Auftragsverarbeitung (AVV) für KI-Tools
DefinitionVertrag, wenn ein KI-Anbieter personenbezogene Daten im Auftrag verarbeitet.
Auftragsverarbeitung (AVV) für KI-Tools ist ein Vertrag nach DSGVO, den Sie als Unternehmen abschließen, wenn ein KI-Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet – z. B. wenn Mitarbeitende Kundendaten in ein KI-Tool eingeben oder das Tool Support-Tickets, E-Mails oder Dokumente analysiert. Der AVV regelt Pflichten, Sicherheitsmaßnahmen und Kontrollrechte, damit die Verarbeitung rechtlich sauber bleibt.
Was bedeutet AVV im KI-Alltag von KMU?
Viele KI-Tools funktionieren als Cloud-Dienst: Sie senden Eingaben (Prompts), Dateien oder Gesprächsverläufe an den Anbieter, der diese Daten verarbeitet, um Ihnen eine Antwort zu liefern (z. B. mit einem Large Language Model (LLM) wie ChatGPT). Sobald dabei personenbezogene Daten betroffen sind (Kundennamen, E-Mail-Adressen, Mitarbeiterdaten, Ticket-Inhalte, Gesprächsnotizen), liegt häufig eine Auftragsverarbeitung vor – und ein AVV ist in der Regel erforderlich.
Wie funktioniert ein AVV für KI-Tools (praktisch)?
- Rollen klären: Sie sind meist „Verantwortlicher“, der KI-Anbieter ist „Auftragsverarbeiter“ (oder in manchen Fällen eigener Verantwortlicher – das muss geprüft werden).
- Verarbeitung beschreiben: Welche Daten, zu welchem Zweck, wie lange, welche Nutzergruppen (z. B. Vertrieb, HR, Support)?
- Sicherheitsmaßnahmen festlegen: z. B. Zugriffskontrollen, Verschlüsselung, Protokollierung, Mandantentrennung.
- Unterauftragsverarbeiter prüfen: Nutzt der Anbieter weitere Dienstleister (Hosting, Analyse, Support)? Wo sitzen diese?
- Rechte & Pflichten regeln: Weisungsrecht, Unterstützung bei Betroffenenanfragen, Meldewege bei Datenschutzvorfällen, Löschkonzepte.
Warum ist ein AVV bei KI-Tools wichtig?
Ein AVV reduziert Ihr Risiko bei DSGVO-Prüfungen, schafft klare Verantwortlichkeiten und zwingt den Anbieter zu Mindeststandards. Ohne AVV kann die Nutzung eines KI-Tools mit personenbezogenen Daten schnell zu einem Compliance-Problem werden – selbst wenn das Tool fachlich „super funktioniert“.
Typische Beispiele aus dem KMU-Alltag
- Customer Support: Ein KI-Tool fasst Tickets zusammen oder formuliert Antworten. Tickettexte enthalten fast immer personenbezogene Daten → AVV sehr wahrscheinlich.
- Vertrieb/Marketing: Sie lassen aus CRM-Notizen E-Mail-Entwürfe erstellen. Sobald Namen/Telefonnummern enthalten sind → AVV relevant.
- HR: Bewerbungen werden zusammengefasst oder Anschreiben analysiert. Hochsensibel → AVV (und zusätzliche Vorsicht) nötig.
- Wissensdatenbank/RAG: Wenn Sie interne Dokumente über RAG (Retrieval-Augmented Generation) anbinden, können darin personenbezogene Daten stecken → AVV und saubere Datenhygiene.
Worauf Sie beim AVV für KI besonders achten sollten
- Training/Weiterverwendung: Darf der Anbieter Ihre Eingaben zum Trainieren nutzen? Für viele Unternehmen ist hier „nein“ oder eine klare Opt-out-Regel entscheidend.
- Logging & Aufbewahrung: Wie lange werden Prompts/Antworten gespeichert? Gibt es Data Retention (Datenaufbewahrung) bei KI-Providern oder Zero Data Retention (ZDR) Optionen?
- Datenstandort & Transfers: Wo werden Daten verarbeitet? Relevant sind Data Residency (Datenresidenz) und ggf. EU-US Data Privacy Framework (DPF) & KI.
- Technische/organisatorische Maßnahmen (TOMs): Müssen im Vertrag/Anhang nachvollziehbar beschrieben sein.
- Löschung & Rückgabe: Was passiert bei Vertragsende? Wie bekommen Sie Daten zurück, wie wird gelöscht?
