Was ist ein Auftragsverarbeitungsvertrag (AVV)?
Ein Auftragsverarbeitungsvertrag regelt, wie ein Dienstleister personenbezogene Daten in Ihrem Auftrag und nach Ihren Weisungen verarbeitet. Sie bleiben der Verantwortliche im Sinne der DSGVO, der Dienstleister ist Auftragsverarbeiter. Die Pflicht dazu steht in Art. 28 DSGVO. Häufige Bezeichnungen sind AVV, AVV nach DSGVO, AV-Vertrag oder englisch DPA (Data Processing Agreement bzw. Addendum).
Art. 28 verlangt drei Dinge. Sie dürfen nur Dienstleister einsetzen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Abs. 1). Die Verarbeitung muss auf einem Vertrag mit festen Mindestinhalten beruhen (Abs. 3). Und dieser Vertrag muss schriftlich vorliegen, wobei ein elektronisches Format genügt (Abs. 9). Ein digital bestätigter AVV oder ein Vertragswerk, das per Klick Teil der Geschäftsbedingungen wird, reicht also.
Auftragsverarbeitung oder eigene Verantwortung?
Nicht jeder KI-Anbieter ist automatisch Auftragsverarbeiter. Die Datenschutzkonferenz (DSK) schreibt in ihrer Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ vom 6. Mai 2024: Setzen Sie die KI-Anwendung eines externen Anbieters zu eigenen Zwecken ein, etwa als Cloud-Lösung, ist der Anbieter häufig Auftragsverarbeiter, und Sie schließen mit ihm einen Vertrag nach Art. 28 Abs. 3.
Anders ist es, wenn der Anbieter Ihre Daten auch für eigene Zwecke nutzt, etwa um seine Modelle zu trainieren. Dann entscheidet er selbst über Zwecke der Verarbeitung. Nach Art. 28 Abs. 10 DSGVO gilt ein Auftragsverarbeiter, der selbst Zwecke und Mittel bestimmt, insoweit als Verantwortlicher. Die DSK nennt außerdem Fälle gemeinsamer Verantwortlichkeit nach Art. 26, zum Beispiel wenn mehrere Stellen eine KI mit ihren Datensätzen gemeinsam trainieren. Deshalb ist die Trainingsfrage beim AVV für KI so wichtig.
Wann brauchen Sie einen AVV für KI-Tools?
Beim Datenschutz mit KI ist nicht entscheidend, ob „KI“ im Spiel ist, sondern ob personenbezogene Daten den KI-Dienst erreichen. Das sind schneller welche, als man denkt: ein Name in einer E-Mail, eine Telefonnummer im Chat, ein Lebenslauf, die Stimme eines Anrufers.
| Einsatz | AVV nötig? |
|---|---|
| Mitarbeitende fügen Kunden-E-Mails in ein privates ChatGPT- oder Claude-Konto ein | Ja, aber für private Konten bieten die Anbieter keinen AVV an. Personenbezogene Daten gehören dort nicht hinein. |
| ChatGPT Business oder Enterprise, Claude for Work, Microsoft Copilot im Firmenkonto | Ja. Die Anbieter stellen dafür ihre Datenschutzverträge bereit (siehe Tabelle unten). |
| Eigene Anwendung über eine KI-Schnittstelle (API) | Ja, mit dem API-Anbieter. |
| KI-Dienstleister, der Chat, Telefon oder Bewerbungen für Sie betreibt | Ja, mit dem Dienstleister. Die KI-Anbieter dahinter stehen in seinem AVV als Unterauftragsverarbeiter. |
| KI schreibt Website-Texte oder Social-Media-Beiträge ohne Personenbezug | Für diese Texte nein. Geschäftsgeheimnisse schützt ein AVV ohnehin nicht, dafür zählen Vertraulichkeit und Training. |
Firmenkonten statt Privatkonten. Die DSK empfiehlt, Beschäftigten für KI-Anwendungen dienstliche Geräte und Konten bereitzustellen und die Nutzung von Eingaben zum Training gleich bei der Einrichtung abzuschalten (Orientierungshilfe, Abschnitt 2.4). Eine interne KI-Richtlinie hilft, dass niemand auf ein Privatkonto ausweicht.
