ChatGPT und Datenschutz: KI-Tools am Arbeitsplatz datenschutzkonform nutzen

Eine Kundenbeschwerde schnell umformulieren, ein Protokoll zusammenfassen, eine Bewerbung bewerten: KI-Tools sparen im Arbeitsalltag viel Zeit. Beim Thema ChatGPT Datenschutz geht es deshalb nicht um ein Verbot, sondern um die Frage, welche Daten in welches Tool gelangen dürfen.

Dieser Beitrag zeigt, welche Risiken bestehen, was die DSGVO verlangt, worin sich die Versionen unterscheiden und mit welchen Regeln Beschäftigte KI datenschutzkonform nutzen.

Warum ist ChatGPT ein Datenschutzthema?

Jede Eingabe in ein KI-Tool wird an die Server des Anbieters übertragen und dort verarbeitet. Je nach Version und Einstellung speichert der Anbieter die Inhalte, lässt sie von Menschen prüfen oder nutzt sie, um seine Modelle zu verbessern. Enthält die Eingabe Namen, E-Mail-Adressen, Gesundheitsangaben oder Kundendaten, verarbeitet das Unternehmen damit personenbezogene Daten bei einem Dritten.

Hinzu kommen Geschäftsgeheimnisse wie Preiskalkulationen, Quellcode oder Strategiepapiere. Was einmal eingegeben wurde, lässt sich kaum zurückholen. Dass Aufsichtsbehörden genau hinsehen, zeigt das Bußgeld von 15 Millionen Euro, das die italienische Datenschutzbehörde Ende 2024 gegen OpenAI verhängt hat.

Was verlangt die DSGVO?

Sobald personenbezogene Daten im Spiel sind, gelten die üblichen Pflichten:

• Rechtsgrundlage: Für jede Verarbeitung braucht es eine Grundlage nach Art. 6 DSGVO, bei Gesundheitsdaten zusätzlich nach Art. 9 DSGVO.
• Auftragsverarbeitung: Verarbeitet der Anbieter Daten im Auftrag des Unternehmens, ist ein Vertrag nach Art. 28 DSGVO nötig.
• Drittlandtransfer: Viele Anbieter sitzen in den USA. Eine Übermittlung ist zulässig, wenn der Anbieter etwa unter dem EU-US Data Privacy Framework zertifiziert ist oder Standardvertragsklauseln greifen.
• Transparenz: Betroffene müssen erfahren, dass ihre Daten mit KI verarbeitet werden.
• Automatisierte Entscheidungen: Entscheidungen mit rechtlicher Wirkung, etwa über Bewerbungen, darf die KI nicht allein treffen (Art. 22 DSGVO).

Bei hohem Risiko, etwa im Personalbereich, ist zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO zu prüfen. Hinweise gibt die Orientierungshilfe zu KI der Datenschutzkonferenz.

Worin unterscheiden sich die Versionen?

Für die Frage, ob ein Tool KI datenschutzkonform eingesetzt werden kann, ist die Version oft wichtiger als der Anbieter:

Anbieter ändern Bedingungen und Einstellungen regelmäßig. Prüfen Sie deshalb vor der Freigabe die aktuellen Vertragsunterlagen und dokumentieren Sie das Ergebnis.

Wie steht es um Perplexity, Copilot und andere KI-Tools?

Für alle KI-Tools gelten dieselben Prüfpunkte wie beim Thema ChatGPT Datenschutz. Beim Thema Perplexity Datenschutz etwa ist entscheidend, ob Eingaben zur Verbesserung des Dienstes genutzt werden und ob eine Business-Version mit Vertrag genutzt wird. Microsoft 365 Copilot läuft bei Unternehmenskonten innerhalb der Microsoft-365-Umgebung des Unternehmens, die frei zugängliche Variante dagegen nicht.

