Dürfen wir ChatGPT, Claude oder Copilot mit personenbezogenen Daten nutzen?
Kurze Antwort
Ja, das kann zulässig sein – aber nur, wenn Sie eine Rechtsgrundlage haben, nur die nötigen Daten verwenden, einen Auftragsverarbeitungsvertrag (AVV) mit dem KI-Anbieter haben und Übermittlungen außerhalb der EU geregelt sind. Am sichersten ist es, die KI ohne die echten Namen arbeiten zu lassen: Pseudonymisieren Sie die Daten vor dem Versand und behalten Sie den Schlüssel bei sich in der EU. Pseudonymisierte Daten bleiben für Sie personenbezogene Daten.
Was sagt die DSGVO?
Die DSGVO verbietet KI nicht. Es gelten aber dieselben Regeln wie bei jeder anderen Nutzung personenbezogener Daten:
- Sie brauchen eine Rechtsgrundlage und einen klaren Zweck.
- Sie dürfen nur die Daten nutzen, die für die Aufgabe nötig sind (Datenminimierung).
- Verarbeitet der KI-Anbieter Daten für Sie, brauchen Sie einen Auftragsverarbeitungsvertrag (AVV).
- Gehen Daten in ein Land außerhalb der EU, braucht die Übermittlung eine besondere Grundlage.
Schwierig ist die Datenminimierung. Soll die KI Kundenanfragen sortieren, braucht sie, was der Kunde schreibt – nicht seinen Namen, seine E-Mail-Adresse, Telefon- und Kontonummer.
Lassen Sie die KI ohne die echten Namen arbeiten
Pseudonymisierung bedeutet: Namen, E-Mail-Adressen, ID-Nummern und andere Angaben werden durch feste Codes wie [PERSON_1] ersetzt, bevor die Daten an die KI gehen. Der Schlüssel bleibt bei Ihnen. Kommt die Antwort zurück, werden die echten Namen wieder eingesetzt – aber nur bei Ihnen.
So sieht es in GoalCube Data Vault aus. Links sind Ihre Daten, die in der EU bleiben. Rechts ist das, was die KI sieht.
| Kunde | Ort | Thema | |
|---|---|---|---|
| Katharina Wolf | katharina.wolf@beispiel.de | Freiburg | Rückerstattung |
| Felix Hoffmann | felix.hoffmann@beispiel.de | Regensburg | Lieferung |
| Sabine Huber | sabine.huber@example.com | Graz | Reklamation |
| Laura Schmit | laura.schmit@example.com | Esch-sur-Alzette | Lieferung |
| Stefan Gruber | stefan.gruber@beispiel.de | Münster | Rückerstattung |
Anfrage Guten Tag, mein Name ist Katharina Wolf. Ich habe die Bestellung 7012345678 vor zwei Wochen zurückgeschickt, aber noch kein Geld erhalten. Bitte überweisen Sie es auf DE45 7605 0000 1234 5678 90. Viele Grüße, Katharina
| Kunde | Ort | Thema | |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | [STED] | Rückerstattung |
| [PERSON_2] | [EMAIL_2] | [STED] | Lieferung |
| [PERSON_3] | [EMAIL_3] | [STED] | Reklamation |
| [PERSON_4] | [EMAIL_4] | [STED] | Lieferung |
| [PERSON_5] | [EMAIL_5] | [STED] | Rückerstattung |
Anfrage Guten Tag, mein Name ist [PERSON_1]. Ich habe die Bestellung [ID_1] vor zwei Wochen zurückgeschickt, aber noch kein Geld erhalten. Bitte überweisen Sie es auf [IBAN_1]. Viele Grüße, [PERSON_1]
Katharina Wolf und Stefan Gruber warten auf eine Rückerstattung und sollten heute eine Antwort bekommen. Laura Schmit wartet seit 10 Tagen auf ein Paket. Antwortvorschlag an Katharina Wolf: "Guten Tag Katharina Wolf, vielen Dank für Ihre Geduld. Das Geld ist unterwegs und innerhalb von 5 Werktagen auf Ihrem Konto."
[PERSON_1] und [PERSON_5] warten auf eine Rückerstattung und sollten heute eine Antwort bekommen. [PERSON_4] wartet seit 10 Tagen auf ein Paket. Antwortvorschlag an [PERSON_1]: "Guten Tag [PERSON_1], vielen Dank für Ihre Geduld. Das Geld ist unterwegs und innerhalb von 5 Werktagen auf Ihrem Konto."
| Kandidat | Geboren | ID-Nummer | Arbeitgeber | Erfahrung |
|---|---|---|---|---|
| Claudia Neumann | 1985-03-12 | 47036892816 | Schwarzwald Holz GmbH | 12 |
| Daniel Krüger | 1992-11-02 | 58217430965 | Weser Logistik GmbH | 4 |
| Andrea Steiner | 1988-06-21 | 3847 210688 | Steirische Metallwerke GmbH | 9 |
| Matthias Becker | 1979-01-30 | 71938046250 | Rheinpharma AG | 18 |
Lebenslauf Claudia Neumann arbeitet seit 12 Jahren mit Budgetplanung und Monatsberichten bei der Schwarzwald Holz GmbH. Sie hat ein neues ERP-System eingeführt und leitet ein Team von drei Personen. Kontakt: claudia.neumann@beispiel.de.
