Geben Sie in die kostenlose Version von ChatGPT keine Personendaten und keine Geschäftsgeheimnisse ein, schalten Sie in den Datenkontrollen das Training mit Ihren Chats ab, und nutzen Sie für die Firma einen Firmen-Tarif wie ChatGPT Business mit Vertrag zur Auftragsverarbeitung. Das sind drei Regeln, die Sie Ihrem Team in wenigen Minuten erklären können. Unten finden Sie sie als kopierbare Vorlage.
Welche Daten dürfen nicht in die Gratis-Version von ChatGPT?
Regel eins: Keine Personendaten und keine Geschäftsgeheimnisse in die Gratis-Version. Personenbezogen ist nach der DSGVO jede Information, die sich auf eine identifizierte oder identifizierbare Person bezieht, also nicht nur Name und Adresse, sondern auch Kundennummern oder eine Schilderung, die nur auf eine Person passt. Geschäftsgeheimnisse sind zum Beispiel Verträge, Kalkulationen, Kundenlisten und interne Zahlen.
Der Grund: Für jeden Verarbeitungsschritt mit Personendaten braucht es eine Rechtsgrundlage. Setzen Sie einen externen Dienst ein, muss das Verhältnis meist vertraglich als Auftragsverarbeitung geregelt sein (Art. 28 DSGVO). So steht es auch in der Orientierungshilfe der deutschen Datenschutzkonferenz zu KI. Mit einem Gratis-Konto haben Sie für die Firma in der Regel keinen solchen Vertrag geschlossen.
Bei Geschäftsgeheimnissen kommt ein zweiter Punkt dazu: Nach § 2 Nr. 1 Geschäftsgeheimnisgesetz schützt das Gesetz nur Informationen, für die der Inhaber den Umständen nach angemessene Geheimhaltungsmaßnahmen getroffen hat. Wer interne Unterlagen unkontrolliert in ein Chatfenster kopiert, macht sich diesen Schutz unnötig schwer.
Wie anonymisiere ich einen Text, bevor ich ihn in ChatGPT einfüge?
Ersetzen Sie alles, was auf eine Person oder Ihr Unternehmen zeigt, durch neutrale Platzhalter. Aus „Frau Huber aus Graz“ wird „die Kundin“. Gehen Sie dabei in dieser Reihenfolge vor:
- Namen, Adressen, Telefonnummern und E-Mail-Adressen entfernen.
- Kunden-, Vertrags- und Rechnungsnummern durch Platzhalter ersetzen.
- Interne Zahlen runden oder durch Beispielwerte ersetzen, wenn es nur um die Formulierung geht.
- Den fertigen Text noch einmal als Fremder lesen: Würde jemand erkennen, um wen es geht?
Der letzte Punkt ist wichtig. Die Datenschutzkonferenz weist darauf hin, dass das bloße Entfernen von Namen nicht genügt, weil auch Kontextinformationen eine Person identifizierbar machen können. „Die einzige Zahnärztin in einem Ort mit 800 Einwohnern“ braucht keinen Namen.
Wie schalte ich in ChatGPT das Training mit meinen Chats ab?
Regel zwei: Einstellungen prüfen. Bei privaten ChatGPT-Konten werden Ihre Eingaben standardmäßig zur Verbesserung der Modelle genutzt, solange Sie das nicht ausschalten. So deaktivieren Sie es:
- ChatGPT öffnen und das Profil-Menü aufrufen.
- Einstellungen wählen und dort den Bereich „Datenkontrollen“ öffnen.
- Die Option „Das Modell für alle verbessern“ ausschalten (englisch: „Improve the model for everyone“).
Das gilt für jedes einzelne Konto, auch für das Ihrer Mitarbeitenden. Wichtig: Diese Einstellung regelt nur das Training. Sie macht die Eingabe von Kundendaten nicht zulässig, denn einen Vertrag zur Auftragsverarbeitung bekommen Sie dadurch nicht. Bezeichnungen und Menüpunkte kann OpenAI jederzeit ändern.
Was bringt ein Firmen-Tarif wie ChatGPT Business?
Regel drei: Für die Firma einen Firmen-Tarif. OpenAI schreibt auf seiner Datenschutzseite für Unternehmen, dass Daten aus ChatGPT Business, ChatGPT Enterprise, ChatGPT Edu und der API standardmäßig nicht zum Training der Modelle verwendet werden. Außerdem unterstützt OpenAI den Abschluss eines Vertrags zur Auftragsverarbeitung (Data Processing Addendum). Für Kunden im Europäischen Wirtschaftsraum ist laut diesem Vertrag OpenAI Ireland Ltd. der Auftragsverarbeiter. Berechtigte Kunden können Inhalte außerdem in Europa speichern lassen.
ChatGPT Business hieß bis zum 29. August 2025 „ChatGPT Team“. Wenn Sie in älteren Anleitungen auf „Team“ stoßen, ist derselbe Tarif gemeint.
Auch mit Firmen-Tarif bleiben Sie selbst verantwortlich. Das stellt auch die österreichische Datenschutzbehörde klar: Wer fremde KI-Systeme einsetzt, bleibt Verantwortlicher im Sinne der DSGVO. Sie brauchen weiterhin eine Rechtsgrundlage, und Sie sollten nur so viele Personendaten eingeben, wie für die Aufgabe nötig sind. Der Tarif ist die Grundlage, keine Freikarte.
