KI & Automation20 min Lesezeit11.6.2025

ChatGPT speichert Daten dauerhaft - Konsequenzen für Entwickler, Unternehmen und Endnutzer

US-Gericht verpflichtet OpenAI zur unbegrenzten Speicherung aller ChatGPT-Konversationen. Was bedeutet das für Datenschutz, DSGVO-Compliance und die praktische Nutzung von KI-Diensten? Ein umfassender Leitfaden.

Alexander Schikowsky
Alexander SchikowskyIT-Recht & KI-Compliance Experte

Im Mai 2025 hat ein US-Gericht einen Beschluss erlassen, der OpenAI verpflichtet, sämtliche ChatGPT-Konversationen vorerst aufzubewahren – auch solche, die eigentlich hätten gelöscht werden sollen. Diese Anordnung ist Teil eines Urheberrechtsstreits zwischen OpenAI und mehreren großen Verlagshäusern (u. a. der New York Times). Die Kläger argumentieren, dass ChatGPT urheberrechtlich geschützte Inhalte ihrer Artikel in Antworten wiedergibt, sodass Nutzer diese Inhalte lesen können, ohne die Originalquellen zu besuchen. Deshalb sollen nun alle Chatprotokolle – selbst vom Nutzer gelöschte – als potenzielle Beweismittel erhalten bleiben. OpenAI kritisiert die Entscheidung scharf und warnt vor einem gefährlichen Präzedenzfall, der die Privatsphäre seiner Nutzer massiv einschränkt. Obwohl das Unternehmen Rechtsmittel einlegt, muss es der Verfügung vorerst nachkommen und sämtliche Nutzerdaten 'auf Eis legen', bis das Gericht anders entscheidet.

Dieser Beitrag ordnet die Auswirkungen dieser Maßnahme für drei Gruppen ein: Entwickler, Unternehmen und Endnutzer – mit besonderem Blick auf europäische Datenschutzvorgaben (DSGVO), technische Umsetzbarkeit und wirtschaftliche Folgen.

Auswirkungen für Entwickler

Entwickler, die GPT-APIs oder ähnliche KI-Dienste in ihre Anwendungen einbinden, stehen nun vor neuen Anforderungen und Vorsichtsmaßnahmen. Durch die gerichtliche Anordnung werden sämtliche API-Interaktionen mit ChatGPT protokolliert und vorerst unbegrenzt gespeichert – auch solche, die OpenAIs Richtlinien normalerweise nach 30 Tagen löschen würden. Bisher konnten Developer und Nutzer darauf vertrauen, dass deaktivierte Chat-Verläufe oder manuell gelöschte Konversationen tatsächlich aus den Systemen verschwinden. Diese Annahme gilt nun nicht mehr. Insbesondere Standard-API-Kunden ohne besondere Datenschutzvereinbarungen sind von der Pflicht zur Datenspeicherung betroffen. Lediglich ChatGPT Enterprise- und Edu-Kunden sowie API-Nutzer mit Zero Data Retention (einem Angebot, bei dem keine Nutzerdaten gespeichert werden) sind ausgenommen – in diesen Fällen werden gelöschte Chats weiterhin planmäßig nach 30 Tagen entfernt. Für alle anderen heißt es jedoch, dass sämtliche Prompt-Eingaben und KI-Antworten vorerst in OpenAIs Logs verbleiben.

Logging & Datenmanagement

Entwickler sollten in ihren Anwendungen nun transparenter kommunizieren, welche Daten an externe KI-Dienste geschickt und dort gespeichert werden. Gegebenenfalls sind Privacy-Notices und Nutzungsbedingungen anzupassen, um Endanwender über die neue dauerhafte Speicherung zu informieren. Zudem ist zu überlegen, eigene Logs und Persistenz auf das Nötigste zu beschränken, um keine unnötigen Doppelaufzeichnungen sensibler Daten zu erzeugen. Prinzipien der Datenminimierung und Zweckbindung nach DSGVO wirken hier unmittelbar: An ChatGPT sollten nur die Informationen gehen, die für die gewünschte Funktion erforderlich sind.

