Auftragsverarbeitungsvertrag für KI-Assistenten

Wer einen KI-Assistenten auf der eigenen Website betreibt, verarbeitet personenbezogene Daten: Nachrichten, freiwillig genannte Kontaktdaten, technische Angaben aus der Sitzung. Kommt der Assistent von einem Dienstleister, verarbeitet dieser die Daten im Auftrag - und dafür verlangt Artikel 28 der Datenschutz-Grundverordnung einen Vertrag. Der Auftragsverarbeitungsvertrag, kurz AVV, ist keine Formalie zum Projektabschluss, sondern die Stelle, an der steht, wer was mit den Chatdaten tun darf. Artikel 28 Absatz 3 nennt einen Rahmen und acht Pflichten, die der Vertrag tragen muss, Absatz 2 regelt die Genehmigung weiterer Auftragsverarbeiter, Buchstabe g sagt, was am Vertragsende mit den Daten geschieht. Dieser Beitrag geht die Punkte der Reihe nach durch, übersetzt sie in die Bausteine eines Chat-Assistenten und klärt die Frage, die in KI-Projekten am häufigsten offenbleibt: Was gilt, wenn das Sprachmodell bei einem Dritten läuft? Er ersetzt keine Rechtsberatung, gibt aber eine belastbare Orientierung vor der Unterschrift.

Grafik vergrößern

Beschriftungen der Abbildung

• Verantwortlicher
• Ihr Unternehmen: bestimmt Zweck und Mittel der Verarbeitung
• Weisung, Art. 28 Abs. 3 Buchst. a
• Auftragsverarbeiter
• Betrieb des KI-Assistenten, Hosting und Speicherung
• Genehmigung, Art. 28 Abs. 2
• Unterauftragsverarbeiter
• Rechenzentrum, Sprachmodell, angebundene Dienste
• Dieselben Pflichten, Artikel 28 Absatz 4
• Die Kette bleibt geschlossen: der erste haftet für den zweiten
• Acht Pflichten aus Artikel 28 Absatz 3
• a
• Nur auf dokumentierte
• Weisung verarbeiten
• b
• Vertraulichkeit der
• eingesetzten Personen
• c
• Sicherheit nach
• Artikel 32 umsetzen
• d
• Unterauftrag nur mit
• Genehmigung
• e
• Hilfe bei Anfragen
• betroffener Personen
• f
• Hilfe bei Meldung und
• Folgenabschätzung
• g
• Löschen oder zurückgeben
• am Vertragsende
• h
• Nachweise geben und
• Überprüfungen dulden
• Schriftform genügt in elektronischer Form, Artikel 28 Absatz 9
• Vertragsende: alle Daten löschen oder zurückgeben, Kopien eingeschlossen
• Ausnahme: gesetzliche Aufbewahrungspflichten, Artikel 28 Absatz 3 Buchstabe g

Auftragsverarbeitung nach Artikel 28 DSGVO

Wann ein Dienstleister Auftragsverarbeiter ist

Die Datenschutz-Grundverordnung unterscheidet zwei Rollen. Verantwortlicher ist nach Artikel 4 Nummer 7, wer über die Zwecke und Mittel der Verarbeitung entscheidet. Auftragsverarbeiter ist nach Artikel 4 Nummer 8, wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Bei einem Website-Assistenten ist die Zuordnung meist eindeutig: Ihr Unternehmen entscheidet, dass es einen Assistenten gibt, welche Themen er abdeckt, welche Angaben er aufnimmt und wie lange Gespräche aufbewahrt werden. Der Dienstleister stellt die Technik, betreibt sie und kommt dabei mit den Chatdaten in Berührung. Er verfolgt keine eigenen Zwecke - er führt aus.

Die Grenze verläuft dort, wo der Dienstleister anfängt, eigene Zwecke zu verfolgen. Wer die Gespräche aus Ihrem Chatfenster nutzt, um das eigene Angebot zu verbessern, ein eigenes Modell zu trainieren oder Auswertungen über mehrere Kunden hinweg zu bauen, entscheidet damit selbst über Zweck und Mittel. Artikel 28 Absatz 10 zieht daraus eine klare Folge: In Bezug auf diese Verarbeitung gilt der Auftragsverarbeiter dann als Verantwortlicher. Das ist keine Kleinigkeit, denn mit der Rolle wandern die vollen Pflichten mit - und für Sie entsteht eine Übermittlung, die eine eigene Rechtsgrundlage bräuchte.

In der Praxis stellt sich oft die Frage, ob schon die Möglichkeit des Zugriffs genügt. Ein Dienstleister, der eine Anwendung pflegt und dabei über eine Fernwartung an die Gesprächsdaten kommen könnte, verarbeitet diese Daten aus Sicht der Aufsichtsbehörden regelmäßig mit. Der sichere Weg ist deshalb, den Vertrag zu schließen, statt über die Wahrscheinlichkeit eines Zugriffs zu streiten. Wie sich Hosting, Speicherung und Zugriff bei einem Assistenten sauber trennen lassen, steht ausführlich unter Datenschutz und Hosting und im Beitrag zum DSGVO-konformen KI-Assistenten.

