KI-Vertrag zur Datenverarbeitung: Was zur Prüfung vorbereiten?

Das Problem

Ein KI-Anbieter schickt Ihnen zusätzlich zu den Nutzungsbedingungen ein weiteres Dokument: einen Vertrag zur Datenverarbeitung, in der Schweiz oft «Auftragsbearbeitungsvertrag», in der EU «Auftragsverarbeitungsvertrag» genannt. Er enthält Begriffe wie «Verantwortlicher», «Unterauftragsbearbeiter» und «technische und organisatorische Massnahmen». Sie sollen unterschreiben.

Auftragsbearbeitung bedeutet: Ein Dienstleister bearbeitet Personendaten im Auftrag Ihres Betriebs, zum Beispiel Kundennamen in einem KI-Werkzeug. Das Datenschutzgesetz verlangt in solchen Fällen bestimmte Vorkehrungen. Fehlt eine saubere Regelung, bleibt Ihr Betrieb für den Umgang mit den Daten verantwortlich.

Sie sind keine Juristin und müssen es nicht sein. Ihre Aufgabe ist, die Fakten zusammenzutragen, damit eine Fachperson den Vertrag sinnvoll prüfen kann. Das spart Zeit und Kosten und verhindert, dass wichtige Punkte übersehen werden.

So lösen Sie es mit KI – Schritt für Schritt

1. Klären Sie, ob überhaupt Personendaten fliessen. Namen, E-Mail-Adressen, Kundennummern, Gesundheitsangaben, Bewerbungsunterlagen? Bleiben die Eingaben frei von Personendaten, ist ein solcher Vertrag möglicherweise nicht nötig. Das entscheidet die Fachprüfung.
2. Beschreiben Sie den Einsatz. Wer nutzt das Werkzeug, wofür, wie oft, mit welchen Daten? Schreiben Sie das in einer halben Seite auf, in Alltagssprache.
3. Sammeln Sie die Unterlagen. Vertrag zur Datenverarbeitung, Nutzungsbedingungen, Datenschutzerklärung des Anbieters, Liste der Unterauftragnehmer, Angaben zum Speicherort, Sicherheitsbeschreibung. Alles in einem Ordner.
4. Markieren Sie Auffälliges. Lesen Sie den Vertrag und unterstreichen Sie, was Sie nicht verstehen oder was Ihnen komisch vorkommt, zum Beispiel Datenverwendung für eigene Zwecke des Anbieters oder Weitergabe an Dritte.
5. Lassen Sie sich Begriffe von einer KI erklären. Fügen Sie einzelne Klauseln ohne Namen und Betriebsdaten ein und lassen Sie sie in einfache Sprache übersetzen. Die Erklärung dient dem Verstehen, nicht der Beurteilung.
6. Stellen Sie Fragen an den Anbieter. Was geschieht mit den Daten bei Kündigung? Werden Eingaben für das Training verwendet? Wo werden sie gespeichert? Weitere Fragen: KI-Anbieter: Fragen zum Datenschutz.
7. Übergeben Sie das Paket an die Fachperson. Datenschutzverantwortliche, Anwältin oder externe Beratung prüft den Vertrag rechtlich. Geben Sie ihr Ihre Notizen, Fragen und Unterlagen mit, und unterschreiben Sie erst danach.

Vorlage zum Kopieren

Mit einer KI können Sie Klauseln verständlich machen und ein Informationsblatt für die Fachprüfung vorbereiten. Fügen Sie keine echten Vertragsparteien oder Personendaten ein:

Ich bereite die Prüfung eines Datenverarbeitungsvertrags mit einem KI-Anbieter vor.
Erkläre mir die folgende Klausel in einfacher Sprache und nenne drei Fragen, die ich
dem Anbieter oder der Fachperson dazu stellen sollte:
[Klausel ohne Namen und vertrauliche Angaben einfügen]
Erstelle ausserdem ein Informationsblatt mit diesen Rubriken für unsere Fachprüfung:
Zweck der Datenverarbeitung, Arten von Daten, betroffene Personengruppen,
Speicherort, Unterauftragnehmer, Zugriff, Sicherheitsmassnahmen, Verwendung für Training,
Rückgabe oder Löschung bei Vertragsende, offene Fragen.
Beurteile nicht, ob die Klausel rechtlich zulässig ist.

