Was bringen Standardvertragsklauseln bei KI-Anbietern?

Definition

Standardvertragsklauseln (englisch Standard Contractual Clauses, kurz SCC) sind vorformulierte Vertragsbedingungen für die Weitergabe von Personendaten in ein Land ohne anerkannt gleichwertiges Datenschutzniveau. Wer Daten übermittelt, vereinbart mit dem Empfänger diese Klauseln und verpflichtet ihn damit zu bestimmten Schutzstandards. In der EU hat die Kommission solche Klauseln herausgegeben. Das Schweizer Datenschutzgesetz kennt Standarddatenschutzklauseln ebenfalls als mögliche Grundlage für Übermittlungen ins Ausland, sofern sie vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) anerkannt sind. Der EDÖB hat dazu Hinweise veröffentlicht.

Einfach erklärt

Stellen Sie sich vor, Sie vermieten Ihr Ferienhaus an jemanden im Ausland. Sie kennen dessen Land und Gesetze nicht genau. Deshalb unterschreibt die Mieterin einen Standardvertrag, der festlegt: Wie mit dem Haus umzugehen ist, was sie nicht darf und was bei Schäden passiert. Das gibt Ihnen eine vertragliche Sicherheit, aber keine Garantie, dass sich alle daran halten.

Bei KI-Diensten ist das ähnlich: Der Anbieter sitzt oder verarbeitet Daten in einem anderen Land, etwa in den USA. Die Klauseln regeln, wie er mit Ihren Daten umgehen muss.

Beispiel

Ein Beispiel: Ein Reisebüro in Interlaken nutzt einen KI-Dienst, dessen Server teilweise in einem Drittland stehen. Der Anbieter sendet einen Vertragsanhang mit Standardvertragsklauseln zur Unterschrift. Die Inhaberin prüft, ob die richtige Fassung verwendet wird, ob Anhänge zu Datenarten und Sicherheitsmassnahmen ausgefüllt sind und ob der Anbieter angibt, wo genau die Daten liegen. Offene Punkte klärt sie schriftlich und fragt eine Datenschutzfachperson, ob zusätzliche Massnahmen wie Verschlüsselung oder Datenminimierung nötig sind.

Nicht verwechseln

Standardvertragsklauseln sind nicht dasselbe wie ein Auftragsverarbeitungsvertrag, auch wenn beide oft im selben Dokument stehen. Der Auftragsverarbeitungsvertrag regelt die Zusammenarbeit zwischen Ihnen und dem Dienstleister, siehe Auftragsverarbeitung bei KI erkennen. Die Klauseln betreffen die Übermittlung in ein anderes Land. Für die USA gibt es ausserdem besondere Regelungen, Näheres unter Datentransfer in die USA, und zur Risikobewertung hilft das Transfer Impact Assessment. Rechtliche Einzelfragen beantwortet eine Fachperson.

So hilft Ihnen Alpasana

Wer im Betrieb KI-Dienste auswählt, sollte Datenschutzgrundlagen kennen. Die KI-Weiterbildung für Unternehmen von absofort behandelt laut Beschreibung Schweizer Praxisbezug und Datenschutz als Lerninhalte sowie den verantwortungsbewussten Umgang mit Unternehmensdaten. Eine Prüfung konkreter Verträge ersetzt sie nicht.