Ist die Verarbeitung personenbezogener Daten mit ChatGPT rechtmäßig?

⏱️ Lesezeit: 13 Min. · 📁 Kategorie: KVKK und digitale Compliance

Ist die Verarbeitung personenbezogener Daten mit ChatGPT rechtmäßig? (Klarer, ausführlicher KVKK-Leitfaden – 2026)

„Dürfen wir Kundendaten in ChatGPT eingeben?“, „Dürfen wir den Lebenslauf eines Beschäftigten von ChatGPT analysieren lassen?“, „Verstößt die Nutzung von ChatGPT gegen die KVKK?“
Diese Fragen zählen 2025–2026 zu den größten Risikothemen bei der unternehmensinternen Nutzung.
Die kurze Antwort ist nicht einfach: Es besteht die Gefahr eines schwerwiegenden Verstoßes, wenn der Rechtsrahmen nicht korrekt aufgestellt wird.

Dieser Leitfaden behandelt die Stellung von ChatGPT nach der KVKK, Anwendungen, die im Allgemeinen sicher sind, und solche mit hohem Risiko,
ausdrückliche Einwilligung, Datenübermittlung und Verantwortung sowie einen praktisch umsetzbaren Compliance-Fahrplan für Unternehmen.

1️⃣ Klare Antwort auf die Grundfrage 🔑 Kurze Antwort: Die Nutzung von ChatGPT verstößt an sich nicht gegen die KVKK.
🔴 Allerdings: Werden personenbezogene Daten in ChatGPT eingegeben, kann dies als Datenverarbeitung nach der KVKK gelten und unterliegt strengen Bedingungen.

Die KVKK regelt nicht das Werkzeug selbst, sondern wie personenbezogene Daten verarbeitet werden, wohin sie übermittelt werden und zu welchem Zweck sie genutzt werden.
Daher lautet die kritische Frage:
„Was geben wir ChatGPT, zu welchem Zweck, auf welcher Rechtsgrundlage und wohin gelangen die Daten?“

2️⃣ Was ist ChatGPT in Bezug auf KVKK?

In der Praxis sind ChatGPT und ähnliche generative KI-Dienste in den meisten Szenarien:

• Software / KI-Werkzeuge (Dienstleister)
• Bei Verarbeitung im Auftrag des Unternehmens nahe an der Rolle eines Auftragsverarbeiters nach der Beschreibung im Beitrag
• Das nutzende Unternehmen ist meist der Verantwortliche

Praktische Folge: Die Verantwortung liegt meist bei dem Unternehmen als Verantwortlichem.
„ChatGPT hat es gemacht“ oder „das Werkzeug hat es automatisch erzeugt“ hebt die Pflichten des Verantwortlichen nicht auf. 3️⃣ Wann fallen in ChatGPT eingegebene Daten unter die KVKK? Identifizierbarkeitsschwelle

Die KVKK wird relevant, wenn einer der folgenden Fälle vorliegt:

• Informationen identifizieren eine natürliche Person, etwa Name, E-Mail, Telefon, türkische Identitätsnummer (TCKN), Kunden- oder Personalnummer
• Eine Person ist indirekt durch Kombinationen wie kleines Team + Funktion + Standort identifizierbar
• Inhalte wie Texte, Lebensläufe, E-Mails, Aufzeichnungen oder Nachrichten betreffen eine natürliche Person
• Ein Ergebnis wirkt sich auf eine natürliche Person aus, etwa durch Aussortieren, Bewertung oder Risikoeinstufung

❗ Schwelle: "Kann eine Person identifiziert werden?"
Ja → KVKK-Risiken bestehen. Nein → Die KVKK-Relevanz sinkt; Risiken für Geschäftsgeheimnisse können jedoch fortbestehen. 4️⃣ Im Allgemeinen sichere Anwendungen von ChatGPT ✅ 1) Verwendungen ohne personenbezogene Daten

• Blog, Werbetext, Produktbeschreibung, Präsentationsentwurf
• Allgemeine rechtliche/technische Analyse (ohne personenbezogene Daten)
• Codegenerierung / Debugging ohne personenbezogene Daten oder geheime Schlüssel
• Fiktive Szenarien

In diesen Szenarien ist das KVKK-Risiko meist gering. Bei betrieblicher Nutzung sind jedoch Geschäftsgeheimnisse und Vertraulichkeit zu beachten, wenn festgelegt wird,
welche Informationen nicht geteilt werden dürfen; eine schriftliche Liste wird empfohlen.

