ChatGPT im Betrieb rechtssicher nutzen: Was wirklich gilt – und wo Unternehmen regelmäßig stolpern
Inhaltsverzeichnis
Veröffentlicht: 15. September 2026 · Lesezeit: ca. 12 Minuten
Vor einigen Jahren war KI im Büroalltag vor allem ein Versprechen: Pilotprojekte, Demos, vorsichtige Experimente in Großkonzernen. Für die meisten mittelständischen Betriebe spielte das Thema Datenschutz bei KI-Tools schlicht keine Rolle – weil diese Tools kaum genutzt wurden.
Das hat sich grundlegend geändert. Heute geben Mitarbeitende Texte, Angebote, Protokolle und manchmal auch Kundendaten in ChatGPT ein – oft ohne zu wissen, dass sie damit datenschutzrechtlich handeln. Gleichzeitig hat der EU AI Act den rechtlichen Rahmen verschärft: Wer ChatGPT beruflich einsetzt, gilt seither als „Betreiber“ im Sinne des Gesetzes – mit dokumentierten Pflichten, die viele Unternehmen schlicht noch nicht kennen.
Die Technik ist schneller als das Bewusstsein dafür. Wer heute noch ohne klare Spielregeln arbeitet, riskiert morgen Bußgelder, Haftungsfragen und im schlimmsten Fall einen Datenschutzvorfall, der vermeidbar gewesen wäre.
Das Thema ChatGPT Datenschutz Unternehmen hat in den letzten Monaten eine neue Dringlichkeit bekommen – nicht weil die Technologie gefährlicher geworden ist, sondern weil der rechtliche Rahmen enger wurde. Der EU AI Act verpflichtet Unternehmen, die ChatGPT beruflich einsetzen, zur Dokumentation, zu rollengerechten Mitarbeiterschulungen und – je nach Anwendungsfall – zur Durchführung einer Datenschutz-Folgenabschätzung. Das gilt unabhängig von der Unternehmensgröße.
Gleichzeitig zeigt eine Erhebung des Statistischen Bundesamts, dass bereits 20 % der deutschen Unternehmen KI einsetzen – ein Anstieg um 8 Prozentpunkte innerhalb eines Jahres. In der Praxis bedeutet das: KI-Tools sind in vielen Betrieben angekommen, bevor die datenschutzrechtlichen Hausaufgaben gemacht wurden. Besonders KMU stehen hier unter Druck, weil ihnen oft die internen Ressourcen für eine strukturierte Einführung fehlen.
Dieser Artikel fasst zusammen, was wir als IT-Systemhaus in der täglichen Beratungsarbeit immer wieder sehen: typische Einstiegsfehler, unterschätzte Haftungsrisiken und die konkreten Schritte, mit denen Sie ChatGPT datenschutzkonform in Ihren Betrieb integrieren können – ohne monatelange Projekte.
Was uns in der Beratung immer wieder begegnet: Einsatz ohne Rechtsgrundlage
Wenn wir im Rahmen unserer Digitalisierungsberatung der TTG GmbH auf das Thema ChatGPT zu sprechen kommen, erleben wir fast immer dasselbe Muster: ChatGPT Datenschutz Unternehmen ist kein Thema, das aktiv angegangen wurde – die Nutzung hat sich einfach entwickelt. Ein Mitarbeiter hat das Tool ausprobiert, es hat funktioniert, und zwei Wochen später nutzen es fünf Kollegen regelmäßig.
