ChatGPT Datenschutz: Darfst du ChatGPT in deiner Firma überhaupt nutzen?

Eine Kollegin kopiert einen Kundenvertrag in ChatGPT. Sie braucht nur eine kurze Zusammenfassung. Die Antwort kommt in Sekunden. Der Vertrag liegt jetzt auf den Servern eines Anbieters in den USA. Die Geschäftsführung weiß davon nichts. Genau hier beginnt das Thema ChatGPT Datenschutz.

Die gute Nachricht: ChatGPT ist in deiner Firma nicht grundsätzlich verboten. Die schlechte: Mit einem privaten Konto und ohne Regeln bewegst du dich schnell außerhalb der DSGVO. In diesem Ratgeber erfährst du, welche Version passt und welche ChatGPT Datenschutz-Einstellungen du setzen musst. Außerdem: was rechtlich gilt und wann eine eigene Unternehmens-KI die sicherere Lösung ist.

Als DOCSHERO® begleiten wir den Mittelstand seit mehr als 20 Jahren beim Dokumentenmanagement und inzwischen auch bei der Einführung von KI. In unserem KI-Ratgeber bündeln wir, was wir Unternehmen raten – hier alles zum Thema ChatGPT.

Stand: Oktober 2026. Alle Angaben zu OpenAI beruhen auf den öffentlichen Informationen des Anbieters und den unten genannten Quellen.

• ChatGPT ist nicht automatisch DSGVO-konform. Ob du es nutzen darfst, hängt von Version, Vertrag und den eingegebenen Daten ab.
• Free, Plus und Pro sind für Firmendaten ungeeignet. Es fehlt ein Auftragsverarbeitungsvertrag, und Eingaben werden standardmäßig zum Training genutzt.
• Business und Enterprise bringen die Grundlagen mit: kein Training mit deinen Daten, AV-Vertrag und zentrale Verwaltung. Die Übermittlung in die USA musst du trotzdem absichern.
• Ohne Richtlinie, Schulung und Betriebsrat geht es nicht. Seit 2025 verlangt auch der AI Act Maßnahmen zur KI-Kompetenz.
• Für vertrauliche Dokumente ist ein internes ChatGPT mit Quellenangabe die sicherere Wahl, weil deine Daten im eigenen Haus bleiben.

ChatGPT ist nicht von sich aus DSGVO-konform – du kannst es aber DSGVO-konform nutzen. Dafür müssen drei Bedingungen erfüllt sein:

1. Die richtige Version: Für Unternehmen kommen ChatGPT Business, ChatGPT Enterprise oder die API infrage. Die kostenlosen und privaten Tarife sind für personenbezogene Daten ungeeignet, weil es keinen Vertrag zur Auftragsverarbeitung gibt.
2. Ein sauberer Vertrag: Du schließt mit OpenAI einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und sicherst die Übermittlung in die USA ab.
3. Klare Regeln für die Eingaben: Dein Team weiß, welche Daten tabu sind, und ist geschult.

Fehlt einer dieser Punkte, wird es riskant. Die Frage „Ist ChatGPT sicher?“ lässt sich deshalb nicht mit Ja oder Nein beantworten. Sicher wird es erst durch die Organisation drumherum. Genau dabei unterstützen wir dich bei DOCSHERO®: In einer KI-Potenzialanalyse klären wir gemeinsam, welche Aufgaben du gut mit ChatGPT erledigen kannst und wo eine eigene Lösung sinnvoller ist.

Alles, was du in ChatGPT eingibst, wird auf den Servern von OpenAI verarbeitet. Dazu gehören:

• Prompts und Antworten, also jede Frage und jedes Ergebnis im Chatverlauf
• Hochgeladene Dateien wie PDFs, Tabellen, Präsentationen oder Verträge
• Bilder und Screenshots, inklusive der darauf erkennbaren Personen und Metadaten
• Erinnerungen, die ChatGPT sich über dich merkt, um künftige Antworten anzupassen
• Konto- und Nutzungsdaten wie E-Mail-Adresse, IP-Adresse, Gerät und Zahlungsdaten

Dein Vertragspartner in Europa ist die OpenAI Ireland Ltd. Die Verarbeitung findet aber zu großen Teilen in den USA statt. Nur bei ChatGPT Enterprise, ChatGPT Edu und geeigneten API-Projekten kannst du Daten seit Februar 2025 in Europa speichern lassen. Seit Januar 2026 bietet OpenAI berechtigten Enterprise-Kunden zusätzlich an, auch die Berechnung der Antworten auf Rechnern in Europa durchzuführen.

Eine Lektion aus 2025: Im Rechtsstreit mit der New York Times musste OpenAI von Mai bis September 2025 auch gelöschte Chats von Privatnutzern aufbewahren. Das zeigt: Löschversprechen eines Anbieters können durch Gerichtsbeschlüsse ausgesetzt werden. Wer vertrauliche Daten in ein fremdes System gibt, behält die Kontrolle darüber nicht vollständig in der eigenen Hand.

