Was ist eine Auftragsverarbeitung in einem Satz?

Eine Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag und nach Ihren Weisungen verarbeitet, statt eigenständig über Zweck und Mittel zu entscheiden. Der schriftliche Rahmen dafür ist der Auftragsverarbeitungsvertrag, kurz AVV.

Brauche ich für jeden KI-Dienst eine AVV?

Das hängt davon ab, ob der Dienst personenbezogene Daten in Ihrem Auftrag verarbeitet. Tut er das, ist eine Vereinbarung zur Auftragsverarbeitung in der Regel das passende Instrument. Verarbeitet ein Dienst gar keine personenbezogenen Daten, stellt sich die Frage anders. Ob im konkreten Fall eine AVV nötig und ausreichend ist, gehört in eine fachkundige rechtliche Prüfung.

Worauf sollte ich bei einer AVV für KI-Dienste achten?

Hilfreiche Orientierungspunkte sind unter anderem: Wo werden die Daten verarbeitet (EU oder Drittland)? Werden Eingaben zum Training des Modells verwendet oder nicht? Welche Unterauftragnehmer sind beteiligt? Wie wird gelöscht? Diese Punkte helfen beim ersten Eindruck. Die abschließende Bewertung des Vertrags gehört zu Datenschutzbeauftragten oder fachkundigen Juristinnen und Juristen.

Macht eine AVV den KI-Einsatz automatisch DSGVO-konform?

Nein. Eine Auftragsverarbeitung ist ein wichtiger Baustein, aber nur einer von mehreren. DSGVO-Konformität umfasst zusätzlich Rechtsgrundlage, Transparenz, Betroffenenrechte, Löschkonzepte und Dokumentation. Eine AVV regelt das Verhältnis zum Dienstleister — sie ersetzt keine umfassende rechtliche Prüfung des Gesamteinsatzes.

Wissen · Aktualisiert: 4. Juni 2026

Auftragsverarbeitung bei KI-Diensten — einfach erklärt

Sobald ein KI-Dienst Daten in Ihrem Auftrag verarbeitet, taucht ein Begriff auf: Auftragsverarbeitung, oft kurz AVV. Dieser Beitrag erklärt allgemeinverständlich, was dahintersteckt, warum es wichtig ist und worauf man achten kann. Er ist eine Einführung, keine Rechtsberatung — die rechtliche Bewertung gehört in fachkundige Hände.

Von Slava Spitsyn · AI Builder · Redaktionelle Grundsätze (englisch)

Wenn ein externer KI-Dienst personenbezogene Daten für Sie verarbeitet, geschieht das nicht im rechtsfreien Raum: Er handelt in Ihrem Auftrag. Genau das beschreibt der Begriff Auftragsverarbeitung — oft abgekürzt als AVV, der Auftragsverarbeitungsvertrag. Vereinfacht ist das der vertragliche Rahmen dafür, dass ein Dienstleister Daten nur nach Ihren Weisungen und unter klaren Pflichten verarbeitet, statt frei über sie zu verfügen. Dieser Beitrag erklärt das allgemeinverständlich. Er ist eine Einführung, keine Rechtsberatung; die rechtliche Bewertung gehört in fachkundige Hände.

Was Auftragsverarbeitung bedeutet

Stellen Sie sich vor, Sie geben Ihre Buchhaltung an ein externes Büro. Dieses Büro verarbeitet die Daten Ihrer Kundinnen und Kunden — aber nicht für eigene Zwecke, sondern weil Sie es beauftragt haben. Es folgt Ihren Vorgaben.

Bei einem KI-Dienst ist es ähnlich: Wenn Sie einen Cloud-Anbieter nutzen, um Texte mit personenbezogenen Inhalten zu verarbeiten, übernimmt dieser Anbieter die Rolle eines Auftragsverarbeiters. Die Auftragsverarbeitung ist der rechtliche Rahmen, der festhält, dass der Dienst diese Daten nur in Ihrem Auftrag und nach Ihren Weisungen verarbeitet — und welche Pflichten dabei gelten.

Warum das im KI-Kontext besonders wichtig ist

KI-Dienste sind oft datenhungrig und arbeiten mit den Inhalten, die Sie ihnen geben. Gerade deshalb ist es bedeutsam, das Verhältnis zum Anbieter klar zu regeln. Zwei Punkte machen das KI-Thema besonders:

Eingaben können wertvoll für den Anbieter sein. Manche Dienste nutzen eingegebene Daten, um ihre Modelle weiterzuentwickeln. Ob das geschieht oder ausgeschlossen ist, macht für den Datenschutz einen großen Unterschied — und wird typischerweise in den Vertragsbedingungen geregelt.
Der Verarbeitungsort ist nicht selbstverständlich. Viele bekannte KI-Anbieter betreiben ihre Dienste außerhalb der EU. Wo die Verarbeitung stattfindet und welche Schutzmechanismen greifen, ist ein zentraler Bestandteil der Vereinbarung.

Eine klare Auftragsverarbeitung schafft hier Verlässlichkeit, statt sich auf Annahmen zu verlassen.

Worauf man achten kann

Ohne in die rechtliche Tiefe zu gehen, helfen einige Orientierungsfragen, einen ersten Eindruck zu gewinnen:

Verarbeitungsort: Findet die Verarbeitung in der EU statt oder in einem Drittland?
Nutzung der Eingaben: Werden Ihre Eingaben zum Training der Modelle verwendet — oder ist das ausgeschlossen?
Unterauftragnehmer: Welche weiteren Dienstleister zieht der Anbieter hinzu?
Löschung: Wie und wann werden Daten gelöscht?

Diese Fragen helfen, ein Angebot einzuordnen. Sie ersetzen aber nicht die fachkundige Prüfung des konkreten Vertrags — diese gehört zu Datenschutzbeauftragten oder fachkundigen Juristinnen und Juristen.

Ein Baustein, nicht die ganze Lösung

Wichtig für die richtige Erwartung: Eine Auftragsverarbeitung regelt das Verhältnis zwischen Ihnen und dem Dienstleister. Sie ist ein wesentlicher Baustein eines datenschutzbewussten KI-Einsatzes — aber nicht der einzige. Daneben stehen Fragen wie Rechtsgrundlage, Transparenz, Betroffenenrechte und Dokumentation. Diese Aspekte ordnet der Überblick KI und Datenschutz: Die wichtigsten Fragen ein.

Eine AVV macht einen KI-Einsatz also nicht automatisch DSGVO-konform. Sie ist ein wichtiger Teil des Gesamtbildes — und eine durchdachte technische Gestaltung senkt das Risiko, ersetzt aber keine rechtliche Prüfung.

Fazit

Die Auftragsverarbeitung ist der vertragliche Rahmen dafür, dass ein KI-Dienstleister personenbezogene Daten nur in Ihrem Auftrag und nach Ihren Weisungen verarbeitet. Gerade bei datenhungrigen KI-Diensten ist sie ein zentraler Baustein, weil sie Fragen wie Verarbeitungsort, Nutzung der Eingaben und Löschung verbindlich regelt. Sie ist allerdings nur ein Teil des Ganzen — die abschließende rechtliche Bewertung gehört in fachkundige Hände. Wie sie sich in den größeren Rahmen einfügt, zeigt der Leitfaden KI DSGVO-konform einsetzen.