AAllgemein

Auftragsverarbeitung (AVV) für KI-Tools

Vertrag, wenn ein KI-Anbieter personenbezogene Daten im Auftrag verarbeitet.
3 Aufrufe

Auftragsverarbeitung (AVV) für KI-Tools ist ein Vertrag nach DSGVO, den Sie als Unternehmen abschließen, wenn ein KI-Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet – z. B. wenn Mitarbeitende Kundendaten in ein KI-Tool eingeben oder das Tool Support-Tickets, E-Mails oder Dokumente analysiert. Der AVV regelt Pflichten, Sicherheitsmaßnahmen und Kontrollrechte, damit die Verarbeitung rechtlich sauber bleibt.

Was bedeutet AVV im KI-Alltag von KMU?

Viele KI-Tools funktionieren als Cloud-Dienst: Sie senden Eingaben (Prompts), Dateien oder Gesprächsverläufe an den Anbieter, der diese Daten verarbeitet, um Ihnen eine Antwort zu liefern (z. B. mit einem Large Language Model (LLM) wie ChatGPT). Sobald dabei personenbezogene Daten betroffen sind (Kundennamen, E-Mail-Adressen, Mitarbeiterdaten, Ticket-Inhalte, Gesprächsnotizen), liegt häufig eine Auftragsverarbeitung vor – und ein AVV ist in der Regel erforderlich.

Wie funktioniert ein AVV für KI-Tools (praktisch)?

  • Rollen klären: Sie sind meist „Verantwortlicher“, der KI-Anbieter ist „Auftragsverarbeiter“ (oder in manchen Fällen eigener Verantwortlicher – das muss geprüft werden).
  • Verarbeitung beschreiben: Welche Daten, zu welchem Zweck, wie lange, welche Nutzergruppen (z. B. Vertrieb, HR, Support)?
  • Sicherheitsmaßnahmen festlegen: z. B. Zugriffskontrollen, Verschlüsselung, Protokollierung, Mandantentrennung.
  • Unterauftragsverarbeiter prüfen: Nutzt der Anbieter weitere Dienstleister (Hosting, Analyse, Support)? Wo sitzen diese?
  • Rechte & Pflichten regeln: Weisungsrecht, Unterstützung bei Betroffenenanfragen, Meldewege bei Datenschutzvorfällen, Löschkonzepte.

Warum ist ein AVV bei KI-Tools wichtig?

Ein AVV reduziert Ihr Risiko bei DSGVO-Prüfungen, schafft klare Verantwortlichkeiten und zwingt den Anbieter zu Mindeststandards. Ohne AVV kann die Nutzung eines KI-Tools mit personenbezogenen Daten schnell zu einem Compliance-Problem werden – selbst wenn das Tool fachlich „super funktioniert“.

Typische Beispiele aus dem KMU-Alltag

  • Customer Support: Ein KI-Tool fasst Tickets zusammen oder formuliert Antworten. Tickettexte enthalten fast immer personenbezogene Daten → AVV sehr wahrscheinlich.
  • Vertrieb/Marketing: Sie lassen aus CRM-Notizen E-Mail-Entwürfe erstellen. Sobald Namen/Telefonnummern enthalten sind → AVV relevant.
  • HR: Bewerbungen werden zusammengefasst oder Anschreiben analysiert. Hochsensibel → AVV (und zusätzliche Vorsicht) nötig.
  • Wissensdatenbank/RAG: Wenn Sie interne Dokumente über RAG (Retrieval-Augmented Generation) anbinden, können darin personenbezogene Daten stecken → AVV und saubere Datenhygiene.

Worauf Sie beim AVV für KI besonders achten sollten

Merksatz: Sobald ein KI-Tool für Sie personenbezogene Daten verarbeitet, ist ein AVV (oder eine klare Rollenklärung, warum keiner nötig ist) ein Muss – besonders für KMU ohne IT-Abteilung, weil der Vertrag viele Sicherheits- und Prozessfragen verbindlich klärt.

Zahlen & Fakten

0%
fordern AVV vor EinsatzEin Großteil der Unternehmen prüft vor dem produktiven Einsatz von KI-Tools zuerst, ob ein Vertrag zur Auftragsverarbeitung für personenbezogene Daten verfügbar ist.
0 von 5
DSGVO-Risiko im FokusVor allem KMU bewerten fehlende Datenschutzvereinbarungen bei KI-Anbietern als zentrales Hindernis für eine schnellere Einführung im Arbeitsalltag.
0%
schnellere AnbieterfreigabeWenn ein KI-Anbieter AVV, TOMs und klare Datenschutzunterlagen bereitstellt, verkürzt sich die interne Freigabe in vielen B2B-Organisationen deutlich.

Anwendungsfälle in der Praxis

Kundenservice
AVV vor Einführung eines KI-Chatbots im Kundenservice abschließen
Ein KMU setzt einen KI-Chatbot ein, der Kundenanfragen aus E-Mails und Kontaktformularen beantwortet und dabei Namen, Kontaktdaten oder Bestellinformationen verarbeitet. Bevor das Tool live geht, schließt das Unternehmen mit dem Anbieter einen AVV ab, um Verantwortlichkeiten, Sicherheitsmaßnahmen und Löschfristen vertraglich festzulegen. So kann der Kundenservice effizienter arbeiten, ohne Datenschutzpflichten zu vernachlässigen.

Bist du bereit für Auftragsverarbeitung (AVV) bei KI-Tools?

Beantworte 5 kurze Fragen und finde heraus, wo du stehst.
Prüfst du bei jedem KI-Tool, ob dabei personenbezogene Daten verarbeitet werden?
Hast du für eingesetzte KI-Tools bereits geklärt, ob der Anbieter als Auftragsverarbeiter tätig ist?
Hast du mit relevanten KI-Anbietern bereits einen AVV abgeschlossen?
Dokumentierst du, welche KI-Tools mit AVV freigegeben sind und wer sie im Unternehmen nutzen darf?
Prüfst du regelmäßig, ob sich Datenflüsse, Unterauftragsverarbeiter oder Vertragsbedingungen deiner KI-Anbieter geändert haben?

Ist deine KI-Nutzung datenschutzrechtlich sauber aufgesetzt?

Wenn du KI-Tools mit personenbezogenen Daten einsetzt, brauchst du oft mehr als nur ein gutes Bauchgefühl – sondern klare Verträge und ein sauberes Setup. In der KI-Beratung prüfen wir gemeinsam, welche Tools bei dir überhaupt eine Auftragsverarbeitung auslösen und wo Handlungsbedarf besteht. So vermeidest du Datenschutz-Risiken, bevor aus einem praktischen KI-Tool ein rechtliches Problem wird. Und du bekommst konkrete Unterstützung dabei, KI in deinem Unternehmen sicher und sinnvoll einzusetzen.

Häufig gestellte Fragen

Was ist Auftragsverarbeitung (AVV) für KI-Tools?
Ein AVV ist ein DSGVO-Vertrag, den Sie mit einem KI-Anbieter schließen, wenn dieser personenbezogene Daten in Ihrem Auftrag verarbeitet. Er legt Pflichten, Sicherheitsmaßnahmen, Unterauftragnehmer und Löschregeln verbindlich fest.