Blog

ChatGPT im Unternehmen nutzen: Datenschutz, Richtlinie, Accounts

Veröffentlicht am · aktualisiert am

Sprechblasen aus Glas laufen über ein goldenes Vorhängeschloss mit Häkchen in ein geschütztes Chatfenster aus Glas, in dem eine Blase golden leuchtet.

Hinweis: Tarifnamen und Bedingungen von OpenAI ändern sich; maßgeblich sind die aktuellen Angaben des Anbieters. Stand: 02.11.2026.

Kurz beantwortet

ChatGPT lässt sich im Unternehmen nutzen, wenn klar ist, welche Account-Variante verwendet wird, welche Daten nicht eingegeben werden dürfen und wer Ergebnisse prüft. Für Firmen kommen ChatGPT Business, ChatGPT Enterprise oder API-Lösungen mit Auftragsverarbeitungsvertrag in Frage; für private Accounts nennt OpenAI keinen Auftragsverarbeitungsvertrag. Eine kurze Richtlinie und eine Schulung können Teil der Maßnahmen sein, mit denen Unternehmen nach Art. 4 KI-VO die Entwicklung der KI-Kompetenz unterstützen.

Darf man ChatGPT im Unternehmen nutzen?

Ja – ein generelles Verbot gibt es nicht. Wie bei jedem Cloud-Dienst kommt es auf den Rahmen an:

  • Vertrag: Wenn personenbezogene Daten verarbeitet werden, braucht es einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO.
  • Datenumgang: Was eingegeben wird, entscheidet über das Risiko – nicht das Werkzeug allein.
  • Organisation: Wer darf welches Konto nutzen, wer prüft Ergebnisse, wer ist ansprechbar?
  • Kompetenz: Wer mit KI arbeitet, muss ihre Grenzen kennen.

In manchen Unternehmen nutzen Beschäftigte ChatGPT auch über private Konten, ohne dass es Regeln gibt. Eine solche ungeregelte Nutzung birgt oft mehr Risiken als eine geregelte Einführung.

Welche Account-Varianten gibt es?

OpenAI unterscheidet zwischen Angeboten für Einzelpersonen und für Unternehmen. Die folgende Übersicht beruht auf den Angaben von OpenAI (Enterprise Privacy, Help Center, abgerufen am 02.11.2026):

VarianteTraining mit Ihren DatenAVV (DPA)VerwaltungEignung für Firmen
Free / Go / Plus / Pro (Einzelpersonen)kann zur Verbesserung genutzt werden; in den Einstellungen abschaltbarOpenAI nennt den AVV für Business, Enterprise und API; für Einzelkonten nennt OpenAI keinen AVVkeine zentrale Verwaltunglaut OpenAI für Einzelpersonen ausgelegt; für dienstliche Inhalte in der Regel nicht ausreichend (kein AVV, keine zentrale Verwaltung)
ChatGPT Businesslaut OpenAI standardmäßig ausgeschlossen, außer bei ausdrücklicher Zustimmungja, abschließbarArbeitsbereich mit Admin-Konsole; Aufbewahrungsdauer durch Admins steuerbarlaut OpenAI für Unternehmen, Business-Pläne ab 2 Nutzern
ChatGPT Enterpriselaut OpenAI standardmäßig ausgeschlossen, außer bei ausdrücklicher Zustimmungja, abschließbarerweiterte Verwaltung, u. a. SAML SSO, Compliance API (laut OpenAI für Enterprise und Edu), Aufbewahrungsdauer steuerbarfür größere Organisationen mit erweitertem Verwaltungsbedarf
API (Plattform)laut OpenAI standardmäßig ausgeschlossen, außer bei ausdrücklicher Zustimmungja, abschließbarEinbindung in eigene Anwendungen; Eingaben und Ausgaben können laut OpenAI bis zu 30 Tage gespeichert werden (Zero Data Retention auf Anfrage für geeignete Endpunkte bei einem qualifizierenden Anwendungsfall)geeignet für eigene Lösungen, z. B. interner KI-Chat

Drei Details, die oft übersehen werden:

