TL;DR: Sobald personenbezogene Daten – etwa Namen, E-Mail-Adressen oder Kundennummern – in ein KI-Tool wie ChatGPT eingegeben werden, greift die DSGVO vollständig. Als Praxisregel gilt: grundsätzlich keine personenbezogenen Daten in KI-Tools eingeben, es sei denn, Rechtsgrundlage, Auftragsverarbeitungsvertrag und Datenminimierung sind sichergestellt.
- Schon die Eingabe eines Kundennamens in ChatGPT zur Formulierung einer E-Mail ist eine Datenverarbeitung im Sinne der DSGVO.
- Ein Auftragsverarbeitungsvertrag (AVV) ist bei personenbezogenen Daten zwingend erforderlich – OpenAI bietet ihn für Team-, Enterprise- und API-Nutzung an, nicht automatisch für die private/kostenlose Version.
- Seit dem 2. Februar 2025 gilt zusätzlich die KI-Kompetenz-Schulungspflicht nach Art. 4 EU AI Act für jedes Unternehmen, das KI einsetzt.
- Eine der grössten praktischen Gefahren ist "Schatten-KI" – unkontrollierte, private Nutzung von KI-Tools durch Mitarbeitende ohne offizielle Freigabe.
Warum die DSGVO bei KI-Tools überhaupt greift
Viele unterschätzen, wie schnell die DSGVO bei der Nutzung von KI-Tools relevant wird: Sobald personenbezogene Daten – Namen, E-Mail-Adressen, Kundennummern oder ähnliche Informationen – in ein Tool wie ChatGPT fliessen, findet eine Datenverarbeitung im Sinne der DSGVO statt. Das betrifft nicht nur offensichtliche Fälle wie das Hochladen einer Kundendatenbank, sondern auch scheinbar harmlose Alltagsnutzung: Gibt ein Mitarbeitender den Namen eines Kunden in ChatGPT ein, um eine E-Mail formulieren zu lassen, ist das bereits eine relevante Datenverarbeitung.
Die einfachste Praxisregel: keine personenbezogenen Daten eingeben
Für den Alltag empfehlen Fachleute eine klare Grundregel: Unternehmen sollten grundsätzlich keine personenbezogenen Daten in KI-Tools wie ChatGPT eingeben, wenn es sich vermeiden lässt. Anonymisierte oder pseudonymisierte Beispiele, generische Formulierungen oder Platzhalter statt echter Namen erfüllen in vielen Fällen denselben Zweck, ohne datenschutzrechtliche Risiken einzugehen.
Wenn personenbezogene Daten doch nötig sind
Manchmal lässt sich die Verarbeitung personenbezogener Daten nicht vermeiden, etwa bei KI-gestützter Analyse von Kundenanfragen. In diesem Fall müssen drei Voraussetzungen erfüllt sein: eine Rechtsgrundlage nach Artikel 6 DSGVO (z. B. berechtigtes Interesse oder Einwilligung), ein bestehender Auftragsverarbeitungsvertrag (AVV) mit dem KI-Anbieter, sowie eine Beschränkung der verarbeiteten Daten auf das tatsächlich Nötige (Datenminimierung).
Der Auftragsverarbeitungsvertrag: nicht automatisch vorhanden
Ein zentraler, oft übersehener Punkt: Sobald ein Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeitet, verlangt das Datenschutzrecht einen schriftlichen Auftragsverarbeitungsvertrag. OpenAI stellt einen solchen AVV für Team-, Enterprise- und API-Nutzung bereit – er gilt aber nicht automatisch, sondern muss aktiv abgeschlossen werden, und ist bei der kostenlosen oder privaten Nutzung von ChatGPT in aller Regel nicht vorgesehen. Wer ein KI-Tool geschäftlich mit personenbezogenen Daten einsetzt, sollte deshalb gezielt prüfen, ob und wie ein AVV mit dem jeweiligen Anbieter abgeschlossen werden kann.
Die Gefahr der "Schatten-KI"
Eine der grössten praktischen Herausforderungen ist nicht die offiziell eingeführte KI-Nutzung, sondern die unkontrollierte private Nutzung durch Mitarbeitende – häufig als "Schatten-KI" bezeichnet. Wenn Angestellte auf eigene Faust Kundendaten in private ChatGPT-Accounts eingeben, weil es "schneller geht", entstehen Datenschutzrisiken, die dem Unternehmen oft gar nicht bekannt sind. Eine klare, kommunizierte KI-Richtlinie mit freigegebenen, datenschutzkonform eingerichteten Tools ist der wirksamste Weg, dieses Risiko zu reduzieren.
