Der entscheidende Punkt ist nicht, ob ChatGPT im Unternehmen erlaubt ist, sondern in welchem Tarif. Sobald personenbezogene Daten ins Spiel kommen, also Kundennamen, Adressen, Bewerbungsunterlagen oder Gesundheitsdaten, brauchst du einen Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO. Den bietet OpenAI nur für die Geschäftstarife an, also Business und Enterprise sowie die Programmierschnittstelle. In der kostenlosen Version und im Plus-Tarif gibt es ihn nicht, damit scheiden beide für diesen Zweck aus. Dazu kommen vier Einstellungen und eine Handvoll Papier: Modelltraining abschalten, Zugriff regeln, festhalten was hinein darf, und den Einsatz in dein Verzeichnis von Verarbeitungstätigkeiten aufnehmen. Wer nur Werbetexte ohne jeden Personenbezug entwerfen lässt, hat es deutlich einfacher, sollte die Grenze aber trotzdem einmal schriftlich ziehen.
Warum die kostenlose Version im Betrieb ein Problem ist
Es gibt zwei Gründe, und nur einer davon wird meistens genannt.
Der bekannte Grund ist das Modelltraining. In den kostenlosen Zugängen können deine Eingaben zur Verbesserung der Modelle verwendet werden, sofern du das nicht in den Einstellungen abschaltest. Was einmal drin ist, bekommst du nicht zuverlässig wieder heraus.
Der wichtigere Grund ist der fehlende Vertrag. Wenn du personenbezogene Daten von einem Dienstleister verarbeiten lässt, verlangt Artikel 28 DSGVO einen Vertrag zur Auftragsverarbeitung. Ohne diesen Vertrag ist die Verarbeitung nicht zulässig, unabhängig davon, ob du das Training abgeschaltet hast. Das ist kein technisches, sondern ein rechtliches Problem, und es lässt sich mit keiner Einstellung lösen.
Praktisch heißt das: Der Steuerberater, der einen Mandantenfall in die Gratisversion tippt, hat ein Problem. Der Malerbetrieb, der sich eine Überschrift für einen Instagram-Beitrag entwerfen lässt, hat keins.
Welcher Tarif was kann
Die Bezeichnungen haben sich geändert. Der frühere Team-Tarif heißt seit Ende August 2025 Business, bei gleichem Funktionsumfang. Das sorgt für Verwirrung, weil viele Ratgeber noch von Team sprechen.
| Tarif | Vertrag zur Auftragsverarbeitung | Training standardmäßig aus | Für personenbezogene Daten geeignet |
|---|---|---|---|
| Free | nein | nein | nein |
| Plus | nein | nein | nein |
| Business (früher Team) | ja | ja | ja, mit Einstellungen |
| Enterprise | ja | ja | ja, zusätzlich EU-Datenresidenz |
| Programmierschnittstelle | ja | ja | ja, je nach Einbindung |
Business ist ab zwei Nutzern buchbar und liegt bei etwa 25 US-Dollar pro Nutzer und Monat bei jährlicher Zahlung, monatlich entsprechend mehr. Enterprise beginnt ungefähr beim Dreifachen, wird verhandelt und lohnt sich erst bei größeren Nutzerzahlen. Preise ändern sich, prüf den aktuellen Stand vor der Buchung.
Für die meisten kleinen Betriebe ist die Rechnung einfach: Zwei Zugänge Business kosten im Jahr ungefähr so viel wie ein guter Bürostuhl. Wenn dadurch eine Person zwei Stunden im Monat spart, hat es sich getragen.
Die fünf Dinge, die du einstellen musst
1. Geschäftstarif buchen und den Vertrag abschließen. Der Vertrag zur Auftragsverarbeitung liegt bei OpenAI als Data Processing Addendum bereit und wird über die Verwaltungsoberfläche angenommen. Ausdruck ins Ordner, digital reicht auch.
2. Modelltraining prüfen. In Business und Enterprise ist es standardmäßig aus. Prüf es trotzdem einmal nach und mach einen Bildschirmabzug davon. Das ist dein Nachweis.
3. Zugriff regeln. Wer bekommt einen Zugang, wer nicht. Gemeinsame Anmeldedaten sind keine Lösung, weil du damit nicht mehr nachvollziehen kannst, wer was eingegeben hat.
4. Schriftlich festhalten, was hinein darf. Ein halbes Blatt. Diese Regel ist gleichzeitig ein Teil dessen, was Artikel 4 der KI-Verordnung von dir verlangt, dazu mehr in KI-Schulungspflicht: Was Artikel 4 wirklich verlangt.
5. In das Verzeichnis von Verarbeitungstätigkeiten aufnehmen. Wenn du eines führst, und das musst du in aller Regel, gehört der KI-Einsatz hinein. Zweck, Datenkategorien, Empfänger, Löschfristen. Eine Datenschutz-Folgenabschätzung ist nicht automatisch nötig, sondern erst, wenn umfangreich personenbezogene Daten verarbeitet werden oder Entscheidungen mit erheblichen Auswirkungen vorbereitet werden.
Was auf keinen Fall hinein gehört
Diese Liste hängt bei mir sinngemäß in jedem Workshop an der Wand:
- vollständige Namen von Kunden, Mitgliedern oder Patienten
- Adressen, Telefonnummern, E-Mail-Adressen von Dritten
- Bewerbungsunterlagen und Lebensläufe
- Gesundheitsdaten jeder Art
- Verträge und Angebote mit Preisen, die nicht öffentlich sind
- Zugangsdaten, Schlüssel, Kontonummern
- Fotos, auf denen Personen erkennbar sind, sofern keine Einwilligung vorliegt
Der einfachste Trick, um trotzdem sinnvoll arbeiten zu können, ist Pseudonymisierung. Statt „Schreib eine Absage an Frau Meier aus der Bergstraße 12″ schreibst du „Schreib eine höfliche Absage an eine Bewerberin, Grund: Stelle anderweitig besetzt“. Das Ergebnis ist genauso brauchbar, und es sind keine personenbezogenen Daten geflossen.
Der pragmatische Weg für einen Kleinbetrieb
Wenn du keine Rechtsabteilung hast und das Thema hinter dich bringen willst, in dieser Reihenfolge:
Zuerst die Frage klären, ob überhaupt Personenbezug entsteht. Bei reiner Werbe- und Social-Media-Arbeit ist die Antwort oft nein. Dann bist du bei einer freiwilligen Sorgfalt, nicht bei einer Pflicht, und kannst mit einem einfachen Tarif starten.
Wenn ja: Business buchen, bevor der erste echte Fall auftritt. Nachträglich lässt sich eine unzulässige Verarbeitung nicht heilen.
Dann eine halbe Stunde für die Regel und das Verzeichnis. Das ist der Teil, den alle aufschieben, und der im Ernstfall den Unterschied macht.
Danach nicht mehr darüber nachdenken. Einmal im Jahr durchsehen reicht.
Und was ist mit europäischen Alternativen
Die Frage kommt in jedem Workshop. Es gibt europäische Anbieter, und für manche Anwendungsfälle sind sie eine gute Wahl, besonders wenn Datenresidenz für dich ein Argument ist oder Vorgaben deines Trägers das nahelegen.
Ehrlich bleiben muss man an zwei Stellen. Erstens ist auch europäische Software nicht automatisch datenschutzkonform, es kommt genauso auf Vertrag und Einstellungen an. Zweitens sind die Sprachmodelle in der Qualität nicht durchgehend gleichauf, was je nach Aufgabe kaum oder deutlich auffällt. OpenAI bietet für Enterprise seit Anfang 2025 EU-Datenresidenz an und seit Anfang 2026 auch die Verarbeitung in der EU, was ein Teil des früheren Arguments entkräftet.
Welche Werkzeuge sich für welchen Zweck lohnen, habe ich in Welche KI-Tools sich für Unternehmen wirklich lohnen aufgeschrieben. Wie du das Ganze in einen Arbeitsablauf bringst, der auch in einer vollen Woche hält, steht in Redaktionsplan für Social Media. Den Gesamtüberblick findest du in KI im Marketing für kleine und mittelständische Unternehmen.
Wenn du das lieber einmal gemeinsam durchgehen willst, statt es allein zu sortieren: Ich mache genau das in Beratungen und Workshops, meistens bei den Kunden im Betrieb. Mehr dazu unter Social Media und KI-Beratung oder für die Region unter Beratung in Jena.
Häufige Fragen zu ChatGPT und Datenschutz
Ist ChatGPT DSGVO-konform?
Nicht von allein. Zulässig wird der Einsatz durch die richtige Kombination: ein Geschäftstarif mit Vertrag zur Auftragsverarbeitung, abgeschaltetes Modelltraining, geregelter Zugriff und eine klare Vorgabe, welche Daten nicht eingegeben werden. In der kostenlosen Version fehlt der Vertrag, damit ist sie für personenbezogene Daten ungeeignet.
Was kostet ChatGPT für Unternehmen?
Der Business-Tarif liegt bei etwa 25 US-Dollar pro Nutzer und Monat bei jährlicher Zahlung und ist ab zwei Nutzern buchbar. Enterprise wird individuell verhandelt und liegt deutlich höher. Preise ändern sich regelmäßig, prüf den aktuellen Stand vor der Buchung.
Brauche ich einen AV-Vertrag für ChatGPT?
Ja, sobald personenbezogene Daten verarbeitet werden. Artikel 28 DSGVO verlangt dafür einen Vertrag zur Auftragsverarbeitung. OpenAI stellt ihn als Data Processing Addendum für Business, Enterprise und die Programmierschnittstelle bereit, nicht für Free und Plus.
Darf ich mit ChatGPT Texte für meine Website schreiben?
Ja. Reine Werbe- und Websitetexte ohne Personenbezug sind datenschutzrechtlich unproblematisch. Zu beachten ist die Transparenzpflicht der KI-Verordnung: Texte sind von der Kennzeichnung ausgenommen, wenn ein Mensch sie inhaltlich geprüft hat und dafür redaktionell verantwortlich ist.
Reicht es, das Modelltraining abzuschalten?
Nein. Das Abschalten des Trainings verhindert die Weiterverwendung deiner Eingaben, ersetzt aber nicht den Vertrag zur Auftragsverarbeitung. Beides sind getrennte Anforderungen, und für personenbezogene Daten müssen beide erfüllt sein.
Gilt das auch für sehr kleine Betriebe?
Ja. Die DSGVO gilt unabhängig von der Größe. Ein Zweipersonenbetrieb, der Kundendaten verarbeitet, ist Verantwortlicher im Sinne der Verordnung und braucht für den Einsatz eines KI-Dienstes dieselbe Grundlage wie ein Konzern.
Dieser Beitrag ist eine Einordnung aus der Praxis und keine Rechtsberatung. Rechtsstand 17. August 2026. Bei konkreten Fragen hilft ein Datenschutzbeauftragter oder ein Fachanwalt weiter.
Mehr davon auf Instagram:
