ChatGPT und DSGVO im Unternehmen: Was konkret geprüft werden muss

„Dürfen wir ChatGPT eigentlich nutzen?” ist in den meisten Unternehmen die falsche erste Frage – denn genutzt wird es längst. Die realistische Frage lautet: Unter welchen Bedingungen ist die Nutzung datenschutzrechtlich vertretbar, und wie stellen wir diese Bedingungen her? Pauschale Antworten („ChatGPT ist DSGVO-widrig” ebenso wie „mit dem Business-Tarif ist alles erledigt”) ignorieren, dass die Bewertung von fünf Faktoren abhängt: Tarif, Vertrag, Datenart, Zweck und Konfiguration.

Dieser Artikel geht die fünf Faktoren der Reihe nach durch – mit einer Risikomatrix samt Gegenmaßnahmen und einer Prüf-Checkliste am Ende. Er gehört zu unserem Themen-Cluster KI-Governance und ersetzt keine Rechtsberatung: Ich bin KI-Berater, kein Anwalt. Alle rechtlichen Aussagen geben den Stand Juli 2026 wieder und stützen sich auf die verlinkten offiziellen Quellen, vor allem die Orientierungshilfen der Datenschutzkonferenz (DSK), das BSI und die OpenAI-Dokumentation.

Das Problem: ChatGPT ist schon da – geregelt oder nicht

Das Muster, das ich in kleinen und mittleren Unternehmen regelmäßig sehe: Einzelne Mitarbeitende nutzen ChatGPT mit privaten Free- oder Plus-Accounts für Arbeitsaufgaben. Da landen dann E-Mail-Entwürfe mit Kundennamen, Bewerbungsunterlagen zum „Zusammenfassen” oder interne Konzepte zum „Verbessern” in einem Consumer-Dienst, der in der Standardeinstellung mit diesen Eingaben trainiert. Niemand hat das entschieden – es ist einfach passiert.

Genau davor warnen die Aufsichtsbehörden. Die DSK empfiehlt in ihrer Orientierungshilfe „Künstliche Intelligenz und Datenschutz” ausdrücklich, dass Arbeitgeber betriebliche Accounts und Geräte bereitstellen, damit Beschäftigte nicht mit privaten Accounts arbeiten müssen – auch weil sonst Nutzungsprofile einzelner Beschäftigter beim Anbieter entstehen können. Und sie weist darauf hin: Wenn unklar bleibt, ob und wie KI-Anwendungen genutzt werden dürfen, steigt das Risiko, dass Beschäftigte eigenmächtig handeln. Das BSI formuliert es im Management-Blitzlicht zu generativer KI als Kernregel: Schatten-IT verhindern, nur genehmigte KI-Systeme verwenden, Firmenaccounts anlegen, datensparsame Konfiguration wählen.

Dieser Artikel richtet sich an Geschäftsführung, Operations, IT und Fachbereiche in KMU – also an die Menschen, die entscheiden müssen, ob und wie ChatGPT im Unternehmen laufen soll, meist ohne eigene Rechtsabteilung.

Begriffe kurz geklärt

Vier Begriffe braucht es, um die Prüfung sauber zu führen:

• Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen – nicht nur Name und Adresse. Die DSK betont: Namen aus einem Prompt zu entfernen reicht regelmäßig nicht, wenn sich der Personenbezug aus dem Zusammenhang herstellen lässt.
• Verantwortlicher ist, wer über Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO). Das ist beim betrieblichen ChatGPT-Einsatz dein Unternehmen – nicht der Anbieter.
• Auftragsverarbeiter verarbeitet Daten im Auftrag des Verantwortlichen auf Basis eines Auftragsverarbeitungsvertrags (AVV, Art. 28 DSGVO). In Business-Konstellationen ist OpenAI typischerweise Auftragsverarbeiter.
• Offene vs. geschlossene Systeme: Die DSK unterscheidet Cloud-Dienste, bei denen Eingaben den geschützten Bereich des Nutzers verlassen und ggf. für Training oder andere Zwecke weiterverwendet werden können (offen), von technisch abgeschlossenen Umgebungen mit eng begrenztem Nutzerkreis (geschlossen) – und stuft geschlossene Systeme datenschutzrechtlich als vorzugswürdig ein. ChatGPT als Web-Dienst ist ein offenes System; wie offen es tatsächlich ist, hängt von Tarif und Konfiguration ab.

