Zum Inhalt springen
Seit 2014 IT im Mittelstand|DSGVO-bewusst|Region Starnberg · Fürstenfeldbruck · München-West
Home › Blog › Wann brauche ich bei einer KI-Umsetzung einen AVV – und wer darf das rechtlich prüfen?

Wann brauche ich bei einer KI-Umsetzung einen AVV – und wer darf das rechtlich prüfen?

· Ben Kübrich

Veröffentlicht: 05.10.2026 · Fachlich geprüft: 05.10.2026 · Autor: Ben Kübrich

Grundlage dieser Antwort: Die rechtlichen Aussagen stützen sich auf belegte Primärquellen: den Wortlaut von Artikel 4, 28 und 39 DSGVO, § 38 BDSG, §§ 2, 3 und 5 des Rechtsdienstleistungsgesetzes, das Kurzpapier Nr. 13 der Datenschutzkonferenz (DSK) zur Auftragsverarbeitung und den Durchführungsbeschluss (EU) 2021/915 mit Standardvertragsklauseln (alle am 05.10.2026 abgerufen). Die „Datenweg-Landkarte“ ist eine eigene LIBUCO®-Methode aus der Beratung, keine erhobene Statistik. Das Praxisbeispiel ist konstruiert. Dieser Beitrag ist keine Rechtsberatung und ersetzt keine Prüfung Ihres Einzelfalls.

Direkte Antwort

Einen Auftragsverarbeitungsvertrag (AVV) brauchen Sie, sobald ein Anbieter oder Dienstleister personenbezogene Daten in Ihrem Auftrag und nach Ihren Weisungen verarbeitet – etwa ein KI-Dienst, über den Kundenanfragen laufen, eine Automatisierungsplattform oder ein Dienstleister, der beim Einrichten Zugriff auf Kundendaten haben kann. Kein AVV ist nötig, wenn keine personenbezogenen Daten fließen oder ein eigenständig Verantwortlicher wie ein Steuerberater beteiligt ist. Den eigenen Vertrag dürfen Sie selbst prüfen, ein interner Datenschutzbeauftragter kann mitprüfen; wer ihn als Dienstleister für Sie rechtlich prüft, braucht eine Befugnis nach dem Rechtsdienstleistungsgesetz, typischerweise als Rechtsanwalt. Wichtigste Einschränkung: Der AVV ersetzt nicht die Rechtsgrundlage Ihrer eigenen Verarbeitung.

Belege für diese Antwort

Für wen gilt das? Und für wen nicht?

Die Antwort richtet sich an inhabergeführte Betriebe mit drei bis fünfzig Beschäftigten ohne eigene Rechtsabteilung, die KI-Werkzeuge oder Automatisierungen einführen und dabei mit Kunden-, Mitarbeiter- oder Lieferantendaten arbeiten. Sie gilt nicht für Hochrisiko-Anwendungen nach der KI-Verordnung, nicht für Datenübermittlungen in Drittländer im Detail (dafür gelten zusätzlich Art. 44 ff. DSGVO) und nicht für Berufsgeheimnisträger wie Arztpraxen oder Kanzleien, für die zusätzliche Verschwiegenheitsregeln gelten. Sie ersetzt keine Rechtsberatung.

Wann ist ein Anbieter Auftragsverarbeiter?

Ein Anbieter ist Auftragsverarbeiter, wenn er personenbezogene Daten für Ihren Zweck und nach Ihren Weisungen verarbeitet. Entscheidend ist laut DSK-Kurzpapier Nr. 13 die Frage, wer über die Zwecke der Verarbeitung entscheidet; technische Details darf der Dienstleister selbst gestalten, ohne dass er dadurch zum Verantwortlichen wird (DSK-Kurzpapier Nr. 13).

Für eine KI-Umsetzung heißt das: Jede Station, an der Namen, E-Mail-Adressen, Auftragsdaten oder Personaldaten ankommen, ist ein Kandidat. Typische Stationen sind

Große Anbieter stellen für ihre Geschäftstarife eigene Auftragsverarbeitungsbedingungen bereit, zum Beispiel Google mit dem Cloud Data Processing Addendum. Ob ein bestimmter Tarif davon erfasst ist, steht in den Vertragsbedingungen des Anbieters und muss für Ihren Tarif geprüft werden. Welche Daten grundsätzlich nicht in einen KI-Chat gehören, steht im Beitrag Welche Daten darf ich in ChatGPT eingeben – und welche besser nicht?

Wann brauchen Sie keinen AVV?

Kein AVV ist nötig, wenn keine personenbezogenen Daten verarbeitet werden – etwa wenn Sie mit der KI nur allgemeine Texte, anonymisierte Beispiele oder Produktbeschreibungen ohne Personenbezug erstellen. Ebenfalls kein AVV, sondern eine eigene Rechtsgrundlage nach Art. 6 DSGVO braucht es, wenn Sie eigenständig Verantwortliche einbeziehen; das DSK-Kurzpapier nennt als Beispiele Steuerberater, Rechtsanwälte, externe Betriebsärzte und Wirtschaftsprüfer. Entscheiden mehrere Stellen gemeinsam über Zwecke und Mittel, liegt gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor, auch dann ist der AVV nicht das richtige Instrument.

Ein Berater, der mit Ihnen über Abläufe spricht und dabei keine personenbezogenen Daten Ihrer Kunden verarbeitet, ist nach dieser Logik kein Auftragsverarbeiter. Das ändert sich, sobald er für Sie Systeme einrichtet und dabei Zugriff auf solche Daten haben kann.

Was muss in einem AVV stehen?

