Auftragsverarbeitung und AVV einfach erklärt
Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag und nach Ihren Weisungen verarbeitet, etwa ein Cloud-Anbieter, dessen Sprachmodell Ihre Kundenanfragen liest. Die DSGVO verlangt dafür einen schriftlichen Vertrag, den Auftragsverarbeitungsvertrag oder AVV. Ohne ihn ist die Nutzung des Dienstes nicht zulässig. Die großen KI-Anbieter stellen AVV für Geschäftskunden bereit, für private Konten nicht.
Sobald ein Dienstleister personenbezogene Daten für Sie verarbeitet, ist er Auftragsverarbeiter und Sie bleiben verantwortlich. Das gilt für den Lohnabrechner, den E-Mail-Hoster und genauso für den Anbieter eines Sprachmodells, durch das Ihre Kundenanfragen, Rechnungen oder Bewerbungen laufen. Artikel 28 der DSGVO verlangt dafür einen Vertrag, der festlegt, was der Dienstleister mit den Daten tun darf, wie er sie schützt, ob er Unterauftragnehmer einsetzt und was nach Vertragsende passiert.
Was im AVV für KI-Dienste stehen muss
Neben den Standardinhalten sind drei Punkte bei KI-Anbietern besonders wichtig. Erstens das Training: Der Vertrag muss ausschließen, dass Ihre Eingaben als Trainingsdaten für das Modell verwendet werden. Zweitens der Ort: Wo werden die Daten verarbeitet und gespeichert, und falls außerhalb der EU, auf welcher Grundlage. Drittens die Speicherdauer: Manche Anbieter speichern Anfragen für einige Tage zur Missbrauchskontrolle, andere gar nicht. Das muss zu Ihren Daten passen.
Ein Beispiel aus dem Alltag
Ein Unternehmen nutzt einen KI-Assistenten für den Kundenservice. Der Datenschutzbeauftragte fragt nach dem AVV. Es stellt sich heraus, dass der Dienst über ein kostenloses Konto genutzt wurde, für das der Anbieter keinen AVV anbietet. Die Umstellung auf ein Geschäftskonto mit AVV dauerte einen Tag und kostete wenige Euro pro Nutzer im Monat. Der Fall zeigt das Muster: Die meisten Verstöße entstehen nicht aus Absicht, sondern weil niemand gefragt hat, siehe Schatten-KI.
Was Sie prüfen sollten
Für jeden KI-Dienst im Unternehmen: Gibt es einen AVV, ist er unterschrieben, schließt er das Training aus, wo werden Daten verarbeitet. Fehlt ein AVV oder erfüllt er die Anforderungen nicht, bleiben zwei Wege: ein anderer Anbieter oder der Betrieb auf eigenen Servern, bei dem kein AVV nötig ist, weil keine Daten das Haus verlassen. Die Bestandsaufnahme gehört zur DSGVO-Prüfung am Anfang jedes Projekts.
Nächster Schritt
Welcher Prozess kostet Sie die meiste Zeit?
Erzählen Sie es in 30 Minuten. Sie bekommen eine ehrliche Einschätzung, ob KI dort hilft und was der erste Schritt wäre.