Auf dieser Seite
Kurz gesagt: Ja, aber nicht mit Kundendaten im kostenlosen Konto. Für den Betrieb brauchen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, eine schriftliche Regelung darüber, was hinein darf, und seit dem 2. Februar 2025 Maßnahmen nach Art. 4 KI-VO, die die KI-Kompetenz Ihrer Beschäftigten fördern, ohne garantiertes Niveau je Person; die Schulung wird dokumentiert, als Nachweis dessen, was getan wurde. Bei einem Firmenkonto mit personenbezogenen Zugängen ist zusätzlich § 87 Abs. 1 Nr. 6 BetrVG zu prüfen.
Die Frage zerfällt in drei: die Eingabe, der Vertrag, die Kompetenz der Beschäftigten.
Erste Frage: die Eingabe
Maßgeblich ist der Inhalt der Eingabe, nicht das Werkzeug.
| Eingabe | Einordnung |
|---|---|
| Gliederung für eine Präsentation | keine personenbezogenen Daten |
| Kundenschreiben mit Name, Adresse, Vertragsnummer | Verarbeitung nach Art. 4 Nr. 2 DSGVO |
| Kalkulation, Konstruktionszeichnung, Preisuntergrenze | Geschäftsgeheimnis, kein Datenschutzfall |
Für die zweite Zeile brauchen Sie eine Rechtsgrundlage und einen Vertrag mit dem Anbieter. Die dritte Zeile fällt nicht unter die DSGVO und gehört trotzdem nicht in ein fremdes System.
Zweite Frage: der Vertrag
Gehen personenbezogene Daten in ein Werkzeug, das ein anderer betreibt, verarbeitet dieser sie in Ihrem Auftrag. Art. 28 DSGVO verlangt dafür einen Vertrag mit festem Inhalt und die technischen und organisatorischen Maßnahmen als Anlage.
Bei OpenAI liegt dieser Vertrag den geschäftlichen Angeboten bei, also Team, Enterprise und API. Im kostenlosen Konto und in der privaten Bezahlversion liegt er nicht bei. Die private Bezahlversion ist ein Verbrauchervertrag.
Zwei Anschlussfragen gehören dazu: der Verarbeitungsort und der Umgang mit den Eingaben. Bei den geschäftlichen Angeboten werden Eingaben nach Zusicherung des Anbieters nicht zum Training der Modelle verwendet, für die Verarbeitung in der EU gibt es Optionen. Beides schriftlich anfordern und zum Verarbeitungsverzeichnis nehmen.
Dritte Frage: die Kompetenz
Art. 4 der KI-Verordnung gilt seit dem 2. Februar 2025, und zwar ohne Größengrenze. Seit der Änderung durch die Verordnung (EU) 2026/1744 verlangt er von Anbietern und Betreibern Maßnahmen, die die KI-Kompetenz der Personen fördern, die mit dem System arbeiten. Ein bestimmtes Niveau je Person ist nicht geschuldet.
Der Umfang richtet sich nach der Aufgabe. Für den Anfang reichen zwei Stunden zu der Frage, wie diese Modelle antworten, warum sie überzeugend falsch liegen können und was im Haus hineingehört. Anwesenheitsliste führen, sie ist der Nachweis.
Was Sie praktisch brauchen
Eine Seite, nicht mehr:
- Welche Konten benutzt werden dürfen
- Was hinein darf: allgemeine Formulierungen, öffentlich zugängliche Informationen, anonymisierte Beispiele, eigene Texte ohne Personenbezug
- Was nicht hinein darf: Kundendaten, Bewerbungen, Personalangelegenheiten, Gesundheitsdaten, Preise aus laufenden Verhandlungen, Zugangsdaten
- Verantwortung: Wer eine Antwort verwendet, hat sie vorher geprüft
- Ein Name für Fälle, die nicht auf der Seite stehen
Mitbestimmung
Mit einem Firmenkonto kommt der Betriebsrat ins Spiel. § 87 Abs. 1 Nr. 6 BetrVG greift bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen; nach ständiger Rechtsprechung genügt die objektive Eignung. Ein Konto je Person samt Nutzungsprotokoll erfüllt das meistens.
