KI-Auftragsverarbeitungs
vertrag, Vorlage
Ein KI-Auftragsverarbeitungsvertrag regelt, wie ein KI-Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet. Diese bearbeitbare Word-Vorlage behandelt zulässige Nutzung, Trainingsbeschränkungen, Unterauftragsverarbeiter, Sicherheit, Übermittlungen und Löschung.
Was gehört in einen Vertrag mit einem KI-Anbieter?
Prüfen Sie zuerst die Rolle des Anbieters und die tatsächlichen Datenflüsse. Klären Sie dann Prompts, Ausgaben, Training, Aufbewahrung und Unterauftragsverarbeiter. Passen Sie die Klauseln an den Dienst und das geltende Recht an.
Die DPA-Vorlage
Klappen Sie jeden Abschnitt auf, um die Vorlagenklauseln anzuzeigen. Lassen Sie sie vor der Unterzeichnung von Ihrer Rechtsberatung prüfen und anpassen. Hinweis: Dies ist eine Vorlage, keine Rechtsberatung.
1Abschnitt 1, Geltungsbereich & Gegenstand
Dieser Auftragsverarbeitungsvertrag („Vertrag") ist Bestandteil des Rahmendienstleistungsvertrags zwischen [Name des Verantwortlichen] („Verantwortlicher") und [Name des Auftragsverarbeiters/Anbieters] („Auftragsverarbeiter").
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zum Zweck der Bereitstellung von [KI-Dienst beschreiben, z. B. KI-gestützte Dokumentenanalyse, KI-Schreibassistenz, KI-Codegenerierung] gemäß dem Rahmendienstleistungsvertrag.
Die Verarbeitungstätigkeiten können das Erheben, Speichern, Analysieren, Strukturieren, Abrufen, Verwenden, Offenlegen und Löschen personenbezogener Daten umfassen, soweit dies zur Erbringung der vertraglich vereinbarten Dienste erforderlich ist. Die Verarbeitung erfolgt ausschließlich in automatisierter Form, sofern nicht schriftlich anders vereinbart.
[z. B. Mitarbeitende und Auftragnehmer des Verantwortlichen; Kunden und Interessenten des Verantwortlichen; Endnutzer der Produkte des Verantwortlichen, nach Bedarf anpassen]
[z. B. Namen, E-Mail-Adressen, Berufsbezeichnungen, berufliche Kommunikation, Dokumentinhalte, Nutzungsdaten, anhand der tatsächlichen Datenflüsse anpassen. Geben Sie gesondert an, ob besondere Kategorien von Daten nach Artikel 9 DSGVO verarbeitet werden]
Die Verarbeitung dauert für die Laufzeit des Rahmendienstleistungsvertrags an und bis alle personenbezogenen Daten gemäß Abschnitt 6 dieses Vertrags zurückgegeben oder gelöscht sind.
Wichtig: KI-spezifische Klausel, der Auftragsverarbeiter darf die personenbezogenen Daten, Prompts oder Ausgaben des Verantwortlichen nicht verwenden, um seine KI-Modelle oder KI-Modelle Dritter zu trainieren, feinabzustimmen oder zu verbessern. Die Verarbeitung beschränkt sich ausschließlich auf die Erbringung der vertraglich vereinbarten Dienste.
