Ist ChatGPT DSGVO-konform für Firmen?
Kommt auf den Tarif und die Einstellungen an. Was Gratis, Plus, Business und Enterprise beim Datenschutz unterscheidet und was Sie vor dem Einsatz prüfen müssen.
Die kurze Antwort: ChatGPT ist nicht von sich aus DSGVO-konform oder nicht konform. Es kommt darauf an, welchen Tarif Ihr Team nutzt, wie er eingestellt ist und welche Daten hineingehen. Ein Mitarbeiter, der mit seinem privaten Gratis-Konto einen Kundenvertrag zusammenfassen lässt, ist ein anderer Fall als eine Firma mit ChatGPT Enterprise, unterschriebenem Vertrag und klarer Regel.
Dieser Artikel sortiert die Tarife, zeigt, was Sie prüfen müssen, und sagt ehrlich, wo Verselo hineinpasst und wo nicht.
Warum gibt es auf diese Frage kein einfaches Ja?
Die DSGVO kennt keine Liste erlaubter Programme. Sie verpflichtet den Verantwortlichen, also Ihre Firma, nachweisen zu können, dass jede Verarbeitung personenbezogener Daten die Grundsätze einhält. So steht es in Art. 5 Abs. 2 und Art. 24 DSGVO. Ein KI-Tool ist dabei ein Werkzeug, und ob ein Werkzeug passt, hängt vom Einsatz ab.
Die deutschen Datenschutzaufsichtsbehörden haben das in ihrer Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ der DSK vom Mai 2024 durchdekliniert. Sie fragen nicht „welches Tool“, sondern: Gibt es eine Rechtsgrundlage? Werden Eingaben zum Training genutzt? Gibt es einen Vertrag mit dem Anbieter? Sind die Beschäftigten informiert?
Auf europäischer Ebene hat eine Arbeitsgruppe des Europäischen Datenschutzausschusses ChatGPT eigens untersucht. Ihr Bericht vom Mai 2024 hält unter anderem fest, dass technische Unmöglichkeit kein Argument ist, um Pflichten aus der DSGVO nicht zu erfüllen, und dass KI-Antworten über Personen falsch sein können. Wer ChatGPT im Betrieb nutzt, erbt dieses Problem.
Was unterscheidet die ChatGPT-Tarife beim Datenschutz?
Hier liegt der eigentliche Unterschied. OpenAI trennt private Tarife und Firmentarife sehr deutlich. Stand Oktober 2026, nach den Angaben von OpenAI:
| Tarif | Eingaben fürs Training | Vertrag zur Auftragsverarbeitung | Speicherung in Europa |
|---|---|---|---|
| Free, Plus, Pro | ja, solange der Nutzer es nicht abschaltet | nein | nein |
| Business (früher Team) | nein, standardmäßig | ja | für neu angelegte Workspaces |
| Enterprise, Edu | nein, standardmäßig | ja | wählbar für neue Workspaces |
| API | nein, standardmäßig | ja | über europäische Projekte |
Quellen: OpenAI zu Firmendaten, OpenAI zur Datenhaltung in Europa, für den Business-Tarif die Meldung von Netzwoche vom 7. September 2026. Prüfen Sie den aktuellen Stand direkt beim Anbieter, solche Angaben ändern sich.
Zwei Punkte stehen nicht in der Tabelle und sind trotzdem wichtig. Erstens betrifft die Datenhaltung in Europa die gespeicherten Daten. Wo die Anfrage im Moment der Antwort verarbeitet wird, ist eine eigene Frage, die Sie sich schriftlich bestätigen lassen sollten. Zweitens hilft der beste Firmentarif nichts, wenn die Hälfte des Teams parallel weiter das private Konto benutzt.
Was müssen Sie vor dem Einsatz prüfen?
Sieben Punkte, die in jedem Betrieb ab fünf Mitarbeitern auf den Tisch gehören:
- Tarif. Private Konten für die Arbeit sind der häufigste Fehler. Die DSK empfiehlt ausdrücklich, dass der Arbeitgeber betriebliche Accounts stellt (Orientierungshilfe, Abschnitt 2.4).
- Vertrag zur Auftragsverarbeitung. Verarbeitet ein Anbieter personenbezogene Daten in Ihrem Auftrag, verlangt Art. 28 Abs. 3 DSGVO einen Vertrag. Ohne ihn keine Kundendaten.
- Training. Klären Sie, ob Ein- und Ausgaben zum Training verwendet werden. Die DSK nennt Anwendungen ohne Training mit Ihren Daten „datenschutzrechtlich vorzugswürdig“.
- Ort und Übermittlung. Wo liegen die Daten, wo werden sie verarbeitet, und auf welcher Grundlage gehen sie gegebenenfalls in die USA? Für Übermittlungen in Drittländer gilt Kapitel V der DSGVO.
- Datenschutz-Folgenabschätzung. Nach Art. 35 DSGVO bei voraussichtlich hohem Risiko Pflicht. Die DSK schreibt, dass das beim Einsatz von KI „vielfach der Fall sein“ wird.
- Interne Regel. Schriftlich, mit Beispielen: was hineindarf, was nicht. Bei Betriebsrat: einbinden, die Einführung kann mitbestimmungspflichtig sein.
- Schulung. Seit Februar 2025 verlangt der AI Act Maßnahmen zur KI-Kompetenz. Mehr dazu im Artikel über KI-Kompetenz nach Art. 4 AI Act.