Checkliste: Pflichtinhalte eines AVV nach Art. 28 Abs. 3 DSGVO
Diese Punkte müssen in jedem AVV stehen, auch in dem eines KI-Anbieters. Haken Sie sie beim Lesen ab:
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung, bei KI also zum Beispiel „Beantwortung von Kundenanfragen im Chat“
- Art der Daten und Kategorien betroffener Personen (Kunden, Bewerber, Beschäftigte)
- Pflichten und Rechte des Verantwortlichen
- Verarbeitung nur auf dokumentierte Weisung, auch bei Übermittlungen in Drittländer (lit. a)
- Vertraulichkeit aller Personen, die Zugriff haben (lit. b)
- Technische und organisatorische Maßnahmen nach Art. 32, meist als Anlage (lit. c)
- Regeln für Unterauftragsverarbeiter (lit. d, mehr dazu im nächsten Abschnitt)
- Unterstützung bei Betroffenenrechten wie Auskunft und Löschung (lit. e)
- Unterstützung bei Sicherheit, Datenpannen und Datenschutz-Folgenabschätzung nach Art. 32 bis 36 (lit. f)
- Löschen oder Rückgabe aller Daten nach Vertragsende, nach Ihrer Wahl (lit. g)
- Nachweise und Kontrollen einschließlich Inspektionen (lit. h)
- Pflicht, Sie zu informieren, wenn eine Weisung aus Sicht des Anbieters gegen Datenschutzrecht verstößt (Unterabsatz 2)
Für KI-Tools kommen vier Punkte hinzu, die das Gesetz nicht ausdrücklich nennt, die aber in den Vertrag oder die Leistungsbeschreibung gehören:
- Werden Ein- und Ausgaben zum Training genutzt? Wenn ja: Lässt sich das abschalten?
- Wie lange speichert der Anbieter Eingaben, etwa zur Missbrauchskontrolle?
- In welchen Regionen wird verarbeitet, und auf welcher Grundlage gehen Daten in Drittländer?
- Welche Unterauftragsverarbeiter sind beteiligt, etwa der Anbieter des Sprachmodells hinter einem Telefon-Bot?
Gibt es ein offizielles AVV-Muster?
Ja. Die EU-Kommission hat mit dem Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021 Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern nach Art. 28 Abs. 7 DSGVO veröffentlicht. Sie stehen frei auf EUR-Lex, decken die Pflichtinhalte ab und sind damit das amtliche Muster für einen Auftragsverarbeitungsvertrag. Die Anhänge mit Beschreibung der Verarbeitung, Maßnahmen und Unterauftragsverarbeitern füllen die Parteien selbst aus. In der Praxis legen die großen KI-Anbieter allerdings ihre eigenen Verträge vor, die sich kaum verhandeln lassen. Dann prüfen Sie diese anhand der Checkliste oben.
Unterauftragsverarbeiter: die Kette hinter dem KI-Tool
Kaum ein KI-Tool arbeitet allein. Ein Chatbot-Anbieter nutzt ein Sprachmodell von OpenAI oder Anthropic, ein Telefon-Bot zusätzlich einen Dienst für Sprache und einen für Rufnummern. Jeder davon ist ein Unterauftragsverarbeiter.
Art. 28 Abs. 2 DSGVO erlaubt weitere Auftragsverarbeiter nur mit Ihrer vorherigen schriftlichen Genehmigung. Sie kann einzeln oder allgemein erteilt werden. Bei einer allgemeinen Genehmigung muss der Anbieter Sie über jede geplante Änderung informieren, und Sie können Einspruch erheben. Nach Abs. 4 muss der Anbieter seinen Unterauftragsverarbeitern dieselben Datenschutzpflichten auferlegen und haftet Ihnen gegenüber, wenn sie diese nicht erfüllen.
So sieht das bei den großen Anbietern aus (Stand Oktober 2026):
- OpenAI führt eine öffentliche Liste und informiert über Änderungen per Blog, im Dienst oder per E-Mail, wenn Sie sich dafür eintragen. Einspruch ist innerhalb von 30 Tagen möglich (DPA, Ziffer 2.9).
