ChatGPT Business DSGVO-konform nutzen: Was der Datenschutzbeauftragte prüft, bevor er Ja sagt [2026]

ChatGPT Business (früher ChatGPT Team) lässt sich für viele Alltagsaufgaben DSGVO-konform nutzen, aber nur unter Bedingungen, die der Tarif selbst nicht erzwingt: OpenAI schließt Daten aus Business-Arbeitsbereichen standardmäßig vom Modelltraining aus und bietet einen Auftragsverarbeitungsvertrag an, doch eine EU-Datenresidenz gibt es in dieser Stufe nicht, die Untergrenze liegt bei zwei Nutzern, und alles, was eine Datenschutzbeauftragte tatsächlich prüft, von der Rechtsgrundlage bis zum Verbot personenbezogener Daten in Eingaben, ist deine Aufgabe, nicht die von OpenAI. Dieser Artikel geht die Prüfpunkte durch, die ein deutscher oder österreichischer DSB anlegt, zeigt, wo Business besteht, wo es durchfällt, und welche Alternativen die Lücke ohne 150-Platz-Unternehmensvertrag schließen.

Der Kontext ist überall derselbe: Rund 42 % der deutschen Unternehmen wissen oder vermuten, dass Beschäftigte private KI-Konten nutzen, während nur 26 % ein offizielles bereitstellen, so Bitkom. Ein Business-Arbeitsbereich ist der günstigste Weg, private Konten durch Firmenkonten zu ersetzen, und genau das verlangt der Hamburgische Datenschutzbeauftragte. Es ist der vernünftige erste Schritt. Es ist nicht das Ziel.

Die Stufen unterscheiden sich weniger in der Modellqualität als darin, wer die Daten kontrolliert. Free und Plus sind Verbraucherverträge: Deine Eingaben können fürs Training genutzt werden, solange nicht jede einzelne Person widerspricht, es gibt keinen AVV und keine Verwaltung. Business ist die erste Stufe, die sich wie ein Geschäftsvertrag verhält. Enterprise ergänzt die Bausteine, die regulierte Einkäufer brauchen, mit einer Untergrenze, die die meisten mittelständischen Firmen nicht erreichen. Preise und Minima unten sind der Stand der Berichte 2026; OpenAI veröffentlicht keine Enterprise-Konditionen, und der Business-Preis wurde im April 2026 gesenkt, prüfe also die aktuelle Seite, bevor du unterschreibst.

Die Checkliste unten folgt der Checkliste des Hamburgischen Datenschutzbeauftragten für LLM-Chatbots und der Orientierungshilfe der DSK zu KI und Datenschutz, abgebildet auf das, was ChatGPT Business kann und nicht kann. Punkte eins bis vier sind organisatorisch und gelten für jedes Werkzeug. Bei den Punkten fünf bis zehn entscheidet die Stufe.

Alle zwölf Fragen, die ein DSB zu jedem KI-Werkzeug stellt, samt dem Nachweis, der jede beantwortet, stehen in der Checkliste KI und Datenschutzbeauftragter.

Business reicht, wenn die Arbeit generisch und die Daten nicht personenbezogen sind: Marketingtexte, Code, Übersetzungen öffentlichen Materials, Besprechungsvorbereitung ohne Namen, Ideensammlung. Es reicht nicht, wenn der Wert des Werkzeugs aus deinen eigenen Daten kommt, denn genau die soll laut Checkliste draußen bleiben.

Berufsgeheimnisträger haben neben der DSGVO ein zweites Gesetz zu beachten: KI in der Steuerkanzlei erklärt § 203 StGB und was im Anbietervertrag stehen muss.

Wenn der Einwand der Beauftragten die Übermittlung ist, heißt die Lösung Residenz, und Residenz unter 150 Plätzen bedeutet, OpenAIs eigene Stufen zu verlassen. Drei Optionen sind für ein Unternehmen mit 10 bis 250 Leuten realistisch; eine längere Liste steht in ChatGPT-Alternativen für den Mittelstand, der Weg Schritt für Schritt in der Wechselanleitung.

Steht Langdock auf deiner Liste, lies zuerst den Leitfaden Langdock Alternative: Die Nutzungslimits seit April 2026 haben den Vergleich verändert.

Die Berechtigungsspalte zählt mehr, als sie aussieht. Ein residenzkonformes Chat-Werkzeug zeigt trotzdem jedem Nutzer alles, was der Arbeitsbereich enthält. Wenn der Grund für KI dein CRM, deine Tickets und deine Verträge sind, lautet die Frage nicht nur, wo die Daten liegen, sondern wer im Unternehmen welchen Datensatz sehen darf. Das ist der Unterschied zwischen einem Chat-Werkzeug und einem KI-Betriebssystem für Unternehmen, und deshalb landen ChatGPT Enterprise und Copilot für eine Datenschutzbeauftragte in derselben Schublade: beides Chat-Fenster mit einem Arbeitsbereichs-Schalter.

ChatGPT Business ist der richtige erste Kauf für ein Unternehmen, dessen Beschäftigte ChatGPT schon privat nutzen: zwei Plätze, Training ausgeschlossen, ein AVV, SSO, an einem Nachmittag erledigt. Unterschreib, schreib die Richtlinie, mach die Schulung und halte personenbezogene Daten draußen. Dann beobachte, was die Leute einfügen. An dem Tag, an dem das freigegebene Werkzeug zum Ort wird, an dem Kundendaten liegen, passt die Stufe nicht mehr zum Risiko, und die nächste Frage der DSB dreht sich um Residenz und Berechtigungen, die Business zu keinem Preis unterhalb des Unternehmensvertrags beantworten kann.