ChatGPT Datenschutz heißt in der Praxis: Kundendaten gehören nur dann in den Chat, wenn du einen Auftragsverarbeitungsvertrag mit OpenAI hast, das Training mit deinen Inhalten abgeschaltet ist und du weißt, wo die Daten liegen. Seit Anfang September 2026 lässt sich der letzte Punkt erstmals auch als kleiner Betrieb lösen. OpenAI hat die Datenresidenz auf ChatGPT Business ausgeweitet. Ich erkläre, was das konkret bringt, wo die Grenzen liegen und wie du deinen Betrieb in einem Nachmittag sauber aufstellst.
Letzte Aktualisierung: September 2026
Was sich beim ChatGPT Datenschutz im September 2026 geändert hat
OpenAI hat die Datenresidenz für neue ChatGPT-Business-Arbeitsbereiche freigeschaltet. Wer einen neuen Business-Workspace anlegt, kann Europa als Speicherort auswählen. Chats, hochgeladene Dateien und selbst gebaute GPTs liegen dann auf europäischen Servern.
Vorher war diese Option den großen Tarifen vorbehalten, also Enterprise und Edu. Für einen Malerbetrieb mit vier Leuten war das nie eine realistische Option. Genau das hat sich geändert.
Ein Haken bleibt: Die Auswahl funktioniert nur beim Anlegen eines neuen Arbeitsbereichs. Bestehende Business-Workspaces lassen sich nicht nachträglich umstellen. Wer also schon länger mit einem Business-Konto arbeitet und die Daten in Europa haben will, muss neu aufsetzen und die vorhandenen GPTs von Hand übertragen.
Was ist Datenresidenz?
Datenresidenz ist die Zusage eines Anbieters, gespeicherte Kundendaten in einer bestimmten geografischen Region abzulegen. Der Fachbegriff dafür lautet Data Storage at Rest. Gemeint ist der ruhende Datenbestand, also alles, was dauerhaft auf einem Server liegt.
Wichtig ist die Abgrenzung. Datenresidenz sagt etwas über den Speicherort aus, nicht zwingend über jeden einzelnen Verarbeitungsschritt. Ein Modell kann eine Anfrage in einer anderen Region berechnen, obwohl das Ergebnis danach in Europa abgelegt wird. Für die Datenschutz-Folgenabschätzung ist dieser Unterschied relevant, für das Bauchgefühl der meisten Betriebe eher nicht.
Warum das Thema für kleine Betriebe überhaupt auf dem Tisch liegt
KI ist im Mittelstand angekommen. Die Verbreitung hat sich innerhalb eines Jahres deutlich bewegt.
36 Prozent der Unternehmen ab 20 Beschäftigten in Deutschland nutzen Künstliche Intelligenz, im Vorjahr waren es 20 Prozent.
Quelle: Bitkom Research im Auftrag des Digitalverbands Bitkom, telefonische Befragung von 604 Unternehmen ab 20 Beschäftigten, Erhebung Kalenderwoche 27 bis 32 im Jahr 2025
Parallel dazu ist der ChatGPT Datenschutz die Bremse Nummer eins. Das ist keine gefühlte Wahrheit, sondern messbar.
73 Prozent der Unternehmen fühlen sich beim KI-Einsatz durch die Anforderungen an den Datenschutz behindert.
Quelle: Bitkom Research im Auftrag des Digitalverbands Bitkom, telefonische Befragung von 602 Unternehmen ab 20 Beschäftigten, Erhebung Kalenderwoche 23 bis 30 im Jahr 2024
Meine Erfahrung aus Kundengesprächen deckt sich damit. Fast jeder Handwerksbetrieb, mit dem ich rede, nutzt ChatGPT längst. Kaum einer hat je einen Blick in die Vertragsbedingungen geworfen. Das ist kein Vorwurf. Es ist einfach nicht der Job eines Dachdeckers, Auftragsverarbeitungsverträge zu lesen.
Dass die Aufsichtsbehörden das Thema ernst nehmen, hat OpenAI schon zu spüren bekommen. Die italienische Datenschutzbehörde Garante verhängte am 20. Dezember 2024 ein Bußgeld von 15 Millionen Euro. Beanstandet wurden unter anderem eine fehlende Rechtsgrundlage für die Verarbeitung personenbezogener Daten im Training und Lücken bei der Transparenz gegenüber Nutzern.
