Auftragsverarbeitung mit KI-Anbietern: Wann ein AVV nötig ist und was hineinmuss

Rolle pro Zweck und Verarbeitungsschritt bestimmen

Die Rollenprüfung beginnt mit tatsächlichen Entscheidungen über Zweck und wesentliche Mittel. Verarbeitet ein KI-Dienst Prompts und Uploads ausschließlich, um auf dokumentierte Weisung des Kunden Ergebnisse zu erzeugen, spricht dies für Auftragsverarbeitung. Nutzt der Anbieter Daten dagegen für eigene Modellverbesserung, dienstübergreifendes Profiling, Werbung oder eigenständig definierte Forschung, kann für diese Vorgänge eine eigene Verantwortlichkeit vorliegen. Vertragsüberschriften sind Indizien, aber nicht entscheidend.

Ein Anbieter kann in derselben Geschäftsbeziehung mehrere Rollen haben. Deshalb sind Inferenz, Speicherung, Abrechnung, Sicherheitsprotokollierung, Missbrauchserkennung, Support, Feedback und Training getrennt zu beschreiben. Das Management sollte keinen AVV unterschreiben und damit die Prüfung für erledigt erklären. Es muss entscheiden, welche eigenen Anbieterzwecke akzeptabel sind, auf welcher Rechtsgrundlage sie beruhen und ob betroffene Personen darüber zutreffend informiert werden können.

• Zwecke, Daten, Weisungen und Entscheidungsspielräume je Vorgang kartieren.
• Eigene Anbieterzwecke nicht durch die Überschrift Auftragsverarbeitung verdecken.
• Nicht akzeptable Zwecke technisch deaktivieren oder vertraglich ausschließen.

Quellen: [1] [2]

Pflichtinhalt nach Art. 28 vollständig konkretisieren

Der AVV muss Gegenstand und Dauer, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten, Kategorien betroffener Personen sowie Rechte und Pflichten des Verantwortlichen festlegen. Er muss unter anderem dokumentierte Weisungen, Vertraulichkeit, Sicherheit, Unterstützung bei Betroffenenrechten und Datenschutz-Folgenabschätzungen, Löschung oder Rückgabe sowie Nachweise und Überprüfungen regeln. Leere Anlagen oder allgemeine Verweise auf die Plattform genügen für eine belastbare Umsetzung nicht. Die Standardvertragsklauseln des Durchführungsbeschlusses (EU) 2021/915 können als Art.-28-Muster verwendet werden, sind aber nicht das einzig zulässige Vertragsformat.

Bei KI-Diensten müssen die Beschreibungen die technischen Realitäten erfassen: Prompts, Dokumente, Ausgaben, Nutzerkonten, Logs, Vektorspeicher, Supportdaten und etwaige Konnektoren. Datenarten wie Gesundheitsdaten oder Beschäftigtendaten dürfen nicht pauschal als bei Bedarf aufgenommen werden, wenn sie vertraglich oder technisch nicht vorgesehen sind. Umgekehrt darf die Beschreibung reale sensible Verarbeitungen nicht verschweigen. Die zulässige Nutzung ist an den freigegebenen Use Case zu binden.

• Alle Art.-28-Punkte mit konkreten Anhängen statt Platzhaltern ausfüllen.
• Input, Output, Logs, Wissensspeicher und Supportdaten ausdrücklich beschreiben.
• AVV-Umfang mit interner Tool- und Datenfreigabe abgleichen.

Quellen: [1] [3]

Weisungen, Sicherheit und Unterstützungsleistungen steuern

Weisungen müssen praktisch umsetzbar sein. Dazu gehören freigegebene Zwecke, Datenkategorien, Regionen, Aufbewahrung und Löschung sowie der Umgang mit rechtswidrigen Weisungen. Produktfunktionen dürfen die vereinbarte Weisung nicht stillschweigend erweitern. Wenn Nutzer Training, öffentliche Freigabelinks oder externe Plug-ins selbst aktivieren können, braucht es administrative Sperren, Rollenrechte und Kontrollen. Eine Policy ohne passende Plattformkonfiguration lässt eine wesentliche Lücke.

Die Sicherheitsanlage sollte risikoadäquate technische und organisatorische Maßnahmen nennen, darunter Zugriffssteuerung, Verschlüsselung, Mandantentrennung, Protokollierung, Wiederherstellung, Schwachstellenmanagement und Incident-Prozess. Der Anbieter muss so früh informieren, dass der Verantwortliche eigene Melde- und Abhilfepflichten prüfen kann. Unterstützung bei Auskunft, Löschung, Berichtigung und DSFA braucht Fristen, Kontaktstellen und Datenexporte; bloß angemessene Hilfe ohne Prozessbeschreibung kann operativ wertlos sein.

• Weisungen in technische Voreinstellungen und Rollenrechte übersetzen.
• Sicherheitsmaßnahmen nach konkretem Daten- und Einsatzrisiko bewerten.
• Unterstützung mit Fristen, Formaten, Ansprechpartnern und Kosten regeln.

