DSGVO-konforme KI-Auftragsverarbeitung: Was Mittelständler beachten müssen

Kurz gesagt: KI-Auftragsverarbeitung ist DSGVO-konform möglich, wenn drei Bedingungen erfüllt sind: Verarbeitung in der EU bzw. Deutschland, ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO und die vertragliche Zusicherung, dass Ihre Auftragsdaten nicht zum Training öffentlicher KI-Modelle verwendet werden.

Ist KI-Auftragsverarbeitung überhaupt DSGVO-konform?

Ja. Aufträge und Belege enthalten häufig personenbezogene Daten (Ansprechpartner, Adressen). Ihre Verarbeitung durch einen Dienstleister ist eine Auftragsverarbeitung im Sinne der DSGVO – zulässig, sobald die rechtlichen Rahmenbedingungen stimmen. Entscheidend ist nicht, ob KI im Spiel ist, sondern wie die Daten verarbeitet, gespeichert und übertragen werden.

Worauf kommt es konkret an?

• Standort der Verarbeitung: Hosting und Verarbeitung in der EU oder in Deutschland vermeiden die Komplexität von Drittlandübermittlungen.
• Auftragsverarbeitungsvertrag (AVV): Pflicht nach Art. 28 DSGVO; regelt Zweck, Umfang und technisch-organisatorische Maßnahmen (TOM).
• Kein Modelltraining mit Ihren Daten: Ihre Auftragsdaten dürfen nicht in das Training öffentlich zugänglicher Modelle einfließen.
• Zugriffskontrolle & Verschlüsselung: Rollen­konzept, Protokollierung und verschlüsselte Übertragung.
• Löschkonzept: definierte Aufbewahrungs- und Löschfristen.

Müssen Daten in Deutschland bleiben?

Nicht zwingend – die DSGVO erlaubt die Verarbeitung im gesamten EU-/EWR-Raum. Viele Mittelständler bevorzugen dennoch EU- oder DE-Hosting, weil es Drittland-Diskussionen erspart und die interne Akzeptanz erhöht. Eine Verarbeitung außerhalb der EU ist möglich, erfordert aber zusätzliche Garantien (z. B. Standardvertragsklauseln).

Was ist mit personenbezogenen Daten im Auftrag?

Häufig stehen in Aufträgen Namen von Bestellern oder Ansprechpartnern. Diese werden im Rahmen der Auftragsverarbeitung verarbeitet, nicht zu eigenen Zwecken des Dienstleisters. Der AVV stellt sicher, dass der Dienstleister nur weisungsgebunden handelt und die Daten nach Vertragsende löscht oder zurückgibt.

Wie weisen wir Konformität nach?

Im Idealfall liefert der Dienstleister von sich aus: AVV-Vorlage, Übersicht der technisch-organisatorischen Maßnahmen, Angaben zum Hosting-Standort und eine klare Aussage zum Modelltraining. Fehlen diese Punkte, ist Vorsicht geboten.

Wie gehen wir bei Belevo damit um?

Die Verarbeitung erfolgt auf Wunsch vollständig in der EU bzw. in Deutschland, auf Basis eines AVV, und Ihre Auftragsdaten trainieren keine öffentlichen Modelle. Mensch-im-Prozess bedeutet zudem: sensible Ausnahmen werden von Ihren Mitarbeitenden entschieden, nicht automatisch verarbeitet. Die Details klären wir transparent im Erstgespräch.