Data Processing Agreement (DPA/AVV)

DefinitionVertrag zur Auftragsverarbeitung mit KI-Anbietern und Dienstleistern

Ein Data Processing Agreement (DPA) – auf Deutsch meist Auftragsverarbeitungsvertrag (AVV) – ist ein Vertrag, der nach DSGVO regelt, wie ein Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeitet. Im KI-Kontext (z. B. bei ChatGPT, Large Language Model (LLM)-APIs oder Automations-Tools wie n8n) stellt der DPA/AVV sicher, dass Datenschutz, Sicherheit, Verantwortlichkeiten und Kontrollrechte sauber festgelegt sind.

Was bedeutet DPA/AVV im KI- und Automations-Kontext?

Wenn du einen KI-Anbieter oder Cloud-Dienst nutzt, werden oft Daten an diesen Anbieter übertragen: Prompts, Chat-Verläufe, Dokumente für RAG (Retrieval-Augmented Generation), Logs, Support-Tickets oder Nutzer-IDs. Sobald diese Informationen personenbezogen sind (z. B. Name, E-Mail, Kundennummer, IP-Adresse oder indirekt identifizierende Inhalte), liegt typischerweise eine Auftragsverarbeitung vor – und damit ist ein DPA/AVV erforderlich.

Wie funktioniert ein DPA/AVV typischerweise?

Rollen klären: Du bist „Verantwortlicher“, der Anbieter „Auftragsverarbeiter“ (oder ggf. gemeinsam Verantwortlicher – das muss geprüft werden).
Zweck & Umfang definieren: Welche Daten, welche Verarbeitung, welche Systeme/Tools, welche Kategorien betroffener Personen?
Technische und organisatorische Maßnahmen (TOMs): z. B. Verschlüsselung, Zugriffskontrollen, Protokollierung, Backup, Incident-Management.
Unterauftragsverarbeiter: Welche Subdienstleister (z. B. Hosting, Monitoring) werden genutzt und wie wirst du informiert?
Betroffenenrechte & Unterstützung: Prozesse für Auskunft, Löschung, Berichtigung; Unterstützung bei Datenschutz-Folgenabschätzung (DSFA).
Meldung von Datenschutzvorfällen: Fristen, Ansprechpartner, Inhalte der Meldung.
Löschung/Return: Was passiert nach Vertragsende mit Daten, Backups und Logs?

Warum ist ein DPA/AVV bei KI-Anbietern wichtig?

KI-Workflows erhöhen das Risiko, dass sensible Daten unbeabsichtigt in Prompts, Trainingsdaten oder Logs landen. Ein DPA/AVV schafft hier rechtliche Leitplanken: Er verpflichtet den Anbieter zu Datenschutzstandards, gibt dir Audit- und Informationsrechte und definiert, ob Daten z. B. zur Modellverbesserung genutzt werden dürfen. Gerade bei agentischen Setups (z. B. AI Agents (KI-Agenten) mit Function Calling / Tool Use) und Automatisierung über n8n hilft der Vertrag, Verantwortlichkeiten entlang der Tool-Kette zu klären.

Praxisbeispiele

Support-Automation: Ein Workflow fasst Kunden-E-Mails per LLM zusammen. Der DPA/AVV regelt u. a. Zugriff, Logging, Löschung und Subprozessoren.
Dokumenten-Chat mit RAG (Retrieval-Augmented Generation): Interne PDFs werden in Embeddings umgewandelt und in einer Vektordatenbank (Vector Database) gespeichert. DPA/AVV ist relevant für den Embedding-/LLM-Anbieter und ggf. den Datenbank-Hoster.
HR-Use-Case: Lebensläufe werden analysiert. Hier sind besondere Schutzmaßnahmen, Datensparsamkeit und klare Löschfristen essenziell.

Was kostet ein DPA/AVV?

Bei vielen SaaS- und KI-Anbietern ist der DPA/AVV ohne Aufpreis im Enterprise-Portal oder als Standard-Anlage verfügbar. Kosten entstehen eher indirekt: durch Rechtsprüfung, Verhandlungen (z. B. zu Datenresidenz, Subprozessoren, Audit-Rechten) und interne Compliance-Arbeit. Je höher das Risiko (z. B. sensible Daten, internationale Transfers), desto mehr Aufwand.

Wichtig: Ein DPA/AVV ersetzt keine Datenschutzstrategie. Er ist ein Kernbaustein zusammen mit Datenschutz (DSGVO/GDPR) & KI, Sicherheitsmaßnahmen (z. B. Secrets Management (Schlüsselverwaltung), Data Loss Prevention (DLP) für KI) und Governance wie AI Governance.

68%
fordern AVV vor Start
Ein Großteil der B2B-Einkäufer verlangt vor dem Einsatz von KI- oder Cloud-Dienstleistern einen unterschriebenen Data Processing Agreement, um Datenschutz- und Haftungsrisiken zu reduzieren.
3 von 4
schnelleres Vendor-Onboarding
Standardisierte DPA/AVV-Vorlagen verkürzen bei KMU häufig die rechtliche Prüfung und beschleunigen die Freigabe neuer Software- und KI-Anbieter deutlich.
42%
weniger Compliance-Aufwand
Unternehmen mit zentral gepflegten AVV-Prozessen reduzieren den manuellen Abstimmungsaufwand zwischen Einkauf, IT und Datenschutz spürbar.

