Was ist Auftragsverarbeitungsvertrag?

Die Rollenverteilung ist dabei der Kern: Ihr Unternehmen bleibt verantwortlich und entscheidet, welche Daten zu welchem Zweck verarbeitet werden. Der Anbieter handelt weisungsgebunden und darf die Daten nicht für eigene Zwecke nutzen. Art. 28 DSGVO verlangt, dass ein Auftragsverarbeiter hinreichende Garantien bietet und die Verarbeitung auf Grundlage eines Vertrags erfolgt. Bei KI-Werkzeugen ist genau dieser Punkt oft der erste, an dem eine Einführung ins Stocken gerät.

Praktisch bekommen Sie den Vertrag entweder als Standarddokument zum Abruf oder als Anlage zum Rahmenvertrag. In unserer geprüften Auswahl ist die Lage unterschiedlich: DeutschlandGPT, innoGPT, nele.ai, moinAI, melibo, Make und n8n verweisen Stand 08/2026 auf ihren Seiten auf einen AV-Vertrag, bei Langdock, BOTfriends, Konfuzio und Parashift war beim Prüflauf keiner öffentlich abrufbar. Das heißt nicht, dass keiner existiert, es heißt, dass Sie ihn anfragen müssen.

Der typische Fehler besteht darin, das Dokument nur abzuheften. Ein Auftragsverarbeitungsvertrag ist kein Formblatt, sondern eine Beschreibung dessen, was tatsächlich passiert: Wer sind die weiteren Dienstleister, wo wird gerechnet, wie lange werden Eingaben gespeichert, was geschieht am Vertragsende. Weicht die Beschreibung von Ihrem geplanten Einsatz ab, etwa weil Sie Bewerbungsunterlagen einspeisen wollen, deckt der Vertrag Ihren Fall nicht ab.

Ob Sie überhaupt einen brauchen, hängt daran, ob personenbezogene Daten in das Werkzeug gelangen. Bei einem Assistenten, in den Mitarbeitende Kundenmails einfügen, ist das praktisch immer der Fall. Bei einem Werkzeug, das ausschließlich anonyme Produkttexte erzeugt, kann die Antwort anders ausfallen. Diese Abgrenzung sollten Sie schriftlich festhalten und für Ihren Fall prüfen lassen, statt sie im Einzelfall zu improvisieren.

Punkte, die Sie im Vertrag wiederfinden sollten

• Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Datenkategorien.
• Namentliche Liste der weiteren Dienstleister und das Verfahren, wenn neue hinzukommen.
• Die Verarbeitungsorte und der Umgang mit Übermittlungen in Drittländer.
• Die technischen und organisatorischen Maßnahmen als Anlage.
• Löschung oder Rückgabe der Daten am Ende des Vertrags und Ihre Kontrollrechte.

Welche Begriffe hängen damit zusammen?

• Subprozessor: Ein weiterer Dienstleister, den Ihr Anbieter einsetzt. Bei KI gehört fast immer ein Modellanbieter dazu.
• DSGVO: Die europäische Datenschutzverordnung. Sie regelt, auf welcher Grundlage personenbezogene Daten verarbeitet werden dürfen.
• Verarbeitungsort: Der Ort, an dem Daten tatsächlich verarbeitet werden. Er kann vom Firmensitz des Anbieters abweichen.

Wo wird Auftragsverarbeitungsvertrag in der Auswahl konkret?

Begriffe helfen erst, wenn sie an einer Entscheidung hängen. Auftragsverarbeitungsvertrag spielt vor allem in KI-Assistenten & LLM-Plattformen und Dokumente & Verwaltung eine Rolle. Dort sehen Sie, wie die geprüften Lösungen mit dem Punkt umgehen, jeweils mit Quelle und Stand-Datum. Ausführlicher steht das auf KI und DSGVO.