ChatGPT im Unternehmen — was ist mit der DSGVO?
Diese Seite ordnet technische und organisatorische Fragen ein, ersetzt aber keine Rechtsberatung. Entscheidend sind immer Zweck, Datenarten, Anbieter, Vertrag, Einstellungen, Zugriffe und der konkrete Einsatz.
ChatGPT und andere KI-Dienste können im Unternehmen eingesetzt werden, aber nicht pauschal „DSGVO-konform“. Vorher müssen Zweck, Rechtsgrundlage, Datenminimierung, Auftragsverarbeitung, Drittlandtransfers, Speicher- und Trainingsnutzung sowie interne Regeln geprüft werden. Personenbezogene oder vertrauliche Daten gehören nicht in ungeprüfte Consumer-Konten.
Wo es wirklich brennt — drei Risikozonen.
Was in der Praxis funktioniert.
Ein vertraglich geeignetes Business- oder API-Angebot, geklärte Auftragsverarbeitung, passende Einstellungen und eine kurze interne Richtlinie können ein pragmatischer Start sein. Ob das reicht, hängt vom Use Case und den Daten ab.
EU-Speicherung kann Drittlandrisiken reduzieren, löst aber nicht automatisch alle DSGVO-Fragen. Anbieterstruktur, Zugriffe, Unterauftragnehmer, Rechtsgrundlage und technische Einstellungen bleiben relevant.
Ein selbst gehostetes Modell kann Datenflüsse stärker kontrollierbar machen. Dafür übernimmt dein Unternehmen Betrieb, Updates, Zugriffe, Protokollierung und Sicherheit. Selbst Hosting ist weder automatisch günstiger noch automatisch datenschutzkonform.
Was ein AV-Vertrag nicht heilt.
— Ein AV-Vertrag macht schlampige Prompts nicht legal. Wer Gesundheitsdaten in ein Chatfenster kopiert, hat ein Prozessproblem, kein Vertragsproblem.
— „Wir nutzen keine KI“ ist keine ausreichende Kontrolle, wenn Beschäftigte private Konten verwenden. Freigegebene Werkzeuge, klare Regeln und Schulung sind wirksamer als ein Papierverbot.
— Bei besonderen Kategorien personenbezogener Daten, Beschäftigtendaten oder Berufsgeheimnissen gelten zusätzliche Anforderungen. Ob Cloud-Nutzung zulässig ist, muss im konkreten Fall geprüft werden; Selbst Hosting ist eine mögliche, aber nicht die einzige Option.
Häufige Fragen zu KI & Datenschutz.
Dürfen Mitarbeiter ChatGPT einfach so nutzen?
Allgemeine Aufgaben ohne personenbezogene oder vertrauliche Inhalte können risikoärmer sein. Sobald solche Daten verarbeitet werden, braucht es ein freigegebenes Unternehmenskonto, geklärte Verträge und Einstellungen sowie interne Regeln. Auch dann bleibt der konkrete Zweck zu prüfen.
Brauchen wir eine Datenschutz-Folgenabschätzung?
Eine Datenschutz-Folgenabschätzung ist nach Art. 35 DSGVO erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko verursacht. Das ist keine automatische Ja-Nein-Frage allein wegen „KI“. Umfang, Daten, Betroffene, Entscheidungen und Schutzmaßnahmen müssen bewertet werden. Quelle: Art. 35 DSGVO.
Und was ist mit dem EU AI Act?
Der EU AI Act ergänzt Datenschutzrecht um Pflichten nach Rolle und Risikoklasse. Art. 4 zur KI-Kompetenz gilt bereits; Transparenzpflichten aus Art. 50 gelten ab 2. August 2026. Hochrisiko-Anwendungen, etwa bestimmte Systeme im Beschäftigungsbereich, brauchen eine gesonderte Prüfung. Quellen: Art. 4 und Art. 50 AI Act.
Sind selbst gehostete Modelle wirklich sicherer?
Nicht pauschal. Selbst Hosting kann externe Datenübermittlungen reduzieren, verschiebt aber Verantwortung für Sicherheit, Updates, Zugriffe, Protokollierung und Betrieb auf dein Unternehmen. Eine gut konfigurierte Cloud kann in manchen Fällen sicherer sein als ein schlecht betriebener eigener Server.
Was kostet der DSGVO-saubere Einstieg?
Kosten hängen von Nutzerzahl, Tarif, Vertragsprüfung, Richtlinie, Schulung, Integration und Sicherheitsanforderungen ab. Eine allgemeine Aussage wie „nur wenige Euro mehr“ wäre unseriös. Der Einstieg wird nach konkretem Use Case und vorhandener Organisation kalkuliert.
Klarheit statt Grauzone.
Erstgespräch vereinbaren →30 Minuten, kostenlos. Ich grenze Daten, Zweck, Anbieter und offene Prüfungen ein – ohne eine rechtliche Freigabe vorzutäuschen.