Darf mein Unternehmen ChatGPT nutzen? Was die DSGVO sagt — und die sichere Alternative

Ob Ihr Unternehmen ChatGPT nutzen darf, hängt an einer einzigen Frage: Welche Daten geben Ihre Mitarbeiter ein — und wohin gehen die? Für Microsoft Copilot, Google Gemini oder Claude gilt exakt dasselbe.

• Kostenlose KI-Version mit personenbezogenen oder internen Daten: nicht zulässig. Kein Auftragsverarbeitungsvertrag, Verarbeitung in den USA, Eingaben können zur Modell-Verbesserung genutzt werden.
• Geschäftliche Version mit Vertrag und klaren Regeln: vertretbar. Es gibt einen Auftragsverarbeitungsvertrag, kein Training auf Ihren Daten, mehr Kontrolle — der US-Transfer bleibt ein Punkt, den man regelt.
• Lokale KI oder KI mit Leitplanken in der eigenen Software: der sauberste Weg. Die Daten bleiben unter Ihrer Kontrolle.

Das Problem ist also nicht „KI ja oder nein". Es ist der unkontrollierte Griff zur Gratis-Version im Tagesgeschäft — meist ohne dass die Geschäftsführung davon weiß.

Wenn ein Mitarbeiter eine Kunden-E-Mail in die kostenlose ChatGPT- oder Gemini-Version kopiert, um eine Antwort formulieren zu lassen, passieren vier Dinge auf einmal:

1. Personenbezogene Daten verlassen das Unternehmen — Name, Anliegen, oft mehr. Dafür braucht es eine Rechtsgrundlage, die hier fehlt.
2. Es gibt keinen Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter. Den verlangt die DSGVO (Art. 28), sobald ein Dienstleister in Ihrem Auftrag Daten verarbeitet.
3. Die Verarbeitung findet in den USA statt — ein Drittland-Transfer, der nach Art. 44 DSGVO zusätzliche Absicherung braucht.
4. Die Eingaben können in die Modell-Verbesserung fließen, wenn das nicht ausdrücklich abgeschaltet ist.

Keiner dieser Punkte ist für sich der Weltuntergang. Aber alle vier zusammen, unkontrolliert und ohne dass jemand die Regeln kennt, sind genau die Konstellation, die eine Abmahnung oder ein Bußgeld auslöst. Seit dem BGH-Urteil vom März 2025 können Datenschutzverstöße zusätzlich von Wettbewerbern abgemahnt werden — das Risiko ist also nicht mehr nur die Behörde.

Die Frage ist selten „welches Werkzeug", sondern „welche Version und welche Einrichtung". Ein Überblick über die gängigen KI-Dienste aus DSGVO-Sicht:

• ChatGPT (OpenAI): Die kostenlose und die Plus-Version verarbeiten Eingaben in den USA und können sie fürs Training nutzen. Erst ChatGPT Team und Enterprise bieten einen Auftragsverarbeitungsvertrag und schalten das Training ab.
• Microsoft Copilot: Copilot for Microsoft 365 ist über die vorhandenen Microsoft-Verträge deutlich besser gestellt als die frei zugängliche Consumer-Version. Entscheidend ist, welche Copilot-Variante lizenziert und wie sie konfiguriert ist.
• Google Gemini: Die Business-Varianten in Google Workspace bringen Verträge mit. Die kostenlose Gemini-App fällt in dieselbe Kategorie wie das Gratis-ChatGPT.
• Claude (Anthropic): Für Unternehmen mit Vertrag und der Zusage, Eingaben nicht fürs Training zu nutzen. Wie bei den anderen bleibt der US-Transfer ein Punkt, den man regelt.
• Lokale oder eingebaute KI: Läuft auf Ihrem eigenen Server oder in Ihrer eigenen Software. Kein Drittland-Transfer, keine fremde Verarbeitung — die datenschutzfreundlichste Variante.

Kurz: Kein Anbieter ist pauschal „DSGVO-konform" oder „verboten". Es kommt auf die Version, den Vertrag und die Einrichtung an.