Was dabei fehlt, ist die rechtliche Grundlage. Ohne Auftragsverarbeitungsvertrag (AVV) mit OpenAI dürfen keine personenbezogenen Daten in ChatGPT eingegeben werden – das ist keine Auslegungsfrage, sondern DSGVO-Pflicht nach Art. 28. Ein AVV ist jedoch nur mit bestimmten Tarifen abschließbar: ChatGPT Free und ChatGPT Plus scheiden damit für den beruflichen Datenschutzeinsatz aus.
| Tarif | AVV möglich? | Empfehlung für Betriebe |
|---|---|---|
| ChatGPT Free | Nein | Keine personenbezogenen Daten eingeben |
| ChatGPT Plus | Nein | Keine personenbezogenen Daten eingeben |
| ChatGPT Team | Ja | Geeignet für KMU mit mehreren Nutzern |
| ChatGPT Enterprise / API | Ja | Für höhere Anforderungen oder Integration |
Ein konkretes Beispiel aus Duderstadt, das exemplarisch für viele Betriebe in der Region steht: Ein Handwerksbetrieb nutzte ChatGPT, um Angebote zu formulieren – inklusive Kundennamen und Auftragssummen. Der kostenlose Tarif wurde verwendet, ein AVV existierte nicht. Das ist nicht nur ein formales Problem: Laut BSI-Empfehlungen zum sicheren KI-Einsatz können solche Eingaben ohne vertragliche Absicherung dazu führen, dass Daten für das Training von KI-Modellen genutzt werden – mit unbekanntem Empfängerkreis.
- Prüfen Sie, welchen ChatGPT-Tarif Ihr Unternehmen aktuell nutzt – Free und Plus reichen für den datenschutzkonformen Betrieb nicht aus.
- Schließen Sie vor dem produktiven Einsatz einen Auftragsverarbeitungsvertrag mit OpenAI ab.
- Erfassen Sie ChatGPT als Werkzeug und OpenAI als Auftragsverarbeiter in Ihrem Verarbeitungsverzeichnis.
- Sprechen Sie mit Ihrer Datenschutzbeauftragten bzw. Ihrem Datenschutzbeauftragten, bevor Sie den Tarif umstellen.
Typische Ausgangssituation: Zwischen Neugier und fehlender Struktur
Die meisten Unternehmen, die wir beim Thema ChatGPT Datenschutz Unternehmen begleiten, starten nicht mit einem strategischen Roll-out. Sie starten mit einer E-Mail, die ein Mitarbeiter in ChatGPT hat formulieren lassen – und die so gut war, dass es alle wissen wollten.
Das ist menschlich nachvollziehbar. 20 % der deutschen Unternehmen setzen KI bereits ein (Destatis, 2024), und der Anreiz ist offensichtlich: Texte entstehen schneller, Protokolle werden zusammengefasst, Antworten auf schwierige Kundenanfragen werden besser strukturiert. Was dabei fehlt, ist der Rahmen. Wer darf was eingeben? Welche Daten sind tabu? Was passiert, wenn etwas schiefgeht?
Hinzu kommt eine aktuelle Entwicklung, die viele überrascht hat: OpenAI lässt Prompts in bestimmten Fällen von externen Mitarbeitenden mitlesen – ein Vorgang, über den Golem im September berichtete. Wer vertrauliche Geschäftsdaten in ChatGPT eingibt, muss sich bewusst sein, dass diese unter Umständen nicht nur von einem Algorithmus verarbeitet werden. Das ist kein Grund, das Tool nicht zu nutzen – aber ein starkes Argument dafür, klare Regeln zu definieren.
Die Lösung für diesen Schritt ist weniger technisch als organisatorisch. Für die Datensicherheit beim KI-Einsatz – TTG GmbH empfehlen wir Unternehmen, zunächst eine einfache interne Richtlinie zu erarbeiten, bevor weitere Maßnahmen folgen.
- Erstellen Sie eine einseitige KI-Nutzungsrichtlinie, die beschreibt, was eingegeben werden darf – und was nicht.
- Benennen Sie explizit, welche Datenkategorien tabu sind: Kundennamen, Gesundheitsdaten, Bankdaten, laufende Vertragsdetails.
- Führen Sie Pseudonymisierung ein: Ersetzen Sie Namen durch Platzhalter, bevor Sie Texte in ChatGPT eingeben.
- Kommunizieren Sie diese Regeln aktiv in Ihrem Team – eine E-Mail reicht erfahrungsgemäß nicht aus.
- Legen Sie fest, wer im Unternehmen als Ansprechpartner für KI-Datenschutzfragen gilt.