Für deinen Alltag heißt das: Behandle jede Eingabe in ChatGPT so, als würdest du sie an einen externen Dienstleister schicken. Denn genau das passiert. Wer seine Unterlagen zentral in einem ECM-System mit klaren Berechtigungen verwaltet, weiß zumindest, welche Dokumente vertraulich sind und wer sie überhaupt sehen darf. Solche Berechtigungskonzepte setzen wir bei DOCSHERO® in ELO-Projekten auf – damit später auch eine KI nur das sieht, was sie sehen darf.

Daraus folgt eine einfache Regel: ChatGPT Plus und Datenschutz in der Firma passen nicht zusammen, sobald personenbezogene oder vertrauliche Daten im Spiel sind. Bei ChatGPT Business ist der Datenschutz deutlich besser geregelt, weil Vertrag, Verwaltung und Trainingsausschluss vorhanden sind. ChatGPT Enterprise bringt zusätzlich die Speicherung in Europa und mehr Kontrolle für die IT.

Aber auch mit Business oder Enterprise bleibt OpenAI ein externer Anbieter in den USA. Ob das für deine Daten reicht, hängt davon ab, was du verarbeitest. Für Marketingtexte meist ja. Für Personalakten, Gesundheitsdaten oder Konstruktionsunterlagen eher nicht. Diese Daten gehören in eine Umgebung, deren Standort du selbst bestimmst: deine eigene IT-Infrastruktur oder eine Cloud aus Deutschland, wie wir sie mit HEROcloud betreiben. Übrigens: Die gleichen Fragen stellen sich beim Microsoft Copilot Datenschutz, sobald dein Team KI in Microsoft 365 nutzt.

Sobald ein Name, eine E-Mail-Adresse, eine Kundennummer oder ein Foto in einem Prompt steht, verarbeitest du personenbezogene Daten. Dann greifen die Pflichten der DSGVO:

Rechtsgrundlage (Art. 6 DSGVO): Für jede Verarbeitung brauchst du eine Rechtsgrundlage, etwa die Vertragserfüllung oder ein berechtigtes Interesse. Für besondere Kategorien wie Gesundheitsdaten (Art. 9 DSGVO) sind die Hürden deutlich höher.

Auftragsverarbeitung (Art. 28 DSGVO): OpenAI verarbeitet die Daten in deinem Auftrag. Dafür brauchst du einen Auftragsverarbeitungsvertrag. OpenAI bietet ihn für Business, Enterprise und die API an, nicht für Free, Plus oder Pro.

Drittlandübermittlung (Art. 44 ff. DSGVO): Die Daten gehen in die USA. Nach unserem Stand vom Oktober 2026 ist OpenAI nicht unter dem EU-US Data Privacy Framework zertifiziert. Die Übermittlung stützt sich deshalb auf Standardvertragsklauseln. Dafür solltest du ein Transfer Impact Assessment dokumentieren. Prüf den aktuellen Status selbst in der offiziellen DPF-Liste, denn er kann sich ändern.

Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO): Der Einsatz von ChatGPT gehört mit Zweck, Datenkategorien und Empfängern in dein Verzeichnis. Wer Dokumente bereits über eine revisionssichere Archivierung mit festen Aufbewahrungs- und Löschfristen steuert, hat einen Teil dieser Dokumentation schon erledigt.

Datenschutz-Folgenabschätzung (Art. 35 DSGVO): Wenn du ChatGPT für Bewerberdaten, Leistungsbewertungen, Gesundheitsdaten oder in großem Umfang einsetzt, ist eine Folgenabschätzung wahrscheinlich Pflicht.

Informationspflichten (Art. 13 und 14 DSGVO): Kunden, Bewerber und Beschäftigte müssen erfahren, dass ihre Daten mit KI verarbeitet werden.

Orientierung bieten die Aufsichtsbehörden. Die Datenschutzkonferenz (DSK) hat im Mai 2024 eine Orientierungshilfe zu KI und Datenschutz veröffentlicht. Im Juni 2025 folgte eine weitere zu technischen und organisatorischen Maßnahmen bei KI-Systemen. Beide sind eine gute Grundlage für deine interne Prüfung. Wenn du das nicht allein durchgehen willst, prüfen wir bei DOCSHERO® den Einsatz gern gemeinsam mit dir und deinem Datenschutzbeauftragten.

Dass Behörden genau hinschauen, zeigt Italien: Die Datenschutzbehörde Garante verhängte im Dezember 2024 ein Bußgeld von 15 Millionen Euro gegen OpenAI. Ein Gericht in Rom hob es im März 2026 wieder auf. Das Verfahren betraf OpenAI selbst. Für die Eingaben in deiner Firma bleibst trotzdem du verantwortlich.

