Darf ich Kundendaten in ChatGPT eingeben? DSGVO-Regeln und sichere Alternativen

Die Frage, ob Sie Kundendaten in ChatGPT eingeben dürfen, ohne gegen die DSGVO zu verstoßen, lässt sich nicht pauschal beantworten — sie hängt entscheidend von der genutzten ChatGPT-Version ab. So viel vorweg: In der kostenlosen Free-Version oder im Plus-Tarif ist die Eingabe personenbezogener Kundendaten in aller Regel rechtswidrig, weil dort kein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zustande kommt. Wie ernst die Behörden das nehmen, zeigt ein Warnschuss aus Italien: Am 20. Dezember 2024 verhängte die Datenschutzbehörde Garante ein Bußgeld von 15 Millionen Euro gegen OpenAI. Dieser Beitrag erklärt praxisnah, wann der Einsatz erlaubt ist, was Sie niemals eintippen dürfen und welche DSGVO-konformen Alternativen es für den Mittelstand gibt.

Auf einen Blick

• ChatGPT Free und Plus bieten keinen AVV — die Eingabe personenbezogener Kundendaten ist damit nicht DSGVO-konform. Nur ChatGPT Team (ab 25 €/Nutzer/Monat) und Enterprise (~50–60 €/Nutzer/Monat) erlauben einen Auftragsverarbeitungsvertrag.
• Free/Plus trainieren das Modell standardmäßig mit Ihren Eingaben (Opt-out möglich). Team und Enterprise nutzen Kundendaten nicht für Training.
• Bußgelder reichen bis 20 Mio. Euro oder 4 % Jahresumsatz (DSGVO, Art. 83) — bei EU-AI-Act-Verstößen sogar bis 35 Mio. Euro oder 7 %.
• Pseudonymisierte Daten bleiben personenbezogen. Nur echte, irreversible Anonymisierung befreit von der DSGVO.
• Seit 2. Februar 2025 gilt die KI-Kompetenzpflicht (EU AI Act, Art. 4); die behördliche Durchsetzung beginnt am 2. August 2026.

Die kurze Antwort: Es kommt auf die ChatGPT-Version an

Die zentrale Hürde für die Frage „Kundendaten in ChatGPT eingeben und DSGVO einhalten" ist der Auftragsverarbeitungsvertrag. Wer personenbezogene Daten von einem Dienstleister verarbeiten lässt, braucht zwingend einen AVV nach Art. 28 DSGVO. Ob OpenAI Ihnen diesen anbietet, hängt vom Tarif ab.

Kurz gesagt: Für die Verarbeitung echter Kundendaten kommen praktisch nur Team und Enterprise infrage. Free und Plus eignen sich ausschließlich für Aufgaben ohne personenbezogene Daten — etwa allgemeines Brainstorming, Code-Snippets oder Texte mit anonymisierten Platzhaltern. Preise und Tarifdetails können sich ändern; prüfen Sie vor einer Entscheidung die aktuelle OpenAI-Preisseite.

Warum Kundendaten in ChatGPT so heikel sind — 5 konkrete Risiken

Kein AVV = Rechtsverstoß nach Art. 28 DSGVO

Sobald ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, schreibt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag vor. Fehlt dieser, ist die Verarbeitung formell rechtswidrig — unabhängig davon, ob tatsächlich etwas „passiert". Genau hier scheitern Free und Plus. Welche Klauseln ein belastbarer Vertrag enthalten muss, lesen Sie in unserem Leitfaden zum Auftragsverarbeitungsvertrag für KI-Tools bei OpenAI, Azure und Anthropic.

Trainingsdaten: Wann lernt ChatGPT aus Ihren Eingaben?

In ChatGPT Free und Plus fließen Konversationen standardmäßig in das Modelltraining. Sie können das in den Einstellungen deaktivieren (Opt-out), doch der Standard bleibt riskant — besonders, wenn mehrere Mitarbeiter unabhängig voneinander Konten nutzen. ChatGPT Team und Enterprise hingegen trainieren das Modell grundsätzlich nicht mit Ihren Eingaben. Das ist einer der wichtigsten Gründe, warum die Frage nach personenbezogenen Daten in ChatGPT sich am Tarif entscheidet.

