Seit Ende November ist ChatGPT in aller Munde, und spätestens seit Weihnachten sitzt in fast jedem Büro jemand, der „mal eben“ eine E-Mail, ein Angebot oder eine Stellenanzeige von der KI schreiben lässt. Das ist verständlich, denn die Ergebnisse sind oft verblüffend gut. Bei uns in Mainz kommt deshalb gerade eine Frage besonders häufig an: ChatGPT und Datenschutz in der Firma – was dürfen Mitarbeiter da eigentlich eintippen? Die kurze Antwort: weniger, als viele denken. Die lange Antwort lesen Sie hier.
Warum ChatGPT im Unternehmen ein Datenschutzthema ist
ChatGPT ist kein Programm, das auf Ihrem Rechner läuft. Alles, was Sie in das Eingabefeld schreiben, wird an die Server des Anbieters OpenAI in den USA übertragen, dort verarbeitet und gespeichert. Nach den aktuellen Hinweisen des Anbieters können Gespräche außerdem ausgewertet werden, um die Modelle weiter zu verbessern. Das heißt praktisch: Was einmal drin ist, haben Sie nicht mehr unter Kontrolle.
Für den Datenschutz in der Firma bedeutet das:
- Personenbezogene Daten (Namen, E-Mail-Adressen, Kundendaten, Bewerberunterlagen, Gesundheitsangaben) dürfen Sie nach der DSGVO nur verarbeiten, wenn es dafür eine Rechtsgrundlage gibt. Für „Ich lasse die KI mal drüberschauen“ gibt es die in aller Regel nicht.
- Übermittlung in die USA: Seit dem Wegfall des Privacy Shield im Sommer 2020 ist der Datentransfer in die USA rechtlich heikel. Ein neues Abkommen zwischen EU und USA ist zwar in Arbeit, gilt aber noch nicht.
- Kein Auftragsverarbeitungsvertrag: Bei der kostenlosen Version, die die meisten Mitarbeiter privat angelegt haben, gibt es keinen Vertrag zwischen Ihrem Unternehmen und dem Anbieter. Sie wissen also nicht verbindlich, was mit den Daten passiert.
- Geschäftsgeheimnisse: Neben dem Datenschutz geht es auch um Ihr eigenes Know-how. Kalkulationen, Verträge oder Quellcode haben in einem fremden Chatfenster nichts verloren.
Die Ampel: Was Mitarbeiter eingeben dürfen
Damit Ihr Team im Alltag schnell entscheiden kann, hat sich bei unseren Kunden eine einfache Ampel bewährt. Sie ersetzt keine Rechtsberatung, schafft aber Klarheit:
| Ampel | Beispiele | Regel |
|---|---|---|
| Grün | Allgemeine Fragen, Formulierungshilfen ohne Namen, Ideen für Blogthemen, Erklärungen zu Excel-Formeln, Übersetzung öffentlicher Texte | Erlaubt |
| Gelb | Interne Texte, Entwürfe von Angeboten, Protokolle, Prozessbeschreibungen | Nur ohne Namen, Zahlen und Kundenbezug, vorher anonymisieren |
| Rot | Kundendaten, Personalakten, Bewerbungen, Gesundheitsdaten, Verträge, Passwörter, Zugangsdaten, Quellcode, Finanzzahlen | Tabu |
Ein Beispiel aus der Praxis: „Schreib eine freundliche Antwort auf eine Reklamation wegen Lieferverzug“ ist grün. „Schreib eine Antwort an Frau Müller aus Wiesbaden, Kundennummer 4711, die sich über …“ ist rot. Der Text, den die KI liefert, ist in beiden Fällen ähnlich gut. Nur im zweiten Fall haben Sie gerade Kundendaten in die USA geschickt.
Anonymisieren: besser als gar nicht, aber kein Freifahrtschein
Viele Mitarbeiter denken: „Ich ersetze einfach den Namen durch Herrn X.“ Das ist ein guter Anfang. Aber Achtung: Personenbezug entsteht auch durch die Kombination von Angaben. „Unser Prokurist, der im Januar seinen Herzinfarkt hatte“ ist ohne Namen trotzdem eindeutig. Echte Anonymisierung heißt: Niemand könnte aus dem Text zurückschließen, um wen es geht. Wenn Sie sich nicht sicher sind, ist das ein klares Zeichen für Rot.