Was gilt beim ChatGPT Datenschutz eigentlich als personenbezogenes Datum?
Personenbezogene Daten sind alle Angaben, über die sich eine natürliche Person identifizieren lässt. Das ist weiter gefasst, als die meisten denken. Im Alltag eines Betriebs fällt darunter:
- Namen und Anschriften: aus Angeboten, Rechnungen und Mängelanzeigen
- E-Mail-Verläufe: auch dann, wenn nur die Signatur den Namen enthält
- Telefonnummern: in Notizen, Rückrufzetteln oder Terminlisten
- Objektadressen: eine Baustellenadresse ist bei Privatkunden meist die Wohnanschrift
- Fotos: Baustellenbilder, auf denen Personen oder Kennzeichen zu sehen sind
- Gesundheitsangaben: in Praxen und Pflegediensten die heikelste Kategorie überhaupt
Wer eine Kundenmail in ChatGPT einfügt und um eine höfliche Antwort bittet, verarbeitet damit personenbezogene Daten. Ob das zulässig ist, hängt am Vertrag mit dem Anbieter und an der Rechtsgrundlage. Nicht daran, wie harmlos die Mail wirkt.
Die drei Fehler, die ich am häufigsten sehe
Aus der Praxis heraus wiederholen sich drei Muster. Alle drei lassen sich schnell abstellen.
Erstens: der private Account im Betrieb. Ein kostenloses Konto oder ein privates Plus-Abo ist datenschutzrechtlich kein Werkzeug für Kundendaten. Es gibt keinen Auftragsverarbeitungsvertrag, die Inhalte fließen je nach Einstellung in die Modellverbesserung, und der Betrieb hat keine Kontrolle darüber, wer im Konto was tut.
Zweitens: kein Verarbeitungsverzeichnis. Wer KI regelmäßig für Kundenkommunikation einsetzt, hat damit eine Verarbeitungstätigkeit. Die gehört ins Verzeichnis nach Artikel 30 DSGVO. Der Eintrag ist eine halbe Seite Arbeit und fehlt trotzdem fast immer.
Drittens: keine Ansage an das Team. Ohne eine schriftliche Regelung entscheidet jeder Mitarbeiter für sich, was er eingibt. Zwei Sätze in der Betriebsvereinbarung wirken hier mehr als jede Software.
Welcher Tarif für welchen Betrieb passt
Beim ChatGPT Datenschutz unterscheiden sich die Tarifstufen stärker als bei den Funktionen. Diese Übersicht bildet den Stand September 2026 ab.
| Merkmal | Free und Plus | Business | Enterprise |
|---|---|---|---|
| Auftragsverarbeitungsvertrag | nicht vorgesehen | ja | ja |
| Training mit deinen Inhalten | je nach Einstellung aktiv | standardmäßig aus | standardmäßig aus |
| Speicherort Europa wählbar | nein | ja, nur bei neuem Workspace | ja |
| Nutzerverwaltung im Team | nein | ja | ja |
| Für Kundendaten geeignet | nein | mit Regelung ja | ja |
Für die meisten Betriebe unter 20 Beschäftigten ist Business die richtige Stufe. Enterprise lohnt sich erst, wenn eigene Datenquellen angebunden werden oder die Revision harte Nachweise verlangt.
Was regelt ein Auftragsverarbeitungsvertrag?
Ein Auftragsverarbeitungsvertrag, kurz AVV, ist die schriftliche Vereinbarung nach Artikel 28 DSGVO zwischen dir als Verantwortlichem und dem Dienstleister, der Daten in deinem Auftrag verarbeitet. Er legt Zweck, Dauer, Art der Daten und die technischen Schutzmaßnahmen fest.
Beim ChatGPT Datenschutz nimmt dir der AVV die Verantwortung allerdings nicht ab. Verantwortlich für die Rechtmäßigkeit bleibst du. Der Vertrag sorgt nur dafür, dass die Weitergabe an den Anbieter überhaupt zulässig ist. Ohne ihn ist jede Eingabe eines Kundennamens ein Verstoß, egal wie gut das Rechenzentrum gesichert ist.
ChatGPT Datenschutz einrichten: die Checkliste für einen Nachmittag
Ich gehe diese Reihenfolge mit Kunden durch. Sie deckt das ab, was eine Aufsichtsbehörde im ersten Zugriff sehen will.
