Ist ChatGPT DSGVO-konform? Beispiele, Kosten und so fängst du an

„Ist ChatGPT DSGVO-konform?“ - diese Frage landet auf dem Tisch der Geschäftsführung in dem Moment, in dem jemand im Support eine Kundenmail mit Name, Adresse und Bestellnummer in ChatGPT kopiert, um eine Antwort zu entwerfen. Die IT fragt sich, wohin diese Daten gegangen sind, die Datenschutzbeauftragte will eine Rechtsgrundlage und einen Auftragsverarbeitungsvertrag sehen, und niemand weiß genau, welcher ChatGPT-Tarif eigentlich erlaubt ist. Dieser Artikel beantwortet das klar, Stand Oktober 2026: Was die DSGVO verlangt, welche ChatGPT-Tarife dir einen AVV und EU-Hosting geben und der europäische Weg, die Arbeit zu erledigen, ohne dass die personenbezogenen Daten je Europa verlassen. Das ist keine Rechtsberatung - kläre die Details mit deiner eigenen Datenschutzbeauftragten.

Ist ChatGPT DSGVO-konform?

ChatGPT ist nicht automatisch DSGVO-konform, lässt sich aber im richtigen Tarif und mit der richtigen Einrichtung DSGVO-konform nutzen. Ob eine konkrete Nutzung konform ist, hängt an drei Dingen, die du steuerst: dem Tarif (Privat-Tarife haben keinen AVV für Unternehmen und trainieren auf deinen Chats, während ChatGPT Business, Enterprise und die API unter dem AVV von OpenAI laufen und Geschäftsdaten standardmäßig vom Training ausschließen), dem Verarbeitungsort (standardmäßig überwiegend die USA; EU-Datenhaltung gibt es für Enterprise und die API) und deinen eigenen Unterlagen (eine Rechtsgrundlage nach Art. 6 DSGVO, ein abgeschlossener AVV, ein Verzeichnis und, wo nötig, eine DSFA). Ein Chat-Tool macht dich nicht konform, es gibt dir nur die Bedingungen, die du dafür brauchst¹²⁵.

Der DSGVO-konforme Weg mit Superkind

Am schnellsten bleibst du auf der sicheren Seite der DSGVO, wenn die Daten von Anfang an in Europa bleiben. Superkind ist der KI-Mitarbeiter für dein Team: Du schreibst Superkind in Outlook oder jeder E-Mail, Microsoft Teams, Slack oder der Superkind-Web-App wie einem Kollegen, und es erledigt die Aufgabe in deinen Programmen über 1.500+ Integrationen wie Outlook, Teams, DATEV, HubSpot und SharePoint. Superkind wird in Europa gehostet und verarbeitet, ist DSGVO-konform, auf den EU AI Act ausgerichtet und trainiert nie Modelle mit deinen Daten. Es arbeitet mit KI-Modellen von OpenAI (dem Unternehmen hinter ChatGPT), Anthropic, Mistral und Google, alle in Europa verarbeitet, und der AVV kommt über das Trust Center.

1. 1

   Du schreibst die Aufgabe

   In Outlook, Teams, Slack oder der Web-App, in klaren Worten: „Entwirf eine Antwort auf die Beschwerde von Frau Berger zu Bestellung 4012.“ Kein Prompt-Kurs, und keine Kundendaten in einem öffentlichen Chat-Fenster.

2. 2

   Superkind erledigt es in deinen Systemen

   Es liest den Fall aus dem Posteingang oder deinem CRM, nutzt dein Firmenwissen (die Bestellung, frühere Tickets, deine Richtlinie) und folgt deinen Regeln, etwa „Erstattungen über 200 Euro brauchen Freigabe“. Die personenbezogenen Daten bleiben die ganze Zeit in Europa.

3. 3

   Superkind fragt, bevor etwas rausgeht

   Du bekommst den Entwurf mit Freigeben oder Ablehnen. Nichts wird gesendet, gebucht oder geändert ohne dein OK, und deine Kollegin kann in Teams oder Slack freigeben, wo immer sie arbeitet.

4. 4

   Beim nächsten Mal läuft es als Routine

   Was du einmal erklärst, läuft weiter, zum Beispiel „Jede Beschwerde über eine Lieferung - Antwort entwerfen und mir melden“. Jede Aufgabe fließt in dein Company Brain, und dieses Wissen bleibt, wenn Leute gehen.

