--- title: "KI-Anbieter-Due-Diligence: Checkliste fuer Unternehmen (2026)" description: "KI-Anbieter-Due-Diligence fuer Unternehmen in Deutschland sollte DSGVO, AVV, KI-Verordnung, Audit, Haftung und Exit vor Vertragsabschluss abdecken." image: "https://compound.law/assets/images/og-image-de.webp" source: "https://compound.law/de-DE/compliance/ki-anbieter-due-diligence/" language: "de" --- ![KI-Anbieter Due Diligence Checkliste fuer Unternehmen in Deutschland](https://compound.law/assets/images/compliance/compliance_2.webp) Leitfäden # KI-Anbieter-Due-Diligence: Checkliste fuer Unternehmen (2026) 22\. Mai 2026 KI-Anbieter-Due-Diligence: Kurzantwort KI-Anbieter-Due-Diligence sollte in Deutschland vor Vertragsabschluss und vor jedem Pilot mit Echtdaten erfolgen. Geprueft werden sollten mindestens Use Case und Datenkategorien, DSGVO- und AVV-Rahmen, SCC und Subprozessoren, Unterlagen zur KI-Verordnung, Security und Auditierbarkeit, IP und Vertraulichkeit, Haftung sowie Exit- und Loeschregeln. Ein AVV ist notwendig, aber nur ein Teil der Beschaffungspruefung. - Der Startpunkt ist immer der konkrete Use Case und nicht die Marketingbeschreibung des Anbieters. - AVV, SCC, Training, Subprozessoren und Retention sollten vor Freigabe dokumentiert sein. - Auch Betreiberinformationen nach der KI-Verordnung gehoeren heute in die Beschaffung. - Vertragliche Haftung, Audit, Incident-Prozesse und Exit muessen zum realen Risiko passen. **KI-Anbieter-Due-Diligence** sollte in Deutschland vor Vertragsabschluss und vor jedem Pilot mit Echtdaten stattfinden. Die Beschaffungspruefung sollte mindestens **Use Case und Datenkategorien**, **DSGVO und AVV**, **SCC und Subprozessoren**, **Unterlagen zur KI-Verordnung**, **Security und Auditierbarkeit**, **IP und Vertraulichkeit**, **Haftung** sowie **Exit- und Loeschregeln** abdecken. Ein AVV ist notwendig, aber nur ein Teil der Freigabe. Gerade bei KI-Tools reicht klassische SaaS-Pruefung oft nicht mehr aus. Ein einziges Tool kann Mitarbeiterdaten, Kundendaten, Geschaeftsgeheimnisse, Trainingsnutzung, Drittlandtransfers und rechtlich sensible Outputs zugleich betreffen. Deshalb sollte die zentrale Frage lauten: Welche Unterlagen und Vertragsregeln braucht das Unternehmen, bevor der erste produktive oder pilotierte Einsatz startet? ## Direkte Antwort: Welche Due Diligence ist vor dem Kauf eines KI-Tools noetig? Vor der Freigabe eines KI-Anbieters sollten Unternehmen in Deutschland diese zehn Punkte abarbeiten: | Pruefpunkt | Warum er vor dem Kauf wichtig ist | | -------------------------------- | ---------------------------------------------------------------------------------- | | 1. Use Case und Owner | Der konkrete Einsatz bestimmt das rechtliche Risiko. | | 2. Rollen nach DSGVO | Nur so laesst sich AVV, Weisung und Haftung sauber einordnen. | | 3. AVV und Transfers | Art. 28 DSGVO, SCC und Verarbeitungsorte muessen dokumentiert sein. | | 4. Subprozessoren und Retention | Weitergabe, Loeschung und Aenderungsmechanismen brauchen Transparenz. | | 5. Trainingsnutzung | Prompts, Uploads und Outputs duerfen nicht stillschweigend weiterverwendet werden. | | 6. Security und Audit | Das Unternehmen braucht belastbare Nachweise und Incident-Regeln. | | 7. KI-Verordnungsbezug | Betreiberinformationen und Zweckgrenzen gehoeren heute in die Beschaffung. | | 8. IP und Vertraulichkeit | Inputs, Outputs und Geschaeftsgeheimnisse muessen geschuetzt sein. | | 9. Haftung und Incident-Prozesse | Niedrige Caps koennen das echte Risiko des Unternehmens nicht abbilden. | | 10. Exit und Re-Assessment | Loeschung, Export und Neubewertung bei Aenderungen muessen moeglich sein. | Kann der Anbieter diese Punkte nicht strukturiert beantworten, ist das selbst ein Due-Diligence-Befund. Dann sollte die