Kundendaten in ChatGPT? Das kann passieren

ChatGPT ist in den Alltag von KMU eingebrochen wie ein Windstoß. Praktisch. Schnell. Beeindruckend. Und in der Basisversion kostenlos. Das Problem: Was in einem börsennotierten US-Unternehmen gratis wirkt, ist selten wirklich gratis. Die Daten, die Sie dort einfügen, haben Wert — für sie. Nicht für Sie.

Drei konkrete Fälle aus diesem Jahr, anonymisiert, aber real.

Fall 1: Die Kanzlei, die eine Scheidungsakte „zusammengefasst“ hat

Ein Partner einer kleinen Kanzlei hat eine komplette Scheidungsakte — 47 Seiten, vollständige Identitäten, Finanzlagen, sensible Unterlagen — in ChatGPT kopiert, um schnell eine Zusammenfassung zu erhalten.

Was er nicht wusste: Standardmäßig kann OpenAI Gespräche zur Verbesserung der Modelle speichern. Das Konto der Kanzlei war kein „Enterprise“-Konto, das diese Erhebung abschaltet. Die Aktdaten landeten auf Servern in den USA, ohne vertragliche Zusage zum Umgang damit.

Die Kosten: internes Audit wegen der anwaltlichen Berufspflicht, Meldung an die Datenschutzbehörde zur Nachverfolgbarkeit, drei Tage blockierte Arbeit, um die Kette der Ereignisse zu rekonstruieren. Und ein Mandant verloren, als die Geschichte zufällig bei ihm ankam.

Fall 2: Der Steuerberater, der „nur“ Daten extrahieren wollte

Eine Steuerkanzlei klebte Bilanzen von Mandanten routinemäßig in ChatGPT, um Kennzahlen automatisch zu ziehen. Im Schnitt 200 Bilanzen pro Monat auf OpenAI-Servern.

Bei einer Verwaltungsprüfung beim Mandanten fiel auf: Ein Screenshot eines ChatGPT-Austauschs mit exakten Mandantenzahlen tauchte in der Konversation einer anderen Kanzlei auf — vermutlich durch vermischte Kontexte bei OpenAI oder versehentliche Weitergabe.

Die Kosten: Berufshaftungsklage wegen Verletzung der Schweigepflicht, Versicherungsprämie im Folgejahr verdoppelt, Verlust von vier Mandanten, die Souveränitätsfragen ernst nehmen.

Fall 3: Die Beratung, die ihr eigenes „GPT“ veröffentlichte

Ein Beratungs-KMU baute ein Custom-GPT für den Vertrieb: Kundenstamm, Gesprächsprotokolle, Preise, Verhandlungsstrategie. Praktisch, um in zwei Minuten ein Meeting vorzubereiten.

Nur: Custom-GPT-Funktionen können standardmäßig Teile der Anweisungen und Daten des Erstellers preisgeben, wenn man dem Modell die richtigen Fragen stellt. Ein neugieriger Wettbewerber stellte dem GPT in einem normalen Chat Fragen und erhielt eine interne Preistabelle.

Die Kosten: verlorene Ausschreibungen, weil Margen bekannt waren, kompletter Umbau des Vertriebssystems, und Unbehagen intern: „Wer hätte das Risiko sehen sollen?“

Das Grundproblem

Keiner dieser Fehler war böswillig. Alle kamen von einem Produktivitätsreflex, der logisch wirkt: „Ich habe ein starkes Tool, ich habe ein Dokument, ich füge ein, es geht schneller“.

Solange das Tool in der Cloud liegt, woanders, unter fremdem Recht, können Sie nicht garantieren, was nach dem Einfügen mit Ihren Daten passiert. AGB ändern sich. Einstellungen ändern sich. Lecks passieren.

Was Sie konkret tun können

1. Schriftliche Regel: „Keine Kundendaten auf ein ausländisches Cloud-Tool“. Alle unterschreiben. So einfach.
2. Enterprise-Konto kaufen, wenn Sie bei ChatGPT bleiben wollen — Erhebung standardmäßig aus. Abrechnung zentral, pro Nutzer und Monat.
3. Oder einen Assistenten installieren, dessen Index bei Ihnen bleibt. Genau das bauen wir bei Arobass.

Test anfragen — wir installieren eine AroBox bei Ihnen. Dokumente und Index bleiben auf der Box. Für Antworten gehen Frage und relevante Auszüge verschlüsselt zur Arobass-Infrastruktur.