Wie Sie Auftragsverarbeitungsverträge (AVV) mit KI auswerten

Grundlagen von Auftragsverarbeitungsverträgen

Definition und rechtlicher Hintergrund

Ein Auftragsverarbeitungsvertrag (AVV) ist im Rahmen der DSGVO ein Vertrag, der die Beziehung zwischen einem Verantwortlichen (z. B. einem Unternehmen) und einem Auftragsverarbeiter (z. B. einem externen Dienstleister) regelt. Dieser Vertrag legt fest, wie personenbezogene Daten verarbeitet werden dürfen, und stellt sicher, dass der Auftragsverarbeiter die Daten im Einklang mit den gesetzlichen Anforderungen schützt. Die DSGVO schreibt vor, dass Verantwortliche nur solche Auftragsverarbeiter beauftragen dürfen, die ausreichende Garantien bieten, dass geeignete technische und organisatorische Maßnahmen umgesetzt werden, um den Schutz der Daten zu gewährleisten.

Typische Inhalte und Anforderungen von AVVs

Ein typischer AVV enthält eine Reihe von wichtigen Bestandteilen, um sicherzustellen, dass die personenbezogenen Daten der betroffenen Personen angemessen geschützt sind. Zu den wichtigsten Inhalten gehören:

Gegenstand und Dauer der Verarbeitung: Der Vertrag muss klar definieren, welche Daten verarbeitet werden und wie lange die Verarbeitung dauern soll.
Art und Zweck der Verarbeitung: Es muss festgelegt werden, zu welchem Zweck die Daten verarbeitet werden und welche Verarbeitungstätigkeiten durchgeführt werden.
Rechte und Pflichten des Verantwortlichen: Der Verantwortliche trägt die Hauptverantwortung für den Schutz der personenbezogenen Daten und muss sicherstellen, dass der Auftragsverarbeiter die Daten gemäß den gesetzlichen Anforderungen verarbeitet.
Pflichten des Auftragsverarbeiters: Der Auftragsverarbeiter ist verpflichtet, die Daten nur nach Weisung des Verantwortlichen zu verarbeiten und geeignete technische und organisatorische Maßnahmen zum Schutz der Daten zu treffen.
Subunternehmer: Der Einsatz von Subunternehmern durch den Auftragsverarbeiter muss vertraglich geregelt und durch den Verantwortlichen genehmigt werden.

‍

Was muss ein AVV gemäß Artikel 28 der Datenschutz-Grundverordnung (DSGVO) enthalten?

Gemäß Artikel 28 der Datenschutz-Grundverordnung (DSGVO) muss ein Auftragsverarbeitungsvertrag (AVV) bestimmte Mindestanforderungen erfüllen, um den Schutz der personenbezogenen Daten sicherzustellen. Zu den wesentlichen Bestandteilen eines AVVs gehören:

Beschreibung der Verarbeitung: Der Vertrag muss detailliert beschreiben, welche personenbezogenen Daten verarbeitet werden, zu welchen Zwecken und für welche Dauer.
Weisungsrecht des Verantwortlichen: Der Verantwortliche muss die volle Kontrolle über die Verarbeitung behalten und hat das Recht, dem Auftragsverarbeiter Weisungen zur Verarbeitung der Daten zu erteilen.
Vertraulichkeit: Der Auftragsverarbeiter muss sicherstellen, dass alle Personen, die Zugriff auf die personenbezogenen Daten haben, zur Vertraulichkeit verpflichtet sind.
Sicherheitsmaßnahmen: Es müssen geeignete technische und organisatorische Maßnahmen festgelegt werden, um die Sicherheit der Verarbeitung zu gewährleisten und Risiken wie Datenverlust oder unbefugtem Zugriff vorzubeugen.
Unterstützung des Verantwortlichen: Der Auftragsverarbeiter muss den Verantwortlichen bei der Wahrnehmung seiner Pflichten unterstützen, insbesondere bei Anfragen von betroffenen Personen und der Durchführung von Datenschutz-Folgenabschätzungen.
Löschung und Rückgabe von Daten: Nach Abschluss der Verarbeitung muss der Auftragsverarbeiter die Daten entweder löschen oder an den Verantwortlichen zurückgeben, je nachdem, was vertraglich vereinbart wurde.
Nachweispflichten und Audits: Der Auftragsverarbeiter muss dem Verantwortlichen alle notwendigen Informationen zur Verfügung stellen, um die Einhaltung der gesetzlichen Anforderungen nachzuweisen, und Audits durch den Verantwortlichen ermöglichen.

Diese Anforderungen sind entscheidend, um sicherzustellen, dass der Datenschutz bei der Verarbeitung personenbezogener Daten durch Dritte stets gewährleistet ist.

Rollen und Verantwortlichkeiten

Im Rahmen eines AVVs gibt es klare Rollenverteilungen zwischen dem Verantwortlichen und dem Auftragsverarbeiter. Der Verantwortliche bestimmt, wie und zu welchen Zwecken personenbezogene Daten verarbeitet werden, während der Auftragsverarbeiter die Daten im Auftrag des Verantwortlichen verarbeitet. Dabei ist es wichtig, dass der Verantwortliche die Einhaltung der Datenschutzanforderungen durch den Auftragsverarbeiter überwacht und sicherstellt, dass dieser alle vertraglichen und gesetzlichen Vorgaben einhält.