Die DSGVO verbietet KI nicht. Sie verlangt, dass Sie die Kontrolle behalten. Zulässig wird die Nutzung, wenn:

• Sie eine geschäftliche Version mit Auftragsverarbeitungsvertrag einsetzen, in der kein Training auf Ihren Daten stattfindet.
• Ihre Mitarbeiter wissen, welche Daten rein dürfen und welche nicht — schriftlich, nicht als Bauchgefühl.
• Der Drittland-Transfer dokumentiert und abgesichert ist (Standardvertragsklauseln, angepasste Datenschutzerklärung).
• Sie eine lokale KI oder eine in die eigene Software eingebaute KI nutzen, bei der die Daten unter Ihrer Kontrolle bleiben — dann entfallen Drittland-Transfer und fremde Auftragsverarbeitung von vornherein.

Der Unterschied liegt in der Einrichtung, nicht im Werkzeug.

Für Unternehmen, die KI wirklich nutzen wollen, gibt es drei Wege, die vor der DSGVO Bestand haben. arian baut und betreibt alle drei.

Weg 1 — vorhandene KI kontrolliert absichern. Sie bleiben bei ChatGPT, Claude oder Copilot, aber in einer geschäftlichen Version mit Vertrag, mit abgeschaltetem Training, mit klaren Nutzungsregeln für Ihr Team und einer angepassten Datenschutzerklärung. Der schnelle Weg, wenn Ihr Team die bekannten Werkzeuge behalten soll.

Weg 2 — lokale KI auf dem eigenen Server. Die KI läuft ausschließlich auf Ihrer Hardware. Keine Cloud-Abhängigkeit, kein Drittland-Transfer, keine fremden Server. Für Kanzleien, Praxen und Betriebe mit sensiblen Daten der Weg mit den wenigsten offenen Fragen.

Weg 3 — KI mit Leitplanken in Ihre eigene Software eingebaut. Statt dass Mitarbeiter frei in ein Chatfenster tippen, baut arian die KI direkt in eine selbst programmierte Anwendung ein. Dort arbeitet sie im Hintergrund, auf klar definierten Aufgaben, und sieht nur die Daten, die sie sehen darf. Die Leitplanken sind Teil des Programms: Die KI kann gar nicht erst tun, was sie nicht soll. Für echte Prozess-Automatisierung ist das oft der robusteste Weg — der Datenschutz steckt in der Konstruktion, nicht in einer Betriebsanweisung.

Welcher Weg passt, hängt von Ihren Daten, Ihren Abläufen und Ihrem Ziel ab. Häufig ist es eine Kombination aus zweien.

arian klebt „KI" nicht auf jedes Problem. Der erste Schritt ist immer, sich die tatsächlichen Prozesse anzusehen: Was macht das Unternehmen, wo wird ohnehin schon zu ChatGPT gegriffen, wo sich Automatisierung lohnt und wo eine klassische Lösung reicht. Daraus wird ein konkretes erstes Projekt statt eines Pauschalpakets — der Umfang ist bei KI zu unterschiedlich für einen Fixpreis, deshalb gibt es die KI-Leistungen auf Anfrage.

Der Ablauf ist bewusst schlank: erst die Prozesse ansehen, dann ein konkretes Modul umsetzen, dann modular ausbauen. So bleibt jeder Schritt überprüfbar — und Sie zahlen für Wirkung, nicht für ein Pauschalpaket.

Dass das trägt, zeigt der Betrieb: Bei der Tele Pizza AG läuft eine KI-gestützte Buchhaltung pro Filiale, inzwischen zur Franchise-Software ausgebaut und in 30 Filialen live. Kein Konzept auf Folie, sondern ein System, das jeden Tag arbeitet.

KI im Unternehmen ist erlaubt. Die Gratis-Version mit echten Daten ist es nicht — egal ob ChatGPT, Gemini oder Copilot. Wer KI nutzen will, ohne bei der nächsten Prüfung ins Schwitzen zu kommen, hat drei saubere Wege: die geschäftliche Version absichern, eine lokale KI betreiben oder die KI mit Leitplanken in die eigene Software einbauen.

Wenn Sie wissen wollen, welcher Weg zu Ihren Daten passt: Schreiben Sie uns an info@arian-it.de. Wir sehen uns Ihre Abläufe an und sagen ehrlich, wo KI trägt und wo nicht — arian IT Service, Düsseldorf und Bonn.