Öffentliche KI-Tools und Enterprise-Modelle unterscheiden sich bei Datenfluss, Trainingsnutzung und Vertragslage. Der Vergleich zeigt, was im Unternehmen erlaubt ist und was dokumentiert werden muss.
ChatGPT Datenschutz ist im Unternehmen keine Zwei-Minuten-Frage. Sobald Mitarbeiter Verträge, Kundenlisten oder Personalnotizen in ein öffentliches KI-Tool eingeben, verlassen personenbezogene Daten Ihre Kontrolle. Die Antwort ist kein Verbot, sondern eine klare Trennung: öffentliche Tools für allgemeine Texte, Enterprise-Modelle mit Vertrag für alles mit Datenbezug.
Für jedes genutzte Tool sollten Sie fünf Fragen beantworten können. Wer verarbeitet die Daten, wo liegen sie, wie werden sie genutzt? Gibt es einen Vertrag, und wer kontrolliert die Löschung? Fehlt eine dieser Antworten, ist der Einsatz nicht dokumentierbar und intern nicht vertretbar.
KI verschärft die Bedrohungslage. Laut BKA nutzen Cyberkriminelle KI, um Angriffe schneller, gezielter und professioneller durchzuführen (BKA-Presseinformation zum Bundeslagebild Cybercrime 2025). Dieselben Werkzeuge eröffnen Wege zur frühen Schwachstellenerkennung.
ChatGPT Datenschutz: öffentliche Tools und Enterprise-Modelle
Öffentliche Chatboten wie ChatGPT Free, Plus oder Pro richten sich an Privatpersonen. Für die geschäftliche Nutzung gelten andere Bedingungen als in den Business- und Enterprise-Tarifen. Dort ist die Nutzung Ihrer Inhalte zur Verbesserung der Modelle abgeschaltet, und ein Auftragsverarbeitungsvertrag liegt vor. In privaten Konten können Eingaben dagegen zur Verbesserung der Modelle dienen, solange Sie die Einstellung nicht ändern.
Microsoft Copilot arbeitet anders. Laut Microsoft-Dokumentation werden Prompts, Antworten und über Microsoft Graph abgerufene Daten nicht zum Trainieren der Basismodelle verwendet. Für Kunden in der Europäischen Union gilt die EU-Datengrenze, sodass der Datenverkehr innerhalb der EU bleibt. Websuch-Anfragen sind davon nicht erfasst, und Modelle von Anthropic als Unterauftragsverarbeiter sind derzeit ausgenommen.
Geschäftsdaten eingeben: Vergleich der Modelle
Die Tabelle zeigt, woran sich die Modelle unterscheiden. Entscheidend sind nicht einzelne Funktionsversprechen, sondern die Frage, ob Sie Datenfluss, Trainingsnutzung und Löschung nachweisen können.
| Kriterium | Öffentliche Consumer-Tools | M365 Copilot mit AVV und TOMs |
|---|---|---|
| Datenfluss | Eingabe an einen fremden Dienst außerhalb Ihrer Kontrolle. | Verarbeitung in der Microsoft 365-Umgebung, für EU-Kunden innerhalb der EU-Datengrenze. |
| Trainingsnutzung | Eingaben können zur Verbesserung der Modelle dienen, je nach Einstellung. | Prompts, Antworten und Graph-Daten werden nicht zum Trainieren der Basismodelle verwendet. |
| Vertragslage | Kein Auftragsverarbeitungsvertrag und keine Grundlage für Ihre Verarbeitung. | Auftragsverarbeitungsvertrag (Data Protection Addendum) und Microsoft-Produktbedingungen. |
| Kontrolle | Keine Protokollierung, keine Löschkontrolle, kein Nachweis. | Protokollierung, Löschkonzepte, dokumentierte TOMs und vertragliche Prüfrechte. |
Die Auswahl eines KI-Werkzeugs ist eine Vertrags- und Dokumentationsfrage, keine Geschmacksfrage. Welche Nutzung für Ihr Unternehmen zulässig ist, klären Sie mit Ihrer Rechtsabteilung und den Datenschutzbeauftragten. Wir liefern den technischen Teil: Zugriffsrechte, Protokollierung und TOMs.