Art. 28 Abs. 3 DSGVO legt den Mindestinhalt fest (Art. 28 DSGVO). Für die erste Durchsicht helfen diese Prüffragen:

Statt eines eigenen Vertragstexts können die Standardvertragsklauseln der EU-Kommission verwendet werden (Durchführungsbeschluss (EU) 2021/915).

Ein AVV ist nötig, sobald ein Dienstleister personenbezogene Daten nach Ihren Weisungen verarbeitet oder darauf zugreifen kann – er ersetzt aber nicht die Rechtsgrundlage, auf die Sie Ihre eigene Verarbeitung stützen.

Wer darf den AVV rechtlich prüfen?

Den eigenen Vertrag dürfen Sie als Inhaber selbst prüfen, ebenso Ihre Beschäftigten: Das Rechtsdienstleistungsgesetz erfasst nur Tätigkeiten in konkreten fremden Angelegenheiten, die eine rechtliche Prüfung des Einzelfalls erfordern (§ 2 Abs. 1 RDG). Wer Ihren AVV als selbständiger Dienstleister rechtlich im Einzelfall prüft, braucht dafür eine gesetzliche Erlaubnis (§ 3 RDG) – typischerweise eine Rechtsanwältin oder ein Rechtsanwalt. Andere Dienstleister dürfen das nur in den gesetzlich erlaubten Fällen, etwa als Nebenleistung zu ihrer eigentlichen Tätigkeit; ob das zutrifft, richtet sich nach Inhalt, Umfang und Zusammenhang mit der Haupttätigkeit (§ 5 Abs. 1 RDG).

Haben Sie einen Datenschutzbeauftragten, gehört die Beratung zu Ihren Datenschutzpflichten zu seinen Aufgaben (Art. 39 Abs. 1 DSGVO). Ein interner Datenschutzbeauftragter kann den AVV deshalb mitprüfen; bei einem externen kommt es darauf an, ob die Prüfung als Nebenleistung zu seiner Tätigkeit gehört (§ 5 RDG). Die verbindliche rechtliche Einzelfallprüfung als Dienstleistung liegt bei der Anwaltschaft. Pflicht ist ein Datenschutzbeauftragter in Deutschland unter anderem, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG). Was ein KI-Berater beitragen kann, ist die Vorarbeit: zeigen, wo im geplanten Ablauf Daten fließen. LIBUCO® prüft keine Verträge rechtlich.

Die LIBUCO®-Datenweg-Landkarte

Bevor jemand einen AVV prüft, muss klar sein, wo überhaupt Daten fließen. Dafür nutzen wir in der Beratung eine einfache Landkarte (eigene LIBUCO®-Methode, keine Norm): Für jede Station eines geplanten KI-Ablaufs beantworten Sie drei Fragen.

  1. Welche Daten kommen hier an? Mit oder ohne Personenbezug, Kunden, Mitarbeitende, Lieferanten.
  2. Für wessen Zweck wird verarbeitet? Für Ihren Auftrag (Kandidat für AVV) oder für einen eigenen Zweck des Anbieters (eigenständig Verantwortlicher).
  3. Welcher Vertrag liegt vor? AVV vorhanden, angefragt oder fehlt.

Die fertige Landkarte ist eine Seite, die Sie Ihrem Anwalt oder Datenschutzbeauftragten übergeben. Damit liegen dort die Fakten vor, nach denen sonst gefragt würde; eine rechtliche Prüfung ersetzt sie nicht.

Ein konstruiertes Beispiel aus dem Handwerk

Das folgende Beispiel ist konstruiert und dient nur der Veranschaulichung. Ein Malerbetrieb mit acht Leuten möchte Anfragen aus dem Kontaktformular automatisch zusammenfassen lassen. Die Landkarte zeigt drei Stationen: das Website-Formular, eine Automatisierungsplattform, die die Anfrage weiterreicht, und einen KI-Dienst, der die Zusammenfassung schreibt. An allen drei Stellen kommen Name, Telefonnummer und Adresse der Interessenten an. Für den KI-Dienst liegt im Geschäftstarif ein AVV vor, für die Automatisierungsplattform muss er noch abgeschlossen werden, und der Dienstleister, der die Verbindung einrichtet, braucht ebenfalls einen, weil er beim Testen echte Anfragen sieht. Die Landkarte geht vor dem Start an den Rechtsanwalt des Betriebs.

Grenzen und typische Fehler

Wann diese Empfehlung nicht passt

Checkliste: AVV in der KI-Umsetzung

Quellen

Über den Autor

Ben Kübrich berät mit LIBUCO® in Gilching inhabergeführte kleine und mittlere Betriebe dazu, wo KI im Arbeitsalltag hilft und wo nicht. Der Schwerpunkt liegt auf Betrieben ohne eigene IT-Abteilung im Landkreis Starnberg, in Fürstenfeldbruck und im westlichen Münchner Umland. Ben Kübrich ist kein Rechtsanwalt; rechtliche Fragen gibt er an die dafür zuständigen Fachleute weiter. Weitere Grundlagen zur Vorbereitung eines KI-Projekts stehen im Beitrag Was muss vor einem KI-Projekt bei Daten, Zugängen und Verantwortlichen geklärt sein?

Nächster Schritt

Wenn Sie einen konkreten KI-Ablauf planen und nicht sicher sind, an welchen Stellen Daten fließen, lohnt sich ein Gespräch, bevor Sie Verträge anfragen. Bringen Sie den geplanten Ablauf mit – welche Programme beteiligt sind und welche Daten wo ankommen. Wir zeichnen gemeinsam die Landkarte, die Sie danach an Ihren Rechtsanwalt oder Datenschutzbeauftragten geben können. Das kostenlose Kennenlerngespräch dauert 30 Minuten, findet per Video oder Telefon statt und ist unverbindlich.