Auftragsverarbeitung bei KI-Diensten: worauf im Vertrag achten

Wer einen KI-Dienst in der Cloud nutzt und dort personenbezogene Daten eingibt, hat häufig eine Auftragsverarbeitung, und Art. 28 DSGVO verlangt dafür einen Vertrag mit festen Mindestinhalten. Im Vertrag zählen vor allem fünf Punkte: Gegenstand und Weisung, Unterauftragnehmer, Verarbeitungsort, Löschung und die Frage, ob der Anbieter Ihre Eingaben zum Training verwendet. Dieser Beitrag beschreibt das allgemein und ersetzt keine Prüfung. Ob ein Vertrag für Ihren Fall genügt, klärt Ihr Datenschutzbeauftragter oder ein Anwalt.

Wann ein Vertrag nötig wird

Die Datenschutzkonferenz (DSK) schreibt in ihrer Orientierungshilfe vom 6. Mai 2024: Setzt eine Stelle zu eigenen Zwecken eine KI-Anwendung eines externen Anbieters ein, zum Beispiel als Cloud-Lösung, agiere der Anbieter „als verlängerter Arm im Auftrag des Verantwortlichen“. Dann bestehe häufig ein Auftragsverarbeitungsverhältnis nach Art. 28 f. DSGVO, und es sei eine Vereinbarung nach Art. 28 Abs. 3 DSGVO abzuschließen.

Das Wort „häufig“ ist wichtig. Die DSK nennt auch die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO, wenn zwei Stellen gemeinsam über Zwecke und Mittel entscheiden. Und nach Art. 28 Abs. 10 DSGVO gilt ein Auftragsverarbeiter, der unter Verstoß gegen die Verordnung Zwecke und Mittel der Verarbeitung selbst bestimmt, insoweit als Verantwortlicher. Die Rolle entscheidet sich also am tatsächlichen Dienst, nicht am Namen des Vertrags.

Wo in Ihrem Alltag Namen und andere Personenangaben vorkommen, zeigen etwa die Beiträge zum Aufnehmen von Besprechungen und zum Besprechungsprotokoll mit KI. Bei einem Verbraucherkonto eines Chatdienstes besteht in der Regel kein Vertrag zwischen Ihrem Betrieb und dem Anbieter, deshalb eignet es sich nicht für Betriebsdaten.

Was Art. 28 Abs. 3 im Vertrag verlangt

Der Vertrag muss Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen festlegen. Dazu kommen die Pflichten des Anbieters, die Absatz 3 aufzählt. Er muss schriftlich abgefasst sein, ein elektronisches Format genügt (Abs. 9). Er kann ganz oder teilweise auf Standardvertragsklauseln beruhen (Abs. 6 bis 8).

Hält der Anbieter eine Weisung für rechtswidrig, muss er Sie unverzüglich informieren. Das steht ebenfalls in Absatz 3.

Unterauftragnehmer

Der Anbieter darf nach Art. 28 Abs. 2 DSGVO keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung einsetzen. Bei einer allgemeinen Genehmigung muss er Sie über jede beabsichtigte Änderung informieren, und Sie können widersprechen. Nach Absatz 4 gelten für den Unterauftragnehmer dieselben Datenschutzpflichten, und der erste Auftragsverarbeiter haftet Ihnen für dessen Pflichtverletzungen.

Der Europäische Datenschutzausschuss (EDSA) hat dazu am 7. Oktober 2024 eine Stellungnahme angenommen. Er kommt zu dem Schluss, dass Sie die Identität aller Auftragsverarbeiter und Unterauftragnehmer (Name, Adresse, Ansprechperson) jederzeit verfügbar haben sollen, unabhängig vom Risiko der Verarbeitung. Der Anbieter soll Ihnen diese Angaben von sich aus liefern und aktuell halten. Die Entscheidung, ob ein bestimmter Unterauftragnehmer eingesetzt wird, und die Verantwortung dafür bleiben bei Ihnen. Ihr Prüfaufwand hängt von den Maßnahmen und vom Risiko ab, bei hohem Risiko soll er steigen.

Bei KI-Diensten kann zusätzlich ein Hosting-Partner oder ein Modellanbieter beteiligt sein. Ob das so ist, steht nicht in Art. 28. Fragen Sie danach, statt es anzunehmen.

Verarbeitungsort

Die Weisung nach Art. 28 Abs. 3 Buchstabe a umfasst ausdrücklich Übermittlungen in ein Drittland. Die DSK weist darauf hin, dass bei offenen, als Cloud betriebenen Systemen Datenübermittlungen in Drittstaaten häufig vorkommen und dann Kapitel V der DSGVO zu beachten ist. Technisch geschlossene Systeme hält sie aus datenschutzrechtlicher Sicht für vorzugswürdig.

Der EDSA hält fest, dass Ihre Pflicht, hinreichende Garantien zu prüfen, auch bei Übermittlungen zwischen zwei Unterauftragnehmern bleibt, zusätzlich zu den Anforderungen nach Art. 44 DSGVO. Die Unterlagen dazu erstellt der Anbieter als Exporteur, Sie bewerten sie und können darauf aufbauen.

