Auftragsverarbeitungsvertrag für KI: Was muss ich prüfen?

Das Problem

Der KI-Anbieter schickt einen langen Vertrag mit dem Kürzel AVV. Frau Müller soll ihn ablegen und den Dienst für das Team freigeben. Beim Lesen findet sie jedoch Verweise auf weitere Dokumente, einen wechselnden Kreis von Unteranbietern und unterschiedliche Regeln für verschiedene Angebote.

AVV bedeutet meist Auftragsverarbeitungsvertrag; in der Schweiz spricht man von Auftragsbearbeitung. Gemeint ist eine Datenbearbeitung im Auftrag eines anderen. Der Vertrag ist wichtig, aber seine Überschrift allein beweist weder, dass die Rollen richtig eingeordnet sind, noch dass die geplante Nutzung vollständig abgedeckt ist.

So lösen Sie es mit KI – Schritt für Schritt

1. Identifizieren Sie die Vertragsparteien. Notieren Sie die genaue Firma des Anbieters und Ihre eigene Vertragspartei. Prüfen Sie, ob der Vertrag für den gebuchten Arbeitsbereich und die verwendete Funktion gilt. Ein Dokument für eine technische Schnittstelle deckt nicht zwangsläufig ein anderes Chatangebot ab.

1. Vergleichen Sie den Auftrag mit Ihrem Zweck. Schreiben Sie daneben, welche Aufgabe der Anbieter für Sie erledigen soll und welche Datenarten betroffen sind. Markieren Sie Klauseln, die eigene Zwecke des Anbieters vorsehen. Fragen Sie, welche Rolle der Anbieter dafür beansprucht und was dies für Ihren Einsatz bedeutet.

1. Suchen Sie nach Weisungen und Vertraulichkeit. Weisungen sind verbindliche Vorgaben zur Bearbeitung in Ihrem Auftrag. Prüfen Sie, wie Sie diese erteilen können und welche Beschäftigten des Anbieters Zugang erhalten. Notieren Sie unklare Formulierungen als konkrete Rückfrage statt als blosses «Datenschutzproblem».

1. Erfassen Sie die weiteren Dienstleister. Suchen Sie die Liste der Unterauftragnehmer und ihre Aufgaben. Fragen Sie, wie Änderungen angekündigt werden und welche Handlungsmöglichkeiten Ihr Betrieb hat. Nehmen Sie die Länderfrage getrennt auf; die Seite Datentransfer USA zeigt die Vorbereitung.

1. Prüfen Sie Löschung und Vertragsende. Stellen Sie sich vor, Sie kündigen den Dienst morgen: Wie erhalten Sie benötigte Unterlagen zurück, was wird gelöscht und was bleibt in Sicherungen? Halten Sie belegte Fristen und Ausnahmen fest. Verwechseln Sie die sichtbare Löschung eines Chats nicht mit einer Zusage für sämtliche Kopien.

1. Klären Sie Unterstützung und Kontrolle. Suchen Sie Regeln für Datenpannen, Auskunftsanfragen und Nachweise zur Sicherheit. Fragen Sie nach einem erreichbaren Kontakt und nach geeigneten Prüfunterlagen. Besprechen Sie mit einer Fachperson, ob zugesagte Kontrollrechte und Fristen für Ihren Betrieb praktikabel sind.

1. Erstellen Sie eine offene Punkteliste. Lassen Sie KI nur freigegebene, nicht vertrauliche Auszüge in verständliche Fragen übersetzen. Legen Sie die Liste zusammen mit dem Originalvertrag fachlich vor. Dokumentieren Sie anschliessend, wer die Nutzung für welche Daten und Funktionen freigegeben hat.

Vorlage zum Kopieren

Hilf mir, Vertragsfragen sprachlich zu ordnen.
Geplanter KI-Einsatz: [Beschreibung ohne Personendaten]
Freigegebener Vertragsauszug: [nicht vertraulicher Auszug]
Bekannte offene Punkte: [Liste]
Erstelle eine Tabelle: Aussage im Auszug, Bedeutung in Alltagssprache,
fehlende Information und konkrete Rückfrage an den Anbieter.
Erfinde keine Klauseln. Beurteile den Vertrag nicht abschliessend als rechtskonform.
Trenne klar zwischen Originalaussage und deiner Erklärung.

