Ist die Gratis-Version von ChatGPT für Firmendaten geeignet?

Nein. Bei Consumer-Konten (Gratis und Plus) fehlt der Auftragsverarbeitungsvertrag, und Eingaben können standardmäßig zur Verbesserung der Modelle genutzt werden. Personenbezogene Daten von Kunden oder Mitarbeitern haben dort nichts verloren.

Dürfen Mitarbeiter ChatGPT privat für die Arbeit nutzen?

Ohne Regelung ist das riskant, weil dabei häufig Firmendaten in ein privates Konto wandern. Betriebe sollten in einer KI-Richtlinie klar festlegen, welche Werkzeuge erlaubt sind und welche Eingaben verboten sind.

Macht ein AV-Vertrag ChatGPT automatisch DSGVO-konform?

Nein, er ist nur eine von mehreren Voraussetzungen. Zusätzlich müssen Trainingsausschluss, der Umgang mit dem Drittlandtransfer in die USA und interne Nutzungsregeln geklärt sein. Konformität entsteht aus dem Zusammenspiel von Vertrag, Technik und Organisation.

Was ist das Problem beim Drittlandtransfer in die USA?

Die DSGVO erlaubt Datenübermittlungen in Länder außerhalb der EU nur mit besonderen Garantien, etwa Standardvertragsklauseln oder einem Angemessenheitsbeschluss der EU-Kommission. Solche Rechtsgrundlagen können sich ändern, weshalb US-Dienste eine laufende Beobachtung erfordern.

Welche Eingaben sind in öffentlichen KI-Chatbots tabu?

Personenbezogene Daten von Kunden, Mitarbeitern und Geschäftspartnern, Gesundheitsdaten, Zugangsdaten sowie Geschäftsgeheimnisse. Als Faustregel gilt: Nichts eingeben, was nicht auch in einer öffentlichen E-Mail an einen Fremden stehen dürfte.

Ist ChatGPT DSGVO-konform? Die Rechtslage für österreichische Betriebe

Auf die Frage „Ist ChatGPT DSGVO-konform?” gibt es keine pauschale Antwort – es kommt auf die Version und auf die Art der Nutzung an. Consumer-Konten (Gratis und Plus) sind für personenbezogene Firmendaten ungeeignet, weil ein Auftragsverarbeitungsvertrag fehlt und Eingaben zur Modellverbesserung genutzt werden können. Business-Varianten (Team, Enterprise, API) bieten deutlich bessere vertragliche Grundlagen, verlagern die Verantwortung für einen konformen Einsatz aber nicht vom Betrieb weg: Ohne interne Regeln und Kontrolle der Eingaben bleibt das Risiko bestehen.

In Kürze

Die DSGVO-Konformität von ChatGPT hängt von der Kontoart ab: Consumer-Versionen sind für Firmendaten ungeeignet, Business-Versionen schaffen die vertragliche Basis.
Vier kritische Punkte: Trainingsnutzung der Eingaben, Datentransfer in die USA, personenbezogene Daten in Prompts, fehlender AV-Vertrag bei Privatkonten.
Auch mit Business-Vertrag bleibt Ihr Betrieb als Verantwortlicher in der Pflicht – die Konformität entscheidet sich an der täglichen Nutzung.
Eine kurze KI-Richtlinie mit erlaubten und verbotenen Eingaben ist die wirksamste Sofortmaßnahme.
Für die Arbeit mit internen Dokumenten sind EU-basierte Systeme mit Trainingsausschluss die risikoärmere Alternative.

Warum gibt es keine einfache Ja/Nein-Antwort?

ChatGPT ist kein einzelnes Produkt, sondern eine Familie von Angeboten mit sehr unterschiedlichen vertraglichen und technischen Rahmenbedingungen. Die Datenschutz-Grundverordnung (DSGVO) – das seit 2018 geltende europäische Datenschutzrecht – bewertet aber genau diese Rahmenbedingungen: Wer verarbeitet die Daten, auf welcher Rechtsgrundlage, mit welchen Garantien, und was passiert mit den Inhalten?