2Abschnitt 2, Pflichten des Verantwortlichen & Auftragsverarbeiters
Pflichten des Auftragsverarbeiters
- Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, auch im Hinblick auf Übermittlungen in Drittländer
- Sicherstellen, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen
- Die in Abschnitt 4 beschriebenen technischen und organisatorischen Sicherheitsmaßnahmen umsetzen und aufrechterhalten
- Den Verantwortlichen unverzüglich informieren, falls nach Auffassung des Auftragsverarbeiters eine Weisung gegen geltendes Datenschutzrecht verstößt
- Keinen Unterauftragsverarbeiter ohne vorherige spezifische oder allgemeine schriftliche Genehmigung des Verantwortlichen beauftragen, wie in Abschnitt 3 beschrieben
- Den Verantwortlichen bei der Erfüllung von Anträgen auf Wahrnehmung von Betroffenenrechten (Auskunft, Löschung, Übertragbarkeit, Einschränkung) innerhalb von 5 Werktagen nach Eingang eines Antrags unterstützen
- Den Verantwortlichen dabei unterstützen, die Einhaltung der Pflichten in Bezug auf Sicherheit, Meldung von Verletzungen, DSFA und vorherige Konsultation der Aufsichtsbehörden sicherzustellen
- Alle personenbezogenen Daten am Ende des Dienstverhältnisses gemäß Abschnitt 6 löschen oder an den Verantwortlichen zurückgeben
- Alle Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und Überprüfungen durch den Verantwortlichen oder einen beauftragten Prüfer ermöglichen und dazu beitragen
Pflichten des Verantwortlichen
- Sicherstellen, dass für alle dem Auftragsverarbeiter bereitgestellten personenbezogenen Daten eine gültige Rechtsgrundlage besteht
- Sicherstellen, dass die betroffenen Personen über die Verarbeitung mittels der Datenschutzerklärung des Verantwortlichen informiert wurden, bevor Daten an den Auftragsverarbeiter übermittelt werden
- Weisungen erteilen, die geltendem Datenschutzrecht entsprechen
- Eine Datenschutz-Folgenabschätzung (DSFA) durchführen, sofern vor dem Einsatz des KI-Dienstes erforderlich
3Abschnitt 3, Verwaltung von Unterauftragsverarbeitern
KI-Anbieter nutzen in der Regel mehrere Unterauftragsverarbeiter für Modellhosting, Rechenleistung, Speicherung und Infrastruktur. Dieser Abschnitt regelt diese Beziehungen.
Allgemeine Genehmigung & Benachrichtigung
Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung zur Beauftragung von Unterauftragsverarbeitern gemäß Anhang B (Liste der Unterauftragsverarbeiter). Der Auftragsverarbeiter muss den Verantwortlichen mindestens [30] Tage vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters schriftlich benachrichtigen. Der Verantwortliche hat das Recht, neuen Unterauftragsverarbeitern innerhalb von [14] Tagen nach der Benachrichtigung zu widersprechen. Widerspricht der Verantwortliche und können die Parteien den Widerspruch nicht beilegen, kann der Verantwortliche die betroffenen Dienste ohne Vertragsstrafe kündigen.
Anforderungen an die Liste der Unterauftragsverarbeiter (Anhang B muss enthalten)
- Name und eingetragene Anschrift des Unterauftragsverarbeiters
- Land der Verarbeitung (einschließlich des Standorts der Rechenzentrumsinfrastruktur)
- Vom Unterauftragsverarbeiter erbrachte Dienste
- Kategorien der verarbeiteten personenbezogenen Daten
- Angewandter Übermittlungsmechanismus (EU-Angemessenheitsbeschluss, SCCs, BCRs oder andere)
Weitergabepflichten
Der Auftragsverarbeiter erlegt allen Unterauftragsverarbeitern vertraglich dieselben in diesem Vertrag festgelegten Datenschutzpflichten auf. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Erfüllung der Pflichten der Unterauftragsverarbeiter voll verantwortlich. Der Auftragsverarbeiter legt auf Anfrage Nachweise über die Verträge der Unterauftragsverarbeiter vor.
4Abschnitt 4, Datensicherheitsmaßnahmen
Der Auftragsverarbeiter setzt mindestens die folgenden technischen und organisatorischen Maßnahmen um und hält sie aufrecht. Nachweise über die Einhaltung sind auf Anfrage oder per Prüfung vorzulegen.
