AVV-Prüfcheckliste für KI-Anbieter

Die Punkte, die im AVV eines KI-Anbieters geprüft sein müssen — bevor ausgerollt wird.

ca. 2 Stunden je AnbieterDatenschutzbeauftragte, IT-Leitung, Einkauf

Wann Sie diese Vorlage brauchen

  • Sie wollen ein KI-Werkzeug beschaffen und müssen den Vertrag prüfen.
  • Ein Werkzeug ist bereits im Einsatz und niemand weiß, ob ein AVV vorliegt.
  • Der Datenschutzbeauftragte verlangt eine dokumentierte Prüfung.

Was Sie anpassen müssen

  • Die Spalte für Ihr Prüfergebnis und das Datum — undokumentiert ist ungeprüft.
  • Zusätzliche Punkte aus Ihrer Branche (etwa Berufsgeheimnis nach § 203 StGB bei Kanzleien und Praxen).

Vorlage · Platzhalter in eckigen Klammern ausfüllen

Anbieter und Werkzeug

Werkzeug: [NAME] · Anbieter: [FIRMA] · Geprüft von: [NAME] · Datum: [DATUM] · Ergebnis: [FREIGEGEBEN / NACHBESSERUNG / ABGELEHNT]

1. Vertragliche Grundlage

  • Liegt ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vor?
  • Ist er für die tatsächlich genutzte Produktvariante gültig (Free, Pro, Team, Enterprise unterscheiden sich erheblich)?
  • Wer hat unterzeichnet, und ist diese Person zeichnungsberechtigt?
  • Liegt der Vertrag revisionssicher ab und ist er auffindbar?

Anmerkung: Der häufigste Fund in der Praxis: Der AVV existiert für den Enterprise-Tarif, genutzt wird aber ein Team-Konto. (steht nicht im heruntergeladenen Dokument)

2. Verwendung der Eingaben

  • Ist vertraglich ausgeschlossen, dass Eingaben zum Training der Modelle verwendet werden?
  • Gilt der Ausschluss standardmäßig oder muss er in den Einstellungen aktiviert werden?
  • Falls Einstellung: Wer hat sie gesetzt, und wird sie beim Anlegen neuer Konten automatisch übernommen?
  • Ist geregelt, ob Mitarbeitende des Anbieters Eingaben einsehen dürfen (etwa zur Missbrauchsprüfung)?

Anmerkung: „Wir trainieren nicht auf Ihren Daten“ auf der Produktseite ist keine vertragliche Zusicherung. Es muss im AVV oder in den Vertragsbedingungen stehen. (steht nicht im heruntergeladenen Dokument)

3. Speicherung und Löschung

  • Wie lange werden Eingaben und Ausgaben gespeichert?
  • Gibt es eine Zero-Retention-Option, und ist sie aktiviert?
  • Werden Daten nach Vertragsende gelöscht, und innerhalb welcher Frist?
  • Erhalten Sie eine Löschbestätigung?

4. Unterauftragnehmer und Ort der Verarbeitung

  • Ist eine aktuelle Liste der Unterauftragnehmer verfügbar?
  • Werden Sie über neue Unterauftragnehmer informiert, und können Sie widersprechen?
  • In welchen Ländern wird verarbeitet? Ist eine EU-Verarbeitung wählbar?
  • Bei Drittlandtransfer: Liegen Standardvertragsklauseln vor, und wurde ein Transfer Impact Assessment durchgeführt?

5. Sicherheit und Nachweise

  • Sind technische und organisatorische Maßnahmen nach Art. 32 DSGVO beschrieben?
  • Liegen Zertifikate oder Prüfberichte vor (ISO 27001, SOC 2)?
  • Ist eine Meldepflicht bei Datenschutzverletzungen mit Frist vereinbart?
  • Bestehen Auskunfts- und Prüfrechte, und sind sie praktisch ausübbar?

6. Betroffenenrechte und Dokumentation

  • Unterstützt der Anbieter bei Auskunfts- und Löschersuchen betroffener Personen?
  • Ist die Verarbeitung im Verzeichnis der Verarbeitungstätigkeiten eingetragen?
  • Wurde geprüft, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist?
  • Ist der Einsatz in der KI-Nutzungsrichtlinie abgebildet?

Ergebnis

Offene Punkte: [LISTE] Nachbesserung bis: [DATUM] Freigabe erteilt durch: [NAME], [DATUM]

Der Hintergrund zu dieser Vorlage

Warum es dieses Dokument braucht, welche Fehler häufig gemacht werden und was sich mit der Unternehmensgröße ändert, steht unter Datenschutz und DSGVO bei KI.

Weitere Vorlagen

KI-Nutzungsrichtlinie

Eine Seite, die regelt, was mit KI erlaubt ist und was nicht.

Betriebsvereinbarung KI (Muster)

Verhandlungsgrundlage für die Mitbestimmung — mit den Punkten, an denen es üblicherweise hakt.

Schulungsnachweis KI-Kompetenz (Art. 4 EU AI Act)

Konzept und Teilnahmenachweis für die Pflicht aus Artikel 4 — prüffähig dokumentiert.

Sie haben das Ergebnis – wer setzt es um?

Eine Vorlage nimmt Ihnen das Schreiben ab, nicht das Entscheiden. Die Lücken sind genau die Stellen, an denen es im Unternehmen unbequem wird – wer freigibt, was verboten bleibt, und was bei Verstoß passiert.

  • Ein 30-minütiges Gespräch, in dem wir Ihr Ergebnis durchgehen und die nächsten drei Schritte benennen – kostenlos und ohne Verpflichtung.
  • Auf Wunsch: Begleitung bei Richtlinie, Schulung und Rollout – für Betriebe von 10 bis 2.500 Mitarbeitenden.
Ergebnis besprechenOder erst selbst weiterlesen: KI-Enablement