„Wir nutzen doch schon ChatGPT“ hören wir häufig, wenn wir mit Geschäftsführern über KI-Einführung sprechen. Die Frage, die selten mitgedacht wird: welche Version, mit welchem Konto, und was passiert eigentlich mit den eingegebenen Daten? Genau hier liegt das eigentliche Risiko — nicht in der Technologie selbst, sondern in der unkontrollierten, privaten Nutzung im dienstlichen Kontext.
Inhaltsverzeichnis
- Warum die kostenlose ChatGPT-Version datenschutzrechtlich riskant ist
- Was die DSGVO konkret verlangt
- Free-Version vs. Business-Version vs. EU-Plattform
- Kriterien für eine DSGVO-konforme KI-Plattform
- Was Sie niemals in ein KI-Tool eingeben sollten
- Auftragsverarbeitungsvertrag: Warum er entscheidend ist
- Eine Plattform statt vieler Einzeltools
- Häufige Fehler
- Fazit
- Häufige Fragen
Warum die kostenlose ChatGPT-Version datenschutzrechtlich riskant ist
Bei der kostenlosen und der Plus-Version von ChatGPT gilt standardmäßig: Eingaben können zum Training zukünftiger Modelle verwendet werden, sofern diese Funktion nicht aktiv deaktiviert wird. Der Serverstandort liegt bei OpenAI außerhalb der EU. Für private Nutzung mag das unproblematisch sein — sobald aber Kundendaten, Mitarbeiterdaten oder Geschäftsgeheimnisse eingegeben werden, wird daraus datenschutzrechtlich schnell eine unkontrollierte Datenweitergabe an ein Drittland ohne die notwendige vertragliche Grundlage.
Das eigentliche Problem ist selten das Tool an sich — sondern dass Mitarbeitende in Ermangelung einer offiziellen Alternative private Accounts für dienstliche Aufgaben nutzen. Diese Schatten-IT entzieht sich jeder Kontrolle durch die Geschäftsführung.
Was die DSGVO konkret verlangt
Art. 32 DSGVO verlangt „geeignete technische und organisatorische Maßnahmen“, um ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten sicherzustellen. Werden personenbezogene Daten — etwa Namen, E-Mail-Adressen oder Kundendaten in einem Anschreiben — an ein KI-Tool übermittelt, handelt es sich um eine Verarbeitung, die entweder über einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO) mit dem Anbieter abgesichert sein muss, oder gar nicht erst stattfinden sollte, wenn diese Grundlage fehlt.
Zusätzlich verlangt Art. 5 DSGVO Datenminimierung: Es sollten nur die Daten in ein Tool eingegeben werden, die für den konkreten Zweck tatsächlich erforderlich sind — nicht ganze Dokumente, wenn ein anonymisierter Ausschnitt reicht.
Free-Version vs. Business-Version vs. EU-Plattform
| Kriterium | ChatGPT Free/Plus (privat) | ChatGPT Team/Enterprise | EU-Plattform (z. B. Langdock) |
|---|---|---|---|
| Training mit Ihren Daten | Standardmäßig möglich, muss aktiv deaktiviert werden | Vertraglich ausgeschlossen | Vertraglich ausgeschlossen |
| Serverstandort | USA | Konfigurierbar, meist USA | EU (je nach Anbieter) |
| Auftragsverarbeitungsvertrag | Nicht vorgesehen für Privatkonten | Verfügbar | Verfügbar |
| Zentrale Verwaltung | Nein — jede Person hat ihr eigenes Konto | Teilweise | Ja — Rechte, Zugriffe, Kosten zentral steuerbar |
| Modellauswahl | Nur GPT-Modelle | Nur GPT-Modelle | Mehrere Anbieter (GPT, Claude, Gemini, Mistral) in einer Oberfläche |
Kriterien für eine DSGVO-konforme KI-Plattform
Checkliste: Worauf Sie bei der Auswahl achten sollten
Was Sie niemals in ein ungeprüftes KI-Tool eingeben sollten
- Namen, Adressen oder E-Mails von Kunden und Mitarbeitenden ohne AVV mit dem Anbieter
- Vertragsentwürfe mit Preisen, Konditionen oder Geschäftsgeheimnissen
- Gesundheitsdaten, Bewerbungsunterlagen oder andere besonders schützenswerte Daten (Art. 9 DSGVO)
- Interne Kalkulationen, Strategiepapiere oder unveröffentlichte Finanzzahlen
- Zugangsdaten, API-Schlüssel oder andere Sicherheitsinformationen
Auftragsverarbeitungsvertrag: Warum er entscheidend ist
Ein Auftragsverarbeitungsvertrag (AVV) regelt, dass der KI-Anbieter Ihre Daten ausschließlich nach Ihren Weisungen verarbeitet und nicht für eigene Zwecke — etwa Modelltraining — nutzt. Ohne AVV gibt es keine belastbare Rechtsgrundlage für die Verarbeitung personenbezogener Daten über ein KI-Tool. Bei privaten Consumer-Accounts wird ein solcher Vertrag in aller Regel nicht angeboten — ein starkes Argument dafür, im Unternehmen ausschließlich über offizielle Business- oder Plattform-Zugänge zu arbeiten.