Quellen: [1] [3]

Unterauftragsverarbeiter und Änderungen beherrschen

KI-Angebote beruhen oft auf Cloud-, Modell-, Moderations-, Analyse- und Supportdienstleistern. Der Verantwortliche benötigt eine aktuelle Liste mit Name, Aufgabe und Verarbeitungsort. Art. 28 erlaubt vorherige besondere oder allgemeine schriftliche Genehmigung; bei allgemeiner Genehmigung muss der Anbieter über beabsichtigte Änderungen informieren und Gelegenheit zum Widerspruch geben. Eine schwer auffindbare, nachträglich geänderte Webseite ohne wirksame Benachrichtigung ist praktisch unzureichend.

Ein Widerspruchsrecht braucht eine Folge. Vertraglich sollte geklärt sein, ob der Anbieter eine Alternative anbietet, die betroffene Funktion sperrt oder eine Beendigung mit Datenexport ermöglicht. Der Hauptauftragsverarbeiter muss seinen Unterauftragsverarbeitern gleichwertige Datenschutzpflichten auferlegen und bleibt dem Verantwortlichen gegenüber für deren Pflichterfüllung verantwortlich. Einkauf sollte Änderungen mit Datenschutz, Security und Fachbereich bewerten, nicht nur automatisiert zur Kenntnis nehmen.

• Subprozessorliste mit Aufgaben und Standorten in das Vendor-Monitoring übernehmen.
• Änderungen aktiv melden und eine angemessene Prüfzeit einräumen lassen.
• Widerspruch mit Alternative, Funktionssperre oder Exit praktisch wirksam machen.

Quellen: [1] [2]

Drittlandtransfer, Löschung und Nachweise gesondert prüfen

Ein AVV, einschließlich eines Vertrags auf Grundlage des Durchführungsbeschlusses (EU) 2021/915, ist für sich allein kein Transferinstrument nach Kapitel V DSGVO. Werden personenbezogene Daten einem Empfänger außerhalb des EWR übermittelt oder von dort zugänglich gemacht, ist zunächst Kapitel V DSGVO anzuwenden. Je nach Zielland und Empfänger sind ein anwendbarer Angemessenheitsbeschluss oder geeignete Garantien, etwa die Standardvertragsklauseln des Durchführungsbeschlusses (EU) 2021/914, und gegebenenfalls zusätzliche Maßnahmen zu prüfen. Eine EU-Region genügt nicht, wenn Support oder Unterauftragnehmer aus Drittländern auf personenbezogene Daten zugreifen. Transferanhänge müssen mit der Subprozessorliste und der tatsächlichen technischen Architektur übereinstimmen.

Bei Vertragsende muss der Kunde zwischen Rückgabe und Löschung wählen können, soweit keine gesetzliche Aufbewahrung entgegensteht. Für KI-Dienste sind auch Replikate, Backups, Logs, Vektorspeicher und kundenspezifische Anpassungen zu adressieren. Nachweise können Zertifikate, Prüfberichte und Auditrechte kombinieren. Die Leitung sollte festlegen, wann Standardnachweise genügen und wann wegen hoher Risiken, Vorfällen oder wesentlichen Mängeln eine vertiefte Überprüfung erforderlich ist.

• AVV, Transferinstrument und Sicherheitsprüfung als getrennte Bausteine führen.
• Remote-Zugriffe und Supportstandorte in das Transfer-Mapping aufnehmen.
• Löschung einschließlich Backups, Logs und abgeleiteter Kundenspeicher definieren.

Quellen: [1] [3] [5]

DSGVO-Rollen und AI Act-Rollen nicht gleichsetzen

Anbieter und Betreiber nach dem AI Act sind regulatorische Rollen für KI-Systeme; Verantwortlicher und Auftragsverarbeiter sind Rollen der DSGVO für konkrete personenbezogene Verarbeitungen. Ein KI-Anbieter kann datenschutzrechtlich Auftragsverarbeiter sein, muss es aber nicht für jeden Vorgang sein. Ebenso kann ein AI Act-Betreiber datenschutzrechtlich Verantwortlicher sein. Die Begriffe dürfen weder im Vertrag noch im Inventar synonym verwendet werden.

Der Digital Omnibus auf KI ändert Art. 28 DSGVO nicht. Auch verschobene Hochrisikofristen beseitigen keine heutige Pflicht zu Rollenprüfung und AVV. Managemententscheidungen sollten daher zweigleisig dokumentiert werden: eine Datenschutzmatrix je Zweck und Verarbeitungsschritt sowie eine AI Act-Matrix je System, Rolle und Risikoklasse. Beide Ergebnisse fließen in die Beschaffungsfreigabe ein, ohne das jeweils andere Rechtsgebiet zu ersetzen.

• Datenschutz- und AI Act-Rolle in getrennten Vertrags- und Inventarfeldern führen.
• Art. 28 unabhängig von Hochrisiko-Anwendungsterminen erfüllen.
• Bei Zweck-, Modell- oder Telemetrieänderung beide Rollenprüfungen aktualisieren.

Quellen: [1] [4]

Häufige Fragen