Darf ich ChatGPT oder Claude DSGVO-konform für Geschäftsdaten nutzen?
Beim Abspielen lädt YouTube (Google) das Video. Dabei werden Ihre IP-Adresse und Geräteinformationen an Google übertragen. Details ·
Transkript anzeigen
Zwei Fenster, nebeneinander. Links ChatGPT mit einem privaten Konto, rechts ChatGPT Business. Dieselbe Oberfläche, dieselbe Frage, fast dieselbe Antwort. Und trotzdem gehören Kundendaten nur in eines davon. Der Unterschied ist nicht zu sehen. Er steht im Vertrag. Darf Ihr Team ChatGPT nutzen? Ja, wenn fünf Dinge stimmen. Die Datenschutzbehörden von Bund und Ländern haben dazu eine Orientierungshilfe geschrieben, und wir gehen sie mit Ihnen durch. Das hier ist keine Rechtsberatung. Aber es ist die Liste, nach der eine Aufsichtsbehörde fragt. Schritt eins: dienstliche Konten. Die Behörden schreiben, dass Arbeitgeber für die KI-Nutzung Geräte und Konten stellen sollen, statt die Leute mit privaten Konten arbeiten zu lassen. Bei ChatGPT heißt das ein Business-Arbeitsbereich. Den gibt es ab zwei Personen, und verwaltet wird er von der Firma, nicht von jedem selbst. Schritt zwei: der Auftragsverarbeitungsvertrag nach Artikel achtundzwanzig der DSGVO. OpenAI bietet ihn für Business, Enterprise und die Programmierschnittstelle an. Er kommt nicht von allein, man muss ihn über ein Formular abschließen. Für das private Konto steht er nicht auf dieser Liste. Schritt drei: das Training. Im Business-Arbeitsbereich trainiert OpenAI laut eigener Zusage ab Werk nicht mit Ihren Daten. Im privaten Konto ist das anders. Dort gibt es einen Schalter, mit dem Ihre Eingaben das Modell für alle verbessern, und den muss man selbst ausschalten. Wer davon nichts weiß, gibt seine Eingaben fürs Training frei. Schritt vier: die Daten sortieren. Grün sind öffentliche Texte, die dürfen überall hin. Gelb ist Internes ohne Personenbezug, das gehört nur in den Firmenbereich mit Vertrag. Rot sind Kunden-, Personal- und Gesundheitsdaten. Gesundheitsdaten zählen nach Artikel neun zu den besonderen Kategorien und brauchen eine eigene Erlaubnis. Und wer rote Daten in Europa gespeichert haben will: Das bietet OpenAI nur in Enterprise und über die Programmierschnittstelle an, nicht in Business. Schritt fünf: aufschreiben und schulen. Vor dem Einsatz gehört eine Risikoabschätzung, und laut den Behörden wird beim Einsatz von KI vielfach eine Datenschutz-Folgenabschätzung nötig sein. Die Datenschutzerklärung muss den Dienst als Empfänger nennen. Und Ihre Leute müssen wissen, welche Daten in welches Fenster dürfen. Zurück zu den zwei Fenstern. Die Frage war nie, ob ChatGPT erlaubt ist. Die Frage ist, welches. Ein Konto der Firma, ein Vertrag, kein Training, sortierte Daten und geschulte Leute. Dann ist aus einem privaten Werkzeug eines geworden, für das Sie geradestehen können. Ob Ihr Aufbau hält, prüfen wir mit Ihnen oder Ihrem Datenschutzbeauftragten. Die fünf Schritte mit allen Quellen finden Sie auf unserer Website, der Link steht in der Beschreibung.
Die ehrliche Kurzantwort
Mit der Consumer-Variante von ChatGPT (chat.openai.com) oder Claude.ai dürfen Sie keine personenbezogenen Daten und keine vertraulichen Geschäftsinformationen verarbeiten. Die Nutzungsbedingungen erlauben Trainings auf Ihren Eingaben, es gibt keinen Auftragsverarbeitungsvertrag, und die Verarbeitung läuft über US-Server ohne die für Ihren Anwendungsfall erforderlichen Garantien nach Art. 44 ff. DSGVO.
Mit den Business-Tiers oder der API ist es möglich (Überblick im Anbieter-Vergleich DSGVO-konformer LLMs). ChatGPT Enterprise/Team, Claude for Work, die OpenAI-API und die Anthropic-API bieten die Bausteine, die Sie brauchen. Beim Speicherort unterscheiden sie sich:
- Standard-Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (müssen Sie aktiv abschließen)
- Vertraglich zugesicherter Trainings-Opt-Out (Logs nur 30 Tage zur Missbrauchserkennung)
- Speicherort: Anthropic speichert die Daten kommerzieller Produkte in den USA. Eine EU-Datenhaltung bietet Anthropic nicht an (Stand 15.06.2026). OpenAI führt Datenresidenz in der EU nur im Enterprise-Tarif, nicht bei Business. Eine EU-Region bekommen Sie außerdem über Azure OpenAI von Microsoft, etwa “Sweden Central” oder “Germany West Central”
Was Sie konkret klären müssen
Rechtsgrundlage nach Art. 6 DSGVO. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) trägt bei LLM-Verarbeitung selten — der Eingriff ist zu weit gefasst. Realistisch ist Einwilligung (lit. a) bei Kunden oder eine Betriebsvereinbarung (Art. 88 + § 26 BDSG) bei Mitarbeitenden.
