DSGVO & ChatGPT: JIT-Anonymisierung im Kundensupport
Aktualisiert für 2026
Der Datentransfer-Konflikt
Support-Teams nutzen ChatGPT zum Verfassen von Antworten. Das schafft ein DSGVO-Problem. Kundennamen, Bestellnummern und Adressen sind personenbezogene Daten. Sie an ChatGPT zu senden bedeutet, sie an OpenAI-Server in den USA zu übertragen.
DSGVO Artikel 46 regelt Übermittlungen in Drittländer. Er verlangt geeignete Garantien. Dazu zählen Standardvertragsklauseln (SCC), Angemessenheitsbeschlüsse und verbindliche interne Datenschutzvorschriften.
OpenAI bietet SCCs für Enterprise-Kunden an. Viele Support-Teams nutzen jedoch Standard-Verbraucherkonten. Diese Konten bieten nicht denselben vertraglichen Schutz. Ein EU-Audit aus dem Jahr 2024 ergab, dass 63 % der ChatGPT-Nutzereinträge von Konten stammten, die die Enterprise-Schutzeinstellungen nicht aktiviert hatten.
Italiens Garante zeigt, wohin die Durchsetzung führt. Im Dezember 2024 verhängte die Behörde gegen OpenAI eine Geldbuße von 15 Millionen Euro. Drei Mängel begründeten das Bußgeld: keine gültige Rechtsgrundlage, mangelnde Transparenz beim Training und keine Altersverifikation für Minderjährige. Zu diesem Zeitpunkt verfügten 63 % der italienischen Unternehmen nicht über DSGVO-konforme KI-Richtlinien.
JIT-Anonymisierung löst das Problem
Just-in-time (JIT)-Anonymisierung verhindert, dass personenbezogene Daten ChatGPT erreichen. Sie greift im Moment der Eingabe — noch vor der Übertragung an OpenAI.
So funktioniert es. Ein Support-Mitarbeiter fügt eine Kundenbeschwerde in ChatGPT ein. Die Browser-Erweiterung fängt den Einfügevorgang ab. Sie erkennt Name, Bestellnummer und Adresse. Der Mitarbeiter sieht eine Vorschau. Er bestätigt die Weiterleitung. ChatGPT erhält eine bereinigte Version mit Token anstelle der Identifikatoren.
ChatGPT erstellt eine Antwort auf Basis dieser Token. Die Erweiterung tauscht die Token gegen echte Werte aus. Der Mitarbeiter sieht den echten Kundennamen in der Antwort. ChatGPT hat diesen Namen nie verarbeitet.
Nach diesem Konzept greift DSGVO Artikel 46 nicht. Was OpenAI erreicht, sind keine personenbezogenen Daten im Sinne der DSGVO. Name und Adresse des Kunden verbleiben im Browser des Mitarbeiters — innerhalb der EU. Die Konformität ist strukturell. Sie beruht nicht allein auf Verträgen. Unsere Compliance-Dokumentation erklärt, was Sie festhalten müssen.
Warum vertragliche Garantien nicht ausreichen
SCCs und Auftragsverarbeitungsverträge sind gültige Instrumente. Doch sie bergen laufende Risiken. Sie setzen voraus, dass Mitarbeiter das richtige Kontotier nutzen. Sie erfordern Verlängerung und Prüfung. Ein einziger Fehler kann die Kette brechen.
Technische Maßnahmen sind dauerhafter. Wenn personenbezogene Daten den Browser nie als identifizierbare Eingabe verlassen, kann kein Vorfall sie preisgeben. Das 15-Millionen-Bußgeld des Garante bestätigt diese Sichtweise. Der Kernfehler war das Fehlen technischer Kontrollen — nicht nur fehlende Unterlagen. Unser Sicherheitsüberblick beschreibt den mehrschichtigen Ansatz.
JIT-Anonymisierung einrichten
Drei Schritte genügen.
Browser-Erweiterung installieren. Die Chrome Extension setzt sich zwischen den Mitarbeiter und das KI-Tool. Das KI-Tool selbst muss nicht angepasst werden.
Entitätserkennung konfigurieren. Aktivieren Sie die für Ihre Kunden relevanten Entitätstypen: Namen, Adressen, E-Mail-Adressen, Telefonnummern, Bestellnummern und nationale ID-Formate Ihrer Region.
Prüfprotokoll aktivieren. Aufsichtsbehörden verlangen Nachweise, dass Kontrollen aktiv waren. Ein Protokolleintrag pro Ereignis — Zeitstempel, Entitätstypen, Anzahl — liefert Prüfern das nötige Beweismaterial. Keine personenbezogenen Inhalte werden gespeichert. Weitere Informationen finden Sie in unseren FAQ.