Drittlandtransfer USA: Data Privacy Framework und seine Achillesferse

OpenAI ist ein US-Unternehmen. Die Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework (seit 2023). Das ist eine gültige Rechtsgrundlage — aber kein Freibrief: Bereits Safe Harbor (2015) und das Privacy Shield (2020) wurden vom EuGH gekippt. Ein erneutes Kippen ist möglich. Wer dieses Restrisiko minimieren will, setzt auf EU-Datenresidenz oder europäische Anbieter (siehe unten). Seit Februar 2025 bietet OpenAI EU-Datenresidenz und seit Januar 2026 sogar EU-Inferenz-Residenz — allerdings nur für Enterprise-Workspaces.

Keine vollautomatisierten Entscheidungen (Art. 22 DSGVO)

Art. 22 DSGVO verbietet vollautomatisierte Entscheidungen mit erheblichen Folgen für Betroffene — etwa Bewerbungsscreening oder Bonitätsprüfung allein durch eine KI. Ein Mensch muss die Entscheidung verantworten und überprüfen. ChatGPT darf hier höchstens zuarbeiten, nie allein entscheiden.

Bußgelder bis 20 Mio. Euro — das Garante-Urteil als Warnschuss

Das eingangs erwähnte Bußgeld von 15 Mio. Euro gegen OpenAI fußte auf fehlender Rechtsgrundlage für das Training, einer nicht gemeldeten Datenpanne, mangelnder Transparenz und Lücken beim Kinderschutz. Der allgemeine DSGVO-Rahmen reicht bis 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83). Verstöße gegen den EU AI Act können bis zu 35 Mio. Euro oder 7 % Jahresumsatz kosten.

Was Sie NIEMALS in ChatGPT eingeben dürfen

Selbst mit korrektem Tarif gilt der Grundsatz der Datenminimierung. Diese Daten gehören niemals ungeschützt in einen Prompt:

• Klarnamen, E-Mail-Adressen, Telefonnummern einzelner Kunden oder Mitarbeiter
• Gesundheitsdaten, religiöse oder politische Angaben, Gewerkschaftszugehörigkeit (besondere Kategorien nach Art. 9 DSGVO)
• Bank-, Konto- und Zahlungsdaten
• Bewerbungsunterlagen und Personalakten zur automatisierten Bewertung
• Vertrauliche Vertragsinhalte mit Personenbezug
• Bonitäts- oder Score-Daten für automatisierte Entscheidungen

Im Zweifel gilt: erst anonymisieren, dann eingeben.

So nutzen Sie ChatGPT DSGVO-konform: 7-Punkte-Checkliste

Schritt 1 — Richtigen Tarif wählen. Ohne Team oder Enterprise ist keine rechtskonforme Verarbeitung von Kundendaten möglich. Beachten Sie die Mindestnutzerzahlen.

Schritt 2 — AVV abschließen und dokumentieren. OpenAI stellt für Team und Enterprise ein Data Processing Addendum bereit. Schließen Sie es aktiv ab und legen Sie es revisionssicher ab.

Schritt 3 — Training deaktivieren. Bei Team und Enterprise ist das der Standard; prüfen Sie es dennoch in den Workspace-Einstellungen.

Schritt 4 — EU-Datenresidenz aktivieren. Enterprise-Kunden können Speicherung und Verarbeitung in Europa erzwingen. Rechnen Sie mit 200–500 ms zusätzlicher Latenz pro Anfrage — ein kleiner Preis für deutlich geringeres Drittlandrisiko.

Schritt 5 — Verarbeitungsverzeichnis aktualisieren. Jedes KI-Tool braucht einen eigenen Eintrag nach Art. 30. Bei systematischer Verarbeitung sensibler Daten ist zusätzlich eine Datenschutzfolgenabschätzung (Art. 35) zwingend.

Schritt 6 — Datenschutzerklärung anpassen. Nennen Sie Anbieter, Rechtsgrundlage (Art. 6), AVV-Status und gegebenenfalls die Drittlandabsicherung (Art. 13).