Beschaffung regelmaessig noch nicht in die Freigabe gehen. ## Warum diese Checkliste mehr ist als eine allgemeine Anbieterpruefung Bei klassischer Softwarebeschaffung stehen oft Preis, Security-Fragebogen und Datenschutzunterlagen im Mittelpunkt. Bei KI-Anbietern kommt regelmaessig mehr zusammen: - personenbezogene Daten und vertrauliche Unternehmensinformationen im selben Tool, - moegliche Trainings- oder Produktverbesserungsnutzung mit Kundendaten, - Outputs mit Bezug zu Vertriebs-, HR-, Legal- oder Kundenentscheidungen, - Standardvertraege mit niedrigen Haftungscaps und breiten Gewaehrleistungsausschluessen, - ein Rechtsrahmen aus **DSGVO**, **KI-Verordnung**, **BDSG**, **BGB**, **AGG** und gegebenenfalls **BetrVG**. Deshalb sollte diese Seite zusammen mit unserem uebergreifenden Leitfaden zu [KI-Rechtsrisiken fuer Unternehmen](https://compound.law/de-DE/compliance/ki-rechtsrisiken-unternehmen/) gelesen werden. Fuer die Datenschutz-Basis sind ausserdem die [DSGVO-Checkliste fuer KI-Tools](https://compound.law/de-DE/compliance/dsgvo-checkliste-ki-tools/) und die Seite zu [KI-Beschaffung unter DSGVO und AI Act](https://compound.law/de-DE/compliance/dsgvo-ki-beschaffung/) relevant. ## 10-Punkte-Checkliste fuer Legal, Einkauf und Datenschutz ### 1. Use Case zuerst, Anbieterbeschreibung danach Jede Due Diligence beginnt mit dem Einsatz. Ein internes Schreibtool ohne Produktivdaten ist anders zu bewerten als ein HR-System, ein Support-Chatbot oder ein Copilot mit Zugriff auf CRM, Tickets oder Vertragsarchive. Dokumentiert werden sollten mindestens: - Fachbereich und Business Owner, - betroffene Datenkategorien, - Integrationen und angebundene Systeme, - erwartete Outputs, - moegliche Auswirkungen auf Mitarbeiter, Bewerber, Kunden oder regulierte Entscheidungen. Ohne diese Einordnung bleibt die spaetere Vertrags- und Datenschutzpruefung zu abstrakt. ### 2. Rollen nach DSGVO, AVV und Transfers pruefen Die erste juristische Schicht ist der Datenschutzrahmen. Unternehmen sollten klaeren, ob der Anbieter **Auftragsverarbeiter**, **Verantwortlicher** oder ein Mischmodell ist und ob die Unterlagen dazu passen. Zu pruefen sind mindestens: - **AVV nach Art. 28 DSGVO**, - Verarbeitungs- und Zugriffsorte, - **SCC** oder andere Drittlandmechanismen, - Retention- und Loeschregeln, - Weisungsgebundenheit, - Umgang mit Prompts, Dateien, Telemetrie und Outputs. Bei Mitarbeiter- oder Bewerberdaten sollten **§ 26 BDSG** und moegliche **DSFA**-Pflichten frueh mitlaufen. ### 3. Subprozessoren, Retention und Trainingsnutzung bewerten Viele KI-Anbieter arbeiten mit mehreren Infrastruktur-, Support-, Safety- oder Hosting-Dienstleistern. Unternehmen sollten deshalb nicht nur die Hauptfirma, sondern die Verarbeitungskette verstehen. Kernfragen sind: - Welche **Subprozessoren** sind eingebunden? - Wie werden Aenderungen mitgeteilt? - Welche Daten koennen diese Stellen sehen? - Werden Inputs, Uploads oder Outputs fuer Training, Benchmarking oder Verbesserung genutzt? - Wie schnell kann das Unternehmen Daten loeschen oder exportieren? Gerade bei vertraulichen Vertriebsunterlagen, Vertragsanlagen, Personalinformationen oder internen Wissensdatenbanken darf die Antwort nicht in allgemeinen Marketingformulierungen stecken bleiben. ### 4. Security, Auditierbarkeit und Incident-Prozesse absichern Eine Due Diligence ist lueckenhaft, wenn Security nur ueber PDFs mit Marketingcharakter geprueft wird. Einkauf und Legal sollten belastbare Nachweise und Vertragsklauseln sehen. Typische Mindestanforderungen sind: - Beschreibung der technischen und organisatorischen Massnahmen, - SOC 2, ISO 27001 oder vergleichbare Reports, soweit verfuegbar, - Regeln fuer Incident- und Breach-Meldungen, - Logging- und Admin-Kontrollen, - Audit-Rechte