Welche ChatGPT-Variante wie mit Daten umgeht
Die wichtigste Frage ist nicht "ChatGPT ja oder nein", sondern "welches ChatGPT". Die Unterschiede zwischen den Varianten sind für den Datenschutz entscheidend.
| Variante | Training mit Eingaben | Vertrag zur Auftragsverarbeitung | Datenspeicherung in Europa |
|---|---|---|---|
| Free, Plus, Pro (privat) | Standardmäßig ja, abschaltbar | Nein | Nein |
| ChatGPT Business | Standardmäßig nein | Ja | Beim Anbieter prüfen |
| ChatGPT Enterprise und Edu | Standardmäßig nein | Ja | Ja, für neue Workspaces |
| API (Entwickler) | Standardmäßig nein | Ja | Ja, für neue Projekte |
Stand der Angaben: November 2026. OpenAI passt Tarife und Bedingungen regelmäßig an. Vor einer Freigabe sollten die aktuellen Vertragsunterlagen geprüft werden.
Training in der Verbraucherversion abschalten
Wer privat ChatGPT nutzt, sollte das Training mit eigenen Inhalten deaktivieren. OpenAI bietet dafür zwei Wege: die Datenkontrollen in den Einstellungen von ChatGPT und das Privacy-Portal mit der Option, nicht mit den eigenen Inhalten zu trainieren. Neue Unterhaltungen werden danach nicht mehr für das Training verwendet.
Zusätzlich gibt es temporäre Chats. Sie erscheinen nicht im Verlauf, werden nicht für Erinnerungen genutzt und fließen nicht ins Training ein.
Wichtig für die Praxis: Diese Einstellungen machen aus einem privaten Account kein Unternehmenswerkzeug. Es gibt weiterhin keinen Vertrag zur Auftragsverarbeitung, keine zentrale Verwaltung und keine Kontrolle durch die IT.
- Training abschalten: Datenkontrollen in den Einstellungen oder Privacy-Portal
- Für einmalige Fragen: temporären Chat verwenden
- Keine Bewertungen per Daumen bei sensiblen Unterhaltungen
- Geteilte Chat-Links regelmäßig prüfen und löschen
Was Mitarbeitende eingeben dürfen
Eine einfache Ampel hilft im Alltag mehr als eine lange Richtlinie. Sie sollte sich an der Datenklasse orientieren, nicht am Tool allein.
- Grün, in jeder Variante: öffentlich verfügbare Informationen, allgemeine Fragen, Formulierungshilfen ohne interne Details
- Gelb, nur in Business oder Enterprise: interne Prozessbeschreibungen, Entwürfe ohne Personenbezug, anonymisierte Beispiele
- Rot, nur mit Freigabe und passender Rechtsgrundlage: personenbezogene Daten von Kunden oder Beschäftigten, Verträge, Kalkulationen, Quellcode
- Immer rot: Passwörter, API-Schlüssel, Tokens, Zugangsdaten jeder Art und besondere Kategorien wie Gesundheitsdaten
Mit dem Werkzeug "Darf ich das in die KI eingeben?" lässt sich das für einen konkreten Fall in wenigen Sekunden prüfen.
DSGVO-Pflichten beim Einsatz im Unternehmen
Sobald personenbezogene Daten verarbeitet werden, gelten die üblichen Pflichten der DSGVO. ChatGPT ist dabei kein Sonderfall, sondern ein Cloud-Dienst wie andere auch.
- Vertrag zur Auftragsverarbeitung mit OpenAI abschließen (nur in den Business-Varianten möglich)
- Eintrag im Verzeichnis der Verarbeitungstätigkeiten
- Rechtsgrundlage für jede Verarbeitung festlegen
- Datentransfer in Drittländer prüfen und dokumentieren
- Bei umfangreicher oder riskanter Verarbeitung eine Datenschutz-Folgenabschätzung durchführen
- Betroffene in der Datenschutzerklärung informieren, wenn Kundendaten verarbeitet werden
Die Datenschutzbeauftragte oder der Datenschutzbeauftragte sollte vor der Einführung eingebunden werden, nicht erst danach.
Typische Fehler aus der Praxis
Die meisten Vorfälle entstehen nicht durch Angriffe, sondern durch gut gemeinte Abkürzungen im Alltag.
- Private Accounts für dienstliche Aufgaben, weil die Firmenlizenz fehlt oder zu langsam beantragt wird
- Interne Dokumente in selbst gebaute GPTs hochgeladen und den Link öffentlich geteilt
- Verbindungen zu Cloud-Speichern freigegeben, ohne zu prüfen, auf welche Ordner ChatGPT damit zugreifen kann
- Geteilte Chat-Links in Tickets oder E-Mails, die vertrauliche Inhalte enthalten
- KI-Ergebnisse ungeprüft an Kunden weitergegeben