DSGVO-Prüffragen für KI-Werkzeuge
Acht Fragen. Dieselben, die wir bei jeder Prüfung stellen und bei jedem geprüften Eintrag mit Beleglink und Datum veröffentlichen. Hier stehen sie zum Mitnehmen – mit der Begründung, warum jede zählt, und dem Ort, an dem die Antwort meist steht.
| ✓ | Frage | Warum sie zählt | Wo die Antwort steht |
|---|---|---|---|
| 1 | Auftragsverarbeitungsvertrag (AVV/DPA) verfügbar | Ohne Auftragsverarbeitungsvertrag dürfen Sie dem Anbieter keine personenbezogenen Daten anvertrauen – und in einem Werkzeug landen sie schneller, als man denkt. | Meist unter „DPA", „Legal" oder im Vertrauens-Center. Häufig erst ab einem bezahlten Tarif erhältlich. |
| 2 | Serverstandort offengelegt | Der Standort entscheidet, ob überhaupt ein Drittlandtransfer vorliegt und welche Zusatzgarantien Sie brauchen. | Im Vertrauens-Center oder in der technischen Dokumentation. Wählbar ist er selten – prüfen Sie, ob es ein Versprechen oder eine Einstellung ist. |
| 3 | Unterauftragsverarbeiter öffentlich gelistet | Jeder Unterauftragsverarbeiter ist ein weiteres Unternehmen mit Zugriff. Sie müssen sie kennen, um zu widersprechen. | Eine öffentliche, datierte Liste mit Änderungsbenachrichtigung ist das Gütezeichen. Fehlt sie, fehlt Ihnen die Grundlage. |
| 4 | Kundendaten vom Training ausgenommen (oder abwählbar) | Was ins Training fliesst, kommt nicht zurück. Für Kundendaten und Betriebsgeheimnisse ist das der kritische Punkt. | In den Nutzungsbedingungen und oft zusätzlich in den Kontoeinstellungen. Achten Sie auf den Unterschied zwischen „standardmässig aus" und „abwählbar". |
| 5 | EU-Vertreter benannt (Art. 27 DSGVO) | Ohne Niederlassung in der EU braucht der Anbieter einen Vertreter nach Art. 27 DSGVO – sonst haben Betroffene keine erreichbare Stelle. | In der Datenschutzerklärung, meist ganz unten, mit Namen und Anschrift. |
| 6 | Standardvertragsklauseln für Drittlandtransfers | Bei Verarbeitung ausserhalb von EU und Schweiz sind Standardvertragsklauseln der übliche Weg – zusammen mit einer Abwägung im Einzelfall. | Als Anhang zum Auftragsverarbeitungsvertrag. Prüfen Sie, welche Module einbezogen sind. |
| 7 | Löschfristen dokumentiert | Eine Löschzusage ohne Frist ist keine Zusage. Wichtig auch für Sicherungskopien und Protokolle. | Im Auftragsverarbeitungsvertrag oder in der Dokumentation, Stichwort „retention". |
| 8 | Unabhängige Zertifizierung (ISO 27001, SOC 2) | Ein Zertifikat ersetzt Ihre Prüfung nicht, verkürzt sie aber: Jemand Unabhängiges hat hingeschaut. | ISO 27001 oder SOC 2 Type II, mit Geltungsbereich und Datum. Ein Bericht ohne Geltungsbereich sagt wenig. |
Wie Sie die Antworten festhalten
Notieren Sie zu jeder Frage drei Dinge: die Antwort, den Link, unter dem sie steht, und das Datum. Ohne Datum ist eine Datenschutzangabe wertlos – Anbieter ändern ihre Bedingungen, und niemand schreibt Ihnen deswegen. Genau deshalb trägt bei uns jede veröffentlichte Antwort ein Prüfdatum, und jede Prüfung wird nach 180 Tagen fällig.
„Keine Angabe" ist ein zulässiges Ergebnis und oft das ehrlichste. Füllen Sie die Lücke nicht mit einer Vermutung.
Diese Checkliste ist keine Rechtsberatung und keine Datenschutz-Folgenabschätzung. Sie ordnet Fragen, sie beantwortet sie nicht für Ihren Fall. Einzelheiten im Haftungsausschluss.
Verwandt: Einkaufs-Checkliste DACH · unsere Bewertungsmethodik · wie eine Prüfung abläuft