Auftragsverarbeitungsvertrag mit KI-Anbietern

Das Marketing arbeitet seit sieben Monaten mit einem Chatbot. Bezahlt wird über die Kreditkarte einer Teamleiterin, das Konto läuft auf ihre private Mailadresse, der Tarif heißt „Plus“. Dann kommt die erste Auskunftsanfrage eines Bewerbers, und jemand fragt, ob es dafür eigentlich einen AVV gebe.

Gibt es nicht. Und weil der Zugang ein Verbraucher-Tarif ist, gibt es dort auch keinen zum Anklicken — die meisten Anbieter bieten den Vertrag nur für ihre Geschäftszugänge an. Der Fehler ist also älter als die Anfrage: Er wurde bei der Auswahl des Tarifs gemacht.

Dieser Beitrag beantwortet, was beim AVV mit einem KI-Anbieter anders liegt als bei Hosting oder Newsletter-Versand, wie sechs gängige Anbieter es geregelt haben und was nach dem Abschluss zu tun ist. Er ist Orientierung und keine Rechtsberatung; für deinen konkreten Fall brauchst du jemanden, der ihn kennt.

Derselbe Anbieter, zwei Rollen#

Wer Verantwortlicher ist, wer Auftragsverarbeiter und wann gemeinsame Verantwortlichkeit vorliegt, ist keine KI-Frage. Die Systematik — samt der Fälle, in denen ein AVV sachlich falsch wäre — steht in Was ist ein Auftragsverarbeitungsvertrag? und gilt für einen Chatbot wie für einen Webhoster.

Eine Besonderheit hat der KI-Dienst trotzdem, und sie hat kein Gegenstück im Newsletter-Versand: Derselbe Anbieter kann für dieselbe Eingabe beide Rollen haben. Solange er deinen Prompt verarbeitet, um dir eine Antwort zu liefern, ist er dein verlängerter Arm — die Orientierungshilfe der Datenschutzkonferenz benutzt genau dieses Bild und kommt zu einem „Auftragsverarbeitungsverhältnis gemäß Art. 28 f. DS-GVO“. Sobald er denselben Prompt verwendet, um sein Modell zu verbessern, verfolgt er einen eigenen Zweck. Dafür ist er selbst Verantwortlicher, und dein AVV deckt es nicht ab.

Die Rolle hängt damit an etwas, das in keinem Vertragsdokument steht: am Tarif und an einem Schalter im Konto. Bei mehreren der unten genannten Anbieter ist derselbe Dienst im Geschäftstarif reine Auftragsverarbeitung und im Verbraucher-Tarif nicht. Das ist der Grund, warum die Tarifwahl hier eine datenschutzrechtliche Entscheidung ist und keine kaufmännische.

Bleibt der Fall, in dem du gar keinen Vertrag brauchst: Kommen in einem abgegrenzten Einsatzfeld keine personenbezogenen Daten vor — weder in der Eingabe noch in der Ausgabe noch im Anmelde- und Verarbeitungsprozess —, greift das Datenschutzrecht nicht. Am Anmeldeprozess kippt diese Argumentation meistens.

Die drei Pflichten, die bei KI-Anbietern Ärger machen#

Was ein AVV nach Art. 28 Abs. 3 DSGVO enthalten muss, ist eine feste Liste von acht Buchstaben; sie steht im Verordnungstext bei EUR-Lex und vollständig im oben verlinkten Bestandsbeitrag. Drei davon verhalten sich bei KI-Diensten anders als gewohnt.

Weisungsbindung bei einem Dienst, den du nicht verhandeln kannst (lit. a). Die Anbieter lösen das, indem sie die Bedienoberfläche zum Bestandteil deiner Weisung erklären. Im DPA von OpenAI bilden die Vereinbarung und „any instructions provided via the configuration tools and other tools within the Services“ zusammen die dokumentierten Weisungen des Kunden — und der Kunde ist für diese Konfigurationen verantwortlich, ausdrücklich einschließlich Aufbewahrungsfristen und Löschung. Deine Weisung ist also der Schalter im Konto. Wer keinen setzt, hat keine erteilt.

Unterauftragnehmer (lit. d und Abs. 2). Die Kette ist länger als bei klassischer Software, weil die Modelle auf fremder Infrastruktur laufen, und sie bewegt sich. DeepL etwa hat 2026 Amazon Web Services aufgenommen — Bestandskunden bekommen die Wahl zwischen neuen Bedingungen und Widerspruch. Solche Änderungen sind bei KI-Anbietern keine Ausnahme.

Löschung am Vertragsende (lit. g). Es gibt nicht einen Datentopf, sondern mehrere mit eigenen Fristen: Konversationen, hochgeladene Dateien, Feinabstimmungsdaten und die Protokolle der Missbrauchsprüfung. Letztere laufen bei OpenAI und Mistral standardmäßig 30 Tage, bei Azure OpenAI lässt sich die Speicherung auf Antrag abschalten. „Alles löschen“ ist kein Schalter, sondern eine Liste.

