Warum Art. 28 DSGVO bei KI-Tools oft übersehen wird
Sobald ein KI-Anbieter personenbezogene Daten im Auftrag Ihres Unternehmens verarbeitet, sind Sie Verantwortlicher und der Anbieter Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Das betrifft nicht nur klassische SaaS-Dienste, sondern auch generative KI-Systeme, Chatbots mit Kundenkontakt oder Analyse-Tools, die Eingaben, Prompts oder Trainingsdaten mit Personenbezug verarbeiten.
Das Problem in der Praxis: Viele KI-Anbieter bieten Standard-AGB an, die weder die Anforderungen aus Art. 28 Abs. 3 DSGVO vollständig abdecken noch auf die Besonderheiten von KI-Verarbeitung (z. B. Verwendung von Eingabedaten zum Modelltraining) eingehen. Wer hier ungeprüft unterschreibt, trägt das volle Haftungsrisiko als Verantwortlicher.
Was der Vertrag nach Art. 28 Abs. 3 DSGVO enthalten muss
Art. 28 Abs. 3 DSGVO verlangt einen Vertrag oder ein anderes Rechtsinstrument, das mindestens Folgendes regelt:
- Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen
- Verarbeitung nur auf dokumentierte Weisung (Art. 28 Abs. 3 lit. a) — bei KI-Diensten ein kritischer Punkt: Wird die Eingabe für Modelltraining oder Produktverbesserung genutzt, ist das eine eigenständige Verarbeitung, die einer gesonderten Weisung oder Rechtsgrundlage bedarf
- Vertraulichkeitsverpflichtung des eingesetzten Personals (lit. b)
- Maßnahmen nach Art. 32 DSGVO zur Datensicherheit (lit. c)
- Bedingungen für den Einsatz weiterer Auftragsverarbeiter, insbesondere Subunternehmer wie Cloud-Infrastruktur- oder Modell-Hosting-Anbieter (lit. d, Abs. 2 und 4)
- Unterstützung bei Betroffenenrechten (lit. e) und bei den Pflichten aus Art. 32 bis 36 DSGVO (lit. f)
- Löschung oder Rückgabe der Daten nach Vertragsende (lit. g)
- Nachweis- und Prüfrechte einschließlich Inspektionen (lit. h)
Fehlt eine dieser Regelungen, ist der Vertrag nicht Art.-28-konform — unabhängig davon, wie umfangreich die AGB sonst formuliert sind.
Typische Lücken bei KI-Anbieterverträgen
In der Praxis zeigen sich bei KI-Diensten wiederkehrende Schwachstellen:
Weisungsgebundenheit vs. Modelltraining. Viele Anbieter behalten sich vor, Nutzereingaben zur Verbesserung ihrer Modelle zu verwenden. Das ist keine reine Auftragsverarbeitung mehr, sondern eine Zweckänderung, die nach Art. 28 Abs. 3 lit. a DSGVO gesondert zu regeln oder vertraglich auszuschließen ist.
Subunternehmerketten. KI-Anbieter setzen häufig auf fremde Cloud- oder Rechenzentrumsinfrastruktur sowie auf Basismodelle Dritter. Nach Art. 28 Abs. 2 und Abs. 4 DSGVO müssen Sie über den Einsatz weiterer Auftragsverarbeiter informiert werden und diesen widersprechen können; die Kette der Pflichten muss lückenlos weitergegeben werden.
Nachweis- und Prüfrechte. Art. 28 Abs. 3 lit. h DSGVO verlangt, dass der Anbieter Informationen zum Nachweis der Einhaltung bereitstellt und Inspektionen ermöglicht. Bei vielen Standard-KI-Verträgen fehlt eine praktikable Ausgestaltung dieses Rechts — es bleibt bei einer Behauptung im Vertragstext.
Löschung nach Vertragsende. Bei Modellen, die mit Eingabedaten weitertrainiert wurden, ist eine vollständige Löschung technisch oft nicht mehr möglich. Das muss vertraglich adressiert werden, bevor der Dienst produktiv eingesetzt wird — nicht erst bei Vertragsende.
Schnittstelle zur KI-VO: doppelte Prüfpflicht
Die DSGVO-Prüfung nach Art. 28 ersetzt nicht die Bewertung nach der KI-Verordnung (EU) 2024/1689. Ab dem 02.08.2026 gelten die Transparenzpflichten nach Art. 50 KI-VO für bestimmte KI-Systeme, mit einer Schonfrist bis 02.12.2026 für Systeme, die bereits vorher in Verkehr waren. Wer einen KI-Anbieter einbindet, sollte daher parallel prüfen, ob das eingesetzte System unter diese Transparenzpflichten fällt — unabhängig von der datenschutzrechtlichen Einordnung als Auftragsverarbeiter.
Was Sie jetzt konkret prüfen sollten
Gehen Sie bestehende und geplante KI-Anbieterverträge systematisch gegen den Katalog in Art. 28 Abs. 3 DSGVO durch. Prüfen Sie insbesondere, ob Nutzungsdaten für Modelltraining verwendet werden, ob alle Subunternehmer benannt sind und ob Ihnen tatsächliche Prüfrechte eingeräumt werden — nicht nur auf dem Papier.
Einen strukturierten Einstieg, welche Pflichten für Ihr Unternehmen aus DSGVO und KI-Verordnung konkret greifen, bietet der kostenlose Risiko-Check unter /einstufung.