✅ 2) Anonymisierte oder maskierte Daten

• Namen und Kontaktdaten entfernt
• Kennungen maskiert, zum Beispiel „Kunde-001“
• Personen- und Organisationskennungen aus dem Text entfernt

⚠️ Wichtig: Das Risiko bleibt bestehen, wenn die Maskierung umkehrbar ist oder der Text die Person weiterhin indirekt identifiziert.
„Wir hielten es für anonym“ ist bei einer Prüfung ein schwaches Argument. 5️⃣ Möglicherweise risikoreiche oder rechtswidrige Anwendungen von ChatGPT 🔴 1) Unveränderte Lebensläufe in ChatGPT hochladen

• Einstellungsbewertung / Bewerbervergleich
• Automatisches Aussortieren / Bewerten
• Beurteilung und Profilbildung von Bewerbern

Grund für das Risiko: Identifizierbarkeit, Auslandsübermittlung bei vielen Diensten und Profiling oder automatische Entscheidungswirkungen treffen zusammen.
Sind Rechtsgrundlage und Prozesskontrollen unklar, ist das Verstoßrisiko hoch. 🔴 2) Kunden- oder Beschäftigtendaten durch ChatGPT analysieren lassen

• Beschwerde-E-Mails kopieren und zusammenfassen lassen
• Gesprächstranskripte aus dem Callcenter hochladen
• Leistungsbeurteilungen analysieren lassen

Dies erhöht die Risiken zweckfremder Verarbeitung, von Verstößen gegen die Datenminimierung und für die Datensicherheit.
Prozesse müssen auch Betroffenenrechte wie Auskunft, Berichtigung und Widerspruch berücksichtigen.

🔴 3) Automatische Entscheidungen / Profiling ohne menschliches Eingreifen

Wenn Ergebnisse wie „diese Person ist ungeeignet“ oder „dieser Kunde ist riskant“ eine natürliche Person betreffen, steigt der Bedarf an
menschlicher Kontrolle und begründbaren Entscheidungen.

Hochrisikoindikator: Wenn allein das Ergebnis die Entscheidung bestimmt und kein Widerspruchs- oder Prüfverfahren besteht,
wird die Position des Unternehmens bei einer Prüfung erheblich geschwächt. 6️⃣ Ist für die Nutzung von ChatGPT eine ausdrückliche Einwilligung erforderlich? 🔑 Antwort: Nicht immer; es hängt vom Szenario ab. In vielen kommerziellen Szenarien kann jedoch eine ausdrückliche Einwilligung erforderlich sein.

Typische Situationen, die die Notwendigkeit einer ausdrücklichen Einwilligung erhöhen:

• Wenn die Datenverarbeitung für den Vertragsschluss oder die Vertragserfüllung nicht unmittelbar erforderlich ist
• Wenn besondere Kategorien personenbezogener Daten wie Gesundheitsdaten verarbeitet werden
• Wenn Daten für sekundäre Zwecke wie Analyse, Auswertung oder Profilbildung genutzt werden
• Wenn Daten für Modelltraining oder -verbesserung genutzt werden

❌ Warnung: Eine pauschale Einwilligung zur KI-Nutzung ist riskant.
Die ausdrückliche Einwilligung muss bestimmt, informiert, freiwillig erteilt und widerruflich sein. 7️⃣ Der entscheidende Punkt: Datenübermittlung ins Ausland

ChatGPT und ähnliche Dienste sind meist Cloud-basiert, und Infrastrukturstandorte können im Ausland sein.
Dadurch entsteht das Risiko einer Übermittlung personenbezogener Daten ins Ausland.

• In welches Land oder welche Länder gelangen die Daten?
• Wer sind die Unterauftragsverarbeiter?
• Wie lange werden die Daten aufbewahrt?
• Enthalten Protokoll- oder Telemetriedaten personenbezogene Daten?

