AVV (Auftragsverarbeitungsvertrag)

Ein AVV, ausgeschrieben Auftragsverarbeitungsvertrag, ist ein Vertrag zwischen einem Unternehmen und einem Dienstleister, der in dessen Auftrag personenbezogene Daten verarbeitet. Grundlage ist Art. 28 DSGVO. Bei KI-Videotools ist der Anbieter oft ein solcher Auftragsverarbeiter, etwa wenn du Aufnahmen von Mitarbeitenden für Avatare hochlädst oder Kundennamen für personalisierte Videos verwendest. Englischsprachige Anbieter nennen den Vertrag Data Processing Agreement, kurz DPA.

Dieser Eintrag erklärt den Begriff und ist keine Rechtsberatung.

Was steht in einem AVV?

Art. 28 Abs. 3 DSGVO legt fest, was der Vertrag mindestens regeln muss. Dazu gehören Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die betroffenen Personengruppen. Der Dienstleister darf die Daten nur nach Weisung verarbeiten, muss Mitarbeitende zur Vertraulichkeit verpflichten und angemessene technische und organisatorische Maßnahmen treffen. Außerdem regelt der Vertrag, ob und wie weitere Unterauftragnehmer eingesetzt werden, wie der Anbieter bei Anfragen von Betroffenen hilft und was nach Vertragsende mit den Daten passiert. Der Vertrag kann laut Art. 28 Abs. 9 DSGVO auch elektronisch geschlossen werden.

Worauf du bei KI-Videotools achten solltest

Prüfe, ob der Anbieter überhaupt einen AVV anbietet und in welchem Tarif. Laut Anbieter ist das bei Colossyan, ElevenLabs, HeyGen und Synthesia der Fall. Lies im Vertrag und in der Liste der Unterauftragnehmer nach, in welchen Ländern Daten verarbeitet werden, und ob hochgeladene Inhalte zum Training von Modellen genutzt werden dürfen. Bei Anbietern außerhalb der EU kommen die Regeln zur Datenübermittlung in Drittländer hinzu.

Ein AVV ersetzt nicht die Einwilligung der Personen, deren Gesicht oder Stimme du verwendest. Er regelt nur das Verhältnis zwischen dir und dem Anbieter. Tools mit Angaben zu AVV und EU-Hosting findest du unter KI-Videogenerator mit DSGVO, weitere Hinweise im Ratgeber Rechtliches bei KI-Videos.