ChatGPT ist in den meisten Unternehmen längst im Einsatz, nur hat das niemand entschieden. Beschäftigte öffnen es im Browser, melden sich mit der privaten Adresse an und fügen ein, woran sie gerade arbeiten: eine Kundenmail, ein Angebot, einen Vertragsentwurf. Schatten-IT nennt man das, und der Datenschutzbeauftragte erfährt zuletzt davon. Auf dieser Seite steht, woran das rechtlich hängt, was ein kommerzieller Tarif daran ändert, welche Alternativen es gibt und was Sie im eigenen Haus regeln müssen.
Fünf Punkte stehen offen, sobald jemand ein privates Konto für Firmendaten benutzt. Sie hängen zusammen, und keiner davon lässt sich durch eine Ansage in der Teambesprechung schließen.
Artikel 28 Absatz 3 DSGVO verlangt für die Verarbeitung durch einen Auftragsverarbeiter einen Vertrag, der den Auftragsverarbeiter gegenüber dem Verantwortlichen bindet. Wer sich privat anmeldet, schließt einen Vertrag für sich selbst. Ihr Unternehmen steht darin nicht – Ihre Kundendaten schon.
Für die Verbraucherversion schreibt OpenAI selbst, dass ChatGPT durch weiteres Training an den Unterhaltungen besser wird – solange der Nutzer dem nicht widerspricht. Der Schalter dafür sitzt im einzelnen Konto. Er liegt damit außerhalb Ihrer Reichweite, und ob jemand ihn umgelegt hat, lässt sich von außen nicht prüfen.
Wohin die Daten fließen und auf welcher Grundlage, steht in einem Vertrag – den Sie nicht haben. Der Auftragsverarbeitungsvertrag für Geschäftskunden nennt für Kunden aus dem EWR und der Schweiz die OpenAI Ireland Ltd als Vertragspartner und für Übermittlungen aus dem EWR heraus Standardvertragsklauseln oder einen Angemessenheitsbeschluss. Über ein privates Konto gilt davon für Sie nichts.
Was ein Beschäftigter eingibt, liegt in seinem Konto und nicht in Ihrem. Sie können es nicht exportieren, nicht sperren, nicht löschen. Verlangt eine betroffene Person Auskunft, haben Sie keinen Zugriff auf den Ort, an dem ihre Daten liegen. Verlässt der Beschäftigte das Unternehmen, geht das Konto mit, und der Inhalt geht mit ihm.
Artikel 30 Absatz 1 DSGVO verlangt vom Verantwortlichen ein Verzeichnis der Verarbeitungstätigkeiten. Eine Verarbeitung, von der die Geschäftsführung nichts weiß, steht dort nicht. Im Tagesgeschäft fällt das nie auf. Es fällt bei der ersten Prüfung auf – oder nach dem ersten Vorfall.
Ein kommerzieller Tarif räumt die Punkte ab, die am Vertrag hängen. Was an Ihrer eigenen Organisation hängt, bleibt liegen. Zwischen diesen beiden Gruppen verläuft die Linie, auf die es ankommt.
Für die Geschäftsprodukte, also ChatGPT Business, ChatGPT Enterprise und die API, trainiert OpenAI nach eigener Aussage standardmäßig weder auf Eingaben noch auf Ausgaben. Wer Daten für die Modellverbesserung freigeben will, muss das ausdrücklich tun – ohne diese Freigabe bleibt es beim Nein.
OpenAI stellt ein Data Processing Addendum bereit, das dem Dienstvertrag beiliegt. Darin steht, dass OpenAI die Kundendaten als Auftragsverarbeiter in Ihrem Auftrag verarbeitet und dass für Kunden aus dem EWR und der Schweiz die OpenAI Ireland Ltd der Vertragspartner ist. Damit haben Sie das Papier, das Artikel 28 verlangt – mehr allerdings auch nicht.