Die acht Pflichten aus Artikel 28 Absatz 3

Artikel 28 Absatz 3 verlangt zuerst einen Rahmen: Der Vertrag muss Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegen. Erst danach folgen die acht Buchstaben a bis h mit den Pflichten des Auftragsverarbeiters. Für die Form gilt Absatz 9: Der Vertrag ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann. Eine mündliche Absprache oder eine Zusage in einer Angebotsmail erfüllt das nicht.

• Buchstabe a - Weisungsbindung: Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung, auch bei einer Übermittlung in ein Drittland.
• Buchstabe b - Vertraulichkeit: Die eingesetzten Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.
• Buchstabe c - Sicherheit: Alle nach Artikel 32 erforderlichen technischen und organisatorischen Maßnahmen sind zu ergreifen.
• Buchstabe d - Unterauftrag: Die Bedingungen der Absätze 2 und 4 für weitere Auftragsverarbeiter werden eingehalten.
• Buchstabe e - Betroffenenrechte: Der Auftragsverarbeiter unterstützt Sie dabei, Anträge auf Auskunft, Berichtigung oder Löschung zu beantworten.
• Buchstabe f - Unterstützung: Er hilft bei den Pflichten aus den Artikeln 32 bis 36, also bei Sicherheit, Meldung von Verletzungen und Folgenabschätzung.
• Buchstabe g - Ende der Leistung: Nach Abschluss der Verarbeitungsleistungen werden die Daten nach Ihrer Wahl gelöscht oder zurückgegeben, Kopien eingeschlossen.
• Buchstabe h - Nachweis und Prüfung: Er stellt alle erforderlichen Informationen bereit und ermöglicht Überprüfungen einschließlich Inspektionen.

Diese acht Punkte klingen abstrakt, bis man sie auf einen Chat-Assistenten legt. Die Art der Daten sind dann Chatinhalte, freiwillig genannte Kontaktdaten, Zeitstempel und technische Angaben aus der Sitzung. Die Kategorien betroffener Personen sind Website-Besucher, bestehende Kunden und, je nach Einsatz, Bewerber oder Beschäftigte. Der Zweck ist die Beantwortung von Anfragen und die Weiterleitung an die zuständige Stelle, die Dauer entspricht der Vertragslaufzeit. Wer diese Angaben in die Anlage schreibt statt in eine Leerzeile, hat den Vertrag zur Hälfte fertig - und merkt beim Ausfüllen, welche Datenströme im Projekt noch niemand benannt hat.

Weisungsbindung: was eine dokumentierte Weisung ist

Die Weisungsbindung ist der Kern der Auftragsverarbeitung. Artikel 29 stellt klar, dass der Auftragsverarbeiter und die ihm unterstellten Personen die Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten dürfen, sofern sie nicht nach Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet sind. Artikel 28 Absatz 3 Buchstabe a verlangt dieselbe Bindung im Vertrag, und zwar in dokumentierter Form.

Bei einem KI-Assistenten sind Weisungen keine förmlichen Briefe, sondern Entscheidungen, die im Betrieb ohnehin fallen: welche Inhalte in die Wissensbasis kommen, welche Angaben der Assistent erfragen darf, wie lange Gespräche gespeichert werden, wann an einen Menschen übergeben wird, welche Systeme über die Tool-Steuerung im Paket Individuell angebunden sind. Dokumentiert heißt, dass diese Entscheidungen nachlesbar festgehalten sind - in der Anlage zum Vertrag, in einem Konfigurationsprotokoll oder in einem Ticket. Für den Fall, dass eine Weisung aus Sicht des Auftragsverarbeiters gegen das Datenschutzrecht verstößt, sieht Artikel 28 Absatz 3 im Anschluss an Buchstabe h eine Hinweispflicht vor: Er muss den Verantwortlichen unverzüglich informieren.

Unterauftragsverarbeiter und ihre Genehmigung

Kaum ein Assistent läuft ohne weitere Beteiligte. Server, Speicher, Versand von Benachrichtigungen, unter Umständen das Sprachmodell: All das können weitere Auftragsverarbeiter sein. Artikel 28 Absatz 2 lässt das zu, aber nicht stillschweigend. Der Auftragsverarbeiter darf einen weiteren Auftragsverarbeiter nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen einsetzen. Bei einer allgemeinen Genehmigung muss er über jede beabsichtigte Änderung informieren, damit der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.