- Alle personenbezogenen Daten im Ruhezustand mit AES-256 oder gleichwertig verschlüsselt
- Alle Daten bei der Übertragung mit TLS 1.2 oder höher verschlüsselt
- Verschlüsselungsschlüssel mit HSM oder gleichwertigem Schlüsselverwaltungssystem verwaltet
- Kundendaten in logisch isolierten Umgebungen gespeichert
- Rollenbasierte Zugriffskontrolle (RBAC) nach dem Prinzip der geringsten Rechte
- Multi-Faktor-Authentifizierung (MFA) für alle privilegierten Zugriffe erforderlich
- Zugriffsprotokolle geführt und überprüft; privilegierter Zugriff vierteljährlich überprüft
- Zuverlässigkeitsprüfungen für Personal mit Zugriff auf personenbezogene Daten
- Jährlicher Penetrationstest durch eine unabhängige externe Sicherheitsfirma
- Schwachstellen-Scans mindestens monatlich durchgeführt
- Kritische Schwachstellen innerhalb von 72 Stunden behoben; hohe innerhalb von 14 Tagen
- Bug-Bounty-Programm oder gleichwertiger verantwortungsvoller Offenlegungsprozess
- ISO-27001-Zertifizierung (oder gleichwertig), Zertifikat auf Anfrage vorlegen
- SOC-2-Type-II-Prüfbericht, auf Anfrage unter NDA vorlegen
- Jährliche externe Sicherheitsbewertung
- Prüfungsrecht durch den Verantwortlichen oder einen beauftragten Dritten mit 30 Tagen Vorankündigung
- Vom Verantwortlichen übermittelte Daten von den Daten anderer Kunden isoliert
- Prompt- und Ausgabeprotokolle für [X Tage] aufbewahrt und dann gelöscht
- Modelltraining von Kundendaten abgeschottet, durch technische Bestätigung bestätigt
- Versionierung von KI-Modellen und Change-Management-Prozess dokumentiert
- Recovery Time Objective (RTO): [X Stunden], mit dem Anbieter bestätigen
- Recovery Point Objective (RPO): [X Stunden], mit dem Anbieter bestätigen
- Geschäftskontinuitätsplan jährlich getestet
- Verfügbarkeits-SLA: [X] %, wie im Rahmenvertrag angegeben
5Abschnitt 5, Grenzüberschreitende Datenübermittlungen
Dieser Abschnitt gilt, wenn personenbezogene Daten mit Ursprung im Europäischen Wirtschaftsraum (EWR) oder im Vereinigten Königreich in ein Land übermittelt werden, das nicht von einem EU- oder UK-Angemessenheitsbeschluss erfasst ist, oder aus einem solchen Land abgerufen werden.
Werden personenbezogene Daten aus dem EWR in ein Drittland übermittelt, schließt der Auftragsverarbeiter die EU-Standardvertragsklauseln (Durchführungsbeschluss 2021/914 der Kommission) entsprechend ab. Das einschlägige Modul (Verantwortlicher an Auftragsverarbeiter) wird durch Verweis in diesen Vertrag aufgenommen. Der Auftragsverarbeiter unterhält abgeschlossene SCCs mit allen Unterauftragsverarbeitern, die personenbezogene Daten aus dem EWR verarbeiten.
Werden personenbezogene Daten aus dem Vereinigten Königreich übermittelt, schließt der Auftragsverarbeiter das UK IDTA oder den UK-Zusatz zu den EU-SCCs entsprechend ab. Der Auftragsverarbeiter legt auf Anfrage Nachweise über abgeschlossene UK-Übermittlungsmechanismen vor.
Der Auftragsverarbeiter wirkt mit dem Verantwortlichen bei der Durchführung jeder nach geltendem Datenschutzrecht erforderlichen Transfer-Folgenabschätzung mit. Der Auftragsverarbeiter stellt Informationen über den rechtlichen Rahmen des Bestimmungslandes und etwaige Zugriffsrechte von Behörden bereit, die den Schutz der nach diesem Vertrag übermittelten personenbezogenen Daten beeinträchtigen könnten.
Werden personenbezogene Daten in ein Land übermittelt, das von einem EU- oder UK-Angemessenheitsbeschluss erfasst ist (z. B. Übermittlungen in die Vereinigten Staaten, die vom EU-US Data Privacy Framework erfasst sind), zertifiziert sich der Auftragsverarbeiter nach dem einschlägigen Rahmen oder hält die Zertifizierung aufrecht und benachrichtigt den Verantwortlichen unverzüglich bei Verlust oder Aussetzung dieser Zertifizierung.