  • Bei Einzelkonten kann laut OpenAI eine Bewertung einer Antwort (Daumen hoch/runter) dazu führen, dass das zugehörige Gespräch zur Verbesserung genutzt wird, auch wenn das Training abgeschaltet ist. Bei Business, Enterprise und Edu gilt das laut OpenAI nicht.
  • Auch bei Unternehmensangeboten können Daten laut OpenAI automatisiert auf Missbrauch geprüft werden. Lesen Sie die aktuellen Bedingungen, bevor Sie entscheiden.
  • Bei Unternehmensangeboten können Administratoren auf Inhalte zugreifen. Laut OpenAI sind die Chats der Mitglieder eines Business-Arbeitsbereichs für andere Mitglieder nicht automatisch sichtbar; zugleich nennt OpenAI, dass Workspace-Admins Konversationen im Arbeitsbereich einsehen, exportieren und löschen können. Bei ChatGPT Enterprise können Admins laut OpenAI über die Compliance API auf ein Prüfprotokoll von Konversationen zugreifen. Beschäftigte sollten wissen, dass dienstliche Konten vom Arbeitgeber verwaltet werden und der Zugriff dort möglich sein kann.

Datenresidenz: OpenAI bietet für neue ChatGPT-Enterprise- und -Edu-Arbeitsbereiche sowie für berechtigte API-Kunden die Speicherung ruhender Kundeninhalte in Europa (EWR und Schweiz) an. Für neue ChatGPT-Business-Arbeitsbereiche kann die Region beim Checkout gewählt werden; laut OpenAI wird das schrittweise eingeführt und ist noch nicht für alle Kunden verfügbar. Wählt man bei Business eine Region außerhalb der USA, bleiben Sicherheits- und Missbrauchsprotokolle laut OpenAI in den USA, und eine Kopie von Prompts und Antworten wird dort für begrenzte Zeit gespeichert; die Wahl gilt bei Business nicht für den Ort der Verarbeitung (keine Inferenz-Residenz).

Preise: Die folgenden Beträge sind Preise von OpenAI in USD (Listenpreise laut OpenAI; ob netto oder brutto, nennt OpenAI auf den geprüften Seiten nicht; je nach Land und Währung können sie abweichen). Stand: 02.11.2026.

  • ChatGPT Business: Standard-Platz 25 USD pro Nutzer und Monat bei monatlicher Zahlung, 20 USD pro Nutzer und Monat bei jährlicher Abrechnung; Premium-Platz 125 USD bzw. 100 USD. Ein Business-Arbeitsbereich braucht mindestens zwei Plätze (Standard oder Premium). Die API ist nicht enthalten und wird getrennt abgerechnet.
  • ChatGPT Pro (Einzeltarif): Pro 100, Pro 200 und Pro 500 kosten 100, 200 bzw. 500 USD pro Monat.
  • ChatGPT Plus (Einzeltarif): 20 USD pro Monat bei monatlicher Zahlung; eine Jahreszahlung bietet OpenAI dafür laut Hilfeartikel nicht an.
  • ChatGPT Enterprise: Für Enterprise verweist OpenAI auf den Vertrieb; einen Preis nennt die geprüfte Preisseite nicht.
  • API: Abrechnung nach Nutzung, getrennt von den ChatGPT-Tarifen.

Neu ab Dezember: gemeinsames Kontingent für ChatGPT und Codex

Laut OpenAI Help Center wird das Nutzungskontingent der Tarife Plus, Pro und Business ab Dezember über ChatGPT und Codex hinweg geteilt. OpenAI nennt dafür keinen genauen Starttag. Das Kontingent wird in Tokens gemessen; wie viel davon verbraucht wird, hängt vom Modell und von der Aufgabe ab, anspruchsvollere Modelle und Aufgaben verbrauchen in der Regel mehr. Der Sofort-Chat (Instant) zählt nicht gegen das Kontingent. Das verbleibende Kontingent und die Zeitpunkte des Zurücksetzens zeigt ChatGPT unter Einstellungen → Nutzung. Ist das Limit erreicht, kann man warten, den Tarif wechseln oder für berechtigte Funktionen Credits kaufen. Absolute Grenzen nennt OpenAI auf dieser Seite nicht. OpenAI erwartet nach eigener Angabe, dass die meisten Nutzer nicht häufiger auf ein Zurücksetzen warten müssen als heute.

