ChatGPT und Datenschutz 2026: Datenschutzbehörden warnen vor KI-Profiling – was Unternehmen jetzt beachten müssen

18. Oktober 2026

Die Nutzung künstlicher Intelligenz wirft neue datenschutzrechtliche Fragen auf. Anfang Oktober 2026 haben mehrere deutsche Datenschutzaufsichtsbehörden vor den Risiken einer geplanten personalisierten Werbefunktion bei ChatGPT gewarnt. Im Mittelpunkt steht die mögliche Auswertung von Chatverläufen zur Erstellung detaillierter Nutzerprofile.

Für Unternehmen ist diese Entwicklung besonders relevant. Denn KI-Anwendungen werden zunehmend im Arbeitsalltag eingesetzt – häufig auch zur Bearbeitung von Kundenanfragen, internen Dokumenten und geschäftlichen Informationen.

Damit stellt sich eine grundlegende Frage: Wie können Unternehmen ChatGPT und andere KI-Systeme nutzen, ohne gegen die Datenschutz-Grundverordnung (DSGVO) zu verstoßen?

1. Aktueller Anlass: Datenschutzbehörden warnen vor ChatGPT-Profiling

Am 2. Oktober 2026 veröffentlichten die Datenschutzaufsichtsbehörden in Hamburg und Berlin Hinweise zur geplanten Einführung personalisierter Werbung in ChatGPT innerhalb der Europäischen Union.

Nach Angaben der Behörden soll die Werbepersonalisierung auf Informationen aus bisherigen und aktuellen Unterhaltungen sowie weiteren Nutzungs- und Kontextdaten beruhen können.

Dadurch können detaillierte Persönlichkeitsprofile entstehen. Besonders problematisch ist dies, weil Menschen KI-Chatbots zunehmend auch für persönliche, gesundheitliche, finanzielle oder andere sensible Fragestellungen nutzen.

Die geplante personalisierte Werbung soll auf einer Einwilligung beruhen. Davon zu unterscheiden ist kontextbezogene Werbung, für die andere datenschutzrechtliche Fragen zu prüfen sind.

Die Behörden sehen insbesondere Risiken für die informationelle Selbstbestimmung der Nutzer.

Für Unternehmen zeigt die Entwicklung, wie wichtig es ist, die Datenverarbeitung durch externe KI-Anbieter genau zu prüfen.

2. Dürfen Mitarbeiter personenbezogene Daten in ChatGPT eingeben?

Eine pauschale Antwort gibt es nicht.

Ob personenbezogene Daten in einem KI-System verarbeitet werden dürfen, hängt unter anderem vom konkreten Verwendungszweck, der Rechtsgrundlage, den technischen Einstellungen und den vertraglichen Vereinbarungen mit dem Anbieter ab.

Problematisch kann beispielsweise sein, wenn Mitarbeiter folgende Informationen ungeprüft in öffentlich zugängliche KI-Anwendungen eingeben:

Namen, Adressen oder Kontaktdaten von Kunden
Bewerbungsunterlagen und Personalakten
Gesundheitsdaten oder andere besonders geschützte Informationen
Vertrauliche Vertragsunterlagen
Interne Unternehmensinformationen mit Personenbezug

Schon die Übermittlung personenbezogener Daten an einen externen KI-Dienst stellt grundsätzlich eine datenschutzrechtlich relevante Verarbeitung dar.

Unternehmen müssen deshalb prüfen, ob eine geeignete Rechtsgrundlage nach Artikel 6 DSGVO besteht. Bei besonderen Kategorien personenbezogener Daten sind zusätzlich die Anforderungen des Artikels 9 DSGVO zu berücksichtigen.

3. Wer ist für Datenschutzverstöße verantwortlich?

Setzt ein Unternehmen KI-Anwendungen zur Verarbeitung personenbezogener Daten ein, bleibt es für die Rechtmäßigkeit seiner eigenen Datenverarbeitung verantwortlich.

Die Verantwortung kann nicht allein dadurch auf einen KI-Anbieter übertragen werden, dass dessen Software verwendet wird.

Zu den zentralen Pflichten gehören insbesondere:

Rechtsgrundlage: Für die Verarbeitung personenbezogener Daten muss eine tragfähige Rechtsgrundlage bestehen.

Transparenz: Betroffene Personen müssen nach Maßgabe der DSGVO über die Verarbeitung ihrer Daten informiert werden.

Datensicherheit: Unternehmen müssen geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten treffen.

Vertragliche Absicherung: Ist der KI-Anbieter als Auftragsverarbeiter tätig, ist grundsätzlich ein Vertrag nach Artikel 28 DSGVO erforderlich.

Internationale Datenübermittlungen: Bei Übermittlungen personenbezogener Daten in Drittländer müssen gegebenenfalls die Anforderungen der Artikel 44 ff. DSGVO erfüllt werden.

Ob ein Anbieter Auftragsverarbeiter oder eigenständig Verantwortlicher ist, muss anhand der konkreten Verarbeitung beurteilt werden.

4. ChatGPT im Unternehmen: Reicht ein kostenpflichtiger Zugang aus?

Ein kostenpflichtiger Zugang zu einem KI-System führt nicht automatisch dazu, dass dessen Nutzung datenschutzkonform ist.

Zwar können geschäftliche Tarife zusätzliche Möglichkeiten zur Datenkontrolle, Vertragsgestaltung und Verwaltung bieten. Entscheidend bleibt jedoch, wie die konkrete Anwendung konfiguriert ist und welche Daten verarbeitet werden.

Unternehmen sollten insbesondere prüfen:

Werden Eingaben zur Verbesserung oder zum Training von KI-Modellen verwendet?
Welche Speicher- und Löschfristen gelten?
Besteht ein geeigneter Vertrag zur Auftragsverarbeitung?
Wo werden personenbezogene Daten verarbeitet?
Welche Zugriffsrechte haben Mitarbeiter?
Lassen sich sensible Daten vor der Eingabe anonymisieren oder wirksam pseudonymisieren?

Auch bei einer technisch gut abgesicherten KI-Anwendung müssen Zweckbindung, Datenminimierung und die übrigen Anforderungen der DSGVO beachtet werden.

5. Besondere Risiken bei Bewerbungen und Personalentscheidungen

Besonders sensibel ist der Einsatz von KI im Personalwesen.

Wenn Unternehmen Bewerbungsunterlagen durch KI-Systeme auswerten lassen oder KI zur Unterstützung von Personalentscheidungen verwenden, können erhebliche datenschutzrechtliche Risiken entstehen.

Dabei geht es nicht nur um die Vertraulichkeit der Daten, sondern auch um mögliche Diskriminierungen, unzulässige Profilbildung und automatisierte Entscheidungen.

Artikel 22 DSGVO enthält besondere Anforderungen für bestimmte ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung.

Daneben können arbeitsrechtliche Vorgaben, Mitbestimmungsrechte und Anforderungen der europäischen KI-Verordnung relevant werden.

Vor der Einführung solcher Systeme sollte deshalb eine umfassende rechtliche Prüfung erfolgen.

6. Wann ist eine Datenschutz-Folgenabschätzung erforderlich?

Nach Artikel 35 DSGVO ist eine Datenschutz-Folgenabschätzung durchzuführen, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

Das kann insbesondere bei umfangreicher Profilbildung, sensiblen personenbezogenen Daten oder bestimmten automatisierten Bewertungen relevant werden.

Allerdings ist nicht jede Nutzung von ChatGPT oder einer anderen KI-Anwendung automatisch mit einer Pflicht zur Datenschutz-Folgenabschätzung verbunden.

Entscheidend sind Art, Umfang, Umstände und Zwecke der konkreten Verarbeitung.

Unternehmen sollten daher bereits vor Einführung eines KI-Systems prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist.

7. Welche Bußgelder drohen bei Datenschutzverstößen?

Verstöße gegen die DSGVO können erhebliche finanzielle Folgen haben.

Je nach Art des Verstoßes sieht Artikel 83 DSGVO Bußgeldrahmen von bis zu 10 Millionen Euro beziehungsweise 2 Prozent des weltweiten Jahresumsatzes oder bis zu 20 Millionen Euro beziehungsweise 4 Prozent des weltweiten Jahresumsatzes vor. Maßgeblich ist jeweils der höhere Betrag.

Diese Werte stellen gesetzliche Höchstgrenzen dar. Die tatsächliche Höhe eines Bußgeldes hängt von den Umständen des Einzelfalls ab.

Neben aufsichtsbehördlichen Maßnahmen können unter bestimmten Voraussetzungen auch Schadensersatzansprüche nach Artikel 82 DSGVO entstehen.

Die wirtschaftlichen Folgen eines Datenschutzverstoßes können daher über ein mögliches Bußgeld hinausgehen.

8. Was Unternehmen jetzt konkret tun sollten

Unternehmen, die ChatGPT, Microsoft Copilot oder vergleichbare KI-Systeme einsetzen, sollten ihre Datenschutzorganisation an die tatsächliche Nutzung anpassen.

1. KI-Anwendungen erfassen

Welche KI-Dienste werden im Unternehmen eingesetzt? Welche Beschäftigten nutzen sie und zu welchen Zwecken?

2. Datenverarbeitung prüfen

Welche personenbezogenen Daten gelangen in die Systeme? Lassen sich die Verarbeitungszwecke auch ohne personenbezogene Daten erreichen?

3. Anbieter und Verträge kontrollieren

Welche datenschutzrechtlichen Vereinbarungen bestehen? Welche Einstellungen zur Speicherung, Weiterverwendung und Löschung sind verfügbar?

4. Interne KI-Richtlinie erstellen

Mitarbeiter sollten klare Vorgaben erhalten, welche Daten sie in KI-Systeme eingeben dürfen und welche Informationen besonders geschützt werden müssen.

5. Beschäftigte schulen

Datenschutzverstöße entstehen häufig nicht durch die Technologie allein, sondern durch unbedachte Eingaben und unklare Verantwortlichkeiten.

6. Risiken regelmäßig überprüfen

Neue Funktionen und geänderte Nutzungsbedingungen können eine erneute datenschutzrechtliche Bewertung erforderlich machen.

9. Fazit: KI und Datenschutz gehören zusammen

Die aktuellen Warnungen deutscher Datenschutzbehörden verdeutlichen, dass die Nutzung künstlicher Intelligenz nicht allein unter technischen und wirtschaftlichen Gesichtspunkten betrachtet werden darf.

Insbesondere die mögliche Auswertung umfangreicher Chatverläufe zur Erstellung von Persönlichkeitsprofilen wirft erhebliche datenschutzrechtliche Fragen auf.

Für Unternehmen ist deshalb entscheidend, die eigenen KI-Anwendungen rechtlich zu bewerten, den Umgang mit personenbezogenen Daten verbindlich zu regeln und die Verarbeitung durch externe Anbieter nachvollziehbar zu gestalten.

Wer KI rechtssicher einsetzen möchte, sollte Datenschutz nicht erst prüfen, wenn bereits ein Vorfall eingetreten ist.

Anwaltliche Beratung zu KI und Datenschutz

Nutzen Sie ChatGPT, Microsoft Copilot oder andere KI-Anwendungen in Ihrem Unternehmen?

Wir unterstützen Unternehmen bei der datenschutzrechtlichen Prüfung ihrer KI-Systeme, der Gestaltung geeigneter Vereinbarungen mit KI-Anbietern und der Entwicklung interner KI-Richtlinien.

Dazu gehört insbesondere die rechtliche Bewertung der Verarbeitung personenbezogener Daten, möglicher Datenschutzrisiken und der Anforderungen der DSGVO.

Lassen Sie den Einsatz künstlicher Intelligenz in Ihrem Unternehmen rechtlich prüfen und nehmen Sie Kontakt mit uns auf.

Quellen für den Artikel

Die aktuelle Nachricht stützt sich insbesondere auf die Veröffentlichungen der Datenschutzaufsichtsbehörden:

Die Warnungen der Behörden sind der konkrete Nachrichtenanlass. Die Abschnitte zu Unternehmenspflichten, Haftung und DSGVO sind die ergänzende rechtliche Einordnung.