Bitkom hat seine Mustervertragsanlage zur Auftragsverarbeitung 2025 umfassend aktualisiert; der begleitende Leitfaden erschien im November 2025 in Version 1.2 und basiert auf der EU-DSGVO (Verordnung (EU) 2016/679). Unternehmen, die Enterprise-Sprachmodelle betreiben und dabei personenbezogene Daten verarbeiten lassen, benötigen rechtssichere Auftragsverarbeitungsverträge. Die Datenschutzbehörden der Länder haben bereits klargestellt, dass KI-Einsatz in der Regel DSGVO-Anforderungen auslöst. Das aktualisierte Bitkom-Paket mit Mustervertragsanlage, Anlage 1 und zwei Varianten von Anlage 2 bietet Verantwortlichen und Auftragsverarbeitenden eine praxisnahe Grundlage, um Compliance-Lücken beim LLM-Deployment zu schließen.

Auftragsverarbeitung bei LLM-Deployment: Was Bitkom und Datenschutzbehörden von Betreibern verlangen

Unternehmen, die Enterprise-Sprachmodelle als Auftragsverarbeiter betreiben oder entsprechende Dienste nutzen, stehen 2025 vor aktualisierten vertraglichen und datenschutzrechtlichen Mindestanforderungen. Bitkom hat seine Mustervertragsanlage zur Auftragsverarbeitung umfassend überarbeitet, während Datenschutzbehörden auf Länderebene spezifische Regeln für den KI-Einsatz fordern.

Bitkom-Mustervertragsanlage 2025: Vier Dokumente, eine Grundlage

Der Digitalverband Bitkom hat seine Praxisleitfäden zur Auftragsverarbeitung 2025 grundlegend aktualisiert. Das Paket besteht aus vier Dokumenten: der Mustervertragsanlage als Kerntext, Anlage 1, Anlage 2 in zwei Varianten (für Auftraggeber und Auftragnehmer) sowie einem begleitenden Leitfaden. Die Leitfadenversion 1.2 erschien im November 2025 und ersetzt die bisherige Fassung. Rechtliche Grundlage ist die EU-Datenschutz-Grundverordnung (Verordnung (EU) 2016/679).

Der Leitfaden richtet sich explizit an beide Seiten des Vertragsverhältnisses: Er soll Verantwortlichen und Auftragsverarbeitenden gleichermaßen helfen, ein gemeinsames Verständnis der wesentlichen Regelungsinhalte zu entwickeln und die datenschutzrechtlichen Anforderungen sachgerecht umzusetzen.

Datenschutzbehörden fordern KI-spezifische Anforderungen

Die unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) haben sich mehrfach mit den Datenschutzfragen beim KI-Einsatz befasst. Hessens Datenschutzbeauftragter Prof. Dr. Alexander Rossnagel, der seit Mai 2024 auch den DSK-Vorsitz innehat, betonte gegenüber dem Fachmedium Heise: “Die Nutzung Künstlicher Intelligenz betrifft in der Mehrzahl der Fälle auch die Anforderungen der Datenschutz-Grundverordnung.” Die Behörden fordern unter anderem eine sorgfältige Analyse vor dem Einsatz von KI-Systemen.

Besonders sensibel ist laut den Datenschützern das Training generativer KI-Modelle, da dabei häufig personenbezogene Daten verarbeitet werden. Als konkretes Beispiel für Fehlverhalten nannten die Behörden den Fall eines Gerichtsreporters aus Baden-Württemberg, der durch Microsofts Copilot fälschlicherweise als Krimineller dargestellt worden sein soll.

Vier praktische Implikationen für Betreiber

1. Vertragsdokumentation nach aktuellem Stand prüfen Wer Auftragsverarbeitungsverträge auf Basis älterer Bitkom-Muster verwendet, sollte diese auf die 2025er Fassung aktualisieren. Die neue Version 1.2 des Leitfadens ersetzt ausdrücklich den bisherigen Text. Betreiber von Enterprise-Sprachmodellen sollten prüfen, welche der beiden Varianten von Anlage 2 für ihre Rolle als Auftraggeber oder Auftragnehmer relevant ist. Weiterführende Informationen zur DSGVO-konformen Gestaltung von LLM-Systemen finden Sie unter DSGVO-konforme RAG-Systeme für den Mittelstand.

2. Risikoanalyse vor dem LLM-Einsatz dokumentieren Die DSK verlangt eine sorgfältige Analyse, bevor KI-Systeme personenbezogene Daten verarbeiten. Für Betreiber bedeutet das: Vor dem produktiven Einsatz eines Sprachmodells muss dokumentiert werden, welche Kategorien personenbezogener Daten verarbeitet werden, auf welcher Rechtsgrundlage dies geschieht und welche technischen sowie organisatorischen Maßnahmen ergriffen werden. Mehr zu den Datenschutzanforderungen der europäischen Aufsichtsbehörden lesen Sie unter EDPB-Leitlinien 2025: Datenschutz und LLM.