Merksatz: Sobald ein KI-Tool für Sie personenbezogene Daten verarbeitet, ist ein AVV (oder eine klare Rollenklärung, warum keiner nötig ist) ein Muss – besonders für KMU ohne IT-Abteilung, weil der Vertrag viele Sicherheits- und Prozessfragen verbindlich klärt.
- 68%
fordern AVV vor Einsatz
Ein Großteil der Unternehmen prüft vor dem produktiven Einsatz von KI-Tools zuerst, ob ein Vertrag zur Auftragsverarbeitung für personenbezogene Daten verfügbar ist.
- 3 von 5
DSGVO-Risiko im Fokus
Vor allem KMU bewerten fehlende Datenschutzvereinbarungen bei KI-Anbietern als zentrales Hindernis für eine schnellere Einführung im Arbeitsalltag.
- 42%
schnellere Anbieterfreigabe
Wenn ein KI-Anbieter AVV, TOMs und klare Datenschutzunterlagen bereitstellt, verkürzt sich die interne Freigabe in vielen B2B-Organisationen deutlich.
AVV vor Einführung eines KI-Chatbots im Kundenservice abschließen
Ein KMU setzt einen KI-Chatbot ein, der Kundenanfragen aus E-Mails und Kontaktformularen beantwortet und dabei Namen, Kontaktdaten oder Bestellinformationen verarbeitet. Bevor das Tool live geht, schließt das Unternehmen mit dem Anbieter einen AVV ab, um Verantwortlichkeiten, Sicherheitsmaßnahmen und Löschfristen vertraglich festzulegen. So kann der Kundenservice effizienter arbeiten, ohne Datenschutzpflichten zu vernachlässigen.
KI-gestützte Bewerberauswertung datenschutzkonform mit AVV absichern
Eine Personalabteilung nutzt ein KI-Tool, um eingehende Bewerbungen zu strukturieren, Lebensläufe zusammenzufassen und Interviewleitfäden vorzubereiten. Da dabei personenbezogene Daten von Bewerbenden verarbeitet werden, benötigt das Unternehmen einen AVV mit dem Anbieter. Das schafft eine saubere Grundlage für den Einsatz der Lösung und reduziert rechtliche Risiken im Recruiting-Prozess.
Transkription von Vertriebsgesprächen mit KI vertraglich absichern
Ein Vertriebs-Team verwendet ein KI-Tool, das Online-Meetings mitschneidet, transkribiert und automatisch Gesprächsnotizen erstellt. Wenn darin Kundennamen, Ansprechpartner oder Projektinformationen enthalten sind, verarbeitet der Anbieter personenbezogene Daten im Auftrag des Unternehmens. Ein AVV regelt dabei klar, wie diese Daten geschützt, gespeichert und gegebenenfalls gelöscht werden.
Häufig gestellte Fragen
Was ist Auftragsverarbeitung (AVV) für KI-Tools?
Ein AVV ist ein DSGVO-Vertrag, den Sie mit einem KI-Anbieter schließen, wenn dieser personenbezogene Daten in Ihrem Auftrag verarbeitet. Er legt Pflichten, Sicherheitsmaßnahmen, Unterauftragnehmer und Löschregeln verbindlich fest.
Wann brauche ich einen AVV für ein KI-Tool?
Meist dann, wenn Mitarbeitende personenbezogene Daten (z. B. Kundennamen, E-Mails, Ticketinhalte) in das KI-Tool eingeben oder das Tool solche Daten aus Dokumenten/Workflows verarbeitet. Wenn der Anbieter die Zwecke selbst bestimmt, kann stattdessen eine andere Rollenverteilung gelten – das sollte geprüft werden.
Wie funktioniert Auftragsverarbeitung (AVV) für KI-Tools in der Praxis?
Sie klären die Rollen, beschreiben Zweck und Datenarten und vereinbaren TOMs, Löschfristen und den Umgang mit Unterauftragsverarbeitern. Wichtig sind zudem Regelungen zu Logging, Datenstandort und ob Eingaben fürs Training genutzt werden dürfen.
Welche Punkte sind im AVV für KI-Tools besonders kritisch?
Kritisch sind vor allem Training/Weiterverwendung Ihrer Daten, Aufbewahrungsdauer von Prompts/Chats, internationale Datenübermittlungen und klare Lösch- sowie Incident-Prozesse. Diese Punkte entscheiden oft, ob ein Tool für sensible Bereiche (HR, Support) geeignet ist.
