Auftragsverarbeitung: KI „einwechseln“ ohne Zustimmung?

Anzeige

Die Nutzung von Hardware, aber v.a. von Software erfolgt typischerweise auf der Grundlage der Bereitstellung durch Dritte. Aus der Sicht der Datenschutz-Grundverordnung (DSGVO) und der KI-Verordnung (KI-VO, auch AI Act) kommt es dabei weniger darauf an, ob diese als Kauf, zur Miete oder im Wege des Leasings bereitgestellt werden. Vielmehr kommt es auf die konkrete Nutzung durch das Unternehmen an.

Aus datenschutzrechtlicher Sicht werden „as a Service“ bereitgestellte Leistungen (beispielsweise Software as a Service) typischerweise als Auftragsverarbeitung ausgestaltet.

Verändern oder ergänzen Anbieter klassische Software, ergeben sich kaum datenschutzrechtliche Fragen. Kommt aber in einer bereitgestellten Lösung nach der Auftragserteilung anstatt klassischer (deterministischer) Software eine KI zum Einsatz oder ergänzt KI diese Software, stellt sich die Frage: Wirkt sich dies im Lichte des Datenschutzrechts, insbesondere im Rahmen einer Auftragsverarbeitung, aus? Und wenn ja, wie?

Darüber hinaus stellt sich in diesem Kontext die Frage, ob dem Unternehmen damit die Rolle als Betreiber eines KI-Systems im Sinne der KI-VO aufgezwungen wird.

Zivilrechtliche Betrachtung

Das deutsche Zivilrecht geht davon aus, dass ein Auftragnehmer die konkrete Leistung zu erbringen hat, die beauftragt ist. Grundsätzlich ist der Auftragnehmer nicht berechtigt, die Leistung einseitig grundlegend zu ändern. Überspitzt formuliert: Weicht die Ist-Beschaffenheit infolge von Änderungen des Auftragnehmers von der vertraglich vereinbarten Soll-Beschaffenhei…