Fehler Nr. 1: Kein Verarbeitungsverzeichnis, keine Datenschutzerklärung – und trotzdem läuft alles
Der häufigste Fehler beim Thema ChatGPT Datenschutz Unternehmen ist kein spektakulärer Datenverlust. Er ist unsichtbar: Unternehmen nutzen ChatGPT produktiv, alles funktioniert technisch – aber die DSGVO-Dokumentation fehlt vollständig. Kein Eintrag im Verarbeitungsverzeichnis, keine Anpassung der Datenschutzerklärung, kein AVV. Solange nichts passiert, fällt das niemandem auf.
Das Verarbeitungsverzeichnis nach Art. 30 DSGVO muss jede systematische Nutzung von ChatGPT im Betrieb erfassen: welche Daten verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage und wer als Auftragsverarbeiter beteiligt ist. OpenAI muss dort als Dienstleister erscheinen – analog zu einem Cloud-Anbieter oder einem externen Lohnbüro.
Gleichzeitig verpflichtet der EU AI Act in Art. 4 dazu, dass alle Mitarbeitenden, die KI beruflich einsetzen, nachweisbar geschult werden müssen – rollengerecht und dokumentiert. Das klingt aufwändig, ist es aber nicht zwingend: Ein einstündiges Team-Meeting mit Protokoll und einem kurzen Wissenstest kann den Anforderungen genügen, wenn Inhalt und Teilnehmer festgehalten werden. Die Bußgeldbewehrung dieser Pflicht ist seit August aktiv.
Das BMWK betont im Rahmen seiner Digitalisierungsinitiative für den Mittelstand, dass Dokumentation und Transparenz die Voraussetzung für vertrauenswürdige KI-Nutzung sind – nicht ihr Hindernis. Als ISO/IEC 27001 zertifizierter Partner wissen wir: Wer seine Prozesse einmal sauber dokumentiert hat, hat die Arbeit dauerhaft erledigt.
- Ergänzen Sie Ihr Verarbeitungsverzeichnis um einen Eintrag für ChatGPT – inklusive OpenAI als Auftragsverarbeiter und Angabe der Rechtsgrundlage.
- Aktualisieren Sie Ihre öffentliche Datenschutzerklärung, um die Nutzung von ChatGPT als Werkzeug transparent zu machen.
- Führen Sie eine dokumentierte KI-Schulung für alle Mitarbeitenden durch, die ChatGPT beruflich nutzen – und heben Sie Datum, Teilnehmer und Inhalte auf.
- Prüfen Sie, ob Ihr Datenschutzbeauftragter (intern oder extern) in den Prozess eingebunden ist.
- Nutzen Sie die ISO/IEC 27001 zertifiziert – TTG GmbH als Orientierungspunkt für strukturierte Informationssicherheit.
Fehler Nr. 2: ChatGPT entscheidet – und niemand hat es bemerkt
Neben der fehlenden Dokumentation gibt es einen zweiten, oft gravierenderen Fehler beim Thema ChatGPT Datenschutz Unternehmen: ChatGPT wird zur faktischen Entscheidungsinstanz – ohne dass das bewusst so geplant wurde.
Ein Beispiel aus der Praxis: Ein Unternehmen nutzt ChatGPT, um Bewerbungsunterlagen zu analysieren und eine Vorauswahl zu erstellen. Die Ausgabe des Tools bestimmt, wer zum Vorstellungsgespräch eingeladen wird – ohne dass ein Mensch die Einzelfallbewertung noch einmal kritisch prüft. Das ist ein direkter Verstoß gegen Art. 22 DSGVO, der automatisierte Entscheidungen ohne menschliche Überprüfung verbietet, wenn sie rechtliche oder vergleichbar erhebliche Auswirkungen auf Personen haben.
Hinzu kommt: Wer ChatGPT für Personalauswahl oder Kreditentscheidungen einsetzt, unterliegt seit August den erweiterten Dokumentations- und Transparenzpflichten des EU AI Acts für Hochrisiko-Anwendungen – weit über den AVV hinaus. Für Standard-Marketing- oder Content-Einsatz gilt das nicht, aber die Grenze ist oft fließender, als Unternehmen vermuten.
