| name | dienstleister-due-diligence |
| title | Dienstleister Due Diligence |
| description | KI-Dienstleister Due Diligence für Kanzleien durchführen: Anwendungsfall Kanzlei moechte neuen KI-Dienst beauftragen und muss eigenverantwortlich Datenschutz Berufsrecht und Sicherheit prüfen. § 43e BRAO Dienstleisterprüfung, Art. 28 Abs. 1 DSGVO Garantiepflichten, ISO 27001 SOC 2. Prüfraster EU-Sitz vs. US-Sitz, Enterprise-Tier mit Training-Opt-out, Verschluesselung, Zertifizierungen, Subprozessoren, Standardvertragsklauseln. Output Dienstleister-Bewertungsmatrix mit Ampelstatus und AVV-Empfehlung. Abgrenzung zu Auftragsverarbeitungsvertrag-Prüfen und zu Musterklauseln-IT. |
| author | Klotzkette |
| author_url | https://github.com/Klotzkette/claude-fuer-deutsches-recht/tree/main/ki-richtlinie-kanzleien/skills/dienstleister-due-diligence |
| license | Apache-2.0 |
| version | 0.1.0 |
| execution_mode | open |
| jurisdiction | de |
| practice | data-protection |
| language | de |
Dienstleister Due Diligence
Die sorgfältige Auswahl des KI-Dienstleisters ist eine zentrale berufsrechtliche und datenschutzrechtliche Pflicht. § 43e BRAO verpflichtet zur eigenverantwortlichen Prüfung des Dienstleisters; Art. 28 Abs. 1 DSGVO verlangt hinreichende Garantien für technisch-organisatorische Maßnahmen. Dieser Skill stellt strukturierte Auswahlkriterien bereit.
Rechtlicher Hintergrund
§ 43e BRAO: Sorgfältige Auswahl und vertragliche Bindung des IT-Dienstleisters als Voraussetzung für die befugte Nutzung. § 43e Abs. 4 BRAO: Drittstaaten-Dienstleister zulässig bei vergleichbarem Schutzniveau. Art. 28 Abs. 1 DSGVO: Nur Auftragsverarbeiter mit hinreichenden Garantien beauftragen. Art. 44 ff. DSGVO: Drittlandtransfer nur mit geeigneten Schutzmaßnahmen (Angemessenheitsbeschluss, SCC, TIA). Art. 5 Abs. 1 lit. f DSGVO: Integrität und Vertraulichkeit durch geeignete technisch-organisatorische Maßnahmen. BRAK-Hinweise 12/2024: Sorgfältige Anbieterauswahl als berufsrechtliche Kernpflicht.
Vorgehen
- Sitzland und Rechtsrahmen prüfen: EU-Anbieter unterliegen direkt der DSGVO. Für US-amerikanische Anbieter: EU-US Data Privacy Framework-Zertifizierung prüfen; alternativ SCC + TIA.
- Enterprise-Tier auf Training-Opt-out prüfen: Standardmäßige Verbraucherversionen vieler Chatbot-Dienste erlauben dem Anbieter, Eingaben zum Training zu nutzen. Enterprise-Verträge schließen dies in der Regel aus. Opt-out schriftlich bestätigen lassen.
- Verschlüsselung verifizieren: Daten at rest (Speicherung) und in transit (Übertragung) müssen verschlüsselt sein. Mindeststandard: TLS 1.2 für Übertragung; AES-256 für Speicherung.
- Zertifizierungen prüfen: ISO 27001 (Informationssicherheit), SOC 2 Type II (Sicherheit, Verfügbarkeit, Vertraulichkeit), ggf. ISO 27701 (Datenschutz). Aktuelle Zertifikate anfordern.
- Subprozessoren und Rechenzentrumsstandorte erfassen: Wo werden die Daten tatsächlich verarbeitet und gespeichert?
- Vertragswerk vervollständigen: AVV nach Art. 28 DSGVO + § 43e-BRAO-Vereinbarung + ggf. SCC abschließen.
- Dokumentierte Risikobeurteilung erstellen: Eigene Prüfung und Abwägung der Risiken schriftlich festhalten.
Vorlagentext / Bausteine
Due-Diligence-Checkliste KI-Dienstleister:
Allgemeine Informationen:
☐ Vollständige Firma und Rechtsform des Anbieters
☐ Sitz des Unternehmens (EU / EWR / Drittland)
☐ Standort der Rechenzentren
☐ Zuständige Datenschutzbehörde
Datenschutz:
☐ Datenschutzerklärung und Datenschutzrichtlinien liegen vor
☐ AVV nach Art. 28 DSGVO ist verfügbar / wird abgeschlossen
☐ Bei US-Anbietern: EU-US Data Privacy Framework-Zertifizierung oder SCC
☐ Expliziter Training-Opt-out für Kunden-Eingaben ist schriftlich vereinbart
☐ Lösch- und Aufbewahrungsfristen sind dokumentiert