Besondere Vorsicht ist bei Anbietern geboten, die Daten in Staaten ohne angemessenes Datenschutzniveau speichern. Vor dem chinesischen Dienst DeepSeek haben mehrere europäische Aufsichtsbehörden ausdrücklich gewarnt. Auch Browser-Erweiterungen und Übersetzungstools mit KI gehören auf die Prüfliste, weil sie oft unbemerkt Inhalte übertragen.

Welche 8 Regeln gelten im Arbeitsalltag?

Diese Regeln lassen sich in jeder Abteilung umsetzen:

1. Nur freigegebene Tools mit Unternehmenskonto nutzen, keine privaten Konten.
2. Keine personenbezogenen Daten eingeben, also keine Namen, Kontaktdaten, Personalnummern oder Gesundheitsangaben.
3. Keine Geschäftsgeheimnisse wie Preise, Verträge, Quellcode oder unveröffentlichte Zahlen.
4. Anonymisieren statt kopieren: „Kunde A“ statt Firmenname, Platzhalter statt echter Daten.
5. Training abschalten, wo die Einstellung verfügbar ist.
6. Ergebnisse prüfen: KI kann Fakten erfinden. Inhalte vor der Weitergabe kontrollieren.
7. Keine Entscheidungen über Menschen allein der KI überlassen.
8. Fehler melden: Wurden versehentlich sensible Daten eingegeben, sofort intern melden. Möglicherweise liegt eine Datenpanne vor.

Was müssen Unternehmen organisieren?

Damit diese Regeln im Alltag ankommen, braucht es eine schriftliche KI-Nutzungsrichtlinie mit einer Liste freigegebener Tools, klaren Zuständigkeiten und einem Ansprechpartner für Fragen. Freigaben werden mit der oder dem Datenschutzbeauftragten abgestimmt, gegebenenfalls auch mit dem Betriebsrat.

Seit Februar 2025 verlangt außerdem Art. 4 der KI-Verordnung, dass Beschäftigte, die mit KI arbeiten, über ausreichende KI-Kompetenz verfügen. Was das konkret bedeutet, erklären die Beiträge zum EU AI Act und zur KI-Schulungspflicht.

Wie unterstützt reteach dabei?

reteach ist eine deutsche Lernplattform (LMS) für den Mittelstand in der DACH-Region. Unternehmen erstellen, automatisieren und dokumentieren damit Pflichtschulungen, Unterweisungen und Onboarding revisionssicher. Zum Angebot gehören das reteach LMS, über 500 anpassbare E-Learning-Kurse, 150 Kurse als SCORM-Paket für bestehende Lernplattformen, davon 119 interaktiv, sowie reteach Phishing Awareness für automatisierte Phishing-Simulationen. reteach ist DSGVO-konform.

• Datenschutz bei KI: Der Kurs Datenschutz bei KI-Nutzung zeigt an Beispielen, welche Eingaben erlaubt sind und welche nicht.
• Praxis mit ChatGPT: Die ChatGPT-Schulung vermittelt gute Prompts und den sicheren Umgang mit Ergebnissen.
• Eigene Richtlinie ergänzen: Ihre KI-Nutzungsrichtlinie und die Liste freigegebener Tools fügen Sie direkt in den Kurs ein.
• Nachweis: Teilnahmen werden revisionssicher dokumentiert, etwa als Beleg für die KI-Kompetenz nach Art. 4 KI-Verordnung.

Fazit: KI nutzen, Daten schützen

ChatGPT und andere KI-Tools lassen sich datenschutzkonform einsetzen, wenn Unternehmen die richtigen Versionen freigeben und Beschäftigte wissen, was nicht in ein Eingabefeld gehört. Eine klare Richtlinie und regelmäßige Schulungen sind dafür der wirksamste Hebel.

Die nächsten Schritte:

1. Erfassen, welche KI-Tools im Unternehmen bereits genutzt werden.
2. Geeignete Business-Versionen prüfen, freigeben und Verträge abschließen.
3. Eine KI-Nutzungsrichtlinie veröffentlichen und alle Beschäftigten schulen.

Häufig gestellte Fragen