Für Pro hat OpenAI am 29.10.2026 mitgeteilt: Pro 100 und Pro 500 enthalten jetzt das Doppelte ihres bisherigen Work- und Codex-Kontingents; bei Pro 200 hat sich laut OpenAI nur das niedrigere Kontingent verdoppelt, wer das höhere hatte, behält es. Die Nutzung von Plus ist unverändert. Business-Standard- und Premium-Plätze enthalten Work und Codex. Auch bei Business-Premium-Plätzen erhöht OpenAI laut Release Notes vom 29.10.2026 das enthaltene Work- und Codex-Kontingent; einen Faktor nennen die Release Notes dort nicht.

Datenschutz: Was darf rein, was nicht?

Grundsätzlich nicht in ein nicht freigegebenes Werkzeug:

  • personenbezogene Daten von Kunden, Bewerbern oder Mitarbeitenden (Namen, Adressen, Gesundheitsangaben, Personalnummern)
  • Geschäftsgeheimnisse (Kalkulationen, Rezepturen, Konstruktionsdaten, Vertragsentwürfe)
  • Zugangsdaten, Passwörter, API-Schlüssel
  • vertrauliche Dokumente von Kunden oder Partnern

Mit Firmenkonto und AVV möglich, aber mit Augenmaß:

  • interne Texte ohne Personenbezug
  • anonymisierte oder pseudonymisierte Daten
  • öffentlich verfügbare Informationen

Eine einfache Prüffrage für Ihr Team: „Dürfte ich diesen Text auch an einen externen Dienstleister mailen, mit dem wir einen Vertrag haben?“ Wenn nein, gehört er auch nicht in ChatGPT.

Drittland: OpenAI ist ein US-Unternehmen. Übermittlungen in Drittländer sind nur unter den Voraussetzungen der Art. 44 ff. DSGVO zulässig, etwa auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln. Nach dem DPA von OpenAI (in Kraft seit 01.01.2026) ist für Kunden im EWR oder in der Schweiz OpenAI Ireland Ltd. Vertragspartei. Gibt OpenAI Ireland Limited Daten an andere OpenAI-Konzerngesellschaften oder Dritte außerhalb des EWR oder der Schweiz weiter, geschieht das nach dem DPA auf Grundlage von Verträgen mit Standardvertragsklauseln oder eines Angemessenheitsbeschlusses der Kommission nach Art. 45 DSGVO. Für Unterauftragnehmer gilt eine allgemeine Genehmigung mit veröffentlichter Liste; Änderungen kündigt OpenAI an, ein Widerspruch ist binnen 30 Tagen möglich. Prüfen Sie mit Ihrem Datenschutz, auf welche Grundlage sich der Anbieter aktuell stützt.

Orientierung: Die Datenschutzkonferenz (DSK) hat eine Orientierungshilfe zu KI und Datenschutz veröffentlicht, die Unternehmen bei Auswahl und Einsatz von KI-Anwendungen hilft (siehe Quellen).

Richtlinie in Kurzform

Diese fünf Regeln decken das Wichtigste ab:

  1. Nur Firmenkonten: Dienstlich wird ausschließlich der freigegebene ChatGPT-Arbeitsbereich genutzt.
  2. Keine sensiblen Daten: Keine personenbezogenen Daten, Geschäftsgeheimnisse oder Zugangsdaten, außer der Einsatz ist ausdrücklich freigegeben.
  3. Prüfpflicht: Jedes Ergebnis wird vor der Verwendung inhaltlich geprüft. Verantwortlich bleibt, wer es verwendet.
  4. Kennzeichnung, wo nötig: KI-Inhalte werden gekennzeichnet, wo Gesetz, Plattformregeln oder Ihre Grundsätze es verlangen.
  5. Ansprechperson: Fragen und Fehler gehen an [Name/Funktion].

Passen Sie die Regeln an Ihre Abläufe an und halten Sie sie so kurz, dass sie im Alltag gelesen werden.

