ChatGPT und Datenschutz: Was darf HR eingeben?

Eine Kollegin fragt, ob sie das Gesprächsprotokoll schnell von ChatGPT zusammenfassen lassen darf. Ein Kollege hat schon drei Lebensläufe eingefügt. Was darf HR beim Thema ChatGPT und Datenschutz wirklich eingeben? Die kurze Antwort: Allgemeine Texte ohne Personenbezug sind kein Problem. Personenbezogene Daten gehören nur in eine Business- oder Enterprise-Version mit Vertrag zur Auftragsverarbeitung, und sensible HR-Daten wie Gesundheit oder Gehalt am besten gar nicht in ChatGPT.

Ist ChatGPT DSGVO-konform?

ChatGPT ist nicht automatisch DSGVO-konform, sondern hängt davon ab, welche Version ein Unternehmen nutzt und wie es sie einsetzt. Die DSGVO verlangt für jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage, Transparenz und Sicherheit. Gibt eine Person Daten von Mitarbeitenden, BewerberInnen oder KundInnen in ChatGPT ein, verarbeitet das Unternehmen diese Daten, und OpenAI wird zum Auftragsverarbeiter.

Für eine DSGVO-konforme Nutzung von ChatGPT braucht es deshalb drei Dinge: eine geschäftliche Version, einen Vertrag zur Auftragsverarbeitung mit OpenAI und klare interne Regeln, welche Daten in den Chat dürfen. Fehlt einer dieser Bausteine, entsteht schnell ein Datenschutzverstoß.

Für den HR Bereich ist das besonders wichtig. Personalabteilungen arbeiten mit Daten, die die DSGVO besonders schützt, etwa Gesundheitsdaten aus Krankmeldungen. Wer KI-Tools wie ChatGPT im Personalwesen nutzen will, sollte die Spielregeln kennen, bevor die erste Eingabe passiert. Das gilt auch für KI-Funktionen, die in einer bestehenden HR-Software stecken. Einen Überblick über KI im HR gibt unser Beitrag KI im Personalwesen.

Welche ChatGPT-Versionen gibt es und was bedeuten sie für den Datenschutz?

OpenAI bietet ChatGPT in privaten Versionen und in Versionen für Unternehmen an, die sich beim Datenschutz deutlich unterscheiden. Der wichtigste Unterschied liegt darin, ob OpenAI Eingaben für das Training seiner KI-Modelle nutzt und ob ein Vertrag zur Auftragsverarbeitung möglich ist.

• ChatGPT Free und Plus: Private Versionen. OpenAI kann Eingaben standardmäßig zur Verbesserung der Modelle nutzen, sofern Nutzende das in den Einstellungen nicht abschalten. Ein Vertrag zur Auftragsverarbeitung ist nicht vorgesehen.
• ChatGPT Business, früher ChatGPT Team: Version für Teams und KMU. Inhalte werden standardmäßig nicht für das Training genutzt, und OpenAI bietet einen Vertrag zur Auftragsverarbeitung an.
• ChatGPT Enterprise: Version für größere Organisationen mit zusätzlichen Verwaltungs- und Sicherheitsfunktionen. Kein Training mit Unternehmensdaten, Vertrag zur Auftragsverarbeitung und die Option einer Datenspeicherung in der EU.
• API: Schnittstelle für eigene Anwendungen. Ebenfalls kein Training mit Daten als Standard, Vertrag zur Auftragsverarbeitung möglich.

Für den Einsatz von ChatGPT mit personenbezogenen Daten kommen deshalb nur Business, Enterprise oder die API in Frage. Private Konten eignen sich höchstens für Aufgaben ohne jeden Personenbezug. Ein Opt-out aus dem Training in einer privaten Version reicht nicht, denn es ersetzt weder den Vertrag zur Auftragsverarbeitung noch die übrigen Pflichten der DSGVO.

Was darf HR in ChatGPT eingeben?

