Kurzantwort: Sobald ein KI-Tool personenbezogene Daten in deinem Auftrag verarbeitet, brauchst du einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Die Checkliste unten zeigt, was drinstehen muss und welche KI-spezifischen Punkte du zusätzlich prüfen solltest.
Stand: Oktober 2026. Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Die Rechtslage kann sich ändern; prüfe aktuelle Vorgaben und lass dich bei Unsicherheit anwaltlich oder durch eine Datenschutzbeauftragte beraten.
Wann brauchst du einen AVV?
Immer dann, wenn ein Dienstleister personenbezogene Daten nach deinen Weisungen verarbeitet. Bei KI-Tools ist das der Fall, wenn Eingaben, hochgeladene Dateien oder Gesprächsaufzeichnungen personenbezogene Daten enthalten, etwa Kundennamen, E-Mails, Bewerbungen oder Meeting-Transkripte.
Mindestinhalte nach Art. 28 DSGVO
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- Art der personenbezogenen Daten und Kategorien betroffener Personen
- Verarbeitung nur auf dokumentierte Weisung
- Verpflichtung der Mitarbeitenden zur Vertraulichkeit
- Technische und organisatorische Maßnahmen zur Sicherheit
- Regeln für Unterauftragsverarbeiter
- Unterstützung bei Betroffenenrechten
- Löschung oder Rückgabe der Daten nach Vertragsende
- Nachweise und Kontrollrechte (Audits)
KI-spezifische Prüfpunkte
- Training mit Eingaben: Ist ausgeschlossen, dass deine Eingaben zum Training genutzt werden? Gilt das für alle Tarife?
- Unterauftragsverarbeiter: Welche Modellanbieter und Cloud-Dienste stehen hinter dem Tool, und wo sitzen sie?
- Standort und Drittlandtransfer: Wo werden Daten verarbeitet? Welche Absicherung gibt es bei Übermittlung in Drittländer?
- Speicherdauer und Logs: Wie lange werden Eingaben und Ausgaben gespeichert, und kannst du sie löschen?
- Zugriff durch Mitarbeitende des Anbieters: Wann dürfen sie Inhalte einsehen (zum Beispiel für Support oder Missbrauchsprüfung)?
- Sicherheitsnachweise: Gibt es Zertifikate wie ISO 27001 oder eine Beschreibung der Maßnahmen?
- Vorfälle: Wie schnell meldet der Anbieter Datenschutzvorfälle?
So gehst du vor
- Prüfe im Verzeichnis oder mit dem DSGVO-Check, ob ein AVV verfügbar ist.
- Fordere den AVV beim Anbieter an oder suche ihn im Account-Bereich (häufig in den Business-Tarifen).
- Prüfe ihn anhand der Liste oben und lass ihn gegebenenfalls von der Datenschutzbeauftragten prüfen.
- Unterzeichne und lege ihn im Verzeichnis der Verarbeitungstätigkeiten ab.
- Aktiviere die Datenschutzeinstellungen des Tools (zum Beispiel Training deaktivieren).
Einen Überblick, wie viele Tools einen AVV anbieten, gibt der Datenreport.
Häufige Fragen
Brauche ich für jedes KI-Tool einen AV-Vertrag?
Nur, wenn im Auftrag personenbezogene Daten verarbeitet werden. Wenn du keine personenbezogenen Daten eingibst, ist kein AV-Vertrag erforderlich. Sobald Kunden-, Mitarbeiter- oder andere personenbezogene Daten ins Tool gelangen können, solltest du einen AVV abschließen.
Reicht es, wenn der Anbieter „DSGVO-konform“ schreibt?
Nein. Entscheidend sind ein unterzeichneter AV-Vertrag, klare Angaben zu Unterauftragsverarbeitern, Standort und Trainingsnutzung sowie geeignete technische und organisatorische Maßnahmen.
Was gilt bei Anbietern aus den USA?
Zusätzlich zum AVV muss die Übermittlung in ein Drittland abgesichert sein, zum Beispiel über eine Zertifizierung unter dem EU-US Data Privacy Framework oder Standardvertragsklauseln. Prüfe, welche Absicherung der Anbieter nennt.