AVV abschließen. Bei OpenAI über das Formular im Trust-Portal. Bei Anthropic ist er automatisch Teil der Commercial Terms, eine eigene Unterschrift gibt es nicht; für Claude Free und Pro gilt er nicht (Stand 16.03.2026). Ohne aktiv abgeschlossenen AVV ist jede Übermittlung personenbezogener Daten Art. 28-widrig, auch wenn die Inhalte selbst harmlos wirken.
Datenklassifizierung in drei Stufen. Grün (öffentlich): Marketingtexte, allgemeine Recherche, anonymisierte Auswertungen. Geht über jeden Kanal. Gelb (intern): Konzeptpapiere, interne Mails ohne Personenbezug, Code-Snippets. Nur über Business-Tier mit AVV. Rot (sensibel): Kunden-, Personal-, Gesundheits-, Finanz- und Steuerdaten, Geschäftsgeheimnisse. Nur über EU-gehostete Instanz mit AVV plus DSFA oder on-prem-LLM.
Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Sobald Sie systematisch personenbezogene Daten in LLMs verarbeiten, ist eine DSFA Pflicht. Das ist kein optionales Dokument — die Aufsichtsbehörden (BfDI, LfDI Baden-Württemberg, BayLDA) verlangen sie bei Audits ausdrücklich.
Transparenz nach Art. 13/14 DSGVO. Ihre Datenschutzerklärung muss benennen: welcher Dienst, welcher Anbieter, welche Rechtsgrundlage, welche Drittland-Garantie (EU-US Data Privacy Framework oder Standardvertragsklauseln).
Wo es trotz Business-Tier eng wird
Art. 9 DSGVO bleibt der Stolperstein. Gesundheitsdaten, religiöse, gewerkschaftliche oder ethnische Informationen brauchen zusätzlich eine Erlaubnis nach Art. 9 Abs. 2. Ein Krankenhaus darf nicht einfach Patientenakten in Azure OpenAI füttern, auch wenn alle anderen Anforderungen erfüllt sind.
Schrems II und das DPF-Risiko. Das EU-US Data Privacy Framework ist seit Juli 2023 gültig. Eine Nichtigkeitsklage des französischen Abgeordneten Philippe Latombe hat das EuG am 3. September 2025 abgewiesen, sein Rechtsmittel beim EuGH läuft noch (Stand 01.12.2025). Ein erneutes Kippen vor dem EuGH ist nicht ausgeschlossen. Wer strategisch sicher sein will, plant heute schon einen Migrationspfad auf EU-Provider oder on-prem-fähige Open-Source-LLMs ein.
Unser pragmatischer Stack für Mittelständler
Für Recherche, Texterstellung und Code-Generierung ohne Personenbezug reicht ChatGPT Business oder Claude Team mit AVV. Claude Pro reicht nicht, dafür gibt es keinen AVV. Ein Standardplatz kostet 18 bis 26 € pro Nutzer und Monat, je nach Anbieter und Abrechnung (Stand 27.09.2026, Einzelheiten im Vergleich Claude oder ChatGPT im Betrieb).
Für strukturierte Geschäftsdaten wie Tickets, Mails und Rechnungen empfehlen wir Azure OpenAI in einer EU-Region mit AVV und durchgeführter DSFA. Setup-Aufwand ein bis zwei Wochen, Betrieb stabil und auditierbar.
Für sensible Daten — Patientenakten, Personalakten, Steuerakten, Geschäftsgeheimnisse — bauen wir on-prem mit offenen Modellen wie Mistral oder Qwen auf eigener Hardware. Das ist nicht der billigste Weg, aber der einzige, bei dem Sie bei einer Anfrage der Aufsichtsbehörde am nächsten Tag noch ruhig schlafen können.
Was Sie heute nicht tun sollten
Keine Kundendaten in chat.openai.com kopieren. Keine “kostenlose ChatGPT-Lösung” einer Social-Media-Agentur einkaufen ohne Einsicht in den AVV-Stack. Keine Patientenakten in ein Cloud-LLM, egal welche Region. Und keine Datenschutzerklärung blind aus einem Generator übernehmen, in der OpenAI gar nicht auftaucht, obwohl Sie es nutzen.
Wenn Sie nicht sicher sind, ob Ihr aktueller Setup hält, ist eine Compliance-Audit-Stunde mit uns oder einem Datenschutzbeauftragten der schnellste Weg, das zu klären.
Dazu bei Krynex Labs
Passend dazu
Konkrete Frage zu eurem Setup?
Ein 30-Minuten-Erstgespräch klärt meistens schon, ob euer aktueller AI-Stack hält oder wo nachzuarbeiten ist. Kostenlos, ohne Verkaufsdruck.
Erstgespräch buchen