Ja — ChatGPT lässt sich im Unternehmen DSGVO-konform nutzen, aber nur im Geschäftstarif mit Auftragsverarbeitungsvertrag; mit Free- und Plus-Konten nicht. Wer pauschal fragt „Ist ChatGPT DSGVO-konform?”, übersieht die drei Achsen, an denen die Antwort hängt: welcher Tarif, welche Daten und welcher Zweck. Sie entscheiden über zulässig und unzulässig, und sie lassen sich sauber auseinanderhalten.
Der entscheidende Unterschied: der Tarif
Die erste Achse ist die wichtigste, weil sie oft übersehen wird. Ob eine Nutzung datenschutzrechtlich tragfähig ist, entscheidet sich nicht an der Funktion, sondern am Vertrag.
Warum der Vertrag mehr zählt als die Funktion
Entscheidend ist nicht, was das Werkzeug kann, sondern mit wem der Vertrag geschlossen wird. Bei Free und Plus ist der Vertragspartner die Privatperson — es gibt keinen Auftragsverarbeitungsvertrag (AVV), und Eingaben können in das Modelltraining einfließen. Erst der Geschäftstarif macht das Unternehmen zum Vertragspartner und schließt das Training mit Ihren Eingaben vertraglich aus.
| Free / Plus | Business / Enterprise | |
|---|---|---|
| Vertragspartner | Privatperson | Unternehmen |
| Auftragsverarbeitungsvertrag | nein | ja |
| Training mit Eingaben | nicht ausgeschlossen | vertraglich ausgeschlossen |
| Für personenbezogene Daten | nein | ja, unter Voraussetzungen |
Der häufigste Fehler
Ein Mitarbeiter, der mit privatem Plus-Konto Kundendaten verarbeitet, handelt ohne Rechtsgrundlage — und das Unternehmen haftet, nicht der Mitarbeiter. Das passiert selten aus böser Absicht, sondern weil das private Abo bereits vorhanden und bequem ist. Mehr zu dieser Konstellation unter ChatGPT Plus oder Business.
Die Voraussetzungen im Geschäftstarif
Der AVV allein reicht nicht. Er ist die Eintrittskarte, aber es kommen mehrere Pflichten dazu, die im Alltag oft liegen bleiben.
Die formalen Pflichten
- Auftragsverarbeitungsvertrag abschließen — wird vom Anbieter bereitgestellt und muss aktiv geschlossen werden, nicht nur vorhanden sein.
- Rechtsgrundlage bestimmen — in der Regel berechtigtes Interesse nach Art. 6 Abs. 1 lit. f oder Vertragserfüllung, mit dokumentierter Abwägung.
- Verarbeitungsverzeichnis ergänzen — der KI-Einsatz gehört ins Verzeichnis der Verarbeitungstätigkeiten nach Art. 30.
- Informationspflichten erfüllen — Betroffene müssen nach Art. 13/14 erfahren, dass ihre Daten so verarbeitet werden.
- Drittlandtransfer regeln — die Verarbeitung findet je nach Konfiguration außerhalb der EU statt; die vertraglichen Grundlagen (Standardvertragsklauseln) stellt der Anbieter bereit.
Kompetenzpflicht nicht vergessen
Seit dem 02.02.2025 verlangt Art. 4 EU AI Act ausreichende KI-Kompetenz bei allen, die KI-Systeme betreiben. Datenschutz und Schulung hängen also zusammen: Wer die Datenregeln kennt, aber nicht versteht, warum sie gelten, hält sie im Alltag nicht ein. Dazu KI-Schulungspflicht und der Überblick zum EU AI Act.
Wo es auch im Geschäftstarif eng bleibt
Der AVV löst den Regelfall, aber nicht jeden Fall. Zwei Kategorien bleiben auch mit sauberem Vertrag heikel.
Besondere Datenkategorien und Berufsgeheimnisse
| Fall | Rechtsrahmen | Praktische Folge |
|---|---|---|
| Gesundheit, Biometrie, Religion | Art. 9 DSGVO | deutlich höhere Anforderungen, Zurückhaltung geboten |
| Ärzte, Anwälte, Steuerberater | § 203 StGB | AVV allein löst es nicht vollständig |
| Auskunft und Löschung | Art. 15, 17 DSGVO | bei Modellverarbeitung praktisch schwer umsetzbar |
Bei besonderen Datenkategorien nach Art. 9 und bei Berufsgeheimnissen reicht die Auftragsverarbeitung nicht aus — hier braucht es zusätzliche Maßnahmen oder eine andere Lösung. Die Betroffenenrechte auf Auskunft und Löschung sind ein bekanntes, ungelöstes Spannungsfeld, weil sich eine einzelne Eingabe aus einem Modell nicht gezielt „löschen” lässt.
Die stille Alternative: Verarbeitung in Europa
Wo diese Grenzen greifen, führt der Weg oft zu einem europäischen Anbieter oder einem lokal betriebenen Modell. Die Verarbeitung bleibt dann im eigenen Rechtsraum, und der Drittlandtransfer entfällt als Streitpunkt. Was das technisch bedeutet, steht unter DSGVO-konforme KI.
Der praktische Weg
Für die meisten Unternehmen funktioniert diese Reihenfolge — sie deckt den Normalfall ab und lässt Raum für die Ausnahmen.
Vier Schritte
- Geschäftstarif mit Auftragsverarbeitungsvertrag beschaffen.
- In der Nutzungsrichtlinie festlegen, welche Daten hinein dürfen — und welche ausdrücklich nicht.
- Beschäftigte schulen, warum die Grenze genau dort verläuft.
- Für besonders sensible Vorgänge eine Alternative bereitstellen: europäischer Anbieter oder lokales Modell.
Warum Punkt vier entscheidet
Punkt 4 ist der, der am häufigsten fehlt — und der Grund, warum Beschäftigte sich sonst über die Regeln hinwegsetzen. Wer kein zulässiges Werkzeug für den sensiblen Fall bekommt, nimmt das unzulässige, weil die Arbeit trotzdem erledigt werden muss. Ein Verbot ohne Alternative erzeugt Schatten-IT statt Sicherheit.
Wo bei Ihnen die Grenze verlaufen sollte und welche Alternative den sensiblen Fall abdeckt, lässt sich im Erstgespräch konkret klären.
Quellen: Verordnung (EU) 2016/679 (EUR-Lex) · Bundesbeauftragter für den Datenschutz (BfDI) · OpenAI-Dokumentation