Auftragsverarbeitungsvertrag für KI-Tools: was er abdeckt und was nicht

Eine Exportdatei aus dem Shopsystem, mehrere hunderttausend Zeilen mit Namen, Anschriften und Bestellhistorien. Ein Sprachmodell würde diese Tabelle in Minuten durchsehen. Vor dem Hochladen steht allerdings eine Frage, die mit Technik nichts zu tun hat: Gibt es mit diesem Anbieter einen Vertrag, der das trägt?

Wann Du einen AVV brauchst

Wer personenbezogene Daten in Deinem Auftrag verarbeitet, braucht nach Art. 28 DSGVO einen Auftragsverarbeitungsvertrag, kurz AVV. Der Kreis ist größer, als er im Alltag wirkt: die Agentur, das Newslettersystem, das CRM und ebenso jedes KI-Werkzeug, in das Du Kundendaten eingibst. Ohne diesen Vertrag ist die Verarbeitung nicht zulässig.

Was darin geregelt sein muss, gibt Art. 28 Abs. 3 vor: Bindung an Deine Weisungen, Vertraulichkeit des Personals, Sicherheitsmaßnahmen, Regeln für Unterauftragsverarbeiter, Unterstützung bei Auskunfts- und Löschersuchen, Löschung oder Rückgabe am Vertragsende sowie Deine Prüf- und Nachweisrechte.

Ein Teil davon wird häufig überlesen: Nach Art. 28 Abs. 3 lit. a darf der Dienstleister nur auf Deine dokumentierte Weisung verarbeiten, und die Vorschrift nennt die Übermittlung in ein Drittland ausdrücklich mit. Der oft zitierte Satz, ein AVV sage nur, wer verarbeiten darf, und nicht, wo verarbeitet wird, ist in dieser Form falsch.

Ein AVV gilt nie für die ganze Produktpalette

Hier liegt der häufigste Fehler im Arbeitsalltag. Die großen Anbieter haben einen AVV. Er deckt nur nicht alles ab, was sie verkaufen. Maßgeblich ist das Produkt.

Bei Anthropic ist das Data Processing Addendum per Verweis Bestandteil der Commercial Terms: Unterschreiben musst Du dafür nichts. Diese Bedingungen gelten für die Programmierschnittstelle und die kommerziellen Angebote, während für claude.ai als Endkundenprodukt eigene Consumer Terms gelten. Bei OpenAI gehört das Data Processing Addendum ebenfalls zum Geschäftsvertrag und erfasst die Schnittstelle sowie ChatGPT Business und Enterprise. ChatGPT Plus und Pro fallen nicht darunter. Vertragspartei ist in beiden Fällen die jeweilige irische Gesellschaft, solange Du im EWR oder in der Schweiz sitzt.

Damit ist die übliche Bürokonstellation beschrieben: ein Plus-Abo auf dem Dienstrechner, bezahlt aus dem Marketingbudget, und darin die Kundenliste. Für diese Verarbeitung existiert kein Vertrag. Daran ändert auch keine Einstellung im Menü etwas.

Seit 2026 gibt es ein weiteres Addendum, das bei der Suche nach einem Vertrag für Plus oder Pro regelmäßig in die Irre führt: Es gehört zu veröffentlichten ChatGPT Sites und erfasst die Daten, die über eine solche Site hereinkommen. Deine Prompts und Deine hochgeladenen Dateien erfasst es nicht.

Drei Fragen bleiben offen, auch mit Vertrag

Erstens die Übermittlung in Drittländer. Art. 28 erfüllt Art. 28. Ob Daten die EU verlassen dürfen, steht in Kapitel V der DSGVO, Art. 44 und folgende, und dafür braucht es einen eigenen Rechtsgrund: einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Übermittlungen in die USA stützt derzeit das EU-US Data Privacy Framework. Das Gericht der Europäischen Union hat die Klage dagegen am 3. September 2025 abgewiesen (T-553/23, Latombe), beurteilen durfte es dabei nur die Lage zum Erlasszeitpunkt im Juli 2023. Das Rechtsmittel ist beim EuGH anhängig, Aktenzeichen C-703/25 P. Zwei Vorgängerregelungen hat der Gerichtshof bereits gekippt: Safe Harbor 2015, Privacy Shield 2020. Wer eine Verarbeitung heute darauf stützt, sollte sich überlegen, was passiert, wenn der Beschluss fällt.