Die Kernunterscheidung verläuft zwischen Consumer- und Business-Angeboten:

Merkmal	Gratis / Plus (Consumer)	Team / Enterprise / API (Business)
Vertragspartner	Privatperson (auch wenn beruflich genutzt)	Unternehmen
AV-Vertrag nach Art. 28 DSGVO	Nicht vorgesehen	Verfügbar (als Data Processing Agreement)
Nutzung der Eingaben zum Modelltraining	Standardmäßig möglich (teils abschaltbar)	Vertraglich ausgeschlossen
Administrative Kontrolle (wer nutzt was)	Keine	Vorhanden
Eignung für personenbezogene Firmendaten	Nein	Nur mit zusätzlichen internen Maßnahmen

Schon diese Tabelle zeigt: Wer im Betrieb ein privates Gratis- oder Plus-Konto für Arbeitsaufgaben verwendet, bewegt sich außerhalb dessen, was die DSGVO für die Verarbeitung personenbezogener Daten verlangt.

Welche vier Punkte sind datenschutzrechtlich kritisch?

1. Trainingsnutzung der Eingaben. Bei Consumer-Konten können Eingaben standardmäßig zur Verbesserung der Modelle verwendet werden. Was einmal in ein Training eingeflossen ist, lässt sich praktisch nicht mehr zurückholen. Für personenbezogene Daten ist das mit den DSGVO-Grundsätzen der Zweckbindung und Löschbarkeit kaum vereinbar. Business-Versionen schließen die Trainingsnutzung vertraglich aus – dieser Unterschied ist der wichtigste einzelne Punkt bei der Bewertung.

2. Drittlandtransfer in die USA. ChatGPT wird von einem US-Unternehmen betrieben; Daten können in die USA übermittelt werden. Die DSGVO erlaubt solche Übermittlungen in ein „Drittland” (ein Land außerhalb der EU bzw. des Europäischen Wirtschaftsraums) nur mit besonderen Garantien – in der Praxis vor allem Standardvertragsklauseln (von der EU-Kommission vorformulierte Vertragsmuster) oder ein Angemessenheitsbeschluss der EU-Kommission. Solche Grundlagen existieren, sind aber in der Vergangenheit bereits gerichtlich gekippt worden und bleiben rechtlich umstritten. Betriebe, die US-Dienste einsetzen, müssen diesen Punkt laufend im Blick behalten.

3. Personenbezogene Daten in Prompts. Das größte Risiko sitzt oft vor der Tastatur: Mitarbeiter kopieren E-Mails, Bewerbungen, Kundenbeschwerden oder Verträge in das Eingabefeld – samt Namen, Adressen und teils sensiblen Angaben. Jede solche Eingabe ist eine Datenverarbeitung, für die der Betrieb als Verantwortlicher geradesteht. Ohne klare interne Regeln passiert das erfahrungsgemäß unbemerkt und flächendeckend.

4. Fehlender AV-Vertrag bei Consumer-Konten. Ein Auftragsverarbeitungsvertrag (AV-Vertrag) nach Art. 28 DSGVO ist Pflicht, wenn ein Dienstleister personenbezogene Daten im Auftrag des Betriebs verarbeitet. Bei privaten Konten gibt es diesen Vertrag nicht – die Nutzung für personenbezogene Firmendaten ist damit formal nicht abgesichert, unabhängig davon, wie sorgfältig der einzelne Mitarbeiter arbeitet.

Was sollten österreichische Betriebe konkret regeln?

Die gute Nachricht: Die wichtigsten Maßnahmen sind organisatorisch, nicht technisch – und in wenigen Tagen umsetzbar.

Eine KI-Richtlinie erstellen. Ein kurzes, verständliches Dokument (ein bis zwei Seiten genügen) legt fest:

Welche KI-Werkzeuge im Betrieb erlaubt sind und in welcher Version (nur Firmenkonten, keine Privatkonten für Arbeitszwecke).
Wer die Werkzeuge nutzen darf und wer für Freigaben zuständig ist.
Dass Ergebnisse vor Verwendung fachlich geprüft werden müssen – KI-Antworten können falsch sein.

