ChatGPT DSGVO-konform nutzen.
Die Frage kommt in jedem Unternehmen irgendwann auf: Dürfen wir das eigentlich? Die kurze Antwort lautet: Es kommt darauf an, unter welchen Bedingungen. Diese Seite erklärt, welche Anforderungen die DSGVO an den Einsatz eines KI-Chatdienstes stellt, welche Wege es gibt und woran ein Einsatz in der Praxis scheitert. Ohne Rechtsberatung, aber mit einer Prüfliste, die Sie Ihrer Datenschutzabteilung vorlegen können.
Warum die private Nutzung im Unternehmen zum Problem wird
Nicht die Technik ist das Problem, sondern der fehlende Rahmen. Sobald Beschäftigte personenbezogene Daten oder Geschäftsgeheimnisse in einen Dienst eingeben, für den das Unternehmen keinen Vertrag geschlossen hat, verarbeitet ein Dritter diese Daten ohne Rechtsgrundlage.
Kein Auftragsverarbeitungsvertrag
Art. 28 DSGVO verlangt einen Vertrag mit jedem Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet. Bei einem privat angelegten Konto gibt es diesen Vertrag nicht – das Unternehmen bleibt trotzdem verantwortlich.
Unklare Zweckbindung
Ohne vertragliche Zusage ist offen, ob Eingaben gespeichert, ausgewertet oder zur Verbesserung von Modellen verwendet werden. Genau das muss ein Unternehmen aber wissen und dokumentieren können.
Keine Kontrolle über Zugriffe
Wer hat wann was eingegeben? Ohne zentrale Nutzerverwaltung lässt sich das nicht beantworten – und beim Ausscheiden von Beschäftigten bleibt der Zugang bestehen.
Schatten-KI statt Verbot
Ein Verbot löst das Problem selten. Es verlagert die Nutzung nur auf private Geräte, wo sie unsichtbar wird. Der wirksamere Weg ist ein Angebot, das die Anforderungen erfüllt.
Die Prüfliste: sechs Fragen an jeden Anbieter
Diese Punkte entscheiden darüber, ob ein KI-Dienst im Unternehmen datenschutzkonform eingesetzt werden kann. Lassen Sie sich jede Antwort schriftlich geben.
Vertrag und Verantwortung
- Gibt es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO – und zwar vor der ersten Nutzung?
- Welche Unterauftragnehmer sind beteiligt, und werden Sie über Änderungen informiert?
- Wie werden Betroffenenrechte wie Auskunft und Löschung technisch umgesetzt?
Daten und Technik
- Wo genau werden die Daten verarbeitet, und verlassen sie den europäischen Wirtschaftsraum?
- Werden Eingaben zum Training von Modellen verwendet oder nach der Beantwortung gespeichert?
- Gibt es eine zentrale Nutzerverwaltung, mit der Zugänge vergeben und entzogen werden können?
Diese Seite ersetzt keine Rechtsberatung. Sie fasst zusammen, welche Punkte in der Praxis geprüft werden – die Bewertung im Einzelfall gehört in die Hände Ihrer Datenschutzbeauftragten. Welche Anbieter als Ersatz überhaupt infrage kommen, steht auf Alternative zu ChatGPT.
Drei Wege, die in der Praxis funktionieren
Geschäftskunden-Tarif beim Anbieter
Die großen Anbieter haben Unternehmenstarife mit Auftragsverarbeitungsvertrag und der Zusage, Eingaben nicht für das Training zu verwenden. Zu prüfen bleiben Verarbeitungsort, Unterauftragnehmer und die Nutzerverwaltung.
Plattform mit europäischem Betrieb
Ein Anbieter stellt die Modelle über eine eigene Plattform bereit, schließt den Auftragsverarbeitungsvertrag mit Ihnen und regelt Hosting, Nutzerverwaltung und Löschung. So arbeitet novendix.AI – die Konditionen stehen auf der Seite Pakete.
Eigenbetrieb im Haus
Modelle auf eigener Hardware. Maximale Kontrolle, aber auch die volle Verantwortung für Betrieb, Aktualisierung und Sicherheit – für die meisten mittelständischen IT-Abteilungen unwirtschaftlich.
Wie novendix.AI diese Punkte löst
Nicht als Versprechen, sondern als überprüfbare Zusagen.
- Die Verarbeitung findet in einem deutschen Rechenzentrum statt – als Voreinstellung, nicht als Aufpreis-Option.
- Freigeschaltet werden nur Modelle, für die vertraglich zugesichert ist, dass Anfragen weder zum Training verwendet noch nach der Beantwortung gespeichert werden.
- Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist in den AGB verankert und wird Ihnen auf Anfrage zur Verfügung gestellt.
- Jede Lizenz gehört zu genau einer namentlich zugeordneten Person; Zugänge werden zentral vergeben und entzogen.
- Chats, Dateien und Erinnerungen lassen sich exportieren und löschen.
Die Einzelheiten samt der Punkte, die wir bewusst nicht behaupten, stehen auf Datenschutz & Sicherheit. Welche Modelle freigeschaltet sind, zeigt KI-Modelle im Überblick.
Häufige Fragen
Ist die Nutzung von ChatGPT im Unternehmen verboten?
Nein. Verboten ist nichts – erforderlich ist ein rechtlicher Rahmen. Problematisch wird es, wenn Beschäftigte personenbezogene Daten oder Geschäftsgeheimnisse über private Konten eingeben, für die das Unternehmen keinen Auftragsverarbeitungsvertrag geschlossen hat. Mit einem Geschäftskundentarif oder über eine Plattform mit entsprechendem Vertrag ist der Einsatz möglich.
Was macht einen KI-Dienst DSGVO-konform?
Im Kern sechs Dinge: ein Auftragsverarbeitungsvertrag nach Art. 28, Transparenz über Unterauftragnehmer, ein bekannter Verarbeitungsort, die Zusage, dass Eingaben nicht zum Training verwendet werden, die technische Umsetzbarkeit von Betroffenenrechten und eine zentrale Nutzerverwaltung.
Reicht es, die Mitarbeitenden zu schulen?
Schulung ist notwendig, aber allein nicht ausreichend. Ohne ein freigegebenes Werkzeug entsteht Schatten-KI: Die Nutzung findet trotzdem statt, nur unkontrolliert. Wirksam ist die Kombination aus einem datenschutzkonformen Angebot, einer verständlichen Richtlinie und Schulung.
Dürfen personenbezogene Daten eingegeben werden?
Mit Auftragsverarbeitungsvertrag und passender Rechtsgrundlage grundsätzlich ja, im Rahmen der festgelegten Zwecke. Ohne diesen Rahmen nicht. Unabhängig davon gilt der Grundsatz der Datenminimierung: Es sollten nur die Daten eingegeben werden, die für die Aufgabe wirklich nötig sind.
Wo werden die Daten bei novendix.AI verarbeitet?
In einem deutschen Rechenzentrum. Das ist die Voreinstellung und keine kostenpflichtige Zusatzoption. Einzelheiten stehen auf der Seite Datenschutz und Sicherheit.
Prüfliste an die Datenschutzabteilung geben
Wir stellen die Unterlagen zusammen, die Ihre Prüfung braucht – und sagen auch, wo wir etwas noch nicht belegen können.
Ihre sichere KI-Plattform für den Mittelstand. Sicher. Intelligent. Integriert. Individuelle Datenbankanbindung, persönlich betreut.
novendix GmbH · Industriestraße 6 · 91126 Schwabach
Standorte: Schwabach · Weißenburg · Nürnberg
Ein Unternehmen der L&S Lange & Schermer Unternehmensgruppe
