Darf ich Kundendaten in ChatGPT eingeben? Die datenschutzrechtliche Antwort

Die kurze Antwort: Personenbezogene Kundendaten dürfen nur dann in ChatGPT eingegeben werden, wenn eine DSGVO-Rechtsgrundlage vorliegt und ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit OpenAI besteht. Bei der Standard-Consumer-Version von ChatGPT ist beides regelmäßig nicht erfüllt. Deutlich vertretbarer wird der Einsatz, wenn Namen, Adressen und Kennungen vor der Eingabe lokal pseudonymisiert werden — die Bewertung des Einzelfalls nimmt Ihnen das nicht ab. Dieser Beitrag ordnet ein, worauf es rechtlich ankommt und welchen Weg Sie im Alltag gehen können.

Wann ist die Eingabe von Kundendaten in ChatGPT erlaubt?

Zwei Dinge müssen zusammenkommen. Erstens eine Rechtsgrundlage nach Art. 6 DSGVO — etwa die Erfüllung eines Vertrags oder ein berechtigtes Interesse, das die Interessen der betroffenen Person nicht überwiegt. Zweitens ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO mit dem KI-Anbieter, weil dieser die Daten in Ihrem Auftrag verarbeitet. Ohne AVV verarbeiten Sie personenbezogene Daten ohne die vorgeschriebene vertragliche Grundlage — unabhängig davon, wie gut das Ergebnis ist.

Die Standard-Consumer-Version von ChatGPT stellt für die private Nutzung keinen AVV bereit, und die Daten können zur Modellverbesserung genutzt werden. Für ein Immobilienbüro, das Mieter-, Käufer- oder Antragstellerdaten verarbeitet, ist das der Knackpunkt: Der bequeme Standard-Zugang ist genau der, der die formalen Anforderungen regelmäßig nicht erfüllt.

Warum reicht ChatGPT Enterprise nicht automatisch als Freifahrtschein?

Business- und Enterprise-Tarife bieten AVV und schalten das Training auf Ihren Daten ab — das löst den Vertragsteil, aber nicht die Grundfrage, ob die konkrete Verarbeitung erforderlich und die Rechtsgrundlage tragfähig ist. Auch mit AVV bleibt die Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) Ihre Pflicht: Sie sollen nur so viele personenbezogene Daten verarbeiten, wie die Aufgabe wirklich braucht. Wie sich die Ansätze im Detail unterscheiden, steht im Beitrag porthor vs. ChatGPT Enterprise.

Wie macht lokale Pseudonymisierung den Einsatz vertretbar?

Der Mittelweg umgeht das Grundproblem, statt es zu verwalten: Sie ersetzen identifizierende Angaben lokal auf Ihrem Rechner durch Platzhalter und schicken nur den pseudonymisierten Text an die KI. Der Zuordnungsschlüssel bleibt bei Ihnen, das Ergebnis kommt mit echten Namen zurück.

Rechtlich stützt das der EuGH: Nach dem Urteil C-413/23 P vom 4. September 2025 ist der Personenbezug relativ zu beurteilen. Erhält ein Empfänger pseudonymisierte Daten ohne realistische Möglichkeit, den Zuordnungsschlüssel zu erlangen, können die Daten für ihn nicht-personenbezogen sein. Die EDPB-Leitlinie 01/2025 betont dafür das Trennungsgebot — der Schlüssel bleibt lokal. Genau dieses Prinzip macht porthor zum Standardweg: erst lokal pseudonymisieren, dann die KI arbeiten lassen. Die Grenzen dieses Ansatzes und wann er trägt, vertieft Pseudonymisierung vs. Anonymisierung.

Was heißt das konkret für Ihr Büro?

Originalangaben Ihrer Kunden gehören nicht ungeprüft in ein Consumer-Chatfenster. Wollen Sie KI trotzdem produktiv nutzen, haben Sie zwei saubere Wege: einen Business-/Enterprise-Vertrag mit AVV und dokumentierter Rechtsgrundlage — oder die Originalangaben das Haus gar nicht erst verlassen lassen und lokal pseudonymisieren. Der zweite Weg reduziert das Tagesrisiko am wirksamsten. Wie eine Hausverwaltung das im Alltag umsetzt, zeigt ChatGPT in der Hausverwaltung: die rote Linie.