AVV und TOMs bei KI-Dienstleistern: worauf Sie wirklich achten müssen
Bevor ein KI-Anbieter Ihre Daten anfasst, braucht es einen sauberen Auftragsverarbeitungsvertrag. Was drin stehen muss, welche TOMs zählen und wo das Kleingedruckte beißt.
Ein KI-Tool zu kaufen ist einfach. Es datenschutzkonform einzusetzen, hängt an einem Dokument, das die meisten überfliegen: dem Auftragsverarbeitungsvertrag. Wer hier schludert, haftet am Ende selbst. Hier ist, worauf Sie achten müssen, ohne Jura-Studium.
Wann Sie überhaupt einen AVV brauchen
Die Regel ist simpel: Sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, schreibt Art. 28 DSGVO einen AVV vor. Bei KI-Tools ist das fast immer der Fall, Kunden-Mails, Bewerbungen, Support-Anfragen, alles potenziell personenbezogen. Kein AVV bedeutet: Sie geben Daten weiter, ohne die rechtliche Grundlage dafür zu haben. Das Bußgeldrisiko tragen Sie, nicht der Anbieter.
Was im AVV stehen muss
Ein vollständiger AVV regelt mindestens:
- Gegenstand und Zweck der Verarbeitung, wofür genau bekommt der Anbieter die Daten?
- Art der Daten und Betroffenenkreis, welche Kategorien, welche Personen?
- Weisungsbindung, der Anbieter handelt nur auf Ihre Anweisung, nicht aus Eigeninteresse.
- Löschung und Rückgabe der Daten nach Vertragsende.
- Kontroll- und Auditrechte für Sie als Verantwortlichen.
- Meldepflicht bei Datenpannen, und zwar zeitnah.
Seriöse Anbieter haben einen fertigen AVV zum Download. Fehlt der komplett, ist das ein Warnsignal.
TOMs: die technischen und organisatorischen Maßnahmen
Der AVV verweist auf die TOMs, den Beleg, dass der Anbieter Ihre Daten tatsächlich schützt. Lesen Sie sie nicht nur ab, prüfen Sie die Substanz:
- Verschlüsselung bei Übertragung und Speicherung
- Zugriffskontrolle, wer beim Anbieter kommt an die Daten, und wie wird das beschränkt?
- Serverstandort, EU/EWR ist sauber. Ein US-Standort braucht zusätzliche Garantien.
- Trainings-Frage, werden Ihre Eingaben zum Training genutzt? Die Antwort muss schriftlich „nein" sein.
Ein hübsches TOM-Dokument ist kein Schutz, wenn die Substanz fehlt. Prüfen Sie die Inhalte, nicht das Layout.
Das Kleingedruckte: Sub-Dienstleister und Drittland
Hier wird es heikel. Zwei Punkte, die gern übersehen werden:
Unterauftragsverarbeiter. Fast jeder KI-Anbieter nutzt selbst weitere Dienste, Cloud-Hosting, Rechenleistung. Sie müssen wissen, wer das ist, und der Liste zustimmen. Eine Änderung muss Ihnen vorab mitgeteilt werden.
Drittlandtransfer. Sitzt der Anbieter oder einer seiner Sub-Dienstleister in den USA oder anderswo außerhalb der EU, braucht es eine zusätzliche Rechtsgrundlage, etwa Standardvertragsklauseln. Ohne die ist der Transfer angreifbar.
Die Abkürzung
All das entfällt weitgehend, wenn die Daten gar nicht erst das Haus verlassen. Eine eigene KI auf eigenen Servern macht aus dem AVV-Marathon eine kurze Strecke: kein Drittlandtransfer, keine fremden Sub-Dienstleister, keine Trainings-Unsicherheit.
Kurz gesagt: Der AVV ist kein Formalismus, sondern Ihre Absicherung. Lesen Sie ihn, prüfen Sie die TOMs, achten Sie auf Sub-Dienstleister und Drittland. Wenn Sie unsicher sind, ob ein Anbieter sauber aufgestellt ist, gehen wir das in der Beratung gemeinsam durch.