Die kurze Antwort: ChatGPT ist nicht pauschal verboten - aber so, wie es in vielen Betrieben benutzt wird, ist es ein Datenschutzproblem. Der Unterschied liegt nicht im Werkzeug, sondern darin, welche Daten hineinwandern und welche Version im Einsatz ist.
Vorab zur Einordnung: Das hier ist Praxiswissen aus der Beratung, keine Rechtsberatung. Für den wasserdichten Einzelfall gehört ein Datenschutz-Profi dazu - den Teil übernehme ich in Projekten nicht selbst, sondern plane ihn ein.
Wo das Problem liegt
Wenn du im kostenlosen ChatGPT eine Kundenmail einfügst („Formuliere mir eine Antwort an Herrn Müller, der sich über die Lieferverzögerung beschwert”), passieren drei Dinge:
- Personenbezogene Daten verlassen die EU - Name, E-Mail-Inhalt, oft Adresse oder Auftragsdetails wandern auf US-Server.
- Ohne Vertrag zur Auftragsverarbeitung (AVV) fehlt die rechtliche Grundlage, die die DSGVO für externe Verarbeitung verlangt.
- In den Consumer-Versionen können Eingaben fürs Training verwendet werden - deine Kundendaten landen dann potenziell im Modell.
Jeder Punkt für sich ist lösbar. Zusammen und unbeachtet sind sie der Grund, warum „wir nutzen einfach ChatGPT” riskant ist.
Was in Ordnung ist
Unkritisch ist alles ohne Personenbezug: Texte umformulieren, Ideen sammeln, allgemeine E-Mail-Vorlagen, Übersetzungen ohne Namen, Fachfragen. Faustregel: Was du bedenkenlos an ein öffentliches schwarzes Brett hängen würdest, darf auch in den freien Chat. Alles mit Namen, Adressen, Aufträgen oder Gesundheitsdaten nicht.
Die sauberen Wege
Es gibt drei bewährte Stufen, je nachdem wie sensibel deine Daten sind:
- Business-Versionen mit AVV: Die Bezahlvarianten der großen Anbieter bieten Verträge zur Auftragsverarbeitung, EU-Datenverarbeitung und schließen Training auf deinen Daten aus. Für die meisten Betriebe der pragmatische Standard.
- EU-Anbieter und EU-Hosting: Anbieter mit Servern und Firmensitz in Europa, oder US-Modelle über EU-Cloud-Regionen mit entsprechenden Garantien.
- Lokale KI im eigenen Haus: Für besonders sensible Daten - etwa in Praxen oder Kanzleien - laufen Modelle komplett auf eigener Hardware. Die Daten verlassen das Haus nie. Das ist heute keine Bastellösung mehr, sondern für viele Aufgaben praxistauglich.
Fünf Regeln für dein Team
Wenn dein Team KI nutzt (und das tut es, ob offiziell erlaubt oder nicht), helfen fünf einfache Regeln mehr als ein zwanzigseitiges Verbotsdokument:
- Keine Kundennamen, Adressen oder Auftragsdaten in freie Chat-Versionen.
- Eine vom Betrieb bereitgestellte Business-Version nutzen - nicht das Privatkonto.
- Vor der Einführung eines KI-Helfers klären: Welche Daten fließen wohin? Einmal schriftlich festhalten.
- AVV mit dem Anbieter abschließen - das ist ein Formular, kein Projekt.
- Einen Ansprechpartner benennen, bei dem Unsicherheiten landen - sonst entscheidet jeder selbst.
Fazit
DSGVO und KI schließen sich nicht aus - sie verlangen nur, dass jemand einmal sauber durchdenkt, welche Daten wohin dürfen. Genau deshalb ist Datenschutz bei mir Teil jeder KI-Beratung von Anfang an: Was wohin darf, halte ich schriftlich fest, bevor irgendetwas läuft. Wenn du unsicher bist, wie dein Betrieb KI sauber einsetzen kann: Der 15-Minuten-Check kostet nichts, und die Frage „geht das überhaupt datenschutzkonform?” beantworte ich dir darin ehrlich.