Kai betreibt ein Ingenieurbüro in Erkelenz. Er nutzt ChatGPT täglich – für Angebotsentwürfe, E-Mails, Protokolle. Neulich hat er einen Projektbericht zusammenfassen lassen, in dem der Name und die Adresse eines Auftraggebers standen. Geht das? Er hat sich dabei nichts Böses gedacht. Aber er fragt sich seitdem, ob das so in Ordnung war.
Die kurze Antwort: Nicht ohne weiteres. Die längere Antwort erklärt warum – und was du stattdessen tun kannst.
ChatGPT wird von OpenAI betrieben, einem US-amerikanischen Unternehmen. Wenn du Text in das Chatfenster eingibst, werden diese Daten an OpenAI-Server übertragen – standardmäßig auch zu Trainingszwecken genutzt, zumindest in der kostenlosen Version.
Das ist aus DSGVO-Sicht ein Problem, sobald personenbezogene Daten im Spiel sind. Personenbezogen ist dabei fast alles: Name, E-Mail, Adresse, aber auch Bestellhistorien, Diagnosen, Gehaltsdaten, Vertragsdetails – also genau das, womit Betriebe täglich arbeiten.
Wenn du solche Daten in ChatGPT eingibst, ohne dass dafür eine Rechtsgrundlage besteht und ohne dass OpenAI als Auftragsverarbeiter vertraglich eingebunden ist, verstößt du gegen die DSGVO. Deine Kunden, Mitarbeiter oder Geschäftspartner haben dir ihre Daten für einen bestimmten Zweck gegeben – nicht damit sie in einem KI-System landen.
Es gibt Situationen, in denen KI-Tools auch im professionellen Kontext genutzt werden können, ohne direkt gegen die DSGVO zu verstoßen.
Rein anonymisierte oder fiktive Inhalte. Wenn du ChatGPT bittest, einen Angebotsentwurf zu erstellen, ohne echte Kundendaten einzufügen – also mit Platzhaltern wie „Firma XY" statt echten Namen –, ist das unproblematisch. Die KI arbeitet dann nicht mit personenbezogenen Daten.
Enterprise-Versionen mit AVV. OpenAI bietet für ChatGPT Team und ChatGPT Enterprise einen Auftragsverarbeitungsvertrag (AVV) an und verspricht, Daten nicht für das Training zu nutzen. Wer diese Versionen nutzt und entsprechend konfiguriert, hat zumindest einen Teil der rechtlichen Grundlage gelegt – aber auch hier bleibt die Frage der Drittlandübertragung in die USA.
EU-basierte Alternativen. Für Betriebe, die auf Nummer sicher gehen wollen, gibt es inzwischen KI-Lösungen, die auf EU-Servern betrieben werden und den europäischen Datenschutzanforderungen entsprechen. Das Thema entwickelt sich schnell – wer das für seinen Betrieb sortieren will, findet bei 4che Beratung zu DSGVO-konformer Digitalisierung und KI-Nutzung speziell für KMU.
Statt KI ganz zu meiden oder unbedarft zu nutzen, hilft ein pragmatischer Mittelweg:
Keine echten Kundennamen, Adressen oder vertraglichen Details in öffentliche KI-Tools eingeben. Stattdessen mit neutralen Platzhaltern arbeiten und nur das Ergebnis – etwa eine fertige E-Mail-Vorlage – mit den echten Daten befüllen.
Keine Mitarbeiterdaten in KI-Tools. Krankmeldungen, Gehaltsinformationen oder Personalakten haben in ChatGPT und Co. nichts zu suchen – egal welche Version.
Bei Unsicherheit immer fragen: Welche Daten gebe ich hier ein? Wer betreibt dieses Tool und wo werden die Daten verarbeitet? Gibt es einen AVV?
Das klingt nach mehr Aufwand als es ist. Wer einmal verstanden hat, worum es geht, entwickelt schnell ein Gefühl dafür, was geht und was nicht.
KI-Tools sind keine Bedrohung und kein Tabu. Sie sind Werkzeuge – und wie jedes Werkzeug muss man wissen, wofür man sie einsetzt und wofür nicht. Wer das einmal klar hat, kann produktiv damit arbeiten ohne sich dabei rechtlich zu gefährden.
Du nutzt KI-Tools im Betrieb und fragst dich ob das so passt? Lass uns das gemeinsam anschauen – kostenlos und ohne Fachjargon. 📞 02162 / 5472815 · 📧 kontakt@temq.de · → Kostenloses Erstgespräch
Manuel Forche · temq.de · Externer Datenschutzbeauftragter aus Viersen Für KMU in Viersen, Mönchengladbach, Krefeld und Erkelenz.
Nein. Verboten ist nicht das Tool, sondern die unüberlegte Eingabe personenbezogener Daten ohne Rechtsgrundlage. ChatGPT für interne Texte, Brainstorming oder Zusammenfassungen ohne echte Personendaten ist datenschutzrechtlich unkritisch.
Das ist ein reales Risiko, das viele Betriebe unterschätzen. Ohne klare interne Richtlinien zur KI-Nutzung kann niemand garantieren, dass Mitarbeiter keine sensiblen Daten eingeben. Eine kurze schriftliche Betriebsvereinbarung oder Weisung – und eine Schulung – lösen das Problem.
Ja, und der Markt wächst schnell. Lösungen wie Microsoft 365 Copilot mit EU-Datenspeicherung, deutsche KI-Anbieter oder selbst gehostete Modelle können je nach Betriebsgröße sinnvolle Alternativen sein. Was für dich passt, hängt von deiner IT-Infrastruktur und deinem Budget ab.
Wenn du KI-Tools zur Verarbeitung personenbezogener Daten einsetzt, solltest du das in deiner Datenschutzerklärung oder im Verarbeitungsverzeichnis dokumentieren – je nachdem, ob es nach außen oder intern relevant ist.
Für die datenschutzrechtliche Seite bin ich der Ansprechpartner. Für die technische Umsetzung – welche Tools passen, wie sie konfiguriert werden, welche Alternativen es gibt – hilft [4che](https://4che.de). Beides zusammen ergibt ein vollständiges Bild.
30 Minuten Erstgespräch – kostenlos, unverbindlich und ohne Verkaufsdruck.