Ein weiterer Punkt, der häufig übersehen wird: die Kennzeichnungspflicht nach Art. 50 AI Act. Wer einen KI-Chatbot auf der Website betreibt oder automatisch generierte Texte an Kunden sendet, muss offenlegen, dass diese Inhalte KI-generiert sind. Das betrifft mehr Betriebe, als man zunächst denkt – auch Handwerker mit einem automatisierten Antwort-Bot auf ihrer Kontaktseite.
Fördergelder können helfen, die notwendige technische und rechtliche Infrastruktur aufzubauen – sprechen Sie dazu gerne die Förderberatung für Digitalisierungsprojekte – TTG GmbH an.
- Legen Sie schriftlich fest, in welchen Prozessen ChatGPT lediglich unterstützt – und in welchen ein Mensch die abschließende Entscheidung dokumentiert treffen muss.
- Kennzeichnen Sie automatisch erstellte Texte oder Chatbot-Interaktionen als KI-generiert, wenn Kunden damit in Kontakt kommen.
- Prüfen Sie, ob Ihr Einsatzbereich als Hochrisiko-Anwendung einzustufen ist (HR, Kredit, Versicherung) – und holen Sie bei Unsicherheit rechtlichen Rat ein.
- Dokumentieren Sie menschliche Überprüfungsschritte bei KI-gestützten Entscheidungen – nicht nur als gute Praxis, sondern als Nachweis gegenüber Behörden.
Was danach besser wird: Wenn die Struktur sitzt, arbeitet das Team entspannter
Ein Maschinenbaubetrieb aus unserer Region – rund 35 Mitarbeitende, mehrere Standorte – hat ChatGPT zunächst ohne klaren Rahmen eingeführt. Sechs Monate später, nach einer strukturierten Bestandsaufnahme mit AVV, Nutzungsrichtlinie und einer halbtägigen Schulung, war das Ergebnis eindeutig: Die Nutzungsrate stieg, weil die Mitarbeitenden wussten, was erlaubt ist. Vorher hatten viele das Tool aus Unsicherheit gemieden.
Das deckt sich mit dem, was Bitkom in seiner Studie zu ChatGPT Datenschutz Unternehmen erhoben hat: 48 % der Unternehmen nennen hohe Datenschutzanforderungen als Hemmnis für den KI-Einsatz – und 39 % fürchten, dass Unternehmensdaten in falsche Hände geraten (Bitkom Research 2025). Beides lässt sich durch klare Strukturen reduzieren, nicht durch Verzicht auf das Tool.
Gleichzeitig zeigt die Erfahrung: Unternehmen, die ChatGPT aus Deutschland oder Europa bevorzugen würden, haben Alternativen. 86 % der befragten Unternehmen wünschen sich laut einer Bitkom-Erhebung KI-Lösungen aus Deutschland – und entsprechende Angebote existieren. Für Betriebe mit besonders sensiblen Daten kann ein europäischer Anbieter mit Serverstandort in der EU eine sinnvolle Alternative sein.
Als ISO/IEC 27001-zertifizierter IT-Partner mit über 25 Jahren Erfahrung wissen wir, dass Sicherheitsstrukturen dauerhaft entlasten – nicht belasten. Die IT-Infrastruktur für den digitalen Wandel – TTG GmbH schafft die technische Grundlage dafür. Und das BSI stellt konkrete Leitlinien zum sicheren KI-Einsatz zur Verfügung, die auch ohne IT-Fachkraft als Orientierung dienen.
- Führen Sie nach der Strukturierung eine kurze Mitarbeiterbefragung durch – das Vertrauen in das Tool steigt messbar, wenn Regeln transparent sind.
- Prüfen Sie europäische KI-Alternativen, wenn Ihre Branche besonders sensible Daten verarbeitet.
