AVV nach Art. 28 DSGVO beim KI-Einsatz
Der Auftragsverarbeitungsvertrag, kurz AVV, ist das Standardwerkzeug der DSGVO für den Umgang mit Dienstleistern. Er bindet den Auftragsverarbeiter an die Weisungen des Verantwortlichen und legt Pflichten zu Technik, Vertraulichkeit und Löschung fest.
Beim KI-Einsatz wird die Frage oft zu pauschal gestellt. Entscheidend ist, wer personenbezogene Daten verarbeitet und zu welcher Rechtsgrundlage. Wird ein Modell ausschließlich lokal betrieben, verringert sich der Vertragsbedarf deutlich.
Wann ein AVV überhaupt nötig ist
Ein AVV wird erforderlich, sobald ein externer Dienstleister personenbezogene Daten im Auftrag verarbeitet. Typische Fälle sind Cloud-Modelle, Hosting, Support mit Datenzugriff, Backup-Dienste und Telemetriedienste, die Eingaben mitschneiden.
Verarbeitet ein KI-System dagegen ausschließlich im eigenen Haus, bleibt die Kontrolle beim verantwortlichen Unternehmen. Ein Vertrag mit dem Hersteller ist dann nicht datenschutzrechtlich, sondern kaufrechtlich oder vertraglich erforderlich, etwa für Garantie und Support.
- Rechtsgrundlage und Rollenverteilung klären
- Liste aller Verarbeitungstätigkeiten erstellen
- AVV mit allen Auftragsverarbeitern schließen
- Unterauftragsverarbeiter genehmigen lassen
- Löschung, Rückgabe und Prüfrechte verankern
Die Inhalte eines belastbaren AVV
Ein AVV nach Art. 28 DSGVO regelt Gegenstand und Dauer der Verarbeitung, die Art und Zweck der Verarbeitung, die kategorien personenbezogener Daten und die Pflichten des Auftragsverarbeiters.
Ebenso wichtig sind die technischen und organisatorischen Maßnahmen. Dazu zählen die Vertraulichkeit, die Sicherheit der Verarbeitung, die Einbindung von Unterauftragsverarbeitern, die Unterstützung bei Datenschutzrechten der Betroffenen und die Löschung nach Vertragsende.
- Gegenstand, Dauer und Zweck der Verarbeitung beschreiben.
- Datenkategorien und Betroffenengruppen konkretisieren.
- TOMs und Zertifizierungen des Anbieters anfordern.
- Standort der Verarbeitung und Subunternehmer festhalten.
- Löschfristen und Nachweis der Löschung vereinbaren.
Was lokale KI am Vertragsbedarf ändert
Der entscheidende Unterschied liegt in der Zahl der Beteiligten. Bei einer lokal betriebenen Appliance gibt es für die Verarbeitung selbst keinen externen Auftragsverarbeiter. Damit entfallen Vereinbarungen, Unterauftragsverarbeiter-Listen und Übermittlungsfragen für die Kernverarbeitung.
Nicht entfallen sind die üblichen Supportfälle. Fernwartung, Fehleranalyse oder Ersatzgerätelogistik können dennoch Daten berühren. Für diese Leistungen braucht es einen AVV und eine saubere Trennung zwischen Support und Produktivbetrieb. Der Vorteil liegt darin, dass der sensitive Teil in der Hand des Unternehmens bleibt.
Je weniger externe Beteiligte Daten berühren, desto kürzer wird die Kette der Verträge und Nachweise.
Ein DSGVO-tauglicher Betrieb in der Praxis
Der Referenzfall aus Shenzhen zeigt, dass ein lokaler Betrieb auch organisatorisch trägt. Im Luohu People's Hospital liefen 30 Geräte des Typs STA-100 sechs Monate ohne ungeplante Ausfälle. Ärzte gewannen dabei 2,1 Stunden pro Tag.
Diese Stabilität ist auch ein Compliance-Argument. Eine KI, die im eigenen Haus verfügbar bleibt, hält die Arbeitsfähigkeit auch dann aufrecht, wenn externe Dienste ausfallen. Für die Praxis bedeutet das weniger Abhängigkeit und ein einfacheres Bild für Datenschutz, Betriebsrat und Aufsicht.
AVV-Pflicht im Vergleich
| Aspekt | Cloud-KI | Lokale KI (STA-100) |
|---|---|---|
| Verarbeitung im eigenen Haus | nein | ja |
| AVV für die Kernverarbeitung | zwingend | nicht erforderlich |
| AVV für Support und Wartung | oft kombiniert | separat möglich |
| Subunternehmer-Liste | zu prüfen | für Kernverarbeitung entfällt |
| Übermittlung ins Drittland | häufig | nein |
| Nachweis der Löschung | über Anbieter | direkt im eigenen Haus |
Häufige Fragen
Für die Verarbeitung auf Ihrer eigenen Hardware nicht. Es gibt keinen externen Auftragsverarbeiter, dem Sie Weisungen geben müssten. Ein AVV wird erst dann nötig, wenn ein Dienstleister Daten verarbeitet, etwa bei Fernwartung, Diagnose oder externem Backup. Diese Leistungen sollten vertraglich getrennt geregelt werden, damit die Verantwortungsbereiche klar erkennbar bleiben.
Nach Art. 28 DSGVO gehören Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Kategorien personenbezogener Daten hinein. Ebenso wichtig sind die Pflichten zu Vertraulichkeit, Sicherheit, Unterauftragsverarbeitern, Unterstützung bei Betroffenenrechten sowie Löschung und Rückgabe nach Vertragsende. Konkrete Fristen und prüfbare Nachweise machen den Vertrag belastbar.
Prüfen Sie, ob der Anbieter einen Vertreter in der Europäischen Union benennt, ob die Verarbeitung in der EU erfolgt und ob Drittlandtransfer rechtlich abgedeckt sind. Bei STRATRONIX mit Sitz in Shenzhen, gegründet am 24. April 2026, sind dies Punkte, die Sie vor dem ersten Vertrag klären sollten. Der lokale Betrieb des Geräts verkleinert diese Fragen deutlich, weil die Verarbeitung im eigenen Haus bleibt.
Der STA-100 kostet €399 pro Stück, das Zehnerpaket €3.990 (10 Stück). Der Endpreis wird bei der Bestellung verbindlich bestätigt. Laufende Kosten je Nutzer entstehen nicht, es gibt kein Abo. Auf die Hardware gewährt STRATRONIX zwei Jahre Garantie, die Installation dauert 8–10 Minuten. Der Betrieb ist damit auch langfristig planbar.
Weiterführende Seiten
STA-100 in Ihrem Unternehmen testen
On-Premise-KI: Deutschsprachig, ohne Cloud-Zugriff, 2 Jahre Garantie, 399 € pro Gerät.
sales@stratronix.ai Zum Produkt Kontakt