Kurzantwort:
Kundendaten sollten nicht pauschal in ChatGPT oder andere KI-Dienste eingegeben werden. Enthält ein Prompt personenbezogene Daten, liegt eine Verarbeitung personenbezogener Daten vor. Deshalb müssen unter anderem Zweck, Erforderlichkeit, Rechtsgrundlage, eingesetzte Plattform, Datenfluss und betriebliche Freigabe geprüft werden.
Warum ein Prompt datenschutzrechtlich relevant sein kann
Personenbezogene Daten sind nicht nur Namen oder Anschriften. Auch Kundennummern, Telefonnummern, E-Mail-Adressen, Mitarbeiterkennungen oder Kombinationen mehrerer Merkmale können einen Personenbezug ermöglichen.
Werden solche Informationen in einen KI-Dienst eingegeben, werden sie verarbeitet. Ein Prompt ist deshalb kein datenschutzfreier Raum. Entscheidend ist nicht, ob die Eingabe nur wenige Sekunden dauert, sondern welche personenbezogenen Informationen verarbeitet werden und was mit ihnen geschieht.
Die falsche Frage: „Ist ChatGPT DSGVO-konform?“
Eine pauschale Ja-Nein-Antwort greift zu kurz. Unternehmen müssen den konkreten Verarbeitungsvorgang betrachten. Derselbe Dienst kann in verschiedenen Nutzungssituationen zu völlig unterschiedlichen Bewertungen führen.
Beispielsweise macht es einen erheblichen Unterschied, ob ein allgemein formulierter Marketingtext ohne personenbezogene Daten erstellt wird oder ob Namen, Vertragsinformationen, Gesundheitsdaten oder interne Personaldaten in einen Prompt kopiert werden.
Zehn Fragen vor der Nutzung eines KI-Dienstes
Ein praktikabler Prüfweg besteht aus zehn aufeinanderfolgenden Fragen:
- Zweck: Warum soll der KI-Dienst eingesetzt werden?
- Daten: Welche Informationen werden tatsächlich eingegeben?
- Zulässigkeit: Dürfen diese Daten für diesen Zweck verarbeitet werden?
- Plattform: Ist der verwendete KI-Dienst im Unternehmen freigegeben?
- Datenfluss: Wer verarbeitet die Eingaben und wo findet die Verarbeitung statt?
- Outputrisiko: Kann das Ergebnis falsch, verzerrt oder anderweitig problematisch sein?
- Kontrolle: Wer überprüft die KI-Ausgabe vor ihrer weiteren Verwendung?
- Verwendung: Was geschieht anschließend mit dem erzeugten Inhalt?
- Transparenz: Besteht im konkreten Anwendungsfall eine Informations- oder Kennzeichnungspflicht?
- Dokumentation: Muss die Nutzung intern nachvollziehbar dokumentiert werden?
Beispiel: Eine Kunden-E-Mail soll durch KI zusammengefasst werden
Ein Mitarbeiter kopiert eine vollständige Kunden-E-Mail in einen KI-Dienst und bittet um eine Zusammenfassung. Die Nachricht enthält Namen, Kontaktdaten und Informationen über einen laufenden Auftrag.
In diesem Fall genügt es nicht, lediglich zu fragen, ob die Zusammenfassung hilfreich wäre. Zunächst ist zu prüfen, ob diese konkreten Daten in den Dienst eingegeben werden dürfen und ob die Nutzung des Dienstes im Unternehmen vorgesehen und freigegeben ist.
Häufig lässt sich das Risiko bereits reduzieren, indem für die Aufgabe unnötige Informationen vor der Eingabe entfernt werden. Das folgt dem Grundgedanken der Datenminimierung: Es sollten nur diejenigen personenbezogenen Daten verarbeitet werden, die für den konkreten Zweck tatsächlich erforderlich sind.
Welche Daten sind besonders kritisch?