| Kandidat | Geboren | ID-Nummer | Arbeitgeber | Erfahrung |
|---|---|---|---|---|
| [PERSON_1] | 40–49 Jahre | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 Jahre | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 Jahre | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 Jahre | [ID_4] | [VIRKSOMHED_4] | 18 |
Lebenslauf [PERSON_1] arbeitet seit 12 Jahren mit Budgetplanung und Monatsberichten bei der [VIRKSOMHED_1]. Sie hat ein neues ERP-System eingeführt und leitet ein Team von drei Personen. Kontakt: [EMAIL_1].
Claudia Neumann und Andrea Steiner haben mehr als 5 Jahre Erfahrung und sollten zum Gespräch eingeladen werden; fragen Sie Andrea Steiner nach Erfahrung mit ERP-Systemen. Daniel Krüger hat 4 Jahre Erfahrung; gefordert sind 5. Die Entscheidung trifft ein Mensch.
[PERSON_1] und [PERSON_3] haben mehr als 5 Jahre Erfahrung und sollten zum Gespräch eingeladen werden; fragen Sie [PERSON_3] nach Erfahrung mit ERP-Systemen. [PERSON_2] hat 4 Jahre Erfahrung; gefordert sind 5. Die Entscheidung trifft ein Mensch.
| Lieferant | Ansprechpartner | Konto | Läuft aus |
|---|---|---|---|
| Allgäu Komponenten GmbH | Jürgen Maier | DE85 2004 0000 0628 7411 90 | 2027-01-31 |
| Donau Cloud GmbH | Petra Leitner | AT97 2011 1837 5400 1234 | 2026-12-31 |
| Neckar Präzisionstechnik GmbH | Simon Fischer | DE03 6005 0101 7492 0461 35 | 2028-06-30 |
| Lausitzer Verpackung GmbH | Nicole Braun | DE61 7905 0000 3581 9462 70 | 2027-03-31 |
Konditionen Allgäu Komponenten liefert Spezialkomponenten für Projekt Bergkristall. Der Preis wird jährlich um den Verbraucherpreisindex plus 3 % angepasst. Die Haftung ist auf 10 % des jährlichen Vertragswerts begrenzt. Bei Änderungen wenden Sie sich an Jürgen Maier.
| Lieferant | Ansprechpartner | Konto | Läuft aus |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Konditionen [VIRKSOMHED_1] liefert Spezialkomponenten für [PROJEKT_1]. Der Preis wird jährlich um den Verbraucherpreisindex plus 3 % angepasst. Die Haftung ist auf 10 % des jährlichen Vertragswerts begrenzt. Bei Änderungen wenden Sie sich an [PERSON_1].
Der Vertrag mit Allgäu Komponenten GmbH verlängert sich automatisch, wenn er nicht bis zum 31. Oktober gekündigt wird. Er ist wichtig für ein internes Projekt, also verhandeln Sie lieber den Preis neu, statt zu kündigen. Der Vertrag mit Lausitzer Verpackung GmbH verlängert sich ebenfalls automatisch; die Frist ist der 31. Dezember.
Der Vertrag mit [VIRKSOMHED_1] verlängert sich automatisch, wenn er nicht bis zum 31. Oktober gekündigt wird. Er ist wichtig für ein internes Projekt, also verhandeln Sie lieber den Preis neu, statt zu kündigen. Der Vertrag mit [VIRKSOMHED_4] verlängert sich ebenfalls automatisch; die Frist ist der 31. Dezember.
Fiktive Daten. Zeigen Sie auf einen Namen oder ein Pseudonym, um zu sehen, was zusammengehört.
Beachten Sie, dass auch das Geschlecht neutral geschrieben wird. Es ist für die Aufgabe selten relevant und darf eine Bewertung nicht beeinflussen.
Probieren Sie es selbst
Schreiben oder fügen Sie einen Text ein. Ergänzen Sie eigene geheime Begriffe – etwa einen Projektnamen oder einen wichtigen Kunden – und sehen Sie, was die KI bekommen würde.
Was Pseudonymisierung nicht löst
Pseudonymisierung ist ein starkes Werkzeug, löst aber nicht alles:
- Die Daten bleiben für Sie personenbezogene Daten. Sie brauchen weiterhin Rechtsgrundlage, Verträge und geregelte Löschung.
- Freitext kann eine Person verraten. „Unsere einzige Ingenieurin in Rosenheim“ ist auch ohne Namen erkennbar. GoalCube zeigt deshalb für jeden Eintrag ein Wiedererkennungsrisiko.
- Die KI kann sich weiterhin irren. Entscheidungen über Menschen muss ein Mensch treffen – siehe den Artikel zur menschlichen Entscheidung nach Art. 22 DSGVO.