AVV vor Einführung eines KI-Chatbots im Kundenservice abschließen
Ein KMU nutzt einen externen KI-Chatbot, um Support-Anfragen auf der Website automatisch zu beantworten. Bevor Kundendaten wie Namen, E-Mail-Adressen oder Bestellinformationen verarbeitet werden, schließt das Unternehmen mit dem Anbieter einen Data Processing Agreement (DPA/AVV) ab und prüft Löschfristen, Unterauftragsverarbeiter und technische Schutzmaßnahmen. So kann der Kundenservice digitalisiert werden, ohne Datenschutzanforderungen zu vernachlässigen.
Lohnabrechnung mit externem HR-Tool datenschutzkonform absichern
Ein mittelständischer Betrieb verarbeitet Personalstammdaten, Gehaltsinformationen und Krankmeldungen über eine cloudbasierte HR-Software. Mit einem DPA/AVV regelt das Unternehmen klar, welche Mitarbeiterdaten der Dienstleister verarbeitet, wie diese geschützt werden und wer im Fall eines Datenschutzvorfalls informiert werden muss. Das schafft Rechtssicherheit bei der Auslagerung sensibler HR-Prozesse.
Marketing-Automation mit Newsletter-Tool rechtssicher aufsetzen
Ein kleiner B2B-Händler verwendet ein externes Tool für E-Mail-Kampagnen, Lead-Scoring und Kontaktsegmentierung. Da dabei personenbezogene Daten von Interessenten und Kunden verarbeitet werden, sorgt ein DPA/AVV dafür, dass Verantwortlichkeiten, Speicherorte und Sicherheitsmaßnahmen vertraglich festgelegt sind. So kann das Marketing-Team automatisierte Kampagnen nutzen, ohne bei Datenschutzprüfungen in Erklärungsnot zu geraten.

Häufig gestellte Fragen

Wann brauche ich einen Data Processing Agreement (DPA) bzw. Auftragsverarbeitungsvertrag (AVV)?

Einen DPA bzw. AVV brauchst du immer dann, wenn ein externer Dienstleister personenbezogene Daten in deinem Auftrag verarbeitet – zum Beispiel bei KI-Tools, CRM-Systemen, Cloud-Software oder Automationen. Im KI- und Automations-Kontext ist das besonders wichtig, weil Daten oft über mehrere Tools, APIs und Plattformen fließen und die Verantwortlichkeiten sauber geregelt sein müssen.

Ist ein DPA/AVV bei ChatGPT, LLM-APIs oder n8n automatisch DSGVO-konform?

Nein, ein DPA allein macht ein Tool noch nicht automatisch DSGVO-konform. Entscheidend ist auch, welche Daten verarbeitet werden, wo sie gespeichert werden, ob Unterauftragsverarbeiter beteiligt sind und wie Sicherheit, Löschfristen und Zugriffsrechte geregelt sind.

Ich nutze schon viele Tools – wie finde ich heraus, wo mir ein DPA/AVV fehlt?

Genau dafür ist mein Tech-Gutachten da: Ich analysiere deine komplette Tool-Landschaft, prüfe Datenflüsse und decke auf, bei welchen Anbietern Datenschutz, Verträge oder Verantwortlichkeiten unklar sind. Du bekommst keine abstrakte Theorie, sondern eine konkrete Übersicht, was bleiben kann, was riskant ist und wo Handlungsbedarf besteht.

Ich bin kein Datenschutz- oder Technikprofi – kannst du mir trotzdem bei DPA/AVV-Themen helfen?

Ja, absolut. Ich übersetze technische Setups, KI-Tools und Automationen in klare Entscheidungen, damit du verstehst, wo echte Risiken liegen und was praktisch sinnvoll ist. Gerade für Geschäftsführer ohne eigene IT-Leitung ist die Tech-Partnerschaft als externer CTO dafür gemacht.

Kannst du auch prüfen, ob meine KI- oder Automations-Idee datenschutztechnisch sinnvoll umsetzbar ist?

Ja – in meiner KI-Beratung schauen wir nicht nur auf den Use Case, sondern auch auf Umsetzbarkeit, Datenflüsse und Risiken. Mit dem PUR-Framework klären wir, ob ein KI-Prozess wirtschaftlich sinnvoll und organisatorisch sauber aufgesetzt werden kann, bevor du Zeit und Geld investierst.

Was, wenn mein aktuelles Setup mit mehreren Tools und Automationen schon zu komplex geworden ist?

Dann ist meistens nicht nur die Technik unübersichtlich, sondern auch die Frage, welche Daten wohin laufen und welche Verträge überhaupt nötig sind. Ich helfe dir, Tool-Chaos zu ordnen, Prozesse neu zu strukturieren und bei Bedarf ein sauber integriertes System mit OrbitOS aufzubauen, das einfacher zu verwalten und datenseitig klarer ist.

Muss ich für Datenschutz und DPA/AVV-Themen erst ein großes IT-Projekt starten?

Nein, oft reicht schon ein strukturierter Blick auf deine bestehenden Tools, Prozesse und Anbieter. Ich arbeite pragmatisch: erst Transparenz schaffen, dann priorisieren und nur das umsetzen, was für dein Unternehmen wirklich relevant ist – ohne unnötigen Technik-Overhead.