Auftragsverarbeitung bei KI-Diensten: wer welche Daten erhält

Auftragsverarbeitung liegt bei KI-Diensten vor, wenn ein Anbieter personenbezogene Daten im Auftrag eines Unternehmens verarbeitet, etwa weil eine Anwendung Kundenanfragen an ein Sprachmodell schickt. Dafür verlangt Art. 28 DSGVO einen Vertrag, den AVV. Für den Betrieb entscheidend ist, wer in der Kette Daten erhält: Modellanbieter, Rechenzentrum, Protokolldienst – und in welchem Land.

Auftragsverarbeitung oder eigene Verantwortung des Anbieters?

Die Einordnung hängt davon ab, wer über Zweck und Mittel entscheidet. Nutzt ein Unternehmen den Programmierzugang eines Modellanbieters, um eigene Vorgänge zu bearbeiten, handelt der Anbieter in der Regel als Auftragsverarbeiter; die großen Anbieter stellen dafür eigene Vertragswerke für Geschäftskunden bereit. Anders liegt es, sobald ein Anbieter Eingaben für eigene Zwecke verwendet, etwa zur Weiterentwicklung seiner Modelle. Insoweit handelt er nicht mehr im Auftrag; bestimmt ein Auftragsverarbeiter Zwecke und Mittel unter Verstoß gegen die Verordnung, gilt er nach Art. 28 Abs. 10 DSGVO für diese Verarbeitung selbst als Verantwortlicher. Geschäftskunden schließen eine solche Nutzung ihrer Eingaben deshalb üblicherweise vertraglich aus.

Eine andere Lage entsteht bei Verbraucherkonten für Chatdienste. Dort gelten die Nutzungsbedingungen zwischen Anbieter und einzelner Person; einen AVV mit dem Unternehmen gibt es für diese Konten in aller Regel nicht.

Was der AVV nach Art. 28 DSGVO regeln muss

Art. 28 Abs. 3 DSGVO nennt die Eckpunkte: Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie Rechte und Pflichten des Verantwortlichen. Bei KI-Diensten verdienen Punkte Aufmerksamkeit, die in Standardverträgen oft allgemein bleiben:

• Dokumentierte Weisung. Was als Weisung gilt, wenn eine Anwendung ohne menschliches Zutun Aufrufe erzeugt, sollte beschrieben sein.
• Aufbewahrung von Eingaben und Ausgaben. Ob der Anbieter sie speichert, wie lange und wofür, etwa zur Erkennung von Missbrauch.
• Löschung oder Rückgabe nach Ende der Leistung, ausdrücklich auch für Protokolle und zwischengespeicherte Inhalte.
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, üblicherweise als Anlage.
• Unterstützungspflichten bei Anfragen betroffener Personen und bei Verletzungen des Schutzes personenbezogener Daten.

Der Vertrag ist schriftlich abzufassen, was nach Art. 28 Abs. 9 auch in einem elektronischen Format möglich ist. Schon vorher gilt Abs. 1: Beauftragt werden dürfen nur Anbieter, die hinreichende Gewähr für geeignete technische und organisatorische Maßnahmen bieten.

Unterauftragsverarbeiter: die Kette hinter dem Modell

Zwischen einer Anwendung und dem Modell stehen oft mehrere Beteiligte: der Dienstleister, der die Anwendung betreibt, sein Hoster, ein Dienst für Suche oder Protokolle und am Ende der Modellanbieter, der wiederum Rechenzentren Dritter nutzen kann.

Nach Art. 28 Abs. 2 DSGVO darf ein Auftragsverarbeiter weitere Auftragsverarbeiter nur mit vorheriger schriftlicher Genehmigung einsetzen, gesondert oder allgemein erteilt. Bei einer allgemeinen Genehmigung informiert er über jede beabsichtigte Änderung, und das Unternehmen kann Einspruch erheben. Abs. 4 überträgt dieselben Datenschutzpflichten auf jede weitere Stufe; hält ein Unterauftragsverarbeiter sie nicht ein, haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen.

