Darf ich ChatGPT mit personenbezogenen Daten nutzen?
Kurz gesagt: nicht einfach so. In dem Moment, in dem ein Prompt einen echten Namen, eine Kundennummer oder eine Adresse enthält, übermittelst du personenbezogene Daten an einen US-Anbieter. Dieser Leitfaden erklärt, warum das rechtlich heikel ist — und wie du ChatGPT trotzdem für echte Vorgänge nutzt, ohne die Daten preiszugeben.
Warum der Prompt das Problem ist
Ein Prompt fühlt sich flüchtig an — rechtlich ist er eine Datenverarbeitung wie jede andere. Wer Kundendaten in ChatGPT kopiert, löst gleich mehrere Pflichten aus:
- Übermittlung an einen Dritten: OpenAI verarbeitet deine Eingabe. Ohne passende Rechtsgrundlage und in der Regel einen Auftragsverarbeitungsvertrag fehlt die Basis dafür.
- Transfer in die USA: Die Verarbeitung findet in einem Drittland statt. Das muss geprüft und abgesichert sein — ein Punkt, der sich nicht durch einen Haken im Konto erledigt.
- Kontrollverlust: Was mit dem Prompt geschieht, wie lange er gespeichert wird und ob er in Modelltraining fließt, entscheidet nicht mehr deine Organisation.
Reicht ein Business- oder Enterprise-Konto?
Geschäftliche Tarife sind ein echter Fortschritt: Sie bieten oft einen Auftragsverarbeitungsvertrag und die Zusage, Eingaben nicht fürs Training zu verwenden. Das ist wichtig — aber es beantwortet nicht automatisch die Frage nach dem US-Transfer und ersetzt keine eigene Bewertung. Der mit Abstand robusteste Hebel bleibt Datenminimierung: Was gar nicht erst gesendet wird, muss auch nicht abgesichert werden.
Der saubere Weg: Personendaten erreichen den Prompt nie
Statt zu fragen „Wie sichere ich die Übermittlung ab?“ dreht igakuro die Frage um: Was, wenn keine personenbezogenen Daten übermittelt werden? Dann entfällt der heikelste Teil des Problems. Dafür gibt es zwei Wege:
- Schwärzen vor dem Prompt. Personendaten laufen lokal durch igakuro und werden ersetzt. Nur der bereinigte Text geht an ChatGPT. Ideal, wenn du die echten Namen in der Antwort nicht brauchst.
- Durch die Schleuse. Willst du eine personalisierte Antwort — etwa ein fertiges Anschreiben mit echtem Namen —, ersetzt die igakuro-Schleuse die Daten durch umkehrbare Platzhalter, schickt nur diese in die Cloud und setzt am Ende lokal die echten Werte wieder ein.
Praktisches Vorgehen
- Aufgaben sortieren: Welche ChatGPT-Nutzung berührt personenbezogene Daten, welche nicht?
- Unkritisches freigeben: Texte ohne Personenbezug dürfen direkt in die Cloud.
- igakuro lokal einsetzen: kostenlos, ohne Konto, für das Erkennen und Ersetzen von Personendaten.
- Zur Routine machen: erst bereinigen, kurz prüfen, dann erst in ChatGPT.
- Dokumentieren: im Verarbeitungsverzeichnis festhalten, dass Personendaten vorab lokal entfernt werden.
Häufige Fragen
Darf ich ChatGPT mit Kundendaten nutzen?
Nicht ohne Weiteres — der Prompt ist eine Übermittlung an OpenAI in den USA. Sauber wird es, wenn die Personendaten den Prompt gar nicht erst erreichen.
Macht ein Enterprise-Konto es erlaubt?
Es hilft (AV-Vertrag, kein Training), löst aber nicht automatisch den Transfer und ersetzt keine eigene Bewertung. Datenminimierung bleibt der stärkste Hebel.
Was zählt im Prompt schon als Personendatum?
Namen, Anschriften, E-Mails, Telefon-, Kunden- und Personalnummern, IBANs, Kennzeichen, Geburtsdaten — auch Kombinationen harmloser Angaben.
Probier es an deinem eigenen Text. Lad igakuro kostenlos und lass es die Personendaten in einem echten Prompt finden — in fünf Minuten startklar.
igakuro kostenlos ladenkontakt@igakuro.de — ich antworte persönlich.