Dürfen Mitarbeiter ChatGPT mit Kundendaten nutzen?
Ein Mitarbeiter kopiert eine Kundenmail in ChatGPT, um schnell eine Antwort zu formulieren. Darf er das? Die kurze Antwort: nicht pauschal, sondern nur unter klaren internen Regeln – und die wenigsten Unternehmen haben diese Regeln bisher aufgeschrieben.
Eine Kollegin lässt sich eine Antwort auf eine Reklamation formulieren. Im Vertrieb wird ein Kundengespräch zusammengefasst. Im Support soll ein Ticket-Verlauf ausgewertet werden. In allen drei Fällen landen Kundendaten in einem KI-Tool – oft, ohne dass sich jemand im Unternehmen vorher Gedanken darüber gemacht hat.
Entscheidend sind vier Fragen: Welches Tool wird genutzt? Welche Daten sind betroffen? Wofür werden sie gebraucht? Und hat das Unternehmen diese Nutzung freigegeben? Ohne Freigabe sollten keine Kundendaten in KI-Tools eingegeben werden.
Was zählt als Kundendaten?
Mehr, als die meisten denken. Schon einzelne Angaben können personenbezogene Daten sein, wenn sich daraus eine Person identifizieren lässt:
- Kontaktdaten: Name, E-Mail, Telefonnummer, Kundennummer
- Vertrags- und Bestelldaten: Rechnungen, Lieferdaten, Reklamationen
- Kommunikationsinhalte: Kundenmails, Supportanfragen, Gesprächsnotizen
Drei Beispiele aus dem Alltag
So sieht der Unterschied zwischen riskanter und unbedenklicher Nutzung in der Praxis aus:
Riskant: „Beantworte diese Mail von Herrn Müller aus Koblenz zu seiner Bestellung 4711.“
Besser: „Formuliere eine höfliche Antwort auf eine Lieferverzögerung. Keine personenbezogenen Daten verwenden.“
Riskant: Ein komplettes Verkaufsgespräch inklusive Kundenname, Firma und besprochenen Konditionen wird zur Zusammenfassung eingefügt.
Besser: Vorab Namen und Firma durch Platzhalter ersetzen, nur die inhaltlichen Punkte des Gesprächs eingeben.
Riskant: Eine Bewerbung mit Lebenslauf und persönlichen Angaben wird zur Vorauswahl in ein öffentliches KI-Tool geladen.
Besser: Nur die Anforderungen der Stelle beschreiben lassen, die eigentliche Bewertung erfolgt ohne Eingabe der Bewerberdaten.
Reicht Anonymisieren aus?
Nicht automatisch. „Kunde A“ statt „Herr Müller“ zu schreiben, hilft wenig, wenn Bestellnummer, Ort oder Datum weiterhin eine Zuordnung ermöglichen. Es gibt einen wichtigen Unterschied:
- Echte Anonymisierung: Die Person ist nicht mehr bestimmbar – Risiko sinkt deutlich.
- Pseudonymisierung: Name ersetzt, Person aber über andere Angaben weiter erkennbar.
- Unvollständige Kürzung: Einzelne Angaben entfernt, Vorgang bleibt trotzdem zuordenbar.
Was oft übersehen wird: der Auftragsverarbeitungsvertrag
Wer personenbezogene Daten über ein KI-Tool verarbeiten lässt, braucht in der Regel eine vertragliche Grundlage mit dem Anbieter – einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Bei der kostenlosen ChatGPT-Version für Privatpersonen gibt es diese Möglichkeit nicht. Anbieter wie OpenAI, Microsoft (über Azure OpenAI) oder Google bieten für Business- und Enterprise-Tarife entsprechende Verträge an, oft inklusive Zusagen zum Serverstandort und dazu, dass Eingaben nicht zum Training genutzt werden.
Praktische Checkliste vor der Eingabe
Ist genau dieses KI-Tool im Unternehmen für diesen Zweck freigegeben, inklusive AVV?
Enthält der Inhalt Namen, Kontaktdaten oder andere identifizierende Angaben?
Lassen sich identifizierende Angaben vorab entfernen oder abstrahieren?
Eine benannte Stelle im Unternehmen entscheidet im Zweifel – nicht der einzelne Mitarbeiter.
Fazit
Die pauschale Frage „Darf ich ChatGPT nutzen?“ führt in die Irre. Relevant ist, welches konkrete Tool mit welchem vertraglichen Rahmen zum Einsatz kommt, welche Daten wirklich nötig sind und ob es dafür eine klare interne Freigabe gibt. Unternehmen, die das einmal schriftlich regeln, ersparen sich täglich wiederkehrende Unsicherheit bei den Mitarbeitenden.
Häufige Fragen zu ChatGPT mit Kundendaten
Dürfen Mitarbeiter Kundendaten grundsätzlich in ChatGPT eingeben?
Nicht pauschal. Entscheidend sind Tool-Freigabe, Art der Daten und ein bestehender Auftragsverarbeitungsvertrag mit dem Anbieter.
Reicht es, nur den Namen zu entfernen?
Nicht unbedingt. Wenn andere Angaben wie Ort, Datum oder Vorgangsnummer weiterhin eine Zuordnung ermöglichen, liegt keine ausreichende Anonymisierung vor.
Brauche ich für ChatGPT einen Auftragsverarbeitungsvertrag?
Für die regelmäßige Verarbeitung personenbezogener Daten in der Regel ja. Die kostenlose Privatversion bietet dafür keine Grundlage, Business-Tarife der Anbieter meist schon.
Wer entscheidet im Unternehmen bei Unsicherheit?
Idealerweise eine klar benannte Stelle – zum Beispiel Datenschutzbeauftragte oder ein KI-Ansprechpartner, statt der einzelne Mitarbeiter im Zweifel.
Sind die Regeln für KI und Kundendaten in deinem Unternehmen klar?
Der kostenlose KlarRegel AI Check hilft dabei, offene Punkte zur internen KI-Nutzung in wenigen Minuten zu erkennen – inklusive Tool-Freigabe und Ansprechperson, statt dass du sie selbst festlegen musst.