Darf ich Kundendaten in ChatGPT eingeben, wenn ich einen Business-Account habe?

Ein Business- oder Enterprise-Zugang mit Auftragsverarbeitungsvertrag verbessert die Ausgangslage deutlich, weil Training, Speicherdauer und Verantwortlichkeiten vertraglich geregelt sind. Eine pauschale Erlaubnis ist das trotzdem nicht – Rechtsgrundlage, Zweckbindung und Datenminimierung gelten weiter.

Reicht es, den Namen zu löschen?

Nicht immer. Entscheidend ist, ob sich die Person aus den verbleibenden Angaben wieder identifizieren lässt. Bei kleinen Zielgruppen genügen dafür oft schon Ort, Funktion und Zeitraum.

Wer haftet, wenn Mitarbeiter:innen Daten hochladen?

Verantwortlich im Sinne der DSGVO ist das Unternehmen, nicht die einzelne Person. Deshalb liegt es im eigenen Interesse, klare Vorgaben zu machen und die Schulung zu dokumentieren.

Brauchen kleine Unternehmen wirklich eine KI-Richtlinie?

Ja, und meistens ist sie schnell gemacht. Eine Seite mit freigegebenen Tools, erlaubten Datenarten und einem Ansprechpartner für Zweifelsfälle reicht für den Anfang völlig aus.

Kundendaten in ChatGPT & Co: Die Fehler, die fast jedes Team macht.

3. Aug.
3 Min. Lesezeit

Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung. Für die rechtliche Beurteilung konkreter Fälle wende dich bitte an eine qualifizierte Rechtsanwältin oder einen Rechtsanwalt. Personenbezogene Kundendaten gehören nicht in ein öffentliches KI-Tool. Das klingt selbstverständlich – passiert im Arbeitsalltag aber ständig. Nicht aus Leichtsinn, sondern weil im Unternehmen nie jemand konkret erklärt hat, wo die Grenzen liegen. Genau da setzt dieser Beitrag an: mit fünf Fragen, die dein Team beantworten können muss, bevor die erste Datei hochgeladen wird.

Was ich kürzlich in einem Unternehmen erlebt habe:

Ich bin über etwas gestolpert, das mir zu denken gegeben hat: Mitarbeiter:innen hatten Kundenblätter in ChatGPT hochgeladen. Mit Namen, Kontaktdaten und weiteren personenbezogenen Angaben.

Keine böse Absicht dahinter. Im Gegenteil – die Leute wollten die KI sinnvoll einsetzen und sich den Arbeitstag erleichtern. Sie hatten nur nie gehört, dass zwischen „Fasse mir diesen Text zusammen" und „Wertet mir diese Kundenliste aus" ein datenschutzrechtlicher Unterschied liegt.

Mit dem Satz „Ihr dürft jetzt ChatGPT verwenden" ist es eben nicht getan. Eine Freigabe ohne Spielregeln erzeugt genau die Situation, die niemand wollte.

Die fünf Fragen, die dein Team beantworten können muss:

Welche Daten darf ich überhaupt eingeben? Namen, Adressen, Telefonnummern, Kundennummern, E-Mails, Gesundheits- oder Vertragsdaten – all das ist personenbezogen und hat in einem öffentlichen KI-Tool nichts verloren. Die Faustregel für den Alltag: Wenn sich aus dem Text eine konkrete Person erkennen lässt, ist Vorsicht angesagt.
Was muss ich vorher anonymisieren? Oft reicht es, mit Platzhaltern zu arbeiten. Aus „Firma Müller GmbH, Frau Huber" wird „Kunde A, Ansprechpartnerin B". Der Prompt funktioniert genauso gut, die KI liefert dasselbe Ergebnis – nur ohne echte Daten. Wichtig: Auch Kombinationen können eine Person identifizierbar machen, etwa Postleitzahl plus Beruf plus Geburtsjahr.
Welche Tools und Accounts sind im Unternehmen freigegeben? Ein privater Gratis-Account ist etwas anderes als ein Business- oder Enterprise-Zugang mit Auftragsverarbeitungsvertrag, abgeschaltetem Training und definierter Speicherdauer. Dein Team braucht eine klare Liste: Diese Tools ja, mit diesem Account, für diese Aufgaben.
Was passiert mit den hochgeladenen Daten? Werden sie fürs Training verwendet? Wie lange werden sie gespeichert? Wo stehen die Server? Diese Antworten stehen in den Nutzungsbedingungen des jeweiligen Anbieters und unterscheiden sich je nach Tarif deutlich. Wer sie einmal nachliest, spart sich später viel Diskussion.
Wie gehe ich mit internen oder vertraulichen Infos um? Kalkulationen, Verträge, Angebotsentwürfe, Personalthemen, Protokolle aus Führungsrunden: Auch ohne Personenbezug kann das Geschäftsgeheimnis oder eine vertragliche Verschwiegenheitspflicht betroffen sein. Dafür braucht es dieselbe Klarheit wie für Kundendaten.

Was in der Regel unproblematisch ist:

Dein Marketing-Text, dein Social-Media-Post, deine Blog-Artikel – all das fällt in der Regel nicht unter die Kennzeichnungspflicht, wenn eine namentlich benannte Person den Text gelesen, angepasst und freigegeben hat. Der entscheidende Punkt ist die redaktionelle Prüfung vor der Veröffentlichung, nicht das Werkzeug, mit dem der erste Entwurf entstanden ist.

So bringst du es ins Unternehmen:

Drei Schritte, die sich in der Praxis bewährt haben:

Schritt 1: Freigegebene Tools festlegen. Ein Blatt Papier reicht: Welche KI-Tools, welcher Account, wer bezahlt, wer verwaltet die Zugänge.

Schritt 2: Eine kurze KI-Richtlinie schreiben. Eine Seite, in normaler Sprache, mit konkreten Beispielen aus dem eigenen Arbeitsalltag. Keine 20-seitige Compliance-Broschüre, die niemand liest.

Schritt 3: Schulen statt informieren. Der entscheidende Teil. Zu jeder KI-Einführung gehört eine ordentliche Schulung – nicht nur zum Prompten, sondern vor allem dazu, was mit KI okay ist und was nicht. Wer weiß, wo die Grenzen liegen, arbeitet danach entspannter und schneller.

Häufige Fragen zu Datenschutz und KI im Unternehmen:

Darf ich Kundendaten in ChatGPT eingeben, wenn ich einen Business-Account habe? Ein Business- oder Enterprise-Zugang mit Auftragsverarbeitungsvertrag verbessert die Ausgangslage deutlich, weil Training, Speicherdauer und Verantwortlichkeiten vertraglich geregelt sind. Eine pauschale Erlaubnis ist das trotzdem nicht – Rechtsgrundlage, Zweckbindung und Datenminimierung gelten weiter.
Reicht es, den Namen zu löschen? Nicht immer. Entscheidend ist, ob sich die Person aus den verbleibenden Angaben wieder identifizieren lässt. Bei kleinen Zielgruppen genügen dafür oft schon Ort, Funktion und Zeitraum.
Wer haftet, wenn Mitarbeiter:innen Daten hochladen? Verantwortlich im Sinne der DSGVO ist das Unternehmen, nicht die einzelne Person. Deshalb liegt es im eigenen Interesse, klare Vorgaben zu machen und die Schulung zu dokumentieren.
Brauchen kleine Unternehmen wirklich eine KI-Richtlinie? Ja, und meistens ist sie schnell gemacht. Eine Seite mit freigegebenen Tools, erlaubten Datenarten und einem Ansprechpartner für Zweifelsfälle reicht für den Anfang völlig aus.