ChatGPT DSGVO-konform nutzen: So geht's
ChatGPT, Copilot, Claude und Gemini helfen beim Formulieren eines Briefs, beim Zusammenfassen einer Akte oder beim Beantworten einer Kundenanfrage. Doch was passiert mit den Namen, Adressen und Nummern, die Sie dort einfügen? Und ist das nach der DSGVO überhaupt erlaubt? Hier erfahren Sie, welche Regeln gelten und wie Sie KI-Chatbots ohne Datenschutzrisiko nutzen.
Was sagen die Aufsichtsbehörden?
Am 6. August 2024 warnte die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens), dass die Nutzung von KI-Chatbots zu Datenpannen führen kann. Ihr lagen mehrere Meldungen vor. In einem Fall hatte ein Mitarbeiter einer Hausarztpraxis entgegen den internen Regeln medizinische Daten von Patienten in einen KI-Chatbot eingegeben. In einem anderen Fall hatte ein Mitarbeiter eines Telekommunikationsunternehmens eine Datei mit unter anderem Kundenadressen eingegeben.
Die Behörde weist darauf hin, dass die meisten Anbieter die eingegebenen Daten speichern. Nutzt ein Mitarbeiter einen Chatbot entgegen den Vorgaben seines Arbeitgebers und gibt personenbezogene Daten ein, liegt aus ihrer Sicht eine Datenpanne vor. Erlaubt die Organisation die Nutzung, ist es zwar keine Panne, aber oft trotzdem nicht rechtmäßig. Auch deutsche Aufsichtsbehörden haben Orientierungshilfen zum datenschutzkonformen Einsatz von KI veröffentlicht.
Welche DSGVO-Regeln spielen eine Rolle?
- Rechtsgrundlage (Art. 6 DSGVO): Für die Weitergabe personenbezogener Daten an einen KI-Anbieter brauchen Sie eine gültige Rechtsgrundlage. „Es war praktisch“ ist keine.
- Datenminimierung (Art. 5 Abs. 1 lit. c): Sie dürfen nicht mehr Daten verarbeiten als nötig. Für eine sprachliche Überarbeitung eines Briefs sind die echten Namen nicht nötig.
- Besondere Kategorien (Art. 9): Gesundheit, Religion, ethnische Herkunft und Ähnliches dürfen grundsätzlich nicht verarbeitet werden, außer in bestimmten Ausnahmefällen.
- Auftragsverarbeitung (Art. 28): Verarbeitet eine Organisation personenbezogene Daten über einen externen Dienst, braucht sie einen Vertrag mit diesem Dienst.
- Übermittlung in Drittländer (Art. 44 ff.): Viele KI-Anbieter sitzen in den USA. Eine Übermittlung ist nur mit geeigneten Garantien zulässig, etwa dem EU-US Data Privacy Framework oder Standardvertragsklauseln.
- Datenpannen (Art. 33 und 34): Geht etwas schief, muss eine Panne in vielen Fällen binnen 72 Stunden der Aufsichtsbehörde gemeldet werden.
7 Regeln für die DSGVO-konforme Nutzung von ChatGPT
1. Vor dem Einfügen anonymisieren oder pseudonymisieren
Die wichtigste Regel: Fügen Sie keine identifizierbaren personenbezogenen Daten in einen Chatbot ein. Ersetzen Sie Namen, Steuer-IDs, IBAN, Adressen, Telefonnummern und Aktenzeichen zuerst durch Platzhalter. VerumVault erledigt das lokal in Ihrem Browser und setzt die echten Daten danach wieder in die Antwort ein.
2. Besondere Kategorien weglassen
Gesundheitsdaten, Diagnosen, Religion oder Strafregisterdaten gehören nicht in einen öffentlichen Chatbot. Beschreiben Sie die Situation allgemein („ein Mitarbeiter ist langzeiterkrankt“), wenn das für Ihre Frage genügt.
3. Auf indirekte Merkmale achten
Auch ohne Namen kann jemand an Funktion, Wohnort oder einem einzigartigen Ereignis erkennbar sein. Mehr dazu in Pseudonymisierung oder Anonymisierung.
4. Einstellungen prüfen
In der Verbraucherversion von ChatGPT können Sie in den Einstellungen zur Datenkontrolle abschalten, dass Ihre Unterhaltungen zur Verbesserung der Modelle genutzt werden, und einen temporären Chat verwenden. Geschäftliche Tarife nutzen Eingaben laut OpenAI standardmäßig nicht für das Training. Beachten Sie: Auch dann verarbeitet und speichert der Anbieter die Daten (vorübergehend). Einstellungen ersetzen das Anonymisieren also nicht.
5. Regeln in der Organisation festlegen
Aufsichtsbehörden raten Organisationen zu klaren Vorgaben: Dürfen Beschäftigte KI-Chatbots nutzen, und wenn ja, welche Daten dürfen eingegeben werden und welche nicht? Halten Sie das in einer kurzen KI-Richtlinie fest und kommunizieren Sie sie.
6. Nur teilen, was nötig ist
Sie brauchen Hilfe bei einem Absatz? Dann fügen Sie nicht die ganze Akte ein. Je weniger Text, desto geringer das Risiko.
7. Die Antwort prüfen
KI kann Fehler machen, auch juristische. Nutzen Sie die Antwort als Entwurf und prüfen Sie Fakten, Fristen und Paragrafen selbst, besonders bei Widersprüchen oder Schriftsätzen.
Der Ablauf in Kürze: Brief in VerumVault einfügen → Platzhalter prüfen → sichere Version an ChatGPT → Antwort zurück einfügen → echte Namen lokal wiederherstellen. Der KI-Anbieter sieht nur [PERSON_1], [IBAN_1] und ähnliche Platzhalter.
Für Anwältinnen und Anwälte gelten zusätzlich Verschwiegenheitspflichten; lesen Sie dazu Dokumente anonymisieren als Anwalt. Eine praktische Anleitung finden Sie in Dokument anonymisieren in 3 Schritten.
Dokument jetzt kostenlos mit VerumVault anonymisieren →Läuft lokal in Ihrem Browser · kein Upload · kein KontoHäufige Fragen
Darf ich personenbezogene Daten in ChatGPT einfügen?
Meist ist das nicht ratsam und oft nicht zulässig. Sie brauchen eine Rechtsgrundlage und dürfen nicht mehr Daten teilen als nötig. Anonymisieren oder pseudonymisieren Sie den Text daher zuerst.
Ist es eine Datenpanne, wenn ein Mitarbeiter Kundendaten in einen Chatbot einfügt?
Nach Ansicht der niederländischen Datenschutzbehörde ja, wenn es gegen die Vorgaben des Arbeitgebers geschieht. Eine Meldung an die Aufsichtsbehörde ist dann oft Pflicht.
Ist ChatGPT sicher, wenn ich das Training abschalte?
Das hilft, aber der Anbieter verarbeitet und speichert die Daten trotzdem. Einstellungen ersetzen das Anonymisieren nicht.
Wie bekomme ich die echten Namen in die KI-Antwort zurück?
Fügen Sie die Antwort in VerumVault bei „KI-Antwort wiederherstellen“ ein. Die Platzhalter werden dann lokal in Ihrem Browser durch die echten Daten ersetzt.