LyrothSet sichern BLOG
KI-Tools und AVV: Der Drittland-Check in 20 Minuten
Jedes KI-Tool, das personenbezogene Daten verarbeitet, braucht einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Fünf Prüfpunkte reichen für den Einstieg: Modelltraining, Speicherfristen, Serverstandort, DPF-Zertifizierung und die Dokumentation im Tool-Register.
Wann brauche ich einen AVV für ein KI-Tool?
Sobald das Tool personenbezogene Daten verarbeitet. Das ist bei ChatGPT-Prompts mit Kundendaten genauso der Fall wie bei einem KI-gestützten Recruiting-Tool. Ohne vertragliche Grundlage ist die Verarbeitung nach der DSGVO nicht sauber dokumentierbar. Free-Tools sind nicht ausgenommen, im Gegenteil: Viele Free-Tarife trainieren Modelle mit den eingegebenen Daten.
Die fünf Prüfpunkte in 20 Minuten
- Training: Verarbeitet der Anbieter Ihre Daten zum Modelltraining? Falls ja, Funktion deaktivieren oder vertraglich ausschließen.
- Speicherfristen: Wie lange speichert der Anbieter Prompts und Chats? Abweichungen zu Ihrem Löschkonzept notieren.
- Serverstandort: Liegt die Verarbeitung in der EU oder unter einem Angemessenheitsbeschluss?
- Drittland: Bei US-Anbietern: Ist das Unternehmen unter dem EU-US Data Privacy Framework (DPF) zertifiziert? Falls nein, Standardvertragsklauseln plus Transfer Impact Assessment prüfen.
- Dokumentation: Ergebnis im Tool-Register festhalten, damit jeder neue KI-Einsatz denselben Weg geht.
Warum der Drittland-Check gerade jetzt wichtig ist
Viele KI-Anbieter verarbeiten in den USA. Ohne DPF-Zertifizierung oder Standardvertragsklauseln fehlt die Rechtsgrundlage für den Transfer. Die Aufsichtsbehörden schauen bei Audits gezielt auf diese Frage, und im Vertragskontext mit Kunden ist der Nachweis „Tool-geprüft" ein zunehmend relevanter Verkaufsvorteil.
Die fertige Checkliste für Rechtsgrundlagen, Transfer und Löschkonzepte liegt in der Datenschutz-Checkliste (DOK. 08); das Tool-Register (DOK. 07) führt alle Anbieter mit AVV-Status, Zertifizierung und Kündigungsfristen. Eine Einführung in die Fristen finden Sie im Fristen-Artikel.
Weiterlesen: Betriebsrat und KI · Das KI-Schulungsquiz