ChatGPT und Datenschutz: was Unternehmen wirklich prüfen müssen.
Ob ChatGPT im Unternehmen datenschutzkonform genutzt werden kann, hängt weniger vom Werkzeug ab als von Tarif, Vertrag, Einstellungen und Regeln für Ihr Team. Dieser Ratgeber zeigt, was mit Ihren Eingaben passiert, welche Datenschutz-Einstellungen Sie setzen sollten und was Ihr Datenschutzbeauftragter prüft.
Stand: 5. November 2026 · Quellen: OpenAI · keine Rechtsberatung
Das Wichtigste in Kürze
- In den
privaten Tarifen (Free, Go, Plus, Pro) können Chats zum Training genutzt werden, bis Sie das abschalten. Für Firmendaten sind diese Tarife nicht gedacht: kein AVV, keine zentrale Verwaltung. Business, Enterprise und Edu nutzen Ihre Daten laut OpenAI standardmäßig nicht zum Training, und OpenAI bietet einen Auftragsverarbeitungsvertrag an.- Die DSGVO-Verantwortung bleibt bei Ihnen: Rechtsgrundlage, Übermittlung in die USA, Information der Betroffenen und oft eine Datenschutz-Folgenabschätzung.
- Am wirksamsten ist eine einfache
Ampel-Regel , welche Daten in welches Werkzeug dürfen. Für personenbezogene und vertrauliche Daten ist eine eigene KI-Plattform in Deutschland oder auf Ihren Servern die naheliegende Wahl.
Ist ChatGPT DSGVO-konform? Die ehrliche Antwort.
Die Frage „Ist ChatGPT DSGVO-konform?“ lässt sich nicht mit Ja oder Nein beantworten. Die DSGVO verpflichtet nicht das Werkzeug, sondern Ihr Unternehmen als Verantwortlichen. Ein KI-Dienst kann nur dann datenschutzkonform genutzt werden, wenn Vertrag, Einstellungen und Regeln stimmen.
Die deutschen Datenschutzaufsichtsbehörden haben dazu 2024 eine Orientierungshilfe zu KI und Datenschutz veröffentlicht. Ihre Kernpunkte: Einsatzzweck festlegen, keine personenbezogenen Daten ohne Rechtsgrundlage eingeben, Training mit Eingaben ausschließen, Beschäftigte schulen und verbindliche Regeln schaffen.
| Tarif | Training mit Eingaben | AVV | Verwaltung | Datenresidenz Europa |
|---|---|---|---|---|
| Free, Go, Plus, Pro (privat) | möglich, abschaltbar | nein | keine zentrale | nein |
| Business | standardmäßig nein | ja | Arbeitsbereich, Rollen, SSO | von OpenAI nicht genannt |
| Enterprise, Edu | standardmäßig nein | ja | + SSO, Aufbewahrung steuerbar | ja, für neue Arbeitsbereiche; Speicherung und GPU-Verarbeitung in Europa wählbar |
| API | standardmäßig nein | ja | Projekte, Schlüssel | ja, für neue Projekte |
Quellen: OpenAI, „Business data privacy, security, and compliance“ und „Data Controls FAQ“ (abgerufen am 5. November 2026); OpenAI, „Introducing data residency in Europe“ (aktualisiert 16. Januar 2026); OpenAI Help Center, „Data residency and inference residency for ChatGPT“ (abgerufen am 5. November 2026).
ChatGPT Datenschutz-Einstellungen: diese vier sollten Sie kennen.
Wer ChatGPT privat oder in einem Test nutzt, kann einiges selbst einstellen. Die Einstellungen ersetzen keinen Vertrag, verringern aber, was mit Ihren Eingaben passiert.
Training ausschalten
Profilbild › Einstellungen › Datenkontrollen › „Das Modell für alle verbessern“ aus. Gilt für das Konto und für neue Chats.
Temporären Chat nutzen
Temporäre Chats erscheinen nicht im Verlauf, werden nicht zum Training genutzt und laut OpenAI innerhalb von 30 Tagen gelöscht.
Erinnerungen prüfen
Mit der Erinnerungsfunktion merkt sich ChatGPT Angaben über Sie. Schalten Sie sie aus oder löschen Sie gespeicherte Erinnerungen.
Geteilte Links löschen
Geteilte Chats sind für jeden mit dem Link lesbar. Prüfen Sie regelmäßig, welche Links noch aktiv sind.
Gerichtliche Aufbewahrungspflichten können Löschungen verzögern: Wegen eines US-Gerichtsverfahrens musste OpenAI 2025 zeitweise auch gelöschte Chats aufbewahren; die Pflicht endete für neue Daten am 26. September 2025, mit Ausnahmen.
Welche Daten in ChatGPT dürfen: die Ampel-Regel.
