AVV und TOMs bei KI-Dienstleistern: worauf Du wirklich achten musst

Ein KI-Tool zu kaufen ist einfach. Es datenschutzkonform einzusetzen, hängt an einem Dokument, das die meisten überfliegen: dem Auftragsverarbeitungsvertrag. Wer hier schludert, haftet am Ende selbst. Hier ist, worauf Du achten musst — ohne Jura-Studium.

Wann Du überhaupt einen AVV brauchst

Die Regel ist simpel: Sobald ein Dienstleister personenbezogene Daten in Deinem Auftrag verarbeitet, schreibt Art. 28 DSGVO einen AVV vor. Bei KI-Tools ist das fast immer der Fall — Kunden-Mails, Bewerbungen, Support-Anfragen, alles potenziell personenbezogen. Kein AVV bedeutet: Du gibst Daten weiter, ohne die rechtliche Grundlage dafür zu haben. Das Bußgeldrisiko trägst Du, nicht der Anbieter.

Was im AVV stehen muss

Ein vollständiger AVV regelt mindestens:

• Gegenstand und Zweck der Verarbeitung — wofür genau bekommt der Anbieter die Daten?
• Art der Daten und Betroffenenkreis — welche Kategorien, welche Personen?
• Weisungsbindung — der Anbieter handelt nur auf Deine Anweisung, nicht aus Eigeninteresse.
• Löschung und Rückgabe der Daten nach Vertragsende.
• Kontroll- und Auditrechte für Dich als Verantwortlichen.
• Meldepflicht bei Datenpannen — und zwar zeitnah.

Seriöse Anbieter haben einen fertigen AVV zum Download. Fehlt der komplett, ist das ein Warnsignal.

TOMs: die technischen und organisatorischen Maßnahmen

Der AVV verweist auf die TOMs — den Beleg, dass der Anbieter Deine Daten tatsächlich schützt. Lies sie nicht nur ab, prüfe Substanz:

• Verschlüsselung bei Übertragung und Speicherung
• Zugriffskontrolle — wer beim Anbieter kommt an die Daten, und wie wird das beschränkt?
• Serverstandort — EU/EWR ist sauber. Ein US-Standort braucht zusätzliche Garantien.
• Trainings-Frage — werden Deine Eingaben zum Training genutzt? Die Antwort muss schriftlich „nein" sein.

“Ein hübsches TOM-Dokument ist kein Schutz, wenn die Substanz fehlt. Prüf die Inhalte, nicht das Layout.

Das Kleingedruckte: Sub-Dienstleister und Drittland

Hier wird es heikel. Zwei Punkte, die gern übersehen werden:

Unterauftragsverarbeiter. Fast jeder KI-Anbieter nutzt selbst weitere Dienste — Cloud-Hosting, Rechenleistung. Du musst wissen, wer das ist, und der Liste zustimmen. Eine Änderung muss Dir vorab mitgeteilt werden.

Drittlandtransfer. Sitzt der Anbieter oder einer seiner Sub-Dienstleister in den USA oder anderswo außerhalb der EU, braucht es eine zusätzliche Rechtsgrundlage — etwa Standardvertragsklauseln. Ohne die ist der Transfer angreifbar.

Die Abkürzung

All das entfällt weitgehend, wenn die Daten gar nicht erst das Haus verlassen. Eine eigene KI auf eigenen Servern macht aus dem AVV-Marathon eine kurze Strecke: kein Drittlandtransfer, keine fremden Sub-Dienstleister, keine Trainings-Unsicherheit.

Kurz gesagt: Der AVV ist kein Formalismus, sondern Deine Absicherung. Lies ihn, prüf die TOMs, achte auf Sub-Dienstleister und Drittland. Wenn Du unsicher bist, ob ein Anbieter sauber aufgestellt ist, gehen wir das in der Beratung gemeinsam durch.