Erlaubte und verbotene Eingaben definieren. Der praktischste Teil jeder Richtlinie ist eine klare Liste:

Verboten: Namen und Kontaktdaten von Kunden, Mitarbeitern und Bewerbern; Gesundheitsdaten; Gehaltsdaten; Zugangsdaten und Passwörter; Vertragsinhalte mit Geheimhaltungspflichten; Geschäftsgeheimnisse wie Kalkulationen.
Erlaubt: Allgemeine Textentwürfe ohne Personenbezug, öffentlich verfügbare Informationen, anonymisierte Beispiele (bei denen kein Rückschluss auf reale Personen möglich ist).

Mitarbeiter schulen. Eine kurze Einweisung erklärt die Regeln und die Gründe dahinter. Das erfüllt zugleich einen Teil der KI-Kompetenz-Pflicht aus Art. 4 des EU AI Act, der europäischen KI-Verordnung, die Betriebe schrittweise seit 2025 betrifft.

Verantwortlichkeit festlegen und dokumentieren. Bestimmen Sie eine Person, die KI-Themen betreut, neue Werkzeuge prüft und die Nutzung im Verzeichnis von Verarbeitungstätigkeiten dokumentiert. Orientierung bieten die österreichische Datenschutzbehörde (dsb.gv.at) und die Praxisinformationen der Wirtschaftskammer (wko.at).

Verstöße gegen die DSGVO können empfindliche Geldbußen nach sich ziehen – das eigentliche Alltagsrisiko für KMU ist aber der Vertrauensschaden gegenüber Kunden und Mitarbeitern, wenn deren Daten unkontrolliert in fremde Systeme gelangen. Dieser Artikel bietet eine allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall.

Welche Alternativen gibt es für die Arbeit mit Firmendokumenten?

Für viele Aufgaben, für die Mitarbeiter heute ChatGPT verwenden – Informationen in Dokumenten finden, Inhalte zusammenfassen, Wissen aus Altprojekten abrufen –, ist ein öffentlicher Chatbot ohnehin nicht das passende Werkzeug. Er kennt die Firmendokumente nicht und erfindet im Zweifel plausibel klingende Antworten.

Der risikoärmere Ansatz für solche Aufgaben sind Systeme, die von vornherein auf den europäischen Rechtsrahmen ausgelegt sind. Worauf es dabei ankommt:

EU-Serverstandort: Die Verarbeitung bleibt im Geltungsbereich der DSGVO; die Drittlandproblematik entfällt weitgehend.
Vertraglicher Trainingsausschluss: Ihre Inhalte fließen in kein KI-Training ein.
AV-Vertrag inklusive: Die Pflicht aus Art. 28 DSGVO ist ohne Zusatzverhandlung erfüllt.
Antworten nur aus eigenen Dokumenten mit Quellenangabe: Die KI antwortet auf Basis Ihrer Unterlagen und belegt, woher eine Aussage stammt – das reduziert erfundene Antworten und macht Ergebnisse überprüfbar.
Benutzer- und Rollenverwaltung: Sensible Dokumente sehen nur berechtigte Personen.

Ein Beispiel für diesen Ansatz ist die KI-Wissensdatenbank, die genau für dieses Szenario – KI-Abfragen ausschließlich über die eigenen Firmendokumente – entwickelt wurde. Öffentliche Chatbots und interne Dokumenten-KI schließen einander dabei nicht aus: Viele Betriebe nutzen beides, mit klarer Trennung, welche Aufgabe in welches Werkzeug gehört.

Wie hängt die ChatGPT-Frage mit dem größeren DSGVO-Rahmen zusammen?

Die Bewertung von ChatGPT ist letztlich ein Anwendungsfall der allgemeinen Grundsätze für den KI-Einsatz im Betrieb: Wo werden Daten verarbeitet, werden sie zum Training genutzt, gibt es einen AV-Vertrag, wer hat Zugriff? Wer diese Fragen für jedes Werkzeug systematisch stellt, kann auch neue Dienste schnell und einheitlich beurteilen – statt bei jedem Hype von vorn zu beginnen. Einen vollständigen Überblick über diese Grundsätze, die Rollenverteilung nach der DSGVO und eine Prüf-Checkliste für die Anbieter-Auswahl finden Sie im Beitrag KI und DSGVO in Österreich.

Als Merksatz für den Alltag: Nicht das Logo des Anbieters entscheidet über die DSGVO-Konformität, sondern Vertrag, Datenfluss und die Disziplin bei den Eingaben.