ChatGPT DSGVO-konform: Welcher Tarif passt zum Betrieb?

ChatGPT DSGVO-konform nutzen beginnt bei der Tarifwahl

Ein bezahlter Tarif erteilt keine Freigabe für Kundendaten. Wer ChatGPT DSGVO-konform einsetzen möchte, sollte Free und Plus von den geschäftlichen Arbeitsbereichen (Workspaces) Business und Enterprise unterscheiden. Bei letzteren sind Trainingsausschluss und Geschäftsvertrag anders geregelt. Ob konkrete Kundendaten hinein dürfen, hängt trotzdem vom Zweck, den Vertragsbedingungen und der eingerichteten Verarbeitung ab.

Unsere Empfehlung: Für öffentliche Produkttexte und künstliche Beispiele braucht ein kleiner Betrieb kein Enterprise-Projekt. Für regelmäßige Arbeit mit personenbezogenen Kundenangaben sollte er Business als erste geschäftliche Option prüfen. Enterprise kommt in die Auswahl, wenn bestimmte Standort- oder Verwaltungsanforderungen darüber hinausgehen. Die allgemeine Prüfung des KI-Einsatzes bleibt vorgeschaltet; hier geht es gezielt um die Unterschiede innerhalb von ChatGPT.

Die folgende Entscheidungshilfe nutzt die Geschäftskunden-Zusagen von OpenAI und die aktuellen Produktunterlagen; sie ersetzt keine rechtliche Prüfung des einzelnen Betriebs.

Free und Plus verlangen denselben Blick auf das Training

Plus schaltet das Modelltraining nicht automatisch aus.

Laut OpenAI-Hilfe ist die Trainingsfreigabe in persönlichen Free- und Plus-Workspaces zunächst eingeschaltet. Unter Einstellungen, Datenkontrollen und „Improve the model for everyone“ lässt sie sich ausschalten. Das betrifft neue Gespräche; der Verlauf kann erhalten bleiben. Für Sprache gibt es zusätzliche Einstellungen.

Für einen ersten Versuch empfehlen wir deshalb: Trainingsfreigabe ausschalten, öffentliche Angaben oder vollständig erfundene Vorgänge verwenden und keine Originaldateien aus dem Kundenordner hochladen. Ein Beispielauftrag lautet: „Schreibe aus diesen öffentlichen Produkteigenschaften eine verständliche Beschreibung. Erfinde keine Garantien, Lieferfristen oder Zertifikate.“ Der Entwurf wird anschließend fachlich gelesen.

Die Entscheidung für Plus sollte bei diesem Ablauf von den benötigten Funktionen abhängen. Ein Plus im Tarif ist noch kein Datenschutzkonzept. Wenn später echte Kundenangaben dazukommen sollen, beginnt eine neue Freigabeprüfung; der bisherige Test trägt diese Erweiterung nicht mit.

Business braucht einen dokumentierten Geschäftsvertrag

Der Betrieb muss seinen eigenen Vertragsstand kennen.

OpenAI nennt für Business und Enterprise einen standardmäßigen Trainingsausschluss. Der Geschäftsvertrag bezieht den DPA bei der Verarbeitung personenbezogener Daten ein. DPA bedeutet Data Processing Addendum, also die ergänzende Vereinbarung zur Datenverarbeitung. Maßgeblich sind die für Ihren Workspace tatsächlich angenommenen Bedingungen und mögliche Sondervereinbarungen.

Der DPA beschreibt OpenAI für die erfasste Verarbeitung als Auftragsverarbeiter. Dem Kunden bleiben unter anderem die erforderlichen Berechtigungen und die datenschutzgerechte Konfiguration. Eine pauschale Freigabe für Gesundheits- oder Personalunterlagen folgt daraus nicht.

Legen Sie vor dem Start drei Nachweise zusammen: Vertragsversion, einbezogenen DPA und die beschlossene Aufgabenbeschreibung. Benennen Sie eine zuständige Person für Änderungen. Unser Beispielbetrieb erlaubt zunächst nur Antwortentwürfe zu Produkt und Liefermenge; Namen und Kontaktangaben ergänzt das Büro später im eigenen System. So bleibt auch bei einem Tarifwechsel erkennbar, was tatsächlich freigegeben wurde.