Anonymisierung & Privacy-by-Design

Wo möglich, sollten Entwickler personenbezogene Daten anonymisieren oder pseudonymisieren, bevor sie diese an die KI senden. So können etwa Klarnamen, Kundendaten oder Identifikationsnummern durch Platzhalter ersetzt werden, ohne den Sinn der Anfrage zu verfälschen. Dadurch bleiben die vom KI-Dienst protokollierten Inhalte für Dritte weniger aussagekräftig, falls doch ein Zugriff erfolgt. Die DSGVO schreibt Privacy by Design vor – also Datenschutz durch Technikgestaltung. Entwickler müssen diese Grundsätze bereits bei der Architektur ihrer Anwendungen berücksichtigen. Konkret heißt das, Funktionen wie Verlauf speichern standardmäßig auszuschalten (opt-in statt opt-out), wenn Chats potentiell sensible Daten enthalten, und den Nutzern Kontrolle über ihre Daten zu geben. Allerdings wird genau diese Kontrolle nun durch die gerichtliche Order eingeschränkt, da selbst mit "History Off"-Einstellung die Daten im Hintergrund erhalten bleiben. Developer stehen also vor dem Dilemma, Benutzer zwar eine Lösch-Funktion anzubieten, aber technisch sicherstellen zu müssen, dass übermittelte Daten notfalls dennoch abrufbar sind (weil OpenAI sie behält). Es empfiehlt sich, Nutzereingaben vor dem Senden kritisch zu filtern (z. B. keine Kreditkartennummern oder intime Details durchlassen) und Nutzer aktiv darauf hinzuweisen, keine sensiblen Informationen einzugeben.

Vertrags- und Sicherheitsaspekte

Entwickler, insbesondere in Europa, sollten prüfen, ob ihre Nutzung von ChatGPT-APIs nun einer neuen vertraglichen Regelung bedarf – etwa in Form eines angepassten Datenverarbeitungsvertrags (Data Processing Agreement) mit OpenAI, der die längerfristige Speicherung und den Datenschutz abdeckt. Auch muss die IT-Sicherheit neu bewertet werden: Dauerhaft gespeicherte Chat-Inhalte stellen ein potenzielles Ziel für Datendiebstahl dar. Zwar betont OpenAI, dass die gespeicherten Logs nur von einem kleinen, geprüften Legal-Team eingesehen werden dürfen und nicht automatisch mit den Klägern geteilt werden. Trotzdem sollten Entwickler bei der Integration von KI-Diensten stets ein hohes Schutzniveau (Verschlüsselung, Zugriffsbeschränkungen, regelmäßige Sicherheitsaudits) gewährleisten. Für Entwickler heißt das: Privacy by Design muss ab jetzt in Architektur und Code sichtbar werden, um trotz externer Datenspeicherung die Privatsphäre der Nutzer so weit wie möglich zu wahren.

Auswirkungen für Unternehmen

Für Unternehmen, die KI-Dienste wie ChatGPT geschäftlich einsetzen, bringt die verpflichtende Chat-Protokollierung sowohl Risiken als auch (wenige) Chancen mit sich. Aus Compliance- und Datenschutz-Sicht überwiegen zunächst die Risiken:

Datenschutzrisiken & DSGVO

Die neue Dauer-Speicherung kollidiert mit europäischen Datenschutzgrundsätzen. Nach Art. 5 DSGVO sollen personenbezogene Daten nur so lange gespeichert werden, wie es für den Zweck notwendig ist – eine indefinite Vorratsspeicherung von Chat-Inhalten passt kaum zu diesem Prinzip. Zudem haben Nutzer ein Recht auf Löschung (Art. 17 DSGVO); dieses können sie nun faktisch nicht ausüben, solange das Gericht die Aufbewahrung fordert. OpenAI selbst gibt zu, dass man unter diesen Umständen möglicherweise nicht vollständig DSGVO-konform agieren kann. Für europäische Unternehmen bedeutet das: Wenn im Chatverlauf personenbezogene Daten von EU-Bürgern enthalten sind, besteht ein erhebliches Compliance-Risiko. Unternehmen müssen prüfen, ob sie sich bei Nutzung von ChatGPT nun in Konflikt mit der DSGVO begeben – etwa, indem sie personenbezogene Kundendaten an einen Dienst übermitteln, der diese nicht wie vereinbart löscht. Interne Datenschutz-Richtlinien, die bisher auf kurze Löschfristen oder Datenminimierung setzten, werden durchkreuzt. Im schlimmsten Fall drohen regulatorische Maßnahmen: Schon 2023 hatte Italien ChatGPT zeitweise blockiert, bis OpenAI Datenschutzauflagen erfüllte. Ähnlich könnten europäische Behörden jetzt reagieren, falls die unbegrenzte Datenspeicherung als Verstoß gegen EU-Recht gewertet wird.

