Welche Fragen gehören in den Vertrag zur Auftragsverarbeitung?

Das Problem

Ihr Betrieb möchte einen Chatbot auf der Website oder für das interne Wissen einsetzen. Ein Anbieter betreibt ihn: Er stellt die Software bereit, speichert Gespräche und Dokumente und lässt vielleicht ein KI-Modell eines weiteren Unternehmens im Hintergrund arbeiten. Dabei werden Daten bearbeitet, oft auch Personendaten, zum Beispiel Namen, E-Mail-Adressen oder Inhalte von Anfragen.

Bearbeitet ein Dienstleister solche Daten in Ihrem Auftrag und nach Ihren Vorgaben, spricht man von Auftragsbearbeitung (in der EU: Auftragsverarbeitung). Verantwortlich gegenüber den Betroffenen bleiben Sie. Sie müssen sich vergewissern, dass der Dienstleister die Daten sicher behandelt und nur so, wie Sie es erlauben dürfen. Dafür dient ein Vertrag, oft als AVV bezeichnet.

Viele Anbieter legen Standardverträge vor, die sich liest wie Juristensprache. Man unterschreibt, weil alle es tun. Dabei lohnt sich ein genauer Blick: Der Vertrag entscheidet darüber, wer was mit Ihren Chatdaten tun darf, wo sie gespeichert werden und was bei einer Panne geschieht.

So lösen Sie es mit KI – Schritt für Schritt

1. Rollen klären. Wer ist Verantwortlicher (Sie), wer Auftragsbearbeiter (der Anbieter)? Nutzt der Anbieter Ihre Daten auch für eigene Zwecke? Dann ist die Rolle nicht mehr so einfach, und Sie brauchen fachlichen Rat.

1. Datenarten auflisten. Welche Daten fliessen in den Chatbot: Kundenanfragen, Mitarbeiterfragen, Dokumente mit Namen, Gesundheitsangaben? Je sensibler, desto strenger die Prüfung.

1. Vertrag lesen. Lesen Sie den Vertrag und die zugehörigen Anhänge (Beschreibung der Datensicherheit, Liste der Unterauftragnehmer). Markieren Sie, was Sie nicht verstehen.

1. Mit der Checkliste prüfen. Gehen Sie die Fragen unten durch und halten Sie fest: «erfüllt», «unklar» oder «fehlt».

1. KI als Lesehilfe nutzen. Mit der Vorlage unten lassen Sie sich Abschnitte in einfacher Sprache erklären und Rückfragen formulieren. Geben Sie nur Vertragstexte ein, die Sie dafür verwenden dürfen, und keine Personendaten.

1. Rückfragen an den Anbieter stellen. Fragen Sie schriftlich nach unklaren Punkten und bewahren Sie die Antworten auf.

1. Fachliche Prüfung einholen. Bei sensiblen Daten, grossen Projekten oder Abweichungen von Ihren Anforderungen lassen Sie den Vertrag durch eine Fachperson prüfen.

1. Dokumentieren und überprüfen. Legen Sie den Vertrag mit Datum ab, notieren Sie die Zuständigkeit und prüfen Sie ihn bei Änderungen des Dienstes erneut.

Vorlage zum Kopieren

Ich bin Geschäftsführerin eines Schweizer KMU und prüfe den Vertrag zur Datenbearbeitung für einen Chatbot-Anbieter. Erkläre mir den folgenden Vertragsabschnitt in einfacher Sprache und nenne Fragen, die ich dem Anbieter stellen sollte. Du gibst keine Rechtsberatung.

Chatbot-Zweck: [z. B. Kundenfragen auf der Website beantworten]
Daten, die verarbeitet werden: [z. B. Fragen der Kunden, teilweise Name und E-Mail]
Vertragsabschnitt (ohne Namen von Personen):
[Text]

Aufgaben:
1. Erkläre den Abschnitt in höchstens 6 Sätzen für Laien.
2. Nenne, was dieser Abschnitt für mich als Auftraggeber bedeutet.
3. Weise auf Unklarheiten oder mögliche Lücken hin.
4. Formuliere 3 konkrete Rückfragen an den Anbieter.
5. Sage, welche Punkte ich von einer Juristin prüfen lassen sollte.

Regeln: Erfinde keine Gesetzesartikel, Fristen oder Pflichten. Wenn du etwas nicht sicher weisst, sage es.

