Ausführlich erklärt
Art. 28 DSGVO schreibt Mindestinhalte vor: Gegenstand und Dauer der Verarbeitung, Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, Unterauftragsverarbeiter sowie Löschung und Rückgabe der Daten.
Bei KI-Anbietern lohnt der Blick auf vier Punkte. Ist ausgeschlossen, dass Eingaben zum Training oder zu eigenen Zwecken des Anbieters genutzt werden? Wo werden die Daten verarbeitet, und welche Unterauftragsverarbeiter sind beteiligt, etwa die Anbieter der eigentlichen Sprachmodelle? Gehen Daten in Drittländer? Wie lange werden Eingaben und Ergebnisse gespeichert?
Sachverständige sind wegen ihrer fachlichen Weisungsfreiheit meist selbst Verantwortliche. Sind Sie im Einzelfall Auftragsverarbeiter, etwa nach einem Rahmenvertrag mit einem Versicherer, ist die KI-Plattform Ihr Unterauftragsverarbeiter. Dafür brauchen Sie die Genehmigung Ihres Auftraggebers (Art. 28 Abs. 2 DSGVO).
Ein AVV macht eine Verarbeitung nicht automatisch rechtmäßig. Er ersetzt weder die Rechtsgrundlage noch die Verschwiegenheitsverpflichtung, die öffentlich bestellte Sachverständige nach § 203 StGB brauchen.
Praxisregel
Keine Akte in ein KI-Werkzeug ohne AVV, ausgeschlossene Trainingsnutzung und bekannten Verarbeitungsort. Bei Versicherungs- und Kanzleiaufträgen klären Sie vorher, ob Ihr Auftraggeber zustimmen muss.
Quellen
- Datenschutz-Grundverordnung (EU) 2016/679
eur-lex.europa.eu
Verwandte Begriffe
- DSGVO – Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) regelt die Verarbeitung personenbezogener Daten.
- Schweigepflicht (§ 203 StGB) – Die Schweigepflicht nach § 203 StGB trifft öffentlich bestellte Sachverständige, die auf die gewissenhafte Erfüllung ihrer Obliegenheiten förmlich verpflichtet wurden (§ 203 Abs. 2 Satz 1 Nr. 5 StGB).
- Consumer- vs. Business-Lösung – Consumer- und Business-Lösungen sind das Verbraucher- und das Geschäftskundenangebot desselben KI-Dienstes.