Datenschutz beim KI-Anbieter: Fragen vor dem Vertragsabschluss

Kurz gesagt: Fragen Sie nach den Datenwegen des konkreten Angebots und lassen Sie wichtige Antworten schriftlich belegen. Prüfen Sie Verarbeitung, Training, Zugriff und Löschung getrennt, bevor Ihr Betrieb den Einsatz freigibt.

Das Problem

Auf der Angebotsseite steht «sicher» oder «für Unternehmen», doch Sie wissen weiterhin nicht, wo Eingaben landen. Auch ein freundliches Verkaufsgespräch klärt nicht automatisch, welche Daten gespeichert werden und wer darauf zugreifen kann. Vor dem Vertragsabschluss brauchen Sie verständliche Antworten auf Ihren konkreten Einsatz.

Eine Datenschutz-Checkliste hilft, Fragen vollständig und nachvollziehbar zu stellen. Sie ersetzt keine Vertragsprüfung, macht aber offene Punkte sichtbar. Wichtig ist, dass sich Antworten auf das gewählte Produkt, den Tarif und die tatsächlich verwendeten Funktionen beziehen.

So lösen Sie es mit KI – Schritt für Schritt

1. Beschreiben Sie den vorgesehenen Einsatz. Öffnen Sie eine Tabelle und nennen Sie Aufgabe, Datenarten und beteiligte Rollen. Verwenden Sie Beschreibungen statt echter Inhalte. Der Anbieter kann nur passend antworten, wenn klar ist, ob es um allgemeine Textentwürfe, Kundendokumente oder Verbindungen zu bestehenden Systemen geht.
2. Fragen Sie nach Zweck und Datenumfang. Lassen Sie erläutern, welche Eingaben, Ausgaben und Nutzungsinformationen verarbeitet werden. Nutzungsinformationen sind beispielsweise Angaben über Zugriffe und Vorgänge im Dienst. Fragen Sie getrennt nach Bereitstellung der Funktion, Missbrauchskontrolle und möglicher Weiterentwicklung des Modells. Diese Zwecke dürfen im Vergleich nicht vermischt werden.
3. Klären Sie Speicherung und Datenorte. Fragen Sie, welche Inhalte wie lange aufbewahrt werden und wo Verarbeitung stattfindet. Lassen Sie auch Sicherungskopien und technische Protokolle erklären. Ein genannter Unternehmenssitz sagt allein noch nicht, in welchen Ländern Daten verarbeitet werden oder wer aus anderen Ländern darauf zugreifen kann.
4. Ermitteln Sie beteiligte Stellen. Fragen Sie nach Dienstleistern, die der Anbieter seinerseits einsetzt; diese werden oft Unterauftragnehmer genannt. Lassen Sie Aufgaben, relevante Datenorte und Änderungsinformationen benennen. Die zuständige Fachperson beurteilt, welche Vereinbarungen und Schutzmassnahmen für den vorgesehenen Datenweg erforderlich sind.
5. Prüfen Sie Kontrollen und Rechte. Fragen Sie nach Zugriffsverwaltung, betrieblich steuerbaren Einstellungen und Unterstützung bei Auskunft oder Löschung. Klären Sie, wer bei einem Vorfall informiert wird und welche Kontaktwege bestehen. Bitten Sie um nachvollziehbare Unterlagen statt einer allgemeinen Zusicherung, alles sei geschützt.
6. Lassen Sie Antworten auf Lücken prüfen. Geben Sie einer freigegebenen KI eine bereinigte Zusammenfassung der bestätigten Antworten. Sie kann fehlende Angaben oder Widersprüche markieren und Rückfragen formulieren. Vertrauliche Vertragsunterlagen dürfen dafür nur verwendet werden, wenn diese Verarbeitung selbst freigegeben ist. Die fachliche Bewertung bleibt bei der zuständigen Stelle.
7. Halten Sie Freigabebedingungen fest. Führen Sie jede wichtige Frage mit Antwort, Nachweis und Prüfstatus. Lassen Sie offene Punkte vor dem entsprechenden Einsatz klären. Dokumentieren Sie, welche Einstellungen und Funktionen Bestandteil der Freigabe sind und bei welchen Änderungen eine erneute Prüfung notwendig wird.

Vorlage zum Kopieren

Fragen an [Anbieter] zum Angebot [Produkt, Tarif, Funktionen]
Geplante Aufgabe: [Beschreibung]
Vorgesehene Datenarten: [Kategorien ohne echte Inhalte]
Bitte beantworten Sie schriftlich:
Welche Eingaben, Ausgaben und Nutzungsinformationen verarbeiten Sie?
Zu welchen Zwecken und für welche Dauer werden sie gespeichert?
Werden Inhalte zum Modelltraining verwendet, und welche Regeln gelten?
Welche Dienstleister und Verarbeitungsländer sind beteiligt?
Wer kann auf Inhalte zugreifen und wie wird der Zugriff begrenzt?
Wie funktionieren Auskunft, Export, Löschung und Vertragsbeendigung?
Welche Ausnahmen gelten für Protokolle oder Sicherungskopien?
Wie informieren Sie über Änderungen und relevante Vorfälle?
Bitte nennen Sie jeweils die verbindliche Unterlage und ihren Stand.