„Keine Datenschutz-Grauzone: Ihre Daten bleiben in der EU. Genau deshalb setzen wir bei unseren Kunden auf eine zentrale, zertifizierte Plattform statt auf einzelne, unkontrollierte KI-Accounts.“
Eine Plattform statt vieler Einzeltools
Statt für jedes Modell einzeln zu prüfen, ob ein AVV existiert, setzen wir bei unseren Kunden auf Langdock — eine kollaborative KI-Plattform, die über 40 Modelle (Claude, GPT, Gemini, Mistral) in einer Oberfläche bündelt. Server in der EU, ISO 27001- und SOC 2-zertifiziert, mit zentraler Verwaltung von Rechten, Zugriffen und Kosten. Das beseitigt den häufigsten Grund für Schatten-IT: Es gibt keinen Bedarf mehr, auf private Accounts auszuweichen, weil die offizielle Plattform alles bietet, was Mitarbeitende sonst privat suchen würden. Einen ausführlichen Vergleich weiterer Plattformen finden Sie in unserem Beitrag KI für Unternehmen: Die wichtigsten Plattformen im Vergleich.
Häufige Fehler
- Verbot ohne Alternative: Wer KI-Tools pauschal verbietet, ohne eine praktikable Alternative bereitzustellen, verlagert die Nutzung nur ins Verborgene.
- Einmalige Prüfung reicht: Anbieter ändern Nutzungsbedingungen regelmäßig — eine einmalige Freigabe ersetzt keine laufende Kontrolle.
- Nur die Business-Version prüfen, aber Free-Nutzung ignorieren: Ohne technische Sperren nutzen Mitarbeitende parallel weiterhin private Zugänge.
- Kein AVV eingesehen: Die reine Zusicherung „wir sind DSGVO-konform“ auf einer Anbieter-Website ersetzt keinen unterschriebenen Vertrag.
Fazit: Nicht das Tool ist das Problem — die Kontrolle fehlt
ChatGPT und vergleichbare Modelle lassen sich datenschutzkonform im Unternehmen einsetzen — vorausgesetzt, es gibt eine zentrale, vertraglich abgesicherte Plattform statt privater Einzelkonten. Der wichtigste Schritt ist selten technischer Natur, sondern organisatorisch: Mitarbeitende brauchen eine offizielle, gute Alternative, damit private Accounts überflüssig werden.
Im HÖLL KI-Trainingsprogramm richten wir genau diese DSGVO-konforme Arbeitsumgebung für Ihr Unternehmen ein — inklusive Schulung, damit Ihr Team weiß, was in welches Tool darf.
Häufige Fragen zu ChatGPT und DSGVO
Ist ChatGPT grundsätzlich DSGVO-widrig?
Nein. Problematisch ist meist nicht das Modell selbst, sondern die Nutzung über private Consumer-Accounts ohne Auftragsverarbeitungsvertrag. Mit einer Business-Version oder einer EU-Plattform mit AVV lässt sich ChatGPT datenschutzkonform einsetzen.
Dürfen wir Kundendaten in ChatGPT eingeben?
Nur, wenn ein Auftragsverarbeitungsvertrag mit dem Anbieter besteht und die übrigen DSGVO-Anforderungen (etwa Datenminimierung) eingehalten werden. Ohne diese Grundlage sollten personenbezogene Kundendaten nicht eingegeben werden.
Was ist der Unterschied zwischen ChatGPT und einer Plattform wie Langdock?
Langdock bündelt mehrere KI-Modelle (u. a. GPT, Claude, Gemini) in einer zentral verwaltbaren, DSGVO-konformen Oberfläche mit EU-Serverstandort und Zertifizierungen nach ISO 27001 und SOC 2 — statt vieler einzelner, schwer kontrollierbarer Tool-Zugänge.
Reicht es, KI-Tools im Unternehmen einfach zu verbieten?
In der Praxis selten. Ein Verbot ohne offizielle Alternative führt meist dazu, dass Mitarbeitende weiterhin private Accounts nutzen — nur ohne Kontrolle der Geschäftsführung. Eine freigegebene Plattform mit klarer Richtlinie ist wirksamer.
