Überblick
Einige Länder und Regionen, darunter die EU, das Vereinigte Königreich, Brasilien und bestimmte US-Bundesstaaten, haben Gesetze zum Schutz von Informationen über Einzelpersonen. Diese verpflichten Personen und Organisationen, die „personenbezogene Daten“ oder „personenbezogene Informationen“ erheben und nutzen. So gibt es in der EU und im Vereinigten Königreich die Datenschutz-Grundverordnung (DSGVO), die die „personenbezogenen Daten“ der dort lebenden Menschen schützt.
Wenn du mit unseren Diensten eine Website oder App („Site“) erstellst, musst du möglicherweise die DSGVO und andere vergleichbare Datenschutzgesetze und -vorschriften einhalten. Beispielsweise musst du die DSGVO möglicherweise einhalten, wenn:
Du deinen Sitz im Vereinigten Königreich oder in der EU hast.
Deine Site von Personen im Vereinigten Königreich oder in der EU genutzt werden wird.
Dieser Artikel soll dir helfen, deine datenschutzrechtlichen Pflichten zu erfüllen. Bitte beachte jedoch, dass er keine Rechtsberatung darstellt und ausschließlich der Information dient. Wir empfehlen dir, unabhängige Rechtsberatung einzuholen, um deine Pflichten nach den für dich geltenden Gesetzen zu verstehen. Welche Gesetze gelten, hängt davon ab, wo du und die Personen, die deine Site besuchen, sich befinden.
Deine datenschutzrechtliche Rolle
Wenn deine Site personenbezogene Daten von Personen erhebt, die sie besuchen, oder diese Daten anderweitig verarbeitet, bist du dafür verantwortlich, festzulegen, warum und wie diese Informationen genutzt werden, und die geltenden Gesetze zum Schutz der Privatsphäre und personenbezogener Daten einzuhalten. Gemäß den Nutzungsbedingungen für ChatGPT Sites bist du der Datenverantwortliche für die über deine Site erhobenen personenbezogenen Daten.
Personenbezogene Daten können Namen, E-Mail-Adressen, Profilinformationen, Beiträge oder Kommentare, Fotos sowie Online- oder Gerätekennungen umfassen.
ChatGPT Sites dürfen keine geschützten Gesundheitsinformationen verarbeiten. Zahlungskartendaten dürfen ausschließlich von einem externen Zahlungsdienstleister erhoben und verarbeitet werden, nicht von OpenAI. Dies ist in den Nutzungsbedingungen für ChatGPT Sites beschrieben.
Datenschutzgesetze legen Datenverantwortlichen verschiedene Pflichten auf. Im Folgenden findest du einen Überblick über diese Pflichten.
Unsere datenschutzrechtliche Rolle
Wenn du die Dienste von OpenAI nutzt, ist OpenAI in der Regel der Datenverantwortliche. Damit ist OpenAI gemäß unserer Datenschutzrichtlinie dafür verantwortlich, die Datenschutzgesetze in Bezug auf deine personenbezogenen Daten einzuhalten.
Mit der Nutzung von Sites weist du OpenAI an, die über deine Site erhobenen personenbezogenen Daten so zu verarbeiten, wie es für die Bereitstellung und den Betrieb deiner Site erforderlich ist. Soweit anwendbar, verarbeitet OpenAI diese Daten gemäß dem Zusatz zur Datenverarbeitung von OpenAI oder dem Zusatz zur Datenverarbeitung, den deine Organisation und OpenAI unterzeichnet haben. Prüfe die Vereinbarung und den Zusatz zur Datenverarbeitung, die für dein Konto gelten.
Pflichten im Überblick
Datenschutzgesetze wie die DSGVO legen den Parteien, die personenbezogene Daten verarbeiten (Verantwortlichen und Auftragsverarbeitern), Pflichten auf. Zugleich gewähren sie den Personen, deren Daten verarbeitet werden, bestimmte Rechte. Der folgende Überblick zeigt die wichtigsten Punkte, die du beim Betrieb deiner Site beachten solltest, und soll dir helfen, die gesetzlichen Anforderungen einzuhalten. Er ist jedoch kein umfassender Leitfaden zur DSGVO oder zu anderen einschlägigen Datenschutzgesetzen.
Informationen bereitstellen: Deine Site sollte eine gut sichtbare Datenschutzrichtlinie enthalten. Darin solltest du erklären, welche Daten du erhebst, wie du sie nutzt und welche Kontrolle die betroffenen Personen darüber haben. Ausführlichere Hinweise findest du im Artikel So erstellst du eine Datenschutzrichtlinie. Du solltest außerdem sicherstellen, dass du personenbezogene Daten nur so nutzt, wie es die betroffenen Personen erwarten würden. Wenn du vermutest, dass sie mit einer bestimmten Nutzung ihrer personenbezogenen Daten nicht rechnen, solltest du einen zusätzlichen Hinweis an einer gut sichtbaren Stelle auf deiner Site erwägen.