Vertraulichkeit & Geheimhaltung

Viele Unternehmen untersagen ihren Mitarbeitern schon jetzt, vertrauliche Informationen oder Geschäftsgeheimnisse in öffentliche KI-Systeme einzugeben. Der Grund: Die Eingaben könnten Teil des KI-Trainings werden oder in fremden Logs landen. Mit der neuen Order besteht nun die Gewissheit, dass jede übermittelte Information langfristig auf den Servern von OpenAI verbleibt. Für Unternehmen erhöht dies das Leakage-Risiko: Sollte es (jetzt oder in Zukunft) zu einem Datenleck oder einer rechtlichen Offenlegung kommen, könnten sensible Unternehmensdaten offengelegt werden. Dieser Umstand könnte Unternehmen auch haftbar machen, etwa wenn personenbezogene Mitarbeiter- oder Kundendaten betroffen sind. Unternehmen müssen ihre internen Richtlinien daher überarbeiten und gegebenenfalls die Nutzung von ChatGPT stärker reglementieren oder einschränken, insbesondere in datensensiblen Bereichen (z. B. im Rechtswesen, Gesundheitswesen oder F&E mit vertraulichen Informationen).

Revisionssicherheit & Beweissicherung

Auf der Chancen-Seite steht, dass die verpflichtende Protokollierung eine Art Revisionssicherheit mit sich bringt. Sämtliche KI-Interaktionen werden nachvollziehbar gespeichert. Für Branchen mit strengen Aufzeichnungspflichten (z. B. Finanzdienstleister, die Kundenkommunikation archivieren müssen) könnte dies theoretisch von Nutzen sein. Unternehmen hätten im Streitfall Zugriff auf den exakten Verlauf von KI-Abfragen ihrer Mitarbeiter oder Nutzer. So ließe sich z. B. prüfen, ob kein unzulässiges Wissen abgeflossen ist oder ob die KI möglicherweise falsche Auskünfte gab, die zu Schaden führten. Allerdings ist dieser Vorteil in der Praxis begrenzt, da die gespeicherten Daten bei OpenAI liegen und laut deren Aussage nur einem speziellen Legal-Team zugänglich sind. Für ein einzelnes Unternehmen sind die eigenen Chat-Daten also nicht ohne Weiteres abrufbar, sondern verbleiben im 'evidenzsicheren Tresor' bei OpenAI – vorrangig für gerichtliche Zwecke. Eine direkte operative Nutzung dieser Logs (etwa für interne Audits) ist nicht vorgesehen.

Technische und wirtschaftliche Folgen

Aus technischer Sicht bedeutet die neue Anforderung Mehraufwand und Kosten – und zwar auch für OpenAI selbst. Das Unternehmen gab an, dass die Engineering-Arbeiten, um eine solche dauerhafte Datenspeicherung technisch umzusetzen, mehrere Monate Entwicklungszeit beanspruchen. Dies zeigt, dass der Prozess alles andere als trivial ist: Zusätzliche Speicherinfrastruktur, segregierte Datenhaltung (damit die Daten zwar aufbewahrt, aber nicht normal weiterverarbeitet werden), und Anpassungen an Löschroutinen sind nötig. Die Kosten dafür könnten sich langfristig in den Preisen für KI-Dienste niederschlagen. Für Unternehmen als Kunden stellt sich somit die Frage, ob die Nutzung externer KI-Services wirtschaftlich und datenschutzrechtlich noch gerechtfertigt ist – oder ob Alternativen gesucht werden sollten.

