--- title: "KI-Rechtsrisiken fuer Unternehmen vor dem Rollout (2026)" description: "KI-Rechtsrisiken fuer Unternehmen in Deutschland betreffen DSGVO, KI-Verordnung, Vertraulichkeit, Haftung und Arbeitsrecht vor Pilot und Rollout." image: "https://compound.law/assets/images/og-image-de.webp" source: "https://compound.law/de-DE/compliance/ki-rechtsrisiken-unternehmen/" language: "de" --- ![KI-Rechtsrisiken Checkliste fuer Unternehmen in Deutschland](https://compound.law/assets/images/compliance/compliance_4.webp) compliance # KI-Rechtsrisiken fuer Unternehmen vor dem Rollout (2026) 22\. Mai 2026 Die Kurzantwort KI-Rechtsrisiken fuer Unternehmen in Deutschland liegen meist in fuenf Bereichen: DSGVO und Datenfluesse, Pflichten nach der EU-KI-Verordnung, IP und Vertraulichkeit, Vertrags- und Haftungsfragen sowie Arbeitsrecht bei mitarbeiterbezogenen Systemen. Vor dem Rollout braucht es deshalb eine strukturierte Risikobewertung mit Use-Case-Einordnung, Anbieterpruefung, Human Oversight und klaren Nutzungsgrenzen. - Schon der Pilot mit Echtdaten kann DSGVO-, SCC- und AVV-Fragen ausloesen. - Betreiberpflichten nach der KI-Verordnung muessen im Unternehmen selbst verankert werden. - Vertragsmuster des Anbieters decken Vertraulichkeit, Output-Risiken und Bußgeldexposure oft nur unzureichend ab. - HR- und Betriebsratsfragen sollten vor Freigabe und nicht erst vor Go-live geprueft werden. **KI-Rechtsrisiken fuer Unternehmen** in Deutschland liegen beim Einsatz von KI meist gleichzeitig in **DSGVO und Datenfluesse**, **Betreiberpflichten nach der EU-KI-Verordnung**, **IP und Vertraulichkeit**, **Vertrags- und Haftungsfragen** sowie **Arbeitsrecht und Mitbestimmung**. Vor Pilot und Rollout sollten Rechtsabteilung, Datenschutz, Einkauf, IT-Security und die betroffenen Fachbereiche deshalb gemeinsam pruefen, ob der konkrete Use Case rechtlich und organisatorisch tragfaehig ist. Genau dort scheitern viele Einfuehrungen: Nicht weil KI im Unternehmen generell unzulaessig waere, sondern weil ein konkretes Tool mit Echtdaten, sensiblen Workflows oder Mitarbeiterbezug zu spaet geprueft wird. Fuer deutsche Unternehmen reicht es daher nicht, nur auf Datenschutzhinweise oder ein Security-Fact-Sheet zu schauen. Entscheidend ist eine belastbare **Risikobewertung vor dem Rollout**. ## Direkte Antwort: Welche KI-Rechtsrisiken sind vor dem Rollout zu pruefen? Vor dem Rollout sollten Unternehmen in Deutschland vor allem diese fuenf KI-Rechtsrisiken pruefen: - **DSGVO- und Transfer-Risiken**, wenn Personenbezug, Drittlandzugriffe, fehlende AVV-Regelungen oder Trainingsnutzung im Raum stehen. - **Pflichten nach der KI-Verordnung**, wenn Transparenz, Logging, menschliche Aufsicht oder Hochrisiko-Kontexte relevant werden koennen. - **IP- und Vertraulichkeitsrisiken**, wenn Vertriebsdaten, Vertraege, Produktplaene oder andere Geschaeftsgeheimnisse in das System gelangen. - **Vertrags- und Haftungsrisiken**, wenn der Anbieter seine Verantwortung stark begrenzt und das wirtschaftliche Rest-Risiko beim Unternehmen bleibt. - **Arbeitsrechtliche und mitbestimmungsrechtliche Risiken**, wenn Bewerber, Beschaeftigte, Leistung, Kommunikation oder Monitoring betroffen sind. Fuer die operative Erstpruefung hilft die folgende Matrix: | Risikobereich | Typischer Ausloeser | Was Unternehmen vor Go-live klaeren sollten | | ---------------------- | -------------------------------------------------------------------- | ---------------------------------------------------------------------- | | DSGVO