ChatGPT und Datenschutz – wann ist der Einsatz DSGVO-konform?

Die berufliche Nutzung von ChatGPT ist mit europäischem Datenschutz vereinbar. Es gibt lediglich Voraussetzungen, die eingehalten werden müssen. Hier ein Überblick: ChatGPT ist nicht pauschal DSGVO-konform. Jeder Anwendungsfall muss datenschutzrechtlich und organisatorisch bewertet werden. Personenbezogene Daten von Bürgerinnen und Bürgern, Beschäftigtendaten, Akteninhalte oder besonders schützenswerte Informationen gehören nicht in freigegebene KI-Tools. Bei privaten beziehungsweise individuellen Konten können die ChatGPT-Datenschutz-Einstellungen Risiken reduzieren. Sie ersetzen aber weder einen Auftragsverarbeitungsvertrag noch eine Rechtsgrundlage oder ein kommunales Freigabeverfahren. Für ChatGPT Business, Enterprise und die API erklärt OpenAI, dass Eingaben und Ausgaben standardmäßig nicht zum Training der Modelle verwendet werden. Das ist ein wichtiger Unterschied zu Consumer-Angeboten, aber keine automatische DSGVO-Freigabe. 2. Datenschutz bei ChatGPT – enthält Ihr Prompt personenbezogene Daten? Bei der Nutzung von ChatGPT können verschiedene Datenkategorien verarbeitet werden: Registrierungs- und Kontodaten, Nutzungs- und Protokolldaten sowie die eigentlichen Chatinhalte. Besonders relevant sind Prompts, Antworten, hochgeladene Dateien, Feedback und gegebenenfalls Informationen aus angebundenen Diensten. Für die öffentliche Verwaltung ist die entscheidende Frage daher nicht nur: „Ist ChatGPT DSGVO-konform?“ Sie lautet vielmehr: Welche Informationen verlassen die kommunale Umgebung, wohin werden sie übermittelt und wer kann darauf zugreifen? Ein Prompt kann bereits personenbezogene Daten enthalten, auch wenn kein Name genannt wird. So kann etwa eine Kombination aus Alter, Wohnort, Sachverhalt, Aktenzeichen und familiärer Situation eine Person identifizierbar machen. Das gilt besonders bei kleinen Gemeinden oder seltenen Einzelfällen. Die Frage ist an dieser Stelle ob die personenbezogenen Daten anonymisiert oder pseudonymisert worden sind. Sie möchten sich tiefer in das Thema „personenbezogene Daten“ einlesen? Hier geht es zu unserem Fachartikel auf Grundlage der neuesten EDSA‑Leitlinien. 3. Ist ChatGPT DSGVO-konform? Ob ChatGPT DSGVO-konform genutzt werden kann, hängt vom Einzelfall ab. Wenn Sie in der öffentlichen Verwaltung arbeiten, sind folgende Punkte besonders zu prüfen: Rechtsgrundlage: Die Verarbeitung muss rechtmäßig sein. Bei hoheitlichen oder öffentlichen Aufgaben kommt regelmäßig nicht einfach eine Einwilligung in Betracht; die konkrete Aufgabe und Rechtsgrundlage müssen geprüft werden. Dabei geht es nicht nur darum, ob überhaupt eine Rechtsgrundlage für die Datenverarbeitung besteht – etwa aus dem Verwaltungshandeln der öffentlichen Stelle. Entscheidend ist zusätzlich, ob diese Rechtsgrundlage den KI-Einsatz auch verhältnismäßig und erforderlich rechtfertigt. Das kann zum Beispiel der Fall sein, wenn die Verwaltung ohne KI ihren Aufgaben personell und organisatorisch nicht mehr ausreichend nachkommen kann. Auftragsverarbeitung: Wenn ein externer Anbieter personenbezogene Daten im Auftrag der Kommune verarbeitet, sind die Rollen und vertraglichen Anforderungen nach Art. 28 DSGVO zu prüfen. Außerdem muss ein Auftragsverarbeitungsvertrag (AVV) geschlossen werden. Räumt sich der KI-Anbieter jedoch eigene Nutzungsrechte ein – etwa für Trainingszwecke ohne Opt-Out-Möglichkeit –, kommt stattdessen eine Vereinbarung über gemeinsame Verantwortlichkeit (GVV) infrage. Diese ist deutlich aufwendiger und sollte nach Möglichkeit vermieden werden. Drittlandtransfer: Bei Datenübermittlungen außerhalb des Europäischen Wirtschaftsraums sind zusätzliche Anforderungen zu bewerten – etwa geeignete