Für den Betrieb heißt das: Der Modellanbieter gehört namentlich in die Liste, und der Umstieg auf ein Modell eines anderen Anbieters ist eine Änderung, über die zu informieren ist – keine bloße technische Einstellung. Wer Aufrufe über ein KI-Gateway führt, sieht an einer Stelle, welche Anbieter tatsächlich Daten erhalten.

Drittland: wenn das Modell außerhalb der EU läuft

Sitzt der Modellanbieter oder eines seiner Rechenzentren außerhalb von EU und EWR, kommt Kapitel V der DSGVO hinzu. Nach Art. 44 ist eine Übermittlung nur zulässig, wenn Verantwortlicher und Auftragsverarbeiter die Bedingungen dieses Kapitels einhalten. Die gängigen Grundlagen sind ein Angemessenheitsbeschluss der EU-Kommission für das Zielland (Art. 45) oder Standarddatenschutzklauseln der Kommission (Art. 46 Abs. 2 lit. c).

Praktisch zu klären sind drei Fragen. In welcher Region wird verarbeitet, wenn der Anbieter mehrere anbietet? Greift jemand aus einem Drittland auf die Daten zu, zum Beispiel im Support? Und auf welche Grundlage stützt sich jede einzelne Übermittlung in der Liste? Auch die EU-Region eines Anbieters mit Sitz außerhalb der EU erspart diese Prüfung nicht.

Was das Modell zu sehen bekommt

Der AVV regelt, wie ein Anbieter mit Daten umgeht. Welche Daten er überhaupt erhält, entscheidet die Anwendung. Für jeden Vorgang lohnt deshalb eine kurze Aufstellung: welche Felder an das Modell gehen, welche davon eine Person erkennbar machen und ob die Aufgabe ohne sie lösbar ist. Um eine Reklamation einer Kategorie zuzuordnen, genügt meist der Text der Beschwerde; Kundennummer und Anschrift braucht das Modell dafür nicht.

Die Aufstellung gehört in die Dokumentation des Vorgangs und passt zum Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Mitzuzählen sind auch Protokolle im eigenen Haus: Wer Eingaben vollständig mitschreibt, hält dieselben Daten ein zweites Mal vor.

Typische Fehler bei der Auftragsverarbeitung

• Privatkonto statt Geschäftsvertrag. Mitarbeiter nutzen Chatdienste mit eigenem Konto, ein Vertrag mit dem Unternehmen besteht nicht – ein typischer Fall von Schatten-KI.
• Liste ohne Modellanbieter. Der Hoster ist eingetragen, der Anbieter des Sprachmodells fehlt, weil er als bloße Schnittstelle gilt.
• Modellwechsel als reine Technik. Ein Modell eines neuen Anbieters wird eingestellt, ohne dass die Information nach Art. 28 Abs. 2 erfolgt.
• Unbekannte Speicherfristen. Niemand kann sagen, wie lange der Anbieter Eingaben aufbewahrt.

Dieser Überblick ersetzt keine Rechtsberatung; die Prüfung des einzelnen Vertrags gehört in die eigene Datenschutzberatung.

Wie wir Datenflüsse zu Modellanbietern festhalten

Unsere Anwendungen betreiben wir auf eigenen Servern bei Hetzner in Deutschland und der EU. Die Sprachmodelle stammen dagegen häufig von Anbietern mit Sitz in den USA, deshalb behaupten wir nicht, dass alle Daten im Land bleiben. Sobald wir in Ihrem Auftrag personenbezogene Daten verarbeiten, wird ein Auftragsverarbeitungsvertrag geschlossen. Technische und organisatorische Maßnahmen, die Liste der Unterauftragsverarbeiter einschließlich der KI-Anbieter und die Daten, die ein Sprachmodell zu sehen bekommt, halten wir im Angebot fest. Wie diese Fragen am Anfang eines Vorhabens geklärt werden, beschreibt die Seite KI-Einführung.