ChatGPT im Unternehmen: Welche Kundendaten und Geschäftsgeheimnisse dürfen Beschäftigte eingeben?
Künstliche Intelligenz ist längst im Unternehmensalltag angekommen. Beschäftigte nutzen ChatGPT und vergleichbare KI-Anwendungen, um E-Mails zu formulieren, Verträge zusammenzufassen, Dokumente auszuwerten oder Kundenanfragen zu beantworten. Was zunächst nach einer praktischen Arbeitserleichterung aussieht, kann jedoch erhebliche Datenschutzrisiken mit sich bringen. Die Datenschutzaufsichtsbehörden Niedersachsen und Berlin haben Anfang Oktober 2026 erneut auf die Risiken bei der Nutzung von KI-Chatbots hingewiesen.
Datenschutzaufsichtsbehörden warnen vor der Auswertung von Chatverläufen
Am 1. Oktober 2026 veröffentlichte der Landesbeauftragte für den Datenschutz Niedersachsen eine Warnung zu personalisierter Werbung in KI-Chatbots. Einen Tag später äußerte sich auch die Berliner Beauftragte für Datenschutz und Informationsfreiheit zu diesem Thema.
Hintergrund sind Pläne, bei der Nutzung von ChatGPT in bestimmten Tarifvarianten personalisierte Werbung auszuspielen. Nach den von den Aufsichtsbehörden dargestellten Plänen können hierfür unter bestimmten Voraussetzungen Informationen aus aktuellen und früheren Chatverläufen sowie weitere Nutzungs- und Kontextinformationen berücksichtigt werden.
Die Behörden weisen insbesondere darauf hin, dass KI-Chatbots häufig Informationen erhalten, die über gewöhnliche Suchanfragen hinausgehen.
Nutzer geben nicht nur allgemeine Fragen ein. Sie schildern konkrete Situationen, übermitteln Dokumente oder lassen persönliche und berufliche Sachverhalte analysieren.
Die aktuelle Diskussion über personalisierte Werbung ist deshalb ein guter Anlass für Unternehmen, eine grundlegendere Frage zu stellen:
Welche Informationen dürfen Beschäftigte überhaupt in externe KI-Systeme eingeben?
ChatGPT im Büro: Praktisch, aber nicht ohne rechtliche Grenzen
Die Nutzung generativer KI kann Unternehmen erhebliche Vorteile bieten.
Ein Handwerksbetrieb lässt ein Angebot sprachlich überarbeiten. Ein Dienstleister formuliert Kundenanschreiben. Eine Personalabteilung möchte Bewerbungen zusammenfassen. Eine Buchhaltung nutzt KI, um Zahlungserinnerungen zu erstellen.
All diese Anwendungen können Arbeitszeit sparen.
Datenschutzrechtlich macht es allerdings einen erheblichen Unterschied, ob allgemeine Texte verarbeitet werden oder ob personenbezogene Daten, vertrauliche Vertragsinhalte oder Geschäftsgeheimnisse an einen externen KI-Dienst übermittelt werden.
Denn sobald personenbezogene Daten verarbeitet werden, müssen die Anforderungen der Datenschutz-Grundverordnung beachtet werden.
Welche Daten sind besonders problematisch?
Nicht jede Information, die in einen KI-Chatbot eingegeben wird, ist personenbezogen.
Wer beispielsweise fragt, wie eine freundliche Zahlungserinnerung formuliert werden könnte, ohne konkrete Kundendaten zu nennen, bewegt sich datenschutzrechtlich regelmäßig in einem weniger problematischen Bereich.
Anders sieht es aus, wenn der vollständige Sachverhalt eines Kunden eingegeben wird.
Problematisch können beispielsweise folgende Informationen sein:
- Namen, Anschriften, Telefonnummern und E-Mail-Adressen von Kunden,
- Rechnungen mit vollständigen Kundendaten,
- Beschäftigtendaten und Bewerbungsunterlagen,
- Informationen über Erkrankungen oder gesundheitliche Einschränkungen,
- interne Personalakten und Gehaltsübersichten,
- Vertragsunterlagen mit vertraulichen Geschäftsinformationen,
- Informationen zu laufenden Rechtsstreitigkeiten.
