Glossareintrag
Wir denken. KI tippt mit.
Auftragsverarbeitung bei KI (der Auftragsverarbeiter heißt in der englischen DSGVO‑Fassung Processor) bedeutet, dass der Anbieter eines KI‑Modells personenbezogene Daten nach Weisung eines Unternehmens verarbeitet, ohne selbst über den Zweck zu entscheiden. Wer eine Kundenmail in ChatGPT, Claude, Gemini oder Copilot einfügt, lässt sie auf den Servern des Anbieters verarbeiten. Der Betrieb bleibt Verantwortlicher, der Anbieter wird Auftragsverarbeiter. Art. 4 Nr. 8 DSGVO definiert ihn als Stelle, „die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet“.
Der Vertrag dazu heißt Auftragsverarbeitungsvertrag (kurz AVV, auch AV‑Vertrag). Die KI‑Anbieter nennen ihn Data Processing Addendum oder Data Processing Agreement (DPA), in den deutschen Fassungen „Zusatz zur Datenverarbeitung“ (OpenAI), „Zusatz zur Verarbeitung von Cloud‑Daten“ (Google) oder „Nachtrag zum Datenschutz“ (Microsoft). Art. 28 Abs. 3 DSGVO schreibt ihn vor, sobald ein Dritter personenbezogene Daten im Auftrag verarbeitet, und legt seinen Mindestinhalt fest. Die Schriftform ist nach Abs. 9 erfüllt, „was auch in einem elektronischen Format erfolgen kann“. Ein Klick auf „Ich stimme zu“ im Geschäftstarif reicht, ein unterschriebener Ausdruck ist nicht nötig.
Die Auftragsverarbeitung endet dort, wo der Anbieter die Eingaben für eigene Zwecke nutzt. Der Landesdatenschutzbeauftragte Baden‑Württemberg setzt die Grenze in seinem Diskussionspapier zu Rechtsgrundlagen beim KI‑Einsatz dort an, wo eingegebene Daten „auch der Verbesserung der Anwendung zugutekommen und die Verarbeitung damit auch den eigenen Zwecken des Anbieters dient“. Trainiert der Anbieter mit den Eingaben, ist er für diesen Teil selbst Verantwortlicher (Art. 28 Abs. 10 DSGVO), und kein AVV deckt das ab. Die großen Anbieter schließen den AVV nur für Geschäfts- und Organisationskonten, und dort schließen sie das Training mit Eingaben aus. Für Privatkonten gibt es ihn nicht. Maßgeblich ist das Konto, nicht der Preis. Microsofts Copilot Chat liefert den Schutz laut Anbieter für Geschäftskonten ohne Aufpreis. Ein bezahltes ChatGPT Plus bleibt dagegen ein Privatkonto ohne AVV.
Verantwortlicher ist, wer festlegt, warum und wie verarbeitet wird. Der Europäische Datenschutzausschuss hält in seinen Leitlinien zu Verantwortlichem und Auftragsverarbeiter fest, dass Entscheidungen über den Zweck „eindeutig immer Sache des Verantwortlichen“ sind. Der Auftragsverarbeiter darf über nicht wesentliche Mittel entscheiden, also über Hardware, Software und Sicherheitsdetails. Auf KI übertragen bestimmt der Handwerksbetrieb, dass ein Angebot formuliert wird. Der Anbieter bestimmt, auf welchen Servern das KI-Modell rechnet. Die Datenschutzkonferenz der deutschen Aufsichtsbehörden schreibt in ihrer Orientierungshilfe zu Künstlicher Intelligenz und Datenschutz, der externe Anbieter einer Cloud‑KI agiere „als verlängerter Arm im Auftrag des Verantwortlichen“. Dann bestehe „häufig ein Auftragsverarbeitungsverhältnis gemäß Art. 28 f. DS‑GVO“. Der Bundesbeauftragte für den Datenschutz ergänzt in seiner Handreichung zu KI in Behörden vom Dezember 2025 die Gegenseite. Verwendet die externe Stelle die Daten „außerdem zu eigenen Zwecken wie beispielsweise dem Training des KI‑Modells“, ist sie „für diese Verarbeitungstätigkeiten verantwortlich“. Die Handreichung richtet sich an Bundesbehörden. Verantwortlicher und Auftragsverarbeiter sind darin dieselben DSGVO‑Begriffe wie im Betrieb.