ChatGPT Business bringt vier feste Rollen mit: Owner, Admin, Analytics Viewer und Member. Dazu kommt SAML-SSO. Die Mehr-Faktor-Anmeldung gehört nicht in diese Liste, denn die richtet jede Person im eigenen OpenAI-Konto ein, und sie gilt dann für alle Dienste von OpenAI. Das automatische Anlegen und Löschen von Benutzerkonten über SCIM und frei definierbare Rollen beginnen erst bei Enterprise und Edu. Aufbewahrungsfristen für Geschäftsdaten lassen sich konfigurieren – allerdings nur für qualifizierte Organisationen. Diese Einschränkung schreibt OpenAI ausdrücklich dazu, und sie gehört in Ihre Prüfung, bevor jemand einen Vertrag unterschreibt.
Die Speicherung am Ruheort in Europa richtet sich bei ChatGPT an neue Enterprise- und Edu-Workspaces – die Verarbeitung in derselben Region setzt zusätzlich voraus, dass die Datenresidenz dort eingeschaltet ist. ChatGPT Business führt OpenAI in dieser Liste nicht auf. Über die API lässt sich Europa als Region wählen. Das setzt zweierlei voraus: eine Freigabe für die Kontrollen zum Missbrauchs-Monitoring und eine unterzeichnete Modified-Retention-Ergänzung zum Vertrag.
Verantwortlicher ist nach Artikel 4 Nummer 7 DSGVO, wer über Zwecke und Mittel der Verarbeitung entscheidet. Sie tun das, sobald Sie festlegen, wofür ein Assistent eingesetzt wird und welche Daten er sieht. Mit dem Abschluss eines Tarifs geht diese Rolle nicht auf den Anbieter über. Er verarbeitet in Ihrem Auftrag – mehr sagt sein Vertrag auch nicht zu.
Artikel 32 Absatz 1 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, angemessen zum Risiko. Wer im Haus welchen Zugang bekommt, wie er sich anmeldet, wer Konten wieder entzieht – das sind Ihre Maßnahmen, nicht die des Anbieters.
Die Verarbeitung wandert nicht von selbst in Ihr Verzeichnis, nur weil ein Vertrag existiert. Zweck, Datenkategorien, Empfänger und Fristen schreibt jemand bei Ihnen auf. Ein Tarifwechsel ändert an dieser Arbeit nichts – er ändert nur den Inhalt der Spalte „Empfänger“.
Artikel 4 der KI-Verordnung gilt seit dem 2. Februar 2025, wurde am 27. Juli 2026 aber neu gefasst. Anbieter und Betreiber ergreifen seither Maßnahmen, die den Aufbau von KI-Kompetenz beim eigenen Personal unterstützen; ein bestimmtes Niveau bei einer einzelnen Person muss dabei niemand garantieren. Die Vorschrift trägt ein Schulungsprogramm damit nicht allein. Der praktische Grund trägt es weiterhin: wer nicht weiß, dass ein Modell überzeugend danebenliegen kann, prüft die Ausgabe nicht, und merkt den Fehler erst, wenn er beim Kunden liegt.
Wie lange ein Chatverlauf stehen bleibt und wann er verschwindet, ist eine Frage Ihrer Aufbewahrungsfristen. Der Anbieter liefert die Einstellung, die Frist legen Sie fest. Voreinstellungen sind keine Entscheidung – im Zweifel laufen sie länger, als Ihr Löschkonzept vorsieht.
Drei Wege trifft man in der Praxis an. Keiner davon ist für jedes Haus der richtige, und der Unterschied liegt selten bei der Qualität der Antworten.
Der schnellste Weg aus der Schatten-IT. Sie bekommen dienstliche Konten, die vier Rollen Owner, Admin, Analytics Viewer und Member, den Auftragsverarbeitungsvertrag und die Zusage, dass auf Ihren Daten nicht trainiert wird. Was Sie hier nicht bekommen, ist die Speicherung in Europa. Für ChatGPT richtet die sich an Enterprise- und Edu-Workspaces. Besteht Ihre Datenschutzabteilung auf einem europäischen Speicherort, entscheidet dieser eine Punkt gegen den Tarif.