In der Praxis bedeutet dies, dass der Verantwortliche regelmäßige Überprüfungen und Audits durchführen sollte, um sicherzustellen, dass der Auftragsverarbeiter die Anforderungen des AVVs einhält. Der Auftragsverarbeiter wiederum muss den Verantwortlichen über alle relevanten Vorgänge informieren, die die Verarbeitung der personenbezogenen Daten betreffen, und sicherstellen, dass alle Mitarbeiter, die Zugang zu den Daten haben, entsprechend geschult sind.

Herausforderungen bei der AVV-Auswertung

Manuelle Prüfung – Aufwand und Risiken

Die manuelle Prüfung von Auftragsverarbeitungsverträgen (AVVs) erfordert einen erheblichen Zeitaufwand, insbesondere bei umfangreichen und komplexen Verträgen. Erfahrungsgemäß sind viele AVVs fehleranfällig, da Unternehmen häufig Musterverträge verwenden oder bestimmte Klauseln nicht anpassen. Dies führt zu potenziellen Lücken, die Risiken für die Einhaltung der Datenschutzbestimmungen mit sich bringen. Eine Untersuchung von Veritas Technologies zeigt, dass bis zu 60 % der Datenschutzverstöße auf menschliche Fehler zurückzuführen sind. (Veritas Technologies, "The Truth in Cloud Report", 2023) Dies verdeutlicht, wie fehleranfällig und riskant eine manuelle Prüfung sein kann.

Beispielsweise fehlt bei vielen AVVs die angemessene Berücksichtigung technischer und organisatorischer Maßnahmen (TOM). Anstatt konkrete Sicherheitsmaßnahmen wie Verschlüsselung oder Firewalls aufzuführen, enthalten sie oft nur vage Formulierungen wie: „Wir garantieren den Datenschutz durch unsere technischen und organisatorischen Maßnahmen.“ Dieser Mangel an Präzision erschwert es, die tatsächlichen Sicherheitsvorkehrungen zu bewerten, was die Compliance gefährdet.

Typische Problembereiche in AVVs

In vielen Fällen fehlen klare Regelungen oder ausreichende Garantien, was die Risiken erhöht. Laut einer Studie des Ponemon Institute haben 59 % der Unternehmen Schwierigkeiten, die Datenschutzkonformität ihrer Subunternehmer sicherzustellen. (Ponemon Institute, "Data Risk in the Third-Party Ecosystem", 2023) Typische Problembereiche umfassen:

Unzureichende technische und organisatorische Maßnahmen (TOM)

Oft sind die TOM nicht auf die jeweilige Datenverarbeitungssituation abgestimmt oder es fehlen grundlegende Maßnahmen, wie die Absicherung physischer Server oder die Verschlüsselung der Daten bei der Übertragung.

Unklare Regelungen zur Haftung und zur Einbindung von Subunternehmern

Subunternehmer erhalten oft Zugang zu personenbezogenen Daten, ohne dass klare Regelungen zur Verantwortung oder Haftung bestehen. Dies führt zu Unsicherheiten, wie im Falle eines Datenschutzverstoßes vorzugehen ist.

Fehlende Angaben zur Löschung von Daten

Nach Beendigung der Datenverarbeitung fehlt es oft an klaren Regelungen zur sicheren Löschung oder Rückgabe der Daten, was zu rechtlichen und sicherheitstechnischen Problemen führen kann.

Datenübermittlungen in Drittländer

Ein weiteres Risiko ergibt sich aus der Übermittlung von Daten in Drittländer. Die DSGVO sieht vor, dass Daten nur dann in Länder außerhalb der EU übertragen werden dürfen, wenn ein angemessenes Datenschutzniveau besteht oder geeignete Sicherheitsmaßnahmen wie Standardvertragsklauseln (SCC) oder Corporate Binding Rules implementiert wurden. Je nach Sensibilität der Daten müssen zusätzliche Vorkehrungen getroffen werden, um den Schutz der Daten zu gewährleisten.

Häufig wird die Bedeutung dieser zusätzlichen Sicherheitsmaßnahmen im Tagesgeschäft vernachlässigt. Unternehmen sollten daher genau prüfen, welche Schutzmechanismen in Verträgen mit Auftragsverarbeitern in Drittländern implementiert sind und ob diese ausreichend dokumentiert und vertraglich festgelegt wurden.

Manuelle Prüfung von AVVs

Die manuelle Prüfung von Auftragsverarbeitungsverträgen (AVV) ist ein essenzieller Prozess, um sicherzustellen, dass alle datenschutzrechtlichen und vertraglichen Anforderungen im Umgang mit personenbezogenen Daten eingehalten werden. Unabhängig davon, ob Ihr Unternehmen stark auf technische Sicherheit, die Vertraulichkeit von Daten oder die Verfügbarkeit der Informationen fokussiert ist – eine gründliche Prüfung der AVVs ist notwendig, um Compliance mit der DSGVO und internen Richtlinien sicherzustellen.

Hier finden Sie eine detaillierte Anleitung zur manuellen Prüfung von AVVs, die sich auf das Erstellen einer Checkliste, die Einrichtung einer Datenbank und die regelmäßige Überprüfung der Verträge konzentriert.