oder praktikable Ersatzmechanismen. Fehlen solche Unterlagen oder Bindungen, sollte das Risiko in der Freigabe offen benannt werden. ### 5. Unterlagen zur KI-Verordnung einholen Mit Stand **22. Mai 2026** gehoert die **KI-Verordnung** bereits in jeden ernsthaften KI-Einkauf. Sie ist am **1. August 2024** in Kraft getreten. Verbotene Praktiken und KI-Kompetenzpflichten gelten seit dem **2. Februar 2025**. Governance- und GPAI-bezogene Pflichten gelten seit dem **2. August 2025**. Die Verordnung gilt grundsaetzlich ab dem **2. August 2026**, waehrend **Art. 6 Abs. 1** und korrespondierende Pflichten ab dem **2. August 2027** greifen. Deshalb sollte der Anbieter heute schon mindestens liefern koennen: - seine Rolle nach der KI-Verordnung, - Informationen zur Zweckbestimmung und zu Einsatzgrenzen, - Betreiberinformationen fuer menschliche Aufsicht, Logging und Incident Support, - Hinweise auf moegliche **Anhang-III**-Konstellationen, - Transparenzinformationen, wenn **Art. 50** betroffen sein kann. Fuer die Zeitachse und die procurement-nahe Vertiefung sind unsere Seiten zu den [EU-AI-Act-Fristen fuer Unternehmen](https://compound.law/de-DE/compliance/eu-ai-act-august-2026-frist-checkliste/) und zu den [Beschaffungsanforderungen nach der KI-Verordnung](https://compound.law/de-DE/compliance/eu-ki-verordnung-beschaffung-anforderungen/) relevant. ### 6. IP, Vertraulichkeit und Output-Nutzung klaeren Viele KI-Vertraege geben dem Anbieter moeglichst weite Rechte und dem Kunden moeglichst wenige Garantien. Das ist gerade bei vertraulichen oder kreativ relevanten Workflows problematisch. Geprueft werden sollten: - Rechte an Inputs und Outputs, - Schutz von Geschaeftsgeheimnissen, - Wiederverwendung von Daten fuer Training oder Produktverbesserung, - IP-bezogene Freistellungen, - interne Regeln fuer die Nutzung von KI-Outputs ohne menschliche Endpruefung. Dabei geht es nicht nur um Urheberrecht, sondern auch um Vertraulichkeit, fehlerhafte Aussagen und ungepruefte Weiterverwendung. ### 7. Haftung, Freistellungen und wirtschaftliche Tragfaehigkeit pruefen Die Vertragspruefung sollte sich nicht daran orientieren, was bei Standard-SaaS ueblich ist, sondern daran, welches Risiko das Unternehmen im konkreten Einsatz traegt. Wichtig sind insbesondere: - allgemeine Haftungscaps, - Carve-outs fuer Vertraulichkeit, Datenschutz und Vorsatz, - Stellung von IP-Freistellungen im oder ausserhalb des Caps, - Unterstuetzung bei Regulatoren- oder Incident-Aufklaerung, - wirtschaftliche Tragfaehigkeit der gesamten Risikoverteilung. Wenn der Anbieter praktisch alles ausschliesst, ist die Due Diligence nicht abgeschlossen. ### 8. Mitarbeiter- und HR-Use-Cases separat eskalieren Recruiting-, Monitoring-, Scheduling- oder Performance-Tools brauchen fast immer eine vertiefte Pruefung. Dort koennen zugleich **DSFA**, **§ 26 BDSG**, **AGG** und **Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG** relevant werden. Diese Use Cases sollten nicht wie Standard-IT beschafft werden, sondern frueh an Datenschutz, HR, IT-Security und gegebenenfalls den **Betriebsrat** eskaliert werden. ### 9. Interne Nutzungsgrenzen vor Freigabe festlegen Auch ein guter Anbieter ist nur dann kontrollierbar, wenn das Unternehmen seine eigenen Grenzen dokumentiert. Vor Freigabe sollte festgelegt werden: - welche Daten eingegeben werden duerfen, - welche Teams oder Rollen Zugriff erhalten, - welche Admin- und Trainingseinstellungen aktiv sein muessen, - welche Outputs menschlich geprueft werden muessen, - wann eine erneute Pruefung noetig wird. Erst dadurch wird aus der Due Diligence ein betriebsfaehiger Governance-Prozess. ### 10. Exit, Loeschung und Re-Assessment vorbereiten Der letzte Punkt wird oft uebersehen, bis es zu spaet ist. Unternehmen sollten vor