Verwenden Sie die Erklärungen zum Verstehen und lassen Sie die rechtliche Einschätzung von einer Fachperson vornehmen.

Informationsblatt für die Fachprüfung

Worauf Sie achten müssen

• Keine Rechtsberatung durch KI. Eine KI kann Texte erklären, aber nicht zuverlässig beurteilen, ob ein Vertrag den Anforderungen entspricht. Sie kann Fehler machen oder Regeln erfinden.
• Gesetzesgrundlage kennen. Das Schweizer Datenschutzgesetz regelt unter anderem die Bearbeitung durch Auftragsbearbeiter und die Bekanntgabe ins Ausland (DSG). Für Einzelfragen ziehen Sie eine Fachperson bei. Bei EU-Bezug kann zusätzlich die DSGVO relevant sein.
• Keine vertraulichen Daten für die Erklärung. Entfernen Sie Namen, Preise und Vertragsnummern, bevor Sie Klauseln in ein KI-Werkzeug kopieren.
• Mündliche Zusagen reichen nicht. Was der Anbieter zusagt, muss im Vertrag oder in den verbindlichen Unterlagen stehen.
• Prüfung bei Änderungen wiederholen. Wenn der Anbieter Unterauftragnehmer wechselt oder Bedingungen ändert, sollte die Prüfung angepasst werden. Informationen des EDÖB zu KI und Datenschutz: edoeb.admin.ch.

Wie unterscheiden sich Schweizer und EU-Begriffe?

Die Schweiz spricht von Auftragsbearbeitung, die EU von Auftragsverarbeitung. Gemeint ist ähnlich, die genauen Anforderungen unterscheiden sich im Einzelfall. Für Schweizer KMU mit EU-Kundschaft kann beides gelten. Lassen Sie das fachlich klären. Hintergrund bietet Auftragsverarbeitung erkennen und Unterauftragsverarbeiter bei KI.

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: Frau Müller koordiniert in einer Treuhandfirma in Zug die Einführung eines KI-Textwerkzeugs. Der Anbieter sendet einen Datenverarbeitungsvertrag mit 14 Seiten. Der Geschäftsführer sagt: «Unterschreib einfach, das ist Standard.»

Vorher hätte sie unterschrieben. Nachher beschreibt sie den Einsatz, sammelt die Unterlagen, markiert drei unklare Klauseln und füllt das Informationsblatt aus. Die Anwältin prüft den Vertrag in kürzerer Zeit und weist auf eine Klausel zur Datenverwendung hin. Der Anbieter ändert den Text, und erst dann wird unterschrieben.

So hilft Ihnen Alpasana

Alpasana unterstützt bei KI-Beratung und digitaler Transformation: von der Aufnahme der Prozesse über Einsatzregeln bis zur dokumentierten Umsetzung. Das hilft, Einsatz und Datenflüsse zu beschreiben, bevor die Fachprüfung beginnt.

Die rechtliche Beurteilung eines Vertrags gehört in die Hände einer Fachperson. Alpasana bietet an dieser Stelle keine Rechtsberatung an.

Häufige Fragen

Muss ich so einen Vertrag immer abschliessen?

Das hängt davon ab, ob Personendaten im Auftrag bearbeitet werden und wer wofür verantwortlich ist. Klären Sie das mit Ihrer Datenschutzverantwortlichen oder einer Fachperson.

Kann ich die Standardbedingungen des Anbieters ändern?

Bei grossen Anbietern oft nicht, bei kleineren manchmal. Fragen Sie nach. Wenn Sie nicht verhandeln können, bewerten Sie, ob die Bedingungen für Ihren Einsatz tragbar sind, oder wählen Sie einen anderen Anbieter.

Was bedeutet «Standardvertragsklauseln»?

Das sind vorformulierte Vertragsbausteine für Datenübermittlungen ins Ausland. Eine Erklärung bietet Standardvertragsklauseln bei KI.