Ist ChatGPT DSGVO-konform? Was Unternehmen 2026 beachten müssen

ChatGPT gehört in vielen Unternehmen längst zum Arbeitsalltag: E-Mails formulieren, Texte kürzen, Angebote vorbereiten, Recherchen zusammenfassen. Oft beginnt das mit privaten Konten einzelner Mitarbeitender, ohne dass Datenschutz oder IT davon wissen. Spätestens wenn dabei Namen, Kundendaten oder interne Dokumente im Eingabefeld landen, ist die DSGVO im Spiel.

Ob dieser Einsatz zulässig ist, entscheidet sich an drei Stellen. Keine davon liegt allein bei OpenAI.

OpenAI unterscheidet zwischen privaten Tarifen und Tarifen für Unternehmen. Der Unterschied ist datenschutzrechtlich grundlegend und keine Frage des Funktionsumfangs.

Für Business, Enterprise, Edu und die API sagt OpenAI zu, Eingaben und Ausgaben standardmäßig nicht zum Training zu verwenden, und verweist auf Prüfungen nach SOC 2 Typ 2 sowie Zertifizierungen nach ISO/IEC 27001, 27017, 27018 und 27701. Das sind gute Voraussetzungen. Die Pflichten, die beim Unternehmen selbst liegen, ersetzen sie nicht.

Vertragspartner für Kunden aus dem Europäischen Wirtschaftsraum ist seit Februar 2024 die OpenAI Ireland Limited. Für die Unternehmenstarife bietet OpenAI einen Auftragsverarbeitungsvertrag an, das Data Processing Addendum. Die aktuelle Fassung gilt seit dem 1. Januar 2026.

Ein Auftragsverarbeitungsvertrag regelt, wie OpenAI mit Ihren Daten umgeht. Ob Sie die Daten überhaupt mit ChatGPT verarbeiten dürfen, regelt er nicht. Dafür brauchen Sie weiterhin eine eigene Rechtsgrundlage, im Unternehmensalltag meist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Und Ihre Datenschutzhinweise müssen OpenAI als Empfänger und die Übermittlung in die USA nennen.

Seit 2025 können Unternehmenskunden bei OpenAI festlegen, dass Inhalte in Europa gespeichert werden. Für neue Workspaces in Enterprise und Edu ist das wählbar, für Business wird es schrittweise eingeführt und steht noch nicht allen Konten zur Verfügung. Bei der API lässt sich für unterstützte Schnittstellen auch die Verarbeitung in Europa festlegen.

Datenresidenz ist ein echter Fortschritt. Alle Fragen löst sie nicht.

Wie sehr der Tarif dabei zählt, zeigte 2025 ein US-Urheberrechtsstreit. Im Mai 2025 verpflichtete ein Gericht in New York OpenAI, auch gelöschte Unterhaltungen aufzubewahren. Betroffen waren Free, Plus, Pro, Team und die API ohne vereinbarten Verzicht auf Speicherung. Enterprise und Edu waren ausgenommen. Die Pflicht endete am 26. September 2025, Unterhaltungen aus dem EWR sind nach Angaben von OpenAI von der weiteren Aufbewahrung ausgenommen. Das Beispiel zeigt, dass Speicherfragen auch von Verfahren außerhalb der EU abhängen und dass der Tarif darüber mitentscheidet.

Gelöschte Unterhaltungen entfernt OpenAI nach eigenen Angaben innerhalb von 30 Tagen, sofern keine rechtliche Pflicht entgegensteht. Für Ihr Löschkonzept heißt das: Aufbewahrungsfristen in ChatGPT bewusst festlegen und dokumentieren.

Der Vertrag schafft den Rahmen. Ob der Einsatz im Alltag zulässig ist, entscheidet sich am Eingabefeld. Eine einfache Ampel hilft dabei mehr als ein pauschales Verbot.

Zwei Funktionen verdienen besondere Aufmerksamkeit: die Gedächtnisfunktion, die Informationen über einzelne Unterhaltungen hinaus speichert, und Anbindungen an E-Mail, Laufwerke oder Kalender. Beide erweitern den Umfang der verarbeiteten Daten erheblich und sollten erst nach Prüfung freigeschaltet werden. Und für alle Ausgaben gilt: Aussagen über Personen können falsch sein. Sie müssen geprüft werden, bevor sie verwendet werden, denn die DSGVO verlangt richtige Daten.

