ChatGPT im Unternehmen und die DSGVO

Mit Vertrag und Regelung einzusetzen. Ob ChatGPT im Unternehmen zulässig ist, hängt nicht am Werkzeug, sondern an der Tarifstufe — und die steht in keiner Richtlinie.

• Anbieter: OpenAI, L.L.C. (USA), OpenAI Ireland Ltd. für den EWR
• Zweck: Textarbeit, Recherche, Programmierung
• Verarbeitung in: USA, für EWR-Konten über OpenAI Ireland
• Eingaben fürs Training: Bei Free und Plus standardmäßig ja, abschaltbar. Bei Team, Enterprise und der API standardmäßig nein.

Welche Daten dort landen#

• alles, was jemand in den Eingabebereich schreibt oder hochlädt
• bei Dokumenten deren vollständiger Inhalt, nicht nur der Auszug
• Konto- und Nutzungsdaten der Beschäftigten

Ohne Auftragsverarbeitungsvertrag gibt es keine tragfähige Grundlage für personenbezogene Daten — weder berechtigtes Interesse noch Einwilligung der Beschäftigten, weil die im Arbeitsverhältnis kaum freiwillig ist. Mit Vertrag richtet sich die Zulässigkeit nach dem Zweck der Verarbeitung wie bei jedem anderen Dienstleister.

Der Vertrag mit dem Anbieter#

Für Team, Enterprise und die API stellt OpenAI einen Auftragsverarbeitungsvertrag bereit. Für kostenlose Konten und ChatGPT Plus gibt es keinen — dort ist OpenAI kein Auftragsverarbeiter, sondern Verantwortlicher für eigene Zwecke.

Was der Betriebsrat damit zu tun hat#

Mitbestimmungspflichtig nach § 87 Abs. 1 Nr. 6 BetrVG, sobald die Nutzung protokolliert wird oder protokolliert werden könnte — und das ist bei kontogebundenen Zugängen der Regelfall.

Was zu tun ist#

• Team oder Enterprise buchen, wenn personenbezogene Daten überhaupt vorkommen können — nicht Plus.
• Bei Free und Plus das Training in den Einstellungen abschalten und dokumentieren, dass es abgeschaltet ist.
• Eine Regelung schreiben, die Datenarten benennt statt Werkzeuge zu verbieten: Kundendaten, Bewerberdaten und Gesundheitsdaten gehören nicht hinein, unabhängig vom Tarif.
• Den Betriebsrat einbeziehen, bevor die Zugänge verteilt werden, nicht danach.

Wenn es auch anders gehen soll#

• Ein Modell im eigenen Haus oder bei einem EU-Anbieter betreiben
• Die API statt der Oberfläche, mit einem eigenen Frontend und Protokollierung im Haus

Der Punkt, der bei ChatGPT übersehen wird#

Free, Plus, Team, Enterprise und die API sind datenschutzrechtlich fünf verschiedene Produkte, obwohl sie dasselbe Modell benutzen und fast gleich aussehen. Derselbe Mitarbeiter, der denselben Satz eintippt, löst je nach Tür eine andere Rechtslage aus. Praktisch jede Unternehmensrichtlinie, die ich gesehen habe, schreibt trotzdem „ChatGPT ist erlaubt“ oder „ChatGPT ist verboten“ — und regelt damit genau nichts.

Das ist keine Rechtsberatung, sondern eine Einordnung: Wir geben den Stand wieder, soweit er uns bekannt ist. Ob dein Einsatz zulässig ist, hängt vom Einzelfall ab — und bei Beschäftigtendaten zusätzlich von dem, was in deinem Haus vereinbart ist. Wie die Regeln zusammenhängen, steht auf der Übersicht zur Serie.