Darf ich ChatGPT in meinem Unternehmen nutzen?

Ja, aber nur unter bestimmten Voraussetzungen. Du benötigst einen gültigen Auftragsverarbeitungsvertrag mit OpenAI, darfst keine sensiblen personenbezogenen Daten ohne Rechtsgrundlage eingeben und solltest eine interne Nutzungsrichtlinie eingeführt haben. Ohne diese Grundlagen riskierst du Bußgelder nach Art. 83 DSGVO.

Ist die ChatGPT-API DSGVO-konformer als das Webinterface?

Die API bietet mehr Kontrolle: OpenAI verarbeitet Eingaben über die API standardmäßig nicht für das Training des Modells, sofern du dem nicht aktiv zustimmst. Außerdem lässt sich ein AVV abschließen, was über das normale Webinterface für Verbraucher nicht vorgesehen ist. Für den Unternehmenseinsatz ist die API daher der deutlich sicherere Weg.

Was passiert, wenn meine Mitarbeiter Kundendaten in ChatGPT eingeben?

Dann liegt sehr wahrscheinlich ein Datenschutzverstoß vor, wenn dafür keine Rechtsgrundlage und kein AVV existieren. Als Verantwortlicher haftest du dafür – nicht OpenAI. Dieses Szenario entsteht in der Praxis häufig ungeplant, weil klare Mitarbeiterrichtlinien fehlen.

Müssen wir eine Datenschutzfolgenabschätzung durchführen?

In vielen Fällen ja. Wenn du ChatGPT systematisch zur Verarbeitung personenbezogener Daten einsetzt – etwa für Kundenkommunikation oder Personalentscheidungen –, ist eine Datenschutzfolgenabschätzung (DSFA) nach Art. 35 DSGVO sehr wahrscheinlich erforderlich. Deine zuständige Landesdatenschutzbehörde veröffentlicht Listen mit Verarbeitungstätigkeiten, für die eine DSFA Pflicht ist.

Ist ChatGPT DSGVO-konform? Die ehrliche Antwort

Du nutzt ChatGPT im Büroalltag – oder dein Team tut es bereits, ohne dass du es offiziell freigegeben hast.

Beides ist in deutschen KMU längst Realität. Und genau deshalb ist die Frage nach der DSGVO-Konformität keine theoretische Übung, sondern eine handfeste Haftungsfrage. Denn als Unternehmen bist du datenschutzrechtlich verantwortlich – unabhängig davon, welches Tool deine Mitarbeiter gerade aufgerufen haben.

Ist ChatGPT DSGVO-konform? Die direkte Antwort

ChatGPT ist nicht von Haus aus DSGVO-konform, kann es aber unter bestimmten Bedingungen sein. Entscheidend ist, wie du das Tool einsetzt. Wer über die API arbeitet, einen Auftragsverarbeitungsvertrag mit OpenAI abschließt, keine sensiblen Daten ohne Rechtsgrundlage eingibt und eine DSFA durchgeführt hat, bewegt sich auf rechtlich vertretbarem Terrain. Wer das Webinterface ohne AVV für Unternehmensaufgaben nutzt, verstößt in den meisten Szenarien gegen die DSGVO.

Was die DSGVO konkret verlangt – und wo ChatGPT Reibung erzeugt

Die DSGVO regelt in Art. 28, dass du als Unternehmen für jeden Dienstleister, der in deinem Auftrag personenbezogene Daten verarbeitet, einen Auftragsverarbeitungsvertrag abschließen musst. ChatGPT ist ein solcher Dienstleister, sobald du personenbezogene Daten – Namen, E-Mail-Adressen, Kundenbeschreibungen, Bewerbungsunterlagen – in die Eingabemaske tippst.

Kriterium	ChatGPT Webinterface (Verbraucher)	ChatGPT API / Enterprise
AVV abschließbar	Nein	Ja
Daten für Modelltraining genutzt	Standardmäßig ja (opt-out möglich)	Standardmäßig nein
Serverstandort kontrollierbar	Eingeschränkt	Teilweise (Unternehmensverträge)
Geeignet für Unternehmensdaten	Nein, ohne zusätzliche Maßnahmen	Bedingt ja, mit AVV und Richtlinien
DSFA erforderlich	Sehr wahrscheinlich	Sehr wahrscheinlich

Quellen: Datenschutzkonferenz (DSK), Orientierungshilfe KI und Datenschutz (2024); DSGVO Art. 28, 35 (EUR-Lex); LfDI Baden-Württemberg, Positionspapier zu ChatGPT (2023)

Hinzu kommt der EU AI Act (Verordnung (EU) 2024/1689), der seit 2025 schrittweise anwendbar ist. ChatGPT gilt als KI-System der allgemeinen Verwendung (GPAI). Das bedeutet zusätzliche Transparenz- und Dokumentationspflichten – auch für dich als Anwender in bestimmten Kontexten.

Ein weiterer Punkt, den viele unterschätzen: OpenAI ist ein US-amerikanisches Unternehmen. Datenübertragungen in die USA unterliegen den Anforderungen von Kapitel V DSGVO. OpenAI beruft sich dabei auf die Standardvertragsklauseln (SCCs) der EU-Kommission. Ob diese im Einzelfall eine ausreichende Garantie darstellen, hängt von deiner konkreten Verarbeitung ab – und ist ein Punkt, den du in deiner DSFA ausdrücklich adressieren musst. Hinzu kommt, dass US-Unternehmen dem CLOUD Act unterliegen, der US-Behörden unter bestimmten Voraussetzungen Zugriff auf Daten ermöglichen kann, die auf Servern amerikanischer Anbieter gespeichert sind – unabhängig vom physischen Serverstandort.

