Auftragsverarbeitungsvertrag (AVV)

Ein Auftragsverarbeitungsvertrag ist die nach Art. 28 DSGVO vorgeschriebene Vereinbarung zwischen Verantwortlichem und Dienstleister, wenn dieser personenbezogene Daten im Auftrag verarbeitet — etwa ein KI-Anbieter, der Originalangaben empfängt.

Der AVV regelt unter anderem Gegenstand und Dauer der Verarbeitung, technische und organisatorische Maßnahmen, Unterauftragsverhältnisse und Löschpflichten. Ohne AVV ist die Weitergabe personenbezogener Daten an einen Dienstleister regelmäßig unzulässig — das ist der Kern des Problems bei Consumer-KI-Diensten: Bei kostenlosen Chat-Versionen besteht üblicherweise kein AVV, bei Business- und Enterprise-Varianten dagegen schon.

Der AVV löst allerdings nur die vertragliche Seite; die Originalangaben liegen weiterhin beim Anbieter, und je nach Sitz des Anbieters bleiben Drittlandtransfer-Fragen zu prüfen. Ein anderer Hebel setzt früher an: Wer nur pseudonymisierte Platzhalter sendet und den Zuordnungsschlüssel lokal behält, entschärft die AVV-Frage für die Dokumentinhalte — nach dem EuGH-Urteil C-413/23 P ist der Personenbezug beim Empfänger dann neu zu bewerten. Beides schließt sich nicht aus: vertraglicher Schutz und technische Datenminimierung lassen sich kombinieren.