Wer sich noch an die Anfangszeit der DSGVO erinnert, weiß: Auftragsverarbeitungsverträge waren damals häufig eine Notlösung – hastig zusammengestellte Muster, widersprüchliche Klauseln, unklare Rollen. Inzwischen hat sich das Bild gewandelt: Viele Auftragsverarbeiter – vor allem SaaS-, Cloud- und KI-Anbieter – hatten genug Zeit, strategisch zu überlegen, wie sie die in ihrem System liegenden Kundendaten auch für eigene Zwecke nutzen können. Entsprechend „kreativ“ fallen heute manche AVV-Klauseln aus.
Was ist passiert?
In der Praxis nutzen Auftragsverarbeiter die ihnen überlassenen Kundendaten zunehmend für eigene Zwecke: etwa zur Produktverbesserung, für das Training von KI-Systemen oder zur Erfüllung eigener gesetzlicher Pflichten (z. B. nach NIS‑2, dem Digital Services Act oder dem Data Act).
Oft greifen Dienstleister dabei auf den Begriff der „Anonymisierung“ zurück. Dabei wird jedoch übersehen: Die Überführung von personenbezogenen Daten in anonyme Datensätze ist selbst ein eigenständiger Verarbeitungsvorgang. Dieser Eingriff in den Personenbezug benötigt eine konkrete Rechtsgrundlage oder eine explizite, vorformulierte vertragliche Weisung im Auftragsverarbeitungsvertrag (AVV). Fehlt diese, ist die Anonymisierung unzulässig.
Sobald der Dienstleister Daten für eigene Zwecke rechtssicher anonymisiert oder aufgrund eigener gesetzlicher Pflichten verarbeitet, wird er für diesen Schritt zum alleinigen, eigenständigen Verantwortlichen. Eine gemeinsame Verantwortlichkeit scheidet nach aktueller Rechtsprechung (u. a. VG Köln) in solchen Konstellationen meist aus, da sie voraussetzt, dass Zwecke und Mittel der Verarbeitung nachweislich kumulativ gemeinsam festgelegt werden.
Handlungsempfehlungen
- Standard-AVVs überprüfen
Prüfen Sie bestehende und neue Verträge mit IT-Dienstleistern gezielt auf Klauseln, die dem Anbieter das Recht einräumen, Daten zu „aggregieren“, „für die Produktentwicklung zu nutzen“ oder zu „anonymisieren“.
Solche Passagen müssen als präzise, vorformulierte Weisungen des Verantwortlichen ausgestaltet sein. Ohne diese vertragliche Brücke riskieren Sie als Auftraggeber unzulässige Datenweitergaben und unklare Verantwortlichkeiten. - Dauerhaftigkeit der Anonymisierung hinterfragen (KI-Risiko)
Hinterfragen Sie, ob die vom Dienstleister versprochene Anonymisierung tatsächlich dauerhaft ist. Die Rechtsprechung geht von einem relativen Personenbezug aus: Was heute als anonym erscheint, kann morgen – etwa durch neue Datenquellen oder leistungsfähigere KI-Systeme beim Dienstleister – wieder re-identifizierbar werden.
Vereinbaren Sie daher klare Kriterien und technische sowie organisatorische Maßnahmen, die eine Rückführbarkeit so weit wie möglich ausschließen. - Eigene Rolle bei gesetzlichen Pflichten klar abgrenzen
Wenn Sie selbst als IT-Dienstleister auftreten und Daten zur Erfüllung eigener Cybersicherheits‑ oder Resilienzpflichten (z. B. NIS‑2‑Risikomanagement) verarbeiten müssen, trennen Sie diese Prozesse strikt vom Kundenmandat.
Dokumentieren Sie diese Verarbeitungen eigenverantwortlich auf Grundlage von Art. 6 Abs. 1 lit. c oder lit. f DSGVO – bewusst außerhalb des AVV. So vermeiden Sie, dass Kundenverarbeitungen und eigene gesetzliche Pflichten miteinander vermischt werden. - Haftungsrisiko „Joint Controllership“ minimieren
Stellen Sie vertraglich klar, dass keine gemeinsame Festlegung von Zwecken und Mitteln der Datenverarbeitung stattfindet, sofern nicht ausdrücklich eine gemeinsame Verantwortlichkeit gewollt ist. Andernfalls droht eine schwer kalkulierbare Mithaftung im Konzern‑ oder Partnerverbund.
Regeln Sie außerdem präzise, inwieweit der eigenverantwortlich handelnde Dienstleister für seine eigenen Zwecke weitere Unterauftragsverarbeiter einschalten darf. Ziel ist, die Kontrolle über die Datenkette zu behalten und Verantwortlichkeiten sauber voneinander zu trennen.