Eine Klausel im Vertrag verdient einen genauen Blick: „es sei denn, ein Gesetz oder eine behördliche Anordnung verlangt es“. Der EDSA hält diese Formulierung im Rahmen der Vertragsfreiheit für zulässig, sieht aber mehrere Probleme. Bei Daten, die den EWR verlassen, hält er sie für sich allein kaum für ausreichend. Die Formulierung „es sei denn, das Recht der Union oder eines Mitgliedstaats verlangt es“ empfiehlt er ausdrücklich („highly recommended“), vorgeschrieben ist sie nicht.

Löschung

Nach Abschluss der Leistungen muss der Anbieter alle personenbezogenen Daten nach Ihrer Wahl löschen oder zurückgeben, soweit keine gesetzliche Speicherpflicht besteht (Art. 28 Abs. 3 Buchstabe g). Ob das auch Kopien in Sicherungen einschließt, steht dort nicht, deshalb gehört die Frage in den Vertrag. Für KI-Anwendungen gibt die DSK beim Recht auf Löschung nach Art. 17 DSGVO einen Hinweis, der auch für Ihre Fragen an den Anbieter taugt: Manche Anwendungen können durch die Verknüpfung unterschiedlicher Daten einen Personenbezug herstellen. Bei der Löschung müsse deshalb darauf geachtet werden, dass eine Wiederherstellung des Personenbezugs dauerhaft unmöglich ist. Das bloße Unterdrücken von Ausgaben durch nachgeschaltete Filter sei nicht generell eine Löschung.

Fragen Sie deshalb konkret, was mit Eingabe-Historie, Protokollen und Sicherungskopien geschieht und nach welcher Frist.

Nutzung der Eingaben zum Training

Die DSK verlangt zu prüfen, ob Ein- und Ausgabedaten für das Training verwendet werden, ob darüber informiert wird und ob die Nutzung ausgeschlossen werden kann. Ist ein Ausschluss nicht möglich und sind personenbezogene Daten betroffen, braucht dieser Zweck eine eigene Rechtsgrundlage. Vorzugswürdig sind nach der DSK Anwendungen, die Ein- und Ausgabedaten nicht zu Trainingszwecken verwenden. Als Beispiel für datenschutzfreundliche Voreinstellungen nennt sie bei Konten Ihrer Beschäftigten, Training mit Eingaben und Eingabe-Historie schon bei der Inbetriebnahme abzuschalten.

Meine Lesart, keine Rechtsauskunft: Der Anbieter darf nach Art. 28 Abs. 3 Buchstabe a nur auf Ihre dokumentierte Weisung verarbeiten. Nutzt er Ihre Eingaben für eigene Trainingszwecke, bestimmt er insoweit selbst über den Zweck, und Art. 28 Abs. 10 kommt ins Spiel. Deshalb gehört die Frage ausdrücklich in den Vertrag, mit einer klaren Antwort. Wie das rechtlich einzuordnen ist, bewertet Ihr Datenschutzbeauftragter.

Fragenliste an den Anbieter

1. Welche Rolle nehmen Sie bei der Verarbeitung ein, und wo steht das im Vertrag?
2. Verwenden Sie Eingaben und Ausgaben zum Training oder zur Verbesserung Ihrer Modelle? Lässt sich das vertraglich ausschließen, und ist es voreingestellt aus?
3. Welche Unterauftragnehmer sind beteiligt (Name, Anschrift, Ansprechperson, Aufgabe), und wie informieren Sie uns über Änderungen?
4. Wo werden Daten gespeichert und verarbeitet, und kann ein Zugriff von außerhalb des EWR erfolgen?
5. Auf welcher Grundlage erfolgen Übermittlungen in Drittländer, und welche Unterlagen stellen Sie uns dafür bereit?
6. Was geschieht mit Eingabe-Historie, Protokollen und Sicherungen bei Vertragsende, und nach welcher Frist?
7. Wie unterstützen Sie uns bei Anträgen betroffener Personen und bei einer Datenpanne?
8. Welche Nachweise zur Sicherheit können wir einsehen, und sind Prüfungen vor Ort oder per Bericht möglich?

Stand und Grenzen

Den Wortlaut von Art. 28 habe ich im Amtsblatt-Text (ABl. L 119 vom 4. Mai 2016) gelesen. Die Kommission hat am 19. November 2025 vorgeschlagen, Teile der DSGVO zu ändern (Digital Omnibus, COM(2025) 837). Stand November 2026: Nach einem Kanzleibeitrag hat der Rat am 21. Oktober 2026 seine Verhandlungsposition festgelegt, das Parlament soll seine voraussichtlich erst im Februar 2027 festlegen. Beschlossen ist nichts, bis dahin gilt die DSGVO unverändert. Verträge, Rollen und Einzelfälle prüft Ihr Datenschutzbeauftragter, bei Streit ein Anwalt.

Was Sie jetzt tun können

1. Listen Sie die KI-Dienste auf, die Ihr Betrieb nutzt oder nutzen möchte, und notieren Sie, welche personenbezogenen Daten dort hineingehen würden.
2. Fordern Sie vom Anbieter den Vertrag zur Auftragsverarbeitung und die Liste der Unterauftragnehmer an und legen Sie beides Ihrem Datenschutzbeauftragten vor.
3. Schicken Sie dem Anbieter die Fragenliste und heften Sie die Antworten zum Vertrag.
4. Stellen Sie die Konten Ihrer Beschäftigten so ein, dass Training mit Eingaben und Eingabe-Historie aus sind, soweit der Dienst das erlaubt.