Was ist Auftragsverarbeitung?
Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines anderen verarbeitet. Wer einen KI-Lernassistenten einsetzt, bleibt für die Daten seiner Lernenden verantwortlich; der Anbieter verarbeitet sie nur für ihn.
Die Grundlage ist Artikel 28 DSGVO. Er verlangt einen Vertrag, den Auftragsverarbeitungsvertrag oder kurz AVV. Darin stehen unter anderem Zweck, Art der Daten, Sicherheitsmaßnahmen, der Umgang mit Unterauftragnehmern und die Löschung am Ende.
Warum der AVV vor dem ersten Kurs steht
Lernende hinterlassen in einem Assistenten viel über sich: was sie nicht verstehen, wie oft sie nachfragen, wo sie scheitern. Ohne AVV fehlt die rechtliche Grundlage, diese Daten an einen Dienstleister zu geben.
Für Datenschutzbeauftragte ist der AVV deshalb meist das erste Dokument, nach dem sie fragen – zusammen mit der Liste der Unterauftragnehmer und dem Ort der Verarbeitung.
So sieht das in nerilio aus
Eine Datenschutzbeauftragte fragt einen internen Assistenten, der mit den Vertragsunterlagen arbeitet.
nerilio- Wo werden die Eingaben unserer Lernenden verarbeitet?
- Laut Vertrag ausschließlich auf Servern in der EU. Die eingesetzten Unterauftragnehmer sind in Anlage 2 aufgeführt.Quelle: Auftragsverarbeitungsvertrag · § 4 und Anlage 2
Was das bei nerilio bedeutet
Mit jedem Kunden schließen wir einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO. Die Liste der Unterauftragnehmer ist Teil davon. Verarbeitet wird ausschließlich auf EU-Servern über Microsoft Azure. Eure Inhalte und die Eingaben der Lernenden werden nicht zum Training von KI-Modellen verwendet.
Den AVV bekommt ihr vor Vertragsschluss zur Prüfung. Zwischen nerilio und den eingesetzten KI-Anbietern bestehen ebenfalls Verträge zur Auftragsverarbeitung.