Vertragsschluss klaeren: - wie Daten exportiert werden koennen, - wann und wie der Anbieter Loeschung bestaetigt, - wie auf neue Subprozessoren oder Modellwechsel reagiert wird, - wie sich das Tool bei geaenderter Risikolage schnell stoppen laesst. Ein Anbieter, der leicht zu beschaffen und schwer zu verlassen ist, schafft dauerhaftes Folge-Risiko. ## Unterschied zur allgemeinen Anbieterpruefung Die allgemeine Anbieterpruefung fragt oft nur, ob ein Tool kaufbar ist. **KI-Anbieter-Due-Diligence** fragt, ob der konkrete Einsatz rechtlich, organisatorisch und wirtschaftlich vertretbar ist und ob das Unternehmen die spaetere Nutzung gegenueber Management, Aufsicht und interner Governance begruenden kann. Deshalb sollte die Checkliste immer mit der uebergreifenden Seite zu [KI-Rechtsrisiken fuer Unternehmen](https://compound.law/de-DE/compliance/ki-rechtsrisiken-unternehmen/) und bei Bedarf mit der [DSGVO-Checkliste fuer KI-Tools](https://compound.law/de-DE/compliance/dsgvo-checkliste-ki-tools/) zusammengedacht werden. ## FAQ ### Welche Due Diligence sollte ein Unternehmen bei einem KI-Anbieter durchfuehren? Mindestens die Pruefung von Use Case, DSGVO-Rollen, AVV und Transfers, Subprozessoren, Trainingsnutzung, Security und Audit, KI-Verordnungsunterlagen, IP und Vertraulichkeit, Haftung sowie Exit und Loeschung. Ziel ist die Bewertung des spaeteren Einsatzes, nicht nur des Vertragsdokuments. ### Reicht ein AVV fuer die Due Diligence eines KI-Anbieters aus? Nein. Ein AVV ist notwendig, deckt aber nur den Auftragsverarbeitungsrahmen ab. Training, SCC, Security, KI-Verordnungsbezug, Haftung und die konkrete Unternehmensnutzung muessen zusaetzlich bewertet werden. ### Welche Fragen sollte der Einkauf vor dem Kauf eines KI-Tools stellen? Er sollte nach Datenarten, Verarbeitungsorten, Trainingsnutzung, Subprozessoren, Security-Nachweisen, Betreiberinformationen, Incident-Prozessen, Auditmoeglichkeiten, Haftung, IP und Loeschung fragen. Bleiben zentrale Antworten offen, ist die Freigabe regelmaessig verfrueht. ### Seit wann gehoert die KI-Verordnung in die Beschaffung? Sie gehoert bereits heute hinein. Seit dem 1. August 2024 ist sie in Kraft, seit dem 2. Februar 2025 gelten Verbote und KI-Kompetenzpflichten, seit dem 2. August 2025 Governance- und GPAI-Pflichten, grundsaetzlich ab dem 2. August 2026 die Verordnung und ab dem 2. August 2027 Art. 6 Abs. 1 samt korrespondierender Pflichten. ### Brauchen HR- oder Mitarbeiter-Tools eine vertiefte Due Diligence? Ja. Dort kommen haeufig DSFA, Beschaeftigtendatenschutz, AGG und Mitbestimmung zusammen. Diese Tools sollten vor Pilot und Vertrag besonders eng geprueft werden. ### Welche Vertragsklauseln sind vor Freigabe besonders wichtig? Wichtig sind Trainingsverbote oder Opt-outs, Vertraulichkeit, Audit, Incident-Meldung, Haftungscaps und Carve-outs, Rechte an Inputs und Outputs, Subprozessor-Aenderungen sowie Exit- und Loeschregeln. ## Naechster Schritt fuer Unternehmen Wenn Ihr Unternehmen ein KI-Tool fuer HR, Legal, Vertrieb, Support oder interne Wissensarbeit einkaufen will, sollte die **KI-Anbieter-Due-Diligence** vor Vertrag und vor Pilot beginnen. Unsere Seite zur [KI-Rechtsberatung fuer Unternehmen](https://compound.law/de-DE/compliance/ki-compliance-rechtsberatung/) zeigt, wie Compound Law AVV-Pruefung, Vertragsverhandlung, Betreiberpflichten nach der KI-Verordnung und die rechtssichere Freigabe von KI-Tools gemeinsam begleitet. Dieser Beitrag enthaelt allgemeine rechtliche Informationen und ersetzt keine Beratung zum konkreten Einzelfall. ## Weitere Compliance-Guides [![EU KI-Verordnung Beschaffung vor 2027 fuer deutsche Einkaeufer](https://compound.law/assets/images/compliance/compliance_3.webp)](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) [compliance](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) ### [EU