Und weil lit. f die Unterstützung bei den Pflichten aus Art. 32 bis 36 verlangt: Prüfe, über welchen Kanal und in welcher Frist der Anbieter dich benachrichtigt. Davon hängt ab, ob du eine Datenpanne melden kannst, bevor die 72 Stunden abgelaufen sind.

Der Punkt, der bei KI-Diensten regelmäßig übersehen wird#

Weisungsbindung heißt: nur für deine Zwecke. Training ist ein Zweck des Anbieters. Die Datenschutzkonferenz macht daraus eine Prüfaufgabe: „Sollte ein Ausschluss der Nutzung zu Trainingszwecken nicht möglich sein und sind personenbezogene Daten betroffen, ist für diesen Zweck eine Rechtsgrundlage erforderlich.“

Entscheidend ist nicht der Anbieter, sondern der Tarif. Drei Stufen lassen sich bei fast allen unterscheiden.

Verbraucher- und Gratiszugänge. Hier ist die Verwendung der Eingaben zum Training der Regelfall. OpenAI schreibt für seine Dienste für Einzelpersonen ausdrücklich, man könne die Inhalte zum Training verwenden, abschaltbar unter Einstellungen → Data Controls. Google unterscheidet bei der Gemini-API zwischen bezahlten und unbezahlten Diensten — bei den unbezahlten werden Eingaben und Antworten zur Produktverbesserung genutzt, und menschliche Prüfer können sie lesen. DeepL trainiert mit den Texten der kostenlosen Fassung. Für Geschäftsdaten scheidet diese Stufe aus, unabhängig vom AVV.

Geschäftstarife. Hier kippt die Voreinstellung. Bei OpenAI gilt für ChatGPT Business, Enterprise und die API, dass standardmäßig nicht auf Ein- oder Ausgaben trainiert wird; Anthropic verpflichtet sich in den Commercial Terms, Kundeninhalte nicht zum Training zu verwenden; Microsoft hält für Azure OpenAI fest, dass Prompts und Completions die Basismodelle weder trainieren noch verbessern.

API. Dieselbe Zusage, organisatorisch die sauberere Lage: Du entscheidest, was überhaupt gesendet wird. Dafür liegt die Verantwortung für Aufbewahrung und Löschung vollständig bei dir.

Wer das Konto der Teamleiterin aus dem ersten Absatz für Bewerbungsunterlagen benutzt, hat also nicht nur keinen AVV, sondern eine Verarbeitung zu fremden Zwecken angestoßen — und für die braucht es eine eigene Rechtsgrundlage, die niemand geprüft hat.

Sechs Anbieter im Vergleich#

Stand: 11. September 2026. Diese Angaben ändern sich — prüfe sie vor jeder Entscheidung an der verlinkten Anbieterdokumentation nach.

Geprüft an: OpenAI DPA, OpenAI zum Training und zur API-Datenhaltung, Anthropic Privacy Center und Commercial Terms, Gemini API Terms und Google Data Residency, Microsoft Learn, Mistral DPA und Mistral zum Speicherort und zum Training-Opt-out, DeepL Help Center und DeepL Datenschutzerklärung.

So schließt du ihn praktisch ab#

Ein AVV mit einem KI-Anbieter ist kein verhandelter Vertrag. Bei Anthropic und Mistral gilt er per Verweis mit den kommerziellen Bedingungen, bei Google mit dem Cloud-Vertrag, bei OpenAI per Zustimmung auf der DPA-Seite, bei DeepL über ein Dokument, das der Anbieter stellt.

Dass du nicht verhandeln kannst, ist kein Makel, sondern der Normalfall unterhalb von Konzerngröße. Deine Prüfung verschiebt sich damit: nicht „Was setze ich durch?“, sondern „Genügt das Angebot Art. 28 — und wenn nicht, nehme ich einen anderen Anbieter?“ Wie das für einen einzelnen Dienst aussieht, steht im Beitrag zu ChatGPT und der DSGVO.

Vier Schritte, in dieser Reihenfolge:

1. Geschäftstarif buchen. Vor allem anderen. Auf einem Verbraucher-Zugang gibt es weder AVV noch die passenden Voreinstellungen.
2. Richtigen Vertragspartner eintragen. Die juristische Person, nicht die Mitarbeiterin. Ein AVV mit dem falschen Namen ist keiner.
3. Vereinbarung annehmen und ablegen. Mit Datum und Fassung. Anbieter ändern diese Dokumente, und du musst später sagen können, welche Fassung galt.
4. Einstellungen setzen. Training aus, Verlauf begrenzt. Ein abgeschlossener AVV setzt dir keinen Schalter um.

