Mitarbeiter hat Kundendaten in ChatGPT eingegeben: Was jetzt zu tun ist
Kurz gesagt
Vorfall dokumentieren, Datenschutzbeauftragten informieren, Meldepflicht prüfen und Löschung bei OpenAI beantragen. Langfristig hilft eine verbindliche KI-Nutzungsrichtlinie und der Einsatz DSGVO-konformerer Varianten wie Azure OpenAI oder ChatGPT Enterprise.
Warum das Problem real ist
OpenAI nutzt Eingaben in der Gratis- und Plus-Version standardmäßig für das Training seiner Modelle. Die Daten verlassen dabei die EU und werden in den USA verarbeitet — ohne angemessene Schutzmaßnahmen ein Problem nach Art. 46 DSGVO. Je nach Art der eingegebenen Daten, ob Kundennamen, E-Mail-Adressen, Bestelldaten oder sensiblere Informationen, kann eine Datenpanne im Sinne der DSGVO vorliegen. Die Folge: eine mögliche Meldepflicht, unter Umständen eine Informationspflicht gegenüber Betroffenen und interner Handlungsbedarf.
Die sieben Sofortschritte
- Vorfall dokumentieren: Wer hat wann welche Daten in welches Tool eingegeben? So konkret wie möglich, mit Screenshot wenn möglich.
- Ausmaß einschätzen: einfache Kontaktdaten oder besondere Kategorien wie Gesundheit, Religion, Finanzen? Wie viele Betroffene, wie wahrscheinlich ein Schaden?
- Datenschutzbeauftragten informieren: falls vorhanden sofort einbeziehen, sonst die Geschäftsführung.
- Meldepflicht prüfen: bei hohem Risiko Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden.
- Datenlöschung bei OpenAI beantragen: in den ChatGPT-Einstellungen unter Datenschutz oder über die OpenAI-Datenschutzanfrage-Seite.
- Betroffene informieren: bei hohem Risiko für die betroffenen Personen ist eine direkte Information Pflicht.
- Interne Maßnahmen einleiten: KI-Richtlinie einführen oder aktualisieren, Mitarbeitende schulen, technische Sperren prüfen.
Was auf keinen Fall passieren sollte
Den Vorfall zu ignorieren oder zu vertuschen ist die riskanteste Option: Wer eine Datenpanne kennt und verbirgt, riskiert deutlich höhere Bußgelder als bei einer offenen Meldung. Transparenz gegenüber Behörden wird regelmäßig strafmildernd gewertet.
Strukturelle Lösungen für die Zukunft
- Eine schriftliche, verbindliche KI-Nutzungsrichtlinie mit klaren Verboten für sensible Daten.
- API-Versionen mit Datenschutzgarantie nutzen — über die OpenAI-API mit entsprechendem Vertrag trainiert OpenAI nicht auf Kundendaten.
- Azure OpenAI als DSGVO-konformere Alternative — EU-Datenhaltung und Auftragsverarbeitungsvertrag mit Microsoft.
- Regelmäßige Schulungen für Mitarbeitende, nicht einmalig.
- Ein KI-Tool-Genehmigungsprozess, damit nicht jede Person eigenständig neue KI-Tools mit Kundendaten nutzen kann.
ChatGPT Enterprise und Azure OpenAI verarbeiten Nutzereingaben nicht für Trainingszwecke — das ist der entscheidende Unterschied zur Gratis- und Plus-Version. Für den Business-Einsatz mit Kundendaten sind nur diese Varianten vertretbar. Ein Genehmigungsprozess klingt bürokratischer, als er ist: Ein einfaches Formular mit einem verantwortlichen Ansprechpartner reicht in der Praxis meist aus, damit neue Tools vor dem Einsatz datenschutzrechtlich geprüft werden.