ChatGPT und Daten­schutz – wie sicher sind Ihre Daten wirk­lich?

• ChatGPT ist ein leis­tungs­star­kes KI-Tool zur Text­ver­ar­bei­tung, das auch sen­si­ble Inhal­te ver­ar­bei­ten kann, aber nicht zwangs­läu­fig daten­schutz­kon­form ist.
• Ob die Nut­zung daten­schutz­kon­form ist hängt von der ver­wen­de­ten Ver­si­on, den Daten­schutz­ein­stel­lun­gen und der Art der ein­ge­ge­be­nen Daten ab.
• Per­so­nen­be­zo­ge­ne und beson­ders schüt­zens­wer­te Daten (z. B. Gesund­heits­da­ten) soll­ten grund­sätz­lich nicht ohne eine kla­re Rechts­grund­la­ge ein­ge­ge­ben wer­den.
• Die Daten­schutz-Grund­ver­ord­nung (DSGVO) regelt, wann und wie Daten ver­wen­det wer­den dür­fen, ein­schließ­lich Transparenz‑, Zweck­bin­dungs- und Sicher­heits­an­for­de­run­gen.
• Gesund­heits­dienst­leis­ter haben eine beson­de­re Ver­ant­wor­tung beim Ein­satz von KI-Tools wie ChatGPT.
• Wer ChatGPT nutzt, soll­te kla­re inter­ne Richt­li­ni­en, tech­ni­sche Vor­keh­run­gen und ggf. eine daten­schutz­kon­for­me Lizenz­lö­sung prü­fen.

ChatGPT ist ein KI-gestütz­ter Text­ge­ne­ra­tor von Ope­nAI, der Nut­zer­ein­ga­ben ana­ly­siert und dar­auf basie­rend pas­sen­de Ant­wor­ten erzeugt. Die Ein­satz­ge­bie­te rei­chen von der Erstel­lung von E‑Mails und Tex­ten über Recher­che bis hin zu ers­ten medi­zi­ni­schen oder juris­ti­schen Anwen­dungs­fäl­len.

Wich­tig zu wis­sen:
Nicht jede ChatGPT-Ver­si­on bie­tet den glei­chen Daten­schutz. Ein­ge­ge­be­ne Daten wer­den pseud­ony­mi­siert, das heißt, sie kön­nen grund­sätz­lich noch ein­zel­nen Benut­zer­kon­ten zuge­ord­net wer­den. Die frei zugäng­li­che Web-Ver­si­on kann die Daten zudem zur Ver­bes­se­rung des Modells ver­wen­den, sofern die­se Opti­on nicht in den Ein­stel­lun­gen deak­ti­viert wur­de.

Die größ­te Stär­ke von ChatGPT ist gleich­zei­tig die größ­te Her­aus­for­de­rung: die Ver­ar­bei­tung kom­ple­xer, oft per­sön­li­cher Inhal­te. Wer Daten ein­gibt, die Rück­schlüs­se auf Per­so­nen oder geschütz­te Infor­ma­tio­nen zulas­sen, setzt sich daten­schutz­recht­li­chen Risi­ken aus.

Bei­spie­le für pro­ble­ma­ti­sche Ein­ga­ben:

• Namen, Adres­sen oder Geburts­da­ten
• Gesund­heits­in­for­ma­tio­nen (Dia­gno­sen, The­ra­pien etc.)
• Inter­na aus Unter­neh­men oder Pro­jek­ten
• Kunden‑, Man­dan­ten- oder Pati­en­ten­da­ten

ChatGPT kann im beruf­li­chen Umfeld auf viel­fäl­ti­ge Wei­se ein­ge­setzt wer­den: Es unter­stützt beim Ver­fas­sen von E‑Mails, bei der Recher­che, bei der Ent­wick­lung von Mar­ke­ting­tex­ten oder bei der Ana­ly­se kom­ple­xer Sach­ver­hal­te. Vie­le Unter­neh­men nut­zen ChatGPT inzwi­schen als Ersatz für klas­si­sche Such­ma­schi­nen oder als intel­li­gen­ten Text­as­sis­ten­ten.