3. Betroffenenrechte bei Sprachmodellen operationalisieren Die Datenschützer betonen, dass die Betroffenenrechte der DSGVO auch bei KI-Anwendungen durchsetzbar bleiben müssen. Das betrifft insbesondere das Auskunftsrecht, das Recht auf Löschung und das Recht auf Berichtigung. Für LLM-Betreiber stellt sich die praktische Frage, wie diese Rechte in Systemen umgesetzt werden, die Daten nicht als klassische Datenbankeinträge speichern. Hintergründe zu den Transparenzpflichten bei LLM-Anwendungen finden Sie unter EDPB-Transparenzpflichten für LLM-Anwendungen.

4. Auftragsverarbeitung klar von gemeinsamer Verantwortung abgrenzen Die Bitkom-Dokumentation unterscheidet klar zwischen den Rollen des Verantwortlichen und des Auftragsverarbeiters. Bei komplexen LLM-Deployments, etwa wenn ein Drittanbieter das Modell betreibt, ein weiteres Unternehmen das Fine-Tuning übernimmt und ein Unternehmenskunde die Ausgaben nutzt, können Rollenüberschneidungen entstehen. Die aktualisierte Mustervertragsanlage soll hier Klarheit schaffen. Zum regulatorischen Rahmen durch den EU AI Act lesen Sie auch EU AI Act: Compliance-Anforderungen für KI-Anbieter.

Quellen

• Praxisleitfäden zur Auftragsverarbeitung 2025 – Bitkom e. V.
• Begleitende Hinweise zur Bitkom-Mustervertragsanlage (Version 1.2, November 2025)
• Datenschützer fordern Stärkung der Betroffenenrechte bei Sprachmodellen – Heise Online, 03.09.2024

Häufige Fragen

Welche vertraglichen Unterlagen benötigen Unternehmen konkret, wenn sie ein Enterprise-Sprachmodell im Rahmen einer Auftragsverarbeitung betreiben?

Laut dem aktualisierten Bitkom-Leitfadenpaket (Version 1.2, November 2025) umfasst eine rechtskonforme Auftragsverarbeitung mindestens vier Dokumente: die überarbeitete Mustervertragsanlage sowie Anlage 1 und Anlage 2, wobei Anlage 2 in zwei Varianten vorliegt – eine für Auftraggeber, eine für Auftragnehmer. Betreiber von Enterprise-Sprachmodellen sollten prüfen, welche Variante auf ihre Rolle im jeweiligen Verarbeitungsverhältnis zutrifft.

Warum ist beim Training und Deployment von Sprachmodellen die DSGVO besonders relevant?

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat bereits im September 2024 festgestellt, dass die Nutzung von KI in der Mehrzahl der Fälle Anforderungen der Datenschutz-Grundverordnung berührt. Beim Training generativer Sprachmodelle werden häufig personenbezogene Daten verarbeitet, was zu datenschutzrechtlich kritischen Situationen führen kann. Die DSK fordert daher eine sorgfältige Analyse jedes Einsatzszenarios.

Reicht ein älterer Auftragsverarbeitungsvertrag noch aus, oder müssen Betreiber ihren AVV aktualisieren?

Der Bitkom-Mustertext zur Auftragsverarbeitung wurde 2025 umfassend überarbeitet. Der begleitende Leitfaden in Version 1.2 vom November 2025 ersetzt ausdrücklich die bisherige Fassung. Unternehmen, die ältere Vertragswerke verwenden, sollten diese auf Basis der aktualisierten Dokumente prüfen und gegebenenfalls anpassen, um die datenschutzrechtlichen Anforderungen der DSGVO (Verordnung (EU) 2016/679) weiterhin sachgerecht zu erfüllen.

Welche Rolle spielen Betroffenenrechte konkret beim Einsatz von Sprachmodellen im Unternehmensumfeld?

Die Datenschutzbehörden der Länder haben im September 2024 gefordert, dass Betroffenenrechte beim Einsatz von KI-Sprachmodellen gezielt gestärkt werden. Hintergrund sind Vorfälle, bei denen personenbezogene Daten durch KI-Systeme fehlerhaft oder unzulässig verarbeitet wurden. Für Betreiber von Enterprise-Sprachmodellen bedeutet das: Auskunfts-, Berichtigungs- und Löschrechte müssen technisch und organisatorisch auch im KI-Kontext durchsetzbar sein.

Wofür ist der Bitkom-Leitfaden zur Auftragsverarbeitung in der Praxis konkret gedacht?

Der Leitfaden dient laut Bitkom als praxisorientierte Orientierungshilfe zur Mustervertragsanlage. Er richtet sich gleichzeitig an Verantwortliche und Auftragsverarbeitende und soll beiden Seiten helfen, die datenschutzrechtlichen Anforderungen sachgerecht umzusetzen sowie ein gemeinsames Verständnis der wesentlichen Regelungsinhalte zu entwickeln. Für LLM-Deployments ist er insbesondere dann relevant, wenn ein externer Anbieter das Modell betreibt oder Trainingsdaten verarbeitet.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.