Wenn Sie heute nicht wissen, welche Konten Ihr Team nutzt, fangen Sie dort an. Der Artikel über Schatten-KI im Unternehmen zeigt, wie man das herausfindet, ohne eine Hexenjagd zu starten.
Welche Daten gehören nie in ein privates ChatGPT-Konto?
Personenbezogene Kundendaten, etwa Namen mit Bank- oder Ausweisdaten. Verträge und interne Unterlagen mit vertraulichen Konditionen. Personaldaten: Gehälter, Krankmeldungen, Bewerbungen. Und alles, was unter eine Verschwiegenheitspflicht fällt.
Das ist keine Schikane. Bei privaten Konten ist OpenAI für diese Daten nicht Ihr Auftragsverarbeiter, und Sie haben keinen Einfluss darauf, was weiter passiert. Wer KI für genau diese Arbeit braucht, und das tun die meisten Teams, braucht ein Werkzeug mit Vertrag und Kontrolle.
Wo passt Verselo hinein?
Verselo ist ein KI-Workspace für kleine und mittlere Unternehmen. Ihr Team chattet mit Modellen von Anthropic (Claude) und OpenAI, fragt die eigenen Firmendokumente ab und bekommt Antworten mit Quelle. Was beim Datenschutz konkret gilt:
- Die KI-Anfragen laufen in EU-Rechenzentren: AWS Bedrock in Frankfurt und Microsoft Azure in EU-Regionen. Datenbank und Dateien liegen bei Supabase in Frankfurt, die Server bei Hetzner in Deutschland.
- Kundendaten trainieren kein Modell. Die Modellanbieter sind an Null-Speicherung gebunden.
- Admins sehen, wer KI nutzt und was sie kostet, legen erlaubte Modelle und die Aufbewahrungsdauer der Chats fest und entziehen Zugänge mit einem Klick. Ein Audit-Log hält zwölf Monate fest, was passiert.
- Der Vertrag zur Auftragsverarbeitung kommt zum Start.
Eine Ausnahme sagen wir lieber selbst, bevor Sie sie im Kleingedruckten finden: Wenn jemand die Websuche nutzt, gehen die Suchbegriffe an Google. Dateien, Chats und Firmenwissen bleiben, wo sie sind. Wer das nicht will, schaltet die Websuche als Admin ab.
Und was Verselo nicht tut: Ihnen die Verantwortung abnehmen. Auch mit Verselo brauchen Sie eine interne Regel, eine geschulte Belegschaft und, je nach Einsatz, eine Folgenabschätzung. Verselo macht die technischen Fragen auf dieser Liste leichter zu beantworten. Die organisatorischen bleiben bei Ihnen.
Bis zum Start zeigen wir Ihnen die Plattform im Gespräch.
Was ist der pragmatische nächste Schritt?
Wenn Ihr Team ChatGPT bereits nutzt, und das ist in den meisten Betrieben so, haben Sie zwei saubere Wege. Entweder Sie stellen alle auf einen Firmentarif von OpenAI um, schließen den Vertrag ab und schreiben die Regel. Oder Sie nehmen einen Workspace, der für Firmen in der EU gebaut ist. Beides ist besser als der Zustand, in dem jeder sein eigenes Konto hat und niemand weiß, was wo landet.
Häufige Fragen
Darf mein Team ChatGPT mit Kundendaten nutzen?
Mit einem privaten Gratis- oder Plus-Konto nicht ohne Weiteres. Dort fehlt der Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, und Eingaben können ins Training fließen, solange niemand es abschaltet. Mit einem Firmentarif wie ChatGPT Business oder Enterprise, einem unterschriebenen Vertrag zur Auftragsverarbeitung und einer internen Regel, welche Daten hineindürfen, ist der Einsatz möglich. Die Verantwortung bleibt trotzdem bei Ihrer Firma.
Reicht es, das KI-Training in den Einstellungen auszuschalten?
Nein. Das Abschalten verhindert, dass Ihre Eingaben das Modell verbessern. Es ersetzt aber keinen Vertrag zur Auftragsverarbeitung, regelt nicht, wo die Daten liegen, und gibt Ihnen keinen Überblick, wer im Team was eingibt. Bei privaten Konten liegt die Einstellung außerdem bei jedem Mitarbeiter selbst, nicht bei Ihnen.
Gibt es eine DSGVO-Zertifizierung für ChatGPT?
Nein, und die gibt es für kein KI-Tool pauschal. Die DSGVO prüft nicht Produkte, sondern Verarbeitungen. Konform ist am Ende Ihr konkreter Einsatz: welcher Tarif, welche Verträge, welche Daten, welche internen Regeln. Ein Anbieter kann das erleichtern oder erschweren, abnehmen kann er es Ihnen nicht.
Wie unterscheidet sich Verselo beim Datenschutz von ChatGPT?
Verselo verarbeitet Anfragen an die KI in EU-Rechenzentren von AWS in Frankfurt und Microsoft Azure in EU-Regionen, Dateien liegen bei Supabase in Frankfurt. Kundendaten trainieren kein Modell. Eine Ausnahme nennt Verselo offen: Bei der Websuche gehen die Suchbegriffe an Google, Admins können die Websuche abschalten. Den Vertrag zur Auftragsverarbeitung gibt es zum Start.