Wahlmöglichkeiten bieten: Du solltest den Menschen möglichst viel Wahlfreiheit darüber geben, welche personenbezogenen Daten auf der Site erhoben und wie diese genutzt werden. In manchen Fällen solltest du eine aktive Einwilligung einholen, etwa indem du die Person bittest, ein Kästchen anzukreuzen oder einen Schalter zu aktivieren. Diese Liste ist nicht abschließend. Es gibt weitere Situationen, in denen du ebenfalls eine Einwilligung einholen solltest. Wenn deine Site es ermöglicht, Informationen öffentlich zu posten, sollte das den Personen beim Posten sehr deutlich sein.
Datenminimierung: Du solltest nur die personenbezogenen Daten erheben, die für die Funktion deiner Site erforderlich sind. Wenn du die Adresse, das Geschlecht oder das Geburtsdatum einer Person nicht benötigst, solltest du diese Angaben nicht abfragen. Außerdem solltest du personenbezogene Daten nicht länger als nötig aufbewahren. Überlege, wie lange du die Daten für den Betrieb deiner Site benötigst, und lösche sie nach Ablauf dieses Zeitraums.
Datensicherheit und Verletzungen des Schutzes personenbezogener Daten: Setze geeignete Sicherheitsmaßnahmen für deine Site und alle anderen Systeme ein, in denen du die darüber erhobenen Informationen speicherst. Die Pflichten von OpenAI zur Meldung von Datenschutzverletzungen richten sich nach der Vereinbarung und dem Zusatz zur Datenverarbeitung, die für dein Konto gelten. Du bist dafür verantwortlich, festzustellen, ob du betroffene Personen, Aufsichtsbehörden oder andere Behörden benachrichtigen musst.
Rechte betroffener Personen: Datenschutzgesetze können Personen das Recht geben, Auskunft über ihre personenbezogenen Daten zu erhalten, sie berichtigen oder löschen zu lassen, ihre Verarbeitung einzuschränken oder ihr zu widersprechen sowie eine Kopie der Daten zu erhalten. Biete Personen, die deine Site besuchen, eine klar erkennbare Möglichkeit, Anfragen einzureichen, und beantworte diese innerhalb der gesetzlich für dich geltenden Fristen.
Datenübermittlungen: Datenschutzgesetze können die Übermittlung personenbezogener Daten zwischen Ländern oder Regionen einschränken. Prüfe die Informationen zu Hosting und Datenresidenz für Sites sowie die Vereinbarung und den Zusatz zur Datenverarbeitung, die für dein Konto gelten.
In Workspaces mit Datenresidenz in den USA oder der EU nutzen neue Sites für unterstützte Speicher- und Hostingfunktionen automatisch die bereits festgelegte Region des Workspaces. Sites sind auch in Workspaces mit Datenresidenz in anderen Regionen verfügbar. Die regionale Datenresidenzeinstellung gilt derzeit jedoch nicht für die Speicherung und das Hosting von Sites.
Bestehende Sites bleiben an ihrem aktuellen Standort und werden nicht automatisch migriert. Das regionale Hosting von Sites ist unabhängig von der Inferenzresidenz für die Verarbeitung durch Modelle. Weitere Informationen findest du im Artikel Datenresidenz und Inferenzresidenz für ChatGPT.
Gehe nicht von einem bestimmten Hostingland oder Übermittlungsmechanismus aus, ohne die für dich geltenden Bedingungen zu prüfen.
Cookies und ähnliche Tracking-Technologien: Wenn deine Site nicht notwendige Cookies oder ähnliche Tracking-Technologien nutzt, musst du möglicherweise eine Einwilligung einholen, bevor du sie setzt oder ausliest. Die Anforderungen unterscheiden sich je nach Standort. Prüfe daher die Regeln, die für dich und die Personen gelten, die deine Site besuchen.
Daten von Kindern und Jugendlichen: Wenn sich deine Site an Kinder und Jugendliche unter 18 Jahren richtet, solltest du besonders auf Risiken für den Datenschutz und die Privatsphäre achten, da Minderjährige gesetzlich besonders geschützt sind. Mehrere Datenschutzbehörden und andere Aufsichtsbehörden haben zusätzliche Leitlinien für Onlinedienste veröffentlicht, die sich an Kinder und Jugendliche richten. Wir empfehlen dir, diese zu lesen. Beachte, dass du gemäß den Nutzungsbedingungen für ChatGPT Sites keine Site erstellen darfst, die sich an Kinder unter 13 Jahren oder unter dem geltenden Mindestalter für die digitale Einwilligung richtet oder für sie konzipiert ist.