ChatGPT & DSGVO im Betrieb: Was Ihre Mitarbeiter da gerade hochladen
Kundenmails, Verträge, Patientendaten landen täglich in kostenlosen Chatbots und damit auf fremden Servern. Kein Verbots-Artikel, sondern ein praktischer Weg: die eine Faustregel fürs Team, ein ehrlicher Vergleich der KI-Varianten und Ihre KI-Richtlinie auf einer Seite.
Es ist Dienstagvormittag. Eine Mitarbeiterin soll eine heikle Kundenmail beantworten. Sie kopiert die komplette Nachricht in ChatGPT – Name, Anschrift, Vorgangsnummer, das ganze Problem – und tippt: »Formulier mir eine freundliche Antwort.« Zehn Sekunden später steht der Text da. Sauber, höflich, fertig.
Und die Kundendaten liegen jetzt auf einem Server in den USA. Niemand hat das entschieden. Es ist einfach passiert.
Das ist kein Ausrutscher. Das läuft in vielen Betrieben jede Woche. Nur redet keiner darüber.
Verbieten? Bringt nichts. Die Werkzeuge sind zu praktisch, die Versuchung zu groß. Also gehe ich das anders an: kein Verbot, sondern eine Handvoll Regeln, die jeder im Team versteht.
Was da wirklich passiert
Der Reiz von ChatGPT ist echt. Was früher zehn Minuten Tippen war, dauert jetzt zehn Sekunden. Ihre Leute wollen nichts Böses. Sie wollen schneller fertig werden. Genau deshalb ist das Problem so hartnäckig.
Der Haken steckt im Kleingedruckten. Bei den kostenlosen Verbraucher-Versionen der großen Chatbots können Ihre Eingaben zum Training verwendet werden. Training heißt: Was Sie eintippen, kann Teil dessen werden, womit die KI weiterlernt. Ihre Kundenmail wird zum Lehrmaterial.
Für ein Kuchenrezept ist das egal. Für personenbezogene Daten nicht. Personenbezogen heißt nach Artikel 4 der DSGVO: alles, womit sich eine echte Person identifizieren lässt. Name, Adresse, Kundennummer, Diagnose, Gehalt. Diese Daten gehören Ihren Kunden, Patienten oder Mandanten. Nicht Ihnen. Und schon gar nicht einem Chatbot, der damit trainiert. Wie ernst Gerichte solche Datenflüsse in die USA nehmen, hat die Abmahnwelle um Google Fonts gezeigt – da genügte schon eine Schriftart, die der Browser von einem US-Server lud.
Und es bleibt nicht bei der einen Mail. In der Praxis wandern Angebote, Verträge, Bewerbungsunterlagen, manchmal sogar Krankmeldungen in die Eingabezeile. Alles gut gemeint, alles produktiv. Und alles außerhalb Ihrer Kontrolle, sobald es abgeschickt ist. Das ist der eigentliche Punkt. Nicht der einzelne Klick ist das Problem, sondern die Summe vieler kleiner Klicks über Monate. Der Chatbot ist dabei nur der neueste Kanal. Was Cookies beim Surfen alles mitschreiben und warum Suchmaschine und Browser im Betrieb eine bewusste Wahl sein sollten, sind ältere Kapitel derselben Geschichte.
Die eine Regel, die jeder versteht
Datenschutz-Schulungen scheitern an Paragrafen. Niemand merkt sich Artikel und Absätze. Ihr Team braucht keinen Gesetzestext, sondern einen Satz.
Diesen hier:
»Geben Sie nichts in einen Chatbot ein, was Sie nicht auch an eine fremde Firma mailen würden.«
Das versteht die Auszubildende genauso wie der Meister. Die eigene Standard-Preisliste? Kann man diskutieren. Die Krankengeschichte eines Patienten, die Kontodaten eines Kunden, der Vertragsentwurf eines Mandanten? Würden Sie die einem Wildfremden schicken? Eben.
