ChatGPT DSGVO-konform im Unternehmen nutzen — geht das?
Die ehrliche Antwort auf eine der häufigsten Fragen in Mittelstands-IT-Projekten 2026. Ohne Marketing-Floskeln, mit klarem Blick auf die Grenzen.
Inhaltsverzeichnis
Das Problem
ChatGPT ist eine US-Cloud. Prompts werden in den USA verarbeitet, die Betreibergesellschaft fällt nicht unter europäisches Datenschutzrecht. Ohne explizite vertragliche Vereinbarung fließen Eingaben in den Trainingsdatensatz.
Deutsche und europäische Aufsichtsbehörden — die Datenschutzkonferenz, die BfDI und Landesbeauftragte — haben mehrfach auf die Risiken hingewiesen. Für Gesundheits-, Rechts-, Personal- und Mandatsdaten gilt explizite Zurückhaltung.
Das heißt nicht, dass ChatGPT verboten ist. Es heißt: Die Rahmenbedingungen müssen stimmen, sonst steht die Nutzung auf dünnem Eis.
Die vier Varianten
flowchart TD
START["ChatGPT im Unternehmen?"] --> Q1{"Personenbezogene Daten?"}
Q1 -->|Nein| ANY["Jede Variante möglich"]
Q1 -->|Ja| Q2{"AV-Vertrag vorhanden?"}
Q2 -->|Nein| STOP["Free/Plus ungeeignet"]
Q2 -->|Ja| Q3{"Besondere Datenarten?"}
Q3 -->|Ja| SH["Self-Hosted empfohlen"]
Q3 -->|Nein| ENT["Enterprise/Team + Richtlinien"]
Vier Produkte mit stark unterschiedlichen rechtlichen Positionen:
- Free / Plus — 0 bis ca. 20 €/Monat. Kein AV-Vertrag. Training mit Nutzerdaten ist Default.
- Team — ca. 25 €/User/Monat. AV-Vertrag via Admin-Konsole. Kein Training mit Business-Daten.
- Enterprise — Verhandlungsbasis, ab ca. 60 €/User/Monat. AV-Vertrag, SSO, Audit-Logs, Zero-Retention.
- API — Pay-per-Token. Default ohne Training, AV-Vertrag abschließbar.
Free und Plus — warum kritisch
Die kostenlose Variante hat strukturelle Probleme, die keine Richtlinie löst: keine Auftragsverarbeitung, Training-by-Default, unklare Speicherdauer, kein SSO oder Admin. Für Firmen-Chats mit Kundendaten, Personalthemen oder interner Kommunikation schlicht ungeeignet. Privater Chat zum Lernen? Natürlich. Firmen-Workflow? Nein.
Enterprise — der saubere Weg
Mit ChatGPT Enterprise lassen sich die DSGVO-Anforderungen formal sauber erfüllen: AV-Vertrag inkl. Standardvertragsklauseln, Zero-Retention-Option, SSO, Admin-Controls, Audit-Logs, EU-Datenresidenz seit 2024.
ChatGPT Team deckt einen großen Teil dieser Anforderungen ebenfalls ab und ist für kleinere Organisationen oft wirtschaftlicher. Enterprise lohnt sich ab ca. 50–100 Nutzern oder wenn EU-Datenresidenz zwingend ist.
Was auch mit Enterprise nicht reingehört
Selbst mit Enterprise und AV-Vertrag gilt: einmal in die US-Cloud übermittelte Daten sind schwer zurückzuholen. Diese Kategorien gehören grundsätzlich nicht in ChatGPT:
- Gesundheitsdaten (besonderes Schutzniveau, Art. 9 DSGVO)
- Mandatsdaten in Rechtsanwaltskanzleien
- Patientenakten und Arztbriefe
- Originalverträge mit Personenbezug
- Passwörter, API-Keys, Credentials
- Strafrechtlich relevante Informationen
Für diese Kategorien empfehlen Aufsichtsbehörden explizit europäische oder selbstgehostete Alternativen.
Self-Hosted als saubere Lösung
Mit OpenWebUI und Ollama läuft ein ChatGPT-ähnliches System auf eigener Hardware. Daten verlassen das Netzwerk nicht. Für rund 90 % der Büroaufgaben ist die Qualität moderner Open-Source-Modelle (Llama 3.3, Mistral, Qwen) ausreichend.
Hybrid-Setups sind möglich: Routine intern, komplexe Einzelfälle anonymisiert via OpenAI Enterprise. OpenWebUI bedient beides in einer Oberfläche.
Kostenrechnung: ein Self-Hosted Setup für 20–50 Mitarbeiter amortisiert sich auf drei Jahre oft gegenüber einer gleich großen Enterprise-Lizenz — der Schutzgewinn kommt obendrauf.
Interne Regeln für Teams
Ohne Nutzerrichtlinien bleibt ein Risiko. Minimalset, das jede Firma haben sollte:
- Positiv- und Negativliste (was darf rein, was nicht)
- Private Accounts im Firmenkontext verbieten
- Cloud-LLM nur mit AV-Vertrag, nicht Plus
- Schulung: wie erkenne ich personenbezogene Daten
- Dokumentation: wer, was, warum, Rechtsgrundlage
- Prozess für Datenabfluss-Vorfälle
Erfahrung: klare Regeln senken das Risiko mehr als teure Lizenzen. Ein halber Tag Schulung wirkt länger als jeder AV-Vertrag.
Fazit
ChatGPT in der kostenlosen Variante ist im deutschen Firmenkontext fast nie DSGVO-konform. Wer produktiv nutzen will, braucht entweder Team/Enterprise mit klaren Regeln — oder gleich eine selbst gehostete Alternative.
Letztere ist 2026 technisch reif, qualitativ für die meisten Aufgaben ausreichend und kostet auf drei Jahre oft weniger als Enterprise. Der größere Gewinn ist aber nicht das Geld — sondern die Kontrolle über die eigenen Daten.