Wann überhaupt, und wer hier was ist
Ein Auftragsverarbeitungsvertrag wird fällig, wenn jemand personenbezogene Daten für Sie und nach Ihren Weisungen verarbeitet. Die Rollen sind nach den tatsächlichen Verhältnissen zu bestimmen: Wer über Zwecke und wesentliche Mittel entscheidet, ist Verantwortlicher, unabhängig davon, was im Vertrag als Überschrift steht.
Die Rollen ergeben sich aus den tatsächlichen Tätigkeiten in der konkreten Situation, nicht aus der formalen Bezeichnung, etwa in einem Vertrag.
Für KI-Werkzeuge folgt daraus eine Kette, nicht ein Vertrag: Sie sind Verantwortlicher, der Werkzeuganbieter ist Auftragsverarbeiter, der Modellanbieter Unterauftragsverarbeiter. Und Achtung bei der Rückrichtung: Ein Auftragsverarbeiter, der eigene Zwecke hinzufügt, etwa Produktverbesserung, Modellbewertung oder Missbrauchserkennung über Kunden hinweg, wird für diese Verarbeitung selbst Verantwortlicher (Art. 28 Abs. 10 DSGVO). Genau dort sitzt der Streitpunkt in vielen KI-Verträgen.
Die Pflichtinhalte
Art. 28 DSGVO verlangt einen Vertrag oder ein anderes bindendes Rechtsinstrument, das folgende Punkte regelt:
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck
- Arten personenbezogener Daten und Kategorien betroffener Personen
- dokumentierte Weisungen, auch zu Übermittlungen in Drittländer
- Vertraulichkeit der eingesetzten Personen und Sicherheit nach Art. 32
- vorherige gesonderte oder allgemeine schriftliche Genehmigung von Unterauftragsverarbeitern und gleichwertige Weitergabe der Pflichten
- Unterstützung bei Betroffenenrechten, Sicherheitsvorfällen, Folgenabschätzungen und vorheriger Konsultation
- Löschung oder Rückgabe nach Ende der Leistung, einschließlich vorhandener Kopien
- Nachweise und Überprüfungen
- unverzügliche Information, wenn eine Weisung rechtswidrig erscheint
Die Anlage, die fast immer fehlt
„Nutzungsdaten und Inhalte“ ist keine Aufzählung. Bei einem Agentenwerkzeug fließt deutlich mehr, als ein Standardformular vorsieht, und was nicht in der Anlage steht, ist auch nicht durch eine Weisung gedeckt:
- Eingaben, Anweisungen und Gesprächsverlauf;
- Ausschnitte aus Dokumenten, Dateinamen, Ordnerstrukturen, Projektzusammenhang;
- Ausgaben von Werkzeugen: Befehlsausgaben, Suchergebnisse, abgerufene Seiten, Protokolle;
- Identität, Anmeldung, Rolle, Gerät und Zugriffsdaten;
- Zugangsdaten und Geheimnisse, die unterwegs auftauchen können, samt Sicherheitsbefunden;
- Support-Pakete, Fehlerberichte und Anhänge;
- Betriebs-, Verbrauchs- und Sicherheitsdaten sowie daraus abgeleitete Bewertungen;
- besondere Kategorien nach Art. 9 und Daten nach Art. 10 DSGVO, die beiläufig vorkommen können, in Personalakten, Gutachten oder Schriftsätzen praktisch unvermeidlich.
Dazu die Klauseln, um die es sich beim Verhandeln zu streiten lohnt: kein Training und keine Produktverbesserung auf Ihren Inhalten ohne gesonderte, technisch durchgesetzte Freigabe; Aufbewahrung und menschliche Durchsicht je Anbieter, Modell und Version offengelegt; Löschung auch in Warteschlangen, Zwischenspeichern und Sicherungen, mit Nachweis; Vorabinformation und echtes Widerspruchsrecht bei neuen Unterauftragsverarbeitern.
Unterauftragsverarbeiter: die Liste, die jederzeit vorliegen soll
Verantwortliche sollen Angaben zur Identität, also Name, Anschrift und Ansprechpartner, aller Auftrags- und Unterauftragsverarbeiter jederzeit verfügbar haben, unabhängig vom Risiko der Verarbeitung. Die Pflicht, hinreichende Garantien zu prüfen, gilt ebenfalls unabhängig vom Risiko; nur die Prüftiefe richtet sich nach den Maßnahmen.
„Cloud- und KI-Partner“ genügt damit nicht. Was Sie brauchen, ist ein Verzeichnis, in dem je Eintrag steht: Rechtsträger, Anschrift, Leistung, Modell (soweit einschlägig), Verarbeitungsland, Land des Supportzugriffs, Übermittlungsmechanismus und das Datum der letzten Prüfung. Diese Liste ist die eigentliche Arbeit; der Vertrag ist der leichtere Teil.
