AVV-Prüfliste KI: Auftragsverarbeitungsvertrag prüfen

Was ein AVV für KI-Dienste enthalten sollte

Die AVV-Prüfliste KI hilft, den Auftragsverarbeitungsvertrag (AVV, englisch Data Processing Agreement) eines KI-Anbieters systematisch durchzugehen. Verarbeitet ein KI-Anbieter personenbezogene Daten im Auftrag Ihres Unternehmens, etwa weil Beschäftigte Kundendaten in einen Chatbot eingeben oder eine Anwendung Daten an eine API schickt, verlangt Art. 28 DSGVO einen Vertrag mit festen Mindestinhalten. Dazu gehören Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten und Kategorien betroffener Personen sowie die Pflichten nach Art. 28 Abs. 3 Buchstabe a bis h.

Bei KI-Diensten kommen typische Fragen hinzu, die im Standardvertrag oft nur indirekt geregelt sind: Werden Eingaben und Ausgaben zum Training verwendet? Wie lange speichert der Anbieter Prompts, auch zur Missbrauchsüberwachung, und wer darf sie einsehen? Wo werden die Daten verarbeitet, und welche Unterauftragsverarbeiter, etwa Rechenzentrums- oder Modellanbieter, sind beteiligt? Für Drittlandübermittlung in die USA kommt der Angemessenheitsbeschluss zum EU-US Data Privacy Framework in Betracht, wenn der Empfänger zertifiziert ist; sonst sind etwa Standardvertragsklauseln nötig.

Für jeden Prüfpunkt wählen Sie einen Status und notieren die Fundstelle. Der Erfüllungsgrad zählt erfüllte Punkte im Verhältnis zu allen relevanten; offene Punkte kopieren Sie als Liste für die Rückfrage beim Anbieter. Ihre Auswahl wird nur in Ihrem Browser gespeichert. Die Prüfliste ersetzt keine juristische Prüfung, deckt aber die häufigsten Lücken ab. Den Einsatz eines KI-Tools insgesamt bewertet der DSGVO-Check für KI-Tools, dokumentieren lässt er sich im KI-Verzeichnis.