Auftragsverarbeitung

Auftragsverarbeitung bezeichnet die Verarbeitung personenbezogener Daten durch einen externen Dienstleister im Auftrag eines Betriebs, der weiterhin selbst für die Daten verantwortlich bleibt. Der Betrieb bestimmt Zweck und Mittel der Verarbeitung, der Dienstleister verarbeitet die Daten weisungsgebunden und darf sie nicht eigenmächtig für andere Zwecke nutzen. Geregelt wird dieses Verhältnis üblicherweise über einen Auftragsverarbeitungsvertrag, kurz AVV, der die Rechte und Pflichten beider Seiten schriftlich festhält.

Für Handwerks- und Baubetriebe ist das im Alltag relevanter, als es zunächst klingt: Eine Buchhaltungssoftware, ein Cloud-Speicher für Baustellenfotos, ein Terminbuchungstool oder ein KI-gestützter Chatbot auf der Website verarbeiten alle Kundendaten auf fremden Servern. Sobald Namen, Adressen, Telefonnummern oder Fotos an einen solchen Dienst übertragen werden, ist in aller Regel ein AVV mit dem Anbieter erforderlich, unabhängig davon, ob der Dienst kostenpflichtig ist oder kostenlos genutzt wird.

Bezug zur Digitalisierung

Gerade bei KI-Werkzeugen wird dieser Punkt häufig übersehen: Wird ein Text- oder Bildgenerator mit Kundendaten gefüttert, etwa einem konkreten Namen im Angebotstext oder einem Foto mit erkennbarem Kennzeichen, greift dieselbe Logik wie bei klassischer Auftragsverarbeitung. Ohne einen wirksamen AVV mit dem Anbieter sollten solche personenbezogenen Daten nicht in das Tool eingegeben werden, auch wenn die Nutzung im Übrigen unproblematisch erscheint. Viele Anbieter stellen dafür Standardverträge zum Download bereit, die vor der Nutzung geprüft und abgeschlossen werden sollten, statt die Nutzungsbedingungen ungelesen zu akzeptieren.

Neben dem AVV selbst lohnt ein Blick auf den Serverstandort und die Weitergabe an weitere Unterauftragsverarbeiter, die im Vertrag meist gesondert aufgeführt sind. Der Grundsatz der Datenminimierung hilft zusätzlich: Wo möglich, sollten Daten anonymisiert oder auf das Nötigste reduziert eingegeben werden, bevor sie einen externen Dienst überhaupt erreichen.

Ein einfacher erster Schritt für kleine Betriebe ist eine Liste aller genutzten Software- und KI-Dienste mit dem Stand, ob ein AVV vorliegt. So lässt sich schnell erkennen, wo noch Handlungsbedarf besteht, bevor sensible Daten über den sicheren Datenaustausch hinaus unkontrolliert an Dritte weitergegeben werden. Einen Überblick über den Umgang mit Kundendaten insgesamt bietet der Artikel zum Umgang mit Kundendaten, rechtliche Details klärt im Zweifel ein Datenschutzbeauftragter oder Fachanwalt. So bleibt die Nutzung neuer digitaler Werkzeuge planbar, statt im Nachhinein mühsam nachgebessert werden zu müssen.