Der Fehler mit den Standardklauseln
Die Kommission hat zwei verschiedene Klauselwerke erlassen: den Durchführungsbeschluss (EU) 2021/915 für Verträge zwischen Verantwortlichen und Auftragsverarbeitern nach Art. 28 Abs. 7 DSGVO und den Durchführungsbeschluss (EU) 2021/914 für Übermittlungen in Drittländer. Die Klauseln für die Auftragsverarbeitung ersetzen keine Prüfung nach Kapitel V DSGVO. Welcher Mechanismus eine Übermittlung trägt, etwa ein Angemessenheitsbeschluss oder Standardvertragsklauseln mit Bewertung des Drittlands, ist gesondert zu bestimmen; das erklärt der Artikel zu US-Anbietern und Drittlandübermittlung.
Beispiel ChatGPT: Welcher Tarif hat einen AV-Vertrag?
Die Frage kommt am häufigsten für ChatGPT, und die Antwort hängt am Tarif. Einen AV-Vertrag, bei OpenAI „Data Processing Addendum“ (DPA), gibt es nur zu den Geschäftsangeboten: Das OpenAI Services Agreement, das der DPA ergänzt, gilt laut seinem ersten Satz nur für die API, ChatGPT Enterprise, ChatGPT Business und andere Dienste für Unternehmen und Entwickler, nicht für Verbraucher. In den privaten Tarifen ist OpenAI selbst Verantwortlicher; die Datenschutzerklärung für Europa nennt dafür die OpenAI Ireland Limited.
| Tarif | Rolle von OpenAI | AV-Vertrag (DPA) | Vertragspartner für Kunden im EWR |
|---|---|---|---|
| Free, Go, Plus, Pro | Verantwortlicher | Nein; es gilt die Datenschutzerklärung | OpenAI Ireland Limited als Verantwortlicher |
| ChatGPT Business | Auftragsverarbeiter | Ja, als Teil des Services Agreement | OpenAI Ireland Ltd. |
| ChatGPT Enterprise | Auftragsverarbeiter | Ja, als Teil des Services Agreement | OpenAI Ireland Ltd. |
| API | Auftragsverarbeiter | Ja, als Teil des Services Agreement | OpenAI Ireland Ltd. |
Gemessen an diesem Artikel regelt der DPA die Liste der Unterauftragsverarbeiter mit Mitteilung jeder Änderung und 30 Tagen Widerspruchsfrist, Prüfungen höchstens einmal im Jahr, Übermittlungen außerhalb des EWR über Standardvertragsklauseln oder einen Angemessenheitsbeschluss und Rückgabe oder Löschung nach Vertragsende. Die Anlage zu den Datenarten bleibt dagegen allgemein: Sie hängen laut Anlage 1 von Ihrer Nutzung ab und „können“ Namen und Kontaktdaten umfassen. Welche Daten bei Ihnen tatsächlich hineingehen, müssen Sie deshalb selbst festhalten, am besten in Ihrer KI-Richtlinie. Den übrigen Datenschutz rund um ChatGPT erklärt der Artikel ChatGPT im Unternehmen.
Was das bei Biwak bedeutet
| AV-Vertrag | Zum HerunterladenDie Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss 2021/915) mit ausgefüllten Anhängen, für Unternehmen Teil der AGB, ohne Unterschrift. Die TOM stehen in Anhang III, die Unterauftragsverarbeiter in Anhang IV. biwak.ai/avv. |
|---|---|
| Was übermittelt wird | Frage, Kontext, DateiinhalteFür jeden Modellauftrag gehen Eingaben, der benötigte Gesprächskontext und verwendete Dateiinhalte an das Sprachmodell. Die Dateien selbst bleiben im Arbeitsordner auf Ihrem Rechner. |
| Unterauftragsverarbeiter | Benannt, mit einer LückeDie Datenschutzerklärung nennt die Empfänger mit Anschrift, für Modellaufträge die Supabase Pte. Ltd (Singapur, Datenbank in Frankfurt am Main), die Microsoft Ireland Operations Limited (Dublin, gerechnet in der EU-Datenzone von Azure; mit Microsoft besteht dessen AV-Vertrag in der Fassung vom 22. Mai 2026) und für den Ersatzweg die PREM SA (Lugano, Schweiz). Die Rechenpartner hinter Prem, Nebius und TensorX, nennt Prem in seiner Datenschutzerklärung; der AV-Vertrag mit Prem ist noch nicht unterschrieben. Abschnitt 14. |
| Speicherung und Training beim Modellanbieter | Zugesagt, mit AusnahmenEingaben werden laut Anbieter nicht gespeichert und nicht zum Training verwendet. Das steht in dessen Dokumentation; Microsofts AV-Vertrag bindet die Verarbeitung zusätzlich an die Bereitstellung des Dienstes und schließt Profile, Werbung und Marktforschung aus. Bei Microsoft Azure sind sie laut Microsoft weder anderen Kunden noch den Modellherstellern zugänglich; auffällige Anfragen können zur Missbrauchserkennung aber gespeichert und von Menschen geprüft werden, gespeichert in Deutschland. Prem, der Ersatzweg, verpflichtet seine Partner vertraglich, ohne technische Absicherung. |
| Konto und Abrechnung | Anmelde- und VerbrauchsdatenBiwak verarbeitet Anmelde- und Verbrauchsdaten für Zugang, Kontingente und Abrechnung in einer Datenbank in Frankfurt am Main. Auch für die einmaligen 100 Test-Credits ist ein Konto nötig. |
| Diese Website | Hoster als AuftragsverarbeiterVercel Inc., USA, mit Standardvertragsklauseln nach Art. 46 DSGVO; aufgeführt in Abschnitt 9 der Datenschutzerklärung. |
Gemessen am eigenen Maßstab gilt auch für Biwak: Lesen Sie Anhang IV des Vertrags. Dort steht je Unterauftragsverarbeiter, was vertraglich gesichert ist und was nur in dessen Dokumentation steht, und keiner der Modellanbieter hat sich ausdrücklich nach § 203 StGB verpflichtet. Prüfen Sie deshalb weiter genau, welche personenbezogenen Daten Sie in Aufträge geben.