Eine Anleitung in 3 einfachen Schritten

1. Anlegen einer Checkliste

Der erste Schritt zur manuellen Prüfung eines AVV besteht darin, eine Checkliste zu erstellen, die auf die spezifischen Bedürfnisse und Risiken Ihres Unternehmens abgestimmt ist. Diese Checkliste sollte die wichtigsten Anforderungen enthalten, die für Ihre Datenverarbeitung und -sicherheit relevant sind. Je nach Branche und Art der verarbeiteten Daten können sich die Schwerpunkte der Prüfung unterscheiden.

Wichtige Punkte bei der Erstellung der Checkliste:

Technische Sicherheit: Wenn technische Sicherheit eine hohe Priorität hat, prüfen Sie detailliert, wie die Anbindung der Systeme zwischen Ihnen und dem Auftragsverarbeiter erfolgt. Achten Sie darauf, dass Verschlüsselungsmethoden, Firewalls und Zugangskontrollen implementiert sind.

Beispiel: Wenn Ihr Unternehmen sensible Finanzdaten verarbeitet, sollten Sie in der Checkliste festhalten, dass die Daten nur über verschlüsselte Kanäle (z.B. SSL/TLS) übertragen werden dürfen.

Vertraulichkeit von Daten: Falls besonders vertrauliche Daten verarbeitet werden, müssen Sie sicherstellen, dass strenge Vertraulichkeitsmaßnahmen bestehen. Diese sollten in der Checkliste aufgeführt werden, wie z.B. Vertraulichkeitsvereinbarungen mit den Mitarbeitern des Auftragsverarbeiters oder Schulungen zum Datenschutz.

Beispiel: In der Gesundheitsbranche könnte dies bedeuten, dass medizinische Daten durch erweiterte Zugriffskontrollen geschützt sind und nur befugten Mitarbeitern zugänglich gemacht werden.

Verlustfreie Verwahrung: Wenn die Sicherstellung der verlustfreien Speicherung von Daten im Vordergrund steht, sollten Sie in der Checkliste angeben, dass der Auftragsverarbeiter redundante Systeme einsetzt. Diese sorgen dafür, dass Daten auch im Falle eines technischen Ausfalls nicht verloren gehen.

Beispiel: Ein Cloud-Dienstleister muss in der Lage sein, Daten in mehreren Rechenzentren zu speichern, um Ausfälle zu vermeiden und eine zuverlässige Wiederherstellung zu ermöglichen.

Ergänzung der Checkliste durch Szenarien:

Es ist hilfreich, Ihre Checkliste durch Fallbeispiele und Szenarien zu ergänzen, die für Ihr Unternehmen akzeptabel sind. Überlegen Sie, was im schlimmsten Fall passieren könnte, wenn der Auftragsverarbeiter seinen Pflichten nicht nachkommt, und definieren Sie, welche Maßnahmen für Sie notwendig sind.

Beispiel: Wenn Daten im Ausland gespeichert werden, legen Sie fest, welche Standards an Datensicherheit gelten und welche Länder als zulässig betrachtet werden.

2. Einrichtung einer Datenbank zur Verwaltung von AVVs

Um den Überblick über alle Auftragsverarbeitungsverträge zu behalten, ist es unerlässlich, eine zentrale Datenbank oder ein Excel-Sheet einzurichten, in der alle relevanten AVVs gespeichert und verwaltet werden. Diese Datenbank hilft dabei, schnell auf die Vertragsinformationen zuzugreifen und sicherzustellen, dass alle relevanten Klauseln und Anforderungen erfasst sind.

Inhalte der Datenbank:

Vertragspartner: Geben Sie an, wer der Auftragsverarbeiter ist und welche Dienstleistung er erbringt.
Datum des Vertragsabschlusses und Laufzeit: Halten Sie das Datum fest, zu dem der Vertrag abgeschlossen wurde, und wann er erneuert oder beendet werden muss.
Wichtige Klauseln: Notieren Sie die wesentlichen Vertragsklauseln zu technischen und organisatorischen Maßnahmen (TOM), zur Subunternehmerregelung und zur Löschung von Daten.
Risikoanalyse: Fügen Sie eine Bewertung des Vertrags hinzu, die das Risiko für Datenschutzverletzungen oder Sicherheitsprobleme einschätzt.

Vorteile der Datenbank:

Zugriff bei Prüfungen: Falls eine externe Prüfung (z.B. durch Aufsichtsbehörden) stattfindet, können Sie schnell und effizient auf alle relevanten AVVs zugreifen und nachweisen, dass die erforderlichen Maßnahmen ergriffen wurden.
Überblick über die Verträge: Mit der Datenbank behalten Sie den Überblick, welche Verträge regelmäßig überprüft oder aktualisiert werden müssen, und vermeiden so vertragliche Lücken oder das Ablaufen von Vertragsfristen.

3. Regelmäßige Überprüfung der Checkliste und der ausgewerteten Daten

Die Datenschutzanforderungen ändern sich kontinuierlich, und es ist wichtig, Ihre Checkliste und die ausgewerteten Daten in der Datenbank regelmäßig zu überprüfen. Diese regelmäßige Überprüfung hilft sicherzustellen, dass der Auftragsverarbeiter stets den aktuellen rechtlichen und sicherheitstechnischen Anforderungen entspricht.

