Datenschutz
Auftragsverarbeitung: Was ein AVV wirklich regelt
Der Vertrag, ohne den kein Dienstleister deine Daten anfassen darf.
Sobald ein Anbieter personenbezogene Daten für dein Unternehmen verarbeitet, verlangt die DSGVO einen Auftragsverarbeitungsvertrag. Bei KI-Tools ist er besonders heikel, weil oft eine ganze Kette von Subunternehmern mitliest. Hier erklären wir die Rollen, die Pflichtinhalte und die Punkte, an denen sich gute von schlechten AVVs unterscheiden.
AVV bei AI Link
Art. 28 DSGVO. Der AVV gehört von Anfang an dazu, nicht zur Verhandlungsmasse.
TOMs. Konkret benannt: Verschlüsselung, Zugriffskonzept, Protokollierung.
Subunternehmer. Vollständige Liste mit Standorten, proaktiv offengelegt.
Löschung und Rückgabe nach Vertragsende sind vertraglich zugesichert.
Kurz erklärt
Was ist ein Auftragsverarbeitungsvertrag (AVV)?
Ein Vertrag nach Art. 28 DSGVO zwischen deinem Unternehmen (Verantwortlicher) und einem Dienstleister (Auftragsverarbeiter), der personenbezogene Daten für dich verarbeitet. Er legt fest, was der Dienstleister mit den Daten tun darf, wie er sie schützt, welche Subunternehmer er einsetzt und was bei Vertragsende mit den Daten passiert. Ohne AVV ist die Zusammenarbeit rechtswidrig, egal wie sicher die Technik ist.
Die Rollen
Wer ist wer in der Auftragsverarbeitung?
Vier Begriffe, die jede AVV-Diskussion strukturieren.
Verantwortlicher
Dein Unternehmen: es entscheidet über Zwecke und Mittel der Verarbeitung und bleibt gegenüber Betroffenen und Aufsicht in der Pflicht, auch wenn ein Dienstleister die Arbeit macht.
Auftragsverarbeiter
Der Dienstleister, der personenbezogene Daten weisungsgebunden für dich verarbeitet, etwa ein KI-Arbeitsplatz wie AI Link, ein Hosting-Anbieter oder ein E-Mail-Anbieter. Er darf nichts mit den Daten tun, was du nicht angewiesen hast.
Der AVV
Der Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO bindet den Dienstleister rechtlich: Gegenstand, Dauer, Art der Daten, Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen.
Subunternehmer
Setzt der Dienstleister weitere Firmen ein (Rechenzentrum, Modellanbieter), braucht er deine Genehmigung, und die gleichen Pflichten müssen per Vertrag an jeden Subunternehmer weitergereicht werden.
Die Pflichtinhalte
Was in jeden AVV gehört
Art. 28 Abs. 3 DSGVO schreibt den Kern vor, in sechs Punkten.
Die Reihenfolge ist zugleich eine brauchbare Prüfliste: wenn du einen fremden AVV liest, geh sie von oben nach unten durch.
- 01
Gegenstand und Dauer festhalten: welche Daten, welche Kategorien Betroffener, wofür und wie lange. Ein AVV ohne konkrete Beschreibung ist ein Formblatt, kein Schutz.
- 02
Weisungsbindung und Vertraulichkeit: der Anbieter verarbeitet nur auf dokumentierte Weisung, sein Personal ist auf Vertraulichkeit verpflichtet.
- 03
Technische und organisatorische Maßnahmen (TOMs) prüfen: Verschlüsselung, Zugriffskonzepte, Protokollierung. Konkrete Angaben statt Floskeln wie „state of the art“.
- 04
Subunternehmer-Liste ansehen: wer steckt dahinter, und in welchem Rechtsraum? Hier entscheidet sich, ob „EU-Hosting“ wirklich EU bedeutet.
- 05
Unterstützungspflichten und Löschung: der Anbieter muss bei Betroffenenanfragen und Datenpannen helfen und Daten nach Vertragsende nachweisbar löschen oder zurückgeben.
- 06
Kontrollrechte sichern: Audits, Zertifizierungen (etwa ISO 27001) und Nachweise, damit du deinen eigenen Rechenschaftspflichten (Art. 5 Abs. 2 DSGVO) nachkommen kannst.
Faustregel: Ein AVV ist so gut wie sein konkretester Anhang. Vage TOMs und eine fehlende Subunternehmer-Liste sind die beiden häufigsten Schwachstellen.
Speziell bei KI-Anbietern
Sechs Punkte, auf die du achten solltest
KI-Dienste haben längere Verarbeitungsketten als klassische Software. Diese Fragen decken die kritischen Stellen ab.