Damit zu den fünf Prüffragen.

Welche Daten werden eingegeben?

Die erste und wichtigste Frage – denn ohne personenbezogene Daten ist die DSGVO schlicht nicht anwendbar. Die DSK nennt das explizit: Einsatzfelder, in denen weder in Eingaben noch in Ausgaben noch im Anmeldeprozess personenbezogene Daten vorkommen, unterliegen nicht dem Datenschutzrecht. Ihr Beispiel: Ein Entwicklungsteam lässt einen LLM-Chatbot Fehler in Code ohne Personenbezug suchen.

In der Praxis heißt das: Erfasse pro Anwendungsfall, was wirklich in Prompts und hochgeladenen Dateien steckt. Eine grobe Einteilung in drei Klassen reicht für den Anfang:

1. Kein Personenbezug: allgemeine Texte, Übersetzungen ohne Namen, Code, öffentlich verfügbare Fachinformationen, Brainstorming. Datenschutzrechtlich unkritisch – Geschäftsgeheimnisse sind trotzdem ein eigenes Thema (dazu unten).
2. Personenbezug wahrscheinlich oder versteckt: E-Mail-Entwürfe, Protokolle, Angebote, CRM-Auszüge. Hier steckt der Personenbezug oft im Kontext. Die DSK bringt ein anschauliches Beispiel: Schon der Prompt „Entwirf ein Arbeitszeugnis im befriedigenden Bereich für einen Kundenberater im Autohaus X” kann Personenbezug haben, wenn erkennbar ist, aus welchem Unternehmen und zu welchem Zeitpunkt er gestellt wurde.
3. Klar personenbezogen oder besonders geschützt: Bewerbungen, Personalunterlagen, Kundendossiers, Gesundheitsangaben. Hier ist die volle Prüfung nötig – Rechtsgrundlage, Vertrag, Konfiguration, ggf. Datenschutz-Folgenabschätzung.

Wichtig ist auch die Gegenrichtung: Die DSK weist darauf hin, dass eine Ausgabe personenbezogene Daten enthalten kann, obwohl die Eingabe keine enthielt – etwa wenn gezielt nach einer Person gefragt wird. Auch dann können Rechtsgrundlage und Informationspflichten (Art. 14 DSGVO) erforderlich sein.

Meine Empfehlung aus der Praxis: Verbiete nicht pauschal „Daten in ChatGPT”, sondern definiere positiv, welche Datenklassen in welchem Setup erlaubt sind. Pauschalverbote werden umgangen; konkrete Regeln werden befolgt.

Wer ist Verantwortlicher?

Kurz: dein Unternehmen. Die DSK stellt klar, dass eine Stelle, die eine KI-Anwendung eigenständig für eigene Zwecke einsetzt, in der Regel alleiniger Verantwortlicher ist. Das bedeutet konkret:

• Du brauchst eine Rechtsgrundlage für jede Verarbeitung personenbezogener Daten in ChatGPT – etwa berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) nach dokumentierter Abwägung. „Der Anbieter wird das schon geregelt haben” ist keine.
• Du trägst die Informationspflichten gegenüber Betroffenen und musst deren Rechte (Auskunft, Löschung, Berichtigung) gewährleisten können – die DSK weist darauf hin, dass der Auftragsverarbeiter dich dabei nach Art. 28 Abs. 3 lit. e DSGVO unterstützen muss.
• Verstöße treffen dich: Der Bußgeldrahmen der DSGVO reicht nach Art. 83 Abs. 5 bis 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes. Für ein KMU ist aber meist das realistischere Risiko: eine Betroffenenbeschwerde, eine aufsichtsbehördliche Anfrage – und keine dokumentierten Antworten.

Zwei Sonderfälle verdienen einen Blick. Erstens: Nutzen Beschäftigte private Accounts für Dienstliches, verarbeitet das Unternehmen trotzdem in eigener Verantwortung – nur ohne jede vertragliche Absicherung und ohne Kontrolle. Das ist die schlechteste denkbare Konstellation. Zweitens: Bei enger Verzahnung mit dem Anbieter oder gemeinsam festgelegten Zwecken kann nach der DSK auch eine gemeinsame Verantwortlichkeit (Art. 26 DSGVO) vorliegen; für den typischen Einsatz als Kunde eines Business-Tarifs ist das Auftragsverarbeitungsverhältnis die übliche Einordnung.

