DPA/AVV und EU-Hosting richtig unterscheiden
Bei der Auswahl eines KI-Tools werden DPA/AVV und EU-Hosting oft gleichgesetzt. Tatsächlich beantworten sie unterschiedliche Fragen. Für eine belastbare Auswahl müssen Unternehmen Vertrag, Datenwege, Unterauftragnehmer und den konkreten Einsatzzweck gemeinsam prüfen.
Was regelt ein DPA beziehungsweise AVV?
Ein Auftragsverarbeitungsvertrag beschreibt nach Artikel 28 DSGVO unter anderem Gegenstand und Dauer der Verarbeitung, Art und Zweck, Datenarten, betroffene Personen sowie Rechte und Pflichten des Verantwortlichen.
Der Vertrag ist wichtig, wenn ein Anbieter personenbezogene Daten im Auftrag verarbeitet. Sein bloßes Vorhandensein belegt aber nicht, dass jede Nutzung des Tools zulässig ist oder alle technischen Einstellungen zum eigenen Anwendungsfall passen.
Was sagt EU-Hosting aus?
EU-Hosting beschreibt zunächst, wo Daten gespeichert werden. Davon zu unterscheiden sind weitere Verarbeitungsorte, Supportzugriffe, Telemetrie, Backups, Unterauftragnehmer und die Nutzung externer KI-Modelle.
Auch bei einem europäischen Speicherort können Datenübermittlungen in Drittländer stattfinden. Umgekehrt ersetzt ein AVV keine Prüfung der Regeln für internationale Datenübermittlungen nach Kapitel V der DSGVO.
Praktische Prüffragen vor dem Einsatz
- Welche personenbezogenen oder vertraulichen Daten sollen verarbeitet werden?
- Ist der Anbieter Auftragsverarbeiter oder verfolgt er teilweise eigene Zwecke?
- Gibt es einen passenden AVV und eine aktuelle Liste der Unterauftragnehmer?
- Wo liegen Primärdaten, Backups, Protokolle und Supportdaten?
- Können Inhalte für Training oder Produktverbesserung verwendet werden und lässt sich dies abschalten?
- Welche Löschfristen, Zugriffsrechte und Sicherheitsfunktionen sind konfiguriert?
- Sind Drittlandtransfers vorgesehen und auf welcher Grundlage?
Wie Atlas die Angaben darstellt
Project Atlas führt DPA/AVV und EU-Hosting bewusst als getrennte Merkmale. Unklare oder tarifabhängige Angaben werden mit „Zu prüfen“ gekennzeichnet. Das ist keine negative Bewertung, sondern ein Hinweis, vor dem Unternehmenseinsatz eine konkrete Bestätigung einzuholen.