Dieselben Modelle, betrieben von Microsoft in Ihrem eigenen Azure-Tenant. Microsoft schreibt, dass Prompts, Ausgaben, Embeddings und Trainingsdaten den Modellanbietern nicht zur Verfügung stehen und nicht zur Verbesserung ihrer Modelle verwendet werden. Verarbeitet wird in der von Ihnen gewählten Geografie, außer bei den Bereitstellungsarten „Global“ und „DataZone“; eine DataZone-Bereitstellung in einem EU-Mitgliedstaat bleibt innerhalb der EU. Bei Bereitstellungen im EWR sitzen auch die Personen im EWR, die im Missbrauchsfall Inhalte prüfen. Bezahlt wird das mit Aufwand: Sie brauchen Azure, jemanden, der es betreibt, und eine Oberfläche davor – ein fertiges Chatfenster für die Belegschaft ist das nicht.
Die Fragen nach Auftragsverarbeiter, Drittland und Training stellen sich nicht mehr, weil die Daten den Serverraum nicht verlassen. Bezahlt wird an zwei Stellen. Offene Modelle sind den großen kommerziellen in aller Regel unterlegen – bei eng zugeschnittenen Aufgaben fällt der Abstand kaum ins Gewicht, beim freien Schlussfolgern über lange Texte deutlich. Dazu kommt die Hardware, die eine Investition ist und keine monatliche Rechnung. Bei wenigen Nutzern und seltenen Fragen zahlen Sie pro Antwort mehr als bei jedem Abonnement.
Lokale KI-Suite ansehenDer Vertrag ist der kleinere Teil der Arbeit. Fünf Dinge entstehen bei Ihnen, und sie entstehen unabhängig davon, für welchen der drei Wege Sie sich entscheiden.
Zwei Seiten reichen: welche Werkzeuge freigegeben sind, welche Daten hineindürfen, welche nicht, und dass ausschließlich dienstliche Konten benutzt werden. Ein Verbot ohne freigegebene Alternative wird umgangen – das ist der Grund, warum die meisten dieser Richtlinien wirkungslos bleiben. Wo ein Betriebsrat besteht, gehört er an diesen Punkt.
Eine Stunde pro Team, an echten Beispielen aus deren Arbeit. Was gehört in einen Prompt, was nicht, woran erkennt man eine erfundene Auskunft, wann muss eine Ausgabe geprüft werden, bevor sie das Haus verlässt. Artikel 4 der KI-Verordnung will den Aufbau solcher Kompetenz unterstützt sehen. Als Nachweis, dass die Vorschrift erfüllt ist, taugt eine Teilnehmerliste trotzdem nicht.
Zweck, Kategorien betroffener Personen, Datenkategorien, Empfänger, Löschfristen. Ist der Assistent an Ihr CRM angebunden, gehört diese Anbindung in denselben Eintrag – dort entstehen die Datenkategorien, die im Chatfenster nie sichtbar werden.
Artikel 35 Absatz 1 DSGVO verlangt eine Datenschutz-Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Entwürfe für Marketingtexte sind dabei ein anderer Fall als eine Vorsortierung von Bewerbungen. Der zweite Fall kann nach der KI-Verordnung außerdem in den Hochrisiko-Bereich fallen – die Pflichten dafür gelten nach dem Omnibus-Paket, das am 27. Juli 2026 in Kraft getreten ist, ab dem 2. Dezember 2027.
Wer entscheidet, dass eine neue Nutzung erlaubt ist, und innerhalb welcher Frist. Ohne benannte Person und ohne Frist beantwortet die Frage wieder jeder für sich, und Sie stehen dort, wo diese Seite anfängt.