KI-Verordnung Beschaffung vor 2027 Deutschland](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) [EU KI-Verordnung Beschaffung vor 2027: Deutsche Einkaeufer sollten Vertragslogik und Betreiberunterstuetzung vor dem Rollout klaeren.](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) [![KI-Rechtsberatung vs KI-Rechtsassistent fuer Unternehmen](https://compound.law/assets/images/compliance/compliance_3.webp)](https://compound.law/de-DE/compliance/ki-rechtsberatung-vs-ki-rechtsassistent/) [Leitfäden](https://compound.law/de-DE/compliance/ki-rechtsberatung-vs-ki-rechtsassistent/) ### [KI-Rechtsberatung vs KI-Rechtsassistent fuer Unternehmen](https://compound.law/de-DE/compliance/ki-rechtsberatung-vs-ki-rechtsassistent/) [Vergleichen Sie KI-Rechtsberatung mit einem KI-Rechtsassistenten fuer deutsche Unternehmen bei KI-Beschaffung, DSGVO, KI-Verordnung und Haftung.](https://compound.law/de-DE/compliance/ki-rechtsberatung-vs-ki-rechtsassistent/) [![EU AI Act Fristen Deutschland mit den Daten 2026 2027 und 2028](https://compound.law/assets/images/compliance/compliance_3.webp)](https://compound.law/de-DE/compliance/eu-ki-verordnung-beschaffung-fristen/) [compliance](https://compound.law/de-DE/compliance/eu-ki-verordnung-beschaffung-fristen/) ### [EU AI Act Fristen Deutschland: 2026, 2027 und 2028](https://compound.law/de-DE/compliance/eu-ki-verordnung-beschaffung-fristen/) [EU AI Act Fristen Deutschland: was am 2. August 2026, 2. Dezember 2027 und 2. August 2028 fuer KI-Beschaffung und Compliance zaehlt.](https://compound.law/de-DE/compliance/eu-ki-verordnung-beschaffung-fristen/) ## Häufige Fragen Vor der Freigabe eines KI-Anbieters sollten Unternehmen mindestens zehn Punkte pruefen: Use Case, Rollen nach DSGVO, AVV und Transfers, Subprozessoren, Trainingsnutzung, Security und Audit, Unterlagen zur KI-Verordnung, IP und Vertraulichkeit, Haftung sowie Exit- und Loeschregeln. So wird nicht nur der Vertrag, sondern der spaetere Einsatz im Unternehmen bewertet. Nein. Ein AVV deckt nur den Auftragsverarbeitungsrahmen nach Art. 28 DSGVO ab. Zusaetzlich muessen Trainingsrechte, SCC, Security-Unterlagen, Betreiberinformationen nach der KI-Verordnung, IP- und Haftungsfragen sowie die praktische Nutzbarkeit im Unternehmen geprueft werden. Der Einkauf sollte nach Datenkategorien, Verarbeitungsorten, Trainingsnutzung, Subprozessoren, Rollen nach DSGVO und KI-Verordnung, Security-Nachweisen, Incident-Prozessen, Auditmoeglichkeiten, Haftung, IP und Loeschung fragen. Wenn mehrere dieser Punkte offen bleiben, ist die Beschaffung regelmaessig noch nicht freigabereif. Die KI-Verordnung ist bereits heute Beschaffungsthema. Sie ist am 1. August 2024 in Kraft getreten. Verbotene Praktiken und KI-Kompetenzpflichten gelten seit dem 2. Februar 2025. Governance- und GPAI-bezogene Pflichten gelten seit dem 2. August 2025. Die Verordnung gilt grundsaetzlich ab dem 2. August 2026, waehrend Art. 6 Abs. 1 und korrespondierende Pflichten ab dem 2. August 2027 gelten. Ja. Recruiting-, Performance-, Monitoring- oder Workforce-Tools koennen DSFA-Pflichten, § 26 BDSG, AGG-Risiken und Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG ausloesen. Diese Use Cases sollten nicht wie Standard-IT beschafft werden. Besonders wichtig sind Trainingsverbote oder Opt-outs, Vertraulichkeit, Audit-Rechte oder geeignete Nachweise, Incident-Meldung, Haftungscaps und Carve-outs, Rechte an Inputs und Outputs, Subprozessor-Aenderungen sowie Exit- und Loeschregeln. Genau dort bleibt sonst oft der Grossteil des Risikos beim Unternehmen. ## Structured data ```json [ { "@context": "https://schema.org", "@type": [ "Organization", "LegalService" ], "@id": "https://compound.law/#organization", "name": "Compound