Was passiert, wenn ich ein KI-Tool ohne AVV mit personenbezogenen Daten nutze?
Dann fehlt häufig eine zentrale DSGVO-Grundlage für die Verarbeitung durch den Anbieter, was bei Audits oder Beschwerden problematisch werden kann. Zusätzlich steigt das Risiko, dass Daten länger gespeichert oder anders genutzt werden, als Sie es erwarten.
Brauche ich für jedes KI-Tool automatisch einen AVV?
Nein, nicht jedes KI-Tool erfordert automatisch einen AVV. Entscheidend ist, ob der Anbieter personenbezogene Daten in deinem Auftrag verarbeitet – etwa Kundendaten, Mitarbeiterdaten, E-Mails, Support-Tickets oder Inhalte aus Dokumenten. Sobald solche Daten in ein KI-Tool fließen und der Anbieter sie für dich verarbeitet, ist ein AVV in der Regel notwendig.
Was bedeutet AVV im KI-Alltag von KMU konkret?
Im Alltag von kleinen und mittleren Unternehmen betrifft der AVV vor allem cloudbasierte KI-Tools, die Texte analysieren, Inhalte zusammenfassen, Support-Anfragen auswerten oder Daten aus Dokumenten verarbeiten. Für KMU heißt das: Vor der Nutzung sollte geprüft werden, welche personenbezogenen Daten eingegeben werden, wo sie verarbeitet werden und ob mit dem Anbieter ein DSGVO-konformer AVV abgeschlossen werden kann.
Ich nutze schon mehrere KI-Tools – könntest du überhaupt schnell prüfen, wo ein AVV fehlt?
Ja, genau dafür ist mein Tech-Gutachten da. In kurzer Zeit analysiere ich deine Tool-Landschaft, prüfe Nutzung, Datenflüsse und typische Datenschutz-Risiken rund um KI-Tools und zeige dir konkret, wo ein AVV nötig ist, wo Verträge fehlen und welche Tools problematisch sind. Du bekommst keine vagen Hinweise, sondern klare Empfehlungen, was bleiben kann und was du ändern solltest.
Wir haben keine eigene IT-Leitung – wer hilft uns bei AVV, Tool-Auswahl und KI-Entscheidungen laufend?
Wenn dir intern die technische Leitung fehlt, begleite ich dich als externer CTO über meine Tech-Partnerschaft. Ich denke bei Tool- und KI-Entscheidungen mit, prüfe Risiken, helfe bei Prioritäten und bin dein fester Ansprechpartner, damit Datenschutz, Effizienz und Umsetzbarkeit zusammenpassen. So musst du AVV-Themen nicht nebenbei allein mit Geschäftsführung oder Assistenz lösen.
Ist das nicht zu aufwendig, unsere bestehenden Prozesse und KI-Tools datenschutzkonform aufzusetzen?
Der Aufwand wird oft überschätzt, wenn man strukturiert vorgeht. Mit dem Tech-Gutachten oder einer KI-Beratung identifizieren wir zuerst die kritischen Prozesse, statt alles gleichzeitig anzufassen. So bekommst du einen realistischen Umsetzungsplan, mit dem du Datenschutz, AVV und sinnvolle KI-Nutzung pragmatisch in den Griff bekommst.
Kannst du uns auch helfen, eine datenschutzsaubere Alternative aufzusetzen, wenn ein KI-Tool keinen passenden AVV anbietet?
Ja, genau das ist Teil meiner KI-Beratung und meiner Umsetzung mit OrbitOS. Ich prüfe, ob ein Tool ersetzbar ist, welche Alternative fachlich und datenschutzseitig besser passt und setze bei Bedarf eine Lösung auf, in der Prozesse, Daten und KI-Anwendungen sauber zusammenlaufen. Das Ziel ist nicht nur Compliance auf dem Papier, sondern ein System, das dein Team wirklich nutzen kann.
Wir wollen KI nutzen, aber ohne rechtliche Grauzonen – wie gehst du dabei vor?
Ich verbinde technische Machbarkeit mit pragmischer Risikoprüfung. In der KI-Beratung schauen wir mit dem PUR-Framework, welche Prozesse sinnvoll sind, wo personenbezogene Daten betroffen sind und welche Tool-Setups wirtschaftlich und datenschutzseitig tragfähig sind. So investierst du nicht in KI-Hype, sondern in Lösungen, die für dein Unternehmen wirklich funktionieren.