So führen Sie ChatGPT in 6 Schritten ein

  1. Bestand erheben: Fragen Sie offen, wer ChatGPT oder andere KI-Werkzeuge schon nutzt und wofür. Ohne Vorwürfe – sonst erfahren Sie nichts.
  2. Variante wählen: Business, Enterprise oder API – je nach Größe, Verwaltungsbedarf und Einsatzzweck.
  3. Vertrag schließen: AVV abschließen (bei OpenAI über ein DPA-Formular), Unterauftragnehmer und Datenübermittlung prüfen, Datenschutzbeauftragten einbinden.
  4. Arbeitsbereich einrichten: Nutzer anlegen, Einstellungen prüfen (z. B. Feedback, Verbindungen zu internen Quellen), private Konten ablösen.
  5. Regeln und Schulung: Kurzrichtlinie verteilen, Schulung mit Beispielen aus Ihrem Alltag.
  6. Nachsteuern: Nach einigen Wochen Rückmeldungen einholen, Regeln anpassen, gute Vorlagen im Team teilen.

Gibt es einen Betriebsrat, sollten Sie ihn frühzeitig einbinden. Nach § 87 Abs. 1 Nr. 6 BetrVG genügt für die Mitbestimmung, dass eine technische Einrichtung objektiv geeignet ist, Verhaltens- oder Leistungsdaten zu erfassen (BAG, Beschluss vom 08.03.2022 – 1 ABR 20/21). Das Arbeitsgericht Hamburg hat ein Mitbestimmungsrecht verneint, solange Beschäftigte ChatGPT nur über private Konten nutzten und der Arbeitgeber keinen Zugriff auf die Nutzungsdaten hatte (Beschluss vom 16.01.2024 – 24 BVGa 1/24). Führen Sie Firmenkonten mit Admin-Konsole ein, können Administratoren nach den Angaben von OpenAI auf Konversationen im Arbeitsbereich zugreifen; ein Mitbestimmungsrecht liegt dann nach dieser Einschätzung nahe.

Alternativen und Ergänzungen

  • Microsoft Copilot: Für Unternehmen, die mit Microsoft 365 arbeiten, ist Copilot eine naheliegende Option, weil er in vertraute Anwendungen eingebunden ist. Auch hier gelten die Fragen nach Vertrag, Rechten und Datenumgang.
  • Andere Anbieter: Weitere große Modellanbieter haben ebenfalls Unternehmensangebote. Prüfen Sie dieselben Punkte: Training, AVV, Speicherort, Verwaltung.
  • Interne Lösungen: Für Fragen zu eigenen Unterlagen kommen Funktionen der Business-Tarife wie Company Knowledge oder eine eigene Anwendung auf API-Basis in Frage.

Einen Vergleichstest enthält dieser Beitrag nicht; welches Werkzeug passt, hängt von Ihrer IT-Landschaft und Ihren Abläufen ab.

Schulung und KI-Kompetenz

Art. 4 der KI-Verordnung gilt in der Fassung der Verordnung (EU) 2026/1744 (KI-Omnibus, in Kraft seit 27.07.2026). Danach ergreifen Anbieter und Betreiber von KI-Systemen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung der Systeme befasst sind. Dabei sind technische Kenntnisse, Erfahrung, Aus- und Fortbildung, der Einsatzkontext und die Personen zu berücksichtigen, bei denen die Systeme eingesetzt werden. Ein bestimmtes Kompetenzniveau einzelner Personen muss nicht garantiert werden; eine bestimmte Schulungsform oder ein bestimmter Nachweis ist nicht vorgeschrieben (EUR-Lex).

Wer ChatGPT beruflich nutzt, setzt ein KI-System ein. Eine Kurzrichtlinie und eine Schulung sind naheliegende Maßnahmen. Sinnvolle Inhalte:

  • Aufgaben so stellen, dass ein brauchbares Ergebnis herauskommt
  • erkennen, wann eine Antwort falsch ist, und wissen, wie man das prüft
  • wissen, welche Daten nicht in ein öffentliches Werkzeug gehören
  • die freigegebenen Werkzeuge im Alltag nutzen, nicht nur am Schulungstag

Halten Sie fest, wer wann zu welchen Inhalten geschult wurde. Das ist kein gesetzlich vorgeschriebener Nachweis, hilft aber bei Nachfragen.

Beispiele aus dem Alltag: Was gehört ins Firmenkonto, was nicht?