und BDSG | Kunden-, Mitarbeiter-, Support- oder Vertragsdaten im Tool | Rollen, Rechtsgrundlage, AVV, SCC, Loeschung, DSFA | | KI-Verordnung | Chatbots, HR-KI, Scoring, sensible Entscheidungsunterstuetzung | Betreiberrolle, Transparenz, Dokumentation, Hochrisiko-Naehe | | IP und Vertraulichkeit | Prompts mit internen Unterlagen, Code, Vertragsmustern oder Roadmaps | Training, Wiederverwendung, Geheimnisschutz, Output-Nutzung | | Vertrag und Haftung | Standardbedingungen mit niedrigen Caps und breiten Ausschluessen | Freistellungen, Incident-Prozesse, Audit, Bußgeld- und Schadensrisiken | | Arbeitsrecht | Recruiting, Performance, Schichtplanung, Monitoring | § 26 BDSG, AGG, Betriebsrat, Human Review | Wenn Sie den Datenschutz- und Beschaffungspfad zuerst strukturieren moechten, bauen unsere Leitfaeden zur [KI-Beschaffung unter DSGVO und AI Act](https://compound.law/de-DE/compliance/dsgvo-ki-beschaffung/), zur [DSGVO-Checkliste fuer KI-Tools](https://compound.law/de-DE/compliance/dsgvo-checkliste-ki-tools/) und zur [KI-Anbieter-Due-Diligence](https://compound.law/de-DE/compliance/ki-anbieter-due-diligence/) darauf auf. ## Governance-Landkarte: DSGVO, KI-Verordnung, Vertraulichkeit, Arbeitsrecht und Einkauf Eine saubere Governance-Landkarte hilft, bevor einzelne Teams aneinander vorbeipruefen. Denn das rechtliche Risiko entsteht oft gerade an den Schnittstellen. Die wichtigsten Ebenen sind: 1. **DSGVO und BDSG** Wer ist Verantwortlicher, wer Auftragsverarbeiter, welche Daten duerfen in das Tool, wo wird verarbeitet und ob eine **Datenschutz-Folgenabschaetzung** noetig ist. 2. **EU-KI-Verordnung** Ob Transparenzpflichten, Betreiberpflichten oder eine Naehe zu **Anhang III**-Konstellationen besteht und welche Unterlagen dafuer vorliegen. 3. **IP und Vertraulichkeit** Ob Prompts, Dateien und Outputs Geschaeftsgeheimnisse, urheberrechtlich sensibles Material oder vertrauliche Vertragsinformationen betreffen. 4. **Einkauf und Vertrag** Ob Haftung, Auditierbarkeit, Subprozessoren, Incident-Meldung, Trainingsnutzung und Exit-Rechte zum realen Unternehmensrisiko passen. 5. **Arbeitsrecht und Mitbestimmung** Ob Beschaeftigtendaten, Recruiting, Leistungsbeurteilung oder Monitoring betroffen sind und der **Betriebsrat** eingebunden werden muss. Ein allgemeines KI-Policy-Dokument kann diese Landkarte vorbereiten. Es ersetzt aber nicht die konkrete Freigabepruefung fuer ein einzelnes Tool. ## So fuehren Unternehmen vor dem Go-live eine KI-Risikobewertung durch Fuer die Praxis braucht es keinen abstrakten Grossprozess, sondern eine belastbare Vorab-Pruefung. Diese sieben Schritte haben sich fuer Unternehmen in Deutschland bewaehrt: 1. **Use Case und Owner festlegen** Welcher Fachbereich will das Tool wofuer einsetzen, welche Systeme werden angebunden und welche Outputs sollen entstehen? 2. **Rechtliche Relevanz klassifizieren** Betrifft der Einsatz Mitarbeiter, Bewerber, Kundenkommunikation, Scoring oder andere sensible Entscheidungen? 3. **Datenfluesse erfassen** Welche personenbezogenen Daten, internen Dokumente und Geschaeftsgeheimnisse koennen in das System gelangen? 4. **Anbieterunterlagen pruefen** AVV, SCC, Subprozessorenliste, Trainingsnutzung, Retention, Security-Unterlagen und AI-Act-bezogene Informationen einsammeln. 5. **Human Oversight und interne Kontrollen festlegen** Welche Outputs muessen zwingend von Menschen freigegeben werden und wie werden Vorfaelle oder Policy-Verstoesse eskaliert? 