AVV und TOMs: die Nachweise, die Sie brauchen
Ein Auftragsverarbeitungsvertrag regelt, wer welche Daten verarbeitet und auf welcher Grundlage. Er ist nach Art. 28 DSGVO erforderlich, sobald ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet. Ein Vertrag allein genügt nicht. Parallel brauchen Sie technische und organisatorische Maßnahmen (TOMs) und einen Nachweis, dass diese Maßnahmen im Betrieb greifen.
Microsoft liefert die TOMs im Data Protection Addendum und in den Produktbedingungen mit. Hinzu kommen die Schutzmechanismen der Microsoft 365-Umgebung: Mandantentrennung, Verschlüsselung in Ruhe und in Übertragung, rollenbasierte Zugriffskontrolle und die Protokollierung der Interaktionen. Die Datenschutzkonferenz empfiehlt, die Auswahl eines KI-Systems anhand von Zweckbestimmung, Transparenz, Betroffenenrechten und technischen Schutzmaßnahmen zu dokumentieren.
- 1
Verzeichnis der Verarbeitungstätigkeiten – jedes KI-Werkzeug mit Zweck, Datenkategorien und Rechtsgrundlage eintragen (Art. 30 DSGVO).
- 2
Datenschutz-Folgenabschätzung – prüfen, ob der KI-Einsatz ein hohes Risiko für Betroffene erzeugt (Art. 35 DSGVO).
- 3
Auftragsverarbeitungsvertrag – mit jedem Anbieter schließen, der Daten in Ihrem Auftrag verarbeitet (Art. 28 DSGVO).
- 4
TOMs – technische und organisatorische Maßnahmen je Anbieter beschreiben und regelmäßig auf Aktualität prüfen.
- 5
Löschkonzept – festlegen, wann Prompts, Antworten und Protokolle gelöscht werden und wie das nachweisbar bleibt.
- 6
KI-Kompetenz – nach Art. 4 der Verordnung (EU) 2024/1689 sicherstellen, dass Mitarbeiter den Umgang mit KI-Systemen beherrschen.
Für die Bewertung zählen drei Details: Copilot verarbeitet Daten in der Microsoft 365-Dienstgrenze. Websuch-Anfragen sind von der EU-Datengrenze nicht erfasst, Anthropic-Modelle als Unterauftragsverarbeiter derzeit ausgenommen.
KI-Richtlinie im Unternehmen
Eine KI-Richtlinie beantwortet drei Fragen für Ihre Mitarbeiter: Welche Tools sind freigegeben, welche Daten sind verboten, wie werden KI-Ergebnisse verwendet.
- 1
Freigegeben – öffentliche Tools nur für Texte ohne Personenbezug, ohne Geschäftsgeheimnis und ohne Kundendaten.
- 2
Ausgeschlossen – Personaldaten, Gesundheitsdaten, Mandantendaten, Verträge und nicht veröffentlichte Zahlen bleiben draußen.
- 3
Kennzeichnung – Texte, Bilder und Übersetzungen aus KI werden als KI-Hilfe gekennzeichnet und vor Verwendung geprüft.
- 4
Nachweis – die Liste der freigegebenen Tools wird geführt und bei jeder Änderung aktualisiert.
Passende Leistungen
Häufige Fragen zu ChatGPT und Datenschutz
Wir prüfen die bei Ihnen genutzten KI-Tools und richten eine belastbare KI-Richtlinie ein. Im kostenlosen Erstgespräch nehmen wir Datenfluss, AVV, TOMs und Löschfragen gemeinsam unter die Lupe.
Kostenloses Erstgespräch vereinbarenThemen
Themenfeld
IT-Strategie, Betrieb und Kosten für KMU