Law", "alternateName": "Compound Law — AI Law Firm", "url": "https://compound.law/", "logo": { "@type": "ImageObject", "url": "https://compound.law/press/logos/PNG/Compound_Law_Icon.png", "width": 1024, "height": 1024 }, "image": "https://compound.law/assets/images/og-image.webp", "description": "Die KI-native Kanzlei in Berlin für Start-ups, Mittelstand und Konzerne: Commercial und Vertragsrecht, Datenschutz, KI-Verordnung, Marken, Gesellschaftsrecht sowie Sanierung und Insolvenz. Jedes Ergebnis prüft ein Anwalt, abgerechnet zum Festpreis.", "foundingDate": "2026", "founder": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] } ], "employee": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Marc Schuba", "jobTitle": "Founding Partner, Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/marc-schuba/", "sameAs": [ "https://www.linkedin.com/in/marcschuba/" ], "knowsAbout": [ "IP- und IT-Recht", "SaaS- und IT-Verträge, IT-Outsourcing", "Software- und Open-Source-Lizenzen", "Datenschutzrecht (DSGVO)", "KI-Recht und KI-Verordnung (AI Act)" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] }, { "@type": "Person", "name": "Philipp Brandt", "jobTitle": "Partner, Rechtsanwalt, Fachanwalt für gewerblichen Rechtsschutz", "url": "https://compound.law/de-DE/lawyers/philipp-brandt/", "sameAs": [ "https://www.linkedin.com/in/philipp-brandt-81b446a/" ], "knowsAbout": [ "Sanierungs- und Insolvenzrecht (Krisenberatung der Geschäftsführung, Schutzschirm- und Planverfahren, Insolvenzverwaltung)", "Gewerblicher Rechtsschutz (Marken, Wettbewerbsrecht, Urheberrecht, Geschäftsgeheimnisse, Lizenzverträge)", "Datenschutzrecht (Datenpannen, Bußgeldverfahren, Auskunft und Schadensersatz)", "Vertriebs- und Handelsrecht (Vertriebsverträge, Kauf und Verkauf von Industrieanlagen)" ] }, { "@type": "Person", "name": "Dr. Markus Dreißigacker", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/markus-dreissigacker/", "sameAs": [ "https://www.linkedin.com/in/markusdreissigacker" ], "knowsAbout": [ "M&A (Due Diligence, Post-Merger-Integration, IPO-Readiness)", "Gesellschaftsrecht (Governance, Gremienarbeit, Restrukturierung)", "Handelsrecht (Kundenverträge, Lieferantenvereinbarungen, NDAs)", "IP (Markenmanagement, IP-Übertragungsverträge)", "Compliance & ESG (Globale Compliance-Programme, Menschenrechte, Nachhaltigkeit)", "Datenschutz (DSGVO-Strategie, DPO-Erfahrung, Datenschutzprogramme)" ] } ], "address": { "@type": "PostalAddress", "addressLocality": "Berlin", "addressCountry": "DE" }, "areaServed": [ "Germany", "Austria", "Switzerland", "European Union", "United Kingdom", "United States", "Singapore" ], "availableLanguage": [ "de", "en" ], "serviceType": [ "AI law firm", "AI-native legal services", "legal counsel for start-ups and growth companies", "legal counsel for mid-sized companies and corporates", "Commercial Law", "Corporate Law", "Employment Law", "Regulatory & Compliance", "Intellectual Property", "Insolvency & Restructuring" ], "hasOfferCatalog": { "@type": "OfferCatalog", "name": "Compound Law services", "itemListElement": [ { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Commercial Contracts", "description": "Battle-tested contracts for your sales process", "serviceType": [ "enterprise contracts", "MSA", "DPA", "sales contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "International Employment", "description": "Compliant hiring across borders", "serviceType": [ "international employment", "hiring abroad", "employment contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "VSOP/ESOP Setup", "description": "Employee participation that actually works", "serviceType": [ "VSOP", "ESOP", "employee stock options", "equity incentives" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Funding