ChatGPT DSGVO-konform im Unternehmen nutzen: AVV, Business vs. Free, EU-Datenresidenz

Viele Unternehmen nutzen ChatGPT bereits im Arbeitsalltag – für Angebotsentwürfe, Kundenkommunikation, interne Dokumentation. Die wenigsten haben geprüft, ob die gewählte Tarifvariante das überhaupt datenschutzrechtlich erlaubt. Der Unterschied zwischen einem Free-Account und einem Business- oder Enterprise-Plan ist dabei nicht Komfort, sondern Compliance.

Hinweis: Dieser Beitrag ist keine Rechts- oder Datenschutzberatung. Er ordnet die technischen und vertraglichen Rahmenbedingungen ein. Verbindliche Einschätzungen zur Zulässigkeit in Ihrem Unternehmen sollten Sie mit einem Datenschutzbeauftragten oder Rechtsanwalt abstimmen. Stand: Juli 2026.

Wann braucht ein Unternehmen überhaupt einen AVV?

Sobald personenbezogene Daten in ChatGPT eingegeben werden, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO Pflicht. Personenbezogene Daten sind nicht nur Kundennamen und E-Mail-Adressen – es reicht, wenn aus dem Text einzelne Personen identifizierbar wären, etwa durch die Kombination von Berufsbezeichnung, Standort und Situation.

Praktische Beispiele, die einen AVV auslösen:

• Angebots- oder Mahnschreiben mit Kundendaten formulieren
• Bewerbungsunterlagen oder Mitarbeiterdaten zusammenfassen
• Kundenbeschwerden oder Supportfälle aufbereiten
• Personenbezogene Notizen oder Gesprächsprotokolle strukturieren

Werden ausschließlich vollständig anonyme oder frei erfundene Texte verarbeitet, entfällt die AVV-Pflicht. In der betrieblichen Praxis ist das die Ausnahme, nicht die Regel.

Verstöße gegen Art. 28 DSGVO können mit Bußgeldern bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist.

Welcher ChatGPT-Plan bietet einen AVV – und welcher nicht?

Nur die kostenpflichtigen Business-Tarife (Business, Enterprise, Edu) und die API ermöglichen den Abschluss eines AVV mit OpenAI. Für Free- und Plus-Konten ist kein Data Processing Addendum (DPA) verfügbar.

Das aktuelle OpenAI-DPA wurde zum 1. Januar 2026 aktualisiert und umfasst die DSGVO-Standardvertragsklauseln (SCCs), UK GDPR, Schweizer DSG sowie CCPA. Für Unternehmen in der EU sind die SCCs die entscheidende Grundlage für den Datentransfer in die USA, da OpenAI seinen Unternehmenssitz in San Francisco hat.

Quellen: OpenAI Data Processing Addendum, OpenAI Enterprise Privacy

Was passiert mit meinen Eingaben – werden sie zum Training genutzt?

Bei Free- und Plus-Konten werden Konversationen standardmäßig zum Training von OpenAIs Modellen genutzt; dieser Standard kann in den Einstellungen deaktiviert werden, ändert aber nichts am fehlenden AVV. Ab ChatGPT Business werden Eingaben grundsätzlich nicht für das Training verwendet – es sei denn, der Nutzer aktiviert dies ausdrücklich.

Der Opt-out beim Free/Plus-Konto löst das Problem nicht: Ohne AVV fehlt die vertragliche Grundlage für die Datenverarbeitung. Die technische Maßnahme (kein Training) ersetzt keine DSGVO-konforme Vertragsgestaltung.

Quelle: OpenAI – How your data is used

Wann ist EU-Datenresidenz nötig?

EU-Datenresidenz ist nicht für alle Unternehmen zwingend erforderlich, kann aber für besonders schutzbedürftige Daten sinnvoll oder vertraglich gefordert sein. Die Standardvertragsklauseln im OpenAI-DPA bieten eine zulässige Rechtsgrundlage für den Transfer in die USA – für viele KMU ist das ausreichend.