HR darf in ChatGPT vor allem Inhalte ohne Personenbezug eingeben, etwa allgemeine Texte, Vorlagen und Fragen. Je persönlicher und sensibler die Daten, desto strenger die Regeln. Diese Übersicht hilft bei der Einschätzung:

• Erlaubt in jeder Version: Entwürfe für Stellenanzeigen, allgemeine Mails an das Team, Ideen für Onboarding oder Benefits, Erklärungen von Begriffen.
• Nur in Business oder Enterprise mit Vertrag: interne Inhalte mit Personenbezug, etwa ein pseudonymisiertes Gesprächsprotokoll oder die Formulierung eines Zeugnisentwurfs ohne vollen Namen.
• Möglichst gar nicht: Gesundheitsdaten, Krankmeldungen, Gehälter, Bewerbungsunterlagen mit vollen Angaben, Abmahnungen und Beurteilungen einzelner Personen.

Eine einfache Regel für den Arbeitsalltag lautet: Würdest du die Information auch per E-Mail an einen externen Dienstleister schicken? Wenn nein, gehört sie auch nicht in ChatGPT. Pseudonymisierung hilft oft. Statt „Anna Becker, 34, ist seit drei Wochen krank“ schreibst du „Eine Mitarbeiterin ist seit drei Wochen abwesend“. Der Inhalt bleibt nutzbar, der Personenbezug verschwindet.

Welche Datenschutzrisiken entstehen bei der Nutzung von ChatGPT?

Bei der Nutzung von ChatGPT entstehen vor allem Datenschutzrisiken durch unkontrollierte Eingaben, fehlende Verträge und Datenübertragung in die USA. Die wichtigsten Risiken im Überblick:

• Training mit Eingaben: In privaten Versionen können Eingaben in das Training künftiger Modelle einfließen.
• Fehlender Vertrag: Ohne Vertrag zur Auftragsverarbeitung fehlt eine wichtige Voraussetzung für die Verarbeitung personenbezogener Daten über ChatGPT.
• Übermittlung in Drittländer: Daten werden je nach Version in den USA verarbeitet. Dafür braucht es geeignete Garantien wie Standardvertragsklauseln oder eine Zertifizierung.
• Speicherung: Auch ohne Training speichert ChatGPT Verläufe, je nach Version und Einstellungen.
• Falsche Inhalte: ChatGPT kann falsche Aussagen über Personen erzeugen. Auch erfundene Angaben zu Personen sind personenbezogene Daten.
• Schatten-KI: Mitarbeitende nutzen private Accounts für Arbeitsaufgaben, ohne dass das Unternehmen davon weiß.

Datenschutzbehörden in Europa beschäftigen sich seit Jahren mit ChatGPT. Auch die deutschen Datenschutzbehörden haben Hinweise für den Einsatz generativer KI veröffentlicht. Dort findest du die genauen und aktuellen Vorgaben. Die Folgen von Datenpannen tragen aber in erster Linie die Unternehmen, die ChatGPT einsetzen, nicht OpenAI.

Welche Einsatzmöglichkeiten hat ChatGPT im HR?

ChatGPT hat im HR viele Einsatzmöglichkeiten, vor allem bei Texten und Routineaufgaben. Die größte Chance liegt dort, wo HR viel schreibt und wenig sensible Daten verarbeitet. Typische Beispiele aus dem Personalmanagement:

• Recruiting: Stellenausschreibungen formulieren, Interviewfragen vorbereiten und Absagen freundlich formulieren.
• Employer Branding: Ideen für Karriereseiten, Social Media Beiträge und Texte über die Unternehmenskultur.
• Personalentwicklung: Lernziele formulieren, Inhalte für Weiterbildungen strukturieren und Feedbackfragen entwickeln.
• Kommunikation: Mitarbeiterinformationen, Newsletter und Präsentationen entwerfen.
• Richtlinien: Entwürfe für Homeoffice-Regeln, Reisekosten oder eine KI-Richtlinie erstellen.

Bei all diesen Einsatzmöglichkeiten bleibt ein Mensch für das Ergebnis verantwortlich. ChatGPT liefert einen Entwurf, HR prüft, passt an und entscheidet. Besonders bei rechtlichen Inhalten ist eine Prüfung an der Originalquelle wichtig, weil KI-Systeme sich irren können. Für das Recruiting gilt zusätzlich: Entscheidungen über BewerberInnen trifft nie die KI. Mehr dazu liest du unter Recruiting-Prozess.

Was sagt die KI-Verordnung zur Nutzung von ChatGPT?