- Etablieren Sie einen jährlichen Review-Termin, bei dem Sie Ihre KI-Nutzungsrichtlinie und Ihr Verarbeitungsverzeichnis aktualisieren.
- Nutzen Sie die BSI-Empfehlungen als Basis für Ihre interne KI-Sicherheitsrichtlinie.
Unser klarer Rat: Strukturieren statt abwarten
Wenn wir Unternehmen beim Thema ChatGPT Datenschutz Unternehmen begleiten, beginnen wir immer mit derselben Frage: Was nutzen Ihre Mitarbeitenden heute bereits – und was wissen Sie davon? Die ehrliche Antwort darauf ist der eigentliche Startpunkt.
Unsere Einschätzung, direkt: Wer ChatGPT im Betrieb duldet, ohne die rechtlichen Mindestanforderungen erfüllt zu haben, trägt ein vermeidbares Risiko. Nicht weil Datenschutzbehörden täglich durch Türen von kleinen Betrieben treten – sondern weil ein einziger Datenschutzvorfall, eine Kundenbeschwerde oder ein Mitarbeiter, der das Tool falsch einsetzt, ausreicht, um erheblichen Schaden zu verursachen. Und weil ab August die Bußgeldbewehrung für fehlende KI-Schulungen greift, ist der Handlungsdruck real.
Das Gute: Der Aufwand ist überschaubar. Ein AVV, eine einseitige Nutzungsrichtlinie, ein Schulungsnachmittag und drei Einträge im Verarbeitungsverzeichnis – das ist der Kern dessen, was die meisten mittelständischen Betriebe brauchen. Wer das erledigt hat, kann ChatGPT entspannt und produktiv einsetzen.
Wer für seinen Betrieb wissen möchte, wo er heute steht und welche Schritte als nächstes sinnvoll sind, kann das unkompliziert klären lassen – ohne monatelange Projekte. Nehmen Sie gerne direkt Kontakt auf und lassen Sie Ihr Digitalisierungs-Potenzial prüfen lassen – wir zeigen Ihnen, wo Sie stehen und was als nächstes zählt.
- Führen Sie eine ehrliche Bestandsaufnahme durch: Welche KI-Tools nutzt Ihr Team heute – und unter welchen Bedingungen?
- Wechseln Sie auf einen Tarif mit AVV, bevor personenbezogene Daten in ChatGPT eingegeben werden.
- Schulen Sie Ihr Team – auch ein kompaktes Format mit Protokoll erfüllt die Anforderungen des AI Acts.
- Aktualisieren Sie Verarbeitungsverzeichnis und Datenschutzerklärung – das ist ein einmaliger Aufwand von wenigen Stunden.
Ihre Checkliste: So starten Sie jetzt
- Prüfen Sie, welchen ChatGPT-Tarif Ihr Unternehmen aktuell nutzt – und ob ein Auftragsverarbeitungsvertrag (AVV) mit OpenAI vorliegt. (Aufwand: 30 Minuten)
- Wechseln Sie auf ChatGPT Team, Enterprise oder API, falls noch kein AVV-fähiger Tarif genutzt wird – und schließen Sie den AVV ab.
- Erstellen Sie eine einseitige interne Nutzungsrichtlinie, die regelt, welche Daten in ChatGPT eingegeben werden dürfen – und welche nicht. (Aufwand: 1–2 Stunden)
- Ergänzen Sie Ihr Verarbeitungsverzeichnis nach Art. 30 DSGVO um ChatGPT und OpenAI als Auftragsverarbeiter.
- Aktualisieren Sie Ihre öffentliche Datenschutzerklärung, um die ChatGPT-Nutzung transparent zu machen.
- Führen Sie eine dokumentierte Schulung für alle Mitarbeitenden durch, die ChatGPT beruflich nutzen – Teilnehmerliste, Datum und Inhalte festhalten. (AI Act Art. 4, bußgeldbewehrt)
- Prüfen Sie, ob Ihre Nutzung automatisierte Entscheidungen betrifft (z. B. Bewerbungsauswahl) – und stellen Sie sicher, dass ein Mensch die finale Entscheidung dokumentiert trifft.
