Ist der Einsatz von ChatGPT & Co. mit der DSGVO vereinbar?
Der Einsatz von ChatGPT & Co. ist mit der DSGVO vereinbar, wenn ein wirksamer Auftragsverarbeitungsvertrag besteht, personenbezogene Daten nur im nötigen Umfang eingegeben werden und geklärt ist, ob und wie lange der Anbieter Eingaben speichert — ohne diese drei Punkte ist der Einsatz riskant, unabhängig vom Anbieter.
Ob Mitarbeitende Kundendaten in ein KI-Tool wie ChatGPT eingeben dürfen, gehört zu den ersten Fragen von IT und Datenschutzbeauftragten bei jeder KI-Einführung. Die Antwort hängt von der Vertragslage mit dem Anbieter und der Art der eingegebenen Daten ab.
Die Frage ist nie "Ist ChatGPT DSGVO-konform?", sondern "Ist unser konkreter Einsatz von ChatGPT DSGVO-konform?".
Die drei entscheidenden Bausteine
Erstens ein wirksamer Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter, der regelt, wie personenbezogene Daten verarbeitet werden dürfen.
Zweitens Datenminimierung — es sollten nur die personenbezogenen Daten eingegeben werden, die für die konkrete Aufgabe nötig sind, nicht ganze Kundendatenbanken.
Drittens Klarheit über Speicherung und Löschung — viele Business-Tarife der großen Anbieter schließen die Nutzung von Eingaben für das Training aus und bieten definierte Löschfristen, private Consumer-Zugänge oft nicht.
Vorher/Nachher: Kundenanfragen im Support
Vorher kopieren Support-Mitarbeitende komplette Kunden-E-Mails inklusive Namen, Adresse und Vertragsnummer in einen privaten ChatGPT-Zugang, um eine Antwort vorformulieren zu lassen.
Nachher läuft dieselbe Formulierungshilfe über einen Business-Zugang mit AVV, wobei Namen und Vertragsnummern vor der Eingabe automatisch durch Platzhalter ersetzt werden — die eigentliche Anfrage bleibt nutzbar, ohne unnötige personenbezogene Daten preiszugeben.
Beispielrechnung: Aufwand für Datenminimierung
Eine einfache Vorverarbeitung, die Namen, Adressen und Kundennummern automatisch durch Platzhalter ersetzt, kostet in der Einführung meist 1-3 Tage Entwicklungsaufwand für die Erkennungsregeln.
Dem steht das Risiko einer Datenschutzverletzung gegenüber, deren Bußgeld je nach Schwere deutlich höher ausfallen kann als dieser einmalige Aufwand — beide Größen sind unterschiedlicher Natur und sollten nicht gegeneinander aufgerechnet, sondern getrennt betrachtet werden.
Was in der Praxis oft übersehen wird
Viele Teams nutzen private, nicht dienstlich freigegebene KI-Zugänge ("Schatten-KI"), weil kein offizielles Tool zur Verfügung steht — dort gelten die strengeren betrieblichen Vorgaben oft gar nicht.
Ein freigegebenes Business-Tool mit klarer Nutzungsrichtlinie verhindert dieses Ausweichverhalten meist wirksamer als ein reines Verbot.
Wann zusätzliche Prüfung nötig ist
Werden besonders sensible Daten wie Gesundheits- oder Bewerberdaten verarbeitet, reicht ein Standard-AVV oft nicht aus — hier sollte vor dem Einsatz eine Datenschutz-Folgenabschätzung geprüft werden.
When it fits — and when it doesn’t
When it fits
- Ein Business-Zugang mit AVV und definierten Speicherfristen ist vorhanden
- Eingaben werden auf das für die Aufgabe nötige Minimum an personenbezogenen Daten reduziert
- Es gibt eine klare interne Richtlinie, welche Daten in welches Tool eingegeben werden dürfen
When it doesn't
- Es wird ein privater Consumer-Zugang ohne AVV genutzt
- Es werden routinemäßig vollständige Kundendatensätze unminimiert eingegeben
- Es handelt sich um besonders sensible Daten ohne vorherige Datenschutzprüfung
Questions about this topic?
We’ll help you find the next concrete step for your company.
Next step
Ready for your AI infrastructure?
Nextise guides you from the first analysis to a productive solution. Ready to deploy in 6–10 weeks.
Let’s talk about your AI transformation together
