Brauche ich einen AV-Vertrag mit meinem KI-Anbieter?
Ja — sobald ein KI-Anbieter in Ihrem Auftrag personenbezogene Daten verarbeitet (etwa Kundennamen in Support-Anfragen oder Mitarbeiterdaten in HR-Prozessen), ist nach Art. 28 DSGVO ein Auftragsverarbeitungsvertrag (AVV) Pflicht — unabhängig davon, ob der Anbieter kostenlos oder kostenpflichtig ist.
Vor der Einführung eines KI-Systems wird häufig angenommen, dass die Datenschutzerklärung des Anbieters ausreicht. Für die Verarbeitung personenbezogener Daten genügt sie rechtlich in aller Regel nicht.
Eine Datenschutzerklärung informiert Betroffene — ein AV-Vertrag regelt die Pflichten zwischen Ihnen und dem Anbieter. Beides ersetzt sich nicht gegenseitig.
Warum ein AVV notwendig ist
Wird ein KI-Anbieter genutzt, um personenbezogene Daten in Ihrem Auftrag zu verarbeiten — etwa E-Mails mit Kundennamen zusammenzufassen oder Bewerberunterlagen zu sortieren — gilt der Anbieter rechtlich als Auftragsverarbeiter.
Ohne einen AVV, der Zweck, Umfang, technische Maßnahmen und Löschfristen regelt, ist diese Verarbeitung nicht rechtskonform, selbst wenn der Anbieter grundsätzlich vertrauenswürdig erscheint.
Vorher/Nachher: kostenloses vs. Business-Konto
Vorher nutzen Mitarbeitende einen kostenlosen Consumer-Zugang zu einem KI-Chat-Tool für Kundenanfragen mit echten Namen und Vertragsnummern — dieser Zugang bietet in der Regel keinen abschließbaren AVV, die Nutzung mit personenbezogenen Daten ist damit riskant, selbst wenn der Anbieter groß und etabliert ist.
Nachher läuft dieselbe Aufgabe über einen Business- oder Enterprise-Zugang desselben Anbieters mit abschließbarem, standardisiertem AVV inklusive Regelungen zu Speicherort und Löschfristen — die Kundenanfrage bleibt für die Mitarbeitenden identisch, nur der Vertragsrahmen dahinter ändert sich.
Beispielrechnung: Kosten eines fehlenden AVV vs. Umstellung
Ein Wechsel von 15 Nutzer:innen von einem kostenlosen Consumer-Zugang auf einen Business-Tarif mit AVV kostet bei rund 25-30 Euro pro Nutzer und Monat zusätzlich etwa 375-450 Euro monatliche Lizenzkosten.
Diesem überschaubaren laufenden Betrag steht das Risiko einer Datenschutzverletzung durch ungeregelte Auftragsverarbeitung gegenüber, deren mögliches Bußgeld je nach Schwere um ein Vielfaches höher liegen kann — beide Größen sind unterschiedlicher Natur und sollten getrennt betrachtet, nicht direkt gegeneinander aufgerechnet werden.
Was bei der Prüfung eines AVV wichtig ist
Wichtige Punkte sind: Wo werden die Daten verarbeitet (EU/Drittland)? Wie lange werden Eingaben gespeichert? Werden Eingaben zum Training des Modells genutzt? Gibt es Unterauftragsverarbeiter, und werden diese benannt?
Fehlt eine klare Aussage zu einem dieser Punkte, sollte vor dem produktiven Einsatz gezielt nachgefragt werden, statt den Vertrag ungeprüft zu unterschreiben.
Was in der Praxis oft übersehen wird
Viele kostenlose oder private KI-Zugänge werden von Mitarbeitenden ohne Wissen der IT genutzt ("Schatten-KI") — dort besteht in aller Regel kein AVV, selbst wenn ein Business-Vertrag für ein anderes Tool im Unternehmen existiert.
Eine klare interne Regel, welche Zugänge für welche Datenarten freigegeben sind, verhindert dieses Risiko wirksamer als ein reines Verbot.
Wann zusätzlich Standardvertragsklauseln nötig sind
Verarbeitet der Anbieter Daten außerhalb der EU (z. B. in den USA), reicht ein AVV allein oft nicht — zusätzlich sind in der Regel Standardvertragsklauseln (SCC) oder ein Angemessenheitsbeschluss nötig, um die Datenübermittlung rechtlich abzusichern.
When it fits — and when it doesn’t
When it fits
- Der Anbieter bietet einen abschließbaren, geprüften AV-Vertrag mit klaren Speicher- und Löschregeln
- Es ist klar dokumentiert, welche personenbezogenen Daten verarbeitet werden
- Bei Datenverarbeitung außerhalb der EU liegen zusätzlich Standardvertragsklausen vor
When it doesn't
- Es wird ein kostenloser Consumer-Zugang ohne abschließbaren AVV genutzt
- Es ist unklar, ob und wie lange der Anbieter Eingaben speichert oder für Training nutzt
- Mitarbeitende nutzen private, nicht freigegebene KI-Zugänge für dienstliche Daten
Questions about this topic?
We’ll help you find the next concrete step for your company.
Next step
Ready for your AI infrastructure?
Nextise guides you from the first analysis to a productive solution. Ready to deploy in 6–10 weeks.
Let’s talk about your AI transformation together