So gehen Sie vor
- Halten Sie die Nutzung fest.Wobei soll die KI helfen, und welche Daten braucht sie? Das ist der erste Schritt – für die DSGVO wie für die KI-Verordnung.
- Prüfen Sie Rechtsgrundlage und Zweck.Sie brauchen eine Rechtsgrundlage für die Verarbeitung, und der neue Zweck muss zu dem passen, wofür die Daten erhoben wurden.
- Prüfen Sie den KI-Anbieter.Haben Sie einen AVV? Nutzt der Anbieter Ihre Daten, um seine Modelle zu trainieren? Wo werden die Daten verarbeitet?
- Entfernen Sie, was die KI nicht braucht.Namen, E-Mail-Adressen, ID-Nummern, Kontonummern und Adressen sind selten nötig, um die Aufgabe zu lösen. Ersetzen Sie sie vor dem Versand durch Pseudonyme.
- Behalten Sie den Schlüssel in der EU.Zeigen Sie die echten Namen nur bei sich, etwa wenn die Antwort der KI zurückkommt.
- Denken Sie an eine Datenschutz-Folgenabschätzung.Bewertet die KI etwa Bewerbende oder Mitarbeitende systematisch, kann eine Datenschutz-Folgenabschätzung (DSFA) Pflicht sein.
Das sagt das Gesetz
- Art. 5 DSGVO – Grundsätze
- Unter anderem Zweckbindung und Datenminimierung: Nutzen Sie nur die Daten, die für den Zweck nötig sind.
- Art. 4 Nr. 5 und Erwägungsgrund 26 DSGVO – Pseudonymisierung
- Daten, die ohne einen gesondert aufbewahrten Schlüssel keiner Person zugeordnet werden können. Wer den Schlüssel hat, verarbeitet weiterhin personenbezogene Daten.
- Art. 25 und 32 DSGVO – Datenschutz durch Technikgestaltung und Sicherheit
- Pseudonymisierung wird ausdrücklich als Maßnahme genannt, die die betroffenen Personen schützen kann.
- Art. 28 DSGVO – Auftragsverarbeiter
- Verarbeitet ein Anbieter personenbezogene Daten für Sie, braucht es einen Auftragsverarbeitungsvertrag (AVV).
- Art. 35 DSGVO – Datenschutz-Folgenabschätzung
- Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko mit sich bringt, etwa bei systematischer Bewertung von Personen.
- Art. 44 DSGVO – Übermittlungen außerhalb der EU
- Personenbezogene Daten dürfen nur auf einer besonderen Grundlage in Länder außerhalb von EU/EWR gehen, etwa mit einem Angemessenheitsbeschluss oder Standardvertragsklauseln.
Fragen und Antworten
Sind pseudonymisierte Daten anonym?
Nein. Solange jemand – etwa Sie selbst – den Schlüssel zu den echten Namen hat, bleiben die Daten personenbezogene Daten im Sinne der DSGVO. Pseudonymisierung senkt das Risiko, befreit Sie aber nicht von den Regeln.
Dürfen wir einen Lebenslauf direkt in ChatGPT einfügen?
Mit einer Rechtsgrundlage und einem Vertrag mit dem Anbieter kann das zulässig sein. Ein Lebenslauf enthält aber viel, was die KI nicht braucht: Name, Adresse, Alter und oft das Geschlecht. Genau diese Angaben können eine Bewertung beeinflussen. Entfernen Sie sie vorher oder ersetzen Sie sie durch Pseudonyme.
Trainiert die KI mit unseren Daten?
Das hängt vom Dienst und Ihrem Vertrag ab. Viele Business-Versionen nutzen Kundendaten standardmäßig nicht zum Training – prüfen Sie das aber für Ihren eigenen Vertrag und Ihre Einstellungen.
Was, wenn der Anbieter außerhalb der EU sitzt?
Dann braucht die Übermittlung eine besondere Grundlage. Mit Pseudonymisierung in der EU verlassen die echten Namen die EU gar nicht – die KI bekommt nur Pseudonyme.
Gilt das auch für vertrauliche Geschäftsdaten?
Die DSGVO gilt nur für personenbezogene Daten, aber dieselbe Methode schützt auch Kundennamen, Verträge, Preise und interne Projektnamen. In GoalCube können Sie eigene geheime Begriffe festlegen, die immer ausgeblendet werden.
Quellen
- Verordnung (EU) 2016/679 (DSGVO) auf EUR-Lex
- Europäischer Datenschutzausschuss (EDSA): die nationalen Datenschutzbehörden (Englisch)
Geschrieben von GoalCube-Redaktion. Zuletzt aktualisiert 11. Oktober 2026. GoalCube hilft Ihnen, die KI-Verordnung und die DSGVO einzuhalten. Es ist keine Rechtsberatung.
Seien Sie unter den Ersten.
Wir planen den Start im November 2026. Merken Sie sich vor, dann hören Sie von uns, sobald Sie loslegen können.