Sobald ein Dienstleister für Sie personenbezogene Daten verarbeitet — ein Rechenzentrum, ein Lohnbüro, eine IT-Betreuung mit Zugriff auf Ihre Systeme —, verlangt Artikel 28 der Datenschutz-Grundverordnung einen Vertrag darüber. Er heißt Auftragsverarbeitungsvertrag, kurz AVV oder AV-Vertrag.
Verantwortlich bleiben Sie. Der Dienstleister handelt auf Ihre Weisung und darf die Daten nicht für eigene Zwecke verwenden. Genau das hält der Vertrag fest, zusammen mit den technischen und organisatorischen Maßnahmen, den Löschfristen und der Frage, wer als weiterer Dienstleister dahinterstehen darf.
Für die Praxis heißt das: Bevor ein System eingeführt wird, das Daten außer Haus verarbeitet, gehört der Vertrag abgeschlossen — nicht danach. Ein Anbieter, der keinen anbieten kann (oder will), scheidet für den betrieblichen Einsatz meist aus.
Bei Diensten mit künstlicher Intelligenz ist die Frage besonders naheliegend: Was passiert mit dem, was Ihre Leute dort eingeben, und wird es zum Trainieren verwendet? Die Antwort gehört in den Vertrag, nicht in eine Zusicherung per E-Mail.