Auftragsverarbeitung nach Art. 28 DSGVO mit KI-Anbietern: Der AVV-Leitfaden

Ein Auftragsverarbeitungsvertrag (AVV; englisch DPA, Data Processing Agreement) nach Art. 28 DSGVO ist zwingend, sobald ein KI-Anbieter personenbezogene Daten weisungsgebunden für dich verarbeitet. Bei KI-Agenten ist das praktisch immer der Fall: Prompts, Inferenz-Inputs und -Outputs, Agenten-Speicher, Tool-Call-Payloads, Logs und Vektor-Stores transportieren laufend Personenbezug. Der AVV regelt verbindlich, was der Anbieter mit diesen Daten tun darf, und was nicht.

Die drei wichtigsten Antworten vorweg:

• AVV-Pflicht entsteht bei Weisungsbindung. Bestimmt der Anbieter Zweck und wesentliche Mittel nicht selbst, ist er Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO, und ein AVV ist gesetzlich vorgeschrieben.
• Die Pflichtinhalte sind nicht verhandelbar. Art. 28 Abs. 3 verlangt Angaben zu Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie acht Pflichten (lit. a–h); bei KI kommen anbieterspezifische Klauseln (Kein-Training, Sub-Auftragsverarbeiter-Karte, Datenresidenz, Log-Retention) hinzu.
• Die Kette muss lückenlos sein. Jeder Sub-Auftragsverarbeiter in der typischen 5- bis 8-stufigen Agenten-Kaskade braucht nach Art. 28 Abs. 4 eine eigene, gleichwertige Bindung.

Verantwortlicher oder Auftragsverarbeiter? Die Einordnung des KI-Anbieters

Nach Art. 4 Nr. 7/8 DSGVO und den EDPB-Guidelines 7/2020 bestimmt der Verantwortliche die Zwecke und wesentlichen Mittel der Verarbeitung; der Auftragsverarbeiter handelt auf dokumentierte Weisung. Die Einordnung eines KI-Anbieters hängt an drei Fragen:

• Wer bestimmt die Zwecke? Nutzt der Anbieter Prompts, um eigene Modelle zu verbessern, rutscht er für diesen Zweck in die Rolle des Verantwortlichen.
• Wer bestimmt die wesentlichen Mittel? Technische Mittel darf der Auftragsverarbeiter wählen; die wesentlichen Mittel verbleiben beim Verantwortlichen.
• Praktische Ankerpunkte: Nutzung von Trainingsdaten, Auswahl der Sub-Auftragsverarbeiter, Retention-Defaults, Zugriff für Abuse-Monitoring.

Die meisten Enterprise-Verträge (Microsoft Azure OpenAI, OpenAI Enterprise/API, Anthropic Claude for Work/Enterprise, Google Vertex AI, AWS Bedrock, Mistral, Aleph Alpha) sind als Verantwortlicher-zu-Auftragsverarbeiter-Konstellation aufgesetzt, mit ausdrücklicher Zusage, nicht auf Kundendaten zu trainieren. Wichtig: Das sind vertragliche Zusagen, keine gesetzlichen Mindeststandards. Die Anbieter behalten sich typischerweise enge Rechte vor (Abuse-Monitoring, Safety-Review, aggregierte Analysen), bei denen sie für diese begrenzten Zwecke selbst als Verantwortlicher auftreten können.

Pflichtinhalte nach Art. 28 Abs. 3 DSGVO

Art. 28 Abs. 3 DSGVO verlangt zuerst, dass der Vertrag Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegt. Danach zählt die Vorschrift acht Pflichten des Auftragsverarbeiters auf:

• (a) Verarbeitung nur auf dokumentierte Weisung, auch bei Übermittlungen in Drittländer.
• (b) Vertraulichkeitsverpflichtung der Personen, die die Daten verarbeiten dürfen.
• (c) Alle nach Art. 32 erforderlichen Sicherheitsmaßnahmen.
• (d) Einhaltung der Bedingungen aus Art. 28 Abs. 2 und 4 für weitere Auftragsverarbeiter (Genehmigung, Meldung von Änderungen, gleichwertige Pflichten).
• (e) Unterstützung bei der Erfüllung von Betroffenenrechten.
• (f) Unterstützung bei den Pflichten nach Art. 32 bis 36: Sicherheit, Meldung von Datenschutzverletzungen, DSFA und vorherige Konsultation.
• (g) Löschung oder Rückgabe aller personenbezogenen Daten nach Ende der Leistung, einschließlich vorhandener Kopien.
• (h) Bereitstellung aller Informationen zum Nachweis der Pflichten sowie Ermöglichung von Überprüfungen und Inspektionen.