Schritte zur regelmäßigen Überprüfung:

Aktualisierung der Checkliste: Überprüfen Sie mindestens einmal jährlich, ob neue rechtliche Anforderungen oder technologische Veränderungen die Anforderungen in Ihrer Checkliste verändern. Passen Sie die Checkliste entsprechend an.
Vertragsüberprüfung: Kontrollieren Sie regelmäßig die in der Datenbank erfassten AVVs, um sicherzustellen, dass alle Verträge aktuell und relevant sind. Wenn sich die Art der Datenverarbeitung ändert oder neue Risiken hinzukommen, müssen Nachverhandlungen mit dem Auftragsverarbeiter geführt werden.
Dokumentation der Änderungen: Halten Sie alle Änderungen oder Anpassungen an den Verträgen schriftlich fest und fügen Sie sie der Datenbank hinzu. Dies kann wichtig sein, wenn es zu Audits oder Prüfungen kommt.

Weitere wichtige Punkte für die manuelle Überprüfung

Prüfung der technischen und organisatorischen Maßnahmen

Quick-Win: Überprüfen Sie die technischen und organisatorischen Maßnahmen (TOM) des Auftragsverarbeiters auf konkrete Angaben. Achten Sie dabei darauf, dass die TOM auf die Art der Verarbeitung angepasst sind und grundlegende Sicherheitsmaßnahmen wie Firewalls und Zugriffssteuerungen explizit genannt werden.

Die TOM sind das Rückgrat eines jeden AVVs, da sie sicherstellen, dass der Auftragsverarbeiter die personenbezogenen Daten im Einklang mit der DSGVO schützt. Häufig finden sich jedoch vage Formulierungen wie „Wir garantieren den Datenschutz durch technische und organisatorische Maßnahmen“, ohne genaue Details zu nennen. Ein häufiger Fehler ist, dass Auftragsverarbeiter allgemeine Muster verwenden, die nicht an ihre spezifischen Prozesse angepasst sind. Hier sind grundlegende Punkte, auf die Sie achten sollten:

Technische Maßnahmen: Sind Verschlüsselung, Zugriffssteuerungen, Firewalls und andere IT-Sicherheitsmaßnahmen konkret beschrieben?
Organisatorische Maßnahmen: Gibt es Schulungen für Mitarbeiter, Richtlinien zur Datennutzung und klare Zuständigkeiten?
Externe Zertifizierungen: Werden unabhängige Zertifizierungen wie ISO 27001, SOC 2 oder Audits von Datenschutzbeauftragten angeführt?

Durch die Prüfung dieser Aspekte können Sie schnell feststellen, ob der Auftragsverarbeiter wirklich adäquate Garantien zur Datensicherheit bietet.

Subunternehmer des Auftragsverarbeiters

Quick-Win: Überprüfen Sie, ob der Auftragsverarbeiter Subunternehmer einsetzt, und stellen Sie sicher, dass klare Regelungen zur Einbindung dieser Subunternehmer vorhanden sind. Achten Sie besonders darauf, ob Subunternehmer in Drittländern tätig sind und wie deren Datensicherheit gewährleistet wird.

Die Einbindung von Subunternehmern birgt oft erhebliche Risiken, da diese ebenfalls Zugriff auf die personenbezogenen Daten haben können. Ein häufiger Mangel in AVVs besteht darin, dass keine Transparenz darüber herrscht, welche Subunternehmer eingesetzt werden und ob diese den gleichen Sicherheitsanforderungen wie der Hauptauftragsverarbeiter genügen. Bei der Prüfung sollten Sie folgende Punkte beachten:

Identität der Subunternehmer: Sind die Namen der Subunternehmer im AVV angegeben? Fehlt diese Angabe, ist es wichtig, nachzufragen und zu klären.
Vertragliche Weitergabe der Garantien: Werden die vereinbarten Garantien aus dem AVV auch an die Subunternehmer weitergegeben?
Drittländer: Falls Subunternehmer in Drittländern tätig sind, sind zusätzliche Schutzmaßnahmen und Standardvertragsklauseln (SCC) notwendig.

Die rechtliche und datenschutzrechtliche Absicherung von Subunternehmern ist entscheidend, um zu gewährleisten, dass die personenbezogenen Daten über die gesamte Verarbeitungskette hinweg geschützt bleiben.

Standardvertragsklauseln und zusätzliche Sicherheitsmaßnahmen

Quick-Win: Überprüfen Sie, ob die Übermittlung personenbezogener Daten in Drittländer durch Standardvertragsklauseln (SCC) oder andere Mechanismen abgesichert ist, und ob zusätzliche Sicherheitsmaßnahmen im Vertrag festgelegt sind.

Wenn personenbezogene Daten in Drittländer außerhalb des europäischen Wirtschaftsraums (EWR) übermittelt werden, muss sichergestellt sein, dass ein angemessenes Datenschutzniveau gewährleistet ist. In vielen Fällen werden Standardvertragsklauseln verwendet, um diese Übermittlungen rechtlich abzusichern. Doch Standardvertragsklauseln allein reichen oft nicht aus. Es müssen zusätzliche Sicherheitsmaßnahmen implementiert werden, die im AVV explizit erwähnt sein sollten. Zu den wichtigsten Aspekten gehören:

Standardvertragsklauseln (SCC): Sind diese im Vertrag enthalten und werden sie korrekt angewendet?
Zusätzliche Sicherheitsmaßnahmen: Werden beispielsweise Verschlüsselung bei der Übermittlung oder andere Sicherheitsvorkehrungen erwähnt, um den Schutz der Daten auch im Drittland sicherzustellen?