Häufige Fragen
Wir haben ein Formular vom Anbieter bekommen, genügt das?
Prüfen Sie zwei Stellen. Erstens die Anlage: Stehen dort die Datenarten, die bei Ihnen wirklich fließen, oder nur „Nutzungsdaten“? Zweitens die Unterauftragsverarbeiter: Stehen Rechtsträger, Land und Übermittlungsmechanismus je Eintrag da, oder eine Gattungsbezeichnung? Beide Lücken sind häufig, und beide fallen bei einer Prüfung auf.
Was ist beim Biwak-Modellzugang zu prüfen?
Drei Punkte. Zwischen Ihnen und Biwak gilt für Unternehmen unser AV-Vertrag nach den EU-Standardvertragsklauseln, nachzulesen unter biwak.ai/avv; seine Anhänge nennen Maßnahmen und Unterauftragsverarbeiter. Zwischen Biwak und Microsoft gilt Microsofts AV-Vertrag, Fassung 22. Mai 2026. Die Kette steht in Abschnitt 9 und 14 der Datenschutzerklärung: zuerst Microsoft Azure in der EU-Datenzone, ersatzweise die PREM SA mit ihren Rechenpartnern Nebius und TensorX. Und für die Drittlandfrage gilt: Microsoft Ireland Operations Limited in Dublin, wobei die EU-Datenzone laut Microsoft auch EFTA-Staaten wie Norwegen und die Schweiz umfassen kann; PREM SA in der Schweiz mit Angemessenheitsbeschluss; Vercel und Supabase mit Standardvertragsklauseln.
Was, wenn der Anbieter unsere Daten für Verbesserungen nutzen will?
Dann ist er für diese Verarbeitung nicht mehr Auftragsverarbeiter, sondern Verantwortlicher, mit eigener Rechtsgrundlage, eigener Transparenzpflicht und eigener Vereinbarkeitsprüfung. Standardmäßig gehört das im Vertrag ausgeschlossen. Eine Freigabe muss gesondert, bestimmt, rollenklar und technisch durchsetzbar sein; bei Beschäftigtendaten ist eine Einwilligung dafür besonders angreifbar.
Reicht es, wenn der Anbieter „ISO 27001“ vorlegt?
Nein. Ein Zertifikat belegt ein Managementsystem, keine Rechtsgrundlage und keinen Übermittlungsmechanismus. Es ist ein guter Baustein für die Prüfung hinreichender Garantien nach Art. 28 Abs. 1 DSGVO und ersetzt weder Vertrag noch Anlage noch Drittlandprüfung.
Quellen
- Verordnung (EU) 2016/679 (DSGVO), Art. 28
- EDSA: Leitlinien 07/2020 zu Verantwortlichem und Auftragsverarbeiter, Version 2.1
- EDSA: Stellungnahme 22/2024 zu Pflichten beim Einsatz von Auftragsverarbeitern
- Durchführungsbeschluss (EU) 2021/915 (Standardvertragsklauseln nach Art. 28 Abs. 7 DSGVO)
- Durchführungsbeschluss (EU) 2021/914 (Standardvertragsklauseln für Drittlandübermittlungen)
- OpenAI: Data Processing Addendum, gültig seit 1. Januar 2026 (geprüft am 24. September 2026)
- OpenAI: Services Agreement, Geltungsbereich (geprüft am 24. September 2026)
- OpenAI: Datenschutzerklärung für Europa, Stand 24. August 2026, Abschnitt 12
- Biwak: Datenschutzerklärung, Abschnitte 9 und 14
Dieser Text ist keine Rechtsberatung. Er ist die Vorarbeit, die wir für uns selbst machen mussten, mit den Fundstellen, damit Ihre Anwältin nicht bei Null anfängt. Wo eine Frage von Ihren Umständen abhängt, steht es dabei.