Für KI-Anbieter sind zusätzlich folgende Klauseln zu verhandeln: kein Training/Fine-Tuning der Anbietermodelle auf Kundendaten ohne ausdrückliche Zustimmung; keine menschliche Durchsicht von Prompts/Outputs außer über definierte Safety-/Abuse-Pfade mit protokolliertem Zugriff; eine Sub-Auftragsverarbeiter-Karte mit benannten Entitäten, Standort, Funktion und Sub-Sub-Auftragsverarbeitern; Datenresidenz-Zusagen (EU Data Boundary, Verarbeitung in CH-Regionen); konfigurierbare Log-Retention inklusive Zero-Data-Retention-Modi; Meldung von Änderungen der Trainings-Policy mit Opt-out; sowie Haftung für Sub-Auftragsverarbeiter-Verstöße gemäß Art. 28 Abs. 4.

Weisungsbindung, Sub-Auftragsverarbeiter und Kontrollrechte

Die Weisungsbindung (lit. a) ist das Herzstück: Der Anbieter darf personenbezogene Daten nur so verarbeiten, wie du es dokumentiert anweist. Jede eigenmächtige Zweckänderung, etwa Modellverbesserung aus deinen Prompts, verlässt die Auftragsverarbeitung.

Bei den Sub-Auftragsverarbeitern entsteht der größte praktische Aufwand. Eine moderne Agenten-Bereitstellung umfasst typischerweise eine fünf- bis achtstufige Kaskade:

1. Foundation-Modell-Anbieter (OpenAI, Anthropic, Mistral, Aleph Alpha, Google, Cohere)
2. Hosting-/Cloud-Provider (Azure, AWS, GCP, IONOS, STACKIT, Swisscom, Open Telekom Cloud)
3. Orchestrierungs-/Agenten-Framework-Runtime
4. Vektor-Store/RAG-Infrastruktur (Pinecone, Weaviate, Qdrant, Milvus, pgvector)
5. Memory-Provider (mem0, Letta, eigene)
6. MCP-Server (jeder externe Server ist je nach Datenfluss Auftragsverarbeiter oder Verantwortlicher)
7. Observability (Langfuse, LangSmith, Helicone, Datadog)
8. Evaluation/Red-Team-Dienste

Für jede Stufe muss der Deployer prüfen, dass ein AVV existiert, dass die Kette nach Art. 28 Abs. 4 ungebrochen ist und dass die Datenresidenz-Zusagen konsistent sind. Die häufigsten Audit-Fundstellen: undokumentierte MCP-Server-Flows, Observability-Anbieter ohne AVV und Evaluierungsdienste, die Prompt-Traces sammeln.

Bei den Kontrollrechten (lit. h) sind reine „Summary-Report-only"-Muster unzureichend, sobald hochriskante Daten betroffen sind. BfDI, BayLDA, HmbBfDI und NRW LDI verlangen routinemäßig den AVV plus die konkrete Konfiguration von Telemetrie, Trainings-Opt-out und Region-Settings.

Status der DPAs großer Anbieter (Stand Mai 2026)

Die folgende Tabelle ist eine Recherche-Zusammenfassung mit Stand 14. Mai 2026, keine Rechtsberatung; Anbieterbedingungen ändern sich häufig und müssen bei Vertragsabschluss neu validiert werden.

Sovereign-Alternativen mit deutschem/Schweizer AVV-Recht (Aleph Alpha Pharia, IONOS AI Model Hub, STACKIT, T-Systems Open Telekom Cloud, Swisscom Sovereign AI) bieten ausschließliche DE-/EU- bzw. CH-Verarbeitung und kundenseitig kontrollierte Retention. DeepSeek wird wegen PRC-Jurisdiktion und der Anordnung der italienischen Datenschutzbehörde Garante vom 30. Januar 2025, die die Verarbeitung der Daten italienischer Nutzer sperrt, für regulierte DACH-Sektoren nicht empfohlen.

Häufige AVV-Fehler bei KI-Projekten

• Vage Verarbeitungsbeschreibungen („KI-Services" statt konkreter Modelle, Prompts, Embeddings, Fine-Tuning).
• Nicht aktuelle Sub-Auftragsverarbeiter-Listen: MCP-Server und Observability-Anbieter fehlen.
• Schwache Auditrechte bei hochriskanten Daten.
• Trainingsdaten-Mehrdeutigkeit: Die Zusage „Wir trainieren nicht auf Kundendaten" wird mit „Wir dürfen sie für Safety/Verbesserung nutzen" verwischt.
• Log-Retention-Konflikte: Anbieter-Retention übersteigt die eigene Policy (z. B. 30 Tage vs. gewünschte 7 Tage).
• Grenzüberschreitendes Routing ohne ausdrückliche Residenz-Festlegung.
• Fehlende Upstream-Due-Diligence entgegen der EDPB-Opinion 28/2024 (Prüfung der Rechtmäßigkeit der vorgelagerten Trainingsdaten).

AVV-Prüfcheckliste

• Rollen geklärt: Anbieter als Auftragsverarbeiter (nicht heimlich Verantwortlicher/Joint Controller)?
  
