Glossar

Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeitungsvertrag (AVV), englisch Data Processing Addendum (DPA). Verarbeitet ein Dienstleister personenbezogene Daten im Auftrag, verlangt die DSGVO dafür einen Vertrag mit festgelegten Mindestinhalten, schriftlich oder elektronisch. ^{Q40 Art. 28 Abs. 1, 3, 9} Bei ChatGPT und Claude sehen die gelesenen Bedingungen einen solchen Vertrag für die Tarife für Unternehmen und die API vor, nicht für die privaten Tarife. ^{Q19, Q44, Q22, Q23; Q20, Q24, Q46} Ob ein AVV im Einzelfall nötig ist, beurteilt dieses Angebot nicht.

→ Die vier Fragen, Frage 4

Drittland

Drittland meint im Datenschutz ein Land außerhalb der EU und des Europäischen Wirtschaftsraums (EWR), zum Beispiel die USA. Personenbezogene Daten dürfen dorthin nur unter Bedingungen übermittelt werden, etwa mit einem Angemessenheitsbeschluss der EU-Kommission oder mit Standarddatenschutzklauseln (meist Standardvertragsklauseln genannt). ^{Q40 Art. 44, 45, 46 Abs. 2 Buchst. c} OpenAI und Anthropic stützen Übermittlungen in die USA auf Standardvertragsklauseln; auf der Liste des EU-US Data Privacy Framework stehen sie am Prüfdatum nicht. ^{Q19, Q22, Q25, Q43 · Q27}

→ Die vier Fragen, Frage 4

Pseudonymisierung

Pseudonymisierung heißt: Daten lassen sich ohne zusätzliche Informationen keiner Person mehr zuordnen; diese Zusatzinformationen werden getrennt und geschützt aufbewahrt. ^{Q40 Art. 4 Nr. 5} Pseudonymisierte Daten bleiben personenbezogen, wenn sie sich mit Zusatzwissen wieder zuordnen lassen. Anonym sind Daten erst, wenn die Person mit Mitteln, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, nicht mehr erkennbar ist – maßgeblich sind etwa Kosten, Zeitaufwand und Technik. ^{Q41 Erwägungsgrund 26}

Zero Data Retention (ZDR)

Zero Data Retention (ZDR), wörtlich „keine Datenaufbewahrung“, ist eine Sondervereinbarung mit dem Anbieter für die Nutzung über die Programmierschnittstelle (API). Bei OpenAI gibt es sie nur nach vorheriger Freigabe durch OpenAI. ^Q9 Bei Anthropic gibt es sie per Vereinbarung je Organisation für bestimmte Schnittstellen, mit Ausnahmen, etwa für die Files-API, die Batch-Verarbeitung und die Ergebnisse von Sicherheitsprüfungen. ^{Q3, Q4} Für Handwerk und kleine Betriebe, die die normalen Chat-Oberflächen nutzen, ist ZDR in der Regel nicht das passende Mittel; wichtiger sind Trainingseinstellung, Datenauswahl und Betriebsregeln.

Datenschutz-Folgenabschätzung (DSFA)

Datenschutz-Folgenabschätzung (DSFA): eine Prüfung vor Beginn einer Verarbeitung, wenn diese – insbesondere mit neuen Technologien – voraussichtlich ein hohes Risiko für die betroffenen Personen hat. Die Aufsichtsbehörden veröffentlichen Listen, wann sie nötig ist. ^{Q40 Art. 35 Abs. 1, 4} Die deutschen Aufsichtsbehörden halten eine DSFA beim Einsatz von KI „vielfach“ für erforderlich. ^{Q13 Abschn. 2.3} Entscheidend ist das Risiko der konkreten Verarbeitung; das beurteilt dieses Angebot nicht.

KI-Kompetenz

KI-Kompetenz nach Art. 4 der KI-Verordnung: Wer KI-Systeme anbietet oder im Betrieb einsetzt, ergreift Maßnahmen, um die KI-Kompetenz seines Personals und anderer Personen in seinem Auftrag zu fördern – passend zu Vorwissen, Erfahrung, Ausbildung und Einsatz. ^{Q16 Art. 4 n. F.} Die Pflicht gilt seit 02.02.2025, in der neuen Fassung seit 27.07.2026. Ein bestimmtes Kompetenzniveau je Person muss nicht garantiert werden. ^Q16 Auch ein Handwerksbetrieb, der ChatGPT im Betrieb nutzt, kann „Betreiber“ sein. Gemeint ist Förderung, etwa eine Einweisung, kein Zertifikat.

Halluzination

Halluzination: So nennen die Anbieter es, wenn eine KI falsche oder irreführende Antworten gibt, die überzeugend klingen – etwa erfundene Zitate, Studien oder Quellen. ^{Q57, Q58} Beide Anbieter raten, wichtige Angaben selbst zu prüfen. ^{Q57, Q58}

→ KI kann sich irren