Muss mein Team im Umgang mit KI geschult sein?
Ja, in angemessenem Umfang. Artikel 4 der EU-KI-Verordnung (KI-Kompetenz) gilt seit dem 2. Februar 2025 und betrifft Unternehmen, die KI-Systeme einsetzen, also auch Betriebe, die nur ChatGPT nutzen. Seit der Änderung durch die Verordnung (EU) 2026/1744, die am 27. Juli 2026 in Kraft getreten ist, müssen Anbieter und Betreiber Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu fördern. Ein bestimmtes Kompetenzniveau müssen sie nicht mehr garantieren.
Ein kurzes Briefing mit den drei Regeln ist dafür ein vernünftiger Anfang. Halten Sie fest, wann Sie wen informiert haben. Die österreichische RTR (KI-Service-Stelle) empfiehlt, Schulungen zu dokumentieren, nennt das aber nicht als rechtliche Pflicht.
Und in Österreich?
Die DSGVO und die KI-Verordnung gelten in Österreich genauso wie in Deutschland, die drei Regeln funktionieren also unverändert. Unterschiede liegen bei den Behörden und beim Geheimnisschutz: Zuständig ist die Datenschutzbehörde (DSB), die dazu eigene FAQs zu KI und Datenschutz veröffentlicht hat. Sie empfiehlt Unternehmen, interne Regeln aufzustellen, welche Daten mit dem System verarbeitet werden dürfen.
Geschäftsgeheimnisse schützt in Österreich § 26b UWG. Der Oberste Gerichtshof hat 2024 (4 Ob 195/24s) betont, dass bloßer Geheimhaltungswille nicht genügt, es braucht angemessene Geheimhaltungsmaßnahmen. Eine schriftliche Regel zur KI-Nutzung ist so eine Maßnahme.
Wie lauten die drei Regeln als Vorlage für mein Team?
Meine Faustregel: Was Sie nicht auf eine offene Postkarte schreiben würden, gehört nicht in die Gratis-Version. Den folgenden Text können Sie kopieren und für Ihren Betrieb anpassen.
- Keine Personendaten und keine Geschäftsgeheimnisse in die Gratis-Version. Dazu zählen Kundennamen, Adressen, Verträge und interne Zahlen. Was in die KI soll, wird vorher anonymisiert („die Kundin“ statt Name).
- Einstellungen prüfen. Wer ein privates ChatGPT-Konto nutzt, schaltet unter Einstellungen, Datenkontrollen die Option „Das Modell für alle verbessern“ aus.
- Für Firmendaten nur den Firmen-Tarif. Wir nutzen ChatGPT Business mit Vertrag zur Auftragsverarbeitung. Auch dort geben wir nur so viele Personendaten ein, wie die Aufgabe braucht. Bei Zweifeln fragt [Name eintragen], bevor etwas eingegeben wird. Stand: [Datum].
Ob Ihre Website selbst den Datenschutz einhält, prüfen Sie mit meinem Beitrag Ist meine WordPress-Website DSGVO-konform?. Praktische Einsatzideen finden Sie unter Künstliche Intelligenz für Freiberufler. Bei Fragen zur Umsetzung auf Ihrer Website stehen meine Leistungen bereit, und über das Kontaktformular erreichen Sie mich, ganz ortsunabhängig.
Häufige Fragen
Darf ich ChatGPT Plus für die Arbeit nutzen?
Plus ist ein privater Tarif, bei dem das Training standardmäßig aktiv ist. Regel eins und zwei gelten dort unverändert. Für Firmendaten ist ein Firmen-Tarif der richtige Weg.
Reicht es, nur den Namen wegzulassen?
Nein. Auch Kontext wie Ort, Beruf oder Vertragsdetails kann eine Person erkennbar machen. Prüfen Sie den anonymisierten Text, bevor Sie ihn einfügen.
Wie hoch kann ein Bußgeld bei Datenschutzverstößen sein?
Bei Verstößen gegen die Grundsätze der Verarbeitung, etwa eine fehlende Rechtsgrundlage, sieht Art. 83 Abs. 5 DSGVO bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Bei Pflichten des Verantwortlichen, etwa dem Auftragsverarbeitungsvertrag nach Art. 28, sind es nach Abs. 4 bis zu 10 Millionen Euro oder 2 Prozent. Das sind Obergrenzen, im Einzelfall bemessen die Behörden die Höhe nach den Umständen.
Brauche ich eine Betriebsvereinbarung?
Das hängt von Ihrem Betrieb ab. Die Datenschutzkonferenz rät, zu prüfen, ob eine Dienst- oder Betriebsvereinbarung nötig ist. Wenn Sie einen Betriebsrat haben, beziehen Sie ihn früh ein.
Gelten die Regeln auch für andere KI-Tools?
Das Prinzip ist dasselbe: Prüfen Sie bei jedem Tool, ob Eingaben standardmäßig fürs Training genutzt werden und ob Sie einen Vertrag zur Auftragsverarbeitung bekommen. Die Angaben dazu stehen in den Unterlagen des jeweiligen Anbieters.
Dieser Beitrag ist keine Rechtsberatung. Stand: Oktober 2026.
Gunther Schoepf