Praktisch heißt Verantwortlichkeit vor allem: Es muss im Unternehmen eine benannte Person geben, die den ChatGPT-Einsatz verantwortet – und die DSK empfiehlt, Datenschutzbeauftragte und Beschäftigtenvertretung frühzeitig einzubinden. Wo ein Betriebsrat existiert, kann die Einführung mitbestimmungspflichtig sein.

Welche Verträge und Einstellungen zählen?

Hier entscheidet sich der Großteil der Bewertung – und hier sind die Unterschiede zwischen den Tarifen am größten. Stand Juli 2026 gilt nach den offiziellen OpenAI-Angaben:

• ChatGPT Free und Plus (Consumer): Eingaben werden in der Standardeinstellung zur Modellverbesserung verwendet. Das lässt sich in den Datenkontrollen abschalten („Für alle verbessern” / „Improve the model for everyone”); der temporäre Chat ist vom Training ausgenommen. Ein AVV für Unternehmen fehlt in diesen Tarifen – für die Verarbeitung personenbezogener Daten im Unternehmenskontext sind sie deshalb ungeeignet, unabhängig vom Trainings-Schalter.
• ChatGPT Business, Enterprise und Edu: OpenAI verwendet Inhalte aus diesen Tarifen laut eigener Dokumentation standardmäßig nicht für das Training, bietet einen Auftragsverarbeitungsvertrag und Admin-Kontrollen (Nutzerverwaltung, Aufbewahrung, Verknüpfungen).
• API: Daten, die über die API gesendet werden, nutzt OpenAI seit dem 1. März 2023 nicht für das Training, sofern man nicht ausdrücklich zustimmt. Logs zur Missbrauchserkennung werden laut API-Dokumentation bis zu 30 Tage aufbewahrt; für geeignete Kunden gibt es Zero Data Retention und eine EU-Datenresidenz (Speicherung und Verarbeitung im EWR) nach Freigabe durch OpenAI.

Der Vertrag ist die eine Hälfte, die Konfiguration die andere. Die DSK fordert ausdrücklich, Accounts datenschutzfreundlich voreinzustellen: Trainingsnutzung ausschließen, Eingabe-Historie nicht über die Sitzung hinaus speichern, Ausgaben nicht automatisch veröffentlichen. Das BSI ergänzt: Löschfristen für Chats und Dokumente setzen. Konkret prüfst du mindestens:

• Ist die Trainingsnutzung vertraglich und in den Einstellungen ausgeschlossen?
• Wie lange werden Chats und hochgeladene Dateien gespeichert, und wer kann sie einsehen?
• Sind Memory-/Personalisierungsfunktionen und Verknüpfungen zu Drittdiensten (Laufwerke, Kalender, Connectors) bewusst aktiviert oder deaktiviert?
• Laufen Accounts über die Firmen-Domain mit zentraler Verwaltung – oder verstreut über private E-Mail-Adressen? Die DSK empfiehlt zudem, Accounts möglichst nicht mit Namen einzelner Beschäftigter zu führen, sondern Funktionsadressen zu nutzen, soweit die Anwendung nicht auf eigenen Servern läuft.

Ein Punkt bleibt auch mit bestem Vertrag bestehen: ChatGPT wird von einem US-Anbieter betrieben. Drittlandübermittlungen sind nach Kapitel V DSGVO zu prüfen – aktuell stützen sich Anbieter auf Angemessenheitsbeschluss und Standardvertragsklauseln. Das ist der Teil der Bewertung, den du nicht konfigurieren kannst, sondern nur dokumentieren und beobachten.

Welche Daten sollten nicht hinein?