Drei Wege, KI zu nutzen – und was mit Ihren Daten geschieht
»KI« ist nicht gleich »KI«. Es macht einen gewaltigen Unterschied, welches Werkzeug Ihre Leute öffnen. Drei Varianten, ehrlich nebeneinandergestellt:
| Variante | Was mit Ihren Daten passiert | Passt für |
|---|---|---|
| Kostenloser Chatbot (ChatGPT Free und Co.) | Eingaben können zum Training genutzt werden. Kein Vertrag, keine Garantie, kein Rückholknopf. | Unkritische Texte ohne Personenbezug |
| Business-Version mit AVV | Der Anbieter sichert per Vertrag zu, Ihre Eingaben nicht zum Training zu nutzen. AVV heißt Auftragsverarbeitungsvertrag: die schriftliche Abmachung, was mit Ihren Daten geschieht. Kostet Aufpreis. | Betriebe, die KI im Alltag mit echten Daten einsetzen wollen |
| Lokale KI (auf eigener Technik) | Die Daten verlassen Ihr Haus nie. Kein fremder Server im Spiel. Dafür Anschaffung und Einrichtung. | Höchster Datenschutz, sensible Branchen wie Praxis oder Kanzlei |
Die lokale KI ist der sauberste Weg, hat aber ihren Preis: Sie braucht passende Technik und etwas Einrichtung. Wie das ganz ohne US-Cloud läuft, sehen Sie im Detail bei der lokalen KI und dem Datenschutz.
Für die meisten kleinen Betriebe ist die Business-Version der pragmatische Mittelweg. Sie kostet Aufpreis, dafür bekommen Sie einen Vertrag, der etwas wert ist, und Ihre Eingaben landen nicht im Training. Das ist kein Freibrief für alles, aber ein solides Fundament. Wichtig ist nur, dass Ihr Team weiß, welches Konto das freigegebene ist und welches nicht. Wie so ein sauber aufgesetztes Werkzeug im Alltag aussieht, habe ich am Beispiel Gemini und NotebookLM im Verein durchgespielt.
Ihre KI-Richtlinie auf einer Seite
Sie brauchen kein 30-seitiges Konzept. Sie brauchen eine Seite, die am schwarzen Brett hängt und die jeder in zwei Minuten liest. Hier ist die Vorlage. Nehmen Sie sie mit:
- Keine echten Personendaten in kostenlose Chatbots. Namen, Adressen, Kontonummern, Gesundheitsdaten: raus. Vorher anonymisieren oder weglassen.
- Die Faustregel gilt immer. Nichts eingeben, was Sie nicht auch an eine fremde Firma mailen würden.
- Echte Kundendaten nur in freigegebene Werkzeuge. Also in eine Business-Version mit Vertrag oder eine lokale KI. Nie in den privaten Gratis-Account.
- Jedes Ergebnis gegenlesen. KI erfindet gelegentlich Fakten und Quellen. Unterschreiben tun Sie, nicht der Chatbot.
- Im Zweifel fragen, nicht raten. Eine Person im Betrieb ist zuständig. Lieber einmal kurz nachfragen als einmal zu viel hochladen.
Fünf Sätze. Das ist Ihre komplette KI-Richtlinie. Sie können sie heute Nachmittag ausdrucken und aufhängen.
Wann Sie sich die Richtlinie sparen können
Und jetzt die andere Seite. Nicht jeder Betrieb muss hier sofort loslegen.
Sie arbeiten allein, ohne Angestellte, und tippen selbst nie Kundendaten in einen Chatbot? Dann genügt die Faustregel im Kopf. In Ihrem Betrieb rührt niemand KI-Werkzeuge an? Dann lassen Sie die Richtlinie liegen, bis sich das ändert. Und es ändert sich schneller, als Ihnen lieb ist.
Pauschale Panik wäre unseriös. Aber sobald mehr als eine Person im Haus mit KI arbeitet und dabei Kundendaten im Spiel sind, ist die eine Seite Regeln gut investierte Zeit.
Und der EU AI Act?
Über die neue KI-Verordnung der EU wird viel geredet, oft mit erhobenem Zeigefinger. Für den normalen Kleinbetrieb, der ChatGPT für Mails und Texte nutzt, halte ich es kurz: Wer die Datenschutz-Grundregeln von oben einhält, macht schon das Wesentliche richtig. Über einzelne Detailpflichten behaupte ich hier nichts, was ich nicht belegen kann. Das ist ehrlicher, als Ihnen Angst zu verkaufen.
Wollen Sie wissen, ob in Ihrem Betrieb gerade Kundenmails und Verträge in ChatGPT landen? Genau das prüfe ich im kostenlosen Erstgespräch: welche Konten Ihr Team öffnet, wo personenbezogene Daten mitgehen und ob eine Business-Version, eine lokale KI oder erst einmal die eine Seite Regeln zu Ihnen passt. Passt es, richte ich Ihnen danach die KI-Automation so ein, dass sie den Datenschutz respektiert statt ihn auszuhebeln. Und braucht Ihr Betrieb heute noch keine Regel, sage ich Ihnen genau das.