- Anthropic listet die Unterauftragsverarbeiter im DPA (Schedule 4) und kündigt neue vorher an. Sie können aus Datenschutz- oder Sicherheitsgründen widersprechen (DPA, Abschnitt C).
Prüfen Sie bei einem KI-Dienstleister, ob seine Liste vollständig ist. Fehlt dort der Anbieter des Sprachmodells oder der Sprachsynthese, ist die Kette lückenhaft.
Drittland: USA, Standardvertragsklauseln und Data Privacy Framework
Die meisten großen KI-Modelle kommen von Unternehmen mit Sitz in den USA. Übermittlungen in Länder außerhalb der EU sind nach Art. 44 DSGVO nur zulässig, wenn die Voraussetzungen der Art. 45 bis 49 erfüllt sind. Für die USA gibt es zwei übliche Wege:
- Angemessenheitsbeschluss (Art. 45): Das EU-US Data Privacy Framework (DPF) beruht auf dem Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023. Es gilt für US-Unternehmen, die sich darunter selbst zertifiziert haben. Ob ein Anbieter zertifiziert ist, prüfen Sie in der offiziellen Liste unter dataprivacyframework.gov.
- Standardvertragsklauseln (Art. 46): Die Klauseln nach Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 werden in den Vertrag aufgenommen. OpenAI und Anthropic nennen diese Klauseln in ihren DPAs.
Stand der gerichtlichen Überprüfung (Oktober 2026)
Das Gericht der EU hat am 3. September 2025 die Klage des französischen Abgeordneten Philippe Latombe gegen das DPF abgewiesen (Rechtssache T-553/23). Es bestätigte, dass die USA zum Zeitpunkt des Beschlusses ein angemessenes Schutzniveau gewährleisteten. Gegen das Urteil hat Latombe am 31. Oktober 2025 Rechtsmittel beim Gerichtshof eingelegt (Rechtssache C-703/25 P). Eine Entscheidung darüber war bis zum 23. Oktober 2026 nicht veröffentlicht. Das DPF gilt also weiter.
Plan B einbauen: Die Vorgänger Safe Harbor und Privacy Shield hat der Gerichtshof gekippt (Schrems I und II). Achten Sie darauf, dass Ihr Vertrag nicht allein auf dem DPF beruht, sondern zusätzlich Standardvertragsklauseln vorsieht. Dann bleibt die Übermittlung abgesichert, falls das DPF fällt.
KI DSGVO-konform: Training, Speicherdauer und Zero Data Retention
Die DSK verlangt zu prüfen, ob Ein- und Ausgaben für das Training verwendet werden, ob darüber informiert wird und ob sich das ausschließen lässt. Ist ein Ausschluss nicht möglich und sind personenbezogene Daten betroffen, braucht es für das Training eine eigene Rechtsgrundlage. Datenschutzrechtlich vorzugswürdig sind nach der DSK Anwendungen, die Eingaben nicht zum Training verwenden (Orientierungshilfe, Abschnitt 1.9).
Geschäftskonto und Privatkonto unterscheiden sich
Der größte Unterschied liegt zwischen Verbraucher- und Geschäftsangebot desselben Anbieters:
- OpenAI: Bei Free, Plus und Pro kann OpenAI Inhalte zum Training nutzen, solange Sie das nicht in den Einstellungen abschalten. Eingaben aus ChatGPT Business, Enterprise, Edu und der API nutzt OpenAI standardmäßig nicht zum Training.
- Anthropic: Seit Herbst 2025 entscheiden Nutzer von Claude Free, Pro und Max selbst, ob ihre Chats ins Training fließen. Erlauben sie es, speichert Anthropic die Daten bis zu fünf Jahre. Für Dienste unter den Commercial Terms, also API und Claude for Work, gilt das nicht. Dort darf Anthropic laut Vertrag nicht mit Kundeninhalten trainieren.
- Microsoft: Prompts, Antworten und Daten aus Microsoft Graph werden laut Microsoft nicht zum Training der Basismodelle von Microsoft Copilot genutzt.
- Google: Gemini in Google Workspace nutzt Kundendaten nicht ohne vorherige Erlaubnis zum Training. Bei der Gemini-API gilt das für bezahlte Dienste. Für Nutzer im EWR, in der Schweiz und im Vereinigten Königreich wendet Google diese Regeln laut den API-Bedingungen auf alle Dienste an, auch auf Google AI Studio.
Speicherdauer und Zero Data Retention
„Kein Training“ heißt nicht „keine Speicherung“. OpenAI kann API-Eingaben und -Ausgaben nach eigener Angabe bis zu 30 Tage aufbewahren, um den Dienst zu erbringen und Missbrauch zu erkennen. Für geeignete Schnittstellen und Einsatzzwecke lässt sich Zero Data Retention beantragen, also keine Speicherung beim Anbieter. Bei ChatGPT Business legt der Workspace-Administrator die Aufbewahrung fest, gelöschte Unterhaltungen entfernt OpenAI innerhalb von 30 Tagen. Fragen Sie jeden Anbieter konkret: Wie lange liegen unsere Eingaben bei Ihnen, und wer kann sie einsehen?
Auch der Ort der Verarbeitung lässt sich teils steuern. Microsoft Copilot ist ein Dienst innerhalb der EU-Datengrenze: Datenverkehr von EU-Nutzern bleibt in der EU. Ausgenommen sind laut Microsoft derzeit die Modelle von Anthropic, die Microsoft als Unterauftragsverarbeiter einbindet.
Art. 22 DSGVO: Wenn die KI über Menschen entscheidet
Art. 22 Abs. 1 DSGVO gibt jeder Person das Recht, keiner Entscheidung unterworfen zu werden, die ausschließlich auf automatisierter Verarbeitung beruht und ihr gegenüber rechtliche Wirkung entfaltet oder sie ähnlich erheblich beeinträchtigt. Ausnahmen gibt es nur, wenn die Entscheidung für einen Vertrag erforderlich ist, ein Gesetz sie erlaubt oder die Person ausdrücklich eingewilligt hat (Abs. 2). Auch dann müssen Betroffene das Eingreifen einer Person verlangen, ihren Standpunkt darlegen und die Entscheidung anfechten können (Abs. 3).
Die DSK nennt ein Beispiel, das viele Unternehmen betrifft: Eine KI-Anwendung wertet alle Bewerbungen auf eine Stelle aus und verschickt selbstständig die Einladungen zu Vorstellungsgesprächen. Das ist nach der Orientierungshilfe ein Verstoß gegen Art. 22 Abs. 1. Ein Mensch, der nur formell beteiligt ist und den KI-Vorschlag ungeprüft übernimmt, reicht nicht. Er braucht einen tatsächlichen Entscheidungsspielraum.
Der Gerichtshof der EU hat das Verbot weit ausgelegt. Im Urteil zur SCHUFA vom 7. Dezember 2023 (C-634/21) hat er schon den errechneten Score als automatisierte Entscheidung eingestuft, wenn Banken ihm eine maßgebliche Rolle bei der Kreditvergabe beimessen. Übertragen auf KI heißt das: Auch eine Rangliste oder Bewertung kann unter Art. 22 fallen, wenn am Ende faktisch nach ihr entschieden wird.
Die EU-Kommission hat im November 2025 im Digital Omnibus Änderungen an der DSGVO vorgeschlagen, auch an Art. 22 (COM(2025) 837). Beschlossen ist davon nichts: Das Europäische Parlament berät den Vorschlag noch im Ausschuss (Stand Oktober 2026). Es gilt der heutige Wortlaut.
Was Sie bei KI im Recruiting beachten sollten
- Die KI sortiert vor und begründet, ein Mensch entscheidet über Einladung, Zusage und Absage.
- Automatische Absagen nur nach Prüfung mit Ihrem Datenschutzbeauftragten einschalten.
- In der Datenschutzerklärung für Bewerber beschreiben, was die KI prüft.
- Bewerbern einen Weg anbieten, eine Entscheidung von einem Menschen prüfen zu lassen.
AVV bei bekannten KI-Diensten im Überblick
Die Tabelle zeigt, was die Anbieter auf ihren Vertragsseiten selbst angeben. Sie ersetzt nicht den Blick in Ihren eigenen Vertrag und Ihr Konto.
| Dienst | Vertrag zur Auftragsverarbeitung | Training mit Ihren Eingaben |
|---|---|---|
| ChatGPT Business, Enterprise und OpenAI API | OpenAI Data Processing Addendum, gültig seit 1.1.2026. OpenAI stellt es für diese drei Angebote über ein Formular aus. Für Kunden im EWR ist OpenAI Ireland Vertragspartner. | standardmäßig nein |
| ChatGPT Free, Plus, Pro | kein DPA, es gelten die Bedingungen für Privatnutzer | ja, solange Sie nicht widersprechen |
| Claude API und Claude for Work (Anthropic) | DPA ist per Verweis Teil der Commercial Terms und gilt damit automatisch. Standardvertragsklauseln gelten als vereinbart. | nein, vertraglich ausgeschlossen |
| Claude Free, Pro, Max | kein DPA, es gelten die Consumer Terms | nach Wahl des Nutzers |
| Microsoft Copilot (Geschäftskunden) | Microsoft Products and Services DPA, gilt für Produkte nach den Product Terms. Copilot ist ein Dienst innerhalb der EU-Datengrenze. | nein, laut Microsoft keine Nutzung für Basismodelle |
| Gemini in Google Workspace | Cloud Data Processing Addendum, wirksam ab dem Tag, an dem Ihr Unternehmen ihm zugestimmt oder es anders vereinbart hat. Prompts gelten als Kundendaten. | nein, nicht ohne Ihre Erlaubnis |
| Gemini API, bezahlte Nutzung | Verarbeitung nach Googles Data Processing Addendum | nein bei bezahlten Diensten |
Mehr zu den Unterschieden zwischen ChatGPT Business, Enterprise und Copilot lesen Sie in unserem Beitrag ChatGPT Business, Enterprise oder Copilot.
Was der AVV nicht regelt: Urheberrecht und KI-Hinweise
Ein AVV regelt den Datenschutz. Zwei Fragen beantwortet er nicht:
- KI und Urheberrecht: Wem KI-Ergebnisse gehören, steht in den Nutzungsbedingungen. Anthropic etwa überträgt Geschäftskunden seine Rechte an den Ausgaben. Microsoft beansprucht kein Eigentum an Ausgaben, trifft aber keine Aussage dazu, ob sie urheberrechtlich geschützt sind, und sagt Geschäftskunden unter Bedingungen Rechtsverteidigung bei Urheberrechtsklagen zu. Für veröffentlichte KI-Bilder lesen Sie unseren Beitrag KI-Bilder kennzeichnen.
- KI-Hinweis im Gespräch: Dass Chatbot und Telefon-KI sich als KI zu erkennen geben müssen, folgt aus der KI-Verordnung, nicht aus der DSGVO. Details in unserem Beitrag zur KI-Kennzeichnungspflicht.
AVV KI in der Praxis: So machen wir es bei GrisaKI
Wenn GrisaKI für Sie Chats, Anrufe, E-Mails oder Bewerbungen bearbeitet, sind Sie der Verantwortliche und wir Ihr Auftragsverarbeiter. So ist das geregelt:
- AVV je Kunde: Wir stellen den Auftragsverarbeitungsvertrag auf Ihre Firma aus. Sie unterschreiben ihn digital per Link.
- Liste der Dienste: Zum AVV gehört die Liste der Unterauftragsverarbeiter. Beteiligt sind nur die Dienste der Module, die Sie nutzen.
- Kein Training: Für Chat, E-Mail und Bewerbungen nutzen wir die OpenAI-API. Dort werden Eingaben standardmäßig nicht zum Training verwendet.
- Entscheidung beim Menschen: Im KI-Recruiting bereitet GrisaKI vor, einladen, zusagen und absagen tun Sie. Automatische Absagen sind ab Werk ausgeschaltet.
Wir sagen Ihnen auch, wo Daten das Land verlassen. Die Plattform und Ihre Unterlagen liegen in Rechenzentren in Deutschland bzw. der EU. Für die KI selbst setzen wir Anbieter mit Sitz in den USA ein:
| Dienst | Wofür bei GrisaKI | Hinweis |
|---|---|---|
| OpenAI API (USA) | Chat und WhatsApp, Bewerbungen, E-Mail KI-Assistent, Auswertung von Telefonaten, Wissensdatenbank | bis zu 30 Tage Speicherung zur Missbrauchskontrolle, Zero Data Retention derzeit nicht aktiv |
| ElevenLabs (USA) | Sprache, Spracherkennung und Gesprächsführung im KI-Telefonassistenten | nur bei gebuchter Telefonie |
| Google Gemini | nur öffentliche Inhalte, etwa Website-Texte, Stellentexte und Beiträge zur Veröffentlichung | keine Chatverläufe, Bewerbungen oder E-Mails |
| Meta | WhatsApp, Facebook, Instagram | Verarbeitung nach den Bedingungen von Meta |
| Hetzner (Deutschland) | Wissens-Datenbank, Aufnahmen, Hintergrunddienste | kein Drittland |
| Microsoft 365 | Anbindung Ihrer Postfächer für Bewerbungen und E-Mail-Assistent | Daten bleiben in Ihrem eigenen Microsoft-Konto |
Wir schreiben deshalb nicht „alle Daten bleiben in Deutschland“. Das wäre für die KI-Verarbeitung heute nicht richtig. Was Sie in Ihre Datenschutzerklärung übernehmen sollten, klären wir mit Ihnen bei der Einrichtung.
Häufige Fragen
Was ist ein AVV?
Ein AVV ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Er regelt, wie ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines Unternehmens verarbeitet. Er muss Gegenstand, Dauer, Zweck, Datenarten und betroffene Personen nennen sowie die Pflichten aus Art. 28 Abs. 3 enthalten. Ein elektronisches Format genügt.
Brauche ich einen AVV, wenn Mitarbeitende ChatGPT nutzen?
Ja, sobald personenbezogene Daten eingegeben werden. Wer ChatGPT DSGVO-konform nutzen will, braucht ein Geschäftskonto: OpenAI bietet einen Data Processing Addendum für ChatGPT Business, Enterprise und die API an, nicht für private Konten. Mit Free, Plus oder Pro sollten daher keine Kundendaten, Bewerbungen oder Namen verarbeitet werden.
Gibt es ein offizielles AVV-Muster?
Ja. Die EU-Kommission hat mit dem Durchführungsbeschluss (EU) 2021/915 Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern veröffentlicht. Sie decken die Pflichtinhalte nach Art. 28 DSGVO ab und sind kostenlos auf EUR-Lex abrufbar. Die großen KI-Anbieter verwenden allerdings meist eigene Verträge.
Ist die Übermittlung von Daten an KI-Anbieter in den USA erlaubt?
Ja, wenn eine Grundlage nach Art. 44 ff. DSGVO besteht. Üblich sind das EU-US Data Privacy Framework für zertifizierte Unternehmen und die Standardvertragsklauseln der EU-Kommission. Das EU-Gericht hat die Klage gegen das Data Privacy Framework am 3. September 2025 abgewiesen, ein Rechtsmittel beim Gerichtshof ist anhängig.
Darf der KI-Anbieter meine Daten zum Training nutzen?
Nur wenn es vereinbart ist und eine Rechtsgrundlage besteht. Bei den Geschäftsangeboten und APIs von OpenAI, Anthropic, Microsoft und Google ist Training mit Kundendaten nach Angabe der Anbieter standardmäßig ausgeschlossen. Bei privaten Konten kann es anders sein. Die Datenschutzkonferenz hält Anwendungen ohne Training mit Eingaben für vorzugswürdig.
Darf eine KI Bewerbungen automatisch aussortieren?
Eine KI darf Bewerbungen auswerten und vorsortieren. Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung, etwa Absagen oder Einladungen, dürfen nach Art. 22 DSGVO grundsätzlich nicht allein automatisiert fallen. Die Datenschutzkonferenz nennt das selbstständige Versenden von Einladungen durch eine KI ausdrücklich als Verstoß. Ein Mensch muss tatsächlich entscheiden.
Ist ein KI-Tool mit AVV automatisch DSGVO-konform?
Nein. Der AVV ist eine Voraussetzung, aber nicht die einzige. Sie brauchen außerdem eine Rechtsgrundlage für die Verarbeitung, eine passende Datenschutzerklärung, eine Grundlage für Übermittlungen in Drittländer, gegebenenfalls eine Datenschutz-Folgenabschätzung und Regeln für automatisierte Entscheidungen.
Über den Autor
Sandro Griesing
Gründer von GrisaKI und Geschäftsführer der new face Media GmbH in Sangerhausen
Sandro Griesing hat über zehn Jahre Erfahrung in der Betreuung mittelständischer Unternehmen – in Softwareentwicklung, Unternehmensberatung und Unternehmensentwicklung. Mit GrisaKI hat er eine intuitive SaaS-Software entwickelt, mit der Unternehmen ihre Prozesse einfach und schnell automatisieren.
Mehr über GrisaKIQuellen
- Verordnung (EU) 2016/679 (DSGVO), insbesondere Art. 22, 26, 28, 44 bis 46: EUR-Lex; Wortlaut Art. 28 und Art. 22 auch bei dsgvo-gesetz.de, abgerufen am 23.10.2026
- Durchführungsbeschluss (EU) 2021/915 der Kommission vom 04.06.2021 über Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern: EUR-Lex, abgerufen am 23.10.2026
- Durchführungsbeschluss (EU) 2021/914 der Kommission vom 04.06.2021 über Standardvertragsklauseln für die Übermittlung in Drittländer: EUR-Lex, abgerufen am 23.10.2026
- Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10.07.2023 (EU-US Data Privacy Framework): EUR-Lex; Teilnehmerliste: dataprivacyframework.gov, abgerufen am 23.10.2026
- Gericht der EU: Pressemitteilung Nr. 106/25 vom 03.09.2025, Rechtssache T-553/23 Latombe/Kommission; Rechtsmittel C-703/25 P: Verfahrensübersicht curia, abgerufen am 23.10.2026
- Gerichtshof der EU: Pressemitteilung Nr. 186/23 vom 07.12.2023, Rechtssache C-634/21 SCHUFA Holding (Scoring), abgerufen am 23.10.2026
- Datenschutzkonferenz: Orientierungshilfe Künstliche Intelligenz und Datenschutz, Version 1.0 vom 06.05.2024, Abschnitte 1.6, 1.9, 2.1, 2.4, abgerufen am 23.10.2026
- Europäisches Parlament, Legislative Observatory: Verfahren 2025/0360(COD) zum Vorschlag COM(2025) 837 (Digital Omnibus), abgerufen am 23.10.2026
- OpenAI: Data Processing Addendum (gültig ab 01.01.2026), Enterprise privacy, How your data is used to improve model performance, abgerufen am 23.10.2026
- Anthropic: Commercial Terms of Service, Data Processing Addendum, Updates to Consumer Terms, abgerufen am 23.10.2026
- Microsoft: Products and Services Data Protection Addendum, Data, Privacy, and Security for Microsoft Copilot, abgerufen am 23.10.2026
- Google: Cloud Data Processing Addendum, Alternative Transfer Solution, Generative AI in Google Workspace Privacy Hub, Gemini API Additional Terms of Service, abgerufen am 23.10.2026
Keine Rechtsberatung. Dieser Beitrag gibt den Stand vom 23.10.2026 wieder und ersetzt keine Rechtsberatung. Die Orientierungshilfe der Datenschutzkonferenz ist nicht verbindlich, verbindlich auslegen kann die DSGVO nur der Gerichtshof der EU. Anbieterangaben können sich ändern. Für Ihren konkreten Einsatz fragen Sie bitte Ihren Datenschutzbeauftragten oder eine Anwältin oder einen Anwalt.