- Business-Workspace neu anlegen und beim Anlegen Europa als Speicherregion auswählen. Diese Auswahl gibt es später nicht mehr.
- Auftragsverarbeitungsvertrag abschließen und als PDF im eigenen Ablagesystem sichern, nicht nur im Anbieterkonto.
- Trainingseinstellung prüfen und dokumentieren, mit Datum und Screenshot.
- Alle Mitarbeiter einladen und private Konten für betriebliche Zwecke sperren.
- Verarbeitungsverzeichnis ergänzen: eine Zeile für den KI-Einsatz, mit Zweck, Datenkategorien und Löschfristen.
- Kurze Nutzungsregel schreiben: was rein darf, was nicht, wer im Zweifel entscheidet.
- Datenschutzerklärung prüfen, falls Kundendaten aus dem Kontaktformular über KI laufen.
Punkt sieben wird gern unterschätzt. Wer die eigene Datenschutzerklärung dafür schnell von einer KI schreiben lässt, tauscht ein Problem gegen ein größeres ein. Warum das riskant ist, habe ich in KI-generierte Datenschutzerklärung ausführlich beschrieben.
Was die deutschen Aufsichtsbehörden erwarten
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, kurz DSK, hat im Mai 2024 die Orientierungshilfe „Künstliche Intelligenz und Datenschutz" veröffentlicht und im Juni 2025 um einen Teil für Entwickler und Hersteller erweitert. Sie ist frei abrufbar unter datenschutzkonferenz-online.de.
Die Orientierungshilfe ist kein Gesetz. Sie sagt dir aber ziemlich genau, woran deine zuständige Behörde einen KI-Einsatz misst. Drei Punkte daraus betreffen jeden kleinen Betrieb:
- Zweckbindung: Der Einsatzzweck muss vorher festgelegt sein. „Wir probieren mal was" reicht nicht.
- Datenminimierung: In den Prompt gehört nur, was für das Ergebnis nötig ist. Der volle Kundenname ist es selten.
- Betroffenenrechte: Du musst beantworten können, wo die Daten liegen und wie sie gelöscht werden.
Der letzte Punkt war bisher der schwierigste. Genau ihn macht die Datenresidenz für Business einfacher zu beantworten.
Reicht Datenresidenz allein für DSGVO-Konformität?
Nein. Datenresidenz ist ein Baustein, kein Freibrief. Die DSGVO verlangt eine Rechtsgrundlage, einen Vertrag, Transparenz gegenüber den Betroffenen und die Wahrung ihrer Rechte. Der Speicherort löst davon genau einen Teilaspekt, nämlich die Frage nach der Übermittlung in Drittländer.
Wer also nur die Region umstellt und sonst nichts ändert, hat den Aufwand für ein besseres Gefühl betrieben. Der Nutzen entsteht erst zusammen mit den anderen sechs Punkten der Checkliste oben.
Praxisbeispiel aus einem Handwerksbetrieb
Wie ChatGPT Datenschutz in der Praxis aussieht, lässt sich an einem Fall gut zeigen. Ein Elektrobetrieb aus dem Ruhrgebiet nutzte ChatGPT für Angebotstexte und Kundenmails. Drei Monteure, jeder mit privatem Konto, jeder mit vollständigen Kundenmails im Chat. Aufgefallen ist es beim Wechsel des Steuerberaters, der nach dem Verarbeitungsverzeichnis fragte.
Die Umstellung hat einen halben Tag gedauert. Neuer Business-Arbeitsbereich mit europäischem Speicherort, AVV unterschrieben, private Konten aus dem Betriebsablauf genommen. Dazu eine Seite Nutzungsregel, in der zwei Dinge stehen: Nachnamen werden durch Platzhalter ersetzt, und Gesundheitsangaben kommen grundsätzlich nicht in den Chat.
Die Textqualität hat unter den Platzhaltern nicht gelitten. Der Betrieb schreibt seine Angebote weiterhin mit KI, nur eben ohne Klarnamen. Wie so ein Ablauf aussieht, zeige ich in ChatGPT-Prompts für Handwerker an konkreten Vorlagen.
Wenn ChatGPT für deinen Fall nicht in Frage kommt
Es gibt Betriebe, bei denen ich vom Einsatz abrate, zumindest für den sensiblen Teil der Arbeit. Arztpraxen, Pflegedienste und Steuerkanzleien fallen darunter. Dort geht es um besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO, und der Aufwand für eine saubere Absicherung steht selten im Verhältnis zum Zeitgewinn.
