ChatGPT Plus

ChatGPT Plus ist ein cloud-basierter KI-Assistent, der auf dem GPT-4o-Modell (und weiteren OpenAI-Modellen) basiert. Nutzer interagieren per Texteingabe, Bildupload, Datei-Upload (Dokumente, Tabellenblätter, Code) und Sprachein-/-ausgabe mit dem System. Der Dienst unterstützt Text- und Codegenerierung, Zusammenfassungen, Übersetzungen, Datenanalyse, Bildgenerierung (DALL·E-Integration) und Websuche.

Im typischen Einsatz fließen freie Texteingaben der Nutzer, hochgeladene Dokumente und Bilder in die Verarbeitung ein. Die Antworten werden serverseitig auf OpenAI-Infrastruktur in den USA generiert. Der Plus-Tarif bietet gegenüber Free höhere Nutzungskontingente, schnellere Modellzugriffe und Zugang zu erweiterten Funktionen (Advanced Voice, Canvas, Projekte/Workspaces). Business-Funktionen wie zentrale Nutzerverwaltung, SSO oder Audit-Logs sind nicht Bestandteil des Plus-Consumer-Tarifs.

ChatGPT Plus agiert im Consumer-Betrieb als Verantwortlicher (OpenAI) gegenüber dem Endnutzer im Rahmen der Nutzungsbedingungen (Terms of Use). Ein Auftragsverarbeitungsverhältnis nach DSGVO Art. 28 kommt für den Consumer-Tarif nicht zustande: Das OpenAI DPA ist ausschließlich an den OpenAI Services Agreement (API, Enterprise, Business) geknüpft und gilt für ChatGPT Plus Consumer nicht.

Für Organisationen, die ChatGPT Plus durch Mitarbeitende für berufliche Zwecke nutzen lassen, fehlt damit die rechtliche Grundlage für eine DSGVO-konforme Auftragsverarbeitung. Der Einsatz mit personenbezogenen Daten Dritter (Kunden, Mitarbeitende) ist in diesem Tarif ohne AVV nicht rechtssicher. Das Fehlen von EU-Datenresidenz und die US-Datenspeicherung verschärfen diesen Befund.

OpenAI Ireland Ltd. fungiert als EU-Vertragspartner für europäische Nutzer; Drittlandtransfers in die USA stützen sich auf SCCs (EU Privacy Policy, Feb. 2026). Für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) ist der Einsatz ohne spezifische Rechtsgrundlage und ohne AVV in der Regel unzulässig.

Zweckbindung (Art. 5 Abs. 1 lit. b): OpenAI nutzt Konversationsdaten standardmäßig zur Modellverbesserung, was über den Vertragszweck mit dem Endnutzer hinausgeht. Der Opt-out schränkt diese Weiternutzung ein, ist aber manuell zu aktivieren. Für Verantwortliche, die ChatGPT Plus für ihre Mitarbeitenden bereitstellen, ist die Zweckbindung ohne AVV nicht steuerbar.

Datenminimierung (Art. 5 Abs. 1 lit. c): ChatGPT Plus bietet keine technische Beschränkung der eingabebaren Datenmenge oder -kategorie. Nutzer können Art.-9-Daten eingeben; das System warnt nicht. Die Einhaltung der Datenminimierung liegt vollständig beim Nutzer bzw. der Organisation.

Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f): Ohne primärbelegt verfügbare Consumer-spezifische Sicherheitszertifizierungen (SOC 2, ISO 27001 gelten laut Trust Portal nicht für Plus Consumer) lässt sich Integrität und Vertraulichkeit für diesen Tarif nicht aus Drittprüfungen ableiten. Die öffentlich berichtete, nicht primär belegte gerichtliche Preservation Order (NYT-Verfahren) würde — soweit zutreffend — zu einer erzwungenen Aufbewahrung von Konversationen über die reguläre 30-Tage-Frist hinaus führen, was dem Grundsatz der Speicherbegrenzung widerspräche.

Einsatz für private Zwecke: Nutzer, die ChatGPT Plus ausschließlich für private Zwecke ohne Personenbezug Dritter nutzen, handeln außerhalb des sachlichen DSGVO-Anwendungsbereichs (Art. 2 Abs. 2 lit. c DSGVO, Haushaltsausnahme).

Einsatz im beruflichen Kontext: Sobald Arbeitnehmer ChatGPT Plus im Rahmen ihrer Tätigkeit für den Arbeitgeber nutzen und dabei personenbezogene Daten Dritter verarbeiten, wird die Organisation zum Verantwortlichen. Mögliche Rechtsgrundlagen: Art. 6 Abs. 1 lit. b (Vertragserfüllung), lit. f (berechtigtes Interesse). Für einen rechtskonformen Einsatz wäre ein AVV nach Art. 28 DSGVO erforderlich, der für diesen Tarif nicht verfügbar ist.

Einwilligung (Art. 6 Abs. 1 lit. a): Eine Einwilligung der betroffenen Dritten in die Verarbeitung durch OpenAI (US-Server, Trainingsnutzung) ist in der Praxis kaum einzuholen und wäre zudem widerruflich. Diese Rechtsgrundlage trägt den Dauerbetrieb nicht.

Fazit: Für den gewerblichen Einsatz mit Drittdaten fehlt im Plus-Consumer-Tarif die strukturelle Voraussetzung (AVV); ein DSGVO-konformer Betrieb ist unter diesen Bedingungen nicht herstellbar.