Auftragsverarbeitungsvertrag (AVV)
Der Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO regelt, wie ein Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeiten darf.
Sobald ein Unternehmen einen Dienstleister mit der Verarbeitung personenbezogener Daten beauftragt, verlangt Artikel 28 Absatz 3 DSGVO einen Vertrag. Das Unternehmen bleibt Verantwortlicher, der Dienstleister wird Auftragsverarbeiter und darf die Daten nur nach dokumentierter Weisung verarbeiten. Ein KI-Anbieter, der Chats, Dokumente oder Postfächer verarbeitet, ist ein solcher Auftragsverarbeiter.
Der Vertrag muss unter anderem Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Kategorien von Daten und betroffenen Personen sowie die Pflichten des Auftragsverarbeiters festlegen: Vertraulichkeit der Beschäftigten, technische und organisatorische Maßnahmen nach Artikel 32, Regeln für Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe der Daten nach Vertragsende sowie Nachweis- und Prüfrechte.
Besondere Aufmerksamkeit verdient bei KI-Diensten die Liste der Unterauftragsverarbeiter und der Verarbeitungsort. Reicht der Anbieter Anfragen an ein Modell eines Drittanbieters weiter, ist dieser Unterauftragsverarbeiter, und bei Standorten außerhalb der EU sind zusätzlich die Regeln zur Drittlandübermittlung nach Kapitel V DSGVO zu beachten. Ebenso gehört in den Vertrag, ob der Anbieter Daten zu eigenen Zwecken wie Modelltraining nutzen darf.
Was das für Ihr Unternehmen bedeutet
Ein mittelständisches Unternehmen sollte vor dem Einsatz eines KI-Dienstes den Auftragsverarbeitungsvertrag anfordern und drei Punkte prüfen: Wo werden die Daten verarbeitet, welche Unterauftragsverarbeiter sind beteiligt, und ist Training mit Kundendaten ausgeschlossen. Fehlt ein Vertrag, verstößt bereits die Nutzung gegen die DSGVO, unabhängig davon, wie sicher der Dienst technisch ist.