Für diese Fälle gibt es zwei Wege. Der erste ist die konsequente Trennung: Alles, was mit Patienten oder Mandanten zu tun hat, bleibt draußen. Marketingtexte, Stellenanzeigen und die Beschreibung der Leistungen auf der Webseite dagegen enthalten keinen Personenbezug und lassen sich bedenkenlos mit KI schreiben.
Der zweite Weg ist ein Modell, das auf eigener Infrastruktur läuft. Technisch ist das machbar, praktisch braucht es jemanden, der die Server betreut. Für einen Betrieb mit fünf Leuten ist das meist zu viel. Die Trennung nach Datenkategorie bringt in der Praxis dasselbe Ergebnis bei einem Bruchteil des Aufwands.
Eine dritte Variante höre ich oft und halte wenig davon: Daten vor dem Einfügen von Hand anonymisieren, ohne feste Regel dafür. Das funktioniert genau so lange, bis jemand unter Zeitdruck arbeitet. Eine schriftliche Regel mit Platzhaltern ist zuverlässiger als guter Wille.
Häufige Fragen zum ChatGPT Datenschutz
Darf ich Kundennamen in ChatGPT eingeben?
Mit einem Business- oder Enterprise-Konto und abgeschlossenem Auftragsverarbeitungsvertrag ist das grundsätzlich zulässig, wenn eine Rechtsgrundlage vorliegt und der Einsatz im Verarbeitungsverzeichnis steht. Ohne AVV solltest du Namen durch Platzhalter ersetzen. Bei Gesundheitsdaten rate ich generell davon ab.
Ist die kostenlose Version von ChatGPT DSGVO-konform nutzbar?
Für betriebliche Zwecke mit Personenbezug nicht. Es fehlt der Auftragsverarbeitungsvertrag, und die Inhalte können je nach Einstellung in die Modellverbesserung einfließen. Für Recherche ohne Kundenbezug ist die kostenlose Version unproblematisch.
Kann ich meinen bestehenden Business-Workspace auf Europa umstellen?
Nein. Die Datenresidenz lässt sich nur beim Anlegen eines neuen Business-Arbeitsbereichs auswählen, bestehende Workspaces sind davon ausgenommen. Wer umstellen will, legt einen neuen Arbeitsbereich an und überträgt eigene GPTs und Team-Mitglieder von Hand.
Brauche ich eine Datenschutz-Folgenabschätzung für ChatGPT?
Bei einfacher Textarbeit ohne besondere Datenkategorien in der Regel nicht. Sobald du Gesundheitsdaten, Bewerberdaten oder umfangreiche Profile verarbeitest, wird sie nach Artikel 35 DSGVO wahrscheinlich Pflicht. Im Zweifel klärt das eine Stunde beim Fachanwalt günstiger als jede Nachbesserung.
Muss ich meine Kunden über den KI-Einsatz informieren?
Wenn du personenbezogene Daten deiner Kunden durch eine KI verarbeiten lässt, gehört das in die Datenschutzerklärung. Ein eigener Absatz mit Anbieter, Zweck und Speicherort reicht in den meisten Fällen aus.
Fazit: ChatGPT Datenschutz ist Handwerk, keine Raketenwissenschaft
Der ChatGPT Datenschutz scheitert in kleinen Betrieben selten an der Technik. Er scheitert daran, dass niemand die halbe Stunde investiert, um das Konto richtig aufzusetzen. Seit September 2026 ist die letzte echte Hürde weg, denn der europäische Speicherort ist jetzt auch im Business-Tarif verfügbar.
Mein Rat: Lege den Business-Arbeitsbereich neu an, bevor du weitere Monate Chats in einem Konto sammelst, das sich später nicht mehr umstellen lässt. Danach die sieben Punkte der Checkliste abarbeiten. Wenn du wissen willst, welche Aufgaben in deinem Betrieb überhaupt sinnvoll an KI abgegeben werden können, findest du in ChatGPT für Selbstständige die konkreten Anwendungsfälle.
Du willst das nicht allein sortieren und lieber einmal in Ruhe mit jemandem durchgehen, wie KI und Webseite in deinem Betrieb zusammenspielen? Dann buch dir ein kostenloses Erstgespräch. Unverbindlich, und du gehst mit einem klaren nächsten Schritt raus.
