AuftragsverarbeitungGlossarAuftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet. Grundlage ist der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO — Pflicht auch bei KI-Cloud-Diensten. ist ein Kernbegriff der DSGVO: Ihr Unternehmen bleibt Verantwortlicher, der Anbieter verarbeitet Daten nur im Auftrag. Dafür braucht es einen Auftragsverarbeitungsvertrag (AVV / DPA) nach Art. 28 DSGVO — mit Weisungsrechten, TOMs, Subunternehmern und Lösch-/Rückgabepflichten.
Wann es greift
Typisch bei Cloud und SaaS: Microsoft 365, Azure, Copilot-Dienste, Ticketsysteme, HR-Tools. Sobald Mitarbeitende personenbezogene Daten (Kunden, Beschäftigte, Interessenten) in ein externes System eingeben oder dort speichern, ist die Rollenklärung Pflicht — nicht erst bei einem KI-Pilotprojekt.
Bei KI-Tools kommt hinzu: Prompts, Dateianhänge und Chatverläufe können Personenbezüge enthalten. Ohne AVV und klare Zweckbindung ist der Einsatz oft nicht vertretbar.
Was im AVV stehen muss (praxisnah)
- Gegenstand und Dauer der Verarbeitung
- Art der Daten und Kreis der Betroffenen
- Pflichten und Rechte des Verantwortlichen
- TOMs (technische und organisatorische Maßnahmen)
- Hinzuziehen von Unterauftragsverarbeitern (Subprozessoren) und Informationswege
- Unterstützung bei Betroffenenrechten, Löschung, Nachweis
Microsoft stellt für seine Unternehmensdienste standardisierte Datenschutzbedingungen bereit. Andere KI-Anbieter variieren stark — Consumer-Accounts sind für Unternehmensdaten in der Regel ungeeignet.
KI-spezifische Prüfpunkte
- Werden Eingaben zum Modelltraining genutzt? (bei Unternehmens-Microsoft-Diensten in der Regel nein; bei Consumer-Tools oft anderes Regime)
- In welcher Region laufen Verarbeitung und Speicherung? (EU Data Boundary, Azure-Regionen)
- Welche Subprozessoren (z. B. Modell-Anbieter hinter Azure-Diensten) sind gelistet?
- Sind interne Richtlinien klar: welche Daten dürfen ins Tool?
Abgrenzung
| Rolle | Kurz |
|---|---|
| Verantwortlicher | entscheidet über Zwecke und Mittel der Verarbeitung |
| Auftragsverarbeiter | verarbeitet nur im Auftrag, weisungsgebunden |
| Gemeinsame Verantwortlichkeit | zwei Stellen legen Zwecke gemeinsam fest (seltener, aber möglich) |
Auftragsverarbeitung ist DSGVO-Handwerk. Der EU AI Act ersetzt den AVV nicht — er kommt bei KI-Risiken und Betreiberpflichten zusätzlich ins Spiel.
