Was ein AVV bei KI leisten muss – und was er nicht kann

Der Auftragsbearbeitungsvertrag (AVV), im internationalen Kontext auch Data Processing Agreement (DPA) genannt, ist das rechtliche Fundament für jede Datenbearbeitung durch Dritte. Bei KI-Systemen ist er notwendig, aber nicht hinreichend. Wer glaubt, mit dem AVV sei alles geregelt, hat die wichtigsten Lücken noch nicht identifiziert.

Was der AVV regelt – und warum er bei KI zwingend ist

Das DSG schreibt vor, dass bei Auftragsbearbeitungen ein schriftlicher Vertrag mit dem Auftragsbearbeiter bestehen muss. Dieser Vertrag muss sicherstellen, dass der Auftragsbearbeiter: nur nach Weisungen des Verantwortlichen handelt, die Datensicherheit gewährleistet, keine Daten zu eigenen Zwecken nutzt, Sub-Auftragsbearbeiter nur mit Zustimmung des Verantwortlichen einsetzt, und den Verantwortlichen bei der Erfüllung seiner Datenschutzpflichten unterstützt.

Für KI-Provider gilt dasselbe. Der Provider ist Auftragsbearbeiter, wenn er KI-Outputs auf Basis von Inputs generiert, ohne diese Daten für eigene Zwecke zu nutzen. Der AVV legitimiert diese Bearbeitung rechtlich.

Die häufigsten Lücken im KI-AVV

Lücke 1: Nur DSGVO, kein CH-Zusatz

Viele Provider haben ihr AVV-Template auf die DSGVO ausgerichtet. Für die Schweiz braucht es zusätzliche Bestimmungen: die explizite Unterstellung unter das CH-DSG, Anpassungen zu Auskunftsrechten und Meldepflichten. Ohne Schweizer Zusatz ist der DSGVO-AVV nicht vollständig konform mit dem CH-DSG.

Lücke 2: Keine Klausel für Berufs- und Amtsgeheimnisse

Der AVV schützt Personendaten. Er schützt nicht automatisch Informationen, die unter das Berufs- oder Amtsgeheimnis fallen, aber keinen Personenbezug haben. Diese Lücke muss durch eine explizite Geheimnisschutzklausel geschlossen werden, entweder als Ergänzung zum AVV oder im Hauptvertrag.

Lücke 3: Training und Abuse Monitoring nicht adressiert

Standard-AVVs schweigen oft zu Modell-Training und Abuse Monitoring. Das ist gefährlich: Wenn die allgemeinen Nutzungsbedingungen des Providers Training oder Monitoring erlauben, der AVV aber nichts Gegenteiliges sagt, können diese Aktivitäten stattfinden und den Provider aus dem Auftragsbearbeitungsverhältnis herauslösen.

Lücke 4: Sub-Auftragsbearbeiter-Kaskaden

Grosse Provider arbeiten mit zahlreichen Sub-Auftragsbearbeitern. Ein AVV, der Sub-Auftragsbearbeiter pauschal zulässt, gibt keine Kontrolle über die gesamte Verarbeitungskette. Mindestanforderung: Der Verantwortliche muss informiert werden, wenn neue Sub-Auftragsbearbeiter hinzukommen, und hat ein Einspruchsrecht.

Was ein KI-AVV zusätzlich enthalten sollte

Neben den Standardelementen nach DSG sollte ein KI-AVV explizit regeln:

• Verbot der Nutzung von Inputs/Outputs für Modell-Training (oder explizite Einschränkung auf bestimmte Trainingsarten)

• Regelung zu Abuse Monitoring: Opt-out, falls möglich, oder zumindest Definition, unter welchen Bedingungen Monitoring stattfindet und wer Einblick hat

• Server-Standort: Konkrete Benennung der zugelassenen Verarbeitungsorte

• Zero Data Retention: Soweit vereinbar mit dem Service, Regelung zur flüchtigen Speicherung

• Geheimhaltung weiterer Informationstypen (Berufs-/Amtsgeheimnis, Geschäftsgeheimnisse)

• Löschpflichten: Klare Fristen und Modalitäten für die Datenlöschung nach Vertragsende

Verhandlungsspielraum in der Praxis

Mit grossen Providern (Microsoft, Google, OpenAI) ist individuelles Nachverhandeln des AVV für kleinere Kunden kaum möglich. Was erreichbar ist: Wahl zwischen verschiedenen Vertragsoptionen (Enterprise-Tier vs. Standard), Aktivierung von Zusatzmodulen (Swiss Data Residency, ZDR), Zustimmung zu Sub-Auftragsbearbeiter-Listen.

Für spezifische Anforderungen, insbesondere Abuse-Monitoring-Opt-out und Geheimnisschutzklauseln, ist direkter Kontakt mit dem Enterprise-Team des Providers erforderlich. Das gelingt erfahrungsgemäss, dauert aber.

Kleinere Schweizer oder europäische Provider bieten in der Regel mehr Verhandlungsspielraum. Hier lassen sich massgeschneiderte Klauseln einfacher vereinbaren.

Der AVV ist die Basis, aber keine vollständige Lösung. Wer KI mit sensiblen Informationen nutzt, braucht zusätzlich Klauseln für Geheimnisschutz, Training-Verbot und Abuse-Monitoring-Regelung.

Selbsttest

Enthält der AVV einen Schweizer Zusatz?	Ein reiner DSGVO-AVV ist für die Schweiz nicht ausreichend. Ein Schweizer Zusatz mit DSG-spezifischen Bestimmungen ist für alle Verarbeitungen in der Schweiz erforderlich.
Sind Training und Abuse Monitoring im Vertrag geregelt?	Fehlt eine explizite Klausel, können Training und Monitoring stattfinden, mit möglicher Konsequenz einer Berufsgeheimnisverletzung. Diese Punkte aktiv in die Verhandlung einbringen.
Ist eine Geheimnisschutzklausel vorhanden?	Für Kanzleien, Behörden und alle berufsgeheimnispflichtigen Organisationen ist eine Klausel erforderlich, die berufsgeheimnisgeschützte Informationen in den Schutzbereich des Vertrags einbezieht.

Weiterführende Beratung & Kurse

Sie möchten KI rechtssicher in Ihrer Organisation einführen und nutzen? Dr. David Schneeberger begleitet Kanzleien, Behörden und Rechtsdienste mit Workshops, Strategieberatung und dem Kurs «Rechtssicher mit KI».