Ein Beispiel dafür, wie konkret das wird: Das Anthropic-Addendum nennt keinen Verarbeitungsort in der EU. Verarbeitet wird damit außerhalb des EWR, abgesichert über Standardvertragsklauseln. Zulässig ist das. Eine andere Lage als Verarbeitung in Frankfurt bleibt es trotzdem.

Zweitens der Verarbeitungsort als Produkteigenschaft. Ob Deine Anfragen tatsächlich in einem europäischen Rechenzentrum gerechnet werden, musst Du getrennt prüfen und oft getrennt buchen. Bei Google Vertex AI stehen zwei Zusagen nebeneinander, die leicht verwechselt werden: Die eine betrifft den Speicherort ruhender Daten, die andere die Rechenarbeit, also Annahme des Prompts, Inferenz und Erzeugung der Antwort, und diese zweite Zusage gibt es ausschließlich für Standorte in den USA und in der EU. Dazu kommt eine Falle ohne Warnhinweis: Über den globalen Endpunkt gilt keine Residenzzusage. Wer ihn aus dem Beispielcode übernimmt, verliert sie, ohne es zu merken.

Und selbst ein europäisches Rechenzentrum klärt die Frage nicht vollständig: Der US CLOUD Act verpflichtet US-Anbieter zur Herausgabe von Daten, unabhängig davon, in welchem Land diese liegen. Die Region sagt Dir, wo der Server steht. Mehr nicht.

Drittens der Nachweis. Nach Art. 5 Abs. 2 DSGVO musst Du die Einhaltung belegen können. Ein Vertrag, der per Verweis wirksam wird, ist wirksam. In Deiner Akte liegt er trotzdem nicht. Lade den Text herunter, notiere das Datum des Abrufs und lege die Liste der Unterauftragsverarbeiter dazu.

Zwei Pflichten kommen mit dem Werkzeug mit

Mit dem Vertrag ist die Dokumentation noch nicht fertig. Nach Art. 30 DSGVO führst Du ein Verzeichnis Deiner Verarbeitungstätigkeiten, und ein neues KI-Werkzeug im Kundendatenbestand ist eine Änderung daran: Zweck, Datenkategorien, Empfänger und Löschfristen gehören nachgetragen. Die Erleichterung für Unternehmen unter 250 Beschäftigten in Art. 30 Abs. 5 greift hier meist nicht, denn sie gilt nur bei gelegentlicher Verarbeitung ohne Risiko. Ein CRM, das dauerhaft läuft, ist nicht gelegentlich.

Der zweite Punkt betrifft nicht jeden: Art. 35 Abs. 3 lit. a verlangt eine Datenschutz-Folgenabschätzung bei systematischer und umfassender Bewertung persönlicher Aspekte, die auf automatisierter Verarbeitung samt Profiling beruht und Entscheidungen mit erheblicher Wirkung für die Betroffenen vorbereitet. Ob ein Lead-Scoring im Mittelstand diese Schwelle erreicht, ist Auslegungsfrage: Je nach Aufsichtsbehörde fällt die Antwort unterschiedlich aus. Pflicht ist die Prüfung der Frage, nicht automatisch das Ergebnis.

