AV-Vertrag für KI-Dienste: Art. 28 DSGVO in der Praxis

Auftragsverarbeitungsvertrag, AV-Vertrag, AVV und Vertrag zur Auftragsverarbeitung bezeichnen dasselbe Dokument. Es regelt das Verhältnis zwischen einem Verantwortlichen, der über Zwecke und Mittel einer Verarbeitung entscheidet, und einem Dienstleister, der personenbezogene Daten ausschließlich für ihn und nach seiner Weisung verarbeitet. Die DSGVO definiert die zweite Rolle knapp.

Art. 28 Abs. 3 DSGVO verlangt, dass diese Verarbeitung auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments erfolgt, das den Auftragsverarbeiter an den Verantwortlichen bindet, und zählt auf, was darin stehen muss. Nach Art. 28 Abs. 9 ist der Vertrag schriftlich abzufassen, wobei ein elektronisches Format ausdrücklich zulässig ist. Vorgelagert ist eine zweite Pflicht, die häufig übersehen wird, weil sie nicht in Vertragsform gegossen wird: die Auswahl des Dienstleisters selbst.

Diese Seite ist eine fachliche Orientierung und keine Rechtsberatung. Ob in Ihrem Fall eine Auftragsverarbeitung vorliegt, welche Klauseln ausreichen und welches Risiko Sie tragen wollen, entscheidet Ihre Datenschutzbeauftragte oder Ihr Rechtsbeistand anhand Ihrer konkreten Verarbeitung.

Zwei Bedingungen müssen zusammentreffen. Erstens müssen personenbezogene Daten im Spiel sein. Zweitens muss der Dienstleister sie im Auftrag verarbeiten, also weisungsgebunden und ohne eigene Entscheidung über Zwecke und Mittel. Fehlt eine der beiden Bedingungen, ist Art. 28 nicht die richtige Norm.

Für die erste Bedingung genügt bereits die Zugriffsmöglichkeit. Wer Systeme hostet, wartet oder im Support Einblick in Datensätze nehmen kann, verarbeitet personenbezogene Daten auch dann, wenn er es im Alltag selten tut. Fernwartung, Backup-Dienste, Ticketsysteme, Monitoring und Cloud-Speicher werden deshalb von den deutschen Aufsichtsbehörden überwiegend als Auftragsverarbeitung eingeordnet, sofern der Zugriff nicht technisch ausgeschlossen ist. Der gängige Einwand, man schaue ja nicht hinein, trägt nicht: Maßgeblich ist, was möglich ist, nicht was üblich ist.

Ausdrücklich kein AV-Vertrag ist dagegen in diesen Konstellationen das richtige Instrument:

• Keine personenbezogenen Daten. Verarbeitet ein Dienstleister ausschließlich Daten ohne Personenbezug, greift Art. 28 nicht. Der Nachweis liegt bei Ihnen, und er ist bei Freitext, Protokolldateien und Support-Tickets schwerer zu führen, als er zunächst wirkt.
• Eigenverantwortliche Dienstleister. Berufsgeheimnisträger wie Steuerberater, Rechtsanwälte oder Wirtschaftsprüfer, ebenso Banken im Zahlungsverkehr, entscheiden aufgrund eigener berufsrechtlicher Pflichten über die Verarbeitung. Sie werden überwiegend als eigene Verantwortliche eingeordnet, weshalb es hier eine Rechtsgrundlage für die Übermittlung braucht, keinen AV-Vertrag.
• Gemeinsame Verantwortlichkeit. Legen zwei Stellen Zwecke und Mittel gemeinsam fest, verlangt Art. 26 DSGVO eine Vereinbarung über die gemeinsame Verantwortlichkeit. Sie ersetzt den AV-Vertrag und hat andere Pflichtinhalte, vor allem die transparente Zuordnung der Betroffenenrechte.
• Übermittlung an einen anderen Verantwortlichen. Geben Sie Daten an eine Stelle weiter, die damit eigene Zwecke verfolgt, ist das keine Auftragsverarbeitung, sondern eine Übermittlung, die eine eigene Rechtsgrundlage nach Art. 6 DSGVO braucht.

