Auftragsverarbeitung mit KI-Anbietern: Was der Vertrag regeln muss

Bei der Auftragsverarbeitung mit KI-Anbietern gilt: Wer personenbezogene Daten mit einem KI-Dienst verarbeitet, braucht in der Regel einen Vertrag zur Auftragsverarbeitung (AVV) nach Artikel 28 DSGVO. Die großen Anbieter stellen solche Verträge für ihre Business-Tarife und APIs bereit, für private Abos meist nicht. Dieser Überblick ersetzt keine Rechtsberatung.

Wann ein AVV nötig ist

Sobald Namen, E-Mail-Adressen, Kundendaten, Bewerbungen oder andere Daten über Personen in den KI-Dienst gelangen, verarbeitet der Anbieter diese in Ihrem Auftrag. Dann ist ein AVV Pflicht. Ohne personenbezogene Daten, etwa beim Schreiben allgemeiner Texte, ist er nicht nötig.

Worauf Sie achten sollten

• Keine Nutzung für Training: Ihre Daten dürfen nicht zur Verbesserung der Modelle verwendet werden.
• Speicherdauer: Wie lange werden Eingaben und Ausgaben gespeichert, etwa zur Missbrauchskontrolle?
• Ort der Verarbeitung: Bieten Sie Datenverarbeitung in der EU an?
• Unterauftragnehmer: Welche Rechenzentren und Dienstleister sind beteiligt?
• Sicherheitsmaßnahmen und Meldung von Datenpannen.

Übermittlung in die USA

Viele KI-Anbieter sitzen in den USA. Übermittlungen sind über das EU-US Data Privacy Framework möglich, wenn der Anbieter zertifiziert ist, sonst über Standardvertragsklauseln. Prüfen Sie die Angaben des Anbieters und dokumentieren Sie Ihre Bewertung.

Praxis-Tipp

Wo es geht, Daten vorher entfernen: Der Text-Anonymisierer ersetzt Namen und Kontaktdaten durch Platzhalter. Mehr zum Thema in ChatGPT und Datenschutz.