Wie ChatGPT und die DSGVO zusammenpassen

Die DSGVO verbietet ChatGPT nicht. Sie legt dir, dem Unternehmen, Pflichten auf - als Verantwortlichem für die personenbezogenen Daten. Sechs Teile entscheiden, ob eine konkrete Nutzung konform ist.

1. Du bist der Verantwortliche und brauchst eine Rechtsgrundlage - wenn du die personenbezogenen Daten eines Kunden oder Mitarbeitenden in ein Tool gibst, brauchst du eine Rechtsgrundlage nach Art. 6 DSGVO, meist Vertrag, rechtliche Verpflichtung oder berechtigtes Interesse nach Abwägung. Besondere Kategorien wie Gesundheitsdaten brauchen eine zusätzliche Grundlage nach Art. 9⁵⁶.
2. Wo die Daten verarbeitet werden - standardmäßig läuft ChatGPT auf der Infrastruktur von OpenAI, überwiegend in den USA. EU-Datenhaltung gibt es für ChatGPT Enterprise, ChatGPT Edu und die API-Plattform; neue Enterprise-Workspaces können Inhalte in Europa speichern, und seit Januar 2026 können berechtigte Konten die Verarbeitung (Inferenz) in Europa laufen lassen².
3. Training mit deinen Daten - in den Privat-Tarifen nutzt OpenAI deine Chats fürs Training, solange du es nicht abschaltest; Business, Enterprise und die API schließen Geschäftsdaten unter dem AVV standardmäßig aus¹⁴.
4. Der Auftragsverarbeitungsvertrag (AVV, englisch DPA) - Art. 28 DSGVO verlangt einen AVV mit jedem Anbieter, der personenbezogene Daten für dich verarbeitet. OpenAI bietet einen AVV für Business, Enterprise und die API; die Privat-Tarife sind standardmäßig nicht für einen AVV als Verantwortlicher ausgelegt¹³.
5. Verzeichnis und DSFA - du trägst die Verarbeitung ins Verzeichnis von Verarbeitungstätigkeiten ein (Art. 30) und machst eine Datenschutz-Folgenabschätzung (Art. 35), wenn die Nutzung voraussichtlich ein hohes Risiko birgt, etwa umfangreich oder mit automatisierten Entscheidungen mit echten Folgen für Menschen⁷⁸.
6. KI-Kompetenz nach dem EU AI Act - unabhängig von der DSGVO verlangt Art. 4 des EU AI Act seit Februar 2025, dass du für ein ausreichendes Maß an KI-Kompetenz der Mitarbeitenden sorgst, die in deinem Auftrag KI nutzen: Schulung und klare Regeln, was ins Chat-Tool darf⁹.

ChatGPT-Tarife und die DSGVO im Vergleich

Diese Tabelle zeigt, wie jeder ChatGPT-Tarif bei den Punkten steht, die über die DSGVO-Eignung entscheiden, mit Superkind in der ersten Zeile zum Vergleich. Es ist eine Übersicht auf Tarifebene, keine Konformitätsbestätigung: Deine eigene Rechtsgrundlage und Dokumentation gelten weiterhin.

Stand: Oktober 2026. ChatGPT-Quellen: OpenAI Enterprise Privacy¹ und Data Residency². Prüfe die aktuellen Bedingungen für dein Konto mit OpenAI und deiner Datenschutzbeauftragten.

Kurz gesagt: Die Tarife, zu denen man zuerst greift (Free und Plus), eignen sich am schlechtesten für personenbezogene Daten, und die konformen ChatGPT-Setups (Business, Enterprise, API) brauchen einen AVV, das Training-Opt-out und, für EU-Verarbeitung, Enterprise oder die API. Superkind beginnt auf der europäischen Seite von all dem.

Beispiele: ChatGPT und die DSGVO in der Praxis

Fünf realistische Aufbauten, vom ganzen Team in Europa bis zum eigenen API-Tool. Jeder zeigt, was du tun müsstest, um konform zu bleiben.

1. Das ganze Team arbeitet DSGVO-konform mit Superkind

Nadine im Support schreibt Superkind in Teams: „Entwirf eine Antwort auf die Beschwerde von Frau Berger.“ Superkind holt den Fall aus dem CRM, entwirft die Antwort mit deiner Richtlinie und fragt Nadine um Freigabe, bevor etwas rausgeht. Die personenbezogenen Daten werden die ganze Zeit in Europa verarbeitet, es gibt kein Training damit, und der AVV ist über das Trust Center geregelt. Superkind arbeitet mit Modellen von OpenAI, Anthropic, Mistral und Google, in Europa verarbeitet, und verbindet über 1.500+ Integrationen wie HubSpot, Zendesk und Outlook. Wie das im Kundenservice läuft, zeigt der KI-Kundenservice. Stand Oktober 2026 startest du kostenlos mit einmalig bis zu 150 Euro Guthaben.

2. Eine Person mit ChatGPT Plus

Die Inhaberin nutzt ChatGPT Plus, um Angebote und E-Mails für 20 US-Dollar im Monat zu entwerfen¹. Für allgemeinen Text ist das in Ordnung, aber Plus ist ein Privatkonto ohne AVV für Unternehmen, und OpenAI darf auf den Chats trainieren, solange das Training nicht abgeschaltet ist. Für eine Kundenliste, eine Rechnung oder einen Personalvorgang ist das der falsche Ort.

3. Ein kleines Team mit ChatGPT Business

Fünf Kolleginnen bekommen ChatGPT-Business-Plätze. Business schließt Geschäftsdaten standardmäßig vom Training aus und gibt dir einen AVV, lässt sich also mit personenbezogenen Daten nutzen, sobald du den AVV abschließt und die Einstellungen setzt¹³. Offen bleibt der Verarbeitungsort: Business hat keine EU-Datenhaltung, die Daten werden also weiterhin überwiegend in den USA verarbeitet, was deine Datenschutzbeauftragte bewerten muss.

4. ChatGPT Enterprise mit EU-Datenhaltung

Eine größere Organisation richtet einen neuen ChatGPT-Enterprise-Workspace mit EU-Datenhaltung ein, schließt den AVV ab, macht eine DSFA und ergänzt eine KI-Kompetenz-Schulung²⁸⁹. Das ist der vollständigste ChatGPT-Weg für personenbezogene Daten, aber ein verhandelter Jahresvertrag, und die Datenhaltung gilt nur für neue Workspaces.

5. Dein eigenes API-Tool mit EU-Datenhaltung

Ein selbstgebautes Tool sortiert eingehende E-Mails über die OpenAI-API mit EU-Datenhaltung pro Projekt und ohne Datenspeicherung². Training ist standardmäßig ausgeschlossen und du bekommst einen AVV, aber du baust, betreibst und dokumentierst das Tool selbst - und die Rechtsgrundlage, das Verzeichnis und die DSFA bleiben bei dir.

Was DSGVO-konforme KI braucht (und was sie kostet)

Welches Tool du auch wählst, die DSGVO gibt dir dieselbe kurze Checkliste. Nichts davon ist in einem Chat-Tarif automatisch dabei.

• Eine Rechtsgrundlage - benenne deine Grundlage nach Art. 6 für jede Nutzung und eine zusätzliche Grundlage nach Art. 9 für besondere Kategorien wie Gesundheits- oder Gewerkschaftsdaten⁵⁶.
• Einen Auftragsverarbeitungsvertrag - schließe den AVV mit dem Anbieter ab, bevor personenbezogene Daten reingehen. Verfügbar bei ChatGPT Business, Enterprise und der API und über das Trust Center bei Superkind¹³.
• Bekannter Verarbeitungsort - wisse, wo die Daten verarbeitet werden. EU-Datenhaltung bei ChatGPT Enterprise und der API; bei Superkind standardmäßig in Europa².
• Kein Training mit deinen Daten - schalte das Training im Privat-ChatGPT ab; bei den Business-Tarifen standardmäßig ausgeschlossen und bei Superkind nie gemacht¹⁴.
• Verzeichnis und DSFA - trage die Verarbeitung ein (Art. 30) und mach eine DSFA (Art. 35), wo das Risiko hoch ist⁷⁸.
• KI-Kompetenz - schule die Mitarbeitenden und setze Regeln nach Art. 4 des EU AI Act⁹.

Datenschutz und EU-Hosting

Bei einer Support-Antwort mit Kundenname und Bestellung, einem CRM voller Kontaktdaten oder einer Rechnung mit Personendetails sind der Verarbeitungsort und der AVV entscheidend. Superkind hält diese personenbezogenen Daten standardmäßig in Europa, du verbringst deine Zeit also mit Rechtsgrundlage und Verzeichnis, nicht damit, die Daten aus den USA zurückzuholen.

Was Superkind kostet

Stand: Oktober 2026. Preise zzgl. MwSt., für das ganze Unternehmen mit unbegrenzt vielen Nutzern.

• Free - 0 Euro mit einmalig bis zu 150 Euro Guthaben zum Start. Keine Kreditkarte, kein Vertriebsgespräch, jede Funktion und jede Verbindung, in Slack, Teams, E-Mail und der App, in der EU gehostet.
• Business - ab 50 Euro pro Monat für 25.000 Credits. 100 Euro für 50.000 Credits ist die beliebte Stufe, dann 200 und 500 Euro. Kein Preis pro Platz, nicht genutzte Credits verfallen erst nach einem Monat, eigene Apps inklusive, monatlich kündbar.
• Enterprise - individueller Preis für dein Volumen, dedizierter Support mit SLA, SSO/SCIM und Audit-Log, ein AVV und Hilfe beim Security-Review, Zahlung per Rechnung.
• Was Credits kaufen - eine Frage nutzt 10-50 Credits, eine Aufgabe 50-500 Credits und ein Lauf deines eigenen Agenten 1.000-5.000 Credits. 100 Euro decken bis zu 1.000 Aufgaben oder 5.000 Fragen.

So fängst du an

Die Grundregeln kannst du an einem Nachmittag setzen. Drei Schritte:

Von der ersten Aufgabe zur eigenen App

Mit Superkind bleiben die Daten von der ersten Aufgabe bis zur App, die du später baust, in Europa. Vier Stufen, am Support-Beispiel von oben:

1. 1

   In Minuten startklar

   Kostenlos anmelden mit bis zu 150 Euro Guthaben, die erste Aufgabe in Teams, Slack oder per E-Mail geben („Entwirf eine Antwort auf die Beschwerde von Frau Berger“) und zusehen, wie sie erledigt wird, mit den personenbezogenen Daten in Europa verarbeitet.

2. 2

   Aus Aufgaben werden Abläufe

   Was du einmal erklärst, läuft als Routine weiter, zum Beispiel jede Lieferbeschwerde entworfen und dir gemeldet. Bevor etwas rausgeht, fragt Superkind nach Freigabe.

3. 3

   Lernt ab Tag 1 mit

   Jede Aufgabe macht Superkind schlauer. Deine Richtlinien, früheren Tickets und dein Tonfall landen in deinem Company Brain, und dieses Wissen geht nie verloren, auch wenn Leute gehen.

4. 4

   Deine eigene App, ohne neu anzufangen

   Wenn der Support komplexer wird, baust du eigene Lösungen, Apps und Integrationen auf der Plattform, auf dem, was Superkind schon weiß, zum Beispiel deine eigene Beschwerde-App mit eigenen Freigaben: deine Super App. Selbst gebaut oder mit uns. Alles gehört euch.

Fazit

ChatGPT ist nicht ab Werk DSGVO-konform, lässt sich aber konform nutzen: Nimm ChatGPT Business, Enterprise oder die API für einen AVV und ein Training-Opt-out, nutze Enterprise oder die API für EU-Datenhaltung und behalte Rechtsgrundlage, Verzeichnis und DSFA auf deiner Seite. Die Privat-Tarife sind der falsche Ort für Kunden- oder Personaldaten. Wenn die personenbezogenen Daten ab der ersten Aufgabe ohne diese Einrichtungsarbeit in Europa bleiben sollen: Superkind wird in Europa gehostet, trainiert nie mit deinen Daten, stellt den AVV über das Trust Center bereit und erledigt die Aufgabe in Outlook, Teams, Slack, DATEV oder deinem CRM über 1.500+ Integrationen (Stand: Oktober 2026). Schreib diese Woche die Regel fürs Team auf, dann schick Superkind eine echte Aufgabe und vergleiche.

Häufige Fragen

Henri Jung

Mitgründer von Superkind, dem KI-Mitarbeiter, dem Teams in Outlook, Teams und Slack schreiben. Henri hilft Unternehmen, vom kleinen Team bis zum Mittelstand, ihre Routinearbeit an KI abzugeben - ohne neue Tools, Berater oder eigenes KI-Team.