Dieser Schritt ist von großer Bedeutung, da die Datenübertragung in Länder mit unzureichendem Datenschutzniveau erhebliche Risiken birgt. Eine genaue Prüfung dieser Klauseln stellt sicher, dass personenbezogene Daten auch bei der Übermittlung über nationale Grenzen hinweg sicher sind.

Einsatz künstlicher Intelligenz für die Vertragsauswertung

Grundlagen von maschinellem Lernen und NLP (Natural Language Processing)

Maschinelles Lernen ist ein Teilgebiet der künstlichen Intelligenz, das Algorithmen und statistische Modelle verwendet, damit Systeme aus Daten lernen und Muster erkennen können, ohne explizit programmiert zu sein. Natural Language Processing (NLP) ist eine weitere Schlüsseltechnologie, die es Maschinen ermöglicht, menschliche Sprache zu verstehen, zu interpretieren und darauf zu reagieren. NLP wird besonders für die Verarbeitung natürlicher Sprache in Texten, wie z. B. in Verträgen, genutzt. In der Vertragsauswertung kommen maschinelles Lernen und NLP zusammen, um die automatisierte Analyse und Interpretation der Vertragsinhalte zu ermöglichen.

Möglichkeiten der KI in der Vertragserkennung und -bewertung

Künstliche Intelligenz hat das Potenzial, die Vertragserkennung und -bewertung erheblich zu verbessern. NLP kann verwendet werden, um relevante Klauseln in Verträgen automatisch zu identifizieren und zu kategorisieren. Dies erleichtert die Bewertung der Einhaltung von Datenschutzanforderungen oder anderer gesetzlicher Bestimmungen. Maschinelles Lernen kann dazu beitragen, Vertragsrisiken vorherzusagen, indem es aus historischen Daten Muster lernt, die auf mögliche Problemfelder hinweisen. Diese Kombination von Technologien ermöglicht eine schnellere und präzisere Erkennung von Risiken und hilft, die Einhaltung von Vorschriften effizienter zu gestalten.

Vorteile der Automatisierung gegenüber manuellen Verfahren

Die Automatisierung der Vertragsbewertung durch KI bietet zahlreiche Vorteile im Vergleich zur manuellen Prüfung. Erstens spart sie Zeit und reduziert den Aufwand erheblich, da Verträge schneller und konsistenter analysiert werden können. Zweitens minimiert die Automatisierung das Risiko menschlicher Fehler, das insbesondere bei langen und komplexen Verträgen hoch ist. Drittens ermöglicht die Nutzung von KI-Technologien eine bessere Skalierbarkeit, sodass auch eine große Anzahl von Verträgen in kurzer Zeit überprüft werden kann. Schließlich führt die Automatisierung durch KI zu einer erhöhten Transparenz und Nachvollziehbarkeit der Bewertung, da die Entscheidungsprozesse der Algorithmen nachvollzogen und dokumentiert werden können.

Weitere Vorteile der KI-basierenden Auswertung von AVV

Zeitersparnis und Effizienz: Verträge werden schneller und mit weniger Aufwand analysiert, was zu einer signifikanten Reduzierung der Bearbeitungszeit führt.
Minimierung menschlicher Fehler: Besonders bei umfangreichen und komplexen Verträgen können menschliche Fehler häufig auftreten. Die KI reduziert dieses Risiko erheblich durch präzisere und konsistente Analysen.
Skalierbarkeit: KI-Systeme sind in der Lage, große Mengen von Verträgen gleichzeitig zu verarbeiten, was die Effizienz bei der Bearbeitung von Verträgen in großem Umfang steigert.
Erhöhte Transparenz und Nachvollziehbarkeit: Die Algorithmen der KI bieten klare, dokumentierte Entscheidungsprozesse, die die Bewertungsschritte nachvollziehbar und auditierbar machen.
Konsistenz in der Analyse: Die automatisierte Prüfung garantiert, dass alle Verträge nach denselben Kriterien überprüft werden, was eine gleichbleibende Qualität der Vertragsbewertung sicherstellt.

Aufsetzen der automatisierten Analyse von AVVs mittels KI

Bestehende KI-Tools zur Vertragsanalyse

Es gibt bereits eine Vielzahl von KI-Tools, die speziell für die Vertragsanalyse entwickelt wurden. Diese basieren oft auf großen Sprachmodellen wie Gemini, ChatGPT oder Anthropic. Sie nutzen maschinelles Lernen und Natural Language Processing (NLP), um Verträge zu analysieren, relevante Klauseln zu identifizieren und potenzielle Risiken zu bewerten. Solche Tools haben sich als hilfreich erwiesen, um die Effizienz der Vertragsanalyse zu steigern und manuelle Fehler zu reduzieren.