Je sensibler die Information, desto sorgfältiger muss die Prüfung erfolgen. Besonders problematisch können beispielsweise Gesundheitsinformationen, Personalinformationen, Bewerbungsunterlagen, vertrauliche Vertragsdaten oder andere besonders schutzwürdige Angaben sein.
| Beispiel | Prüffrage | Mögliche Alternative |
|---|---|---|
| Name und vollständige Kunden-E-Mail | Ist der Personenbezug für die Aufgabe überhaupt erforderlich? | Personenbezug entfernen und nur den sachlich notwendigen Text verwenden. |
| Kundennummer | Kann die Nummer im Unternehmen einer Person zugeordnet werden? | Neutrale Platzhalter verwenden. |
| Gesundheitsinformationen | Liegt eine besonders sensible Datenkategorie vor? | Keine Eingabe ohne vorherige fachliche und organisatorische Prüfung. |
| Interne Unternehmensinformationen | Bestehen Vertraulichkeits- oder Geheimhaltungspflichten? | Nur freigegebene Informationen oder abstrahierte Beispiele verwenden. |
Unternehmensfreigabe ist ein eigener Prüfschritt
Ein technisch erreichbarer Dienst ist nicht automatisch ein betrieblich freigegebener Dienst. Verantwortungsvolle KI-Governance benötigt klare Regeln dazu, welche Systeme verwendet werden dürfen und welche Datenkategorien in diese Systeme eingegeben werden dürfen.
Dazu gehören auch Rollen und Zuständigkeiten: Wer darf KI wofür einsetzen? Wer prüft Ergebnisse? An wen werden Fehler oder Vorfälle gemeldet? Welche Nutzung muss dokumentiert werden?
KI-Ausgaben müssen kontrolliert werden
Datenschutz ist nur ein Teil der Fragestellung. KI-Systeme können plausible, aber sachlich falsche Ergebnisse erzeugen. Besonders problematisch wird dies, wenn der Output ungeprüft veröffentlicht, an Kunden versendet oder in interne Entscheidungen übernommen wird.
Deshalb sollte zwischen KI-Entwurf und freigegebener Endfassung unterschieden werden. Fakten, Quellen, Zahlen, Namen und fachkritische Aussagen benötigen eine angemessene menschliche Kontrolle.
Muss jeder KI-generierte Text gekennzeichnet werden?
Eine universelle Regel, nach der jeder mit KI erstellte Text pauschal als „KI-generiert“ bezeichnet werden muss, besteht nicht. Transparenzpflichten hängen vom konkreten Anwendungsfall ab.
Zu prüfen sind insbesondere die Art des Inhalts, der konkrete Verwendungszweck, einschlägige Vorschriften des EU AI Act, Plattformregeln, Branchenstandards sowie interne redaktionelle Vorgaben.
Was Unternehmen organisatorisch festlegen sollten
Eine belastbare KI-Nutzung entsteht nicht durch ein einzelnes technisches Tool. Sinnvoll ist ein dokumentierter Prozess mit klaren Verantwortlichkeiten.
- Liste freigegebener KI-Dienste
- Regeln für zulässige und unzulässige Daten
- definierte Rollen und Freigaben
- regelmäßige Schulungen
- Prüfung kritischer KI-Ausgaben
- Meldeweg für Fehler und Vorfälle
- nachvollziehbare Dokumentation relevanter Nutzungsszenarien
Was hat das mit SEO und Website-Content zu tun?
Unternehmen setzen KI zunehmend für Ratgebertexte, Landingpages, Produktinformationen, FAQ-Bereiche und andere Website-Inhalte ein. Damit verschieben sich Qualitätsfragen vom einzelnen Text hin zu einem Governance-Prozess.
Für SEO reicht es nicht, große Mengen automatisch erzeugter Inhalte zu veröffentlichen. Inhalte müssen sachlich belastbar, suchintentionsgerecht, strukturiert und redaktionell kontrolliert sein. Gerade bei Fachthemen sollte nachvollziehbar sein, wie Informationen geprüft und aktualisiert werden.
Fazit
Die Frage „Darf ich Kundendaten in ChatGPT eingeben?“ lässt sich nicht verantwortungsvoll mit einem pauschalen Ja oder Nein beantworten. Sobald personenbezogene Daten verarbeitet werden, müssen Zweck, Erforderlichkeit, Zulässigkeit, Plattform, Datenfluss und organisatorische Vorgaben betrachtet werden.
In vielen Situationen lässt sich der Personenbezug reduzieren oder vollständig vermeiden. Wo sensible oder geschäftskritische Informationen betroffen sind, sollte vor der Nutzung eine konkrete fachliche Prüfung erfolgen.
Rechts- und Fachgrundlagen
Maßgebliche Grundlagen sind insbesondere die Datenschutz- Grundverordnung sowie – abhängig vom jeweiligen Einsatz – Regelungen des EU AI Act.
Hinweis: Dieser Beitrag dient der allgemeinen fachlichen Information. SEOIO erbringt keine individuelle Rechtsberatung. Für konkrete rechtliche Einzelfragen sollte fachkundige Rechtsberatung eingeholt werden.