Business-Speicherregionen haben eine wichtige Grenze

Die Speicherregion legt nicht jeden Verarbeitungsort fest.

OpenAI führt regionale Speicherung für Business schrittweise ein; sie ist noch nicht für alle Kunden verfügbar. Die beim Kauf angebotene Auswahl betrifft primäre Kundeninhalte im Ruhezustand. Sie bestimmt nicht, wo Antworten berechnet werden. Auch bei einer Region außerhalb der USA bleibt laut OpenAI zeitweise eine Kopie jedes Prompts und jeder Antwort für Sicherheits- und Missbrauchsprüfungen in den USA.

Für die Beschaffung lautet die entscheidende Frage daher: Passt genau diese dokumentierte Datenverarbeitung zu unserer Anforderung? Schreiben Sie die benötigte Region vor dem Kauf auf und vergleichen Sie sie mit dem konkreten Angebot. Übernehmen Sie weder „Business speichert immer nur in den USA“ noch „Region gewählt, alles bleibt dort“ aus älteren Vergleichslisten.

Wenn der Betrieb sämtliche Inhaltskopien außerhalb eines festgelegten Gebiets ausschließen muss, reicht diese Business-Beschreibung als Nachweis nicht aus. Die Anforderung bleibt offen, bis ein passendes Angebot sie ausdrücklich abdeckt.

Enterprise trennt Speicherung und Modellberechnung

Enterprise bietet zusätzliche Standortkontrollen für geeignete Workspaces.

Die Dokumentation zu Enterprise unterscheidet regionale Speicherung von separat aktivierter Inference Residency. Letztere betrifft die Modellberechnung auf Grafikprozessoren für erfasste Inhalte. Die Europa-Region umfasst den Europäischen Wirtschaftsraum und die Schweiz. Andere Rechenschritte, Systemdaten und externe Dienste können außerhalb bleiben. Nicht jede Funktion ist von diesen Zusagen umfasst.

Fordern Sie deshalb für Ihr Angebot eine kurze Zuordnung an: Welche unserer Funktionen fallen unter welche Zusage? Eine PDF-Zusammenfassung ohne angebundene Dienste ist anders zu beschreiben als eine Recherche mit Websuche und mehreren externen Apps. Die Abnahme sollte den geplanten Ablauf nachzeichnen, statt nur ein Häkchen bei „Europa“ zu setzen.

Unsere Entscheidungshilfe: Enterprise prüfen, wenn eine benannte Anforderung mit Business nicht nachweisbar erfüllt wird. Für bloße Textideen aus öffentlichen Angaben empfehlen wir diesen Beschaffungsaufwand nicht. Auch ein größeres Paket ersetzt keine eng begrenzte Datenfreigabe.

Löschen und Apps brauchen eigene Entscheidungen

Die Freigabe muss Dateien und verbundene Dienste einschließen.

Nach der Löschdokumentation ist Archivieren keine Löschung. Gelöschte Chats werden grundsätzlich binnen 30 Tagen zur endgültigen Löschung vorgesehen, mit genannten rechtlichen und sicherheitsbezogenen Ausnahmen sowie Ausnahmen für bereits de-identifizierte und vom Konto getrennte Daten. Eine separat in Library gespeicherte Datei verschwindet nicht durch das Löschen des Chats.

Bei externen Apps gelten außerdem die Bedingungen des jeweiligen Anbieters für weitergegebene Daten. Apps können bei Business bereits aktiviert sein; Administratoren können den Zugang ändern. Unsere Startempfehlung lautet deshalb: Nur die für den freigegebenen Ablauf benötigten Verbindungen zulassen und deren Datenwege gesondert dokumentieren.

Kopierbarer Prüfauftrag: „Erstelle einen künstlichen Vorgang, lade eine künstliche Datei hoch und notiere die sichtbaren Ablageorte und die vom Anbieter dokumentierten Speicherwege. Prüfe den dokumentierten Löschweg für Chat und Datei getrennt. Halte fest, welche Apps Daten erhalten und wer ihre Freigabe verantwortet.“ Das sichtbare Verschwinden ersetzt dabei nicht die dokumentierten Regeln zur weiteren Aufbewahrung.

