AVV mit KI-Anbietern: Was Artikel 28 DSGVO verlangt

Kurz gesagt: Ja. Wenn ein KI-Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, brauchen Sie einen Auftragsverarbeitungsvertrag (AVV). Artikel 28 DSGVO schreibt das vor. Der Vertrag muss schriftlich sein und feste Inhalte enthalten. Ohne ihn fehlt dem Datenaustausch die vertragliche Grundlage.

Wann brauchen Sie einen AVV?

Ein AVV wird fällig, sobald ein externer Dienstleister Daten für Sie verarbeitet und dabei personenbezogene Daten im Spiel sind. Sie bleiben Verantwortlicher, der Anbieter ist Auftragsverarbeiter. Die Frage ist nicht, ob die KI clever ist, sondern ob personenbezogene Daten fließen.

• Sie geben Namen, E-Mails oder Kundendaten in ein KI-Tool ein.
• Der Anbieter speichert oder verarbeitet diese Daten auf seinen Servern.
• Sie entscheiden über Zweck und Mittel, der Anbieter führt aus.
• Auch Test- oder Pilotphasen zählen, sobald echte Daten fließen.
• Ein reines Anonymisieren vorab ändert die Pflicht, ersetzt sie aber nicht automatisch.

Pflichtinhalte nach Artikel 28

Ein AVV darf nicht vage sein. Artikel 28 Absatz 3 DSGVO nennt genau, was drinstehen muss. Zuerst die Eckdaten der Verarbeitung, dann die konkreten Pflichten des Anbieters. Diese Eckdaten legen den Rahmen fest:

• Gegenstand und Dauer der Verarbeitung.
• Art und Zweck der Verarbeitung.
• Art der personenbezogenen Daten.
• Kategorien der betroffenen Personen.
• Rechte und Pflichten des Verantwortlichen.

Ein AVV ist keine Rechtsgrundlage

Hier passiert oft ein Denkfehler. Ein AVV regelt, wie ein Anbieter in Ihrem Auftrag arbeitet. Er sagt aber nicht, ob Sie die Daten überhaupt verarbeiten dürfen. Das sind getrennte Bausteine. Verwechseln Sie sie nicht.

• Die Rechtsgrundlage kommt aus Artikel 6 DSGVO, nicht aus dem AVV.
• Eine Datenschutz-Folgenabschätzung (DSFA) kann zusätzlich nötig sein.
• Technische Maßnahmen allein ersetzen den Vertrag nicht.
• Der AVV regelt das Verhältnis, nicht die Erlaubnis.
• Alle Bausteine müssen zusammen vorhanden sein.

Drittlandtransfer in die USA

Viele KI-Anbieter sitzen in den USA oder verarbeiten dort. Damit verlassen Daten den EU-Raum. Dafür gelten die Regeln aus Artikel 44 und folgende DSGVO. Sie brauchen zusätzliche Garantien, meist Standardvertragsklauseln.

• Prüfen Sie, wo der Anbieter Daten tatsächlich verarbeitet.
• Standardvertragsklauseln (SCC) sind das gängige Instrument.
• Ein Angemessenheitsbeschluss kann den Transfer erleichtern.
• Eine Transfer-Folgenabschätzung ergänzt die Klauseln oft.
• Der AVV und die Transfergarantien gehören zusammen geprüft.

KI-Angebote in der Praxis

Nicht jedes KI-Angebot bietet einen nutzbaren AVV. Kostenlose oder private Consumer-Versionen tun das oft nicht. Business-, Enterprise- oder API-Tarife stellen ihn dagegen häufig bereit. Verlassen Sie sich nicht auf Annahmen, sondern lesen Sie die Anbieterdokumentation.

1. 1Laut OpenAI bieten die Enterprise- und API-Angebote ein Data Processing Addendum an.
2. 2Laut Google gilt für Cloud-Dienste ein Data Processing Addendum als Vertragsbestandteil.
3. 3Consumer-Chatbots ohne Business-Tarif liefern häufig keinen Vertrag.
4. 4Der genaue Umfang hängt vom gewählten Plan ab.
5. 5Prüfen Sie das Datum der Dokumentation, denn Richtlinien ändern sich.

Hier setzt ONYRI beim Grundsatz der Datenminimierung an (Art. 5 DSGVO). Das Tool erkennt sensible Daten im Text und ersetzt sie durch reversible Jetons, bevor der Text zur KI geht. Die Zuordnung von Jeton und Wert bleibt im Browser und wird nie an den Server gesendet. Nach der Antwort werden die echten Werte wieder eingesetzt. Wichtig und ehrlich: Das ist Pseudonymisierung, keine Anonymisierung. Pseudonymisierte Daten bleiben personenbezogen (Erwägungsgrund 26 DSGVO). ONYRI senkt die Exposition, ersetzt aber weder einen AVV noch eine Rechtsgrundlage.

Zum Mitnehmen: Der AVV ist Pflicht, aber nur ein Baustein. Weniger Daten zu teilen senkt Ihr Risiko zusätzlich. Beides zusammen ist der solide Weg.