Absatz 4 schließt die Kette. Wird ein weiterer Auftragsverarbeiter eingesetzt, müssen ihm dieselben Datenschutzpflichten auferlegt werden, die im Hauptvertrag stehen. Kommt er ihnen nicht nach, haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung. Für Sie heißt das: Sie müssen nicht mit jedem Rechenzentrum einzeln verhandeln, aber Sie sollten wissen, wer in der Kette steht. Eine Liste mit Name, Sitz, Ort der Verarbeitung und erbrachter Leistung gehört als Anlage in den Vertrag, nicht auf eine Unterseite, die sich ohne Nachricht ändern kann.

Wenn das Sprachmodell bei einem Dritten läuft

Ein KI-Assistent besteht aus mehreren Bausteinen: der Anwendung mit dem Chatfenster, dem Speicher für Gespräche und Wissensinhalte und dem Sprachmodell, das die Antwort formuliert. Für den Vertrag ist der dritte Baustein der heikelste, weil er als Einziger die Eingaben verlässt, sobald er außer Haus liegt. Jede Nachricht, die ein Besucher tippt, geht dann an eine Stelle, die im Vertrag benannt sein muss. Ob ein Modellanbieter Unterauftragsverarbeiter ist, hängt nicht davon ab, wie er sich nennt, sondern davon, dass er personenbezogene Daten für den Betrieb Ihres Assistenten verarbeitet.

Der zweite Punkt neben dem Ort ist der Umgang mit den Eingaben. Nutzt ein Modellanbieter die übermittelten Texte, um eigene Modelle zu verbessern, verarbeitet er sie zu einem eigenen Zweck - und rutscht damit in die Rolle aus Artikel 28 Absatz 10. Im Vertrag gehört deshalb ein Satz, der das ausschließt, und zwar für Eingaben und Ausgaben gleichermaßen. Ebenso gehört hinein, wie lange der Anbieter die Anfragen vorhält, ob er sie zu Missbrauchskontrollen speichert und wer dort Zugriff hat. Diese Angaben stehen in den Bedingungen des Modellanbieters; sie in den eigenen Vertrag zu übernehmen, ist die Arbeit, die den Unterschied macht.

Technische und organisatorische Maßnahmen als Anlage

Buchstabe c verweist auf Artikel 32, und Artikel 32 verlangt Maßnahmen, die dem Risiko angemessen sind. Genannt werden unter anderem Verschlüsselung, die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sicherzustellen, die Wiederherstellbarkeit nach einem Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit. Das ist bewusst offen formuliert, weil ein Assistent für Öffnungszeiten ein anderes Risiko trägt als einer, der Gesundheitsdaten aufnimmt.

• Verschlüsselte Übertragung zwischen Chatfenster, Anwendung und Speicher, dazu eine klare Angabe, ob und wie abgelegte Gespräche verschlüsselt sind.
• Getrennte Mandanten: die Wissensbasis und die Gespräche eines Kunden liegen nicht im selben Topf wie die eines anderen.
• Zugriff nach Rollen, dazu ein Protokoll darüber, wer wann in Klartextgespräche gesehen hat.
• Festgelegte Speicherdauern für Gespräche, Protokolle und Sicherungen, mit der Angabe, wie lange gelöschte Daten in den Sicherungen noch stehen.
• Ein Weg für Meldungen: wer informiert wen in welcher Frist, wenn eine Verletzung des Schutzes personenbezogener Daten auffällt.
• Prüfung der Wirksamkeit in festen Abständen, mit Datum und Ergebnis, nicht nur als Absichtserklärung im Vertrag.

Löschung am Vertragsende

Buchstabe g regelt den Ausgang. Nach Abschluss der Erbringung der Verarbeitungsleistungen sind alle personenbezogenen Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben, und vorhandene Kopien sind zu löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Die Wahl liegt bei Ihnen, nicht beim Dienstleister - und sie sollte im Vertrag schon getroffen oder wenigstens mit einer Frist versehen sein.

Bei einem Assistenten hängt an diesem Satz mehr, als man beim Unterschreiben denkt: Gespräche, Protokolldateien, Auswertungen, die Wissensbasis mit Ihren eigenen Texten, Sicherungen der letzten Wochen und gegebenenfalls zwischengespeicherte Anfragen beim Modellanbieter. Sinnvoll ist deshalb, drei Dinge zu vereinbaren. Erstens ein Format für die Rückgabe, das Sie auch ohne die Software des Anbieters lesen können. Zweitens eine Frist, innerhalb derer gelöscht wird, gerechnet ab dem Ende der Leistung und nicht ab einer späteren Aufforderung. Drittens eine kurze Bestätigung, dass die Löschung erfolgt ist, mit der Angabe, wann die letzten Sicherungen mit diesen Daten auslaufen. Aufbewahrungspflichten, etwa aus dem Handelsrecht oder dem Steuerrecht, bleiben davon unberührt, betreffen aber Rechnungsunterlagen und nicht den Gesprächsverlauf im Chat.