Der Trainingsschalter ersetzt den Vertrag nicht

In jedem der großen Werkzeuge lässt sich einstellen, dass Eingaben nicht in das Training fließen. Sinnvoll ist das, und es kostet nichts. Erledigt ist damit die Trainingsnutzung, sonst nichts: Der Text geht weiter an den Anbieter, wird dort verarbeitet und eine Weile vorgehalten, damit Missbrauch auffällt. Für eine Fachfrage ohne Kundenbezug genügt das. Sobald echte Kundenanschriften in der Eingabe stehen, hilft keine Einstellung mehr: Ohne AVV bleibt die Verarbeitung unzulässig. Der Schalter ist kein Vertrag.

Warum die Antwort oft außerhalb der Anbieterwahl liegt

So weit die Verträge. In Projekten fällt die Entscheidung regelmäßig dagegen aus, die Daten überhaupt aus dem Haus zu geben, und das hat mit der Aufgabe selbst zu tun.

Drei Fälle, die immer wieder vorkommen: Eine Custom Audience soll ins Werbekonto, und wie viele Adressen dort einem Profil zugeordnet werden, entscheidet über die Basis der Kampagne. Ein Direct Mailing bringt auffällig wenig zurück, und vor dem nächsten Druckauftrag soll jemand die Anschriften durchsehen: Porto und Papier fallen auch für Sendungen an, die nie ankommen. Ein Kontaktbestand soll von einem System ins nächste umziehen, über Jahre gewachsen und mehrfach verschoben.

Jedes Mal liegt eine große Tabelle mit Namen, Anschriften und Mailadressen vor, und jedes Mal sollen genau diese Felder geprüft werden. Spalten weglassen hilft hier nicht, denn sie sind der Gegenstand der Prüfung.

Ja, ein Sprachmodell liest so eine Tabelle. Für diese Art Prüfung ist es trotzdem das schwächere Werkzeug. Ob eine Postleitzahl fünf Ziffern hat, ob das Datumsformat innerhalb einer Spalte wechselt, ob Postleitzahl und Ort zueinander passen: Das sind Regeln und keine Ermessensfragen. Eine Regel prüft jede Zeile nach demselben Maßstab, nachvollziehbar und ohne laufende Kosten. Ein Modell liefert eine Einschätzung: Beim zweiten Durchlauf kann sie anders ausfallen.

Deshalb läuft diese Prüfung bei mir als Programm auf dem eigenen Rechner, mit einem Postleitzahlen- und Straßenverzeichnis lokal daneben. Ein Durchlauf über 100.000 erfundene Kontakte mit eingestreuten Fehlerbildern brauchte 14,7 Sekunden und fand knapp 5.000 Auffälligkeiten, darunter 1.544 Postleitzahlen, die es nicht gibt. Bei einem Euro Stückkosten im Mailing stecken allein darin gut 1.500 Euro Porto für Briefe, die nirgends ankommen. Für die Grenzfälle, die sich nicht in eine Regel fassen lassen, etwa eine Anschrift im Namensfeld, in der das Wort Straße nicht vorkommt, übernimmt ein kleines Sprachmodell die Einschätzung, ebenfalls lokal.

Für die Vertragsfrage zählt daran ein Punkt: Für einen solchen Aufbau brauchst Du keinen Auftragsverarbeitungsvertrag. Es ist kein Dritter beteiligt, und was nirgends hingeht, muss auch nicht vertraglich geregelt werden. Kein Upload. Keine Cloud. Kein Vertragspartner. Die Datenschutzfrage ist vor der ersten Zeile Arbeit beantwortet. Sobald die Aufgabe größere Modelle verlangt oder der Rechner nicht reicht, gilt wieder alles, was weiter oben steht.

Keine Rechtsberatung

Das ist die Rechtslage, wie sie sich aus den genannten Vorschriften und Vertragstexten ergibt. Eine Rechtsberatung ist es nicht. Hole für Deinen konkreten Fall anwaltlichen Rat ein, besonders dort, wo Profiling im Spiel ist.

Wie sich KI in Deinen Marketingprozessen sinnvoll einsetzen lässt, ohne diese Fragen zu übergehen, steht auf meiner Seite zu KI & Marketingprozesse. Wie das bei Dir aussieht, schauen wir uns im Erstgespräch an.