Von Auftragsverarbeitung spricht man, wenn ein KI-Dienst personenbezogene Daten im Auftrag eines Unternehmens verarbeitet. Dafür schreibt die Datenschutz-Grundverordnung einen Vertrag vor, und zwar bevor die ersten Daten fließen.
- Auftragsverarbeitung bei KI-Tools
Der Vertrag, der nötig ist, wenn ein KI-Dienst personenbezogene Daten im Auftrag verarbeitet.
Beispiel: „Die Auftragsverarbeitung war beim Geschäftstarif mit zwei Klicks abgeschlossen, beim kostenlosen Zugang gab es sie nicht.“Wann sie greift: sobald Daten hineingehen, die sich auf eine Person beziehen lassen. Das gilt auch für scheinbar harmlose Fälle, etwa eine Kundenmail, die zur Beantwortung in ein Modell gegeben wird.
Wann sie nicht greift: bei Eingaben ohne Personenbezug. Ein Text über ein Produkt, ein Codeausschnitt ohne Namen, eine anonymisierte Fallschilderung brauchen keinen solchen Vertrag.
Die Pflicht steht in Artikel 28 DSGVO: „Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments …“, mit festgelegten Mindestinhalten zu Gegenstand, Dauer, Zweck, Datenarten und betroffenen Personen. Die Schriftform verlangt Absatz 9, elektronische Form eingeschlossen.
Was in der Praxis übersehen wird
Drei Dinge. Erstens die Unterauftragsverarbeiter: Ein KI-Anbieter betreibt selten alles selbst, und die Kette gehört geprüft. Zweitens der Verarbeitungsort, weil außerhalb der EU zusätzliche Anforderungen gelten. Drittens die Trennung von Vertrag und Training: Ein Vertrag zur Auftragsverarbeitung sagt noch nicht, dass die Eingaben vom Training ausgenommen sind; das ist eine eigene Einstellung oder eine eigene Zusage.
Wie man es schnell erledigt
Beim Anbieter nachsehen, ob es einen Geschäftstarif mit Vertrag gibt, ihn abschließen, das Training abschalten und beides mit Datum festhalten. Bei den großen Anbietern dauert das Minuten. Dazu gehört die Aufnahme in das Verzeichnis der Verarbeitungstätigkeiten, und damit ist der Pflichtteil erfüllt. Was dann noch zu klären bleibt, ist keine Vertragsfrage, sondern die Frage, welche Daten überhaupt hineindürfen, siehe Datenschutz bei KI-Tools. Dieser Teil kostet mehr Nachdenken als der Vertrag und wirkt im Alltag stärker, weil er an der Eingabe ansetzt und nicht an der Haftung.
Was für Agenturen dazukommt
Wer für Kunden arbeitet, ist selbst Auftragsverarbeiter und gibt Daten an einen weiteren weiter. Damit braucht es die Erlaubnis des Kunden für diesen Unterauftrag, und der KI-Dienst gehört in die Liste der Unterauftragsverarbeiter im eigenen Vertrag. Das wird regelmäßig übersehen, wenn ein neues Werkzeug einfach in den Arbeitsablauf wandert.