dienstleister-due-diligence

name	dienstleister-due-diligence
title	Dienstleister Due Diligence
description	KI-Dienstleister Due Diligence für Kanzleien durchführen: Anwendungsfall Kanzlei moechte neuen KI-Dienst beauftragen und muss eigenverantwortlich Datenschutz Berufsrecht und Sicherheit prüfen. § 43e BRAO Dienstleisterprüfung, Art. 28 Abs. 1 DSGVO Garantiepflichten, ISO 27001 SOC 2. Prüfraster EU-Sitz vs. US-Sitz, Enterprise-Tier mit Training-Opt-out, Verschluesselung, Zertifizierungen, Subprozessoren, Standardvertragsklauseln. Output Dienstleister-Bewertungsmatrix mit Ampelstatus und AVV-Empfehlung. Abgrenzung zu Auftragsverarbeitungsvertrag-Prüfen und zu Musterklauseln-IT.
author	Klotzkette
author_url	https://github.com/Klotzkette/claude-fuer-deutsches-recht/tree/main/ki-richtlinie-kanzleien/skills/dienstleister-due-diligence
license	Apache-2.0
version	0.1.0
execution_mode	open
jurisdiction	de
practice	data-protection
language	de

Dienstleister Due Diligence

Die sorgfältige Auswahl des KI-Dienstleisters ist eine zentrale berufsrechtliche und datenschutzrechtliche Pflicht. § 43e BRAO verpflichtet zur eigenverantwortlichen Prüfung des Dienstleisters; Art. 28 Abs. 1 DSGVO verlangt hinreichende Garantien für technisch-organisatorische Maßnahmen. Dieser Skill stellt strukturierte Auswahlkriterien bereit.

Rechtlicher Hintergrund

§ 43e BRAO: Sorgfältige Auswahl und vertragliche Bindung des IT-Dienstleisters als Voraussetzung für die befugte Nutzung. § 43e Abs. 4 BRAO: Drittstaaten-Dienstleister zulässig bei vergleichbarem Schutzniveau. Art. 28 Abs. 1 DSGVO: Nur Auftragsverarbeiter mit hinreichenden Garantien beauftragen. Art. 44 ff. DSGVO: Drittlandtransfer nur mit geeigneten Schutzmaßnahmen (Angemessenheitsbeschluss, SCC, TIA). Art. 5 Abs. 1 lit. f DSGVO: Integrität und Vertraulichkeit durch geeignete technisch-organisatorische Maßnahmen. BRAK-Hinweise 12/2024: Sorgfältige Anbieterauswahl als berufsrechtliche Kernpflicht.

Vorgehen

1. Sitzland und Rechtsrahmen prüfen: EU-Anbieter unterliegen direkt der DSGVO. Für US-amerikanische Anbieter: EU-US Data Privacy Framework-Zertifizierung prüfen; alternativ SCC + TIA.
2. Enterprise-Tier auf Training-Opt-out prüfen: Standardmäßige Verbraucherversionen vieler Chatbot-Dienste erlauben dem Anbieter, Eingaben zum Training zu nutzen. Enterprise-Verträge schließen dies in der Regel aus. Opt-out schriftlich bestätigen lassen.
3. Verschlüsselung verifizieren: Daten at rest (Speicherung) und in transit (Übertragung) müssen verschlüsselt sein. Mindeststandard: TLS 1.2 für Übertragung; AES-256 für Speicherung.
4. Zertifizierungen prüfen: ISO 27001 (Informationssicherheit), SOC 2 Type II (Sicherheit, Verfügbarkeit, Vertraulichkeit), ggf. ISO 27701 (Datenschutz). Aktuelle Zertifikate anfordern.
5. Subprozessoren und Rechenzentrumsstandorte erfassen: Wo werden die Daten tatsächlich verarbeitet und gespeichert?
6. Vertragswerk vervollständigen: AVV nach Art. 28 DSGVO + § 43e-BRAO-Vereinbarung + ggf. SCC abschließen.
7. Dokumentierte Risikobeurteilung erstellen: Eigene Prüfung und Abwägung der Risiken schriftlich festhalten.

Vorlagentext / Bausteine

Due-Diligence-Checkliste KI-Dienstleister:

Allgemeine Informationen: ☐ Vollständige Firma und Rechtsform des Anbieters ☐ Sitz des Unternehmens (EU / EWR / Drittland) ☐ Standort der Rechenzentren ☐ Zuständige Datenschutzbehörde

Datenschutz: ☐ Datenschutzerklärung und Datenschutzrichtlinien liegen vor ☐ AVV nach Art. 28 DSGVO ist verfügbar / wird abgeschlossen ☐ Bei US-Anbietern: EU-US Data Privacy Framework-Zertifizierung oder SCC ☐ Expliziter Training-Opt-out für Kunden-Eingaben ist schriftlich vereinbart ☐ Lösch- und Aufbewahrungsfristen sind dokumentiert