AVV (Auftragsverarbeitungsvertrag)

Die DSGVO unterscheidet zwischen dem Verantwortlichen, der über Zwecke und Mittel der Datenverarbeitung entscheidet, und dem Auftragsverarbeiter, der Daten nur nach dessen Weisung verarbeitet. Art. 28 DSGVO schreibt vor, was der AVV mindestens regeln muss: Weisungsbindung, Vertraulichkeitspflichten, technische und organisatorische Maßnahmen, den Umgang mit Subprozessoren, Unterstützung bei Betroffenenrechten und Datenpannen sowie Löschung oder Rückgabe der Daten nach Vertragsende. Fehlt der Vertrag, verstoßen beide Seiten gegen die DSGVO – auch dann, wenn die Verarbeitung selbst einwandfrei läuft.

Im Unternehmensalltag betrifft das mehr Werkzeuge, als viele vermuten: Cloud-Speicher, Newsletter-Dienste, Lohnabrechnung, Ticketsysteme und eben auch KI-Anwendungen, die E-Mails oder Dokumente mit Kundendaten verarbeiten. Vor der Einführung eines neuen Tools sollten KMU deshalb prüfen, ob der Anbieter einen AVV bereitstellt, welche Subprozessoren er einsetzt und wo die Daten verarbeitet werden. Ein seriöser Anbieter beantwortet diese Fragen offen, ohne dass man lange danach suchen muss.

Verarbeitungsregion, Speicherung und Trainingsnutzung hängen von den freigegebenen Modellendpunkten und den jeweiligen Vereinbarungen ab. Prüfen Sie diese Bedingungen für Ihre Installation. Zugriffe auf Unternehmenswissen werden über Rollen und Freigaben geregelt.

Dazu kommt ein Grundsatz, der über den Vertragstext hinausgeht: Die KI darf Berechtigungen nicht umgehen. Antworten stützen sich nur auf Quellen, die für die anfragende Person freigegeben sind, und zeigen Quellenangaben – der Berechtigungsfilter greift bereits in der Suche, bevor ein Ergebnis entsteht.