Ergänzen Sie den genauen Angebotsnamen und lassen Sie die Fragen durch Ihre zuständige Datenschutz- oder Vertragsfachperson anpassen.

Wie unterscheiden Sie Antwort und Nachweis?

Speichern Sie die Antworten zusammen mit den geprüften Unterlagen. Wenn später ein neues Teammitglied die Entscheidung nachvollziehen muss, genügt eine Erinnerung an ein Verkaufsgespräch nicht. Ein kurzer Prüfvermerk sollte erkennen lassen, welche offene Frage wie geklärt wurde und wer den Einsatz freigegeben hat.

Worauf Sie achten müssen

• Bei einer Auftragsbearbeitung, also Verarbeitung durch einen Dienstleister für Ihren Betrieb, bleibt betriebliche Verantwortung bestehen. Der EDÖB erläutert diesen Grundsatz.
• Internationale Datenwege und besondere Datenarten benötigen eine passende fachliche Prüfung. Leiten Sie aus einem Standortversprechen keine pauschale rechtliche Zulässigkeit ab.
• KI-Zusammenfassungen von Bedingungen können Einschränkungen auslassen. Prüfen Sie entscheidende Aussagen in den Originalunterlagen und verlangen Sie bei Widersprüchen eine Klärung.
• Ein Vertrag ersetzt nicht die korrekte Einstellung und Anwendung. Stellen Sie sicher, dass die freigegebenen Bedingungen auch im tatsächlich verwendeten Zugang umgesetzt sind.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Dienstleistungsbetrieb in Basel prüft ein KI-Werkzeug für interne Dokumente. Frau Müller erhält zunächst die Antwort, Eingaben würden nicht zum Training verwendet. Ihre Checkliste enthält jedoch getrennte Fragen zu Speicherung, Supportzugriffen und beteiligten Dienstleistern.

Der Betrieb fragt diese Punkte schriftlich nach und legt die Antworten der zuständigen Fachperson vor. Erst nach der Klärung wird über den konkreten Einsatz entschieden. Die zusätzliche Prüfung verhindert, dass eine Aussage über Training versehentlich als vollständige Aussage über sämtliche Datenverarbeitung verstanden wird.

So hilft Ihnen Alpasana

Alpasana unterstützt bei der Aufnahme und Planung digitaler Abläufe. Dadurch lässt sich beschreiben, welche Datenwege und Anforderungen vor einer Umsetzung geklärt werden müssen; Vertragsfragen benötigen die entsprechende Fachprüfung. Das Angebot KI-Beratung und digitale Transformation passt zu diesem Anliegen.

Alpasana nimmt Arbeitsabläufe auf, untersucht sinnvolle KI-Einsatzmöglichkeiten und hilft, Vorhaben zu priorisieren. Daraus kann ein Umsetzungsplan entstehen, der Zuständigkeiten und nächste Schritte nachvollziehbar macht. Bringen Sie dafür eine Beschreibung Ihrer heutigen Arbeit sowie die offenen Fragen aus dieser Anleitung mit.

Häufige Fragen

Muss ich alle Vertragsbegriffe selbst verstehen?

Nein, Sie können die Fragen und Unterlagen vorbereiten. Unklare Begriffe sollten Sie in Alltagssprache erklären lassen. Die rechtliche Bewertung übernimmt eine dafür qualifizierte Person, besonders bei widersprüchlichen oder unvollständigen Angaben.

Genügt die Datenschutzerklärung auf der Website?

Sie ist eine wichtige Informationsquelle, beantwortet aber möglicherweise nicht alle Fragen zum konkreten Geschäftsangebot. Prüfen Sie zusätzlich die vereinbarten Unterlagen und Einstellungen. Entscheidend ist, welche Bedingungen für Ihren Zugang tatsächlich gelten.

Was geschieht bei geänderten Bedingungen?

Legen Sie fest, wer Änderungsmitteilungen prüft und die betroffenen Aufgaben neu bewertet. Wesentliche Änderungen dürfen nicht unbemerkt in einen bisherigen Freigabeentscheid hineinrutschen. Dokumentieren Sie die neue Bewertung mit Datum und Grundlage.

Dazu passen diese Anleitungen: Verwendet der KI-Anbieter unsere Eingaben zum Training? Wie wählen wir einen passenden KI-Anbieter für unser KMU?