenschutzbeauftragten. Wir schreiben mit Ihnen die Nutzungsregeln und schulen Ihr Team an eigenen Aufgaben, online in ganz Deutschland und vor Ort rund um Bad Kreuznach. Die rechtliche Bewertung Ihres Einzelfalls gehört zu Ihrem Datenschutzbeauftragten oder Anwalt. Für ein erstes Gespräch buchen Sie einen Termin.

Quellen

Stand 14.10.2026. Diese Seite fasst öffentlich zugängliche Quellen zusammen und ist keine Rechtsberatung.

ChatGPT im Betrieb datenschutzkonform nutzen: die Checkliste