Entscheidende Prüfungsfrage: „Wohin gelangen diese Daten, wer kann darauf zugreifen und nach welchem Übermittlungskonzept?“
Der Verweis auf unternehmensinterne Nutzung beseitigt das Risiko einer Auslandsübermittlung nicht automatisch. 8️⃣ Ist die Verteidigung des "Internen Gebrauchs" gültig?

Verteidigungen wie "wir haben es für den internen Gebrauch getan", "niemand hat es gesehen" allein reichen nicht aus.
Nach der KVKK kommt es darauf an, in welches System die Daten gelangen, wer darauf zugreifen kann,
zu welchem Zweck sie verarbeitet werden und ob Sicherheitsmaßnahmen umgesetzt werden.

9️⃣ Perspektive 2026: Was macht KI-Nutzung bei einer Prüfung begründbar?

Aus Sicht des Beitrags für 2026 genügt „wir nutzen KI“ nicht; gefordert ist kontrollierte, nachweisbare Nutzung von KI.
Elemente, die die Position des Unternehmens bei einer Prüfung stärken:

• Verzeichnis der Nutzungsszenarien (wer nutzt welches Werkzeug zu welchem Zweck?)
• Datenklassifizierung (Liste unzulässiger Daten / sensible Daten)
• Matrix der Rechtsgrundlagen (KVKK Artikel 5 und 6)
• Datenschutzinformation und interne Richtlinie (KI-Nutzungsrichtlinie)
• Technische Maßnahmen (DLP, Maskierung, Zugriffskontrolle)
• Menschliche Intervention (Entscheidungen mit hoher Wirkung)
• Protokollierung und Nachweis (wer hat was wann getan?)

🔟 ChatGPT + KVKK Compliance Roadmap für Unternehmen

1. Übersicht der Nutzungsszenarien: In welchem Prozess wird ChatGPT zu welchem Zweck genutzt?
2. Dateninventar: In Prompts eingegebene Daten als personenbezogene Daten, besondere Datenkategorien oder Geschäftsgeheimnisse einordnen.
3. Liste unzulässiger Daten: Für Inhalte wie Lebensläufe, Ausweisdaten, Gesundheitsdaten und Kundenbeschwerden eine Regel „nicht eingeben“ festlegen.
4. Maskierungsstandard: Namen und Kontaktdaten entfernen, anschließend indirekte Kennungen prüfen.
5. Übermittlungsbewertung: Auslandsrisiken sowie vertragliche und technische Kontrollen klären.
6. Menschliche Kontrolle: Entscheidungen bei Profilbildung, Aussortieren oder Bewertung nicht allein der KI überlassen.
7. Protokollierung: Nutzung, Zweck, Datum und Uhrzeit erfassen und nach Nutzer oder Rolle nachverfolgen.
8. Richtlinie und Schulung: KI-Nutzungsrichtlinie, Teamschulungen und Liste zugelassener Werkzeuge.

1️⃣1️⃣ Häufigste gefährliche Fehler

• Kopieren und Einfügen von Lebensläufen, Kunden-E-Mails oder Beschwerdeaufzeichnungen, wie sie sind
• Unter der Annahme, dass "ChatGPT geheim ist, nicht geteilt"
• Eine ausdrückliche Einwilligung in einen allgemeinen Text aufnehmen und als gültig ansehen
• Daten nicht maskieren oder anonymisieren
• Nutzung nicht protokollieren; ohne Nachweise steigt das Risiko

✅ Zusammenfassung für Führungskräfte

• ✔ ChatGPT ist nicht verboten.
• ❌ Personenbezogene Daten ohne Kontrollen einzugeben ist riskant.
• ✔ Anonymisierung oder Maskierung macht die Nutzung sicherer.
• ❌ Automatische Entscheidungen ohne menschliches Eingreifen bedeuten hohes Risiko.

🧠 Klare Experteneinschätzung

Nach der KVKK lautet die Frage nicht „Haben Sie ChatGPT genutzt?“, sondern „Was haben Sie ChatGPT gegeben?“ Das ist die entscheidende Frage.
Richtig gestaltete Nutzung steigert die Effizienz und macht Risiken beherrschbar.
Fehlgebrauch erhöht das Risiko von Verwaltungssanktionen, Reputationsschäden und negativen Prüfungsfeststellungen.

Erstellen wir Ihre ChatGPT- und KI-Nutzungsrichtlinie und Ihren KVKK-Compliance-Fahrplan