Verarbeitet ein KI-Anbieter personenbezogene Daten in Ihrem Auftrag, brauchen Sie einen Auftragsverarbeitungsvertrag – kurz AVV. Art. 28 DSGVO verlangt ihn. Er ist keine Formalität, und die Details unterscheiden sich zwischen Anbietern erheblich.
Was er festlegt
Der Vertrag fixiert die Rollen. Sie sind Verantwortlicher: Sie entscheiden, warum und wie personenbezogene Daten verarbeitet werden, und bleiben den betroffenen Personen gegenüber verantwortlich. Der Anbieter ist Auftragsverarbeiter: Er handelt nur auf Ihre dokumentierte Weisung.
Aus diesem Verhältnis folgen konkrete Pflichten, und der Vertrag ist der Ort, an dem sie stehen.
Was drinstehen muss
Art. 28 Abs. 3 listet die erforderlichen Inhalte. In der Praxis prüfen Sie auf:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Kategorien betroffener Personen und Daten. Meist eine Anlage – lesen Sie sie, denn eine vage Anlage heißt, dass niemand über Ihren Fall nachgedacht hat.
- Verarbeitung nur auf dokumentierte Weisung, auch für Übermittlungen in Drittländer.
- Vertraulichkeitsverpflichtung der Mitarbeiter des Anbieters.
- Technische und organisatorische Maßnahmen nach Art. 32. Sie sollten beschreiben, was tatsächlich umgesetzt ist, nicht eine allgemeine Liste.
- Regelungen zu Subauftragsverarbeitern – wer sie sind, wie Änderungen mitgeteilt werden, ob Sie widersprechen können.
- Unterstützung bei Betroffenenrechten – Auskunft, Löschung, Datenübertragbarkeit.
- Unterstützung bei Meldepflichten und bei Folgenabschätzungen.
- Löschung oder Rückgabe am Ende der Zusammenarbeit.
- Prüfrechte – Informationen und Überprüfungen.
Worauf Sie bei KI-Diensten besonders achten
Die Liste der Subauftragsverarbeiter. Jeder KI-Anbieter hat welche. Fehlt die Liste oder steht dort „wie auf unserer Website veröffentlicht“, verlangen Sie eine Fassung und eine Mitteilungspflicht mit fester Frist und Widerspruchsrecht.
Die Trainingsfrage. Das sollte ausdrücklich stehen: Ihre Daten werden nicht zum Modelltraining verwendet, für Drittmodelle ebenso wie für die eigenen. Eine Aussage auf der Website ist keine Vertragsbestimmung.
Prompts sind Daten. Ihre Nutzer werden Unvorhersehbares eintippen. Der Vertrag sollte Eingabedaten und erzeugte Ausgaben abdecken, nicht nur die förmlich hochgeladenen Dokumente.
Verarbeitungsort. Eine benannte Region, vertraglich festgelegt, mit gekennzeichneten Ausnahmen. Achten Sie auf Nebenverarbeitung – besonders Überwachungsfunktionen –, die anderswo liegen kann.
Löschung in der Praxis. Fragen Sie ausdrücklich nach Backups. Dort überleben Daten am längsten, und eine Löschklausel, die dazu schweigt, ist unvollständig.
Was oft schiefgeht
Annehmen, die AGB reichten. Tun sie nicht. Der Vertrag nach Art. 28 ist ein eigenes Instrument.
Ohne Anlagen unterschreiben. Dort steckt die Substanz – die Sicherheitsmaßnahmen, die Subauftragsverarbeiter, die Beschreibung der Verarbeitung. Der Hauptteil ist weitgehend Standard; in den Anlagen unterscheiden sich die Anbieter.
Vergessen, dass die Verantwortung bei Ihnen bleibt. Der Vertrag verteilt Pflichten; er überträgt nicht Ihre Verantwortung als Verantwortlicher. Geht etwas schief, kommt die betroffene Person zu Ihnen.
Ihn nie wieder ansehen. Subauftragsverarbeiter ändern sich, Dienste entwickeln sich weiter. Wenn Ihr Anbieter eine Änderung mitteilt und niemand die Mitteilung liest, ist das ausgehandelte Widerspruchsrecht wertlos.
Eine vernünftige Erwartung
Ein seriöser Anbieter hat einen Standardvertrag bereit, schickt ihn, bevor Sie zweimal fragen, und beantwortet Fragen zu Verarbeitungsort und Subauftragsverarbeitern präzise. Schwierigkeiten an dieser Stelle sagen Ihnen etwas darüber, wie die Zusammenarbeit laufen wird.
Dieser Beitrag ist allgemeine Information und keine Rechtsberatung. Lassen Sie Ihren konkreten Fall von einer Anwältin oder einem Anwalt prüfen.