Die meisten Datenschutzprobleme entstehen nicht durch den Anbieter, sondern durch Eingaben. Eine Ampel-Regel ist schnell erklärt und passt auf eine Seite Ihrer KI-Nutzungsrichtlinie.
| Ampel | Beispiele | Regel |
|---|---|---|
| Grün | Öffentliche Informationen, allgemeine Texte, Ideen ohne Firmenbezug | In jedem freigegebenen Werkzeug erlaubt |
| Gelb | Interne, nicht personenbezogene Inhalte: Entwürfe, Prozessbeschreibungen, Code ohne Geheimnisse | Nur im Firmentarif mit AVV, nie im privaten Konto |
| Rot | Personenbezogene Daten, Kunden- und Personaldaten, Gesundheitsdaten, Geschäftsgeheimnisse, Zugangsdaten | Nur nach Prüfung durch den Datenschutz, besser in einer eigenen Plattform in Deutschland oder auf Ihren Servern |
Was Ihr Datenschutzbeauftragter bei ChatGPT prüft.
Bevor ChatGPT im Unternehmen freigegeben wird, prüft der Datenschutz diese Punkte. Planen Sie dafür Zeit ein, denn sie hängen von Ihrem Einsatzzweck ab, nicht nur vom Anbieter.
Auftragsverarbeitung (AVV)
OpenAI bietet für Business, Enterprise, Edu und API einen AVV an. Prüfen Sie Vertragspartner, Weisungsrecht, Unterauftragsverarbeiter und Löschung.
Vertragspartner im EWR ist OpenAI Ireland, eine Tochter des US-Konzerns. Prüfen Sie die Grundlage der Übermittlung und den möglichen Zugriff von US-Behörden.
Der CLOUD Act →Rechtsgrundlage und Information
Für jede Verarbeitung personenbezogener Daten brauchen Sie eine Rechtsgrundlage und müssen Betroffene informieren, auch Beschäftigte.
Bei voraussichtlich hohem Risiko ist eine DSFA Pflicht. Bei neuen KI-Diensten ist das häufig der Fall.
DSFA-Muster →ChatGPT datenschutzgerecht einsetzen: was Sie selbst regeln müssen.
Kein Tarif macht die Nutzung von ChatGPT von sich aus DSGVO-konform. Vertretbar wird der Einsatz, wenn Ihr Unternehmen die folgenden sechs Punkte selbst regelt und schriftlich festhält. Die Unterlagen brauchen Sie ohnehin: Nach Art. 5 Abs. 2 DSGVO müssen Sie nachweisen können, dass Sie die Grundsätze einhalten.
Die Liste ergänzt die Prüfung durch Ihren Datenschutzbeauftragten, sie ersetzt sie nicht.
| Punkt | Was Sie regeln | Was Sie dokumentieren |
|---|---|---|
| Firmentarif mit AVV | Business, Enterprise oder Edu statt privater Konten. OpenAI unterstützt laut eigener Angabe den Abschluss eines Auftragsverarbeitungsvertrags (Data Processing Addendum). | Unterzeichneter AVV, Vertragspartner, Unterauftragsverarbeiter, Grundlage für Übermittlungen aus dem EWR |
| Personenbezogene Daten nur mit Rechtsgrundlage | Namen, Kunden-, Personal- oder Gesundheitsdaten gehören nur in Prompts, wenn für diesen Zweck eine Rechtsgrundlage nach Art. 6 DSGVO besteht, bei besonderen Kategorien zusätzlich nach Art. 9. Sonst anonymisieren oder weglassen. | Zweck und Rechtsgrundlage im Verzeichnis der Verarbeitungstätigkeiten, Information der Betroffenen |
| Training ausschließen | Mit Daten Ihrer Organisation trainiert OpenAI in den Firmentarifen laut eigener Angabe standardmäßig nicht. In privaten Konten muss jede Person „Das Modell für alle verbessern“ selbst ausschalten; auch deshalb sind sie für Firmendaten ungeeignet. | Stand der Admin-Einstellungen mit Datum der Prüfung |
| Aufbewahrung und Löschung | Legen Sie fest, wie lange Chats und hochgeladene Dateien gespeichert bleiben. Laut OpenAI können berechtigte Organisationen die Aufbewahrungsdauer einstellen; temporäre Chats werden innerhalb von 30 Tagen gelöscht. | Frist im Löschkonzept, Zuständigkeit für die Einstellung |
| Nutzungsrichtlinie für Beschäftigte | Welche Daten in welches Werkzeug dürfen (siehe Ampel-Regel), wer Zugang bekommt und wie Ergebnisse geprüft werden. Eine Vorlage erstellt die kostenlose KI-Nutzungsrichtlinie. | Bekanntgabe an alle Beschäftigten, Schulungsnachweise |
| Betriebsrat einbinden | Kann das Werkzeug Verhalten oder Leistung von Beschäftigten überwachen, etwa über Verläufe und Protokolle, hat ein vorhandener Betriebsrat in der Regel ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG). Einen Entwurf liefert das Muster für eine Betriebsvereinbarung KI. | Betriebsvereinbarung oder dokumentierte Zustimmung |
Angaben zu OpenAI laut OpenAI, „Business data privacy, security, and compliance“ und „Data Controls FAQ“ (abgerufen am 5. November 2026) sowie „Data Processing Addendum“ (aktualisiert am 1. Dezember 2025, gültig ab 1. Januar 2026). Keine Rechtsberatung: Die Bewertung im Einzelfall trifft Ihr Datenschutzbeauftragter.