Prozess für die Auswertung von Auftragsverarbeitungsverträgen mittels KI

Die Auswertung von AVVs mithilfe von KI-Tools wie ChatGPT erfolgt üblicherweise in mehreren aufeinanderfolgenden Schritten. Dabei sollte besonders auf die Struktur und Organisation der zu prüfenden Verträge geachtet werden, um sicherzustellen, dass alle relevanten Datenschutzklauseln überprüft werden. Hier eine Anleitung für den effektiven Einsatz von KI:

1. Erstellen der relevanten Prompts für die Auswertung der Verträge

Der erste Schritt bei der Verwendung von KI-Tools wie ChatGPT für die Vertragsauswertung besteht darin, die relevanten Prompts zu erstellen. Prompts sind Anweisungen, die der KI gegeben werden, um spezifische Informationen aus einem Vertrag zu extrahieren. Diese Prompts sollten sorgfältig formuliert werden, um sicherzustellen, dass die richtigen Klauseln und Informationen im Vertrag gefunden werden.

Beispielsweise könnte ein Prompt für die Identifikation der Vertragsdauer so lauten:
„Identifiziere und extrahiere die Klausel, die die Dauer des Vertrags oder der Datenverarbeitung beschreibt.“

Es ist empfehlenswert, diese Prompts in einem Excel-Sheet oder Word-Dokument zu speichern, um sie systematisch für die Auswertung verschiedener Verträge zu nutzen. Jeder Prompt sollte einer bestimmten Klausel zugeordnet werden (z.B. Datenschutzbestimmungen, Subunternehmervereinbarungen, Datenlöschungspflichten).

2. Anwenden der Prompts auf ein hochgeladenes Dokument

Nachdem die Prompts definiert wurden, werden sie auf das hochgeladene Vertragsdokument angewendet. In den meisten KI-Tools, wie ChatGPT, ist es möglich, den Vertrag in maschinenlesbarer Form hochzuladen (z.B. als Textdatei, PDF oder Word-Dokument).

Hier beginnt die eigentliche Analyse: Die KI durchsucht das Dokument nach den vom Nutzer festgelegten Prompts. Es ist wichtig, die Ergebnisse zu überprüfen und sicherzustellen, dass alle relevanten Informationen wie Vertragsgegenstand, Verarbeitungstätigkeiten, Subunternehmerregelungen und Maßnahmen zur Datensicherheit extrahiert wurden.

3. Verbessern der Prompts – falls das gewünschte Ergebnis nicht erzielt wird

In manchen Fällen liefern die initialen Prompts möglicherweise nicht das gewünschte Ergebnis. Das liegt oft daran, dass Verträge unterschiedlich formuliert sind oder juristische Begriffe in verschiedenen Zusammenhängen verwendet werden.

Sollte dies der Fall sein, müssen die Prompts überarbeitet und präzisiert werden. Ein Beispiel wäre, anstatt nur nach „Vertragsdauer“ zu fragen, spezifischer nach „Beginn und Ende der Datenverarbeitung“ oder „Vertragsverlängerungsklauseln“ zu suchen. Auch die Verwendung von Synonymen und alternativen Formulierungen hilft, die Treffgenauigkeit der KI zu verbessern.

Es kann sinnvoll sein, den KI-Output manuell zu prüfen und eventuell neue Erkenntnisse in die Verbesserung der Prompts einfließen zu lassen.

4. Eintragen der ausgewerteten Parameter bzw. Ergebnisse in einem Excel-Sheet

Nachdem die relevanten Informationen aus dem Vertrag extrahiert wurden, sollten die Ergebnisse in einem Excel-Sheet strukturiert erfasst werden. Dies ermöglicht eine einfache Nachverfolgung und Vergleichbarkeit verschiedener Verträge.

Das Excel-Sheet könnte folgende Spalten enthalten:

Vertragsklausel (z.B. Datenlöschung, Subunternehmernutzung, Verschlüsselung)
Extrahierte Klausel (Text aus dem Vertrag)
Übereinstimmung mit der DSGVO (Ja/Nein)
Anmerkungen/Handlungsempfehlungen

Eine strukturierte Dokumentation der Ergebnisse hilft nicht nur dabei, den Compliance-Status des Vertrags zu überwachen, sondern erleichtert auch künftige Vertragsüberprüfungen und Audits.

5. Anwendung der weiteren Prompts

Sobald die ersten Ergebnisse vorliegen und dokumentiert sind, können zusätzliche Prompts angewendet werden, um tiefere Einblicke zu gewinnen. Beispielsweise könnte man die KI bitten, nach problematischen Klauseln zu suchen oder zu prüfen, ob alle in der DSGVO geforderten technischen und organisatorischen Maßnahmen im Vertrag beschrieben sind.

Beispiele für weiterführende Prompts könnten sein:

„Gibt es Klauseln, die die Datenlöschung nach Vertragsende regeln?“
„Beschreibe, welche Maßnahmen zur Datensicherheit im Vertrag erwähnt werden.“

Mit jedem weiteren Schritt wird die Analyse verfeinert, und die KI liefert eine immer detailliertere Bewertung des Vertragsinhalts.

Effizienzsteigerung beim Einsatz von einfachen Sprachmodellen

Der Einsatz von KI-Tools und einfachen Sprachmodellen wie ChatGPT bietet Unternehmen die Möglichkeit, die Auswertung von Auftragsverarbeitungsverträgen (AVVs) erheblich zu beschleunigen. Sprachmodelle sind darauf trainiert, natürliche Sprache zu verstehen und komplexe juristische Dokumente zu analysieren. Auch ohne spezialisierte, teure Software lassen sich durch den Einsatz verfügbarer KI-Modelle bereits signifikante Effizienzsteigerungen in der Vertragsauswertung erzielen.

