Glossar
Auftragsverarbeitung:
wenn ein Dienstleister Daten für Sie verarbeitet.
Sobald ein KI-Agent mit Kundendaten arbeitet, sind Sie als Verantwortlicher auf einen Dienstleister angewiesen. Der Vertrag zur Auftragsverarbeitung ist die rechtliche Grundlage dafür.
Kurz gesagtVerarbeitet ein Dienstleister personenbezogene Daten in Ihrem Auftrag, arbeiten Sie nur mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Die Verarbeitung folgt einem Vertrag, der unter anderem Gegenstand, Dauer, Art und Zweck festlegt (Art. 28 DSGVO).
Was Auftragsverarbeitung bedeutet
Das Datenschutzrecht unterscheidet zwischen dem Verantwortlichen, der über Zweck und Mittel der Verarbeitung entscheidet, und dem Auftragsverarbeiter, der Daten in dessen Auftrag verarbeitet. Setzen Sie einen KI-Agenten ein, der Kundenanfragen liest, sind Sie der Verantwortliche. Der Dienstleister, der das System betreibt oder ein Sprachmodell zur Verfügung stellt, ist insoweit Auftragsverarbeiter.
Art. 28 DSGVO beschreibt, was daraus folgt: Der Verantwortliche arbeitet nur mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Die Verarbeitung erfolgt auf Grundlage eines Vertrags, der unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung festlegt. Der Vertrag heißt im Alltag Auftragsverarbeitungsvertrag, kurz AVV oder AV-Vertrag.
Die Verantwortung bleibt bei Ihnen. Der Vertrag ersetzt nicht Ihre eigene Sorgfalt bei der Auswahl und Kontrolle. Er schafft den Rahmen, in dem Sie Ihrem Dienstleister Daten anvertrauen dürfen.
Beispiel (Kette von Dienstleistern)
Fiktives Beispiel, kein Kundenfall.
Ein Handelsbetrieb lässt einen Agenten Kundenanfragen vorbereiten. Beteiligt sind der Anbieter des Agenten (Dienstleister A), der den Agenten betreibt, ein Anbieter von Sprachmodellen (Dienstleister B), über dessen Schnittstelle Texte verarbeitet werden, und ein Rechenzentrum (Dienstleister C), in dem die Wissensbasis liegt. Der Betrieb schließt einen Vertrag mit A. A sorgt dafür, dass B und C ebenfalls vertraglich gebunden sind, und legt offen, welche Dienstleister beteiligt sind.
Der Betrieb sollte verstehen, wer in der Kette welche Daten sieht, wo sie verarbeitet werden und was bei einem Wechsel eines Dienstleisters geschieht. Bei uns klären wir Modell, Verarbeitungsort und Löschfristen im AVV.
Für Sie praktisch: Verlangen Sie eine Übersicht der beteiligten Unternehmen und lassen Sie sich erklären, welche Daten bei wem ankommen. Je klarer die Kette beschrieben ist, desto leichter lässt sich später prüfen, ob der Vertrag zur Wirklichkeit passt.
Was ein Vertrag mindestens klären sollte
| Punkt | Frage | Praxis bei uns |
|---|---|---|
| Gegenstand und Dauer | Worum geht es, für wie lange? | Beschreibung des Projekts, Laufzeit |
| Art und Zweck | Welche Daten, wofür? | Aufgabenbeschreibung des Agenten, Datenarten |
| Schutzmaßnahmen | Wie sind die Daten gesichert? | Technische und organisatorische Maßnahmen als Anlage |
| Unterauftragnehmer | Wer ist sonst beteiligt? | Liste der Dienstleister, Information bei Änderungen |
| Verarbeitungsort | Wo liegen die Daten? | Pro Projekt festgelegt |
| Ende des Vertrags | Was geschieht mit den Daten? | Rückgabe oder Löschung nach Festlegung |
Die ersten beiden Punkte nennt Art. 28 ausdrücklich unter den Vertragsinhalten. Die übrigen Zeilen sind praktische Punkte, die wir regelmäßig vertraglich festhalten. Welche Inhalte im Einzelfall zwingend sind, lesen Sie im Gesetzestext nach oder lassen es fachkundig prüfen.
Besonderheiten bei KI-Systemen
- Training. Klären Sie, ob Eingaben zum Training von Modellen verwendet werden.
- Modellwechsel. Wechselt der Anbieter das Modell oder den Verarbeitungsort, muss das vertraglich erfasst sein.
- Protokolle. Auch Protokolle und Zwischenspeicher enthalten Daten. Sie gehören in die Löschregeln, siehe Löschkonzept.
- Eigene Hausaufgaben. Der Vertrag ersetzt nicht Ihre Pflicht, die Datenverarbeitung auf das Nötige zu beschränken, siehe Datenminimierung.
Auswahl des Dienstleisters: Fragen vor der Unterschrift
- Wer verarbeitet welche Daten, und wo?
- Welche weiteren Dienstleister sind beteiligt?
- Welche technischen und organisatorischen Maßnahmen sind umgesetzt, und wo sind sie beschrieben?