Dabei ist zu beachten: Auch scheinbar anonymisierte Informationen können personenbezogen bleiben, wenn die betroffene Person anhand weiterer Angaben identifizierbar ist.
Das bloße Entfernen eines Namens reicht deshalb nicht immer aus.
Ist die Eingabe personenbezogener Daten in ChatGPT grundsätzlich verboten?
Nein. Ein generelles gesetzliches Verbot, personenbezogene Daten mit KI-Anwendungen zu verarbeiten, besteht nicht.
Die Zulässigkeit hängt jedoch von den konkreten Umständen ab.
Entscheidend ist insbesondere, welches KI-Produkt verwendet wird, welche Daten verarbeitet werden, zu welchem Zweck die Verarbeitung erfolgt und welche vertraglichen und technischen Schutzmaßnahmen bestehen.
Bei der Nutzung eines externen KI-Dienstes müssen Unternehmen unter anderem prüfen, ob eine geeignete Rechtsgrundlage nach Art. 6 DSGVO vorliegt.
Bei besonderen Kategorien personenbezogener Daten, etwa Gesundheitsdaten, sind zusätzlich die strengeren Anforderungen des Art. 9 DSGVO zu beachten.
Wird der Anbieter als Auftragsverarbeiter tätig, muss grundsätzlich ein geeigneter Auftragsverarbeitungsvertrag nach Art. 28 DSGVO bestehen.
Außerdem können Anforderungen an internationale Datenübermittlungen, Informationspflichten und die Sicherheit der Verarbeitung relevant werden.
Entscheidend ist daher nicht allein, ob ChatGPT genutzt wird, sondern in welcher technischen und vertraglichen Konfiguration und für welche Daten.
Beispiel 1: Ein Unternehmen möchte eine Kunden-E-Mail verbessern
Ein Beschäftigter möchte eine E-Mail an einen Kunden freundlicher formulieren.
Er kopiert dazu die vollständige bisherige Korrespondenz einschließlich Namen, Anschrift, Telefonnummer und Vertragsdetails in einen KI-Chatbot.
Das erscheint praktisch, ist aber nicht ohne Weiteres erforderlich.
Für die sprachliche Überarbeitung reicht häufig eine anonymisierte oder abstrahierte Darstellung des Sachverhalts aus.
Statt die vollständige Kundenkorrespondenz zu übertragen, kann beispielsweise nur der eigentliche Text ohne identifizierende Angaben verwendet werden.
Praxisempfehlung: Unternehmen sollten Beschäftigte anweisen, für rein sprachliche Aufgaben möglichst keine personenbezogenen Daten einzugeben.
Beispiel 2: KI in der Personalabteilung
Eine Personalabteilung möchte zehn Bewerbungen mithilfe einer KI-Anwendung vergleichen.
Hier werden regelmäßig zahlreiche personenbezogene Daten verarbeitet, beispielsweise Namen, berufliche Werdegänge, Qualifikationen und möglicherweise weitere besonders schutzbedürftige Informationen.
Die Verarbeitung solcher Daten durch ein externes KI-System muss sorgfältig geprüft werden.
Neben der Rechtsgrundlage und den vertraglichen Schutzmaßnahmen stellt sich auch die Frage, ob der Einsatz für den konkreten Zweck erforderlich und angemessen ist.
Werden KI-Systeme darüber hinaus zur Auswahl oder Bewertung von Bewerbern eingesetzt, können zusätzliche Anforderungen der europäischen KI-Verordnung relevant werden.
Eine KI-gestützte Bewerberbewertung ist daher deutlich anspruchsvoller als die bloße sprachliche Überarbeitung einer Stellenanzeige.
Beispiel 3: Rechnungen und Forderungsmanagement mit KI
Auch im Forderungsmanagement können KI-Anwendungen hilfreich sein.
So kann ein Unternehmen beispielsweise Muster für Zahlungserinnerungen, Mahnungen oder interne Prüfabläufe erstellen lassen.
Problematisch wird es jedoch, wenn vollständige Schuldnerlisten, Rechnungen oder Informationen über wirtschaftliche Verhältnisse unkontrolliert in externe Systeme übertragen werden.