Auch im korrekt konfigurierten Business-Tarif gilt Datenminimierung: Es geht hinein, was für den Zweck erforderlich ist – nicht, was gerade praktisch wäre. Vier Kategorien gehören ohne besondere Prüfung und Absicherung nicht in ChatGPT:

1. Besondere Kategorien nach Art. 9 DSGVO: Gesundheitsdaten, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, biometrische Daten. Die DSK mahnt hier besondere Vorsicht an; die Rechtsgrundlagen sind eng.
2. Beschäftigtendaten mit Bewertungscharakter: Arbeitszeugnisse, Leistungsbeurteilungen, Krankheitsverläufe, Bewerbungsunterlagen. Neben der DSGVO können hier Mitbestimmung und – je nach Einsatz – Pflichten aus der KI-Verordnung greifen; Bewerbungsauswahl per KI fällt nach der Systematik der Verordnung in den Hochrisikobereich.
3. Kundendaten ohne Rechtsgrundlage: ganze E-Mail-Verläufe, Verträge, Support-Tickets mit Klarnamen. Oft lässt sich der Zweck auch mit gekürzten oder tatsächlich anonymisierten Auszügen erreichen – wobei echte Anonymisierung schwerer ist, als Namen zu löschen (siehe oben).
4. Geschäftsgeheimnisse und Verschlusssachen: kein DSGVO-Thema, aber dasselbe Einfallstor. Die DSK weist auf das Risiko für nicht-öffentliche dienstliche Informationen in offenen Systemen ausdrücklich hin, und das BSI formuliert als Grundregel, personenbezogene Daten und sensible Geschäftsinformationen niemals ohne schützende Maßnahmen weiterzugeben.

Dazu kommt die Ausgabeseite, die in Datenschutzdiskussionen gern untergeht: Das BSI rät, KI-Ausgaben nie ungeprüft zu übernehmen und nicht ungeprüft in kritischen Geschäftsprozessen zu verwenden. Ein faktisch falscher, von ChatGPT formulierter Satz über eine reale Person ist nicht nur peinlich – er kann ein Datenschutzproblem (Richtigkeitsgrundsatz, Art. 5 DSGVO) sein.

Welche Alternativen gibt es?

Wenn die Prüfung ergibt, dass ChatGPT als Web-Dienst für bestimmte Daten oder Prozesse nicht passt, heißt das nicht „keine KI”. Die realistischen Optionen, grob nach Aufwand sortiert:

• Gleicher Anbieter, engeres Setup: die OpenAI-API statt der Chat-Oberfläche, mit EU-Datenresidenz, kurzer bzw. keiner Speicherung (Zero Data Retention nach Freigabe) und eigener Zugriffskontrolle in einer selbst gebauten internen Anwendung. Das reduziert Speicherung und Streuung der Daten deutlich, erfordert aber Entwicklung und Betrieb.
• Modelle über europäische Cloud- oder Plattformanbieter mit EU-Hosting und AVV – funktional oft vergleichbar, vertraglich und geografisch enger gefasst. Die Details ändern sich laufend; entscheidend ist, dieselben fünf Prüffragen an jeden Anbieter zu stellen.
• Selbst betriebene Open-Weight-Modelle auf eigener oder dedizierter Infrastruktur: die Richtung, die dem von der DSK bevorzugten geschlossenen System am nächsten kommt. Eingaben verlassen das eigene Umfeld nicht. Dafür trägst du Betrieb, Sicherheit und Modellqualität selbst – die DSK-Orientierungshilfe zu technischen und organisatorischen Maßnahmen bei KI-Systemen zeigt, wie viele zusätzliche Pflichten Entwicklung und Eigenbetrieb mit sich bringen. Für die meisten KMU lohnt das nur für klar umrissene, sensible Anwendungsfälle.

Ehrlich gesagt: Für viele KMU ist die pragmatische Lösung eine Kombination – Business-Tarif für den Alltag mit klaren Datenregeln, API-Integration für Prozesse mit Kundendaten, und für die wenigen wirklich sensiblen Fälle entweder ein geschlossenes Setup oder bewusster Verzicht.

