# Auftragsverarbeitung mit KI-Anbietern: Worauf achten > So prüfen Tierarztpraxen Verträge, Datenschutz und Datensouveränität bei KI-Anbietern – praxisnah und rechtssicher. Quelle: https://vetrecorder.com/blog/auftragsverarbeitung-mit-ki-anbietern-worauf-achten Wenn Sie KI-gestützte Tools in Ihrer Tierarztpraxis einsetzen möchten, reicht der Blick auf Funktionen und Preis allein nicht aus. Entscheidend ist auch, wie der Anbieter mit Patientendaten umgeht und ob die Zusammenarbeit datenschutzrechtlich sauber geregelt ist. ## Wann ein KI-Anbieter als Auftragsverarbeiter gilt Sobald ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, ist in der Regel ein Vertrag zur Auftragsverarbeitung erforderlich. Das betrifft nicht nur klassische IT-Dienstleister, sondern auch KI-Anbieter, wenn sie Inhalte aus Befunden, Sprechstunden, Protokollen oder anderen Praxisdaten verarbeiten. Für Tierarztpraxen ist dabei wichtig: Auch wenn es sich um Tierdaten handelt, können die zugehörigen Halterdaten personenbezogen sein. Sobald Namen, Kontaktdaten, Rechnungsdaten oder andere identifizierende Informationen in das System gelangen, greift der Datenschutzrahmen. Typische Konstellationen sind: - Spracherkennung, die Behandlungsnotizen aus der Sprechstunde erstellt - KI-gestützte Zusammenfassungen von Anamnesen oder Verlaufsdokumentationen - Transkriptionsdienste für Telefonate oder interne Besprechungen - Chat- oder Assistenzsysteme, die mit Praxisinhalten arbeiten Entscheidend ist nicht die technische Bezeichnung des Produkts, sondern die tatsächliche Datenverarbeitung. Wenn der Anbieter Daten nicht nur „anzeigt“, sondern für Sie verarbeitet, speichert, analysiert oder strukturiert, sollten Sie die Rolle des Anbieters genau prüfen. ## Welche Vertragsfragen Sie vorab klären sollten Bevor Sie einen KI-Dienst in der Praxis einsetzen, sollten Sie die vertraglichen Grundlagen sorgfältig lesen. Ein sauberer Auftragsverarbeitungsvertrag ist mehr als eine Formalie; er legt fest, wer welche Verantwortung trägt und was mit Ihren Daten geschieht. Achten Sie insbesondere auf folgende Punkte: - **Gegenstand und Dauer der Verarbeitung**: Welche Datenarten werden verarbeitet und wie lange? - **Weisungsbindung**: Verarbeitet der Anbieter Daten nur auf Ihre dokumentierten Anweisungen hin? - **Vertraulichkeit**: Sind Mitarbeitende des Anbieters zur Vertraulichkeit verpflichtet? - **Technische und organisatorische Maßnahmen**: Welche Schutzmaßnahmen sind beschrieben? - **Unterauftragsverarbeiter**: Dürfen weitere Dienstleister eingebunden werden und unter welchen Bedingungen? - **Löschung und Rückgabe**: Wie werden Daten nach Vertragsende behandelt? - **Unterstützung bei Betroffenenrechten**: Hilft der Anbieter bei Auskunfts-, Lösch- oder Berichtigungsanfragen? Praktisch wichtig ist außerdem, ob Sie den Vertrag tatsächlich vor Nutzung abschließen können und ob er zu Ihren internen Datenschutzunterlagen passt. Viele Praxen übersehen, dass ein guter AV-Vertrag nicht nur juristisch korrekt, sondern auch operativ verständlich sein muss. Wenn unklar bleibt, welche Daten in welchen Prozessschritten verarbeitet werden, wird die Umsetzung im Alltag schwierig. ## Datenflüsse bei KI-Anwendungen transparent machen Bei KI-Anbietern ist die Frage nach dem Datenfluss besonders wichtig. Denn anders als bei vielen klassischen Softwarelösungen können Daten nicht nur gespeichert, sondern auch für Modellverarbeitung, Transkription oder Textgenerierung genutzt werden. Genau hier entstehen die größten Unsicherheiten. Sie sollten vor Vertragsabschluss klären: - Werden Eingaben dauerhaft gespeichert oder nur kurzfristig verarbeitet? - Werden Inhalte zur Verbesserung des Systems genutzt? - Fließen Daten an Dritte oder in andere Länder? - Werden Audio-, Text- oder Metadaten getrennt behandelt? - Gibt es eine Möglichkeit, die Nutzung von Praxisdaten für Trainingszwecke auszuschließen? Gerade im Praxisalltag ist Transparenz entscheidend. Wenn Sie beispielsweise eine Spracherkennung für Sprechstunden nutzen, sollte nachvollziehbar sein, ob die gesprochenen Inhalte ausschließlich für die unmittelbare Protokollierung verarbeitet werden oder ob sie für andere Zwecke weiterverwendet