Nicht jede für die Forderungsbearbeitung zulässige Datenverarbeitung erlaubt automatisch auch die Übermittlung derselben Informationen an einen zusätzlichen KI-Dienst.
Unternehmen müssen deshalb gesondert prüfen, ob der konkrete Einsatz zulässig und erforderlich ist.
Gerade im Forderungsmanagement empfiehlt sich eine klare Trennung zwischen der Erstellung allgemeiner Textvorlagen und der Verarbeitung tatsächlicher Kunden- und Schuldnerdaten.
Geschäftsgeheimnisse: Datenschutz ist nicht das einzige Problem
Ein weiterer häufiger Irrtum besteht darin, dass nur personenbezogene Daten geschützt seien.
Tatsächlich können auch Informationen ohne Personenbezug besonders schutzwürdig sein.
Dazu gehören beispielsweise interne Kalkulationen, Preisstrategien, technische Entwicklungen, nicht veröffentlichte Geschäftszahlen oder vertrauliche Vertragsbedingungen.
Bei solchen Daten geht es neben vertraglichen Verschwiegenheitspflichten insbesondere um den Schutz von Geschäftsgeheimnissen.
Unternehmen sollten daher prüfen, ob ihre Beschäftigten vertrauliche Unterlagen an externe KI-Anbieter weitergeben dürfen.
Wer sensible Informationen ohne geeignete Schutzmaßnahmen übermittelt, riskiert unter Umständen nicht nur datenschutzrechtliche Probleme, sondern auch die Verletzung vertraglicher Geheimhaltungspflichten.
Reicht es aus, die Nutzung für KI-Training zu deaktivieren?
Viele KI-Anbieter ermöglichen Einstellungen, mit denen die Nutzung von Eingaben zur Verbesserung oder zum Training ihrer Modelle eingeschränkt werden kann.
Das ist eine wichtige Schutzmaßnahme, ersetzt aber keine vollständige Datenschutzprüfung.
Denn auch wenn Inhalte nicht zum Training verwendet werden, können sie weiterhin verarbeitet oder zeitweise gespeichert werden, beispielsweise zur Bereitstellung des Dienstes, zur Sicherheitsüberwachung oder aufgrund technischer Betriebsabläufe.
Entscheidend sind die tatsächlich geltenden Vertragsbedingungen, Datenschutzhinweise und technischen Einstellungen des jeweiligen Produkts.
Unternehmen sollten deshalb nicht allein auf eine einzelne Datenschutzeinstellung vertrauen.
Warum Unternehmen die KI-Nutzung schriftlich regeln sollten
Viele Unternehmen setzen KI-Anwendungen bereits im Arbeitsalltag ein, ohne dass dafür verbindliche betriebliche Regeln bestehen. Beschäftigte entscheiden dann eigenständig, welche KI-Dienste sie verwenden und welche Informationen sie eingeben.
Das birgt Risiken – sowohl für das Unternehmen als auch für seine Mitarbeitenden.
Aus Unternehmenssicht empfiehlt es sich deshalb, die betriebliche KI-Nutzung ausdrücklich schriftlich zu regeln.
Eine schriftliche KI-Richtlinie schafft zunächst klare und nachvollziehbare Vorgaben. Der Arbeitgeber kann festlegen, welche KI-Anwendungen für dienstliche Zwecke zugelassen sind, welche Daten verarbeitet werden dürfen und welche Nutzungsformen ausgeschlossen sind.
Gleichzeitig hat die Schriftform einen weiteren wesentlichen Vorteil: Sie erleichtert dem Arbeitgeber den Nachweis, welche Regeln im Unternehmen tatsächlich galten und welche Vorgaben gegenüber den Beschäftigten kommuniziert wurden.
Kommt es später zu einem Datenschutzvorfall oder einer Auseinandersetzung über die zulässige Nutzung eines KI-Systems, kann eine dokumentierte und nachweislich bekannt gemachte Richtlinie von erheblicher Bedeutung sein.
Dabei sollte nicht nur die Richtlinie selbst aufbewahrt werden. Auch ihre Bekanntgabe an die Beschäftigten sowie gegebenenfalls durchgeführte Unterweisungen sollten nachvollziehbar dokumentiert werden.