Doch auch wenn die Ver­wen­dung Zeit spart, birgt sie erheb­li­che Daten­schutz­ri­si­ken, wenn nicht klar gere­gelt ist, wel­che Infor­ma­tio­nen ein­ge­ge­ben wer­den dür­fen und wel­che nicht. Oft feh­len inter­ne Richt­li­ni­en, geschul­te Mit­ar­bei­ten­de oder ein grund­le­gen­des Ver­ständ­nis dafür, wie ChatGPT mit sen­si­blen Daten umgeht.

Pro­ble­ma­tisch ist die Annah­me, das Tool sei „pri­vat“ oder „ver­trau­lich“. Die ein­ge­ge­be­nen Daten ver­las­sen in der Regel den eige­nen Ver­ant­wor­tungs­be­reich und wer­den auf exter­nen Ser­vern ver­ar­bei­tet, häu­fig außer­halb der Euro­päi­schen Uni­on. Bei Enter­pri­se- und Team­ver­sio­nen lässt sich der Spei­cher­ort der Daten kon­fi­gu­rie­ren und auf EU-Ser­ver beschrän­ken.

Eine zen­tra­le Fra­ge beim Daten­schutz rund um ChatGPT ist: Was geschieht mit den ein­ge­ge­be­nen Daten? Ope­nAI kom­mu­ni­ziert inzwi­schen trans­pa­ren­ter als zu Beginn, den­noch blei­ben vie­le Fra­gen offen oder schwer ver­ständ­lich, vor allem für Per­so­nen ohne Daten­schutz-Hin­ter­grund.

Grund­sätz­lich wer­den bei der frei ver­füg­ba­ren Ver­si­on von ChatGPT (Free oder Plus) Nut­zer­ein­ga­ben zur Ver­bes­se­rung des Modells genutzt, also zum Trai­ning künf­ti­ger Ver­sio­nen. Die­se Nut­zung kann zwar in den Ein­stel­lun­gen deak­ti­viert wer­den, doch vie­le Anwen­der sind sich des­sen nicht bewusst. Nur bei spe­zi­ell lizen­zier­ten Ver­sio­nen wie „ChatGPT Team“ oder „Enter­pri­se“ wird zuge­si­chert, dass kei­ne Daten zu Trai­nings­zwe­cken ver­wen­det wer­den.

Für den Daten­schutz pro­ble­ma­tisch ist auch, dass die Daten­ver­ar­bei­tung über­wie­gend in den USA statt­fin­det. Die USA gel­ten laut DSGVO als Dritt­land mit ein­ge­schränk­tem Daten­schutz­ni­veau. Der Daten­trans­fer basiert der­zeit auf dem Trans-Atlan­tic Data Pri­va­cy Frame­work, das aller­dings recht­lich als umstrit­ten gilt.

Die Daten­schutz­pro­ble­ma­tik bei KI-Sys­te­men wie ChatGPT ist kom­plex und aktu­ell. In Ita­li­en wur­de 2023 die Ver­wen­dung tem­po­rär ver­bo­ten, nach­dem bekannt wur­de, dass per­so­nen­be­zo­ge­ne Infor­ma­tio­nen aus Nut­zer-Chats unbe­ab­sich­tigt ein­seh­bar waren. Auch in Deutsch­land beschäf­ti­gen sich die Auf­sichts­be­hör­den inten­siv mit dem The­ma.

Die DSGVO for­dert Trans­pa­renz, Zweck­bin­dung und Daten­spar­sam­keit. Die­se Anfor­de­run­gen sind bei einem kom­ple­xen, intrans­pa­ren­ten Sys­tem wie ChatGPT jedoch kaum voll­stän­dig erfüll­bar – ins­be­son­de­re wenn Infor­ma­tio­nen ver­ar­bei­tet wer­den, die Rück­schlüs­se auf Per­so­nen, Kun­den­da­ten oder inter­ne Unter­neh­mens­pro­zes­se zulas­sen.

Die DSGVO setzt kla­re Maß­stä­be: Per­sön­li­che Daten dür­fen nur ver­ar­bei­tet wer­den, wenn eine recht­li­che Grund­la­ge besteht, bei­spiels­wei­se eine Ein­wil­li­gung oder ein berech­tig­tes Inter­es­se. Bei­des ist bei ChatGPT schwer sicher­zu­stel­len, da Nut­zer oft nicht wis­sen, wel­che Daten wohin über­mit­telt wer­den.