Wir bauen die lokale KI-Suite gerade zum ersten Mal bei einem Kunden. Name, Branche und Größe bleiben hier weg, solange das Projekt läuft und die Freigabe für eine Referenz aussteht. Über die Entscheidungen lässt sich trotzdem etwas sagen, denn die sind übertragbar.
Am Anfang stand die Liste der Datenquellen, nicht die Frage nach dem Modell. Das CRM enthält Kontakthistorie, Angebote und Notizen aus mehreren Jahren, dazu die Dateien, die an den Vorgängen hängen. Sobald ein Assistent darauf zugreift, verarbeitet er personenbezogene Daten von Kunden und von Beschäftigten. Das ist der Kern seiner Funktion und kein Nebeneffekt, den man wegkonfiguriert.
Entschieden wurde deshalb für eigene Hardware. Die Modelle laufen auf GPUs im Haus, der Suchindex liegt in einer Qdrant-Instanz im eigenen Netz, und für eine Antwort verlässt kein Datensatz das Gebäude. Damit sind Auftragsverarbeiter, Drittland und Training vom Tisch, bevor jemand danach fragt. An ihre Stelle tritt eine andere – wer was sehen darf.
Beim E-Mail-Modul wurde es unbequem. Es erzeugt Antwortentwürfe und lernt den Schreibstil aus den gesendeten Mails derselben Person, und damit verarbeitet es Beschäftigtendaten, die mit der Kundenkommunikation nichts zu tun haben. Im Plan steht das Modul hinter der Basis und dem Chatbot, damit sich die Arbeitnehmervertretung an einem laufenden System ein Bild machen kann und nicht an einer Folie.
Offen bleibt, was Technik nicht entscheidet: Zugriffsrechte je Rolle, Löschfristen für Entwürfe und Protokolle, und die Liste der Vorgänge, die ein Assistent gar nicht erst sehen soll. Diese Punkte stehen im Konzept, nicht im Code.
Die Reihenfolge ist wichtiger als das Tempo. Wer bei Schritt drei anfängt, kauft einen Tarif für Anwendungsfälle, die noch niemand aufgeschrieben hat.
Fragen Sie, wer heute welches Werkzeug benutzt und wofür. Anonym und ohne Konsequenzen – sonst bekommen Sie eine Umfrage voller Nullen und suchen später in Serverprotokollen nach der Wahrheit.
Öffentliche Texte, interne Texte ohne Personenbezug, personenbezogene Daten, besonders geschützte Angaben wie Gesundheitsdaten. Die letzte Gruppe entscheidet über die Architektur, alle anderen entscheiden über den Nutzen.
Business-Tarif, Azure in einer EU-Region oder eigene Hardware, ausgewählt entlang der Liste aus Schritt zwei. Ein Haus darf zwei Wege parallel fahren; drei sind eine Verwaltungsaufgabe, die niemand übernehmen will.
Auftragsverarbeitungsvertrag abschließen, Eintrag im Verarbeitungsverzeichnis anlegen, die DSFA-Prüfung durchführen und ihr Ergebnis festhalten. Dokumentieren Sie diese Prüfung auch dann, wenn sie mit nein endet.
Erst jetzt geht die Richtlinie heraus, zusammen mit den dienstlichen Konten. Die private Nutzung schalten Sie an dem Tag ab, an dem der dienstliche Zugang funktioniert – keinen Tag früher.
Welche Anwendungsfälle laufen wirklich, welche sind eingeschlafen, welche sind neu dazugekommen, ohne dass jemand gefragt hat. Ein Verzeichnis, das nach dem Rollout niemand mehr anfasst, ist nach einem Jahr falsch.
Stand: August 2026. Die Angaben zu Tarifen, Vertragsbedingungen und Datenresidenz stammen aus der Dokumentation der jeweiligen Anbieter und wurden am 9. August 2026 geprüft. Solche Bedingungen ändern sich; prüfen Sie sie vor einer Entscheidung erneut.