Round Support", "description": "Clean legal for your next raise", "serviceType": [ "funding round", "term sheet", "SHA", "due diligence", "cap table" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Corporate Housekeeping", "description": "Get your legal house in order", "serviceType": [ "corporate governance", "board resolutions", "shareholder register" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Data Protection & Privacy", "description": "GDPR compliance that doesn't slow you down", "serviceType": [ "GDPR", "data protection", "privacy", "DPA", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI Act Compliance", "description": "Navigate EU AI regulation", "serviceType": [ "AI Act", "AI compliance", "AI governance", "EU AI regulation" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "IP & Competition", "description": "Protect and enforce what you've built", "serviceType": [ "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Fractional General Counsel", "description": "In-house legal without the full-time cost", "serviceType": [ "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "FinTech Compliance", "description": "Navigate financial regulation", "serviceType": [ "fintech compliance", "BaFin", "banking regulation", "AML", "KYC" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Legal Retainer", "description": "Predictable legal support when you need it", "serviceType": [ "legal retainer", "legal subscription", "ongoing legal support" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "M&A Preparation", "description": "Get ready for acquisition interest", "serviceType": [ "M&A preparation", "acquisition", "due diligence", "exit" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Restructuring & Insolvency", "description": "From the first liquidity check to the restructuring itself", "serviceType": [ "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } } ] }, "contactPoint": { "@type": "ContactPoint", "contactType": "sales", "email": "contact@compound.law", "availableLanguage": [ "English", "German" ], "areaServed": [ "DE", "AT", "CH", "EU", "GB", "US", "SG" ] }, "email": "contact@compound.law", "sameAs": [ "https://www.linkedin.com/company/compoundlawfirm", "https://x.com/CompoundLawFirm" ], "knowsAbout": [ "Commercial Contracts", "enterprise contracts", "MSA", "DPA", "sales contracts", "International Employment", "international employment", "hiring abroad", "employment contracts", "VSOP/ESOP Setup", "VSOP", "ESOP", "employee stock options", "equity incentives", "Funding Round Support", "funding round", "term sheet", "SHA", "due diligence", "cap table", "Corporate Housekeeping", "corporate governance", "board resolutions", "shareholder register", "Data Protection & Privacy", "GDPR", "data protection", "privacy", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR", "AI Act Compliance", "AI Act", "AI compliance", "AI governance", "EU AI regulation", "IP & Competition", "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance", "Fractional General Counsel", "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer", "FinTech Compliance", "fintech compliance", "BaFin", "banking regulation", "AML", "KYC", "Legal Retainer", "legal subscription", "ongoing legal support", "M&A Preparation", "M&A preparation", "acquisition", "exit", "Restructuring & Insolvency", "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ] }, { "@context": "https://schema.org", "@type": "Article", "headline": "KI-Anbieter-Due-Diligence: Checkliste fuer Unternehmen (2026)", "description": "KI-Anbieter-Due-Diligence fuer Unternehmen in Deutschland sollte DSGVO, AVV, KI-Verordnung, Audit, Haftung und Exit vor Vertragsabschluss