Für Unter­neh­men bedeu­tet das: Namen, Adres­sen, Geburts­da­ten, Dia­gno­sen oder Geschäfts­ge­heim­nis­se haben in einem Chat­ver­lauf mit KI nichts zu suchen, auch nicht „aus Ver­se­hen“. Ver­stö­ße gegen die DSGVO kön­nen Buß­gel­der, Repu­ta­ti­ons­schä­den und juris­ti­sche Kon­se­quen­zen nach sich zie­hen.

Im medi­zi­ni­schen Bereich ist beson­de­re Vor­sicht gebo­ten. Kran­ken­häu­ser, Arzt­pra­xen, Apo­the­ken oder Pfle­ge­ein­rich­tun­gen arbei­ten mit hoch­sen­si­blen Daten, dar­un­ter Gesund­heits­in­for­ma­tio­nen, die laut DSGVO beson­ders geschützt sind.

Obwohl KI-Sys­te­me wie ChatGPT poten­zi­el­le Effi­zi­enz­vor­tei­le bie­ten, bei­spiels­wei­se bei der Doku­men­ta­ti­on, Ter­min­or­ga­ni­sa­ti­on oder dem Ent­wurf von Pati­en­ten­in­for­ma­tio­nen, ist ihre Nut­zung recht­lich kom­plex. Ohne daten­schutz­kon­for­me Rah­men­be­din­gun­gen ris­kie­ren Ein­rich­tun­gen Ver­stö­ße gegen die ärzt­li­che Schwei­ge­pflicht oder das Pati­en­ten­da­ten­schutz­ge­setz.

Die Inte­gra­ti­on von ChatGPT in Geschäfts­pro­zes­se bringt zwei­fel­los Effi­zi­enz­ge­win­ne, birgt jedoch auch eine Rei­he von daten­schutz­recht­li­chen Risi­ken, die häu­fig unter­schätzt wer­den. Beson­ders wenn Unter­neh­men ChatGPT ohne struk­tu­rier­te Ein­füh­rung oder tech­ni­sches Hin­ter­grund­wis­sen ein­set­zen, steigt die Gefahr von Ver­stö­ßen gegen die DSGVO erheb­lich.

Typi­sche Risi­ken:

• Ein­ga­be per­so­nen­be­zo­ge­ner oder sen­si­bler Daten: Kun­den­na­men, Adres­sen, Pro­jekt­in­hal­te oder ande­re iden­ti­fi­zier­ba­re Infor­ma­tio­nen wer­den ohne Prü­fung in das Sys­tem ein­ge­ge­ben.
• Ver­ar­bei­tung von Gesund­heits­da­ten: Dia­gno­sen, The­ra­pie­ver­läu­fe oder per­sön­li­che Pati­en­ten­de­tails wer­den ein­ge­ge­ben, obwohl sie unter die beson­ders schüt­zens­wer­ten Daten nach DSGVO fal­len.
• Unkon­trol­lier­te Daten­wei­ter­ga­be an Drit­te: Ein­ga­ben wer­den ohne ver­trag­li­che Absi­che­rung an exter­ne Anbie­ter wie Ope­nAI oder Dritt­platt­for­men wie Micro­soft Copi­lot über­mit­telt.
• Man­geln­de Trans­pa­renz bei der Daten­ver­ar­bei­tung: Es ist unklar, wo und wie die Daten gespei­chert, ver­ar­bei­tet oder ggf. für Trai­nings­zwe­cke genutzt wer­den.
• Feh­len­de recht­li­che Absi­che­rung: Die Nut­zung erfolgt ohne Auf­trags­ver­ar­bei­tungs­ver­trag (AVV) oder daten­schutz­kon­for­me Lizenz­lö­sung, etwa über „ChatGPT Enter­pri­se“.
• Urhe­ber­recht­li­che Unsi­cher­heit: Gene­rier­te Inhal­te kön­nen unbe­ab­sich­tigt urhe­ber­recht­lich geschütz­tes Mate­ri­al ent­hal­ten und zu recht­li­chen Pro­ble­men füh­ren.
• Fal­sche oder irre­füh­ren­de Ergeb­nis­se: ChatGPT lie­fert inhalt­lich feh­ler­haf­te Aus­sa­gen, die unbe­merkt über­nom­men oder wei­ter­ver­ar­bei­tet wer­den.
• Feh­len­de inter­ne Vor­ga­ben und Schu­lun­gen: Ohne kla­re Richt­li­ni­en oder Sen­si­bi­li­sie­rung der Mit­ar­bei­ten­den steigt das Risi­ko für Daten­schutz­ver­stö­ße erheb­lich.