KI-Einsatz nach DSGVO prüfen →ChatGPT-Alternative aus Deutschland →Personenbezogene Daten in KI-Systemen →KI und Datenschutz im Unternehmen →
Für vertrauliche Daten: eine eigene KI-Plattform.
Für die rote Kategorie, also Kunden-, Personal- und Vertragsdaten, ist ein öffentlicher KI-Chat selten die richtige Wahl. Mit RAGSuite fragt Ihr Team wie in ChatGPT, bekommt aber Antworten aus Ihren eigenen Dokumenten, mit Quelle zum Nachprüfen.
Sie betreiben RAGSuite in der RAGSuite Engine mit Rechenzentrum in Deutschland und AVV mit uns, oder kostenlos als Community Edition auf Ihren Servern. RAGSuite trainiert kein Modell mit Ihren Daten. Welches Sprachmodell antwortet, wählen Sie selbst, auch ein lokales; bei einem externen Modellanbieter gelten zusätzlich dessen Bedingungen.
Bevor Sie ChatGPT im Unternehmen freigeben.
Haken Sie ab, was erledigt ist. Nichts wird gespeichert.
Fragen zu ChatGPT und Datenschutz.
Ist ChatGPT DSGVO-konform?
Das lässt sich nicht pauschal sagen. Verantwortlich für die DSGVO ist Ihr Unternehmen, nicht das Werkzeug. Entscheidend sind der Tarif, ein Auftragsverarbeitungsvertrag, die Rechtsgrundlage, die Übermittlung in die USA, Informationspflichten und klare Regeln, welche Daten eingegeben werden dürfen. Private Tarife sind für Firmendaten nicht gedacht.
Kann man ChatGPT DSGVO-konform nutzen?
Ein vertretbarer Einsatz ist möglich, aber kein Automatismus und keine Eigenschaft des Tarifs. Dafür brauchen Sie einen Firmentarif mit AVV, geben personenbezogene Daten nur mit Rechtsgrundlage ein, schließen das Training mit Ihren Daten aus, legen Aufbewahrungsfristen fest, geben Beschäftigten eine Nutzungsrichtlinie und binden einen vorhandenen Betriebsrat ein. Die Verantwortung bleibt bei Ihrem Unternehmen.
Nutzt OpenAI meine Eingaben zum Training?
In Business, Enterprise, Edu und der API standardmäßig nicht, laut OpenAI. In den privaten Tarifen können Chats zum Training genutzt werden, bis Sie unter Einstellungen › Datenkontrollen „Das Modell für alle verbessern“ ausschalten.
Wie schalte ich das Training in ChatGPT aus?
Im Web: Profilbild › Einstellungen › Datenkontrollen › „Das Modell für alle verbessern“ ausschalten. In den Apps finden Sie dieselbe Einstellung über das Menü. Die Einstellung gilt für das Konto und für neue Chats.
Gibt es einen AVV mit OpenAI?
Ja, für Business, Enterprise, Edu und die API bietet OpenAI einen Auftragsverarbeitungsvertrag (Data Processing Addendum) an. Für private Tarife gibt es ihn nicht. Prüfen Sie im Vertrag Vertragspartner, Unterauftragsverarbeiter und die Grundlage für Übermittlungen in die USA.
Werden ChatGPT-Daten in Europa gespeichert?
Für neue Arbeitsbereiche in ChatGPT Enterprise und Edu sowie für API-Projekte bietet OpenAI Datenresidenz in Europa an. Berechtigte Enterprise- und Edu-Kunden können seit Januar 2026 zusätzlich die Verarbeitung auf GPUs in Europa wählen; Anmeldung, Routing und andere Verarbeitung können laut OpenAI weiter außerhalb der Region stattfinden. Für ChatGPT Business nennt OpenAI derzeit keine Datenresidenz. Vertragspartner im EWR ist OpenAI Ireland, eine Tochter des US-Konzerns; US-Recht kann deshalb weiter eine Rolle spielen.
Dürfen Mitarbeitende ChatGPT mit privaten Konten nutzen?
Für Firmendaten sollten Sie das ausschließen. Private Konten haben keinen AVV und keine zentrale Verwaltung. Besser ist ein erlaubtes Werkzeug mit klarer Nutzungsrichtlinie, sonst entsteht Schatten-KI.
Wann brauche ich eine Datenschutz-Folgenabschätzung?
Wenn die Verarbeitung voraussichtlich ein hohes Risiko für Betroffene hat, etwa bei vielen personenbezogenen Daten, sensiblen Daten oder Entscheidungen über Menschen. Bei neuen KI-Diensten kommt das oft vor. Ihr Datenschutzbeauftragter entscheidet.
KI für vertrauliche Daten, betrieben in Deutschland.
Jürgen zeigt Ihnen, wie Ihr Team mit eigenen Dokumenten arbeitet, ohne private KI-Konten und ohne Training mit Ihren Daten.