EingabeEinschätzung
Entwurf eines Newsletters zu einem neuen Produktin der Regel unkritisch, solange keine personenbezogenen Daten oder vertraulichen Details vor Veröffentlichung enthalten sind
Zusammenfassung eines öffentlichen Fachartikelsin der Regel unkritisch; Urheberrecht und Nutzungsbedingungen der Quelle beachten
Kundenanfrage mit Name und Anschriftpersonenbezogene Daten: nur im Firmenkonto mit AVV (Art. 28 DSGVO), mit Rechtsgrundlage und nach Ihrer Richtlinie
Personalakte, Beurteilungennicht eingeben: Beschäftigtendaten, die einen allgemeinen Assistenten nicht brauchen
Gesundheitsdatennicht eingeben: besondere Kategorie personenbezogener Daten, deren Verarbeitung nach Art. 9 Abs. 1 DSGVO grundsätzlich untersagt ist und nur unter den Ausnahmen des Art. 9 Abs. 2 erlaubt ist
Zugangsdaten, Passwörternie eingeben

Maßgeblich sind Ihre Richtlinie und die Prüfung durch Ihren Datenschutzbeauftragten.

Häufige Fragen

  • Ist ChatGPT im Unternehmen DSGVO-konform nutzbar?

    Das hängt von der Umsetzung ab, nicht vom Werkzeug allein. Mit einem Unternehmensangebot, AVV, geprüfter Drittlandübermittlung, klaren Regeln zu Eingaben und informierten Mitarbeitenden lässt sich der Einsatz datenschutzgerecht gestalten. Eine pauschale Zusage gibt es nicht; binden Sie Ihren Datenschutz ein.

  • Welcher ChatGPT-Tarif eignet sich für Firmen?

    Für Teams und KMU kommt meist ChatGPT Business in Frage, für größere Organisationen mit erweitertem Verwaltungsbedarf ChatGPT Enterprise. Für eigene Anwendungen wie einen internen KI-Chat eignet sich die API. Einzelkonten (Free, Go, Plus, Pro) sind laut OpenAI für Einzelpersonen ausgelegt; für sie nennt OpenAI keinen AVV, deshalb reichen sie für dienstliche Inhalte mit Personenbezug in der Regel nicht aus.

  • Werden meine Eingaben zum Training verwendet?

    Bei ChatGPT Business, Enterprise und der API nutzt OpenAI Eingaben und Ausgaben nach eigenen Angaben standardmäßig nicht zum Training. Bei Einzelkonten kann das der Fall sein, sofern es nicht in den Einstellungen abgeschaltet ist. Prüfen Sie die aktuellen Bedingungen.

  • Brauche ich eine Richtlinie für ChatGPT?

    Gesetzlich vorgeschrieben ist eine Richtlinie nicht. Sie ist aber der einfachste Weg, Datenschutz, Geschäftsgeheimnisse und Qualität im Alltag abzusichern, und ein Baustein der Maßnahmen, die Art. 4 KI-VO verlangt, um die Entwicklung der KI-Kompetenz zu unterstützen.

  • Dürfen Mitarbeitende private ChatGPT-Accounts beruflich nutzen?

    Davon ist abzuraten. Bei privaten Konten nennt OpenAI keinen AVV; das Unternehmen hat keine zentrale Verwaltung und kann die Einstellungen der Konten nicht steuern. Stellen Sie stattdessen Firmenkonten bereit und regeln Sie die Nutzung. Legen Sie in Ihrer Richtlinie fest, dass dienstliche Inhalte nur im Firmenkonto verarbeitet werden, und bieten Sie ein Firmenkonto an; binden Sie bei Bedarf Datenschutz und Betriebsrat ein.

  • Muss ich Mitarbeitende vor der Nutzung schulen?

    Eine ausdrückliche Schulungspflicht gibt es nicht. Art. 4 KI-VO verlangt jedoch Maßnahmen, um die Entwicklung der KI-Kompetenz zu unterstützen; wie Sie das umsetzen, bleibt Ihnen überlassen. Eine Schulung vor oder kurz nach der Einführung ist dafür ein naheliegender Weg.

Quellen

OpenAI-Seiten abgerufen am 02.11.2026:

Übrige Quellen (Links am 02.11.2026 erreichbar; Inhalte zuletzt am 20.10.2026 geprüft):

Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Stand: 02.11.2026.

Alle Beiträge