Hin­weis: Im Gesund­heits­we­sen gel­ten neben der DSGVO zusätz­lich noch stren­ge­re Rege­lun­gen zum Schutz von Gesund­heits­da­ten (Beson­de­re Kate­go­rien per­so­nen­be­zo­ge­ner Daten gemäß Art. 9 DSGVO). Das macht die daten­schutz­kon­for­me Nut­zung von ChatGPT hier beson­ders anspruchs­voll.

Der Schlüs­sel liegt in einer guten orga­ni­sa­to­ri­schen Vor­be­rei­tung und tech­ni­schen Kon­trol­le. Bevor KI-Tools wie ChatGPT im Arbeits­all­tag ein­ge­setzt wer­den, müs­sen Unter­neh­men kla­re Pro­zes­se und Regel­wer­ke eta­blie­ren.

Emp­feh­lun­gen:

• Ver­mei­dung per­so­nen­be­zo­ge­ner Daten in Ein­ga­ben (Prompts).
• Kei­ne direk­ten Ein­ga­ben sen­si­bler Gesund­heits­da­ten.
• Nut­zung von ChatGPT über die API mit deak­ti­vier­ter Daten­spei­che­rung.
• Abschluss eines Auf­trags­ver­ar­bei­tungs­ver­trags (AVV) mit Ope­nAI.
• Lösun­gen mit EU-Hos­ting, deak­ti­vier­tem Modell­trai­ning sind zu bevor­zu­gen.
• Schrift­li­che Nut­zungs­richt­li­ni­en (z. B. Beschäf­ti­gungs­leit­fä­den) für Mit­ar­bei­ten­de.
• Regel­mä­ßi­ge Daten­schutz­selbst­in­spek­tio­nen und KI-Checks.

Bei der Nut­zung von ChatGPT im Kun­den­kon­takt – etwa im Chat­bot, Sup­port, Gesund­heits­we­sen oder im Mar­ke­ting – gel­ten beson­de­re Anfor­de­run­gen an die Trans­pa­renz­pflich­ten nach DSGVO.

Pflich­ten:

• Nut­zer müs­sen klar über die Ver­wen­dung von KI infor­miert wer­den – ein­schließ­lich des Zwecks, der Daten­ar­ten, des Spei­cher­orts und des Ver­ant­wort­li­chen. (Art. 13 und 14 DSGVO)
• Das Unter­neh­men muss die Rech­te der Betrof­fe­nen gewähr­leis­ten:
  • Aus­kunft über gespei­cher­te Daten
  • Berich­ti­gung oder Löschung
  • Wider­spruch gegen auto­ma­ti­sier­te Ent­schei­dun­gen
  • Recht auf Daten­über­trag­bar­keit

Micro­soft Copi­lot wird als KI-Tool häu­fig ein­ge­setzt, jedoch ist die voll­stän­di­ge Daten­kon­trol­le oft ein­ge­schränkt. ChatGPT bie­tet mehr Kon­troll­mög­lich­kei­ten, etwa durch deak­ti­vier­te Daten­spei­che­rung, ist jedoch kei­ne unein­ge­schränk­te Lösung.

Die kom­men­de EU AI-Ver­ord­nung wird den Ein­satz von KI-Sys­te­men in sen­si­blen Berei­chen wie dem Gesund­heits­we­sen zusätz­lich regu­lie­ren. Unter­neh­men und Gesund­heits­ein­rich­tun­gen soll­ten früh­zei­tig die Wei­chen für eine trans­pa­ren­te, siche­re und ver­ant­wor­tungs­vol­le KI-Nut­zung stel­len.

Der Ein­satz von ChatGPT bie­tet gro­ße Chan­cen, jedoch nur bei ver­ant­wor­tungs­vol­lem und daten­schutz­kon­for­mem Umgang. Gera­de im Gesund­heits­we­sen, wo Ver­trau­lich­keit essen­zi­ell ist, dür­fen Daten­schutz und Sicher­heit nie­mals hin­ter dem Inno­va­ti­ons­druck zurück­blei­ben.

Ent­wi­ckeln Sie eine kla­re KI-Stra­te­gie, schu­len Sie Ihr Team, sor­gen Sie für Trans­pa­renz und Kon­trol­le und nut­zen Sie ChatGPT nur dann, wenn Sie die Daten­ver­ar­bei­tung voll­stän­dig ver­ste­hen und steu­ern kön­nen.