Kontrollrechte und Nachweise im Alltag

Buchstabe h gibt Ihnen zwei Dinge: den Anspruch auf alle Informationen, die zum Nachweis der Einhaltung der Pflichten aus Artikel 28 erforderlich sind, und das Recht auf Überprüfungen einschließlich Inspektionen, die Sie selbst oder ein von Ihnen beauftragter Prüfer durchführen. In der Praxis genügt für einen Website-Assistenten meist eine dokumentierte Auskunft: die Liste der Unterauftragsverarbeiter, die Beschreibung der Maßnahmen nach Artikel 32, die Speicherdauern und der Ort der Verarbeitung. Wichtig ist, dass der Vertrag diesen Weg beschreibt, statt die Prüfung an Bedingungen zu knüpfen, die niemand erfüllt.

Dazu kommen zwei Pflichten, die gern übersehen werden. Artikel 30 Absatz 2 verlangt auch vom Auftragsverarbeiter ein Verzeichnis der Verarbeitungstätigkeiten, die er im Auftrag ausführt; das ergänzt Ihr eigenes Verzeichnis, ersetzt es aber nicht. Und Artikel 33 Absatz 2 verpflichtet ihn, Ihnen eine Verletzung des Schutzes personenbezogener Daten unverzüglich zu melden, nachdem sie ihm bekannt wurde. Diese Meldung ist der Auslöser für Ihre eigene Frist aus Artikel 33 Absatz 1, die auf 72 Stunden angelegt ist - weshalb im Vertrag eine Erreichbarkeit und ein Ansprechpartner stehen sollten und keine allgemeine Postanschrift.

Haftung und Bußgeld: wer wofür einsteht

Artikel 82 Absatz 2 zieht die Linie zwischen den Rollen. Ein Auftragsverarbeiter haftet für einen durch die Verarbeitung verursachten Schaden nur dann, wenn er seinen speziell ihm auferlegten Pflichten nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Weisungen des Verantwortlichen gehandelt hat. Für alles Übrige bleibt der Verantwortliche in der Pflicht. Auf der Bußgeldseite nennt Artikel 83 Absatz 4 Buchstabe a Verstöße gegen die Pflichten aus den Artikeln 25 bis 39, zu denen Artikel 28 gehört: Der Rahmen reicht dort bis zu 10 Millionen Euro oder bis zu 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist.

Checkliste vor der Unterschrift

Aus den bisherigen Punkten ergibt sich eine überschaubare Liste an Fragen, die vor der Einführung eines Assistenten geklärt sein sollte. Sie ersetzt keine individuelle Prüfung, macht aber sichtbar, an welcher Stelle ein Mustervertrag noch leer ist. Wer sie mit dem Anbieter durchgeht, merkt schnell, ob dieser seine eigene Verarbeitung kennt.

• Liegt ein schriftlicher Vertrag nach Artikel 28 vor, und ist die Anlage mit den tatsächlichen Daten ausgefüllt?
• Sind Art der Daten, Kategorien betroffener Personen, Zweck und Dauer beschrieben, statt als Textbaustein zu stehen?
• Ist geregelt, dass nur auf dokumentierte Weisung verarbeitet wird, und wo diese Weisungen festgehalten werden?
• Gibt es eine benannte Liste der Unterauftragsverarbeiter mit Sitz, Ort der Verarbeitung und Leistung?
• Sind Informationspflicht und Einspruchsfrist bei einem Wechsel eines Unterauftragsverarbeiters geregelt?
• Steht im Vertrag, wo das Sprachmodell läuft und dass Eingaben und Ausgaben nicht zu fremden Zwecken genutzt werden?
• Sind die Maßnahmen nach Artikel 32 als Anlage beschrieben, mit Speicherdauern und der Angabe, wie lange Sicherungen gelöschte Daten noch halten?
• Ist die Wahl zwischen Löschung und Rückgabe getroffen, mit Frist, Format und Bestätigung der Löschung?

Ein Auftragsverarbeitungsvertrag ist am Ende weniger ein juristisches Kunstwerk als eine Beschreibung dessen, was ohnehin passiert. Genau darin liegt sein Wert: Wer ihn ausfüllt, zwingt sich, die eigene Verarbeitung zu Ende zu denken - vom ersten Satz im Chatfenster bis zum Löschlauf nach dem Vertragsende. Assistenten von XICBOT werden mit Hosting in Deutschland betrieben, mit benannten Unterauftragsverarbeitern und mit einer Anlage, die den tatsächlichen Datenfluss beschreibt. Wenn Sie einen bestehenden Vertrag gegen die Punkte oben halten möchten, schreiben Sie uns, worum es geht; wie ein Assistent technisch angebunden wird, steht unter Integration.

Häufige Fragen