Dürfen wir Kunden- und Firmendaten in ChatGPT eingeben?

Kurze Antwort: Kundendaten dürfen Firmen in ChatGPT und ähnliche KI-Tools (Stand 2026) in vielen Fällen eingeben, wenn die Voraussetzungen stimmen. Dazu gehören in der Regel eine Business-Version mit Vertrag zur Auftragsverarbeitung, ein erlaubter Grund für die Verarbeitung nach DSGVO und klare Regeln fürs Team. Ob das im Einzelfall reicht, klärt der Datenschutzbeauftragte oder eine Anwältin bzw. ein Anwalt.

Diese Seite gibt eine Orientierung und ist keine Rechtsberatung.

Was ist der Unterschied zwischen Privat- und Business-Version?

Private Konten, auch bezahlte (zum Beispiel ChatGPT Plus): Es gibt keinen Vertrag mit deiner Firma, Eingaben können je nach Einstellung zum Training verwendet werden. Für Kundendaten nicht geeignet.
Business-Versionen (zum Beispiel ChatGPT Business, Microsoft 365 Copilot, Claude Team, Google Workspace mit Gemini): Daten werden standardmäßig nicht zum Training genutzt. Der Anbieter bietet einen Auftragsverarbeitungsvertrag (AVV) an, den deine Firma abschließen muss.

Was vor dem Einsatz zu klären ist

Welche Daten dürfen rein, welche nie (zum Beispiel Gesundheitsdaten, Personalakten)?
Ist der AVV mit dem Anbieter abgeschlossen?
Gibt es einen erlaubten Grund für die Verarbeitung (die "Rechtsgrundlage", etwa ein Vertrag mit dem Kunden oder eine Einwilligung)?
Wo werden die Daten verarbeitet: in der EU oder in den USA? Für die USA gibt es ein Abkommen (Datenschutz-Rahmen EU-USA), das Übertragungen unter Bedingungen erlaubt.
Werden Kunden in der Datenschutzerklärung informiert?
Gibt es eine kurze, schriftliche KI-Richtlinie fürs Team?
Müssen Datenschutzbeauftragter oder Betriebsrat eingebunden werden?

Und was verlangt der EU AI Act?

Für die meisten kleinen Firmen, die KI-Tools nur nutzen, ist der Aufwand überschaubar:

KI-Kompetenz (Art. 4): Unternehmen, die KI einsetzen, müssen Maßnahmen ergreifen, um den sicheren Umgang mit KI im Team zu unterstützen, zum Beispiel eine kurze Schulung und Regeln. Ein bestimmtes Niveau pro Person ist seit der Neufassung im Juli 2026 nicht mehr vorgeschrieben.
Hochrisiko-Anwendungen, also KI in besonders sensiblen Bereichen wie der Bewerberauswahl: Hier gelten strengere Pflichten, nach der Verschiebung durch den "Digital Omnibus" ab Dezember 2027.
Die DSGVO gilt unabhängig davon weiter.

Wichtiger Hinweis

Für die rechtliche Prüfung deines Einzelfalls wende dich an eine Anwältin, einen Anwalt oder deinen Datenschutzbeauftragten. Ich helfe dir dabei, die Fragen vorzubereiten und den Einsatz praktisch umzusetzen.

Stand: Oktober 2026, Sebastian Zwicker

Quellen

Sebastian Zwicker hilft Firmen mit 5 bis 50 Mitarbeitenden beim Einstieg in KI, online in ganz Deutschland. Du willst diese Frage für deine Firma klären? Schreib mir oder buch dir direkt ein kostenloses Kennenlernen.

Kostenloses Kennenlernen buchen Schreib mir