Der AI Act erlaubt die Nutzung von ChatGPT im Unternehmen, stellt aber Anforderungen an Unternehmen als Betreiber. Pflichten für das Modell selbst, etwa zu technischer Dokumentation und Transparenz, treffen vor allem OpenAI als Anbieter. Unternehmen, die ChatGPT nutzen, müssen vor allem Maßnahmen zur KI-Kompetenz ihrer Mitarbeitenden ergreifen.

Kritisch wird es, wenn ChatGPT für Zwecke eingesetzt wird, die der AI Act als Hochrisiko einstuft oder ganz verbietet. Wer ChatGPT Bewerbungen bewerten und vorsortieren lässt, bewegt sich in Richtung Hochrisiko-KI mit strengen Pflichten zu menschlicher Aufsicht und Transparenz. Wer ChatGPT die Emotionen von Mitarbeitenden aus Gesprächen analysieren lässt, betreibt eine verbotene KI-Praxis.

KI-VO und DSGVO gelten nebeneinander. Die DSGVO regelt die Daten, die KI-VO den Umgang mit dem KI-System. Für HR heißt das: Beide Regelwerke prüfen, bevor ChatGPT in einem Prozess fest eingeplant wird. Grundlagen zur DSGVO findest du unter DSGVO.

Wie nutzt du ChatGPT im Unternehmen datenschutzkonform?

ChatGPT nutzt du im Unternehmen datenschutzkonform, wenn Version, Vertrag, Einstellungen und Regeln zusammenpassen. Diese Schritte haben sich bewährt:

• Schritt 1: Wähle eine Business- oder Enterprise-Version statt privater Accounts.
• Schritt 2: Schließe den Vertrag zur Auftragsverarbeitung mit OpenAI ab und dokumentiere die Übermittlung in die USA.
• Schritt 3: Prüfe die Einstellungen zu Training, Speicherung und Memory im Workspace.
• Schritt 4: Nimm ChatGPT in das Verzeichnis von Verarbeitungstätigkeiten auf und prüfe, ob eine Datenschutz-Folgenabschätzung nötig ist.
• Schritt 5: Lege in einer KI-Richtlinie fest, welche Daten in ChatGPT dürfen und welche nicht.
• Schritt 6: Schule Mitarbeitende und dokumentiere die Schulungen zur KI-Kompetenz.
• Schritt 7: Informiere Beschäftigte und gegebenenfalls BewerberInnen transparent über den Einsatz von KI.

Binde außerdem die Datenschutzbeauftragte oder den Datenschutzbeauftragten früh ein. Gibt es einen Betriebsrat, hat er beim Einsatz von KI-Tools in der Regel ein Mitbestimmungsrecht. Eine klare Abstimmung vorab verhindert, dass ein sinnvolles Tool später wieder abgeschaltet werden muss. Weitere Tipps für eine datenschutzkonforme Personalverwaltung findest du unter 7 Tipps für eine DSGVO-konforme Personalverwaltung.

Was läuft beim Einsatz von ChatGPT im HR am häufigsten schief?

Die typischen Probleme beim Einsatz von ChatGPT im HR entstehen nicht aus böser Absicht, sondern aus Zeitdruck und Unwissen. Diese Situationen sehen Datenschützer immer wieder:

• Lebensläufe oder Bewerbungsunterlagen mit vollen Angaben in einen privaten Account einfügen.
• Krankmeldungen oder Gesprächsnotizen mit Namen zusammenfassen lassen.
• Gehaltslisten oder Löhne zur Analyse in ChatGPT laden.
• Antworten von ChatGPT zu Arbeitsrecht ohne Prüfung übernehmen.
• Glauben, ein Opt-out aus dem Training mache eine private Version DSGVO-konform.
• Kein Verzeichnis führen, wer welche KI-Tools nutzt.

Fast alle diese Probleme lassen sich mit zwei Maßnahmen vermeiden: einer freigegebenen Unternehmenslösung und einer kurzen Schulung. Wer Mitarbeitenden eine sichere Alternative anbietet, reduziert Schatten-KI deutlich. Wer erklärt, warum bestimmte Daten nicht in ChatGPT gehören, verändert das Verhalten nachhaltiger als jedes Verbot.

Wie informierst du Mitarbeitende und BewerberInnen über den Einsatz von ChatGPT?