Drei Plätze kosten im Beispiel 720 US-Dollar jährlich

Die Lizenzzahl folgt den freigegebenen Aufgaben.

Die Business-Preise nennen für Standard-Plätze 20 US-Dollar pro Person und Monat bei jährlicher Abrechnung oder 25 US-Dollar bei monatlicher Abrechnung. Laut Business-FAQ sind mindestens zwei bezahlte Plätze nötig. Landes- und Währungspreise können abweichen; das folgende USD-Beispiel enthält keine Steuern, zusätzliche Nutzung oder Einrichtung.

Angenommen, ein Fünf-Personen-Betrieb braucht zunächst drei einzeln zugewiesene Standard-Plätze: zwei für geprüfte Textentwürfe und einen für die verantwortliche Leitung. Bei jährlicher Abrechnung ergeben sich 3 × 20 × 12 = 720 US-Dollar. Fünf Plätze würden 1.200 US-Dollar kosten. Der Unterschied beträgt 480 US-Dollar pro Jahr; er ist eine Lizenzrechnung, keine nachgewiesene Arbeitsersparnis.

Bei monatlicher Abrechnung kosten dieselben drei Plätze 75 US-Dollar je Monat, über zwölf unveränderte Monate 900 US-Dollar. Wir würden vor einer Jahresbindung zunächst Aufgaben und tatsächlichen Bedarf festlegen. Die beiden anderen Beschäftigten erhalten dadurch keine Erlaubnis, dieselben Kundendaten in private Konten zu kopieren.

Diese Freigabezeile macht die Auswahl überprüfbar

Die Entscheidung braucht einen Verantwortlichen und klare Grenzen.

Übernehmen Sie diese Vorlage in Ihre interne KI-Nutzungsrichtlinie. Tragen Sie beim Vertrags- und Speicherfeld die tatsächlich geprüften Angaben ein; ein leeres Feld bleibt eine offene Aufgabe.

• Aufgabe: Entwürfe zu öffentlichen Produktinformationen. Personenbezogene Kundendaten: zunächst ausgeschlossen. Originalakten: ausgeschlossen.
• Tarif und Workspace: [genaue Bezeichnung]. Zuständig: [Name oder Rolle]. Vertragsversion und DPA-Einbeziehung: [Nachweis].
• Trainingsnutzung: [geprüfte Einstellung/Zusage]. Speicher- und Verarbeitungsorte einschließlich Ausnahmen: [Nachweis].
• Apps: [einzeln freigegebene Verbindungen oder keine]. Chats und Dateien: [Löschweg und Frist]. Ergebnisse: fachliche Prüfung vor Verwendung.
• Erweiterung: Neue Datenarten, Funktionen oder Verbindungen erst nach erneuter Prüfung. Nächster Kontrolltermin: [Datum].

Häufige Fragen vor der Bestellung

Drei Fragen entscheiden über den nächsten Schritt.

Reicht ein ausgeschalteter Trainingsschalter? Er beantwortet die Trainingsfrage für neue Gespräche, nicht die Vertrags-, Speicher- und Löschfragen. Für Kundenangaben muss der gesamte freigegebene Ablauf passen.

Ist ChatGPT Team ein anderer Tarif? Die Business-FAQ bestätigt die Umbenennung zu Business am 29. August 2025. Für Ihre Beschaffung zählt trotzdem die aktuelle Leistungsbeschreibung samt Vertragsstand, nicht der alte Name.

Was tun wir, wenn eine notwendige Zusage fehlt? Lassen Sie die betreffenden Daten aus dem Test und fordern Sie genau diesen Nachweis an. Für die technische Auswahl können Sie mit unserer KI-Beratung und Umsetzung eine konkrete Aufgabe abgrenzen. Beginnen Sie jetzt mit der Freigabezeile und markieren Sie das erste Feld, für das noch ein Nachweis fehlt.