System im Einsatz

ChatGPT ist schon im Einsatz

Die Stelle, die die Aufgabe stellt, entscheidet über Zweck und Mittel und ist damit nach Art. 4 Nr. 7 DSGVO verantwortlich, auch wenn das Konto privat ist. Ohne Vertrag nach Art. 28 Abs. 3 DSGVO fehlen Weisung, Unterauftragnehmerliste und Unterstützung bei Betroffenenrechten. Ein geregelter Zugang beschafft diese drei und macht den Einsatz überhaupt dokumentierbar.

Ein Sprachmodell ohne Freigabe im Einsatz

In zwei Abteilungen wird seit Monaten mit einem Sprachmodell gearbeitet. Die Konten laufen auf private Adressen, die Aufgaben sind betriebliche. In den Eingaben stehen Namen von Kundinnen. Eine Freigabe gibt es nicht, ein Verbot auch nicht.

Das private Konto ändert die Verantwortlichkeit nicht

Wer verantwortlich ist, entscheidet sich nach Art. 4 Nr. 7 DSGVO an der Entscheidung über Zwecke und Mittel. Den Zweck setzt die Aufgabe. Die Aufgabe kommt vom Arbeitgeber.

Daraus folgt eine unbequeme Lage. Die Verantwortlichkeit liegt beim Arbeitgeber, die Daten liegen in einem Konto, auf das er keinen Zugriff hat. Der Nachweis nach Art. 5 Abs. 2 DSGVO ist über eine Verarbeitung zu führen, die er nicht kennt.

Ohne Vertrag fehlen drei Dinge, die alle drei gebraucht werden

Was ohne einen Vertrag mit dem Anbieter fehlt, lässt sich genau benennen, denn Art. 28 DSGVO zählt es auf.

Drei Regelungen, die ein privater Zugang nicht mitbringt

Die Weisungsbindung

Nach Art. 28 Abs. 3 Buchst. a DSGVO verarbeitet ein Auftragsverarbeiter nur auf dokumentierte Weisung. Ein Verbraucherkonto kennt keine Weisung, sondern Nutzungsbedingungen. Deren Inhalt bestimmt der Anbieter.

Die Genehmigung von Unterauftragnehmern

Nach Art. 28 Abs. 2 DSGVO setzt jeder weitere Auftragsverarbeiter eine Genehmigung voraus. Ohne Vertrag gibt es keine Liste. Damit ist auch die Frage nach Kapitel V der Verordnung nicht zu beantworten.

Die Unterstützung bei Betroffenenrechten

Nach Art. 28 Abs. 3 Buchst. e DSGVO hat der Auftragsverarbeiter bei Anträgen betroffener Personen zu unterstützen. Ohne diese Zusage bleibt eine Auskunft nach Art. 15 DSGVO geschuldet und ist nicht zu erfüllen.

Der geregelte Zugang ist die strengere Gestaltung

Was ein geregelter Zugang ändert, wird meistens als Erlaubnis missverstanden. Der Vergleich lautet aber nicht Zugang gegen nichts, sondern Zugang gegen einen Einsatz, den niemand kennt.

Zwei Lagen, dieselbe Verantwortlichkeit

Privates Konto	Merkmal	Betrieblicher Zugang
Beim ArbeitgeberArt. 4 Nr. 7 DSGVO. Sie folgt der Aufgabe und nicht dem Konto.	Verantwortlichkeit	Beim Arbeitgeber
Keiner	Vertrag mit dem Anbieter	Nach Art. 28 Abs. 3 DSGVOMit Weisungsbindung, Unterauftragnehmerliste und Unterstützungspflicht.
Nur durch Anweisung	Eingaben begrenzen	Technisch möglichÜber Einstellungen zur Verwendung der Eingaben und über die Auswahl der freigegebenen Funktionen.
Nicht möglichOhne Kenntnis kein Eintrag nach Art. 30 Abs. 1 DSGVO und kein Nachweis nach Art. 5 Abs. 2 DSGVO.	Nachweis und Eintrag	Möglich

Die erste Spalte ist nicht die zurückhaltendere Gestaltung, sondern die, in der nichts von dem geht, was das Gesetz verlangt. Das ist der Grund, weshalb eine Freigabe hier die strengere Entscheidung ist.

So unterstützen wir Sie beim Einsatz von ChatGPT

Zuerst wird der Bedarf erhoben, ohne Sanktion, denn ohne ihn ist die Auswahl der Fassung eine Vermutung. Dann wird ein betrieblicher Zugang beschafft, mit dem Vertrag nach Art. 28 Abs. 3 DSGVO und mit den Einstellungen zur Verwendung der Eingaben. Zuletzt entsteht der Eintrag im Verzeichnis. Erst damit ist der Einsatz dokumentiert. Die Reihenfolge ist wichtig, weil ein Zugang ohne erhobenen Bedarf die falschen Funktionen freischaltet.

Häufige Fragen

Ist die Nutzung über ein privates Konto verboten?

Ein Verbot folgt nicht unmittelbar aus dem Gesetz. Die Verarbeitung ist aber nur rechtmäßig, wenn eine Rechtsgrundlage besteht und die Rolle des Anbieters geregelt ist. Ohne Vertrag nach Art. 28 Abs. 3 DSGVO fehlt die Regelung. Der Nachweis nach Art. 5 Abs. 2 DSGVO ist dann nicht zu führen.

Was passiert bei einem Auskunftsersuchen?

Das Recht aus Art. 15 DSGVO richtet sich gegen den Verantwortlichen, also gegen den Arbeitgeber. Liegen Eingaben in einem privaten Konto, hat er keinen Zugriff darauf und keine vertragliche Unterstützung nach Art. 28 Abs. 3 Buchst. e DSGVO. Die Auskunft bleibt gleichwohl geschuldet.

Genügt es, keine personenbezogenen Daten eingeben zu lassen?

Als Maßnahme ja, als Nachweis nicht. Eine Anweisung ohne technische Absicherung und ohne Protokoll lässt sich nicht belegen. Art. 5 Abs. 2 DSGVO verlangt aber den Nachweis. Über einen betrieblichen Zugang lassen sich Eingaben zumindest teilweise begrenzen und protokollieren.

Kostet ein geregelter Zugang nicht mehr als ein Verbot?

In Lizenzen ja, in der Nachweisführung nein. Ohne Zugang bleibt der Einsatz bestehen, ist aber nicht dokumentierbar. Die Verantwortlichkeit bleibt gleichwohl bestehen. Der Vergleich lautet deshalb nicht Zugang gegen nichts, sondern Zugang gegen unbekannten Einsatz.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.