Die Rollenverteilung ist dabei keine Frage der Bezeichnung im Vertrag, sondern der tatsächlichen Entscheidungsmacht. Art. 28 Abs. 10 DSGVO stellt klar: Bestimmt ein Auftragsverarbeiter unter Verstoß gegen die Verordnung selbst Zwecke und Mittel, gilt er insoweit als Verantwortlicher. Diese Vorschrift ist der Grund, warum die Trainingsfrage bei KI-Anbietern kein Nebenpunkt ist, sondern über die Rolle des Anbieters mitentscheidet. Die übergreifenden Prüfkriterien dafür stehen auf der Seite zum DSGVO-konformen KI-Einsatz.

Der Vertrag muss zuerst die Verarbeitung selbst beschreiben: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Diese Angaben stehen in der Praxis in einer Anlage, und sie sind der Teil, den ein Muster zwangsläufig leer lässt. Darauf folgen acht Regelungen, die der Vertrag nach Art. 28 Abs. 3 Satz 2 ausdrücklich vorsehen muss. Das Gesetz leitet diese Aufzählung mit „insbesondere“ ein: Sie ist ein Mindestinhalt und keine abschließende Liste. Fehlen darf keiner der acht Punkte, weitere Regelungen können hinzukommen.

Ein neunter Punkt steht im Anschluss an diese Aufzählung und wird beim Lesen gern überblättert: Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Diese Hinweispflicht gehört in den Vertrag, weil sie in Streitfällen die Beweislage prägt.

Die Pflichtinhalte ändern sich bei einem Sprachmodell nicht. Was sich ändert, ist die Art der Verarbeitung, auf die sie treffen. Ein Prompt ist unstrukturierter Freitext, der beliebige Datenkategorien enthalten kann, die Ausgabe des Modells ist selbst wieder ein Datum, das Personenbezug tragen kann, und die Verarbeitungskette umfasst regelmäßig mehr Beteiligte als der Vertrag auf den ersten Blick erkennen lässt. Sechs Punkte sollten Sie deshalb zusätzlich klären, bevor Sie einen AVV mit einem KI-Anbieter unterzeichnen.

• Werden Eingaben und Ausgaben zum Training verwendet? Das ist die Klausel, an der die Rollenverteilung hängt. Ein vertraglicher Ausschluss ist belastbarer als eine Einstellung im Konto, die ein einzelner Zugang versehentlich ändern kann. Prüfen Sie außerdem, ob der Ausschluss nur das Training grundlegender Modelle meint oder auch Feinabstimmung, Evaluation und Qualitätssicherung.
• Was genau ist der Verarbeitungsgegenstand? Nicht nur der Prompt, sondern auch Systemanweisungen, Dateianhänge, aus Ihren Systemen nachgeladener Kontext und die erzeugte Antwort. Beschreibt die Anlage nur „Nutzereingaben“, deckt sie die Hälfte der Verarbeitung nicht ab.
• Wie lange wird gespeichert und zu welchem Nebenzweck? Eine Speicherung zur Missbrauchserkennung ist ein eigener Zweck mit eigener Frist und eigenem Zugriffskreis, häufig einschließlich manueller Sichtung. Sie kann eine Zusage, dass nichts gespeichert wird, faktisch aushebeln. Fragen Sie getrennt nach Inhalten, Metadaten und Protokollen.
• Was bedeutet Weisungsbindung bei einem Modell, das sich ändert? Klären Sie, ob Modellwechsel, neue Versionen oder veränderte Vorverarbeitung von Ihrer Weisung gedeckt sind, wie Sie davon erfahren und in welcher Form Sie überhaupt eine Weisung erteilen können. Ein Weisungsrecht ohne Adressat und ohne Verfahren steht nur auf dem Papier.
• Wie soll Löschung nach lit. g funktionieren? Gespeicherte Prompts lassen sich löschen. Was in Modellgewichte eingeflossen ist, lässt sich nicht sinnvoll zurücknehmen. Der Trainingsausschluss ist deshalb die eigentliche Löschklausel eines KI-Vertrags, und die Löschregelung sollte Protokolle und Zwischenspeicher ausdrücklich einschließen.
• Wie wird bei Betroffenenrechten unterstützt? Eine Auskunft nach Art. 15 DSGVO setzt voraus, dass die Daten einer Person auffindbar sind. Bei unstrukturiertem Freitext über viele Anfragen hinweg ist das eine ernsthafte technische Frage, die der Vertrag beantworten sollte, statt sie mit einer Floskel zu übergehen.