abdecken.", "image": "https://compound.law/assets/images/compliance/compliance_2.webp", "datePublished": "2026-05-22T00:00:00.000Z", "dateModified": "2026-05-22T00:00:00.000Z", "author": { "@type": "Person", "name": "Dr. Markus Dreißigacker", "image": "https://compound.law/assets/images/team/markusdreissigacker.webp" }, "publisher": { "@type": "Organization", "@id": "https://compound.law/#organization", "name": "Compound Law" }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://compound.law/de-DE/compliance/ki-anbieter-due-diligence/" } }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://compound.law/de-DE/" }, { "@type": "ListItem", "position": 2, "name": "Compliance-Guides", "item": "https://compound.law/de-DE/compliance/" }, { "@type": "ListItem", "position": 3, "name": "KI-Anbieter-Due-Diligence: Checkliste fuer Unternehmen", "item": "https://compound.law/de-DE/compliance/ki-anbieter-due-diligence/" } ] }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Welche Due Diligence sollte ein Unternehmen bei einem KI-Anbieter durchfuehren?", "acceptedAnswer": { "@type": "Answer", "text": "Vor der Freigabe eines KI-Anbieters sollten Unternehmen mindestens zehn Punkte pruefen: Use Case, Rollen nach DSGVO, AVV und Transfers, Subprozessoren, Trainingsnutzung, Security und Audit, Unterlagen zur KI-Verordnung, IP und Vertraulichkeit, Haftung sowie Exit- und Loeschregeln. So wird nicht nur der Vertrag, sondern der spaetere Einsatz im Unternehmen bewertet." } }, { "@type": "Question", "name": "Reicht ein AVV fuer die Due Diligence eines KI-Anbieters aus?", "acceptedAnswer": { "@type": "Answer", "text": "Nein. Ein AVV deckt nur den Auftragsverarbeitungsrahmen nach Art. 28 DSGVO ab. Zusaetzlich muessen Trainingsrechte, SCC, Security-Unterlagen, Betreiberinformationen nach der KI-Verordnung, IP- und Haftungsfragen sowie die praktische Nutzbarkeit im Unternehmen geprueft werden." } }, { "@type": "Question", "name": "Welche Fragen sollte der Einkauf vor dem Kauf eines KI-Tools stellen?", "acceptedAnswer": { "@type": "Answer", "text": "Der Einkauf sollte nach Datenkategorien, Verarbeitungsorten, Trainingsnutzung, Subprozessoren, Rollen nach DSGVO und KI-Verordnung, Security-Nachweisen, Incident-Prozessen, Auditmoeglichkeiten, Haftung, IP und Loeschung fragen. Wenn mehrere dieser Punkte offen bleiben, ist die Beschaffung regelmaessig noch nicht freigabereif." } }, { "@type": "Question", "name": "Seit wann gehoert die KI-Verordnung in die Beschaffung?", "acceptedAnswer": { "@type": "Answer", "text": "Die KI-Verordnung ist bereits heute Beschaffungsthema. Sie ist am 1. August 2024 in Kraft getreten. Verbotene Praktiken und KI-Kompetenzpflichten gelten seit dem 2. Februar 2025. Governance- und GPAI-bezogene Pflichten gelten seit dem 2. August 2025. Die Verordnung gilt grundsaetzlich ab dem 2. August 2026, waehrend Art. 6 Abs. 1 und korrespondierende Pflichten ab dem 2. August 2027 gelten." } }, { "@type": "Question", "name": "Brauchen HR- oder Mitarbeiter-Tools eine vertiefte Due Diligence?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. Recruiting-, Performance-, Monitoring- oder Workforce-Tools koennen DSFA-Pflichten, § 26 BDSG, AGG-Risiken und Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG ausloesen. Diese Use Cases sollten nicht wie Standard-IT beschafft werden." } }, { "@type": "Question", "name": "Welche Vertragsklauseln sind vor Freigabe besonders wichtig?", "acceptedAnswer": { "@type": "Answer", "text": "Besonders wichtig sind Trainingsverbote oder Opt-outs, Vertraulichkeit, Audit-Rechte oder geeignete Nachweise, Incident-Meldung, Haftungscaps und Carve-outs, Rechte an Inputs und Outputs, Subprozessor-Aenderungen sowie Exit- und Loeschregeln. Genau dort bleibt sonst oft der Grossteil des Risikos beim Unternehmen." } } ] } ] ```