Schnellere Bearbeitung durch einfache Sprachmodelle

Einfache Sprachmodelle ermöglichen es, in kürzester Zeit Verträge zu analysieren, ohne dass manuell jede Klausel gelesen und interpretiert werden muss. Durch den Einsatz von Prompts (gezielte Anweisungen an die KI) können spezifische Vertragsklauseln wie beispielsweise Regelungen zur Datenlöschung, Subunternehmernutzung oder Maßnahmen zur Datensicherheit schnell identifiziert werden. Dies reduziert den Zeitaufwand, der traditionell für die manuelle Durchsicht eines Vertrags erforderlich wäre, erheblich.

Ein Sprachmodell wie ChatGPT kann beispielsweise in Sekundenschnelle Antworten auf folgende Fragen liefern:

„Welche Klauseln regeln die Datenverarbeitung im Rahmen des Vertrags?“
„Gibt es Regelungen zur Nutzung von Subunternehmern?“
„Sind Maßnahmen zur Datenverschlüsselung im Vertrag enthalten?“

Mit diesen einfachen Prompts kann eine erste Analyse der relevanten Klauseln in kürzester Zeit durchgeführt werden. Anstelle stundenlanger manueller Arbeit liefert das Sprachmodell innerhalb weniger Minuten eine umfassende Übersicht der wichtigsten Vertragspunkte.

Ergebnisse weiterhin strukturiert erfassen

Trotz der Geschwindigkeit und Genauigkeit, die Sprachmodelle bieten, ist es wichtig, die gewonnenen Erkenntnisse weiterhin systematisch zu dokumentieren. Dies bedeutet, dass die extrahierten Ergebnisse nach wie vor in Datenbanken oder Excel-Tabellen eingetragen werden müssen. Diese strukturierte Erfassung der Ergebnisse ist essenziell, um eine klare Nachverfolgung und Vergleichbarkeit zu gewährleisten.

Beispielsweise können die folgenden Informationen systematisch in einer Excel-Tabelle erfasst werden:

Vertragsklauseln zur Datenverarbeitung (extrahierter Text)
Risikobewertungen (Übereinstimmung mit DSGVO, potenzielle Schwachstellen)
Notwendige Maßnahmen (z.B. Anpassungen oder Nachverhandlungen)

Durch das manuelle Vermerken der Ergebnisse in Excel oder einer Vertragsdatenbank wird sichergestellt, dass die erstellten Berichte jederzeit nachvollziehbar sind und bei Bedarf schnell darauf zugegriffen werden kann.

Kontinuierliche Verbesserung und Anpassung

Ein weiterer Vorteil des Einsatzes von Sprachmodellen ist die Möglichkeit, die Effizienz des Analyseprozesses kontinuierlich zu verbessern. Wenn die initialen Prompts nicht die gewünschten Ergebnisse liefern, können sie leicht angepasst und verfeinert werden, um sicherzustellen, dass alle relevanten Informationen korrekt extrahiert werden. Diese Flexibilität führt zu einer stetigen Optimierung des Workflows, was wiederum die Effizienz der Vertragsauswertung langfristig weiter erhöht.

Vor- und Nachteile eines vollwertigen CLM-Systems im Vergleich zu einfachen KI-Modellen

Während der Einsatz von Sprachmodellen wie ChatGPT erhebliche Effizienzsteigerungen bei der Auswertung von Verträgen ermöglicht, bieten vollwertige Contract Lifecycle Management (CLM)-Systeme noch umfassendere Funktionen. Diese Systeme sind speziell darauf ausgelegt, den gesamten Lebenszyklus eines Vertrags zu verwalten – von der Erstellung und Verhandlung bis hin zur automatisierten Auswertung, Speicherung und Analyse der Vertragsdaten. Hier werden die Vor- und Nachteile eines vollwertigen CLM-Systems im Vergleich zu einfachen KI-Modellen wie ChatGPT beleuchtet.

Vorteile eines vollwertigen CLM-Systems

Automatisierte Speicherung der ausgewerteten Daten in einer Datenbank Ein vollwertiges CLM-System bietet die Möglichkeit, die ausgewerteten Vertragsdaten direkt und nahtlos in einer Datenbank zu speichern. Während bei einfachen Sprachmodellen die Ergebnisse manuell in Excel oder andere Tools übertragen werden müssen, wird dieser Schritt bei einem CLM-System automatisiert. Das führt zu einer höheren Genauigkeit und spart zusätzlich Zeit.
Zentralisierte Datenverwaltung Ein CLM-System ermöglicht die zentrale Speicherung und Verwaltung aller Verträge und der damit verbundenen Metadaten. Alle Vertragsinformationen, wie Klauseln zu Subunternehmern oder Datenschutzmaßnahmen, sind jederzeit leicht zugänglich und durchsuchbar. Dies erleichtert nicht nur die Verwaltung, sondern bietet auch die Grundlage für weiterführende Analysen.
Optimierte und ausgefeilte Prompts Während einfache KI-Modelle wie ChatGPT auf benutzerdefinierte Prompts angewiesen sind, um relevante Vertragsklauseln zu extrahieren, können CLM-Systeme optimierte und standardisierte Prompts bereitstellen. Diese sind auf verschiedene Vertragstypen und Branchen spezialisiert und ermöglichen eine präzisere Auswertung von Verträgen. In CLM-Systemen sind diese Prompts oft bereits in Vorlagen und Workflows integriert, was die Auswertung von Verträgen noch effizienter macht.
Analyse der ausgewerteten Daten Einer der größten Vorteile eines vollwertigen CLM-Systems ist die Möglichkeit, fortschrittliche Analysen auf den ausgewerteten Daten durchzuführen. Unternehmen können spezifische Trends in ihren Verträgen verfolgen, Risiken identifizieren oder Schwachstellen in bestimmten Klauseln erkennen. Einfache KI-Modelle bieten zwar schnelle Auswertungen, aber die tiefergehende Analyse und Visualisierung der Daten über Dashboards und Berichte ist in einem CLM-System weit fortgeschrittener.
Compliance und Risikomanagement Ein CLM-System kann automatisch Benachrichtigungen auslösen, wenn Verträge bestimmte Compliance-Richtlinien verletzen oder wenn riskante Klauseln erkannt werden. Zudem kann das System basierend auf den gespeicherten Daten automatisierte Reports für Audits oder interne Kontrollen erstellen. Dies macht es zu einem starken Werkzeug im Risikomanagement und in der Einhaltung von Vorschriften.