Dieses Urteil wird oft falsch verstanden. Es betrifft nur den Fall, dass du die Nutzung erlaubst, aber keine eigenen Konten bereitstellst. Sobald du ChatGPT Business oder Enterprise einführst, sieht das anders aus: Dann stellt das Unternehmen die Software, die Admins können Nutzungsdaten einsehen, und die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG greift in aller Regel. Hol deinen Betriebsrat deshalb früh ins Boot und regle den Einsatz in einer Betriebsvereinbarung. Wenn du dabei Unterstützung willst: Bei DOCSHERO® begleiten wir Einführungen technisch und organisatorisch, von der KI-Richtlinie bis zur KI-Kompetenz-Schulung.

Seit dem 2. Februar 2025 verpflichtet Art. 4 des AI Act Unternehmen, die KI-Systeme einsetzen, Maßnahmen für die KI-Kompetenz ihrer Beschäftigten zu ergreifen. Das gilt auch, wenn du „nur“ ChatGPT nutzt.

Mit dem Digital Omnibus (Verordnung (EU) 2026/1744), der am 27. Juli 2026 in Kraft getreten ist, wurde die Pflicht entschärft: Du musst kein bestimmtes Kompetenzniveau mehr garantieren. Maßnahmen bleiben aber Pflicht. Praktisch heißt das: Schule dein Team im sicheren Umgang mit KI und halte fest, wer wann geschult wurde.

Eine gute Schulung deckt drei Themen ab: was KI kann und wo sie Fehler macht, welche Daten tabu sind und wie man Ergebnisse prüft, bevor man sie weitergibt. Wer das sauber aufsetzt, erfüllt gleichzeitig die Anforderungen aus DSGVO und AI Act. Wo dein Team heute steht, zeigt dir unser KI-Readiness-Check in wenigen Minuten.

Bei DOCSHERO® unterstützen wir dich gern mit Schulungen, die auf deine Werkzeuge, Daten und Abläufe zugeschnitten sind – statt mit allgemeinen Folien.

Den größten Unterschied macht Schritt 3. Bei der Bestandsaufnahme zeigt sich oft, dass die wertvollsten Aufgaben mit internen Dokumenten zu tun haben: Rechnungen, Verträge, Anfragen und Lieferscheine. Hier lohnt es sich, KI direkt in bestehende Workflows einzubinden, statt Inhalte per Copy-and-paste in ein Chatfenster zu kopieren. So entsteht gar nicht erst das Risiko, dass vertrauliche Daten bei einem externen Anbieter landen. Genau solche Workflows bauen wir bei DOCSHERO® mit ELO – inklusive KI, die in deiner eigenen Umgebung läuft.

Die meisten wertvollen KI-Anwendungsfälle drehen sich um dein eigenes Wissen: Verträge durchsuchen, Rechnungen prüfen, Anfragen beantworten, Eingangspost zuordnen. Genau dafür ist ein öffentliches Chatfenster das falsche Werkzeug. Du müsstest die Dokumente hochladen, verlierst die Berechtigungen und hast keine Quelle zur Antwort.

Was für Unternehmen besser ist als ChatGPT, ist deshalb oft eine DSGVO-konforme KI, die als internes ChatGPT in deiner eigenen Umgebung läuft. Mit dem ELO Assistant fragst du deine Dokumente direkt in der ELO-Software in normaler Sprache ab – wie mit einem Chatbot, nur innerhalb deiner eigenen Ablage. Möglich macht das künstliche Intelligenz mit ELO.

Auch im Tagesgeschäft hilft die KI, ohne dass Daten das Haus verlassen. Die automatische Dokumentenklassifizierung erkennt, ob ein Schreiben eine Rechnung, eine Kündigung oder ein Lieferschein ist. Die intelligente Datenextraktion liest Beträge, Nummern und Fristen aus. Und der digitale Posteingang verteilt alles an die richtige Stelle.

Deine Daten bleiben dabei im Haus oder in einem deutschen Rechenzentrum, und die Berechtigungen kommen direkt aus deinem Dokumentenmanagement. Seit mehr als 20 Jahren bauen wir bei DOCSHERO® solche Lösungen für den Mittelstand – von der ersten Idee bis zum laufenden Betrieb.

Rechtsstand und Quellenprüfung: 22. Oktober 2026. Gesetzliche Anforderungen sind direkt verlinkt; Prozessschritte sind Umsetzungsempfehlungen. Dieser Beitrag ist keine Rechtsberatung. Prüf den konkreten Einsatz mit deiner oder deinem Datenschutzbeauftragten.

• OpenAI: Datenresidenz in Europa
• iubenda: OpenAI und DSGVO-Konformität
• CompanyScope: Datenschutzprofil OpenAI
• GvW: Neue DSK-Orientierungshilfe zu KI
• ITMR: Digitaler Omnibus in Kraft
• Gleiss Lutz: ArbG Hamburg zu ChatGPT und Betriebsrat
• WSGR: Gericht in Rom hebt Bußgeld gegen OpenAI auf
• iTechGuides: Ende der Aufbewahrungsanordnung 2025