Mitarbeitende und BewerberInnen informierst du über den Einsatz von ChatGPT in deinen Datenschutzhinweisen und, wo es relevant ist, direkt im Prozess. Die DSGVO verlangt, dass Betroffene wissen, wer ihre Daten zu welchem Zweck verarbeitet und an wen sie übermittelt werden. Das gilt auch, wenn ein KI-Tool beteiligt ist.

Für Beschäftigte gehört der Hinweis in die Datenschutzinformation für Mitarbeitende und in die KI-Richtlinie. Beschreibe kurz, wofür das Unternehmen ChatGPT nutzt, welche Daten dabei verarbeitet werden und welche Regeln gelten. Viele Unternehmen nehmen diese Informationen zusätzlich in das Mitarbeiterhandbuch auf, damit neue KollegInnen sie von Anfang an kennen.

Für BewerberInnen ist Transparenz besonders wichtig. Nutzt dein Unternehmen KI im Recruiting, etwa zur Vorsortierung, gehört ein Hinweis in die Stellenanzeige oder die Datenschutzhinweise für BewerberInnen. Erkläre, dass am Ende immer ein Mensch entscheidet. BewerberInnen sollten außerdem die Möglichkeit haben, sich mit Fragen an eine Ansprechperson zu wenden. Mehr zu den Grundlagen liest du im Beitrag zum Datenschutz.

Welche Alternativen zu ChatGPT gibt es für HR-Daten?

Für HR-Daten sind KI-Funktionen innerhalb einer HR-Software oft die sicherere Alternative zu ChatGPT. Der Grund: Die Daten bleiben in dem System, in dem sie ohnehin gespeichert sind, mit den bestehenden Zugriffsrechten und Verträgen. Niemand muss Personaldaten kopieren und in ein anderes Tool einfügen.

Eine weitere Möglichkeit sind Verbindungen zwischen KI-Assistenten und HR-Software über standardisierte Schnittstellen. Dabei greift der KI-Assistent auf die Daten zu, die die fragende Person ohnehin sehen darf. Das reduziert das Risiko, dass sensible Informationen ungeschützt in einem Chatverlauf landen.

Wichtig bleibt in jedem Fall die Prüfung der Anbieter. Frage nach Datenspeicherung, Vertrag zur Auftragsverarbeitung, Zertifizierungen und der Nutzung von Daten für das Training. Eine HR-Software mit Datenspeicherung in der EU und ISO-27001-Zertifizierung bietet für Personaldaten meist die besseren Voraussetzungen als ein allgemeines KI-Tool.

So nutzt du KI mit deinen HR-Daten in HoorayHR

HoorayHR ist HR-Software für KMU, die KI einsetzt, um HR-Administration zu reduzieren, damit mehr Zeit für Menschen bleibt. Statt Personaldaten in ChatGPT zu kopieren, arbeitest du mit KI direkt dort, wo die Daten liegen.

Mit unserem Chat stellst du eine HR-Frage und bekommst eine Antwort auf Basis deiner eigenen HoorayHR-Daten. Mit unserer MCP sprichst du mit deinen HR-Daten über den KI-Assistenten, den du schon nutzt, zum Beispiel Claude, ChatGPT oder Copilot. Dabei arbeitet jede Person innerhalb ihrer eigenen Nutzerrechte in HoorayHR. Unser Meeting-Agent nimmt Gespräche auf, erstellt ein Transkript und macht daraus eine Zusammenfassung mit Aufgaben, die direkt an der richtigen Stelle landet.

Alle Daten speichern wir DSGVO-konform und ISO-27001-zertifiziert innerhalb der EU. Die KI-Richtlinie deines Unternehmens teilst du über unser Dokumentenmanagement, und mit unseren HR-Workflows planst du Schulungen zur KI-Kompetenz als feste Aufgabe.

ChatGPT ist ein starkes Werkzeug für HR, solange klar ist, welche Daten hineingehören. Mit einer Unternehmensversion, einem Vertrag zur Auftragsverarbeitung und klaren Regeln nutzt dein Team die Vorteile, ohne Datenschutz und Vertrauen zu riskieren. Und für echte Personaldaten lohnt sich eine Lösung, die KI direkt in die HR-Software bringt.