Schritt 7 — Mitarbeiter schulen. Die KI-Kompetenzpflicht ist seit 2. Februar 2025 in Kraft. Wie Sie sie praktisch umsetzen, zeigt unsere Checkliste zur KI-Schulungspflicht nach EU AI Act Art. 4.

Daten anonymisieren vor der KI-Eingabe — so geht es in der Praxis

Anonymisierung vs. Pseudonymisierung — der entscheidende Unterschied

Viele Unternehmen glauben, mit einer Pseudonymisierung auf der sicheren Seite zu sein. Das ist ein folgenreicher Irrtum: Pseudonymisierte Daten gelten unter der DSGVO weiterhin als personenbezogen und unterliegen allen Pflichten — so bestätigen es die EDPB-Leitlinien 01/2025. Erst eine echte, irreversible Anonymisierung befreit von der DSGVO. Praktisch bedeutet das: Ersetzen Sie Bezeichner so, dass auch mit Zusatzwissen kein Rückschluss auf eine Person möglich ist.

Konkrete Techniken — Platzhalter, ARX, Microsoft Presidio

Die einfachste Methode ist die Anonymisierungsschablone im Prompt: Ersetzen Sie alle Bezeichner vor dem Eintippen.

Beispiel-Prompt: „Formuliere eine Antwort auf die Beschwerde von Kunde A (Firma Unternehmen X) über die verspätete Lieferung von Produkt Y. Adresse, Name und Bestellnummer sind irrelevant."

Für größere Datenmengen eignen sich Open-Source-Werkzeuge wie das ARX Data Anonymization Tool oder Microsoft Presidio zur automatisierten NLP-Anonymisierung. So lassen sich personenbezogene Daten vor der KI zuverlässig entfernen, bevor sie das Unternehmen verlassen.

EU AI Act 2025/2026: Was jetzt für ChatGPT-Nutzer gilt

Art. 4 — KI-Kompetenz. Unternehmen müssen nachweisen, dass KI-nutzende Mitarbeiter ausreichend kompetent sind. Brisant: Nur 27 % der deutschen Unternehmen haben Schulungen eingeführt, obwohl 56 % bereits KI-Tools nutzen.

GPAI-Transparenz. Seit 2. August 2025 müssen Anbieter wie OpenAI öffentliche Zusammenfassungen ihrer Trainingsdaten nach der EU-Vorlage C(2025) 5235 final veröffentlichen.

Digital Omnibus. Die politische Einigung fiel am 7. Mai 2026; die formelle Adoption wird bis August 2026 erwartet. Bis zur Veröffentlichung im EU-Amtsblatt gilt technisch noch der ursprüngliche Zeitplan — die Verschiebungen für Annex III (auf 2.12.2027) und Annex I (auf 2.8.2028) stehen also noch unter Vorbehalt. Wie gut Ihr Unternehmen auf diese Pflichten vorbereitet ist, zeigt der kostenlose AI Act Readiness Check in drei Minuten.

DSGVO-konforme Alternativen zu ChatGPT im Vergleich (2026)

Europäische Anbieter. Aleph Alpha verarbeitet Daten ausschließlich in Deutschland und gilt als regulatorisch sicherste Wahl für hochsensible Branchen. Mistral AI bietet EU-native Server und Self-Hosting. Einen umfassenden Überblick liefern unsere ChatGPT-Alternativen aus Europa und die geprüfte Liste DSGVO-konformer KI-Tools.

Achtung Claude-Falle: Der Claude-Team-Plan (30 €/Monat) bietet trotz des Business-Namens keinen AVV — er ist ein Consumer-Plan. Erst Claude API und Enterprise stellen einen AVV bereit, allerdings über Standardvertragsklauseln statt über das Data Privacy Framework.

Self-Hosting. Modelle wie Llama 3.3 oder Mistral lassen sich ab rund 100 €/Monat per Ollama oder LM Studio betreiben — die Daten verlassen Ihr Netz nie. Wie das geht, zeigt unser Leitfaden zu lokaler KI offline mit Ollama und LM Studio.

