Glossar
AVV (Auftragsverarbeitungsvertrag)
Ein Auftragsverarbeitungsvertrag (AVV) ist ein Vertrag nach Art. 28 DSGVO zwischen einem Verantwortlichen und einem Auftragsverarbeiter, der personenbezogene Daten in dessen Auftrag verarbeitet. Er regelt Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie technische und organisatorische Maßnahmen. Für KMU ist er Pflicht, sobald externe Dienstleister wie Cloud- oder KI-Anbieter personenbezogene Daten verarbeiten.
Stand: 2026-08-03
Die DSGVO unterscheidet zwischen dem Verantwortlichen, der über Zwecke und Mittel der Datenverarbeitung entscheidet, und dem Auftragsverarbeiter, der Daten nur nach dessen Weisung verarbeitet. Art. 28 DSGVO schreibt vor, was der AVV mindestens regeln muss: Weisungsbindung, Vertraulichkeitspflichten, technische und organisatorische Maßnahmen, den Umgang mit Subprozessoren, Unterstützung bei Betroffenenrechten und Datenpannen sowie Löschung oder Rückgabe der Daten nach Vertragsende. Fehlt der Vertrag, verstoßen beide Seiten gegen die DSGVO – auch dann, wenn die Verarbeitung selbst einwandfrei läuft.
Im Unternehmensalltag betrifft das mehr Werkzeuge, als viele vermuten: Cloud-Speicher, Newsletter-Dienste, Lohnabrechnung, Ticketsysteme und eben auch KI-Anwendungen, die E-Mails oder Dokumente mit Kundendaten verarbeiten. Vor der Einführung eines neuen Tools sollten KMU deshalb prüfen, ob der Anbieter einen AVV bereitstellt, welche Subprozessoren er einsetzt und wo die Daten verarbeitet werden. Ein seriöser Anbieter beantwortet diese Fragen offen, ohne dass man lange danach suchen muss.
Chifty stellt für den Einsatz im Unternehmen einen AVV nach Art. 28 DSGVO bereit – Sie erhalten ihn auf Anfrage bzw. zum Vertragsschluss. Die vollständige Subprozessorenliste mit Zweck und Sitz je Anbieter ist Teil des Vertrags und zusätzlich öffentlich auf der Security-Seite einsehbar. Mit Google Cloud Vertex AI und OpenAI ist vertraglich vereinbart, dass Anfragen nach der Verarbeitung nicht dauerhaft gespeichert werden.
Dazu kommt ein Grundsatz, der über den Vertragstext hinausgeht: Die KI darf Berechtigungen nicht umgehen. Antworten stützen sich nur auf Quellen, die für die anfragende Person freigegeben sind, und zeigen Quellenangaben – der Berechtigungsfilter greift bereits in der Suche, bevor ein Ergebnis entsteht.