Üblich ist eine Rahmenvereinbarung für alle KI-Systeme mit einer Anlage je System, in der Zweck, Protokolle und Aufbewahrungsfristen stehen. Der Aufbau einer solchen Vereinbarung steht unter KI-Betriebsvereinbarung, was hineingehört.
Wenn das Werkzeug nach außen spricht
Art. 50 der KI-Verordnung ist seit dem 2. August 2026 verbindlich. Wer mit einer Maschine schreibt, muss das spätestens beim ersten Kontakt erkennen können. In der Praxis ist das ein Zusatz hinter dem Namen und ein Satz in der ersten Nachricht.
Für Texte greift die engere Regelung nur dort, wo die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informiert wird, und sie entfällt bei redaktioneller Verantwortung eines Menschen. Ein Angebotsschreiben fällt nicht darunter.
ChatGPT ist keine besetzte Stelle
| Merkmal | ChatGPT im Browser | Besetzte Stelle |
|---|---|---|
| Auslöser | Mensch tippt | holt sich die Vorgänge selbst |
| Ergebnis | Mensch entscheidet über die Verwendung | schreibt in Postfach und Datenbank zurück |
| Konto | auf eine Person ausgestellt | eigener Account, nicht auf eine Person ausgestellt |
| Nachweis | Verlauf | Protokoll je Vorgang |
Eine besetzte Stelle verlangt zusätzlich ein Berechtigungskonzept, Protokolle, einen Vorgesetzten im Haus und eine Grenze, ab der sie nicht selbst entscheidet, sondern vorlegt. Eine Richtlinie für ChatGPT im Browser ist an einem Nachmittag geschrieben. Eine Stelle wird Stufe für Stufe eingearbeitet, und den Aufstieg entscheidet ein Mensch anhand der Kennzahlen, siehe Wie eine Stelle entsteht.
Zahl zum Umfeld
Der Bitkom hat 2026 gefragt, was die Einführung von KI in deutschen Unternehmen am stärksten bremst. Der Datenschutz steht mit 77 Prozent an erster Stelle.
Häufige Fragen
Reicht die Bezahlversion von ChatGPT für den Datenschutz?
Nein, sie ist ein Verbrauchervertrag und ändert an der Rechtsgrundlage nichts. Erforderlich ist der Enterprise- oder Team-Vertrag mit Auftragsverarbeitung nach Art. 28 DSGVO.
Muss ich meine Mitarbeiter schulen?
Ja, seit dem 2. Februar 2025. Seit der Änderung durch die Verordnung (EU) 2026/1744 verlangt Art. 4 der KI-Verordnung Maßnahmen, die die KI-Kompetenz der Personen fördern, die mit KI-Systemen arbeiten. Ein bestimmtes Niveau je Person ist nicht geschuldet.
Muss der Betriebsrat zustimmen, wenn wir ChatGPT einführen?
Zu prüfen ist es in jedem Fall. Sobald sich Nutzung oder Leistung einzelner Beschäftigter auswerten lässt, greift § 87 Abs. 1 Nr. 6 BetrVG, und bei einem Firmenkonto mit personenbezogenen Zugängen und Protokollen ist das die Regel.
Dürfen Bewerbungen durch ChatGPT laufen?
Nicht ohne Weiteres: Die Vorauswahl von Bewerbern steht in Anhang III Nummer 4 Buchstabe a der KI-Verordnung, die Pflichten dafür greifen ab dem 2. Dezember 2027. Die DSGVO gilt schon heute, also Rechtsgrundlage, Folgenabschätzung nach Art. 35 und eine menschliche Entscheidung am Ende.
Was passiert, wenn ein Mitarbeiter versehentlich Kundendaten eingegeben hat?
Notieren Sie, welche Daten in welchem Konto betroffen waren, prüfen Sie die Meldepflicht nach Art. 33 DSGVO und lassen Sie den Verlauf löschen. Halten Sie danach schriftlich fest, was künftig nicht hineingehört.