Strategische Überlegungen – Self-Hosting & Open Source

Angesichts der Unsicherheiten erwägen manche Unternehmen strategische Änderungen. Eine Option ist der Umstieg auf interne KI-Lösungen: Statt ChatGPT über die Cloud zu nutzen, können Unternehmen Large Language Models (LLMs) auf eigenen Servern oder in einer privaten Cloud betreiben. Durch solch internes Hosting behalten sie die volle Kontrolle über die Daten – Löschfristen und Logs kann man selbst bestimmen, und fremde Gerichtsbeschlüsse haben darauf keinen direkten Zugriff. Open-Source-Modelle wie LLaMA, GPT-J oder GPT4All haben in letzter Zeit erhebliche Fortschritte gemacht. Ihr Vorteil liegt neben Kostenersparnis vor allem in der Datensouveränität: Die Daten bleiben im Haus, was Datenschutzbedenken erheblich reduziert. Allerdings müssen Firmen dafür in Expertise und Rechenressourcen investieren, und die Leistungsfähigkeit dieser Modelle kann (noch) hinter dem marktführenden GPT-4 zurückstehen. Eine Zwischenlösung sind Enterprise-Angebote von OpenAI selbst: So bietet ChatGPT Enterprise vertraglich zusicherbare Datenschutz-Features (etwa die erwähnte Zero-Data-Retention-Option) und Datenverbleib in der EU-Region für europäische Kunden. Unternehmen sollten also ihre KI-Strategie überprüfen: Lässt sich der Nutzen von ChatGPT rechtfertigen, wenn Logs extern konserviert werden? Oder ist jetzt der Zeitpunkt, auf privacy-freundlichere Alternativen umzuschwenken? Diese Entscheidung wird je nach Branche und Anwendungsfall unterschiedlich ausfallen, aber klar ist: Die Thematik KI und Datenschutz landet künftig gemeinsam auf dem Tisch von Compliance- und IT-Abteilungen.

Auswirkungen für Endnutzer

Auch für die Endnutzer von ChatGPT – ob private Anwender oder Mitarbeiter, die es im Arbeitsalltag verwenden – ergeben sich wichtige Veränderungen. Bisher galt: Wenn man den ChatGPT-Verlauf deaktivierte oder einzelne Chats in ChatGPT löschte, waren diese für einen selbst und laut OpenAI auch auf deren Server endgültig verschwunden (spätestens nach 30 Tagen). Jetzt werden alle Chats gespeichert, unabhängig von Benutzereinstellungen. Welche Daten sind betroffen? Im Grunde der gesamte Inhalt der Konversationen: also die vom Nutzer eingegebenen Prompt-Fragen oder Anweisungen und die vom KI-Modell generierten Antworten. Selbst wenn ein Chat in der Oberfläche als 'gelöscht' markiert oder ein temporärer Modus benutzt wird, bleiben die Daten im Hintergrund erhalten. Unklar ist, wie lange – die Aufbewahrung gilt bis auf Weiteres, d. h. bis ein Gericht etwas anderes entscheidet. Endnutzer müssen sich also darauf einstellen, dass kein Gespräch mit ChatGPT wirklich privat oder vergänglich ist. Alles, was man dem Assistenten anvertraut, könnte theoretisch Jahre später noch abrufbar sein.