Nach dem Abschluss hört die Arbeit nicht auf#

Verarbeitungsverzeichnis. Der KI-Dienst gehört als Empfänger hinein, der Einsatzzweck als eigene Verarbeitungstätigkeit. Fragt dich später jemand, was ihr mit dem Dienst macht, ist das Verzeichnis die Antwort, nicht der AVV.

Unterauftragnehmer. Abonniere die Benachrichtigungen der Anbieter und lege fest, wer sie liest — eine Benachrichtigung im Postfach von niemandem ist die teuerste Art, informiert worden zu sein.

Fassungen und Einstellungen nachprüfen. Einmal im Jahr reicht meistens, nach einem Tarifwechsel nie.

Wie sich das in die übrigen Pflichten einfügt — Rechtsgrundlage, Transparenz, Datenschutz-Folgenabschätzung, interne Regeln —, steht im Überblick zu KI-Einsatz und DSGVO. Der AVV ist dort ein Baustein von mehreren, und er ist nicht der erste.

Und was ist, wenn wir gar keine personenbezogenen Daten eingeben?#

Die Rückfrage ist berechtigt: Ohne personenbezogene Daten kein AVV. Nur hält die Annahme selten stand. Jedes Konto hat personenbezogene Daten — Name, Mailadresse, Protokolle darüber, wer wann was abgefragt hat. Und es entscheidet nicht die Vorgabe, sondern die tatsächliche Nutzung: Sobald jemand die Mail eines Kunden zum Zusammenfassen einfügt, ist die Grundlage weg. Die Aufsichtsbehörden empfehlen deshalb klare interne Weisungen darüber, welche Anwendungen zu welchen Zwecken benutzt werden dürfen.

Die brauchbare Antwort ist also nicht „wir geben nichts ein“, sondern: AVV abschließen und die Eingaben zusätzlich per Weisung begrenzen.

Wo der AVV aufhört#

Ein AVV macht keine Verarbeitung rechtmäßig, die es ohne ihn nicht wäre. Er regelt dein Verhältnis zum Dienstleister — wie er arbeitet, was er darf, wem er Rechenschaft schuldet. Er sagt nichts darüber, ob du die Daten überhaupt verarbeiten durftest.

Die Rechtsgrundlage nach Art. 6 DSGVO — und bei besonderen Kategorien nach Art. 9 — brauchst du unabhängig davon, für jeden Verarbeitungsschritt. Bewerbungsunterlagen durch einen Chatbot laufen zu lassen, wird durch einen abgeschlossenen AVV nicht zulässig. Es wird nur sauber dokumentiert unzulässig. Ebenso wenig ersetzt er die Datenschutz-Folgenabschätzung oder die Informationspflichten. Er ist eine notwendige Bedingung, nie eine hinreichende. Wo die KI-Automatisierung im Unternehmen ankommt, ist der Vertrag mit dem Anbieter der einfachste Teil der Aufgabe — und deshalb auch der, den man am ehesten für die ganze Aufgabe hält.

Häufige Fragen#

Brauche ich für jedes KI-Tool einen eigenen AVV? Für jeden Anbieter ja. Mehrere Dienste desselben Anbieters deckt meist eine Vereinbarung ab — das steht in ihrem Geltungsbereich.

Reicht ein AVV, wenn der Anbieter in den USA sitzt? Nein, der Drittlandtransfer ist eine zweite Prüfung — nachzulesen im Grundlagenbeitrag zum AVV.

Kann ich einen AVV nachträglich abschließen? Ab heute ja, rückwirkend heilt er nichts.

Muss ich den AVV unterschreiben? Bei den meisten Anbietern nicht. Er gilt mit Annahme der Bedingungen oder über ein Formular im Konto. Speichere dir trotzdem die Fassung mit Datum.

Was ist mit KI-Funktionen, die in einer Software schon eingebaut sind? Dann ist dein Vertragspartner der Softwareanbieter, und der KI-Anbieter dahinter ist sein Unterauftragnehmer. Prüfe die Unterauftragnehmer-Liste — dort taucht er auf.

Kurz gefasst#

Derselbe KI-Anbieter kann Auftragsverarbeiter und eigener Verantwortlicher sein — für dieselbe Eingabe. Welches von beidem, entscheidet der Tarif.

Die Pflichten aus Art. 28 Abs. 3 sind bekannt; bei KI-Diensten hakt es an Weisungsbindung, Unterauftragnehmern und Löschung.

Abgeschlossen wird per Formular oder Checkbox, nicht am Verhandlungstisch. Danach bleiben Verzeichnis, Unterauftragnehmer-Liste und die Einstellungen im Konto.

Und der Satz, der alles einordnet: Der AVV regelt das Verhältnis zum Dienstleister, nicht die Rechtsgrundlage.