Praxisbeispiel

Steuerberatungskanzlei · 8 Mitarbeiter

Eine kleine Steuerberatungskanzlei nutzt ChatGPT, um Mandantenkorrespondenz schneller zu formulieren. Ein Mitarbeiter kopiert routinemäßig Textpassagen aus Steuerbescheiden – inklusive Name, Steuernummer und finanzieller Situation des Mandanten – in das Webinterface.

Das Problem: Es gibt keinen AVV mit OpenAI, keine interne Nutzungsrichtlinie und keine Information an die Mandanten. Damit fehlt sowohl die vertragliche Grundlage nach Art. 28 DSGVO als auch eine Rechtsgrundlage für die Weitergabe von Daten, die im Kontext des Steuerberatungsverhältnisses als besonders schutzbedürftig einzustufen sind.

Was die Kanzlei in diesem Szenario bräuchte: Umstieg auf die ChatGPT API mit abgeschlossenem AVV, Pseudonymisierung aller Eingaben (keine echten Namen oder Identifikationsnummern), eine schriftliche Mitarbeiterrichtlinie zur KI-Nutzung sowie eine geprüfte DSFA. Alternativ bieten sich europäische oder lokal betreibbare Sprachmodell-Lösungen an, bei denen Serverstandort und KI-Verarbeitung vollständig in der EU liegen und ein AVV ohne CLOUD-Act-Risiko abgeschlossen werden kann – zu prüfen sind dabei stets: EU-Serverstandort, Ort der KI-Verarbeitung und Verfügbarkeit eines AVV.

Das sagt Olga Reyes-Busch

“Viele KMU denken, Datenschutz bei KI sei ein Thema für Konzerne mit Rechtsabteilung. Das ist ein teurer Irrtum. Die DSGVO macht keinen Unterschied zwischen zehn und tausend Mitarbeitern – die Pflichten sind dieselben. Der Unterschied ist nur, dass du als kleines Unternehmen bei einem Verstoß oft weniger Puffer hast, um den Schaden aufzufangen.”

— Olga Reyes-Busch, KI-Expertin für KMU · HeadUpHigh GmbH

In 5 Schritten zum DSGVO-konformen ChatGPT-Einsatz

Bestandsaufnahme machen: Kläre zunächst, wer in deinem Unternehmen ChatGPT bereits nutzt, auf welchem Weg (Webinterface oder API) und für welche Aufgaben. Viele Risiken entstehen im Verborgenen, weil kein offizielles Freigabeverfahren existiert.
AVV mit OpenAI abschließen: Wechsle auf die ChatGPT API oder ein Enterprise-Produkt und schließe einen Auftragsverarbeitungsvertrag ab. Ohne diesen Vertrag darfst du keine personenbezogenen Daten verarbeiten lassen – das ist keine Ermessensfrage, sondern Art. 28 DSGVO. Prüfe dabei auch, ob die Datenübertragung in die USA auf Basis der aktuellen Standardvertragsklauseln für deinen Anwendungsfall tragfähig ist, und dokumentiere diese Prüfung.
Interne Nutzungsrichtlinie einführen: Lege schriftlich fest, welche Daten in ChatGPT eingegeben werden dürfen und welche nicht. Personenbezogene Daten von Kunden, Mitarbeitern oder Bewerbern gehören grundsätzlich pseudonymisiert – oder gar nicht hinein.
Datenschutzfolgenabschätzung durchführen: Prüfe anhand der Listen deiner zuständigen Landesdatenschutzbehörde (z. B. LfDI Baden-Württemberg, BayLDA, Berliner Beauftragter für Datenschutz), ob für deinen Anwendungsfall eine DSFA nach Art. 35 DSGVO Pflicht ist. Im Zweifel ist sie es.
Mitarbeiter schulen und Dokumentation laufend pflegen: Eine einmalige Richtlinie reicht nicht. Führe regelmäßige Schulungen durch, dokumentiere Änderungen in deinem Verfahrensverzeichnis und passe deine Maßnahmen an, wenn sich die Funktionen von ChatGPT oder die Rechtslage ändern. Der EU AI Act wird hier in den nächsten Jahren weiteren Anpassungsbedarf erzeugen.

So bringt dich HeadUpHigh weiter

Wenn du und dein Team den DSGVO-konformen KI-Einsatz nicht nur verstehen, sondern im Alltag sicher anwenden wollt, lohnt sich eine strukturierte Grundlage. In der Online-Schulung von HeadUpHigh lernst du, wie du ChatGPT und andere KI-Tools rechtssicher in deinen Arbeitsablauf integrierst – praxisnah und direkt auf KMU zugeschnitten.

Zuletzt geprüft

Dieser Artikel wurde am 20. Juli 2026 aktualisiert.

Sonnige Grüße, Olga

Fragen? Einfach melden — oder direkt ein kurzes Gespräch buchen.

Kurzes Gespräch buchen →