Schutz der Privatsphäre

Für Nutzer gibt es nur begrenzte Möglichkeiten, ihre Privatsphäre unter diesen Umständen zu wahren – aber einige Vorsichtsmaßnahmen sind dringend angeraten. Der wichtigste Tipp: Keine sensiblen oder persönlich identifizierenden Informationen mit ChatGPT teilen, sofern einem die Vertraulichkeit wichtig ist. Formulieren Sie Eingaben möglichst abstrakt oder allgemein. Teilen Sie z. B. keine echten Namen, Adressen, Kundendaten, Passwörter, Geschäftszahlen oder ähnliches über den Chat. Je weniger persönliche Daten im Gespräch vorkommen, desto geringer das Risiko, dass etwas davon in falsche Hände gerät. Als Nutzer sollte man außerdem die Entwicklungen beobachten: OpenAI informiert öffentlich über Änderungen – etwa, sollte das Gericht die Order wieder aufheben, wird das Unternehmen dies mitteilen. Europäische Nutzer können zudem von ihren Rechten Gebrauch machen (z. B. Auskunftsersuchen stellen, welche Daten über sie gespeichert sind). Zwar könnte eine direkte Löschanfrage aktuell mit Verweis auf das Gerichtsverfahren abgelehnt werden, doch zumindest bleibt man so im Dialog mit dem Anbieter. Ein weiterer Ansatz für versierte Nutzer ist die Nutzung von Alternativen: Es existieren bereits Open-Source-Chatbots und Offline-LLM-Tools, die man lokal ausführen kann. Diese haben zwar oft nicht die volle Leistungsfähigkeit von GPT-4, bieten aber den Vorteil, dass die Daten ausschließlich auf dem eigenen Rechner bleiben. Für sehr datensensible Unterhaltungen könnte dies eine Überlegung wert sein.

In den ChatGPT-Einstellungen lassen sich mehrere Schalter umlegen. Unter "Personalisierung" regelt die Option "Erinnerungen", ob Sie ChatGPT erlauben, Daten im dauerhaften Speicher zu speichern. Was dort landet, ist ein dauerhafter Speicher über einzelne Unterhaltungen hinweg und fließt in spätere Antworten ein. Unter "Datenkontrollen" schaltet "Für alle verbessern" ab, dass Eingaben ins Modelltraining fließen. Wer den ChatGPT-Verlauf leeren möchte, löscht einzelne Chats in ChatGPT über das Kontextmenü der Unterhaltung oder wählt "Alle Chats löschen"; wer den Dienst ganz verlässt, kann dort auch sein Konto löschen. Diese Schalter wirken auf Ansicht, Erinnerungen und Training. Die gerichtlich angeordnete Aufbewahrung heben sie nicht auf.

Auch ein Anbieterwechsel ist eine Option: Anthropic bietet für seine kommerziellen Claude-Angebote einen Auftragsverarbeitungsvertrag und verwendet Unternehmens-Eingaben standardmäßig nicht für das Training. Was dabei im Detail gilt – und wo auch bei Claude Fallstricke liegen –, zeigt unser Leitfaden Claude DSGVO-konform nutzen.

Vertrauen und Transparenz

Die Pflicht zur Chat-Archivierung stellt das Vertrauensverhältnis zwischen Nutzern und KI-Diensten auf die Probe. Viele hatten KI-Assistenten als halb-private Dialogpartner betrachtet – nun wird deutlich, dass jede Interaktion potenziell einer späteren Überprüfung unterzogen werden könnte. Dieses Wissen dürfte bei einigen Nutzern zu Zurückhaltung führen: Man überlegt sich nun zweimal, was man der KI preisgibt. Andererseits hat OpenAI die Situation selbst transparent gemacht: Das Unternehmen veröffentlichte eine Stellungnahme und ein FAQ, in dem es die Hintergründe erläutert und versichert, dass die aufbewahrten Chatlogs nicht frei zugänglich sind. Laut OpenAI werden die Daten nicht automatisch an die Kläger (z. B. die New York Times) herausgegeben, sondern lediglich von einem streng kontrollierten internen Team für rechtliche Zwecke vorgehalten. Dieses Maß an Transparenz und der Umstand, dass OpenAI aktiv gegen die Verfügung vorgeht, könnten bei einigen Nutzern Schadensbegrenzung im Vertrauensverlust leisten. So betonte CEO Sam Altman öffentlich: We will fight any demand that compromises our users privacy; this is a core principle – man werde also jede Forderung bekämpfen, die die Privatsphäre der Nutzer aushöhlt. Dennoch bleibt ein mulmiges Gefühl: Der Fall zeigt, dass sogar ein weltweit führender Dienst für künstliche Intelligenz den Datenschutz-Versprechen an seine Nutzer nicht uneingeschränkt nachkommen kann, wenn staatliche Stellen (hier ein Gericht) etwas anderes anordnen. Langfristig könnte dieser Präzedenzfall das Vertrauen in KI-Dienste allgemein beeinflussen – insbesondere in Europa, wo Datenschutz traditionell einen hohen Stellenwert genießt. Nutzer und Behörden werden vermutlich stärkere Garantien verlangen, dass persönliche Daten auch bei der Nutzung von KI unter Kontrolle des Nutzers bleiben.

