AVV bei KI-Tools: Checkliste für Unternehmen

AVV bei KI-Tools: Was Unternehmen vor der Nutzung prüfen sollten

KI-Tools verarbeiten häufig Prompts, Dateien, Metadaten oder personenbezogene Informationen. Unternehmen sollten deshalb vor dem Rollout klären, ob ein AVV/DPA erforderlich ist und welche Datenschutzbausteine wirklich greifen.

Kurzantwort

Ein AVV bei KI-Tools ist relevant, wenn personenbezogene Daten im Auftrag verarbeitet werden. Unternehmen sollten aber nicht beim Vertrag stehen bleiben: Subprozessoren, Datenflüsse, No Training, Löschung, Audit Logs und interne Nutzungsregeln sind genauso wichtig.

Was ist ein AVV bei KI-Tools?

Definition

Ein AVV regelt die Auftragsverarbeitung personenbezogener Daten nach Art. 28 DSGVO. Bei KI-Tools ist er besonders wichtig, weil Eingaben, Dateien, Metadaten und Ausgaben je nach Nutzung personenbezogene oder vertrauliche Informationen enthalten können.

Der AVV ist ein Vertragsbaustein. Er beantwortet aber nicht automatisch alle Fragen zur praktischen KI-Nutzung. Deshalb sollte er mit der DSGVO-Checkliste für KI im Unternehmen, der Plattform-Auswahl und internen Regeln verbunden werden.

AVV-Checkliste für KI-Tools

Prüfpunkt	Frage
Rollen klären	Ist der Anbieter Auftragsverarbeiter, Verantwortlicher oder beides je nach Funktion?
Datenarten definieren	Welche personenbezogenen, vertraulichen oder besonderen Daten können eingegeben werden?
Subprozessoren prüfen	Welche Drittanbieter, Regionen und Dienste sind beteiligt?
Training ausschließen	Werden Eingaben, Dateien oder Ausgaben für Modelltraining verwendet?
Löschung prüfen	Wie lange bleiben Inhalte, Logs und Metadaten gespeichert?
Auditierbarkeit sichern	Gibt es Logs, Adminfunktionen und nachvollziehbare Kontrollen?

Besondere KI-Fragen im AVV

Bei klassischen SaaS-Tools ist die Auftragsverarbeitung oft gut eingespielt. KI-Tools bringen zusätzliche Fragen mit: Werden Prompts gespeichert? Werden Dateien analysiert? Werden Inhalte zur Verbesserung von Modellen verwendet? Können Admins Nutzung nachvollziehen?

Lurus adressiert diese Punkte über DPA/AVV-Informationen, No Training und Zero Data Retention sowie Audit-Log-Mechanismen. Das macht die Prüfung konkreter, ersetzt aber keine individuelle Bewertung.

Distribution-Asset

AVV-/DPA-Prüfliste für KI-Tools

Die Prüfliste kann Datenschutzbeauftragten, IT und Einkauf als Gesprächsleitfaden dienen: Rollen, Datenarten, Subprozessoren, Trainingsnutzung, Löschung und Auditierbarkeit prüfen.

AVV-Fragen mit Lurus besprechen →

AVV, Kosten und Anbieterwahl zusammen prüfen

Ein günstiger Listenpreis hilft wenig, wenn Datenschutzprüfung, Schulung und Governance später separat aufgebaut werden müssen. Vergleichen Sie deshalb auch Preise, Sicherheitsfunktionen und Einführungsaufwand. Für die strukturierte Auswahl hilft der Leitfaden zur KI-Plattform für Unternehmen.

Quellen- und Rechtsstand

Stand: 12.05.2026. Grundlage ist insbesondere Art. 28 DSGVO zur Auftragsverarbeitung. Diese Seite ist keine Rechtsberatung und ersetzt keine Prüfung des konkreten Einsatzfalls.

FAQ zum AVV bei KI-Tools

Braucht man für KI-Tools einen AVV? +

Wenn ein KI-Tool personenbezogene Daten im Auftrag verarbeitet, ist in der Regel ein AVV nach Art. 28 DSGVO zu prüfen. Ob ein AVV erforderlich ist, hängt vom konkreten Einsatzfall, den Daten und der Rollenverteilung ab.

Was muss in einem AVV für KI-Tools stehen? +

Wichtig sind Gegenstand, Dauer, Art und Zweck der Verarbeitung, Kategorien personenbezogener Daten, Betroffenenkategorien, Subprozessoren, technische und organisatorische Maßnahmen, Löschung, Weisungen und Kontrollrechte.

Reicht ein AVV für DSGVO-konforme KI-Nutzung? +

Nein. Ein AVV ist nur ein Baustein. Zusätzlich sollten Datenminimierung, Rechtsgrundlage, Drittlandtransfer, Trainingsnutzung, Rollenrechte, interne Richtlinien und Schulung geprüft werden.

Dürfen Eingaben für KI-Training verwendet werden? +

Das hängt vom Anbieter und Vertrag ab. Unternehmen sollten explizit prüfen, ob Eingaben, Dateien oder Ausgaben für Modelltraining, Produktverbesserung oder Auswertung verwendet werden. Lurus setzt für angebotene Modelle auf No Training.

Wie unterstützt Lurus beim DPA/AVV-Thema? +

Lurus stellt Datenschutzinformationen, DPA/AVV, No Training, Zero Data Retention und Auditierbarkeitsbausteine bereit. Die konkrete Bewertung sollte trotzdem am jeweiligen Einsatzfall erfolgen.

So setzen Sie das Thema strukturiert um

Rollen und Verarbeitungskette vor dem Vertrag prüfen

Ob ein AVV erforderlich ist, hängt vom konkreten Einsatz und der datenschutzrechtlichen Rollenverteilung ab. Prüfen Sie nicht nur den Namen des Produkts, sondern welche Funktion personenbezogene Daten verarbeitet, zu welchem Zweck dies geschieht und wer über Mittel und Zwecke entscheidet. Einzelne Funktionen desselben Dienstes können unterschiedlich zu bewerten sein.

Zur Verarbeitungskette gehören auch Subprozessoren und mögliche Drittlandübermittlungen. Unternehmen sollten nachvollziehen können, welche Dienste beteiligt sind, wo relevante Informationen bereitgestellt werden und wie Änderungen mitgeteilt werden. Der AVV sollte mit Datenschutzhinweisen, Subprozessorliste und technischen Maßnahmen zusammen gelesen werden.

Einsatzfall, Datenkategorien und Betroffenengruppen konkret beschreiben.
Löschung, Rückgabe, Weisungen und Kontrollmöglichkeiten nachvollziehen.
Subprozessoren und Änderungen regelmäßig erneut prüfen.

Vertrag und tatsächliche Nutzung zusammenhalten

Ein passender Vertrag verhindert nicht, dass Nutzer ungeeignete Daten eingeben oder freigegebene Zwecke überschreiten. Ergänzen Sie die Vertragsprüfung deshalb durch interne Regeln, Rollenrechte und Schulungen. Legen Sie fest, welche Daten nicht verwendet werden sollen und wie Beschäftigte Unsicherheiten melden.

Auch nach der Einführung bleibt die Prüfung aktuell. Neue Funktionen, geänderte Speicheroptionen oder weitere Integrationen können den Datenfluss verändern. Ein fester Verantwortlicher sollte Anbieterinformationen beobachten und bei wesentlichen Änderungen Datenschutz, IT und Fachbereich erneut einbeziehen. Diese Hinweise ersetzen keine Rechtsberatung.