Wie diese Punkte in einem konkreten Ablauf zusammenspielen, zeigt die Schritt-für-Schritt-Seite zum DSGVO-konformen Einsatz von ChatGPT. Welche Angaben ein einzelner Anbieter heute macht, prüfen Sie bitte in dessen aktuellen Vertragsdokumenten: Tarife, Regionen und Unterauftragsverarbeiter ändern sich zu schnell, als dass eine Zusammenfassung Dritter dafür eine belastbare Grundlage wäre.

Nach Art. 28 Abs. 2 DSGVO darf ein Auftragsverarbeiter weitere Auftragsverarbeiter nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen hinzuziehen. Bei einer allgemeinen Genehmigung, die in der Praxis die Regel ist, muss er über beabsichtigte Änderungen informieren, und Sie können Einspruch erheben. Damit dieses Recht nicht leerläuft, braucht es drei Dinge im Vertrag: eine gepflegte und datierte Liste, eine Ankündigungsfrist, die eine Prüfung erlaubt, und eine benannte Rechtsfolge des Widerspruchs, üblicherweise ein Sonderkündigungsrecht. Art. 28 Abs. 4 verlangt zusätzlich, dass dem Unterauftragsverarbeiter dieselben Datenschutzpflichten auferlegt werden; für dessen Pflichtverletzungen haftet Ihr Vertragspartner Ihnen gegenüber.

Bei KI-Diensten ist diese Kette selten kurz. Neben dem Modellanbieter stehen häufig ein Cloud-Betreiber, Werkzeuge für Protokollierung und Tracing, Vektordatenbanken und Dienste für Auswertung und Qualitätssicherung darin. Gerade Werkzeuge für Protokollierung und Tracing können je nach Konfiguration vollständige Prompts speichern und sind damit datenschutzrechtlich relevanter, als ihr Name vermuten lässt. Prüfen Sie die Liste daher nicht nur auf Vollständigkeit, sondern darauf, welche Beteiligten Klartext sehen.

Verlässt die Verarbeitung den europäischen Wirtschaftsraum, greift zusätzlich Kapitel V der DSGVO. Erforderlich ist dann eine Grundlage nach Art. 45 bis 49: ein Angemessenheitsbeschluss, geeignete Garantien wie Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften, oder ausnahmsweise ein Fall des Art. 49. Der Vertrag sollte benennen, welches Instrument gilt, und Ihnen die Unterlagen für eine eigene Bewertung des Transfers zugänglich machen. Zu beachten ist dabei, dass nach Auffassung des Europäischen Datenschutzausschusses auch der Fernzugriff aus einem Drittstaat auf in der EU gespeicherte Daten eine Übermittlung darstellt. Eine EU-Region für die Inferenz beantwortet die Frage also noch nicht, solange Support, Wartung oder Missbrauchsprüfung von anderswo zugreifen können.

Muster für Auftragsverarbeitungsverträge sind reichlich verfügbar, unter anderem von Aufsichtsbehörden und Branchenverbänden. Die Kommission hat außerdem von der Möglichkeit des Art. 28 Abs. 7 DSGVO Gebrauch gemacht und Standardvertragsklauseln für das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter erlassen; sie sind nicht zu verwechseln mit den gleichnamigen Klauseln für Drittlandübermittlungen nach Art. 46. Ein Muster leistet zweierlei: Es gibt Ihnen eine vollständige Gliederung entlang des Gesetzes, und es liefert eine eingeführte Sprache, die Ihr Gegenüber wiedererkennt.

