Auftragsverarbeitung
KI-Glossar
Auftragsverarbeitung liegt vor, wenn ein Unternehmen personenbezogene Daten durch einen externen Dienstleister — etwa einen KI-Anbieter — verarbeiten lässt. Die DSGVO schreibt in diesem Fall einen schriftlichen Auftragsverarbeitungsvertrag vor.
Kurzdefinition
Nach Art. 28 DSGVO liegt Auftragsverarbeitung vor, wenn ein Verantwortlicher (das auftraggebende Unternehmen) einen Auftragsverarbeiter (externen Dienstleister) mit der Verarbeitung personenbezogener Daten beauftragt. In diesem Fall ist ein schriftlicher Auftragsverarbeitungsvertrag (AVV) erforderlich, der unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung, Weisungsgebundenheit des Auftragsverarbeiters sowie Sicherheitsmaßnahmen und Betroffenenrechte regelt. Der Verantwortliche bleibt datenschutzrechtlich für die Verarbeitung verantwortlich.
Einfach erklärt
Wer einen Cloud-KI-Dienst nutzt — also personenbezogene Daten in ein KI-System eines externen Anbieters eingibt — sollte prüfen, ob ein AVV erforderlich ist und vorliegt. Fehlt dieser Vertrag, kann die Verarbeitung datenschutzrechtlich problematisch sein.
In der Praxis bieten viele KI-Anbieter (OpenAI, Microsoft, Google) entsprechende Vertragsmodule an. Unternehmen sollten sicherstellen, dass ein AVV abgeschlossen ist, bevor sie personenbezogene Daten über solche Dienste verarbeiten. Der Datenschutzbeauftragte sollte in den Prozess eingebunden werden.
Beispiel aus dem Arbeitsalltag
Ein mittelständisches Unternehmen nutzt einen KI-Dienst, um Kundensupport-Mails automatisch zu kategorisieren. Da die Mails personenbezogene Daten enthalten können, prüft der Datenschutzbeauftragte, ob ein AVV mit dem Anbieter erforderlich ist, und schließt ihn ab, bevor der Dienst produktiv eingesetzt wird.
Warum ist der Begriff wichtig?
AVV-Pflicht ist bei Cloud-KI-Nutzung häufig relevant — und wird in der Praxis oft übersehen. Ein fehlender AVV ist ein klassischer DSGVO-Verstoß bei der Einführung neuer KI-Tools.
Auch wenn ein AVV vorliegt, bleibt das Unternehmen als Verantwortlicher datenschutzrechtlich zuständig. Die Wahl des Anbieters und die Inhalte des AVV sind daher keine rein formale Angelegenheit.
Chancen
- Klare Vertragsgrundlage für datenschutzkonforme KI-Nutzung
- Dokumentierter Nachweis bei Behördenanfragen
- Weisungsgebundenheit gibt Kontrolle über die Datenverarbeitung
- Standardisierte Vertragsmodule vieler Anbieter reduzieren Aufwand
Risiken und typische Fehler
- Fehlender AVV kann als DSGVO-Verstoß gewertet werden
- Anbieter außerhalb der EU können zusätzliche Anforderungen auslösen
- Verantwortlichkeit verbleibt beim beauftragenden Unternehmen
- Inhalte des AVV sollten sorgfältig geprüft werden
Verwandte Begriffe
Passende Inhalte im KI College
Lernen Sie Schritt für Schritt, wie Sie KI im Arbeitsalltag sinnvoll nutzen.
Use CasesKI im Arbeitsalltag anwenden
Entdecken Sie praktische Beispiele für typische Aufgaben im Beruf.
ToolsKI-Tools im Überblick
Finden Sie heraus, welche Tools zu welchen Aufgaben passen.