EN
FR
ES
DE
IT
KO
JA
Der AVV (Auftragsverarbeitungsvertrag, engl. DPA) ist der nach Artikel 28 DSGVO erforderliche Vertrag zwischen Verantwortlichem (Kundenunternehmen) und Auftragsverarbeiter (SaaS). Er muss 8 Pflichtinhalte enthalten. Die weitere Auftragsverarbeitung (LLM-Anbieter) erfordert eine vorherige Genehmigung und die Veröffentlichung der Unterauftragsverarbeiter-Liste (Art. 28 Abs. 4).
Rechtsgrundlage
Der AVV (Auftragsverarbeitungsvertrag, englisch DPA) ist nach Artikel 28 DSGVO erforderlich. Er ist verpflichtend, sobald ein Auftragsverarbeiter personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Ohne unterzeichneten AVV ist die Verarbeitung unrechtmäßig.
8 Pflichtinhalte (Art. 28 Abs. 3)
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- Art der personenbezogenen Daten
- Kategorien betroffener Personen
- Pflichten und Rechte des Verantwortlichen
- Dokumentierte Weisungen des Verantwortlichen an den Auftragsverarbeiter
- Vertraulichkeitsverpflichtung des Personals
- Technische und organisatorische Maßnahmen (Art. 32)
Unterauftragsverarbeitung (Art. 28 Abs. 4)
Beauftragt ein Auftragsverarbeiter einen weiteren Auftragsverarbeiter (Unterauftragsverarbeiter), muss er:
- die vorherige Genehmigung des Verantwortlichen einholen (allgemein oder spezifisch),
- die Liste der Unterauftragsverarbeiter veröffentlichen (mindestens: Name, Rolle, Standort),
- jede Hinzufügung oder Entfernung eines Unterauftragsverarbeiters mit angemessener Widerspruchsfrist mitteilen,
- die gleichen vertraglichen Pflichten an die Unterauftragsverarbeiter weitergeben.
Konkreter Fall: GEO/AEO-Tools
Jedes GEO/AEO-Tool ruft LLMs über einen Aggregator (OpenRouter) oder direkt über OpenAI, Anthropic, Google auf. Diese Anbieter sind Unterauftragsverarbeiter. Der AVV muss präzise auflisten:
- die Rolle des Aggregators (Durchleitung, kein Training, keine persistenten Logs),
- jeden beteiligten LLM-Anbieter, seine Jurisdiktion und seinen Cloud-Act-Status,
- die Filteroptionen (z. B. Ausschluss von Nicht-EU-Judges für regulierte Branchen).
Best Practices
- Unterzeichneter AVV herunterladbar direkt aus dem Kundenkonto (und nicht „auf Anfrage" per E-Mail).
- Öffentliche Liste der Unterauftragsverarbeiter ohne Anmeldung zugänglich.
- Automatische E-Mail-Benachrichtigung vor jeder Änderung.
- Zeitgestempelte Versionen auch im Nachhinein einsehbar.
Fall AI Labs Audit
AI Labs Audit stellt einen unterzeichneten AVV im Kundenbereich bereit, führt eine öffentliche Liste seiner Auftragsverarbeiter (OVH SAS, OpenRouter, E-Mail-Anbieter) und benachrichtigt automatisch bei jeder Änderung. Siehe DSGVO und KI-Compliance und Cloud Act.
Jede Frage an ChatGPT ohne Ihren Namen in der Antwort ist ein Wettbewerber, der an Ihrer Stelle empfohlen wird — gemessen an 6 820 echten KI-Antworten.