6. **Vertragliche Risikoverteilung bewerten** Haftungscaps, Vertraulichkeit, Audit-Rechte, Incident-Pflichten, IP-Klauseln und Loeschung gemeinsam lesen. 7. **Nutzungsgrenzen dokumentieren** Festhalten, welche Daten erlaubt sind, welche Abteilungen zugreifen duerfen und wann ein Re-Assessment ausgeloest wird. Diese Checkliste schafft nicht nur Compliance, sondern auch Nachvollziehbarkeit gegenueber Management, Einkauf, Datenschutzaufsicht oder interner Revision. ## Use Case, Zweckbestimmung und Einordnung nach der KI-Verordnung Die Bewertung sollte immer mit dem konkreten Einsatz starten, nicht mit der Etikette des Anbieters. Ein “allgemeiner Copilot” kann rechtlich harmlos oder hochsensibel sein, je nachdem ob er auf anonymisierten Vorlagen arbeitet oder auf Bewerbungen, Personalakten, Vertragsarchiven oder Kundenkommunikation zugreift. Fragen Sie deshalb zuerst: - Welcher Zweck ist vorgesehen? - Wer nutzt das Tool und in welchem Prozess? - Bereitet es Entscheidungen ueber Mitarbeiter, Bewerber, Kunden oder Zugang zu Leistungen vor? - Wird mit Echtdaten gearbeitet? - Koennte der Einsatz in einen **Anhang-III**-Kontext der KI-Verordnung fallen? Mit Stand **22. Mai 2026** sollte die Zeitleiste sauber benannt werden. Die **KI-Verordnung** ist am **1. August 2024** in Kraft getreten. Verbotene Praktiken und KI-Kompetenzpflichten gelten seit dem **2. Februar 2025**. Governance-Regeln und GPAI-bezogene Pflichten gelten seit dem **2. August 2025**. Die Verordnung gilt grundsaetzlich ab dem **2. August 2026**, waehrend **Art. 6 Abs. 1** und korrespondierende Pflichten ab dem **2. August 2027** greifen. Fuer die Fristen im Detail verweisen wir auf unsere [EU-AI-Act-Fristenseite](https://compound.law/de-DE/compliance/eu-ai-act-august-2026-frist-checkliste/). ## Datenfluesse, AVV, SCC, Retention und Subprozessoren Die naechste Risikoschicht liegt in den Datenfluessen. Genau hier entstehen haeufig die ersten Rechtsverstosse, oft schon im Pilot. Geprueft werden sollten mindestens: - ein belastbarer **AVV nach Art. 28 DSGVO**, - Speicher- und Zugriffsorte, - **SCCs** oder andere Drittlandmechanismen, - eingebundene **Subprozessoren**, - Loesch- und Retention-Einstellungen, - Regeln zur Trainings- oder Verbesserungsnutzung von Prompts, Uploads, Dateien und Outputs, - moegliche **DSFA**-Pflichten nach Art. 35 DSGVO. Besonders sensibel wird der Einsatz bei Bewerber- und Beschaeftigtendaten. Dann kommen **§ 26 BDSG**, moegliche **AGG**-Risiken und oft auch die Mitbestimmung des **Betriebsrats** hinzu. ## Human Oversight und interne Kontrollmechanismen KI-Rechtsrisiken lassen sich nicht nur ueber Dokumente steuern. Das Unternehmen braucht auch interne Regeln dafuer, wie mit dem Tool gearbeitet werden darf. Typische Mindestkontrollen sind: - Pflicht zur menschlichen Pruefung bei HR-, Legal-, Finance- oder Kunden-Outputs, - Rollen- und Zugriffsbeschraenkungen, - Logging fuer sensible Workflows, - Eskalationspfade fuer Halluzinationen, Vorfaelle oder Bias-Hinweise, - erneute Freigabe bei Modellwechseln, neuen Integrationen oder geaenderter Trainingsnutzung. Gerade bei generativer KI ist der Kern des Rechtsrisikos oft nicht das System selbst, sondern die unkontrollierte Uebernahme von Outputs in echte Unternehmensentscheidungen. ## Vertragliche Risikoverteilung, Haftung und Change Management Viele Anbieterbedingungen sind fuer Standard-SaaS konzipiert und nicht fuer sensible KI-Rollouts. Unternehmen sollten deshalb vor allem diese Punkte