Drei Dinge leistet es nicht. Erstens beschreibt es Ihre Verarbeitung nicht: Gegenstand, Dauer, Zweck, Datenarten und Kategorien betroffener Personen kennt nur Ihr Haus, und genau diese Anlage entscheidet darüber, was der Vertrag überhaupt abdeckt. Zweitens ersetzt es die TOM-Anlage und die Unterauftragsverarbeiterliste nicht; beide muss der Anbieter liefern, und beide sind der eigentliche Prüfgegenstand. Drittens verkennt es die tatsächliche Richtung des Vertragsschlusses: Gegenüber größeren Anbietern setzen Sie in aller Regel kein eigenes Papier durch, sondern akzeptieren deren Vertragswerk.

Genau daraus ergibt sich der sinnvolle Einsatz. Nutzen Sie ein Muster nicht als Vorlage zum Versenden, sondern als Prüfraster für fremde Dokumente. Legen Sie die acht Punkte aus der Tabelle oben neben den AVV des Anbieters, notieren Sie zu jedem Punkt die Fundstelle mit Datum, und halten Sie fest, wo eine Klausel fehlt oder nur scheinbar antwortet. Das Ergebnis ist dokumentierte Rechenschaft nach Art. 5 Abs. 2 DSGVO, und das ist mehr wert als ein formal vollständiges, aber nie geprüftes Vertragswerk.

Persona wird von der Relativity GmbH betrieben und ist in dieser Konstellation Auftragsverarbeiter: Sie entscheiden, welche Texte Sie pseudonymisieren lassen, wir verarbeiten sie ausschließlich zu diesem Zweck. Ein AV-Vertrag nach Art. 28 DSGVO ist ab dem Pro-Tarif Bestandteil des Vertrags. Die für die Prüfliste oben wesentlichen Punkte lassen sich kurz benennen.

• Ort der Verarbeitung. Die Analyse läuft auf dedizierten Servern bei Hetzner in Falkenstein in Deutschland. Die dortigen Rechenzentren sind nach ISO 27001 zertifiziert; diese Zertifizierung betrifft das Rechenzentrum, nicht Persona als Produkt. Für die Erkennung wird kein externer KI-Dienst aufgerufen, die Inferenz findet auf dieser Hardware statt.
• Speicherung. Anfragetexte werden nicht gespeichert, nicht inhaltlich protokolliert und nicht für Training verwendet. Das vereinfacht die Löschregelung nach lit. g erheblich, weil am Vertragsende von den übermittelten Texten nichts zu löschen ist.
• Kontodaten. Registrierung, API-Schlüssel und Abrechnungsdaten liegen getrennt davon in Frankfurt (eu-central-1). Welche Daten das im Einzelnen sind, steht in der Datenschutzerklärung.
• Zuordnung. Die Zuordnungstabelle zwischen Pseudonym und Klartext kommt in der Antwort zurück und bleibt bei Ihnen. Da die Anfragetexte nicht gespeichert werden, bleibt bei uns auch keine Kopie zurück, aus der sich der Personenbezug wiederherstellen ließe.
• Betrieb in eigener Infrastruktur. Im Enterprise-Tarif lässt sich Persona als Container on-premise oder in Ihrer eigenen VPC betreiben. Der Text verlässt Ihre Umgebung dann nicht mehr; wie sich die Rollen in diesem Betriebsmodell verteilen, hängt vom konkreten Aufbau ab und gehört in die Vertragsanlage.

Fragen zum AV-Vertrag und zu den technischen und organisatorischen Maßnahmen beantworten wir unter persona@mind-verse.de. Für die Prüfung gilt dabei derselbe Maßstab wie für jeden anderen Anbieter: Verlassen Sie sich auf den Vertragstext und die Anlagen, nicht auf eine Produktseite.

Pseudonymisierung ersetzt identifizierende Angaben in einem Text durch Kennungen, etwa den Namen einer Person durch ⟨PERSON_1⟩, und hält die Zuordnung getrennt davon. Für KI-Pipelines heißt das: Der Prompt, der an ein Sprachmodell geht, enthält die identifizierenden Stellen nicht mehr. Art. 32 Abs. 1 lit. a DSGVO nennt Pseudonymisierung ausdrücklich als geeignete technische Maßnahme, und Art. 25 Abs. 1 führt sie als Beispiel für Datenschutz durch Technikgestaltung an. Sie ist damit ein guter Beleg für die Zusage nach Art. 28 Abs. 3 lit. c, und sie verkleinert das, was ein Dritter überhaupt zu sehen bekommt.