Was Unternehmen jetzt tun sollten

Die Aufbewahrungsanordnung ist nichts, was sich aussitzen lässt: Solange sie gilt, verlässt jede Eingabe in das öffentliche ChatGPT dauerhaft Ihren Kontrollbereich. Die folgenden sechs Schritte lassen sich ohne Projektbudget in wenigen Wochen umsetzen und decken die häufigsten Prüfpunkte einer Datenschutz-Aufsicht ab.

  1. Bestandsaufnahme in zwei Wochen: Klären Sie, wer im Unternehmen ChatGPT, Claude oder Gemini bereits nutzt - meist über privat angelegte Konten. Ohne diese Liste ist jede weitere Maßnahme Symbolpolitik.

  2. Verbindliche KI-Richtlinie statt Verbot: Ein pauschales Verbot verlagert die Nutzung nur ins Private. Legen Sie stattdessen schriftlich fest, welche Datenkategorien nie in ein öffentliches Modell gehören - Personendaten, Kundendaten, Quellcode, Vertragsentwürfe, unveröffentlichte Zahlen.

  3. Auf kommerzielle Verträge umstellen: API-, Team- und Enterprise-Angebote bringen einen Auftragsverarbeitungsvertrag mit und schließen das Training auf Ihren Daten vertraglich aus. Der Preisunterschied zu Einzel-Pro-Lizenzen ist bei zentraler Anbindung meist geringer als erwartet.

  4. Verarbeitungsverzeichnis und TOM nachziehen: KI-Dienste gehören als eigener Verarbeitungsvorgang ins Verzeichnis nach Art. 30 DSGVO, inklusive Rechtsgrundlage, Drittlandtransfer und Löschkonzept. Genau hier fällt bei Prüfungen zuerst auf, dass ein Dienst ungeregelt im Einsatz ist.

  5. EU-Hosting oder eigenes Modell prüfen: Für sensible Anwendungsfälle trägt ein Open-Weight-Modell im EU-Rechenzentrum oder on-premises am weitesten - dort greift keine fremde Aufbewahrungsanordnung. Wie ein solches Modell auf eigene Unternehmensdaten spezialisiert wird, beschreibt unser Praxis-Guide zum Fine-Tuning von KI-Modellen.

  6. Einmal im Quartal nachschärfen: Anbieterbedingungen ändern sich schneller als interne Richtlinien. Setzen Sie einen festen Termin, an dem Nutzung, Verträge und Modellauswahl neu bewertet werden.

DSGVO-konforme KI-Nutzung im Unternehmen

Bestandsaufnahme, KI-Richtlinie, AVV und EU-Hosting: Wir setzen die sechs Schritte oben gemeinsam mit Ihnen um.

Kostenloses Erstgespräch vereinbaren

Wer diese Schritte nicht nebenbei erledigen will: Wir begleiten mittelständische Unternehmen genau dabei - von der Bestandsaufnahme über die Richtlinie bis zum produktiven Betrieb. Einen Überblick gibt unsere Seite zu DSGVO-konformen KI-Lösungen; wenn es um die technische Anbindung an bestehende Systeme geht, ist die KI-Integration der passende Einstieg.