werden. Bei sensiblen Informationen empfiehlt sich eine Lösung, bei der Sie die Kontrolle über die Daten behalten und die Verarbeitung möglichst lokal oder in klar definierten europäischen Strukturen stattfindet. Ein weiterer Punkt ist die Benutzerverwaltung. Wenn mehrere Mitarbeitende mit demselben System arbeiten, sollte klar sein, wer auf welche Daten zugreifen kann und wie Zugriffe protokolliert werden. Datensparsamkeit und rollenbasierte Rechte sind hier nicht nur gute Praxis, sondern ein wichtiger Baustein für sichere Abläufe. ## DSGVO, Drittlandtransfer und Verantwortlichkeiten Für Tierarztpraxen ist die DSGVO nicht nur ein rechtlicher Rahmen, sondern ein praktischer Maßstab für sichere Digitalisierung. Bei KI-Anbietern sollten Sie daher nicht nur nach einem AV-Vertrag fragen, sondern auch nach dem gesamten Datenschutzkonzept. Besonders relevant sind diese Fragen: - Sitzt der Anbieter oder seine Infrastruktur außerhalb der EU? - Können Daten in ein Drittland übertragen werden? - Welche Garantien gibt es für solche Übermittlungen? - Gibt es Standardvertragsklauseln oder andere geeignete Schutzmechanismen? - Wo werden Daten technisch gehostet und administriert? Für die Praxis bedeutet das: Ein Anbieter kann funktional überzeugend sein und dennoch datenschutzrechtlich problematisch, wenn unklar bleibt, wohin Daten fließen. Gerade bei Patientendokumentation und Sprachaufzeichnungen ist Zurückhaltung angebracht, wenn US-Anbieter oder unklare internationale Strukturen im Spiel sind. Wichtig ist auch die interne Verantwortlichkeit. Die Praxis bleibt in der Regel Verantwortliche im Sinne des Datenschutzrechts. Das heißt: Sie sollten dokumentieren, warum Sie den Anbieter ausgewählt haben, welche Daten verarbeitet werden und welche Schutzmaßnahmen Sie geprüft haben. Dazu gehört auch, dass Ihr Team weiß, welche Inhalte nicht ungefiltert in externe Systeme eingegeben werden dürfen. ## Praktische Prüfliste für den Einsatz in der Praxis Damit die Auswahl eines KI-Dienstes nicht im Vertragsdschungel stecken bleibt, hilft eine einfache Prüfroutine. Diese sollte vor dem Live-Einsatz abgeschlossen sein und sich idealerweise in Ihre Datenschutzdokumentation einfügen. Eine praxisnahe Prüfliste kann so aussehen: - Gibt es einen **AV-Vertrag**, der vor Nutzungsbeginn unterzeichnet ist? - Sind **Verarbeitungszweck, Datenarten und Speicherdauer** klar beschrieben? - Ist nachvollziehbar, ob und wo **Unterauftragsverarbeiter** eingesetzt werden? - Werden Daten **innerhalb der EU** verarbeitet oder gibt es Drittlandbezüge? - Ist ausgeschlossen oder eindeutig geregelt, dass Daten **nicht für Trainingszwecke** genutzt werden? - Sind **Löschung, Rückgabe und Datenexport** geregelt? - Gibt es eine verständliche Beschreibung der **technischen und organisatorischen Maßnahmen**? - Passt das System zu Ihren internen Regeln für Rollen, Zugriffe und Dokumentation? Wenn Sie einen neuen Dienst testen, empfiehlt sich ein gestufter Einstieg. Arbeiten Sie zunächst mit unkritischen Inhalten oder anonymisierten Beispielen, bevor Sie reale Praxisdaten einbeziehen. So können Sie prüfen, ob Bedienung, Qualität und Datenschutzanforderungen zusammenpassen. Auch die Kommunikation im Team ist wichtig. Mitarbeitende sollten wissen, welche KI-Tools freigegeben sind, welche Inhalte eingegeben werden dürfen und wann Rücksprache erforderlich ist. Ein klarer interner Standard verhindert, dass aus Bequemlichkeit sensible Informationen in nicht geprüfte Systeme wandern. ## Fazit Bei KI-Anbietern ist nicht nur die Funktion entscheidend, sondern vor allem die saubere Regelung der Auftragsverarbeitung, der Datenflüsse und möglicher Drittlandtransfer. Tierarztpraxen sollten vor dem Einsatz genau prüfen, ob Vertrag, Hosting und Nutzung der Daten zu ihren Datenschutzanforderungen passen. Wenn Sie Spracherkennung oder Protokollierung in der Praxis einsetzen möchten, kann eine Lösung wie **VetRecorder** helfen, weil sie für Patientendaten auf eine eigene KI in europäischen Rechenzentren setzt und damit Datensouveränität und DSGVO-Konformität unterstützt. Testen Sie die Anwendung 7 Tage kostenlos und ohne Kreditkarte unter [vetrecorder.com/signup](https://vetrecorder.com/signup).