6Abschnitt 6, Meldung von Verletzungen & Kündigung
Meldung von Verletzungen
Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich und innerhalb von 24 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die die Daten des Verantwortlichen betrifft. Diese Frist ist erforderlich, damit der Verantwortliche seiner Pflicht nach Artikel 33 DSGVO nachkommen kann, die Aufsichtsbehörden innerhalb von 72 Stunden zu benachrichtigen.
Die Meldung der Verletzung muss, soweit verfügbar, enthalten:
- Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und betroffenen Datensätze
- Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle
- Wahrscheinliche Folgen der Verletzung
- Ergriffene oder vorgeschlagene Maßnahmen zur Behebung der Verletzung, einschließlich Maßnahmen zur Abmilderung möglicher nachteiliger Auswirkungen
- Zeitliche Angaben dazu, wann die Verletzung erstmals entdeckt wurde und von wem
Kontakt für die Meldung von Verletzungen: [E-Mail des Sicherheits-/DSB-Kontakts des Verantwortlichen]
Rückgabe & Löschung von Daten bei Kündigung
- Bei Ablauf oder Kündigung des Rahmendienstleistungsvertrags stellt der Auftragsverarbeiter die Verarbeitung der personenbezogenen Daten des Verantwortlichen unverzüglich ein
- Der Auftragsverarbeiter gibt nach Wahl des Verantwortlichen entweder alle personenbezogenen Daten innerhalb von [30] Tagen in einem gängigen maschinenlesbaren Format an den Verantwortlichen zurück oder löscht alle personenbezogenen Daten innerhalb von [30] Tagen sicher
- Der Auftragsverarbeiter stellt eine schriftliche Bestätigung der Löschung bereit, einschließlich der verwendeten Löschmethode und des Löschdatums
- Der Auftragsverarbeiter darf personenbezogene Daten nur insoweit aufbewahren, als dies nach geltendem Recht erforderlich ist, und nur für die nach diesem Recht erforderliche Dauer
- Unterauftragsverarbeiter unterliegen denselben Rückgabe-/Löschpflichten, und der Auftragsverarbeiter bestätigt die Löschung durch Unterauftragsverarbeiter innerhalb von [45] Tagen nach Kündigung
Prüfungsrechte
Der Verantwortliche oder sein beauftragter Prüfer kann die Einhaltung dieses Vertrags durch den Auftragsverarbeiter mit einer schriftlichen Vorankündigung von [30] Tagen überprüfen, höchstens einmal pro Kalenderjahr (sofern keine Verletzung aufgetreten ist). Der Auftragsverarbeiter wirkt bei allen Prüfungen umfassend mit und gewährt Zugang zu relevanten Systemen, Prozessen und Personal. Der Auftragsverarbeiter kann Prüfungsrechte erfüllen, indem er ein aktuelles ISO-27001-Zertifikat oder einen SOC-2-Type-II-Bericht gegebenenfalls unter NDA vorlegt.
So verhandeln Sie ein DPA mit einem KI-Anbieter
Befolgen Sie diese Schritte, um ein DPA mit Ihren KI-Anbietern zu prüfen, zu verhandeln und abzuschließen. Beziehen Sie Ihre Rechtsberatung und Ihren DSB während des gesamten Prozesses ein.
FAQ
Häufig gestellte Fragen
Brauche ich mit jedem KI-Anbieter ein DPA?
Dürfen KI-Anbieter meine Daten zum Trainieren ihrer Modelle verwenden?
Was sollte ich in der Liste der Unterauftragsverarbeiter eines KI-Anbieters prüfen?
Was ist die 72-Stunden-Meldepflicht bei Verletzungen?
Verfolgen Sie den DPA-Status über alle Ihre KI-Anbieter
Aona pflegt ein Live-Anbieterregister, das verfolgt, welche KI-Tools DPAs abgeschlossen haben, welche zur Prüfung anstehen und welche zur Verlängerung gekennzeichnet sind. Verschaffen Sie sich vollständige Transparenz über die Compliance-Lage Ihrer KI-Anbieter ohne Tabellenpflege.