Auftragsverarbeitungsvertrag mit dem KI-Anbieter: Was sollten Sie prüfen?
Kurze Antwort
Verarbeitet ein KI-Dienst personenbezogene Daten für Sie, ist er Auftragsverarbeiter, und Sie brauchen einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Die großen Dienste haben Standardverträge in ihren Business-Tarifen. Prüfen Sie vor allem: dass die Daten nur nach Ihrer Weisung verarbeitet werden (kein Training), wo die Daten verarbeitet werden und auf welcher Grundlage sie übermittelt werden, Unterauftragsverarbeiter, Löschung und Sicherheit. Kostenlose und private Tarife haben in der Regel keinen AVV.
So sieht es bei den großen Diensten aus
| Dienst | Tarife | Training mit Ihren Daten? | Daten in der EU? | Auftragsverarbeitungsvertrag? | Eigene Connectors? |
|---|---|---|---|---|---|
| ChatGPT OpenAI, USA | Business (früher Team) und Enterprise | Nein. Unternehmensdaten werden standardmäßig nicht zum Training genutzt. | Nur Enterprise: Bei neuen Workspaces können Daten in der EU gespeichert und verarbeitet werden. Nicht Business. | Ja. Der Auftragsverarbeitungsvertrag ist Teil des Vertrags (OpenAI Ireland für EU-Kunden). | Ja. Eigene Connectors über den Entwicklermodus; ein Administrator schaltet ihn frei. |
| Claude Anthropic, USA | Team und Enterprise | Nein. Daten werden nicht zum Training genutzt, außer das Unternehmen stimmt selbst zu. | Nein. Daten werden in den USA gespeichert; eine Speicherung in der EU ist nicht wählbar. | Ja. Der Auftragsverarbeitungsvertrag ist automatisch Teil der kommerziellen Bedingungen. | Ja. Ein Inhaber fügt eigene Connectors für die gesamte Organisation hinzu. |
| Microsoft 365 Copilot Microsoft, USA | Zusatz zu Microsoft 365 für Unternehmen | Nein. Prompts, Antworten und Unternehmensdaten werden nicht zum Training genutzt. | Ja, innerhalb der EU Data Boundary. Bei neuen EU-Kunden können Anfragen bei Spitzenlast aber außerhalb der EU verarbeitet werden (Flex Routing); das lässt sich abschalten. | Ja. Abgedeckt durch die Produktbestimmungen und den Auftragsverarbeitungsvertrag von Microsoft. | Ja, über Agenten in Copilot Studio. Lizenzanforderungen nicht bestätigt. |
| Vibe (tidl. Le Chat) Mistral AI, Frankreich | Pro, Team und Enterprise | Pro und Team: standardmäßig ja; ein Administrator muss es abschalten. Enterprise: nein. | Server in der EU (Schweden). Einige Funktionen können Daten außerhalb der EU senden; nur Enterprise kann das abschalten. | Ja. Ob er auch Pro und Team abdeckt, ist nicht bestätigt. | Ja. Ein Administrator kann eigene Connectors hinzufügen. |
| Gemini i Google Workspace Google, USA | Workspace Business und Enterprise | Nein. Workspace-Daten und Prompts werden ohne Erlaubnis nicht zum Training genutzt. | Speicherung und Verarbeitung in der EU nur mit Enterprise Plus oder dem Zusatz Data Regions. Business: nur Speicherung. | Ja. Ein Administrator muss ihn in der Admin-Konsole akzeptieren, falls er nicht schon Teil des Vertrags ist. | Für Gemini in Workspace nicht bestätigt. |
Geprüft 9. Oktober 2026. Kostenlose und private Tarife (ChatGPT Free/Plus, Claude Free/Pro, Gemini-App, Vibe Free) haben keinen Auftragsverarbeitungsvertrag und können mit den Daten trainieren. Für personenbezogene Daten des Unternehmens sind sie nicht geeignet.
Die Falle: KI-Funktionen in anderen Tools
Viele Tools haben inzwischen KI-Funktionen – CRM, Buchhaltung, E-Mail. Prüfen Sie, ob der Vertrag auch die KI-Funktion abdeckt und ob sie Daten an einen Unterauftragsverarbeiter wie OpenAI oder Anthropic schickt.
So gehen Sie vor
- Weisung.Die Daten dürfen nur genutzt werden, um den Dienst für Sie zu erbringen – nicht zum Training.
- Ort und Übermittlung.Wo werden die Daten verarbeitet, und auf welcher Grundlage?
- Unterauftragsverarbeiter.Wer sind sie, und wie erfahren Sie von Änderungen?
- Löschung und Aufbewahrung.Wie lange werden Prompts und Antworten gespeichert?
- Sicherheit und Datenpannen.Welche Maßnahmen gibt es, und wie schnell erfahren Sie von einer Datenpanne?
Das sagt das Gesetz
- Art. 28 DSGVO – Auftragsverarbeiter
- Abs. 3 listet auf, was der Vertrag enthalten muss.
- Standardvertragsklauseln der Kommission (2021/915) – Art. 28
- Standardklauseln, die als Auftragsverarbeitungsvertrag genutzt werden können.
Fragen und Antworten
Hat ChatGPT einen AVV?
Ja, in Business und Enterprise. Für EU-Kunden wird er mit OpenAI Ireland geschlossen.
Müssen wir bei Anthropic etwas unterschreiben?
Der AVV ist automatisch Teil der kommerziellen Bedingungen von Anthropic.
Ist GoalCube Auftragsverarbeiter?
Ja. GoalCube verarbeitet personenbezogene Daten für Sie in der EU und schließt einen AVV mit Ihnen. Der KI-Dienst bekommt nur Pseudonyme.
Quellen
- Verordnung (EU) 2016/679 (DSGVO) auf EUR-Lex
- Durchführungsbeschluss (EU) 2021/915 (Standardvertragsklauseln nach Art. 28 DSGVO) auf EUR-Lex
Geschrieben von GoalCube-Redaktion. Zuletzt aktualisiert 11. Oktober 2026. GoalCube hilft Ihnen, die KI-Verordnung und die DSGVO einzuhalten. Es ist keine Rechtsberatung.
Seien Sie unter den Ersten.
Wir planen den Start im November 2026. Merken Sie sich vor, dann hören Sie von uns, sobald Sie loslegen können.