Setzen Sie nur den Text des Abschnitts ein. Die Antworten der KI ersetzen keine rechtliche Prüfung und können Fehler enthalten.

Worauf Sie achten müssen

• Rechtlicher Rahmen: In der Schweiz regelt das Datenschutzgesetz die Auftragsbearbeitung. Für Personen in der EU kann zusätzlich die DSGVO gelten. Nur gesicherte Grundsätze sind hier genannt, die Einzelfälle prüfen Sie mit Fachleuten.
• Geheimhaltungspflichten: Wenn Ihr Betrieb besonderen Pflichten unterliegt (etwa Berufsgeheimnisse), kann die Übergabe an einen Anbieter eingeschränkt sein. Klären Sie das vorab.
• Unterauftragnehmer: Das KI-Modell stammt oft von einem weiteren Unternehmen. Dieses muss im Vertrag erscheinen, siehe Unterauftragnehmer prüfen.
• Standardverträge: Sie sind für viele Kunden geschrieben. Passen sie nicht zu Ihrem Fall, verhandeln Sie, oder wählen Sie einen anderen Anbieter.
• KI-Erklärungen sind keine Rechtsberatung: Die KI kann Passagen falsch deuten oder Rechtsfolgen erfinden. Verwenden Sie sie nur als Lesehilfe.
• Vertraulichkeit des Vertrags: Verträge enthalten oft vertrauliche Konditionen. Prüfen Sie, ob Sie sie in KI-Dienste eingeben dürfen.
• Änderungen: Anbieter ändern Bedingungen. Legen Sie fest, wie Sie darüber informiert werden und wie Sie reagieren.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Treuhandbüro in Brugg will einen Chatbot für Kundenfragen einsetzen. Der Anbieter schickt einen Vertrag mit einem Anhang zur Datenbearbeitung. Die Büroleiterin kopiert einzelne Abschnitte ohne Namen in die Vorlage und lässt sie erklären.

Dabei fällt ihr auf, dass der Anbieter sich das Recht vorbehält, Daten «zur Verbesserung der Dienste» zu nutzen. Sie fragt nach, ob das Modelltraining einschliesst. Die Antwort: Ja, ausser man schliesst es aus. Zudem fehlt eine Liste der Unterauftragnehmer. Die Büroleiterin bittet um diese Liste und um eine Zusicherung, dass Daten nicht zum Training verwendet werden. Der Anbieter ändert den Vertrag entsprechend. Eine Juristin, die der Verband empfiehlt, liest den Vertrag noch einmal durch, bevor das Büro unterschreibt.

So hilft Ihnen Alpasana

Ob und wie ein Chatbot zu Ihrem Betrieb passt, klärt man am besten vor der Vertragsunterschrift: Anwendungsfall, Pilot und Einsatzregeln. Die KI-Beratung und digitale Transformation der Alpasana GmbH umfasst nach Leistungsbeschreibung die Integration von KI-Agenten mit Anwendungsfall, Pilot, Einsatzregeln und Skalierung sowie das Konzipieren von Schnittstellen und das Verbinden von Systemen. Projekte werden individuell offeriert.

Rechtsberatung zu Verträgen gehört nicht dazu. Dafür wenden Sie sich an eine Fachperson.

Häufige Fragen

Brauche ich immer einen Vertrag zur Auftragsbearbeitung?

Wenn ein Dienstleister in Ihrem Auftrag Personendaten bearbeitet, braucht es klare Regeln, in der Regel in Vertragsform. Ob ein bestimmter Fall darunterfällt, hängt von Daten und Rolle ab. Klären Sie es im Einzelfall.

Genügt es, wenn der Anbieter «DSGVO-konform» schreibt?

Ein solches Etikett ersetzt die Prüfung nicht. Entscheidend sind die konkreten Regeln im Vertrag: Weisungen, Sicherheit, Unterauftragnehmer, Standort, Löschung. Fragen Sie nach Nachweisen.

Was, wenn der Anbieter nicht verhandelt?

Dann entscheiden Sie, ob die Bedingungen für Ihre Daten tragbar sind. Wenn nicht, wählen Sie einen anderen Anbieter oder verzichten Sie auf die Eingabe sensibler Daten. Halten Sie Ihre Entscheidung fest.