ChatGPT + DSGVO

ChatGPT Datenschutz: was vor der Nutzung mit Personendaten zu prüfen ist.

ChatGPT ist kein Verbotsthema, aber auch kein rechtsfreier Raum. Sobald Prompts, Dateien oder Outputs personenbezogene Daten enthalten, braucht es Zweck, Rechtsgrundlage, Transparenz, Sicherheit und klare Regeln.

Stand: 5. September 2026Offizielle Quellen zuerstKeine Rechtsberatung

Schnellprüfung

Privatkonto, Team/Enterprise oder API?

Die Datenschutzbewertung hängt stark vom Produkt und vom Vertrag ab. Ein privater Chat mit Verlauf und Memory ist anders zu behandeln als ein Unternehmensworkspace mit DPA, Rollen, SSO und No-Training-Zusage.

Kontext	Risiko	Was prüfen?
Privates ChatGPT	Trainingseinstellungen, Verlauf, Memory, Daten Dritter.	Keine Kundendaten, HR-Daten, Gesundheitsdaten oder fremden Dokumente eingeben.
Business / Enterprise	Vertrag, Subprozessoren, Rollen, Logs, Datenresidenz.	DPA/AVV, TOMs, Löschfristen, Admin-Kontrollen und interne Richtlinie.
API	Eigene Anwendung wird Verantwortlicher oder Auftragsverarbeiter.	Zwecke, Betroffeneninformation, Art. 28, Sicherheit, DSFA bei hohem Risiko.

Offizielle Quellen: DSGVO, EU AI Act, DSK, BfDI und Anbieter-Hilfeseiten. Für verbindliche Entscheidungen fachlich prüfen lassen.

Praxis

Vier Einstellungen und Dokumente, die zuerst geklärt werden.

Training

ChatGPT → Einstellungen → Datenkontrollen → Modellverbesserung prüfen

Für private Konten Opt-out setzen; für Unternehmen No-Training vertraglich prüfen.

Memory

Einstellungen → Personalisierung → Memory verwalten

Memory kann personenbezogene Fakten dauerhaft speichern. Sensible Merkmale gehören dort nicht hinein.

Datenklassen

Öffentlich / intern / vertraulich / Art. 9 / HR / Kinder

Definieren Sie Beispiele, die Mitarbeitende verstehen: was darf rein, was nie.

Nachweis

AVV, TOMs, Subprozessoren, Löschung, Rollen, Protokolle

Ohne Nachweise ist das Tool für sensible Unternehmensdaten nicht freigabefähig.

Umsetzung

So wird aus Datenschutz-Text eine echte Entscheidungsvorlage.

Gute KI-Datenschutzseiten müssen nicht nur warnen. Sie müssen zeigen, welche Entscheidung heute getroffen werden kann, welche Nachweise fehlen und wann ein Projekt gestoppt werden sollte.

1. Zweck notieren

Beschreiben Sie den konkreten KI-Einsatz in einem Satz: Wer nutzt welches Tool, mit welchen Daten, für welchen Zweck und mit welcher Wirkung auf Personen?

2. Daten minimieren

Entfernen Sie Namen, Kundennummern, Gesundheitsdaten, Bewerbungsdetails, Schülerdaten und interne Geheimnisse, sofern sie für das Ergebnis nicht zwingend nötig sind.

3. Anbieter prüfen

Prüfen Sie Training, Speicherung, Region, Unterauftragnehmer, AVV/DPA, Löschfristen, Rollen, Protokolle und Export. Marketingaussagen reichen nicht.

4. Risiko entscheiden

Bei HR, Schule, Gesundheit, Scoring, Überwachung, Kindern oder besonderer Datenkategorie: Datenschutzbeauftragte einbinden und DSFA-Frage dokumentieren.

Praxisregel: Je konkreter eine Seite Klickpfade, Prüffragen, Datenklassen und Beispiele liefert, desto eher erfüllt sie Suchintentionen wie „ChatGPT Datenschutz“, „KI Training deaktivieren“ oder „DSGVO-konforme KI Tools“.

Entscheidungsmatrix

Wann ein KI-Tool freigegeben, begrenzt oder blockiert werden sollte.

Viele Organisationen scheitern nicht an der juristischen Theorie, sondern an schwammigen Alltagsregeln. Die folgende Matrix übersetzt Datenschutzanforderungen in Entscheidungen, die Teams wirklich nutzen können.

Signal	Freigabe möglich	Nur begrenzt	Stoppsignal
Datenart	Öffentliche oder synthetische Inhalte ohne Personenbezug.	Interne Texte mit geringem Personenbezug, wenn Tool und Vertrag geprüft sind.	Gesundheitsdaten, Kinder, HR-Entscheidungen, Scoring, Geheimnisse oder Mandantendaten.
Training	Vertragliche No-Training-Zusage oder klare deaktivierte Trainingsnutzung.	Opt-out nur als Nutzereinstellung; regelmäßige Kontrolle nötig.	Unklare Modellverbesserung, keine Angaben zu Feedback, Dateien oder Logs.
Kontrolle	SSO, Rollen, Auditlog, Löschung, Export, Workspace-Policies.	Einzelkonten mit dokumentierter Anleitung und Datenklassenregeln.	Private Accounts für Kunden-, Patienten-, Schüler- oder Bewerbungsdaten.
Betroffenenwirkung	Reine Textentwürfe ohne automatische Entscheidung.	Vorschläge mit menschlicher Prüfung und klarer Kennzeichnung.	Automatisierte Ablehnung, Ranking, Überwachung oder Profilbildung ohne Prüfung.

Beispiele

Formulierungen, die in Richtlinien und Checklisten helfen.

Erlaubt

„Du darfst öffentliche Produkttexte, anonymisierte Beispiele und interne Entwürfe ohne Personenbezug in freigegebene KI-Tools eingeben.“

Nur nach Freigabe

„Kundendaten, Vertragsauszüge, Supportfälle und HR-Dokumente dürfen nur in Tools mit AVV, No-Training-Zusage, Rollen und Löschkonzept verarbeitet werden.“

Verboten

„Gesundheitsdaten, Passwörter, private Nachrichten, Bewerbungsbewertungen, Kinder- oder Schülerdaten und Geschäftsgeheimnisse gehören nicht in öffentliche KI-Konten.“

Dokumentieren

„Wenn KI eine Entscheidung über Menschen vorbereitet, muss der Zweck, die Datenquelle, die menschliche Prüfung und die Rechtsgrundlage dokumentiert werden.“