- Wie gelangen Sie an Ihre Daten, wenn der Vertrag endet?
- Wie werden Sie bei Änderungen informiert?
- Welche Berufsgeheimnisse oder Branchenpflichten gelten bei Ihnen zusätzlich?
Gerade die letzte Frage wird übersehen. In Berufen mit Verschwiegenheitspflicht gelten zusätzliche Regeln, siehe Berufsgeheimnis. Ob ein Vertrag nach Art. 28 DSGVO dort genügt, klärt Ihre Rechtsberatung.
Ablauf eines Vertragsabschlusses in der Praxis
In der Praxis läuft der Abschluss in drei Schritten. Zuerst klären Sie gemeinsam mit uns, welche Daten der Agent überhaupt sieht und wofür. Daraus ergibt sich die Beschreibung von Gegenstand, Art und Zweck. Danach legen wir fest, wo und bei wem die Verarbeitung stattfindet und welche Schutzmaßnahmen gelten. Zuletzt unterzeichnen beide Seiten den Vertrag, bevor der Agent mit echten Daten arbeitet.
Hilfreich ist, wenn Ihre Datenschutzbeauftragte oder Ihre Rechtsberatung früh eingebunden ist. Sie kennt Ihre Verzeichnisse und Pflichten und kann Rückfragen zum Vertrag beantworten, die wir als Dienstleister nicht beantworten dürfen. Wir stellen dazu eine technische Beschreibung bereit, die verständlich erklärt, wie der Agent aufgebaut ist.
Nach Projektende endet die Pflicht zur sorgfältigen Behandlung nicht automatisch. Legen Sie fest, wann Daten gelöscht oder zurückgegeben werden, und lassen Sie sich die Erledigung bestätigen.
Halten Sie im Vertragsordner fest, wer den Vertrag geprüft hat und wann er zuletzt durchgesehen wurde. Ändert sich der Einsatz, etwa durch einen neuen Dienstleister in der Kette oder eine neue Datenart, gehört der Vertrag erneut auf den Tisch.
Grenzen dieser Darstellung
Wir beschreiben, wie wir Art. 28 DSGVO in unserer Arbeit berücksichtigen, und fassen den Gesetzestext zusammen, soweit wir ihn gelesen haben. Das ist keine Rechtsberatung. Ob in Ihrem Fall tatsächlich eine Auftragsverarbeitung vorliegt, welche Inhalte der Vertrag haben muss und wie Sie Ihre Pflichten erfüllen, klären Sie mit Ihrer Datenschutzbeauftragten oder Ihrer Rechtsberatung.
Mehr zur Anwendung in Projekten lesen Sie bei KI-Transparenz und in den Leistungen KI-Agenten entwickeln und Support-Automatisierung.
Häufige Fragen
Brauche ich für jeden KI-Dienst einen Vertrag?
Wenn der Dienst personenbezogene Daten in Ihrem Auftrag verarbeitet, ist ein Vertrag nach Art. 28 DSGVO die Grundlage. Prüfen Sie das für jeden Dienst, auch für Werkzeuge, die Beschäftigte eigenständig nutzen.
Was ändert sich, wenn Daten nur anonym sind?
Ob Daten tatsächlich anonym sind, ist eine anspruchsvolle Frage. Nehmen Sie das nicht leichtfertig an, sondern lassen Sie es prüfen. Im Zweifel behandeln Sie die Daten als personenbezogen.
Wer unterschreibt den Vertrag?
Der Verantwortliche und der Auftragsverarbeiter, also Ihr Betrieb und der Dienstleister. Wir stellen unseren AVV vor Projektstart bereit.
Kann ich den Vertrag selbst vorlegen?
Ja, wenn Sie einen eigenen Standardvertrag nutzen. Wir prüfen ihn auf Passung zu unserem Aufbau. Inhaltliche Fragen zur Rechtslage klären Sie mit Ihrer Beratung.
Ist Auftragsverarbeitung dasselbe wie Weitergabe an Dritte?
Nein, aber die Abgrenzung ist im Einzelfall rechtlich zu prüfen. Wir gehen davon aus, dass ein Agent-Betrieb in unserem Auftrag eine Auftragsverarbeitung ist, und regeln das vertraglich.
Quellen und rechtlicher Rahmen
- DSGVO, Art. 28 (Auftragsverarbeiter): Verarbeitet ein Dienstleister personenbezogene Daten im Auftrag, arbeitet der Verantwortliche nur mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Die Verarbeitung folgt einem Vertrag, der unter anderem Gegenstand, Dauer, Art und Zweck festlegt. (abgerufen 21. Oktober 2026)
Die Zusammenfassungen sind sinngemäß; maßgeblich sind die verlinkten Originaltexte. Das ist ein allgemeiner Überblick zu Ihrem Umfeld, keine Rechtsberatung und keine Aussage zu Ihrem Einzelfall.
Autor: Melvin Mümken, Gründer & Technischer Leiter. Stand: 22.10.2026. Die Hinweise sind ein allgemeiner Überblick und keine Rechtsberatung.