Der Ein­satz von ChatGPT in Unter­neh­men bie­tet vie­le Chan­cen, bringt aber auch beson­de­re daten­schutz­recht­li­che Anfor­de­run­gen mit sich. Daten­schutz ist dabei kei­ne ein­ma­li­ge Maß­nah­me, son­dern ein fort­lau­fen­der Pro­zess. Um sicher­zu­stel­len, dass die Nut­zung von ChatGPT und ande­ren KI-Sys­te­men rechts­kon­form bleibt und Daten­schutz­ri­si­ken mini­miert wer­den, unter­stützt Sie Daten­schutz­ex­per­te Michael Triesch, mit einer umfas­sen­den Bera­tung:

• Regel­mä­ßi­ge Daten­schutz­checks: Gemein­sam über­prü­fen wir kon­ti­nu­ier­lich, ob die Nut­zung von ChatGPT den gel­ten­den Daten­schutz­be­stim­mun­gen ent­spricht und ob Pro­zes­se ange­passt wer­den müs­sen, um Risi­ken zu mini­mie­ren.
• Manage­ment-Report­ing: Wir hel­fen Ihnen dabei, aus­sa­ge­kräf­ti­ge Berich­te zu erstel­len, die doku­men­tie­ren, wie der Daten­schutz bei der Ver­wen­dung von ChatGPT umge­setzt wird und wel­che Ver­bes­se­run­gen mög­lich sind.
• Schu­lun­gen und Leit­fä­den: Damit Ihre Mit­ar­bei­ten­den wis­sen, wie sie ChatGPT daten­schutz­ge­recht ein­set­zen kön­nen, stel­len wir ver­ständ­li­che Schu­lungs­un­ter­la­gen und pra­xis­na­he Leit­fä­den zur Ver­fü­gung.
• Daten­schutz-Selbst­aus­kunft: Mit prak­ti­schen Tools unter­stüt­zen wir Sie dabei, den Daten­schutz bei ChatGPT eigen­stän­dig zu über­prü­fen und trans­pa­rent dar­zu­stel­len, für mehr Sicher­heit und Nach­voll­zieh­bar­keit.
• Lang­fris­ti­ge Beglei­tung: Auch nach der Ein­füh­rung von ChatGPT blei­ben wir Ihr Ansprech­part­ner, um die Daten­schutz­stan­dards dau­er­haft zu gewähr­leis­ten und auf neue Anfor­de­run­gen fle­xi­bel zu reagie­ren.

Als erfah­re­ner Daten­schutz­ex­per­te kennt Michael Triesch die spe­zi­el­len Her­aus­for­de­run­gen bei der Inte­gra­ti­on von KI-Sys­te­men wie ChatGPT:

• Rechts­kon­for­me Nut­zung von KI: Wir sor­gen dafür, dass Ihr Unter­neh­men ChatGPT sicher und geset­zes­kon­form ein­setzt – unter Berück­sich­ti­gung aller Daten­schutz­vor­ga­ben.
• Pra­xis­ori­en­tier­te Bera­tung: Unse­re Emp­feh­lun­gen sind genau auf Ihre indi­vi­du­el­le Situa­ti­on zuge­schnit­ten und hel­fen, Daten­schutz und Inno­va­ti­ons­kraft in Ein­klang zu brin­gen.
• Ver­läss­li­cher Part­ner: Mit Michael Triesch haben Sie einen Exper­ten an Ihrer Sei­te, der Sie lang­fris­tig dabei unter­stützt, Daten­schutz bei ChatGPT trans­pa­rent und sicher zu gestal­ten.

ChatGPT bie­tet gro­ße Chan­cen, birgt aber auch erheb­li­che Daten­schutz­ri­si­ken, vor allem beson­ders im Gesund­heits­we­sen. Nur wer kla­re Regeln schafft, Mit­ar­bei­ten­de schult und tech­ni­sche Schutz­maß­nah­men nutzt, kann KI sicher und DSGVO-kon­form ein­set­zen. Daten­schutz ist kei­ne Hür­de, son­dern Vor­aus­set­zung für Ver­trau­en und nach­hal­ti­gen Erfolg. Ver­ant­wor­tungs­vol­le Nut­zung macht Inno­va­ti­on erst mög­lich.