AVV (Auftragsverarbeitungsvertrag)
Ein AVV (Auftragsverarbeitungsvertrag) ist der Vertrag nach Art. 28 Abs. 3 DSGVO, der einen Dienstleister, der personenbezogene Daten im Auftrag verarbeitet, an Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie an die Weisungen des Verantwortlichen bindet.
Stand:
Auch: Auftragsverarbeitungsvertrag, DPA, Data Processing Agreement
Art. 28 Abs. 3 Satz 1 DSGVO lautet: „Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind.“
Bei KI-Werkzeugen heißt der AVV meist Data Processing Agreement oder Data Processing Addendum. Die großen Anbieter stellen ihn für ihre Geschäftstarife bereit, oft als Teil der Vertragsbedingungen, die Sie mit dem Abschluss annehmen. Für Verbrauchertarife gibt es in der Regel keinen. Das ist einer der Hauptgründe, warum ein privates ChatGPT-Konto im Betrieb nichts mit Kundendaten zu tun haben sollte.
Prüfen Sie im AVV vor allem drei Dinge: ob Ihre Eingaben zum Training genutzt werden, wo die Daten verarbeitet werden und welche Unterauftragsverarbeiter beteiligt sind. Unsere Übersicht der gängigen Werkzeuge verlinkt die Verträge direkt.
Quelle: Verordnung (EU) 2016/679 (DSGVO), Art. 28, abgerufen am 27.10.2026