Was sie ebenso wenig ersetzt: die Rechtsgrundlage nach Art. 6, den Eintrag im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30, die Informationspflichten nach Art. 13 und 14 und gegebenenfalls die Datenschutz-Folgenabschätzung nach Art. 35. Was sie ändert, ist das Risiko: Die Datenkategorien, die den eigenen Verantwortungsbereich verlassen, werden schmaler, und die Wiederherstellung des Personenbezugs setzt Zugriff auf eine Tabelle voraus, die bei Ihnen bleibt. Wie das Verfahren im Detail funktioniert und wo seine Grenzen liegen, erklärt die Seite zur Pseudonymisierung nach Art. 4 Nr. 5 DSGVO.

Die meisten Probleme, die bei einer Prüfung auffallen, betreffen nicht den fehlenden Vertrag, sondern einen vorhandenen, der nicht zur Wirklichkeit passt. Sieben Muster kehren dabei regelmäßig wieder.

• Leere Anlagen. Der Rahmenvertrag ist unterzeichnet, die Beschreibung der Verarbeitung, die TOM-Anlage oder die Unterauftragsverarbeiterliste fehlen oder sind nicht mit erfasst. Damit fehlen genau die Angaben, die Art. 28 Abs. 3 zuerst verlangt.
• Falscher Geltungsbereich. Der AVV gilt für ein Produkt oder einen Tarif, der so nicht genutzt wird, etwa weil Fachabteilungen mit einem kostenlosen Zugang arbeiten, während der Vertrag für die Geschäftsvariante geschlossen wurde.
• TOMs als Werbetext. Die Anlage beschreibt Vorteile statt Maßnahmen. Wenn Verschlüsselung, Zugriffskontrolle, Mandantentrennung, Protokollierung und Löschprozesse nicht konkret benannt sind, ist nichts prüfbar zugesagt.
• Zertifikate ohne Geltungsbereich. Ein Zertifikat bezieht sich immer auf einen definierten Anwendungsbereich. Ein zertifiziertes Rechenzentrum sagt etwas über physische Sicherheit und Betriebsprozesse an diesem Ort aus, aber nichts über die Anwendung, die darauf läuft. Fragen Sie nach dem Geltungsbereich, nicht nach dem Logo.
• Widerspruchsrecht ohne Folge. Änderungen an Unterauftragsverarbeitern werden angekündigt, aber ohne Frist und ohne Aussage darüber, was passiert, wenn Sie widersprechen. Praktisch bleibt Ihnen dann nur, zuzustimmen.
• Löschung ohne Nachweis. Die Klausel nennt weder eine Frist noch ein Nachweisverfahren und schweigt zu Sicherungskopien und Protokolldateien, in denen Daten am längsten überleben.
• Kein Überprüfungszyklus. Der Vertrag wird bei Beschaffung geschlossen und danach nie wieder gelesen, während sich der Anwendungsfall ändert, neue Datenkategorien hinzukommen und Unterauftragsverarbeiter wechseln. Ein jährlicher Abgleich mit dem Verzeichnis nach Art. 30 findet die meisten dieser Abweichungen.

Zwei praktische Konsequenzen daraus. Erstens: Beginnen Sie die Prüfung nicht beim Vertrag, sondern bei der Verarbeitung, und fragen Sie erst danach, ob der Vertrag sie beschreibt. Zweitens: Dokumentieren Sie jede Prüfung mit Datum und Fundstelle. Art. 5 Abs. 2 DSGVO verlangt, dass Sie die Einhaltung nachweisen können, und ein Vermerk über eine Klausel, die Sie bewusst akzeptiert haben, ist in einer Nachfrage der Aufsichtsbehörde mehr wert als die Erinnerung daran, damals genau hingesehen zu haben. Was in Ihrem konkreten Fall genügt, entscheidet Ihre Datenschutzbeauftragte oder Ihr Rechtsbeistand; diese Seite ersetzt eine solche Beurteilung nicht.