Eine solche Richtlinie ersetzt allerdings weder die gesetzlich vorgeschriebenen Datenschutzmaßnahmen noch eine erforderliche datenschutzrechtliche Prüfung einzelner Anwendungen. Sie kann aber einen wichtigen Beitrag zur organisatorischen Absicherung leisten.
Auch für Beschäftigte bietet eine schriftliche Regelung entscheidende Vorteile.
Sie müssen nicht bei jeder Nutzung selbst beurteilen, ob eine bestimmte Eingabe zulässig ist, sondern erhalten einen verbindlichen und verständlichen Handlungsrahmen. Das schafft Sicherheit im Arbeitsalltag und reduziert das Risiko unbeabsichtigter Datenschutzverstöße.
Eine gute KI-Richtlinie sollte daher nicht vorrangig Verbote aufstellen, sondern den rechtssicheren Einsatz geeigneter KI-Anwendungen ermöglichen.
Was sollte eine betriebliche KI-Richtlinie konkret regeln?
Eine praxisgerechte Regelung sollte sich an den tatsächlichen Arbeitsabläufen des Unternehmens orientieren. Pauschale Musterformulierungen helfen nur begrenzt, wenn sie die betrieblichen Anwendungsfälle nicht erfassen.
Sinnvoll sind insbesondere Regelungen zu folgenden Punkten:
1. Zugelassene KI-Anwendungen
Welche KI-Dienste dürfen für dienstliche Zwecke eingesetzt werden? Dürfen Beschäftigte private KI-Konten verwenden oder müssen betriebliche Zugänge genutzt werden?
2. Zulässige und unzulässige Daten
Welche Informationen dürfen in KI-Systeme eingegeben werden? Wie ist mit personenbezogenen Daten, Kundendaten, Beschäftigtendaten und Geschäftsgeheimnissen umzugehen?
3. Zugelassene Anwendungsfälle
Dürfen KI-Systeme beispielsweise für Textentwürfe, Übersetzungen, Recherchen oder die Auswertung von Dokumenten genutzt werden? Welche Tätigkeiten bedürfen einer gesonderten Freigabe?
4. Kontrolle und Verantwortung
Wer überprüft KI-generierte Ergebnisse? Welche Entscheidungen dürfen nicht ohne menschliche Kontrolle getroffen werden?
5. Datenschutz und Informationssicherheit
Welche technischen Einstellungen und Sicherheitsmaßnahmen sind verbindlich? Wie sind Datenschutzvorfälle oder versehentliche Eingaben vertraulicher Informationen zu melden?
6. Zuständigkeiten und Freigabeverfahren
Wer entscheidet über neue KI-Anwendungen und Anwendungsfälle? An wen können sich Beschäftigte bei Unsicherheiten wenden?
7. Bekanntgabe und Dokumentation
Wie wird sichergestellt, dass alle betroffenen Beschäftigten die Regelung kennen und verstehen? Wie werden Unterweisungen dokumentiert und Änderungen kommuniziert?
Für Unternehmen mit Betriebsrat ist außerdem zu prüfen, ob Mitbestimmungsrechte bestehen, insbesondere nach § 87 Abs. 1 Nr. 6 BetrVG bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind. Je nach Ausgestaltung können weitere Beteiligungsrechte relevant sein.
Eine schriftliche Richtlinie sollte deshalb stets zur Organisationsstruktur und den konkreten Einsatzmöglichkeiten der jeweiligen KI-Anwendungen passen.
Auch die europäische KI-Verordnung ist zu beachten
Neben der DSGVO ist inzwischen auch die europäische KI-Verordnung, häufig als AI Act bezeichnet, zu berücksichtigen.
Sie enthält je nach Einsatzbereich unterschiedliche Anforderungen an Anbieter und Betreiber von KI-Systemen.
Bereits seit dem 2. Februar 2025 gilt insbesondere die Verpflichtung nach Art. 4 KI-Verordnung, Maßnahmen für ein ausreichendes Maß an KI-Kompetenz bei den mit KI-Systemen befassten Personen zu treffen.
Unternehmen sollten daher darauf achten, dass Beschäftigte die Funktionsweise, Grenzen und Risiken der eingesetzten KI-Anwendungen verstehen.