So regeln Sie den Einsatz von KI-Tools in Ihrer Firma
Verbieten können Sie natürlich alles. Ob das im Alltag funktioniert, ist eine andere Frage, denn ChatGPT ist nur einen Browser-Tab entfernt. Wir empfehlen deshalb eine kurze, verständliche Regelung statt eines Totalverbots:
- Bestandsaufnahme: Fragen Sie offen nach, wer welche KI-Tools schon nutzt und wofür. Sie werden überrascht sein.
- Richtlinie schreiben: Eine Seite reicht. Welche Tools sind erlaubt, welche Daten sind tabu, wer ist Ansprechpartner? Die Ampel von oben passt gut hinein.
- Dienstliche Konten: Wenn KI-Tools genutzt werden sollen, dann möglichst über Konten, die das Unternehmen kennt, nicht über private Accounts mit privater E-Mail-Adresse.
- Einstellungen prüfen: Schauen Sie sich die Datenschutz- und Verlaufseinstellungen des jeweiligen Dienstes an und dokumentieren Sie, was Sie gewählt haben.
- Datenschutzbeauftragten einbinden: Er sollte die Richtlinie kennen und bei neuen Einsatzzwecken gefragt werden.
- Schulung: Zehn Minuten in der nächsten Teambesprechung mit zwei, drei Beispielen bewirken mehr als jedes Rundschreiben.
- Ergebnisse prüfen: Die KI formuliert überzeugend, liegt aber auch mal komplett daneben. Was nach außen geht, liest ein Mensch gegen.
Was ist mit den anderen KI-Werkzeugen?
ChatGPT ist nicht allein. Microsoft hat gerade einen Chat in seine Suchmaschine Bing eingebaut, Google hat ein eigenes Angebot angekündigt, und viele Programme, die Sie längst nutzen, bekommen KI-Funktionen nachgerüstet: Übersetzer, Schreibassistenten, Bildbearbeitung. Für alle gilt dieselbe Logik: Wohin gehen die Daten, wer verarbeitet sie, gibt es einen Vertrag? Ein Übersetzungsdienst mit Auftragsverarbeitungsvertrag und Servern in der EU ist datenschutzrechtlich eine ganz andere Hausnummer als ein kostenloser Chatbot.
Häufige Fragen aus unseren Gesprächen
Darf ich Bewerbungen von ChatGPT zusammenfassen lassen?
Nein. Bewerbungsunterlagen sind voller personenbezogener Daten, teils sogar besonders schützenswerter. Das ist ein klarer Fall für Rot.
Und wenn ich nur einen Text umformulieren lasse, den ich selbst geschrieben habe?
Das ist in Ordnung, solange darin keine personenbezogenen Daten oder Geschäftsgeheimnisse stehen.
Wer haftet, wenn ein Mitarbeiter trotzdem Kundendaten eingibt?
Gegenüber Kunden und Aufsichtsbehörde zunächst das Unternehmen als Verantwortlicher. Umso wichtiger ist eine klare Regel, die Sie nachweisen können.
Müssen wir das jetzt sofort regeln?
Wir würden nicht warten. Die Tools sind schon im Einsatz, ob mit oder ohne Regel. Eine einfache Richtlinie heute ist besser als eine perfekte in einem Jahr.
Unser Fazit
KI-Tools sind ein echter Gewinn für den Büroalltag, und wir nutzen sie selbst gern für Ideen und erste Entwürfe. Beim Thema ChatGPT und Datenschutz in der Firma gilt aber: Die KI bekommt Aufgaben, keine Daten. Wer das seinem Team klar und freundlich erklärt, hat den größten Teil der Arbeit schon erledigt.
Wir helfen Ihnen gerne
Sie möchten eine KI-Richtlinie für Ihr Team, eine Schulung oder einen kurzen Check, welche Tools bei Ihnen schon laufen? Das Datenschutz-Team der Mittelstandsoptimierer unterstützt Sie pragmatisch und ohne Juristendeutsch. Rufen Sie uns einfach an: 06131 144928-0.
Herzliche Grüße aus Mainz