Drittlandtransfer
Fließen Daten in die USA oder andere Drittländer? Dann braucht es zusätzlich Standardvertragsklauseln oder einen Angemessenheitsbeschluss, und ein ehrliches Risiko-Assessment.
Modellanbieter als Subunternehmer
Bei KI-Tools der kritische Punkt: welcher Modellanbieter sieht die Eingaben, und was darf er damit tun? Training mit deinen Daten muss vertraglich ausgeschlossen sein.
TOMs mit Substanz
Gute TOMs benennen Protokolle und Verfahren konkret: TLS 1.3, AES-256, Rollenkonzepte, Protokollierung. Je präziser die Angaben, desto prüfbarer das Versprechen.
Löschfristen
Wie lange speichert der Anbieter Eingaben, Ausgaben und Logs? Ein seriöser AVV nennt Fristen und den Weg, wie du die Löschung auslöst und nachgewiesen bekommst.
Haftung und Datenpannen
Meldewege bei Vorfällen (Art. 33 DSGVO lässt dir nur 72 Stunden) und eine Haftungsregelung, die nicht sämtliche Risiken auf dich abwälzt.
Nachweise statt Zusagen
Zertifikate, Auditberichte, Penetrationstests: verlang Belege. Ein Anbieter, der seine Sicherheit ernst nimmt, kann sie zeigen.
Verwandte Themen
Tiefer einsteigen
Der AVV ist der rechtliche Rahmen. Diese Beiträge zeigen die Technik dahinter.
PII-Anonymisierung
Der technische Hebel, der die AVV-Risikobewertung entspannt: Modelle sehen nur Platzhalter.
Hosting in Deutschland
Warum der Standort der Subunternehmer über Drittlandtransfers entscheidet.
DSGVO und KI
Rechtsgrundlagen, Datenminimierung, Betroffenenrechte: der Rahmen, in dem jeder AVV steht.
Häufige Fragen
Häufige Fragen zur Auftragsverarbeitung
Antworten auf die Fragen, die in AVV-Verhandlungen am häufigsten auftauchen.
Brauche ich für jedes KI-Tool einen AVV?
Sobald ein Anbieter personenbezogene Daten für dich verarbeitet, ja, und bei KI-Tools passiert das schneller als gedacht: schon eine E-Mail-Adresse in einem Prompt reicht. Ohne AVV ist die Verarbeitung rechtswidrig, unabhängig davon, wie gut das Tool technisch abgesichert ist.
Wer haftet, wenn beim Dienstleister etwas schiefgeht?
Die Verantwortung gegenüber Betroffenen und Aufsichtsbehörde bleibt beim Verantwortlichen, also bei dir. Der AVV regelt den internen Ausgleich, entbindet dich aber nicht von der Pflicht, den Anbieter sorgfältig auszuwählen und zu kontrollieren (Art. 28 Abs. 1 DSGVO verlangt „hinreichende Garantien“).
Was sind TOMs?
Technische und organisatorische Maßnahmen (Art. 32 DSGVO): alles, was Daten praktisch schützt, von Verschlüsselung über Zugriffskonzepte und Backups bis zu Schulungen. Im AVV-Anhang stehen sie meist als Liste; ihre Qualität erkennst du daran, ob konkrete Verfahren benannt sind oder nur Absichtserklärungen.
Ist ein US-Anbieter mit AVV automatisch DSGVO-konform?
Nein. Der AVV ist notwendig, löst aber das Drittlandproblem nicht: für Übermittlungen in die USA braucht es zusätzlich eine Grundlage nach Kapitel V DSGVO, etwa den aktuellen Angemessenheitsbeschluss (Data Privacy Framework) oder Standardvertragsklauseln. Beides steht rechtlich unter Beobachtung, wie Schrems II gezeigt hat. Wer das Risiko strukturell vermeiden will, wählt Anbieter, deren Verarbeitung die EU nicht verlässt.
Wie handhabt AI Link die Auftragsverarbeitung?
AI Labs schließt mit jeder Kundin und jedem Kunden einen AVV nach Art. 28 DSGVO, betreibt die Plattform in deutschen Rechenzentren und legt die Subunternehmer offen. Der wichtigste Unterschied liegt davor: durch die automatische PII-Anonymisierung erreichen Klarnamen die Modellanbieter erst gar nicht, was die Risikobewertung im AVV deutlich vereinfacht.
Transparenz ab Werk
Unser AVV liegt für dich bereit.
AVV, TOMs und Subunternehmer-Liste bekommst du von uns proaktiv, nicht erst auf Nachfrage.