Eine Mitarbeiterin hat personenbezogene Daten in ChatGPT eingegeben. Was tun wir jetzt?
Kurze Antwort
Ruhe bewahren und schnell handeln. Klären Sie, welche Daten an welchen Dienst mit welchem Tarif gegangen sind. Löschen Sie die Unterhaltung und schalten Sie das Training ab. Prüfen Sie, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt: Führt sie voraussichtlich zu einem Risiko für die Betroffenen, müssen Sie sie innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde melden. Ist das Risiko hoch, müssen auch die Betroffenen informiert werden. Dokumentieren Sie den Vorfall immer – auch wenn er nicht gemeldet werden muss – und lernen Sie daraus.
Was zählt bei der Bewertung?
| Erhöht das Risiko | Verringert das Risiko |
|---|---|
| Sensible Daten, Sozialversicherungs- oder Ausweisnummern, Kontonummern | Nur Namen und dienstliche E-Mail-Adressen |
| Viele Betroffene | Wenige Betroffene |
| Kostenloser Tarif mit Training | Business-Tarif ohne Training und mit AVV |
| Daten lassen sich nicht löschen | Die Unterhaltung ist gelöscht |
Besser vorbeugen
Mit GoalCube können Mitarbeitende KI mit echten Daten nutzen, weil die KI nur Codes sieht. Und rutscht doch ein Name in die Antwort der KI, erkennt das die Leck-Prüfung von GoalCube.
So gehen Sie vor
- Stoppen Sie weiteres Teilen.Bitten Sie die Mitarbeiterin, aufzuhören und einen Screenshot zu sichern.
- Klären Sie den Umfang.Welche Daten, wie viele Personen, welcher Dienst und welcher Tarif.
- Begrenzen Sie den Schaden.Unterhaltung löschen, Training abschalten und wenn möglich den Anbieter kontaktieren.
- Bewerten Sie das Risiko.Sensible Daten, Ausweisnummern oder viele Betroffene erhöhen das Risiko.
- Melden Sie, wenn ein Risiko besteht.An die zuständige Aufsichtsbehörde, innerhalb von 72 Stunden, nachdem Ihnen die Datenpanne bekannt wurde. In Deutschland ist das die Datenschutzbehörde Ihres Bundeslandes, in Österreich die Datenschutzbehörde (DSB), in Luxemburg die CNPD.
- Dokumentieren und daraus lernen.Jede Datenpanne muss intern dokumentiert werden. Passen Sie Richtlinie und Schulung an.
Das sagt das Gesetz
- Art. 33 DSGVO – Meldung an die Aufsichtsbehörde
- Innerhalb von 72 Stunden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko.
- Art. 34 DSGVO – Benachrichtigung der betroffenen Personen
- Bei einem hohen Risiko für die Rechte der Betroffenen.
Fragen und Antworten
Ist das immer eine Datenpanne?
Nicht immer. Gingen die Daten an einen Business-Tarif mit AVV, ist es vielleicht eher ein Fehler beim Zweck als eine Datenpanne. Prüfen Sie den Einzelfall.
Wie verhindern wir das beim nächsten Mal?
Eine gute Alternative: ein freigegebenes Tool, bei dem die KI nur Pseudonyme sieht. Dann ist es kein Problem, wenn Mitarbeitende echte Daten verwenden.
Quellen
Geschrieben von GoalCube-Redaktion. Zuletzt aktualisiert 11. Oktober 2026. GoalCube hilft Ihnen, die KI-Verordnung und die DSGVO einzuhalten. Es ist keine Rechtsberatung.
Seien Sie unter den Ersten.
Wir planen den Start im November 2026. Merken Sie sich vor, dann hören Sie von uns, sobald Sie loslegen können.