KI-Texte DSGVO-konform erstellen — was wecando.ai anders macht

Enterprise-Lizenzen mit 150 Mindestnutzern sind für die meisten KMU illusorisch. Genau hier setzt unser Ansatz an: Im Hub KI-Texte zeigen wir, wie Sie professionelle Inhalte erstellen, ohne Kundendaten überhaupt in ein riskantes Tool zu geben — mit Anonymisierungsschablonen, geprüften Anbietern und klaren Prozessen. Praxis statt Tool-Hype.

Fazit: Diese 3 Regeln müssen Sie heute umsetzen

1. Kein AVV, keine Kundendaten. Free und Plus sind für personenbezogene Daten tabu — nutzen Sie Team, Enterprise oder eine geprüfte europäische Alternative.
2. Anonymisieren ist Pflicht, nicht Kür. Ersetzen Sie Klarnamen durch Platzhalter, bevor ein Prompt das Haus verlässt — Pseudonymisierung allein reicht nicht.
3. Dokumentieren und schulen. Verarbeitungsverzeichnis, Datenschutzerklärung und KI-Kompetenznachweis sind keine Kür — die Durchsetzung der Schulungspflicht beginnt am 2. August 2026.

Wo Ihr Unternehmen bei diesen drei Regeln heute steht, zeigt der kostenlose DSGVO-KI-Check — zehn Fragen, zwei Minuten, sofortiges Ergebnis.

Dieser Beitrag ist keine Rechtsberatung. Bei konkreten Fragen wenden Sie sich an Ihren Datenschutzbeauftragten oder eine spezialisierte Kanzlei.

Stand: Juni 2026 — wird als Living Document aktuell gehalten. Preise, Tarife und EU-AI-Act-Fristen prüfen wir laufend und passen sie bei Änderungen (z. B. der formellen Adoption des Digital Omnibus) an.

Häufige Fragen

Darf ich den Namen und die E-Mail-Adresse eines Kunden in ChatGPT eingeben?

Nur, wenn Sie ChatGPT Team oder Enterprise mit abgeschlossenem AVV nutzen und eine Rechtsgrundlage nach Art. 6 DSGVO vorliegt. In Free oder Plus ist es nicht DSGVO-konform. Besser: Daten vorab anonymisieren, etwa durch Platzhalter wie „Kunde A".

Welcher ChatGPT-Tarif ist DSGVO-konform für Unternehmen?

ChatGPT Team (ab 25 €/Nutzer/Monat) und Enterprise (~50–60 €/Nutzer/Monat) bieten einen AVV und trainieren das Modell nicht mit Ihren Daten. Enterprise erlaubt zusätzlich EU-Datenresidenz und EU-Inferenz. Free und Plus sind für Kundendaten ungeeignet.

Wie anonymisiere ich Kundendaten, bevor ich sie in ein KI-Tool eingebe?

Ersetzen Sie alle Bezeichner durch Platzhalter („Kunde A", „Unternehmen X") direkt im Prompt. Für größere Mengen eignen sich Open-Source-Tools wie ARX oder Microsoft Presidio. Wichtig: Pseudonymisierte Daten bleiben personenbezogen — nur echte, irreversible Anonymisierung befreit von der DSGVO.

Welche europäischen Alternativen zu ChatGPT sind DSGVO-konform?

Aleph Alpha PhariaAI (Heidelberg, BSI C5, ISO 27001), Mistral AI (Paris, EU-Server, Self-Hosting) und deutsche KI-Proxys wie nele.ai. Unter den US-Anbietern mit EU-Option gelten Azure OpenAI (Frankfurt) und MS Copilot for M365 als pragmatisch konforme Lösungen.

Darf ich ChatGPT für Bewerbungsscreening oder Bonitätsprüfungen nutzen?

Nicht vollautomatisiert. Art. 22 DSGVO verbietet automatisierte Entscheidungen mit erheblichen Folgen ohne menschliche Überprüfung. ChatGPT darf höchstens zuarbeiten; die finale Entscheidung muss ein Mensch verantworten und nachvollziehbar begründen.

Wie hoch sind die Bußgelder bei DSGVO-Verstößen durch KI-Nutzung?

Nach Art. 83 DSGVO bis 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes. Verstöße gegen den EU AI Act können bis 35 Mio. Euro oder 7 % kosten. Das Bußgeld der italienischen Garante gegen OpenAI vom Dezember 2024 betrug 15 Mio. Euro.