Im März 2026 hat ein Gericht in Rom das Bußgeld von 15 Millionen Euro aufgehoben, das die italienische Datenschutzbehörde Ende 2024 gegen OpenAI verhängt hatte. Der Grund lag nicht in der Sache, sondern in der Zuständigkeit: Seit OpenAI Ireland im Februar 2024 zur Hauptniederlassung in der EU wurde, ist die irische Datenschutzbehörde federführend. Über die inhaltlichen Vorwürfe hat das Gericht nicht entschieden.

Für Unternehmen in Deutschland ist eine andere Unterscheidung wichtiger. Die irische Behörde beaufsichtigt OpenAI. Ihren Einsatz von ChatGPT beaufsichtigt die Datenschutzbehörde Ihres Bundeslandes. Ob OpenAI selbst alles richtig macht, entbindet Sie nicht von Ihren eigenen Pflichten.

Was die deutschen Aufsichtsbehörden erwarten, haben sie in ihrer Orientierungshilfe zu KI und Datenschutz vom Mai 2024 zusammengefasst, ergänzt durch eine Checkliste des Hamburger Datenschutzbeauftragten für Chatbots auf Basis großer Sprachmodelle:

Zur Folgenabschätzung: Auf der Liste der Aufsichtsbehörden für verpflichtende Datenschutz-Folgenabschätzungen steht ausdrücklich der Einsatz von KI, um die Interaktion mit Betroffenen zu steuern oder persönliche Aspekte zu bewerten. Ein Chatbot im Kundenkontakt oder eine KI-gestützte Vorauswahl von Bewerbungen fällt typischerweise darunter. Das Umformulieren interner Texte nicht.

Die im Digital Omnibus geplanten Änderungen an der DSGVO ändern daran vorerst nichts. Sie werden noch verhandelt, bis zu einem Abschluss gilt die DSGVO unverändert.

Neben der DSGVO greift die KI-Verordnung. Wer ChatGPT im Unternehmen nutzt, ist Betreiber eines KI-Systems. Die meisten Pflichten treffen OpenAI als Anbieter, einige aber auch Sie.

ChatGPT gehört damit in zwei Verzeichnisse: ins KI-Inventar nach EU AI Act und, sobald personenbezogene Daten verarbeitet werden, ins Verarbeitungsverzeichnis nach Art. 30 DSGVO.

Die Aufsichtsbehörden empfehlen, private Konten zu untersagen und dienstliche Lizenzen bereitzustellen. Arbeitsrechtlich hat dieser Schritt eine Folge, die viele nicht auf dem Schirm haben.

Das Arbeitsgericht Hamburg hat im Januar 2024 entschieden, dass der Betriebsrat nicht mitbestimmen muss, wenn Beschäftigte ChatGPT freiwillig über private Konten nutzen (Az. 24 BVGa 1/24). Der tragende Grund: Die Nutzungsdaten entstehen beim Anbieter, der Arbeitgeber hat keinen Zugriff darauf und kann das Verhalten daher nicht überwachen.

Bei Firmenkonten sieht das anders aus. Unternehmenstarife bringen eine Verwaltungsoberfläche mit, über die der Arbeitgeber Konten und Nutzung verwalten und je nach Tarif weitere Protokolldaten auswerten kann. Für die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG genügt nach ständiger Rechtsprechung, dass eine Software objektiv zur Überwachung geeignet ist. Damit spricht viel dafür, dass sie bei Firmenkonten greift. Die Hamburger Entscheidung erging zudem im Eilverfahren und in erster Instanz.

ChatGPT lässt sich datenschutzkonform einsetzen. Aber nicht mit dem Konto, das sich jemand vor zwei Jahren privat angelegt hat, und nicht ohne eine Regel dafür, was ins Eingabefeld darf.

Die DSGVO-Frage ist dabei nur ein Teil der Antwort. Dasselbe Werkzeug ist ein KI-System nach EU AI Act, eine Verarbeitung im Sinne der DSGVO und ein Thema für den Betriebsrat. Wer diese drei Perspektiven getrennt bearbeitet, macht die Arbeit dreimal. Wer sie an einer Stelle zusammenführt, erledigt sie einmal.

Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Angaben zu Tarifen und Funktionen von OpenAI beruhen auf den Veröffentlichungen des Anbieters und können sich ändern. Stand: 5. Oktober 2026.