Was ist ein Auftragsverarbeitungsvertrag?

Wann ein AVV nötig ist

Sobald ein externer Dienstleister für Ihr Unternehmen personenbezogene Daten verarbeitet und dabei an Ihre Weisungen gebunden ist, handelt es sich in der Regel um einen Auftragsverarbeiter im Sinne der DSGVO. Das betrifft viele IT-Dienste: Hosting, E-Mail, CRM – und KI-Plattformen, in die Mitarbeitende Kundennamen, E-Mails oder Dokumente eingeben. Die Verantwortung für die Verarbeitung bleibt bei Ihnen; der AVV regelt, wie der Dienstleister mit den Daten umgehen muss. Den Gesetzestext von Art. 28 finden Sie auf EUR-Lex.

Was Art. 28 DSGVO verlangt

Der Vertrag muss Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Rechte und Pflichten des Verantwortlichen festlegen. Zudem muss sich der Auftragsverarbeiter insbesondere verpflichten,

• Daten nur auf dokumentierte Weisung zu verarbeiten, auch im Hinblick auf Übermittlungen in Drittländer;
• die zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten;
• die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOMs) zu treffen;
• Unterauftragsverarbeiter nur mit vorheriger Genehmigung einzusetzen und ihnen dieselben Pflichten aufzuerlegen;
• den Verantwortlichen bei der Beantwortung von Betroffenenanfragen zu unterstützen;
• ihn bei Datensicherheit, Meldungen von Datenpannen und Datenschutz-Folgenabschätzungen zu unterstützen;
• nach Ende der Leistung alle personenbezogenen Daten zu löschen oder zurückzugeben;
• alle Informationen zum Nachweis der Pflichten bereitzustellen und Überprüfungen zu ermöglichen.

Der Vertrag bedarf der Schriftform, die auch elektronisch erfüllt werden kann. Die EU-Kommission hat Standardvertragsklauseln veröffentlicht, die dafür genutzt werden können.

Worauf Sie bei KI-Diensten achten sollten

1. Unterauftragsverarbeiter: Welche Modellanbieter, Hosting- und weiteren Dienste sind beteiligt, und wo?
2. Drittländer: Werden Daten außerhalb der EU übermittelt, und auf welcher Rechtsgrundlage?
3. Nutzung zum Training: Ist ausgeschlossen, dass Eingaben zum Training von Modellen verwendet werden?
4. TOMs: Sind die Maßnahmen konkret und nachvollziehbar beschrieben oder nur allgemein?
5. Löschung: Wie und wann werden Chats, Dokumente und Protokolle gelöscht?
6. Änderungen: Wie werden Sie über neue Unterauftragsverarbeiter informiert, und können Sie widersprechen?

Grenzen

Ein AVV allein macht einen KI-Einsatz noch nicht rechtmäßig. Sie brauchen weiterhin eine Rechtsgrundlage für die Verarbeitung, Transparenz gegenüber Betroffenen und gegebenenfalls eine Datenschutz-Folgenabschätzung. Weitere Informationen bieten die Datenschutzaufsichtsbehörden, etwa der BfDI. Dieser Eintrag ist keine Rechtsberatung.

Der AVV bei AIPE

Den Auftragsverarbeitungsvertrag für AIPE nach Art. 28 DSGVO können Sie online auf der Seite AVV einsehen – einschließlich der technischen und organisatorischen Maßnahmen und der Liste der Unterauftragsverarbeiter mit ihren Standorten. Die Plattform wird primär bei Hetzner in Deutschland gehostet. Was ein DSGVO-konformer KI-Einsatz insgesamt erfordert, erklären der Ratgeber DSGVO und KI und der Eintrag DSGVO-konforme KI.