Unternehmen, bei denen EU-Datenresidenz eine eigene Prüfung verdient:

• Arztpraxen, Apotheken, psychologische Beratungsstellen: Gesundheitsdaten sind besondere Kategorien nach Art. 9 DSGVO; das Schutzniveau muss nachweislich hoch sein.
• Anwaltskanzleien und Steuerberater: Mandantendaten unterliegen gesetzlicher Verschwiegenheitspflicht.
• Öffentliche Aufträge: Manche Ausschreibungsbedingungen verlangen EU-Datenhoheit.

Seit dem 16. Januar 2026 bietet OpenAI für Enterprise- und API-Kunden neben der Datenspeicherung in Europa auch GPU-Inference in der EU an – das heißt, die Verarbeitung der Anfragen selbst findet auf europäischen Servern statt. ChatGPT Business bietet diese Option nicht.

Quelle: OpenAI – Introducing Data Residency in Europe

Welche Hinweise gibt die deutsche Datenschutzkonferenz?

Die DSK hat im Mai 2024 eine Orientierungshilfe „KI und Datenschutz" veröffentlicht, die konkrete Anforderungen für den Unternehmenseinsatz von KI-Tools wie ChatGPT benennt. Kernpunkte für die betriebliche Praxis:

• Den Zweck des KI-Einsatzes vor der Einführung schriftlich festlegen
• Rechtsgrundlage für die Datenverarbeitung bestimmen (bei externen KI-Diensten: AVV + SCCs)
• Keine Klarnamen von Mitarbeitenden in Konten eintragen; funktionale E-Mail-Adressen verwenden
• Mitarbeitende über zulässige und unzulässige Eingaben informieren

Quelle: DSK Orientierungshilfe KI und Datenschutz (PDF, Mai 2024)

Welche Maßnahmen sollte jedes Unternehmen einführen?

Eine interne ChatGPT-Nutzungsrichtlinie muss nicht lang sein, aber sie muss existieren. Die folgende Checkliste deckt die wesentlichen Punkte ab:

1. Planwahl klären: Free und Plus nur für vollständig anonyme Texte; für betriebliche Prozesse mit Personenbezug mindestens ChatGPT Business mit abgeschlossenem DPA.
2. AVV prüfen und archivieren: Das OpenAI-DPA herunterladen und als Teil der DSGVO-Dokumentation ablegen.
3. Eingabe-Verbote kommunizieren: Mitarbeitende schriftlich informieren, welche Datenkategorien nicht in ChatGPT eingegeben werden dürfen (z. B. Sozialversicherungsnummern, Bankdaten, besondere Kategorien nach Art. 9).
4. Account-Hygiene: Kein privater Free-Account für betriebliche Aufgaben; zentrale Unternehmenskonten mit nachvollziehbarer Zuweisung.
5. Verzeichnis der Verarbeitungstätigkeiten (VVT): ChatGPT als Verarbeitungstätigkeit eintragen, inkl. Zweck, Rechtsgrundlage, Empfänger.
6. Jährliche Überprüfung: OpenAI aktualisiert Datenschutzrichtlinien regelmäßig – Änderungen im DPA prüfen und ggf. Maßnahmen anpassen.

Fazit

ChatGPT ist DSGVO-konform einsetzbar – aber nicht in jedem Plan und nicht ohne vertragliche Grundlage. Wer heute mit einem Free- oder Plus-Konto betriebliche Daten verarbeitet, handelt ohne AVV und damit außerhalb der DSGVO. Der Wechsel auf ChatGPT Business ist der pragmatische erste Schritt: DPA verfügbar, kein Training der Modelle, überschaubare Kosten.

Für Unternehmen mit höheren Anforderungen an Datensouveränität – Gesundheitsbranche, Kanzleien, Behördendienstleister im Ruhrgebiet und andernorts – lohnt sich die Prüfung von ChatGPT Enterprise oder der API mit EU-Datenresidenz.

Sie wollen wissen, welcher Plan und welche Richtlinien für Ihren Betrieb passen? Für Unternehmen in Recklinghausen und dem Ruhrgebiet helfe ich Ihnen gerne dabei, ChatGPT und andere KI-Tools datenschutzkonform einzuführen – in einem kostenlosen Erstgespräch.