Zusätzliche Pflicht: KI-Kompetenz nach EU AI Act
Ergänzend zum reinen Datenschutzrecht verpflichtet Artikel 4 des EU AI Act seit dem 2. Februar 2025 jedes Unternehmen, das KI einsetzt, zur Sicherstellung ausreichender KI-Kompetenz bei den eigenen Mitarbeitenden (mehr dazu in unserem Beitrag "KI-Kompetenz vermitteln"). Diese Schulungspflicht und die datenschutzrechtlichen Anforderungen ergänzen sich in der Praxis: Wer Mitarbeitende zu Datenschutzrisiken im Umgang mit KI schult, erfüllt gleichzeitig einen Teil dieser gesetzlichen Kompetenzpflicht.
Do's und Don'ts im Überblick
| Situation | Empfehlung |
|---|---|
| Kundenname für E-Mail-Entwurf nötig | Platzhalter statt echtem Namen verwenden |
| Kundendaten sollen analysiert werden | Nur mit AVV, Rechtsgrundlage und Datenminimierung |
| Geschäftliche KI-Nutzung geplant | Team-/Enterprise-/API-Version mit AVV statt privater Version |
| Mitarbeitende nutzen private ChatGPT-Accounts für Arbeit | Klare KI-Richtlinie einführen, freigegebene Tools bereitstellen |
| Unsicherheit über Rechtsgrundlage | Datenschutzbeauftragte:n oder Fachberatung einbeziehen |
Häufige Fragen (FAQ)
Ist die kostenlose Version von ChatGPT für den Geschäftsgebrauch geeignet? Für die Verarbeitung personenbezogener Daten in der Regel nicht, da hier üblicherweise kein Auftragsverarbeitungsvertrag vorgesehen ist. Für rein geschäftliche Zwecke ohne personenbezogene Daten kann sie eingeschränkt genutzt werden.
Reicht eine mündliche Anweisung, keine Kundendaten einzugeben? Nicht wirklich – ohne dokumentierte, verbindliche KI-Richtlinie und geeignete freigegebene Tools bleibt das Risiko einer unkontrollierten "Schatten-KI"-Nutzung hoch.
Gilt die DSGVO auch bei rein internen Texten ohne Kundenbezug? Wenn keine personenbezogenen Daten (auch nicht von Mitarbeitenden) enthalten sind, ist die DSGVO in der Regel nicht einschlägig. Sobald aber etwa Namen von Kolleginnen oder Kollegen auftauchen, gilt dieselbe Vorsicht wie bei Kundendaten.
Fazit
KI-Tools und Datenschutz schliessen sich nicht aus, erfordern aber bewusste Vorkehrungen: grundsätzlich keine personenbezogenen Daten ohne Not eingeben, bei Bedarf auf Geschäftsversionen mit Auftragsverarbeitungsvertrag setzen, und eine klare KI-Richtlinie gegen unkontrollierte Schatten-KI-Nutzung etablieren. Wer diese Grundregeln beachtet, kann KI-Tools produktiv nutzen, ohne datenschutzrechtliche Risiken einzugehen.
Quellen
- [ChatGPT & Datenschutz — DSGVO-konform nutzen [2026] – externer-datenschutzbeauftragter-dresden.de](https://externer-datenschutzbeauftragter-dresden.de/datenschutz/chatgpt-datenschutz-unternehmen/)
- KI + Datenschutz 2026: ChatGPT, Claude & Co rechtssicher nutzen – easyRechtssicher
- DSGVO & KI: ChatGPT datenschutzkonform nutzen (2026) – next-levels.de
- KI und Datenschutz 2026 – ChatGPT DSGVO-konform nutzen – EbeneX
- KI und Datenschutz im Unternehmen – Was Sie 2026 beachten müssen – fraghugo.de
Hinweis: Dieser Beitrag bietet eine allgemeine Einordnung und ersetzt keine Rechtsberatung. Bei konkreten Fragen zum Datenschutz empfiehlt sich die Rücksprache mit einer Datenschutzbeauftragten oder einem Datenschutzbeauftragten.