Risikomatrix: typische Szenarien und Gegenmaßnahmen

Die Matrix ist mein Arbeitsmodell aus Beratungsprojekten – keine amtliche Vorlage. Sie bewertet die häufigsten ChatGPT-Szenarien in KMU nach Eintrittswahrscheinlichkeit und Schadenspotenzial und ordnet jedem die wirksamste Gegenmaßnahme zu:

Szenario	Wahrscheinlichkeit	Schadenspotenzial	Wichtigste Gegenmaßnahmen
Beschäftigte nutzen private Free/Plus-Accounts für Arbeitsdaten	Hoch (passiert ohne Regelung fast immer)	Hoch: Training mit Unternehmensdaten, kein AVV, kein Überblick	Business-Accounts bereitstellen, private Nutzung für Dienstliches per Richtlinie ausschließen, Schulung
Kundendaten im Prompt ohne Rechtsgrundlage	Mittel	Hoch: Betroffenenrechte, Beschwerden, Bußgeldrisiko	Erlaubte Datenklassen definieren, Prompts auf Erforderliches kürzen, API-Setup für datenhaltige Prozesse
Bewerbungs-/Beschäftigtendaten in ChatGPT (z. B. Zeugnis-Entwurf)	Mittel	Hoch: Art. 88 DSGVO, Mitbestimmung, ggf. Hochrisiko nach KI-VO	HR-Anwendungsfälle separat prüfen, DSB und Betriebsrat einbinden, ggf. ausschließen
„Versteckter” Personenbezug trotz entfernter Namen	Hoch	Mittel: unbemerkte Verarbeitung ohne Grundlage	Sensibilisierung mit konkreten Beispielen, Vier-Augen-Regel bei Uploads ganzer Dokumente
Chat-Historie/Memory sammelt über Monate sensible Fragmente	Mittel	Mittel: Profilbildung, Offenlegung bei Account-Kompromittierung	Aufbewahrungsfristen setzen, Memory bewusst konfigurieren, Zugriffe und Verknüpfungen minimieren
Falsche personenbezogene Ausgabe wird weiterverwendet	Mittel	Mittel: Richtigkeitsgrundsatz, Reputationsschaden	Ausgaben mit Personenbezug immer prüfen, keine automatische Weiterverarbeitung ohne Kontrolle
Drittlandtransfer-Grundlage ändert sich (Rechtsprechung/Politik)	Niedrig bis mittel	Mittel: Nachverhandlung oder Anbieterwechsel nötig	Transfer dokumentieren, Entwicklungen verfolgen, Exit-Option (API-Abstraktion, Alternativanbieter) einplanen

Die Reihenfolge ist bewusst: Die beiden größten Risiken in der Praxis sind organisatorisch (private Accounts, fehlende Regeln), nicht technisch. Wer nur am Tarif schraubt, aber keine Regeln und Schulungen hat, behandelt das kleinere Problem.

Umsetzung: in fünf Schritten zur geregelten Nutzung

So sieht ein realistisches Vorgehen für ein KMU aus – als Bandbreite: Mit vorhandenem Ansprechpartner für Datenschutz sind die Schritte 1 bis 4 erfahrungsgemäß in wenigen Wochen machbar; ohne jede Vorarbeit und mit Betriebsrat entsprechend länger.

1. Ist-Stand erfassen: Wer nutzt heute welche KI-Tools mit welchen Accounts und Daten? Das BSI nennt das Demand Management; ohne diese Bestandsaufnahme regelst du am tatsächlichen Verhalten vorbei.
2. Tarif- und Vertragsentscheidung: Business-Tarif oder API, AVV abschließen, Drittlandtransfer dokumentieren. Consumer-Accounts für dienstliche Zwecke explizit beenden.
3. Konfigurieren: Training ausgeschlossen, Aufbewahrung und Memory bewusst eingestellt, zentrale Account-Verwaltung, Verknüpfungen zu Drittdiensten nur nach Prüfung.
4. Regeln und Schulung: eine kurze, konkrete KI-Richtlinie (erlaubte Tools, erlaubte Datenklassen, verbotene Fälle, Prüfpflicht für Ausgaben) plus Schulung mit echten Beispielen aus eurem Alltag – die DSK nennt Sensibilisierung ausdrücklich als Maßnahme, und die KI-Verordnung verlangt seit Februar 2025 ohnehin KI-Kompetenz bei den Beschäftigten. Wenn du dafür Unterstützung willst: Genau dafür gibt es unsere KI-Schulungen.
5. Prüfen und nachziehen: Bei riskanten Verarbeitungen Datenschutz-Folgenabschätzung prüfen (Art. 35 DSGVO), Datenschutzbeauftragten einbinden, und die Bewertung regelmäßig wiederholen – die DSK verlangt, rechtliche und technische Entwicklungen laufend zu verfolgen. Ein fester Review-Rhythmus (z. B. quartalsweise) reicht meist.