gemeinsam lesen: - Haftungscaps und Carve-outs, - Vertraulichkeit und Geheimnisschutz, - Rechte an Inputs und Outputs, - Freistellungen fuer IP-Ansprueche, - Incident- und Breach-Meldung, - Audit-Rechte oder belastbare Ersatznachweise, - Umgang mit neuen Subprozessoren, neuen Modellen oder geaenderten Nutzungsbedingungen, - Export-, Loesch- und Exit-Regeln. Unter deutschem Recht sollte diese Pruefung immer auch die **AGB-Kontrolle nach §§ 305 bis 310 BGB** mitdenken. “Marktueblich” bedeutet nicht automatisch angemessen fuer einen rechtlich sensiblen Unternehmensprozess. ## Wann ein allgemeines KI-Framework nicht mehr ausreicht Ein allgemeines Framework ist sinnvoll fuer Grundregeln, Schulung und Eskalation. Es reicht aber nicht mehr aus, wenn: - ein konkretes Tool mit echten Kunden-, Vertrags- oder Mitarbeiterdaten arbeiten soll, - das System in HR, CRM, interne Wissenssuche oder Kundenkommunikation integriert wird, - der Anbieter eigene Trainingsrechte beansprucht, - Outputs fuer rechtlich oder wirtschaftlich relevante Entscheidungen genutzt werden, - Transparenz- oder Hochrisiko-Fragen nach der KI-Verordnung aufkommen. Dann braucht es eine tool-spezifische [KI-Anbieter-Due-Diligence](https://compound.law/de-DE/compliance/ki-anbieter-due-diligence/) sowie haeufig auch die procurement-nahe Vertiefung zu [Beschaffungsanforderungen nach der KI-Verordnung](https://compound.law/de-DE/compliance/eu-ki-verordnung-beschaffung-anforderungen/). ## FAQ ### Was sind die wichtigsten KI-Rechtsrisiken fuer Unternehmen? Typischerweise DSGVO- und Transfer-Risiken, Pflichten nach der KI-Verordnung, IP- und Vertraulichkeitsfragen, vertragliche Regressluecken sowie arbeitsrechtliche und mitbestimmungsrechtliche Themen. Welche Punkte dominieren, haengt stark vom konkreten Einsatz und den Datenfluessen ab. ### Reicht ein AVV aus, um KI-Rechtsrisiken zu steuern? Nein. Ein AVV ist noetig, aber nur ein Teil der Pruefung. Zusaetzlich muessen Training, SCC, KI-Verordnungsbezug, Human Oversight, Haftung und Beschaeftigtenbezug bewertet werden. ### Seit wann ist die KI-Verordnung fuer Unternehmen relevant? Seit dem Inkrafttreten am 1. August 2024 entwickelt sich der Anwendungsrahmen stufenweise. Verbotene Praktiken und KI-Kompetenzpflichten gelten seit dem 2. Februar 2025, Governance- und GPAI-Pflichten seit dem 2. August 2025, die Verordnung grundsaetzlich ab dem 2. August 2026 und Art. 6 Abs. 1 samt korrespondierender Pflichten ab dem 2. August 2027. ### Wann muss der Betriebsrat bei KI-Tools eingebunden werden? Hauefig frueh, sobald Verhalten oder Leistung von Beschaeftigten betroffen sein koennen. Dann sollte die Mitbestimmung parallel zu Datenschutz, Einkauf und Security geprueft werden. ### Wann reicht ein allgemeines KI-Framework nicht mehr aus? Sobald ein konkretes Tool mit Echtdaten oder in sensiblen Workflows eingesetzt werden soll. Dann braucht es eine spezifische Anbieterpruefung, Vertragsanalyse und dokumentierte Nutzungsgrenzen. ## Naechster Schritt fuer Unternehmen Wenn Ihr Unternehmen KI in HR, Legal, Vertrieb, Support oder internen Wissenssystemen einsetzen will, sollte die Rechtspruefung vor Pilot und Einkauf beginnen. Unsere Seite zur [KI-Rechtsberatung fuer Unternehmen](https://compound.law/de-DE/compliance/ki-compliance-rechtsberatung/) zeigt, wie Compound Law KI-Governance, DSGVO- und AVV-Pruefung, KI-Anbieter-Due-Diligence, EU-AI-Act-Readiness und die Abstimmung mit HR und Betriebsrat in einem Mandat verbindet. Dieser