Ein Mitarbeiter fügt eine Kundenmail in ein KI-Werkzeug ein, um sie zusammenfassen zu lassen. Eine Kollegin lädt die Angebotstabelle hoch, damit die Zahlen schöner werden. Beides passiert in den meisten Häusern täglich – und meistens hat es niemand entschieden. Diese Seite sagt nicht, was Sie dürfen. Sie sagt, was Sie vorher klären sollten, damit die KI-Nutzung Ihrer Leute geregelt und belegbar ist – und nicht der Einzelne im Moment der Eingabe entscheidet. Bis das geklärt ist, gilt die einfachste Regel: Personendaten nicht hinein. Den ersten Schritt gibt es kostenlos: ein Selbstbefund, fünf Minuten, ohne Anmeldung.
Ob Kundendaten in ChatGPT dürfen, sollte nicht der Mitarbeiter an der Eingabe entscheiden, sondern eine Regel des Hauses, die vorher steht: Personendaten erst nach Prüfung durch Datenschutzbeauftragten oder Kanzlei, Geschäftsgeheimnisse nach eigener Festlegung, alles Übrige in freigegebenen Werkzeugen. Der kostenlose Selbstbefund von Rechtssicher-KI zeigt in fünf Minuten, was davon geregelt ist.
Warum die Frage so oft an der Eingabe hängt
Bei KI-Werkzeugen geht es um zwei Dinge zugleich: Wohin gehen die Daten, und was passiert dort mit ihnen? Viele Dienste laufen auf Servern außerhalb Europas, manche nutzen Eingaben zum Weitertrainieren, manche nicht – je nach Tarif, Einstellung und Vertrag. Das steht in den Nutzungsbedingungen und der Datenschutzerklärung des jeweiligen Anbieters, und das prüft niemand im Moment der Eingabe. Deshalb gehört die Entscheidung nicht an die Eingabe, sondern in eine Regel, die vorher steht.
Drei Datengruppen, drei Ansagen
Die Praxis kommt mit einer einfachen Einteilung weit:
- Personendaten von Kunden, Mitarbeitenden, Partnern – Namen, Adressen, Verträge, Mails: Hier entscheidet nicht der Komfort. Welche Werkzeuge unter welchen Bedingungen infrage kommen, prüft, wer bei Ihnen für den Datenschutz zuständig ist – Ihr Datenschutzbeauftragter, wenn Sie einen haben, sonst eine Kanzlei. Bis dahin: nicht hinein.
- Vertrauliche Geschäftsdaten – Kalkulationen, unveröffentlichte Zahlen, Angebote, Quellcode: Ihr Haus legt fest, ob und in welchen Werkzeugen sie verarbeitet werden. Was Sie Kunden an Vertraulichkeit zugesagt haben, gehört in diese Festlegung.
- Alles Übrige – Formulierungen, allgemeine Recherchen, Texte ohne Bezug zu Personen oder Geheimnissen: Hier liegt der Nutzen, und hier wird gearbeitet – mit den freigegebenen Werkzeugen.
Diese drei Ansagen können Sie so ins Haus geben – die Regel dahinter schreiben Sie. Das ist Einordnung aus der Praxis, keine Rechtsberatung: Welche Verarbeitung in Ihrem Haus datenschutzrechtlich trägt, klärt, wer bei Ihnen für den Datenschutz zuständig ist, oder eine Kanzlei.
Was Regeln allein nicht schaffen
Eine Regel, die im Intranet liegt, hilft am Tag der Eingabe nicht. Sie wirkt, wenn jeder, der mit den Werkzeugen arbeitet, sie kennt und die Einteilung im Kopf hat – und wenn Sie zeigen können, wer wann was gelernt hat. Das ist der Unterschied zwischen „wir haben eine Richtlinie“ und „unsere Leute wissen Bescheid, und wir können es belegen“.
Womit Sie anfangen – kostenlos, in fünf Minuten
Der Selbstbefund prüft in sieben Fragen, ob Werkzeuge, Eingaberegeln, Zuständigkeit und Belege in Ihrem Haus geregelt sind, und hält das Ergebnis mit Datum fest – ohne Anmeldung, im Browser, ohne dass Ihre Eingaben übertragen werden. Am Ende sehen Sie, für wie viele Personen ein Beleg fehlt. Der Selbstbefund kann auch ergeben, dass in Ihrem Haus nichts fehlt – dann brauchen Sie keinen Kurs, auch nicht unseren.
Selbstbefund starten – kostenlos, fünf Minuten
Wenn Ihre Leute Bescheid wissen sollen – und Sie das zeigen wollen
Dafür gibt es unseren Kurs: eine Stunde je Person, mit Prüfung und personalisiertem Zertifikat, 149 € inklusive Mehrwertsteuer, ab zehn Personen günstiger (Teamanfrage). Der Kurs erklärt, was die Werkzeuge mit Eingaben tun, wie die drei Datengruppen auseinanderzuhalten sind – und hinterlässt den Beleg je Person.
Kurz beantwortet
Darf man Kundendaten in ChatGPT eingeben?
Das hängt vom Werkzeug, vom Vertrag und von der Art der Daten ab – und es ist eine Entscheidung Ihres Hauses, geprüft von der Person, die bei Ihnen für den Datenschutz zuständig ist, nicht des Einzelnen am Bildschirm. Solange sie nicht getroffen ist: nicht hinein.
Reicht es, das im Team einmal zu sagen?
Für den Moment ja. Für den Tag, an dem jemand fragt, wer Bescheid wusste, nicht. Eine schriftliche Regel und ein Beleg je Person sind das, worauf Sie sich dann berufen können.
Was hat das mit der KI-Verordnung zu tun?
Die KI-Verordnung (der EU AI Act) verlangt seit Februar 2025, dass Unternehmen die KI-Kompetenz ihrer Leute fördern – Maßnahmen ergreifen. Der Umgang mit Daten ist der Teil davon, der im Alltag am häufigsten gebraucht wird.
In fünf Minuten wissen Sie, ob Werkzeuge, Eingaberegeln und Zuständigkeit bei Ihnen geregelt sind – und für wie viele Personen ein Beleg fehlt.
Selbstbefund starten – kostenlos, ohne Anmeldung