Garantien nach Art. 46 ff. DSGVO oder ein Angemessenheitsbeschluss nach Art. 45 DSGVO. Für die USA, wo OpenAI ansässig ist, liegt aktuell ein Angemessenheitsbeschluss für zertifizierte Teilnehmer am EU-US Data Privacy Framework vor. Wir halten diese Grundlage jedoch nicht für zukunftsfähig belastbar und ausreichend. Transparenz und Betroffenenrechte: Die Kommune muss erklären können, welche Daten wie verarbeitet werden, und Auskunfts-, Lösch- oder Berichtigungsanfragen handhaben können. Technische und organisatorische Maßnahmen: Zugriffsschutz, zentrale Konten, Mehr-Faktor-Authentifizierung, Berechtigungskonzepte und Schulungen gehören dazu. Unter dem Begriff „ChatGPT Datenschutz Deutschland“ suchen viele Verantwortliche nach einer einfachen Freigabe. Diese gibt es nicht. Eine datenschutzrechtliche Bewertung muss sich auf den konkreten Dienst, Tarif, Vertrag, Datenfluss und Anwendungsfall beziehen. KI in der Verwaltung nutzen – ohne beim Datenschutz Abstriche zu machen. actaOne bietet Gemeinden eine DSGVO-konforme KI-Plattform mit Hosting in Deutschland. → actaOne kennenlernen ChatGPT und Datenschutz in Deutschland – actaOne vereinbart beides für die öffentliche Verwaltung. 4. Welche Daten dürfen Mitarbeitende eingeben? Für Verwaltungsmitarbeitende gilt eine einfache Grundregel: In ChatGPT gehören nur Informationen, deren Offenlegung gegenüber dem gewählten KI-Anbieter zulässig, notwendig und intern freigegeben ist. Geeignete Einsatzbeispiele ChatGPT kann – nach kommunaler Freigabe – etwa bei folgenden Aufgaben unterstützen: Einen allgemein gehaltenen Entwurf für eine Pressemitteilung erstellen Einen bereits öffentlichen Website-Text sprachlich vereinfachen Eine Checkliste für eine Veranstaltung formulieren Eine neutrale Vorlage für eine Eingangsbestätigung erstellen Öffentlich zugängliche Informationen strukturieren oder zusammenfassen Bildmaterial erstellen – bei Deepfakes ist dabei stets die Kennzeichnungspflicht zu beachten Diese Informationen gehören nicht hinein Nicht in nicht freigegebene ChatGPT-Konten gehören insbesondere: Namen, Anschriften, E-Mail-Adressen und Telefonnummern von Bürgerinnen und Bürgern Aktenzeichen, Personalnummern, eindeutige Fallnummern oder Kontodaten Daten aus Sozialamt, Jugendamt, Gesundheitsamt oder Leistungsverwaltung Informationen zu Gesundheit, Behinderung, Religion, politischer Meinung oder Straftaten Personalakten, Bewerbungsunterlagen und interne Konfliktfälle Nicht öffentliche Ratsvorlagen, Gremienprotokolle oder Sicherheitsinformationen Passwörter, Zugangsdaten und vertrauliche Vertragsunterlagen Praxisbeispiel: Statt „Formuliere eine Antwort an Frau Müller zu ihrem unvollständigen Wohngeldantrag“ sollte ein neutraler Prompt verwendet werden: „Erstelle eine höfliche Vorlage, die eine antragstellende Person allgemein auf fehlende Unterlagen hinweist.“ Die konkrete Zuordnung und fachliche Prüfung erfolgen anschließend ausschließlich im kommunalen Fachverfahren. 5. ChatGPT Datenschutz-Einstellungen richtig nutzen Bei persönlichen ChatGPT-Accounts lässt sich unter Settings > Data Controls die Option „Improve the model for everyone“ deaktivieren. Neue Gespräche bleiben dann zwar im Verlauf sichtbar, werden laut OpenAI jedoch nicht zur Verbesserung beziehungsweise zum Training der Modelle verwendet. Daneben sollten auch die Memory- und Personalisierungsfunktionen berücksichtigt werden. Unter Settings > Personalization > Memory lässt sich steuern, ob ChatGPT Informationen aus früheren Gesprächen für spätere Antworten berücksichtigt. Wichtig: Das Löschen eines Chats entfernt nicht automatisch daraus gespeicherte Erinnerungen. Diese müssen gegebenenfalls separat gelöscht werden. Für einzelne, weniger sensible Anfragen kann