• Gegenstand, Dauer, Art, Zweck, Datenarten und Betroffenenkategorien festgelegt und alle acht Pflichten nach Art. 28 Abs. 3 lit. a–h enthalten?
  
• Konkrete Verarbeitungsbeschreibung (Modelle, Prompts, Embeddings, Fine-Tuning) statt „KI-Services"?
  
• Weisungsbindung mit klarem Verbot der Zweckänderung?
  
• Trennscharfe Kein-Training-/Kein-Fine-Tuning-Klausel ohne Safety-Schlupfloch?
  
• Sub-Auftragsverarbeiter benannt, lückenlose Kette nach Art. 28 Abs. 4, inkl. MCP-Server und Observability?
  
• Änderungsmeldung bei neuen Sub-Auftragsverarbeitern mit Widerspruchsfenster?
  
• Datenresidenz festgelegt (EU Data Boundary / CH-Region) und Routing fixiert?
  
• Log-Retention konfiguriert (ggf. Zero-Data-Retention) und mit eigener Policy konsistent?
  
• Wirksame Auditrechte statt reiner Summary-Reports?
  
• Löschung/Rückgabe am Vertragsende geregelt und über alle Deployer-Schichten umsetzbar?
  
• Drittlandtransfer abgesichert (DPF und/oder SCCs + TIA)?
  
• Upstream-Training-Due-Diligence dokumentiert (EDPB-Opinion 28/2024)?
  

Beispiel mit Zahlen: Mittelständischer Copilot-Rollout

Ein Unternehmen mit 800 Mitarbeitenden führt Microsoft 365 Copilot und einen Kundenservice-Chatbot auf Azure OpenAI ein. Dafür braucht es einen Haupt-AVV mit Microsoft: Das Microsoft Products and Services DPA deckt M365 Copilot und Azure OpenAI ab. OpenAI ist bei Azure OpenAI kein Vertragspartner, Prompts und Ausgaben sind laut Microsoft für OpenAI nicht zugänglich. Dazu kommt die Sub-Auftragsverarbeiter-Kette. Konkret zu prüfen: Microsoft Products and Services DPA in Kraft, Anthropic-als-Subprozessor-Flow dokumentiert (Anthropic seit Anfang 2026 von der EU Data Boundary ausgenommen, Opt-in/-out durch den Deployer); Azure-OpenAI-Sub-Auftragsverarbeiter-Liste (Stand April 2025) ins Verzeichnis der Verarbeitungstätigkeiten integriert; alle MCP-/Connector-Flows kartiert; Abuse-Monitoring-Logs auf maximal 30 Tage begrenzt; Aufbewahrung beim Subprozessor Anthropic gegen das Microsoft-DPA geprüft.

Das Risiko bei Versäumnis: Verstöße gegen Art. 28 fallen unter Art. 83 Abs. 4 DSGVO, also Geldbußen bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Bei 50 Mio. EUR Umsatz liegt die Obergrenze deshalb bei 10 Mio. EUR, denn 2 % wären nur 1 Mio. EUR. Der Umsatzanteil übersteigt den festen Betrag erst bei mehr als 500 Mio. EUR Jahresumsatz. Fehlt zusätzlich eine Rechtsgrundlage für die Verarbeitung, kann Abs. 5 greifen, mit bis zu 20 Mio. EUR oder 4 %.

Das oft zitierte Garante-Bußgeld gegen OpenAI (15 Mio. EUR, Bescheid vom 2. November 2024) ist kein Art.-28-Fall. Es betraf Rechtsgrundlage, Transparenz, Altersprüfung und eine nicht gemeldete Datenpanne. Das Tribunale di Roma hat den Bescheid am 18. März 2026 aufgehoben, weil nach dem One-Stop-Shop-Verfahren die irische Datenschutzbehörde zuständig gewesen wäre.

Für Agenturen und B2B-Entscheider

Wer KI-Agenten für Kunden baut oder im Unternehmen ausrollt, sollte die AVV-Prüfung früh in den Beschaffungsprozess ziehen, nicht erst bei Vertragsunterschrift. Für Agenturen ist die saubere Sub-Auftragsverarbeiter-Kartierung (Modell, Cloud, Vektor-Store, MCP, Observability) ein konkretes Differenzierungsmerkmal gegenüber Wettbewerbern, die „KI-Services" pauschal vertraglich abbilden. Blck Alpaca unterstützt DACH-Unternehmen bei AVV-Review, Sub-Auftragsverarbeiter-Mapping und der Verzahnung mit dem Verzeichnis der Verarbeitungstätigkeiten.

Hinweis: Dieser Beitrag dient der fachlichen Orientierung und stellt keine Rechtsberatung dar. Für die verbindliche Bewertung deines konkreten Einsatzes zieh bitte qualifizierten Rechtsrat hinzu. Alle Daten und Anbieterangaben Stand Mai 2026, vorbehaltlich Änderung.