Verantwortlich im Sinne der DSGVO bleiben Sie. Wir liefern die technische Umsetzung und die Dokumentation dazu – eine Rechtsberatung ersetzt das nicht.
Für ein Werkzeug lässt sich die Frage nicht beantworten, nur für eine bestimmte Verarbeitung. Mit privaten Konten und Kundendaten darin lautet die Antwort nein, weil Vertrag, Löschkonzept und Eintrag im Verarbeitungsverzeichnis fehlen. Mit einem Geschäftstarif, einem Auftragsverarbeitungsvertrag, festgelegten Löschfristen und einer Richtlinie, an die sich die Belegschaft hält, kann dieselbe Nutzung zulässig sein. Die Bewertung und die Verantwortung dafür bleiben bei Ihnen.
Wenn die Verarbeitung eine Rechtsgrundlage hat, ein Auftragsverarbeitungsvertrag besteht und der Vorgang in Ihrem Verarbeitungsverzeichnis steht, ist das möglich. Über private Konten trifft keiner dieser drei Punkte zu. Praktisch führt der kürzeste Weg über zwei Regeln: dienstliche Konten für alle, und eine kurze Liste von Datenarten, die auch dort nicht hineingehören. Gesundheitsdaten und andere besonders geschützte Angaben gehören auf diese Liste.
Artikel 35 Absatz 1 DSGVO verlangt sie, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Ob Ihr Fall darunter fällt, hängt an den Daten, die hineingehen, und an dem, was mit der Ausgabe geschieht. Entwürfe für Marketingtexte sind ein anderer Fall als eine Vorsortierung von Bewerbungen. Halten Sie die Prüfung auch dann fest, wenn sie mit nein endet, sonst ist die Begründung später nicht mehr auffindbar.
Für den Einsatz als Schreib- und Rechercheassistent sind drei Punkte einschlägig. Artikel 4 gilt seit dem 2. Februar 2025 und wurde am 27. Juli 2026 neu gefasst: Anbieter und Betreiber ergreifen Maßnahmen, die den Aufbau von KI-Kompetenz beim eigenen Personal unterstützen, ohne für einzelne Personen ein bestimmtes Niveau garantieren zu müssen. Artikel 50 gilt seit dem 2. August 2026; für Betreiber greift er dort, wo erzeugte Texte veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Wurde ein solcher Text von einem Menschen überprüft oder redaktionell kontrolliert und trägt eine Person oder eine Stelle die redaktionelle Verantwortung dafür, entfällt die Kennzeichnung nach Absatz 4. Rein formale oder oberflächliche Durchsichten wie eine Rechtschreibprüfung zählen dabei nicht. Die maschinenlesbare Markierung erzeugter Inhalte aus Absatz 2 trifft dagegen die Anbieter der Systeme, und für Systeme, die vor dem 2. August 2026 auf dem Markt waren, gilt sie erst ab dem 2. Dezember 2026. Die Pflichten für Hochrisiko-Systeme, unter die etwa bestimmte Anwendungen im Beschäftigungskontext fallen können, gelten nach dem Omnibus-Paket vom Juli 2026 ab dem 2. Dezember 2027.
Die Tarifkosten des Anbieters sind nur ein Teil davon. Aufwand entsteht bei der Aufnahme der Anwendungsfälle, bei der Anbindung Ihrer Systeme, bei Richtlinie und Schulung und beim Betrieb danach. Beratung rechnen wir nach Zeit ab; die lokale KI-Suite ist ein lizenziertes Produkt mit einer Einführung nach Unternehmensgröße und einer Jahreslizenz. Die Zahlen dazu stehen auf der Kostenseite.
Beschreiben Sie kurz, woran Sie arbeiten. Sie bekommen eine ehrliche Einschätzung, ob sich das mit KI lösen lässt, und was der sinnvollste erste Schritt wäre.
Oder direkt per E-Mail: contact@arsoftware.tech