auch ein temporärer Chat sinnvoll sein. Temporäre Chats werden nicht zum Modelltraining genutzt und erzeugen keine neuen Erinnerungen. Standardmäßig erscheinen sie nicht im Chatverlauf. OpenAI kann sie jedoch aus Sicherheitsgründen bis zu 30 Tage speichern. Eine sofortige oder vollständige Nicht-Speicherung bedeutet der Temporary Chat also nicht. Auch zusätzliche Funktionen wie Apps, GPTs oder verbundene Datenquellen sollten nicht unkritisch aktiviert werden. Werden externe Dienste eingebunden, können zusätzliche Datenflüsse entstehen und eigene Datenschutz- oder Speicherbedingungen gelten. Für Kommunen empfiehlt sich deshalb eine klare Konfiguration: dienstliche Nutzung nur über freigegebene Accounts, Mehr-Faktor-Authentifizierung, geregelte Benutzerverwaltung sowie ein festgelegtes Konzept für das Löschen von Chats, Dateien und gespeicherten Erinnerungen. Keine Zeit, um konstant in den ChatGPT-Einstellungen Datenschutzkonformität sicherzustellen? actaOne schafft den sicheren Rahmen für Kommunen, die KI einsetzen wollen. → 10 Tage kostenlos testen 6. ChatGPT Plus, Business oder Enterprise? VarianteDatenschutz-EinschätzungChatGPT Free / PlusPersönliche Accounts. Zwar lassen sich einzelne Datenschutzrisiken durch entsprechende Einstellungen reduzieren. Für personenbezogene, fallbezogene oder vertrauliche Verwaltungsdaten sind sie jedoch regelmäßig keine geeignete Standardlösung. Vor allem fehlen zentrale Organisations-, Berechtigungs- und Governance-Strukturen.ChatGPT BusinessRichtet sich an Organisationen. OpenAI gibt an, Workspace-Daten standardmäßig nicht für das Modelltraining zu verwenden. Daten werden bei Übertragung und Speicherung verschlüsselt. Dennoch müssen Vertrag, Auftragsverarbeitung, Datenübermittlungen, Rollen, Berechtigungen und der konkrete Einsatzfall geprüft werden.ChatGPT EnterpriseBietet weitergehende Funktionen für Verwaltung, Sicherheit und Governance. Dazu gehören je nach Konfiguration unter anderem umfangreichere Benutzer- und Berechtigungssteuerung, Aufbewahrungsrichtlinien sowie Optionen zur europäischen Datenresidenz. Trotzdem gilt auch hier: Ein Enterprise-Tarif ist nicht automatisch „DSGVO-konform“. Entscheidend bleibt die konkrete Ausgestaltung des Einsatzes.APIAuch die OpenAI API kann eine Option sein, wenn ChatGPT in eine eigene, kontrollierte Anwendung eingebunden werden soll. Eingaben und Ausgaben werden standardmäßig nicht zum Modelltraining verwendet. Das bedeutet allerdings nicht automatisch, dass keinerlei Daten gespeichert werden. Für Sicherheits- und Missbrauchspräventionszwecke können Daten zeitlich begrenzt verarbeitet werden. Für bestimmte Kunden stehen weitergehende Optionen zur Reduzierung der Speicherung zur Verfügung. 7. Fazit Der beliebte KI-Bot von OpenAI kann durchaus DSGVO-konform in der öffentlichen Verwaltung eingesetzt werden. Die Konformität lässt sich jedoch nicht mit einer einzigen Einstellung oder der Wahl eines bestimmten Tarifs gewährleisten. Entscheidend ist das Zusammenspiel aus geeignetem Anwendungsfall, Datenminimierung, vertraglicher Grundlage, technischen Einstellungen, Benutzer- und Berechtigungskonzepten, Löschprozessen und verbindlichen organisatorischen Regeln. Funktionen wie das Deaktivieren von „Improve the model for everyone“, temporäre Chats oder Memory-Einstellungen können Datenschutzrisiken reduzieren. Sie ersetzen jedoch keine umfassende datenschutzrechtliche Prüfung. Gerade bei personenbezogenen, vertraulichen oder besonders schutzbedürftigen Verwaltungsdaten sollte deshalb vor der Nutzung geklärt werden, welche Version von ChatGPT eingesetzt wird, welche Daten verarbeitet werden dürfen und welche zusätzlichen technischen und organisatorischen Schutzmaßnahmen erforderlich sind.