Risiken und Grenzen: was auch das beste Setup nicht löst

Zur ehrlichen Bewertung gehören die offenen Punkte, Stand Juli 2026:

• Keine Konformitätsgarantie. Weder ein Enterprise-Vertrag noch dieser Artikel machen deine Nutzung automatisch rechtmäßig. Die Rechtsgrundlage für jeden Verarbeitungszweck musst du selbst herstellen und dokumentieren – und im Zweifel gehört die Frage zu Anwalt oder Datenschutzbeauftragtem.
• Das Trainingsdaten-Erbe. Ob die Modelle selbst datenschutzkonform trainiert wurden, kannst du als Anwender weder prüfen noch heilen. Die DSK stellt klar, dass Anwender auf diese Parameter in der Regel keinen Einfluss haben – sicherstellen musst du „nur”, dass sich Fehler des Anbieters nicht auf deine Verarbeitung auswirken. Ein Restrisiko bleibt.
• Bewegliche Rechtslage. Die KI-Verordnung wird gestaffelt anwendbar: Verbote seit Februar 2025, Pflichten für Anbieter von Modellen mit allgemeinem Verwendungszweck seit August 2025, Transparenzpflichten ab August 2026, Hochrisiko-Pflichten mit Übergangsfristen bis 2027. Auch die Rechtsgrundlagen für Drittlandtransfers waren historisch nicht stabil. Plane so, dass du wechseln könntest.
• Konfiguration verfällt. Anbieter ändern Funktionen, Voreinstellungen und Tarife laufend – neue Features wie Verknüpfungen zu Laufwerken oder Memory-Funktionen verschieben die Bewertung. Ohne regelmäßigen Review veraltet deine Dokumentation schneller, als dir lieb ist.

Wenn du unsicher bist, wo dein Unternehmen steht: Im Rahmen unserer KI-Beratung erfassen wir KI-Nutzung, Datenflüsse und Leitplanken strukturiert – und du bekommst eine priorisierte Liste, was zuerst zu regeln ist. Ein unverbindliches Erstgespräch reicht, um den Umfang einzuschätzen.

Checkliste: ChatGPT-Einsatz DSGVO-orientiert prüfen

• Ist-Stand: Alle aktuell genutzten KI-Tools und Accounts (auch private!) erfasst
• Datenarten: Pro Anwendungsfall geklärt, ob personenbezogene Daten in Eingaben, Uploads oder Ausgaben vorkommen – inklusive verstecktem Personenbezug
• Verantwortlichkeit: Interne Zuständigkeit benannt; Datenschutzbeauftragter und ggf. Betriebsrat eingebunden
• Rechtsgrundlage: Für jeden Zweck mit Personenbezug bestimmt und dokumentiert
• Vertrag: Business-Tarif oder API mit AVV; Drittlandtransfer dokumentiert
• Konfiguration: Trainingsnutzung ausgeschlossen, Aufbewahrung/Memory eingestellt, zentrale Verwaltung, Funktions- statt Personen-Accounts wo möglich
• Datenregeln: Erlaubte und verbotene Datenklassen schriftlich definiert (Art.-9-Daten, Beschäftigtendaten, Geschäftsgeheimnisse ausgeschlossen)
• Ausgabenkontrolle: Prüfpflicht für Ausgaben mit Personenbezug oder Geschäftsrelevanz festgelegt
• Schulung: Beschäftigte mit konkreten Beispielen sensibilisiert; KI-Kompetenz nach KI-VO adressiert
• DSFA: Geprüft, ob eine Datenschutz-Folgenabschätzung erforderlich ist
• Review: Fester Rhythmus für die Überprüfung von Einstellungen, Verträgen und Rechtslage etabliert

Wer diese elf Punkte abarbeitet, hat keine Garantie auf Rechtskonformität – aber eine belastbare, dokumentierte Grundlage, die den Empfehlungen von DSK und BSI folgt. Und das ist der Unterschied zwischen „wir hoffen, dass nichts passiert” und „wir wissen, was wir tun”.