Ersetzen Sie die Platzhalter durch Ihre geprüften Angaben; verwenden Sie für die KI-Anfrage keine vertraulichen Originalunterlagen.

Worauf Sie achten müssen

• Der EDÖB zur Auftragsdatenbearbeitung betont die fortbestehende Verantwortung des Auftraggebers. Ein Vertrag ersetzt daher nicht die sorgfältige Auswahl und Überprüfung des tatsächlichen Ablaufs.
• Bei Anwendbarkeit der DSGVO sind die Anforderungen aus Artikel 28 zu berücksichtigen. Eine Schweizer Vorlage und ein europäisches Muster sollten nicht ungeprüft gleichgesetzt werden.
• Ein ausdrücklicher Ausschluss von Training mit Ihren Daten beantwortet nicht sämtliche Fragen zu Speicherung, Sicherheitskontrollen und Unterauftragnehmern.
• Vertragsunterlagen können selbst vertraulich sein. Laden Sie sie nur in eine dafür freigegebene Umgebung oder verwenden Sie Ihre eigenen allgemein formulierten Rückfragen.
• Lassen Sie offene Rechtsfragen anhand Ihres konkreten Falls fachlich prüfen. Eine KI kann Informationen ordnen, aber auch Regeln, Quellen und Schlussfolgerungen erfinden.

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: Ein Handelsbetrieb in Zug möchte Anfragen zusammenfassen lassen. Frau Müller erhält einen Vertrag, dessen Anlagen einen anderen Produktnamen nennen als die bestellte Lösung. Bisher wäre das Dokument lediglich unter «Datenschutz erledigt» abgelegt worden.

Sie fragt nach der Zuordnung und erstellt eine Tabelle der offenen Punkte. Anbieter und zuständige Fachperson klären, welche Bedingungen für die geplante Nutzung gelten. Vor dem Start werden die freigegebenen Funktionen festgehalten. Das Team erhält damit eine konkrete Arbeitsregel statt einer pauschalen Zusicherung, dass irgendein Vertrag vorhanden ist.

So hilft Ihnen Alpasana

Die Online-Weiterbildung von absofort behandelt den verantwortungsvollen Umgang mit Unternehmensdaten und den Einsatz von KI in Verwaltung, Kommunikation und Analyse. Schweizer Praxisbezug und Datenschutz gehören zu den Lerninhalten; bei EU-Bezug wird auch der EU AI Act behandelt. Mitarbeitende lernen im eigenen Tempo und können ihre Abschlüsse verifizieren lassen. Das Angebot finden Sie unter KI-Weiterbildung für Unternehmen.

Die Weiterbildung hilft Ihrem Team, vertraglich festgelegte Grenzen in verständliche Arbeitsregeln zu übertragen und Rückfragen früh zu erkennen. Eine Weiterbildung und ihr Nachweis ersetzen keine rechtliche Einzelfallprüfung und garantieren keine vollständige Erfüllung gesetzlicher Pflichten.

Häufige Fragen

Müssen wir einen Standardvertrag selbst umschreiben?

Nicht zwingend; viele Anbieter arbeiten mit festen Bedingungen. Sie müssen aber prüfen lassen, ob diese für Ihren Einsatz ausreichen, und bei entscheidenden Lücken den Ablauf ändern oder einen anderen Weg wählen.

Reicht ein Sicherheitszertifikat des Anbieters?

Ein Zertifikat kann bestimmte Prüfungen belegen, aber sein Umfang muss verstanden werden. Es beantwortet nicht automatisch, welche Zwecke, Daten und Vertragsrollen für Ihre Anwendung zulässig sind.

Was machen wir nach einem Anbieterwechsel?

Prüfen Sie den neuen Vertrag und den neuen Datenweg erneut. Aktualisieren Sie gegebenenfalls Ihre Datenschutzerklärung, die Freigaben und den Plan zur Löschung beim bisherigen Anbieter.