Fazit

Der Zwang für OpenAI, ChatGPT-Chats umfassend zu protokollieren, macht deutlich, wie heikel die Balance zwischen rechtlichen Anforderungen und Datenschutz ist. Entwickler müssen nun noch sorgfältiger Privacy-by-Design-Prinzipien umsetzen und den Datenfluss zu KI-Diensten kritisch hinterfragen. Unternehmen sehen sich mit neuen Compliance-Fragen konfrontiert – von DSGVO-Risiken bis hin zur strategischen Grundsatzentscheidung, ob externe KI-Dienste unter diesen Bedingungen überhaupt einsetzbar sind. Und Endnutzer schließlich sind gut beraten, bewusster mit ihren Eingaben umzugehen und nicht blind auf vermeintliche Anonymität oder Vergessenwerden im KI-Kontext zu vertrauen.

In Europa hängt viel an klaren Regulierungen für KI: Es braucht transparente Regeln, wie mit den riesigen Datenmengen umgegangen wird, die moderne KI-Systeme erzeugen – sei es durch Gerichte, die Verhältnismäßigkeit wahren müssen, oder durch Gesetze (wie den kommenden EU AI Act), die Nutzerdaten schützen. Für den Moment gilt: Lieber vorsichtig sein, welche Informationen man preisgibt, und Alternativen prüfen, wenn höchste Vertraulichkeit gefragt ist. OpenAIs Gerichtsstreit mag letztlich klären, wie weit der Zugriff auf KI-Logs zu Beweiszwecken gehen darf. Unabhängig vom Ausgang hat er schon jetzt weltweit die Sensibilität für Datenschutz beim Einsatz von KI geschärft – bei Entwicklern, Unternehmen und Nutzern gleichermaßen.

Wenn Ihr Unternehmen KI nutzen will, ohne dass Eingaben unter US-Aufbewahrungspflichten fallen, gibt es gangbare Wege: kommerzielle API-Verträge mit Zero-Data-Retention, EU-Hosting oder selbst betriebene Open-Weight-Modelle. Welche Variante zu Ihrer Datenlage passt, klären wir im Rahmen unserer DSGVO-konformen KI-Lösungen – die technischen Optionen im Detail beschreibt unser Leitfaden zum DSGVO-konformen KI-Hosting.

Quellen

Häufig gestellte Fragen

Wie lange speichert ChatGPT meine Daten?

Seit der gerichtlichen Anordnung im US-Verfahren NYT gegen OpenAI muss OpenAI alle ChatGPT-Ausgaben unbefristet aufbewahren – auch Chats, die sonst nach 30 Tagen gelöscht würden. Die übliche 30-Tage-Löschfrist ist für betroffene Daten ausgesetzt.

Speichert ChatGPT auch gelöschte Chats?

Ja. Durch die gerichtliche Aufbewahrungsanordnung muss OpenAI auch gelöschte und temporäre Chats vorhalten. Das Löschen im Interface entfernt den Chat nur aus Ihrer Ansicht, nicht aus dem angeordneten Speicher.

Kann ChatGPT vor Gericht als Beweismittel verwendet werden?

Grundsätzlich ja: Gespeicherte Chatverläufe können in Gerichtsverfahren herausgegeben werden. Für Unternehmen heißt das, dass in ChatGPT eingegebene Geschäfts- und Personendaten potenziell justiziabel sind und entsprechend behandelt werden sollten.

Gibt OpenAI ChatGPT-Daten an Behörden oder Dritte weiter?

Im Rahmen rechtlicher Anordnungen kann OpenAI zur Herausgabe verpflichtet werden. Da die Daten in den USA liegen, greifen zudem US-Gesetze wie der CLOUD Act. Für DSGVO-relevante Daten ist das ein erhebliches Risiko.

Speichert ChatGPT Daten auch ohne Anmeldung?

Ja. Auch ohne Benutzerkonto werden Eingaben verarbeitet und können unter die Aufbewahrungspflicht fallen. Eine Anmeldung ist für die Speicherung nicht erforderlich.

Was sollten Unternehmen jetzt konkret tun?

Keine personenbezogenen oder vertraulichen Daten in das öffentliche ChatGPT eingeben, Mitarbeitende sensibilisieren und auf DSGVO-konforme Alternativen mit EU-Hosting und Auftragsverarbeitungsvertrag umstellen. Unsere DSGVO-Checkliste fasst die wichtigsten Schritte zusammen.

Teilen Sie diesen Artikel: