Gut möglich, dass in Ihrem Betrieb längst jemand ChatGPT nutzt, für die Antwort auf eine Reklamation oder einen Angebotstext, oft im eigenen Gratis-Konto auf dem Handy. In einer im Oktober 2025 veröffentlichten Umfrage des Bitkom gingen vier von zehn Unternehmen ab 20 Beschäftigten davon aus, dass ihre Leute private KI-Zugänge nutzen. Regeln für den KI-Einsatz hatten 23 Prozent.
Verbieten müssen Sie das nicht. Die Datenschutzkonferenz empfiehlt, den Einsatz zu regeln und Geräte und Konten für die Arbeit zu stellen. Es kommt also darauf an, in welchem Konto und mit welchen Daten gearbeitet wird. Ich bin kein Anwalt, das hier ist keine Rechtsberatung.
Was im privaten Konto mit den Daten passiert
Die Tarife Free, Go und Plus sind laut OpenAI für Einzelpersonen gedacht, nicht für Firmen. Auch im bezahlten Abo darf OpenAI die Eingaben zum Training seiner Modelle nutzen, bis der Kontoinhaber widerspricht. Gespeichert wird in den USA und weltweit, und bei Verdacht auf Missbrauch dürfen Mitarbeiter von OpenAI und beauftragte Dienstleister Chats ansehen. Einen Vertrag zwischen Ihrem Betrieb und OpenAI gibt es bei so einem Konto nicht. OpenAI ist dann selbst für die Daten verantwortlich und verarbeitet sie nach seiner eigenen Datenschutzrichtlinie, nicht nach Ihren Vorgaben.
Dass es das private Konto Ihres Mitarbeiters ist, hilft Ihnen nur bedingt. Laut der Hamburger Datenschutzbehörde kann der Arbeitgeber unter Umständen haften, wenn es keine Regeln gibt und die Leute auf eigene Faust mit KI arbeiten.
Den Schalter fürs Training finden Sie unter Einstellungen, Datenkontrollen, „Das Modell für alle verbessern“. Er gilt für das ganze Konto auf allen Geräten, aber nur für neue Chats. Für den Sprachmodus gibt es laut OpenAI eine eigene Einstellung, die Sie gesondert ausschalten müssen. Und wer bei einer Antwort auf Daumen hoch oder runter klickt, erlaubt OpenAI, das ganze Gespräch fürs Training zu nutzen, auch wenn der Schalter aus ist. In ChatGPT Business trainiert OpenAI laut derselben Seite standardmäßig nicht mit Ihren Eingaben.
Eine Ampel für Ihre Leute
Die eigentliche Frage Ihrer Mitarbeiter lautet: Was darf ich da reinkopieren? Ich sortiere das wie eine Ampel. Das ist meine Empfehlung, keine Rechtslage. Sie folgt dem, was die Datenschutzbehörden und das BSI schreiben.
Grün ist alles ohne Personen und ohne Betriebsgeheimnisse, etwa ein Werbetext für ein Produkt oder eine Stellenanzeige. Was die Daten angeht, ist das in jedem Konto unkritisch.
Gelb ist alles über Menschen: die Mail einer Kundin mit ihrem Namen, eine Reklamation, eine Lieferadresse, der Dienstplan Ihrer Leute. Das gehört nur in ein Firmenkonto bei einem Anbieter, mit dem Ihr Betrieb einen Vertrag zur Auftragsverarbeitung hat, kurz AVV. Darin sagt der Anbieter zu, die Daten nur nach Ihren Vorgaben zu verarbeiten. Behält sich ein Anbieter vor, die Eingaben für eigene Zwecke zu nutzen, wie im privaten Konto, dürfen laut Hamburger Datenschutzbehörde grundsätzlich keine Daten über Personen hinein. Den Namen zu löschen reicht in der Regel nicht. Bei einer Reklamation über den roten Transporter mit der Delle hinten links weiß in einer kleinen Stadt jeder, wem er gehört. Und auch im Firmenkonto braucht jede Verarbeitung eine eigene Rechtsgrundlage, der AVV allein ist kein Freibrief.
Rot gehört nach meiner Empfehlung gar nicht in ChatGPT, auch nicht ins Firmenkonto: Ihre Kalkulation, Konstruktionszeichnungen, Passwörter, Zugangsdaten und Gesundheitsdaten wie die Krankmeldung eines Mitarbeiters. Gesundheitsdaten zu verarbeiten ist nach Art. 9 DSGVO grundsätzlich verboten und nur in Ausnahmen erlaubt. Eine Kalkulation ist ein typisches Geschäftsgeheimnis. Nach dem Gesetz gilt sie aber nur dann als Geschäftsgeheimnis, wenn Sie angemessene Maßnahmen zur Geheimhaltung treffen.
Der Plan in vier Schritten
Verbieten halte ich für den falschen Weg. Die Arbeit, für die Ihre Leute ChatGPT nehmen, ist trotzdem da. Dann läuft es eben heimlich auf dem Handy weiter, und Sie erfahren gar nichts mehr. Als Chef dürfen Sie den Umgang regeln, das erlaubt § 106 der Gewerbeordnung. Gibt es einen Betriebsrat, holen Sie ihn dazu, je nach Fall darf er mitbestimmen.
Erstens: Fragen Sie nach, wer was wofür in welchem Konto nutzt. Sagen Sie dazu, dass es keinen Ärger gibt, sonst bekommen Sie keine ehrlichen Antworten.
Zweitens: Schreiben Sie eine Seite Regeln, nicht zwanzig, mit der Ampel und Beispielen aus Ihrem Betrieb. Solche Beispiele empfiehlt auch die Datenschutzkonferenz.
Drittens: Stellen Sie Ihren Leuten Firmenkonten, in denen das Training ausgeschaltet ist. Dafür gibt es zwei Wege. Der eine ist ChatGPT Business, ab zwei Nutzern, mit einem AVV, den OpenAI DPA nennt. Der andere ist eine Plattform mit Servern in der EU, zum Beispiel Langdock, wo Sie mit Modellen von OpenAI und anderen Anbietern arbeiten. Bei Langdock bin ich Vertriebspartner, das sage ich offen dazu. Beides gibt es je nach Tarif und Laufzeit ab grob 20 bis 30 Euro pro Person und Monat, zuzüglich Umsatzsteuer.
Viertens: Erklären Sie es einmal. Nach Artikel 4 der KI-Verordnung müssen Betriebe, die KI einsetzen, etwas für die KI-Kompetenz ihrer Leute tun. Die Pflicht gilt seit Februar 2025, im Juli 2026 hat die EU sie neu gefasst: Ein bestimmtes Niveau muss niemand mehr sicherstellen, Maßnahmen braucht es aber weiterhin. Die EU-Kommission nennt genau diesen Fall: Wer ChatGPT nutzt, soll über die Risiken informiert werden, etwa darüber, dass die KI manchmal etwas erfindet. Ein Zertifikat braucht es laut Kommission nicht. Als Nachweis reicht eine interne Notiz, wer wann eingewiesen wurde.
Was Sie heute schon tun können
Schreiben Sie Ihren Leuten eine kurze Nachricht: Wer ChatGPT für die Arbeit nutzt, schaltet „Das Modell für alle verbessern“ sofort aus, und wer mit ChatGPT spricht, auch die eigene Einstellung für den Sprachmodus. Bis es eine Lösung gibt, kommt nichts mehr über Kunden oder Kollegen hinein. Alte Chats, in denen es um sie geht, bitte löschen. Ärger gibt es keinen. Gelöschte Chats will OpenAI laut eigener Angabe innerhalb von 30 Tagen aus seinen Systemen entfernen, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Löschen kann aber nur, wem das Konto gehört.
Den Klickweg und weitere Beispiele zeige ich im Video ChatGPT im Unternehmen nutzen. Wohin das Rote gehört, steht im Beitrag Lokale KI oder Cloud.
Quellen
- Bitkom: Beschäftigte nutzen vermehrt Schatten-KI, 21.10.2025. https://www.bitkom.org/Presse/Presseinformation/Beschaeftigte-nutzen-Schatten-KI
- Datenschutzkonferenz: Orientierungshilfe Künstliche Intelligenz und Datenschutz, 06.05.2024. https://www.datenschutzkonferenz-online.de/media/oh/20240506_DSK_Orientierungshilfe_KI_und_Datenschutz.pdf
- OpenAI: ChatGPT-Preise. https://chatgpt.com/de-DE/pricing/
- OpenAI-Hilfe: Wie OpenAI Daten in Verbraucherdiensten verarbeitet. https://help.openai.com/de-de/articles/7039943-data-usage-for-consumer-services-faq
- OpenAI: EU-Datenschutzrichtlinie. https://openai.com/de-DE/policies/eu-privacy-policy/
- Hamburgische Beauftragte für Datenschutz: Checkliste zum Einsatz LLM-basierter Chatbots, 13.11.2023. https://datenschutz-hamburg.de/fileadmin/user_upload/HmbBfDI/Datenschutz/Informationen/20231113_Checkliste_LLM_Chatbots_DE.pdf
- OpenAI-Hilfe: Datenkontrollen in ChatGPT. https://help.openai.com/de-de/articles/7730893-data-controls-in-chatgpt
- OpenAI-Hilfe: Wie deine Daten zur Verbesserung unserer Modelle verwendet werden. https://help.openai.com/de-de/articles/5722486-how-your-data-is-used-to-improve-model-performance
- Datenschutz-Grundverordnung, Art. 9. https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679
- § 2 Gesetz zum Schutz von Geschäftsgeheimnissen. https://www.gesetze-im-internet.de/geschgehg/__2.html
- § 106 Gewerbeordnung, Weisungsrecht des Arbeitgebers. https://www.gesetze-im-internet.de/gewo/__106.html
- OpenAI: Zusatz zur Datenverarbeitung (DPA). https://openai.com/de-DE/policies/data-processing-addendum/
- EU-Kommission: AI Literacy, Questions & Answers. https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers
- OpenAI-Hilfe: Aufbewahrung von Chats und Dateien in ChatGPT. https://help.openai.com/de-de/articles/8983778-chat-and-file-retention-policies-in-chatgpt
Stand: 3. November 2026. Die Angaben zu Tarifen und Einstellungen stammen von den Seiten der Anbieter und können sich ändern.