Art. 28 Abs. 3 DSGVO nennt den Mindestinhalt des Vertrags. Jeder AVV eines KI‑Anbieters lässt sich an dieser Liste gegenprüfen:
Wer keinen fertigen Vertrag vom Anbieter bekommt, kann die Standardvertragsklauseln der EU‑Kommission für die Auftragsverarbeitung aus dem Durchführungsbeschluss (EU) 2021/915 nutzen oder die Mustervertragsanlage aus den Bitkom‑Praxisleitfäden zur Auftragsverarbeitung (Leitfaden Version 1.2, November 2025). Beide sind freiwillig. Die Klauseln aus 2021/915 regeln nur das Verhältnis zum Auftragsverarbeiter, nicht die Übermittlung in ein Drittland. Dafür gibt es die getrennten Standardvertragsklauseln aus dem Beschluss 2021/914. Die KI‑Anbieter binden diese Transfer‑Klauseln in ihre Verträge ein. Die Art.‑28‑Klauseln aus 2021/915 nutzen sie nicht. Sie schreiben eigene DPA‑Texte.
Die Anbieter setzen die Pflicht unterschiedlich um. Bei allen hängt der AVV am Vertragsmodell, nicht am Produktnamen. Der Hamburgische Datenschutzbeauftragte schreibt in seiner Checkliste zum Einsatz LLM‑basierter Chatbots über den Widerspruch gegen das Training. „Teilweise muss dafür ein spezifisches Vertragsmodell gebucht werden, das sich von der kostenfreien Standardanwendung unterscheidet.“ Für den AVV gilt dasselbe. Stand September 2026:
Ein AVV regelt vier Dinge nicht, die in der Praxis mit ihm verwechselt werden. Erstens die Rechtsgrundlage des Betriebs selbst. Der AVV erlaubt dem Anbieter die Verarbeitung im Auftrag. Ob der Betrieb die Kundendaten überhaupt in eine KI geben darf, entscheidet Art. 6 DSGVO. Zweitens den Drittlandtransfer. Ob Daten in die USA dürfen, hängt am EU‑US Data Privacy Framework oder an den Standardvertragsklauseln aus 2021/914. Das Gericht der Europäischen Union hat den Angemessenheitsbeschluss am 3. September 2025 im Verfahren T‑553/23 bestätigt. Das Rechtsmittel läuft beim EuGH unter C‑703/25 P. Im Teilnehmerverzeichnis des Data Privacy Framework stehen Google und Microsoft, OpenAI und Anthropic dagegen nicht. Beide stützen ihre Verträge allein auf die Standardvertragsklauseln. Drittens die Datenresidenz, also den Ort der Verarbeitung, den die Anbieter als eigene Option verkaufen. Viertens die Speicherdauer während der Nutzung. Der AVV verlangt die Löschung nach Vertragsende. Was in der Zwischenzeit auf den Servern liegt, regeln die Aufbewahrungsfristen des Anbieters und gegebenenfalls eine Zero‑Data‑Retention‑Zusage. Anthropic verlangt für seine Covered Models wie Claude Fable 5.1 grundsätzlich auch mit einer solchen Zusage mindestens 30 Tage Speicherung.
Auch der EU AI Act ersetzt den AVV nicht. Art. 2 Abs. 7 der KI‑Verordnung lässt die DSGVO ausdrücklich unberührt, und die Betreiberpflichten in Art. 26 gelten nur für Hochrisiko‑Systeme. Ein Betrieb, der mit ChatGPT Angebote schreibt, fällt nicht darunter. Den AVV benötigt er trotzdem.
Der Bußgeldrahmen für einen fehlenden oder lückenhaften AVV steht in Art. 83 Abs. 4 DSGVO. Er reicht bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Viele Ratgeberseiten nennen 20 Millionen und 4 Prozent. Dieser höhere Rahmen aus Abs. 5 gilt erst, wenn auch die Rechtsgrundlage fehlt. Die Hamburger Aufsichtsbehörde verhängte laut heise‑Bericht über das erste AVV‑Bußgeld mit Bescheid vom 17. Dezember 2018 gegen ein kleines Versandunternehmen 5.000 Euro, weil der Vertrag mit einem Postdienstleister fehlte. Der Bundesbeauftragte für den Datenschutz verhängte am 3. Juni 2025 gegen Vodafone zwei Geldbußen über zusammen 45 Millionen Euro. Laut Pressemitteilung des BfDI zur Geldbuße gegen Vodafone entfielen 15 Millionen Euro darauf, dass das Unternehmen seine Partneragenturen als Auftragsverarbeiter „nicht im ausreichenden Umfang datenschutzrechtlich überprüft und überwacht hatte“ (Art. 28 Abs. 1 DSGVO). Das Bußgeld traf die fehlende Kontrolle, nicht einen fehlenden Vertrag. Ein Bußgeld gegen einen Betrieb, der eine KI ohne AVV genutzt hat, ist bis September 2026 nicht veröffentlicht.
