Kundendatenbank an ChatGPT senden: Was legal ist

Betrachten Sie diesen Text als kostenlose Praxisnotizen: Wir zeigen den üblichen Weg, nicht die zwingende Vorgabe für jeden Einzelfall. Bürosituation mit 50 Mitarbeitenden. Ein Vertriebler schaut vom Laptop auf und berichtet, er kopiere seit einem Monat Auszüge der Kundendatenbank in ChatGPT, um Angebote schneller zu erstellen. Es funktioniert und spart ihm 2 Stunden täglich. Die Frage lautet: Ist das überhaupt legal? Bei einem Unternehmen, das Verantwortlicher für personenbezogene Daten ist, hängt die Antwort von einem Punkt ab: Welchen Account nutzt dieser Vertriebler und hat das Unternehmen einen Auftragsverarbeitungsvertrag mit dem Anbieter geschlossen? Die meisten KMU nutzen kostenlose private Accounts. Das ist die denkbar schlechteste Variante.

AIBild generiert durch KI.

Der Unterschied ist nicht kosmetisch. In den Plänen Free und Plus tritt OpenAI als Verantwortlicher auf: Es gibt keinen Auftragsverarbeitungsvertrag und Eingaben können für das Modelltraining genutzt werden. In den Plänen Team, Enterprise und API agiert OpenAI als Auftragsverarbeiter, schließt ein Data Processing Addendum ab und ermöglicht das Deaktivieren des Modelltrainings mit Kundendaten. Das ist die entscheidende Weichenstellung. Rechtsgrundlage ist meist Art. 6 Abs. 1 lit. b oder f DSGVO, bei sensiblen Daten Art. 9. Der Datentransfer in die USA stützt sich seit dem Beschluss der EU-Kommission vom 10. Juli 2023 auf das Data Privacy Framework, sofern der Anbieter zertifiziert ist.

Was sich diese Woche umsetzen lässt

Schritt 1: Prüfen, mit welchen Accounts gearbeitet wird. Zeitaufwand: 30 Minuten, Aufgabe der Geschäftsführung oder IT. Fragen Sie in Vertrieb und Marketing ab, wer ChatGPT, Claude oder Gemini nutzt und ob private oder geschäftliche E-Mail-Adressen verwendet werden. Schritt 2: Auf Unternehmenskonten umstellen. Zeitaufwand: 1 Tag, Aufgabe der IT-Administration. Für 50 Personen liegen die Kosten bei ca. 15.000–30.000 PLN jährlich im Team-Plan (25–30 USD pro Person monatlich). Im Team- und Enterprise-Plan schließen Sie das DPA ab und deaktivieren das Training in den Einstellungen. Schritt 3: Verzeichnis von Verarbeitungstätigkeiten aktualisieren. Zeitaufwand: 2 Stunden, Aufgabe der Datenschutzbeauftragten. Der Eintrag umfasst: Bezeichnung der Tätigkeit (z. B. „Angebotserstellung mit ChatGPT Team“), Zweck, Rechtsgrundlage, Kategorien betroffener Personen und Daten, Empfänger (OpenAI Ireland Ltd als Auftragsverarbeiter), Drittlandtransfer in die USA gem. Art. 45 DSGVO i. V. m. DPF, Speicherdauer (bei API bis zu 30 Tage, bei Enterprise für die Vertragslaufzeit) sowie Sicherheitsmaßnahmen. Schritt 4: Datenschutzerklärung aktualisieren und Team informieren. Zeitaufwand: 2 Stunden, Aufgabe von Marketing oder Rechtsabteilung. Ergänzen Sie einen Absatz zum neuen Auftragsverarbeiter und erinnern Sie per E-Mail daran, nur zwingend erforderliche Daten in das Modell einzugeben.

Was Sie nicht sofort tun sollten

Kaufen Sie nicht sofort den Enterprise-Plan: Für 50 Personen ist das meist überdimensioniert, Team reicht aus und kostet oft nur die Hälfte. Setzen Sie nicht übereilt ein lokales Open-Source-Modell auf, nur um die Cloud zu umgehen: Das dauert Monate, während ein Firmenkonto das Problem in einer Woche löst. Schreiben Sie die Datenschutzerklärung nicht von Grund auf neu: Ein Anhang genügt meist. Sperren Sie den KI-Zugang für Mitarbeitende nicht komplett, sonst weichen sie auf private Accounts aus und Sie verlieren die Kontrolle. Unterschreiben Sie kein DPA, ohne vorher in der Data Privacy Framework-Suche zu prüfen, ob der Anbieter tatsächlich zertifiziert ist: Das Dokument allein reicht ohne Zertifizierung nicht aus.

AIBild generiert durch KI.

Wie Sie nach zwei Wochen den Erfolg prüfen

Eine Kennzahl: Anteil der Mitarbeiter, die KI über ein Unternehmenskonto mit deaktiviertem Modelltraining nutzen. Die Messung ist einfach: Im OpenAI-Admin-Panel prüfen Sie, wie viele Personen sich mit der geschäftlichen E-Mail-Adresse anmelden und wie viele noch private Konten nutzen. Wenn nach zwei Wochen mehr als 20% der Nutzer weiterhin mit kostenlosen Konten arbeiten, hat die Schulung nicht gegriffen. Suchen Sie erneut das Gespräch oder sperren Sie den Zugriff auf kostenlose Versionen technisch. Unter 20% ist für den Start akzeptabel: Den Rest optimieren Sie im Folgemonat.

Die Kosten in dieser Woche bestehen vor allem aus Zeit: insgesamt rund 6 Arbeitsstunden, verteilt auf vier Personen. Unternehmenslizenzen kosten etwa 15.000–30.000 PLN jährlich. Vergleichen Sie das mit dem Risiko: Die Strafe für eine fehlende Rechtsgrundlage oder einen fehlenden AV-Vertrag beträgt bis zu 20 Mio. EUR oder 4% des weltweiten Jahresumsatzes. In der Praxis erhalten KMU selten Höchststrafen, doch allein ein Prüfverfahren der Datenschutzbehörde zieht sich oft über Monate. Wenn Sie dies nicht intern umsetzen möchten: HEXART realisiert solche Konfigurationen für Kunden, von der Planauswahl über den Abschluss des AV-Vertrags bis zum Verzeichniseintrag und der Teamschulung. Ohne Systembruch, innerhalb einer Woche.