- Sprechen Sie Ihren Datenschutzbeauftragten an und vereinbaren Sie einen jährlichen Überprüfungstermin für Ihre KI-Richtlinie.
Häufig gestellte Fragen
Darf ich ChatGPT für mein Unternehmen nutzen, ohne einen Auftragsverarbeitungsvertrag abzuschließen?
Technisch ist das möglich – rechtlich aber nur dann erlaubt, wenn dabei keinerlei personenbezogene Daten verarbeitet werden. Sobald Sie Namen, Adressen, Kundendaten oder Mitarbeiterinformationen eingeben, benötigen Sie zwingend einen AVV mit OpenAI. Dieser ist nur mit ChatGPT Team, Enterprise oder über die API erhältlich. Wer den kostenlosen oder Plus-Tarif nutzt und dennoch personenbezogene Daten eingibt, verstößt gegen die DSGVO – unabhängig von der Unternehmensgröße.
Was kostet es mich, wenn Mitarbeitende ChatGPT falsch einsetzen – und wer haftet?
Kommt es zu einem Datenschutzvorfall durch unzulässige ChatGPT-Eingaben, haftet in der Regel das Unternehmen als datenschutzrechtlich Verantwortlicher – nicht der einzelne Mitarbeitende. Meldepflichten nach Art. 33 und 34 DSGVO können ausgelöst werden: Binnen 72 Stunden muss die Aufsichtsbehörde informiert werden, bei erheblichem Risiko auch die betroffenen Personen. Bußgelder und Reputationsschäden kommen hinzu. Interne Richtlinien und dokumentierte Schulungen reduzieren das Haftungsrisiko spürbar.
Wie aufwändig ist es, ChatGPT datenschutzkonform einzuführen?
Für die meisten mittelständischen Betriebe ist der Kernaufwand überschaubar: AVV abschließen, eine Nutzungsrichtlinie erstellen, das Verarbeitungsverzeichnis ergänzen, Datenschutzerklärung anpassen und eine dokumentierte Schulung durchführen. Das lässt sich in der Regel an einem strukturierten Halbtag erledigen. Wer dabei Unterstützung möchte, kann die TTG GmbH für eine kompakte Bestandsaufnahme und Begleitung hinzuziehen.
Welche Branchen müssen beim AI Act besonders aufpassen?
Besonders strenge Regeln gelten für sogenannte Hochrisiko-Anwendungen: Personalauswahl, Kreditentscheidungen, Versicherungsbewertungen. Wer ChatGPT in diesen Bereichen einsetzt, unterliegt erweiterten Dokumentations- und Transparenzpflichten. Für Standard-Marketingtexte, Protokolle oder Angebotsformulierungen gelten diese verschärften Regeln hingegen nicht. Unsicher, wo Ihre Nutzung einzustufen ist? Das lässt sich im Rahmen einer kurzen Beratung schnell klären.
Gibt es sichere Alternativen zu ChatGPT, die besser zum deutschen Datenschutz passen?
Ja. Für Betriebe mit besonders sensiblen Daten existieren KI-Lösungen europäischer Anbieter mit Serverstandorten in der EU – ohne Datenübermittlung in die USA. 86 % der Unternehmen wünschen sich laut Bitkom explizit KI aus Deutschland. Ob eine solche Alternative sinnvoll ist, hängt von Ihrem Anwendungsfall ab. Für viele Standardaufgaben bleibt ChatGPT mit korrektem Tarif und AVV eine zulässige und praktische Lösung – es kommt auf die saubere Einrichtung an.
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie heute wirklich, welche Daten Ihre Mitarbeitenden gerade in ChatGPT eingeben – und ob Ihr Unternehmen dafür rechtlich abgesichert ist?
Digitalisierungspotenzial ausschöpfen
Welche Prozesse können Sie automatisieren? Die TTG GmbH analysiert Ihr Unternehmen und entwickelt einen praxisnahen Digitalisierungsplan für KMU im Eichsfeld.