Der Zentralverband des Deutschen Handwerks schreibt in seinem Praxis‑Leitfaden „Datenschutz bei künstlicher Intelligenz“: „Wird ein KI‑Tool eines Drittanbieters verwendet, muss ein sog. Datenschutz‑Auftragsverarbeitungsvertrag (AV) geschlossen werden.“ Direkt dahinter steht, dass bei großen Anbietern „i. d. R. die Nutzungsbestimmungen bereits die erforderliche AV“ enthalten. Der Leitfaden verlangt außerdem dienstliche Geräte statt privater, kostenpflichtige Versionen mit Kontrolle über die Datennutzung und so wenig personenbezogene Daten wie möglich. Fünf Fälle aus dem Betriebsalltag:
Ein Betrieb mit drei bis zwanzig Beschäftigten bekommt den AVV mit dem Geschäftstarif. ChatGPT Business, Claude for Work, Google Workspace mit Gemini und Microsoft Copilot liefern ihn als Teil der Bedingungen mit, bei OpenAI lässt er sich zusätzlich per Online‑Formular abschließen. Die Datenschutzkonferenz empfiehlt in ihrer Orientierungshilfe, Mitarbeiterkonten bei der Einrichtung so voreinzustellen, „dass keine Eingabedaten zu Trainingszwecken verarbeitet werden“. Kontonamen sollen keine Namen einzelner Beschäftigter enthalten, und wo eine E‑Mail‑Adresse abgefragt wird, gehört eine Funktionsadresse des Betriebs hinein. Welche Anbieter ihren Vertragspartner in der EU haben, zeigt der Vergleich von zwölf ChatGPT‑Alternativen. Was der Business‑Tarif jenseits des AVV enthält, steht im Artikel zu ChatGPT Business Premium.
Sieben Prüfpunkte für den Anbieter‑AVV, ohne Jurist:
Hat ein Betrieb schon monatelang Kundendaten in ein Privatkonto getippt, schaltet er zuerst das Training in den Einstellungen ab und löscht die alten Verläufe. Bei ChatGPT verschwinden gelöschte Gespräche innerhalb von 30 Tagen. Dann den Geschäftstarif buchen und den AVV abschließen, die Nutzung ins Verzeichnis eintragen und eine kurze Betriebsanweisung erlassen, welche Daten in welches Tool dürfen. Ob eine Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO nötig ist, hängt davon ab, ob Daten unbefugt offengelegt wurden. Das klärt der Datenschutzbeauftragte, bei kleinen Betrieben ohne eigenen Beauftragten die Handwerkskammer.
Auch der eigene Dienstleister fällt unter Art. 28. Handwerkersoftware, Lohnbüro und Steuerberater rüsten KI‑Funktionen nach und werden damit selbst zum Auftraggeber eines KI‑Anbieters. Für den Betrieb entsteht eine Kette von Unterauftragsverarbeitern, für die Art. 28 Abs. 2 und 4 DSGVO gelten. Der Dienstleister benötigt die Genehmigung des Betriebs und haftet für seinen Subunternehmer. Dasselbe gilt für den Voice Agent am Telefon. Der Hamburgische Datenschutzbeauftragte beschreibt in seinem Tätigkeitsbericht 2025 den KI‑Telefonassistenten einer Arztpraxis. Die Praxis ist verantwortlich und schließt den AVV mit dem Anbieter, und der Anbieter darf die Daten der Anrufer „nicht ohne Weiteres zu eigenen Zwecken, z. B. zum Training der eigenen KI, einsetzen“. Für den Malerbetrieb, dessen KI‑Assistent Rückrufe annimmt, gilt das ebenso. Auch der Übersetzer gehört auf die Liste. DeepL Pro nutzt Texte laut seiner Datenschutzerklärung nicht zur Verbesserung seiner Dienste und übersetzt Dokumente auf eigener Infrastruktur im EWR. Den AVV gibt es aber nur auf Anfrage beim Vertrieb, und in der Gratisversion trainiert DeepL mit den hochgeladenen Texten.
Wer keine personenbezogenen Daten übergibt, benötigt keinen AVV. Fiktive Beispieldaten, anonymisierte Texte und Fachfragen ohne Kundenbezug fallen nicht unter Art. 28. Auch ein Modell mit offenen Gewichten auf dem eigenen Rechner fällt nicht darunter, weil kein Dritter beteiligt ist. Wer dagegen seine Kundenakten oder das Angebotsarchiv per RAG an einen Cloud‑Dienst anbindet, übergibt dem Anbieter nicht einzelne Eingaben, sondern den ganzen Bestand. Für diesen Aufbau hat die Datenschutzkonferenz im Oktober 2025 eine eigene Orientierungshilfe zu generativer KI mit RAG‑Methode veröffentlicht.