Nachteile eines vollwertigen CLM-Systems

Kosten: Der vielleicht größte Nachteil eines vollwertigen CLM-Systems sind die Kosten. Solche Systeme erfordern oft erhebliche Investitionen in Lizenzen, Implementierung und Schulung. Unternehmen müssen abwägen, ob der Mehrwert durch die Automatisierung und zentrale Verwaltung die hohen Kosten rechtfertigt, insbesondere für kleinere Unternehmen.
Komplexität der Implementierung: Die Implementierung eines CLM-Systems kann komplex und zeitaufwendig sein. Es müssen Integrationen mit bestehenden IT-Systemen, wie Dokumentenmanagementsystemen oder CRM-Tools, vorgenommen werden. Zudem erfordert die Einführung eines CLM-Systems oft eine umfassende Schulung der Mitarbeiter, um die Funktionen des Systems effektiv nutzen zu können.
Anpassungsaufwand: Obwohl CLM-Systeme oft standardisierte Prompts und Workflows anbieten, müssen sie häufig an die spezifischen Bedürfnisse des Unternehmens angepasst werden. Dies kann zusätzlichen Entwicklungsaufwand erfordern, insbesondere wenn das Unternehmen spezielle Anforderungen an Vertragsarten oder Analysen hat.
Wartung und regelmäßige Updates: Ein CLM-System muss regelmäßig gewartet und aktualisiert werden, um sicherzustellen, dass es den aktuellen rechtlichen und regulatorischen Anforderungen entspricht. Dies kann zusätzliche Ressourcen beanspruchen, da nicht nur die Software, sondern auch die zugrunde liegenden Daten und Prozesse laufend überwacht und optimiert werden müssen.

Ein vollwertiges CLM-System bietet erhebliche Vorteile in Bezug auf Effizienz, Datenmanagement und Analyse, die einfache KI-Modelle wie ChatGPT nicht bieten können. Insbesondere große Unternehmen mit umfangreichen Vertragsvolumina und hohen Compliance-Anforderungen können von der Automatisierung, der zentralisierten Verwaltung und den Analysefunktionen eines CLM-Systems profitieren. Für kleinere Unternehmen oder für spezifische, einmalige Vertragsanalysen kann jedoch der Einsatz einfacher KI-Modelle eine kostengünstigere und effizientere Lösung sein.

Die Wahl zwischen einem CLM-System und einem einfachen KI-Modell hängt stark von den Ressourcen, den Anforderungen und dem Vertragsvolumen des jeweiligen Unternehmens ab.

Praktische Checkliste für die Auswertung von AVV über Sprachmodelle

Einleitung

Egal, ob Sie ein vollwertiges CLM-System, eine manuelle Prüfung oder ein einfaches Sprachmodell verwenden – die sorgfältige Prüfung von Auftragsverarbeitungsverträgen (AVVs) ist unerlässlich, um sicherzustellen, dass datenschutzrechtliche Vorgaben eingehalten werden. Eine gründliche Analyse dieser Verträge schützt nicht nur die sensiblen Daten, sondern gewährleistet auch die Compliance mit der DSGVO.

In diesem Abschnitt bieten wir Ihnen eine Checkliste mit den 10 wichtigsten Faktoren, die Sie bei der Prüfung von AVVs berücksichtigen sollten. Jeder Faktor umfasst eine Anleitung zur manuellen Überprüfung, sowie gezielt formulierte Prompts für den Einsatz von KI-Tools, falls Sie erwägen, die Vertragsanalyse mit einem Sprachmodell zu automatisieren. Diese Prompts helfen Ihnen dabei, relevante Klauseln und Informationen aus den Verträgen effizient herauszufiltern und so den Prüfungsprozess zu beschleunigen.

Checkliste

Im Weiteren erhalten Sie eine Checkliste mit den 10 wichtigsten Faktoren, die Sie bei der Prüfung von Auftragsverarbeitungsverträgen (AVVs) beachten sollten. Eine vollständige Liste als Excel-Sheet könen Sie auch über top.legal beziehen. Jeder Faktor wird erläutert, warum er wichtig ist, und ein KI-Prompt auf Deutsch sowie die relevante Gesetzesreferenz (insbesondere DSGVO) werden angegeben.