Was ist bei Verträgen mit KI-Anbietern zu beachten?

Die vier Punkte

1. Auftragsverarbeitungsvertrag

Sobald personenbezogene Daten übermittelt werden – und das sind sie fast immer, sobald echte Geschäftsdaten im Spiel sind.

2. Kein Training mit Ihren Daten

Bei Geschäftskundentarifen üblicherweise zugesichert, bei kostenlosen und Privatnutzungstarifen häufig nicht. Das ist der wichtigste Unterschied zwischen einem privaten Konto und einem Geschäftstarif.

Prüfen Sie diese Zusage schriftlich – nicht in einer Werbeaussage.

3. Verarbeitungsort

Wo laufen die Server? Bei Verarbeitung ausserhalb der EU braucht es eine geeignete Grundlage für den Drittlandtransfer. Mehrere Anbieter bieten inzwischen eine Verarbeitung innerhalb der EU an.

4. Unterauftragnehmer

Nutzt der Anbieter selbst Dienste Dritter? Diese Kette gehört offengelegt.

Was zusätzlich zu regeln ist

• Aufbewahrungsdauer der übermittelten Inhalte beim Anbieter
• Löschung nach Vertragsende
• Protokollierung: Wer im Unternehmen hat was übermittelt

Der praktische Fehler

Mitarbeitende nutzen private Konten für dienstliche Inhalte. Damit gelangen Kundendaten unkontrolliert zu einem Anbieter, ohne Vertrag und häufig mit Training. Dagegen hilft kein Verbot allein, sondern ein bereitgestellter, geprüfter Zugang – sonst weichen die Leute aus.

Dieser Text ersetzt keine Rechtsberatung.