Eine schriftliche KI-Richtlinie kann hierbei unterstützen, ersetzt aber nicht die gegebenenfalls erforderliche Vermittlung von KI-Kompetenz.
Nicht jeder KI-Einsatz führt automatisch zu umfangreichen Dokumentations- oder Zertifizierungspflichten. Die konkreten Pflichten hängen insbesondere davon ab, welches System eingesetzt wird und welchem regulatorischen Risikobereich es zuzuordnen ist.
Fazit: KI-Nutzung ermöglichen, aber verbindlich organisieren
ChatGPT und vergleichbare KI-Anwendungen können gerade für kleine und mittlere Unternehmen wertvolle Werkzeuge sein.
Ein vollständiges Verbot ist deshalb häufig weder erforderlich noch zweckmäßig.
Problematisch ist vielmehr eine unkontrollierte Nutzung, bei der Beschäftigte ohne klare Vorgaben personenbezogene Daten oder vertrauliche Unternehmensinformationen in externe Systeme eingeben.
Eine schriftliche und verbindliche KI-Richtlinie ist deshalb ein sinnvoller Bestandteil moderner Unternehmensorganisation.
Sie schafft nachvollziehbare Regeln, verbessert die Nachweisbarkeit betrieblicher Vorgaben und gibt Beschäftigten einen sicheren Rahmen für die tägliche Nutzung von KI-Anwendungen.
Unternehmen sollten daher nicht nur prüfen, welche KI-Dienste technisch verfügbar sind, sondern auch festlegen, wie diese rechtlich und organisatorisch verantwortungsvoll eingesetzt werden können.
Rechtssichere KI-Nutzung in Ihrem Unternehmen – ich unterstütze Sie gerne
Sie möchten ChatGPT oder andere KI-Anwendungen in Ihrem Unternehmen einsetzen, sind sich aber unsicher, welche Daten verarbeitet werden dürfen und welche betrieblichen Regeln erforderlich sind?
Gerne bespreche ich mit Ihnen die konkreten Anwendungsfälle in Ihrem Unternehmen und entwickle gemeinsam mit Ihnen geeignete, rechtssichere Regelungen für den betrieblichen Einsatz künstlicher Intelligenz.
Dabei geht es insbesondere darum, die Vorteile moderner KI-Anwendungen praktisch nutzbar zu machen, Datenschutzrisiken zu reduzieren und Ihren Beschäftigten klare, verbindliche Vorgaben an die Hand zu geben.
Ich unterstütze Sie insbesondere bei der rechtlichen Bewertung geplanter KI-Anwendungen, der Gestaltung individueller betrieblicher KI-Richtlinien und der datenschutzrechtlichen Einordnung konkreter Einsatzszenarien.
Sprechen Sie mich gerne an – gemeinsam entwickeln wir eine Lösung, die zu Ihrem Unternehmen und Ihren betrieblichen Abläufen passt.
Weitere Informationen und Kontaktmöglichkeiten finden Sie unter www.DeinRechtsanwalt.com.
Quellen und weiterführende Informationen
Landesbeauftragter für den Datenschutz Niedersachsen, Pressemitteilung vom 1. Oktober 2026: „LfD Niedersachsen weist auf Datenschutzrisiken von personalisierter Werbung in KI-Chatbots hin“.
Berliner Beauftragte für Datenschutz und Informationsfreiheit, Pressemitteilung vom 2. Oktober 2026: „Datenschutzbeauftragte sensibilisiert für personalisierte Werbefunktion bei ChatGPT“.
Niederländische Datenschutzaufsicht (Autoriteit Persoonsgegevens), Orientierungshilfe vom 13. Juli 2026: „Guidance generative AI and the GDPR“.
Über den Autor
Ich berate Unternehmen praxisnah und digital. Zu meinen Tätigkeitsfeldern zählen insbesondere das außergerichtliche Forderungsmanagement und die datenschutzrechtliche Beratung kleiner und mittlerer Unternehmen.
Hinweis
Dieser Beitrag bietet einen allgemeinen Überblick und ersetzt keine rechtliche Beratung im Einzelfall. Die rechtliche Bewertung kann insbesondere von den vertraglichen Vereinbarungen und den konkreten Umständen abhängen.