Beitrag enthaelt allgemeine rechtliche Informationen und ersetzt keine Beratung zum konkreten Einzelfall. ## Weitere Compliance-Guides [![KI Kundenservice DSGVO und AI Act Compliance Deutschland](https://compound.law/assets/images/compliance/compliance_2.webp)](https://compound.law/de-DE/compliance/ai-customer-service/) [compliance](https://compound.law/de-DE/compliance/ai-customer-service/) ### [Datenschutzbedenken KI Kundenservice: Risiken & DSGVO](https://compound.law/de-DE/compliance/ai-customer-service/) [Datenschutzbedenken bei KI im Kundenservice: DSGVO-Pflichten, KI-Agenten, Bot-Audits und Checkliste für deutsche Unternehmen erklärt.](https://compound.law/de-DE/compliance/ai-customer-service/) [![KI-Gesichtserkennung Deutschland Compliance-Leitfaden 2026](https://compound.law/assets/images/compliance/compliance_2.webp)](https://compound.law/de-DE/compliance/ai-facial-recognition/) [compliance](https://compound.law/de-DE/compliance/ai-facial-recognition/) ### [KI-Gesichtserkennung in Deutschland: Compliance-Leitfaden 2026](https://compound.law/de-DE/compliance/ai-facial-recognition/) [Gesichtserkennung und Datenschutz: Was AI Act Art. 5 und DSGVO in Deutschland verbieten — und welche Hochrisiko-Pflichten seit dem 2. August 2026 gelten.](https://compound.law/de-DE/compliance/ai-facial-recognition/) [![EU KI-Verordnung Beschaffung vor 2027 fuer deutsche Einkaeufer](https://compound.law/assets/images/compliance/compliance_3.webp)](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) [compliance](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) ### [EU KI-Verordnung Beschaffung vor 2027 Deutschland](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) [EU KI-Verordnung Beschaffung vor 2027: Deutsche Einkaeufer sollten Vertragslogik und Betreiberunterstuetzung vor dem Rollout klaeren.](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) ## Häufige Fragen In Deutschland liegen die wichtigsten KI-Rechtsrisiken meist in fuenf Feldern: DSGVO und Datentransfers, Betreiberpflichten nach der KI-Verordnung, IP- und Vertraulichkeitsrisiken, schwache vertragliche Risikoverteilung gegenueber dem Anbieter sowie arbeitsrechtliche und mitbestimmungsrechtliche Pflichten bei Mitarbeiter- oder Bewerberbezug. Nein. Ein AVV nach Art. 28 DSGVO ist nur ein Baustein. Er beantwortet nicht, ob der Anbieter Daten fuer Training nutzt, ob SCCs gebraucht werden, ob der Einsatz in einen Hochrisikokontext faellt, ob ausreichende Human-Oversight-Prozesse bestehen oder ob der Vertrag das wirtschaftliche Risiko sinnvoll verteilt. Sie ist bereits heute relevant. Die KI-Verordnung ist am 1. August 2024 in Kraft getreten. Verbotene Praktiken und die Pflicht zur KI-Kompetenz gelten seit dem 2. Februar 2025. Governance-Regeln und GPAI-bezogene Pflichten gelten seit dem 2. August 2025. Die Verordnung gilt grundsaetzlich ab dem 2. August 2026, waehrend Art. 6 Abs. 1 und die korrespondierenden Pflichten ab dem 2. August 2027 gelten. Hauefig frueh. Sobald ein KI-Tool Verhalten oder Leistung von Beschaeftigten ueberwachen, auswerten oder beeinflussen kann, kommt die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG in Betracht. Diese Pruefung sollte parallel zu Datenschutz, Security und Vertragsreview laufen. Ein allgemeines Framework reicht nicht mehr aus, wenn ein konkretes Tool mit echten Kunden-, Mitarbeiter-, Support- oder Vertragsdaten arbeiten soll oder wenn Entscheidungen vorbereitet werden, die rechtlich oder operativ erheblich sind. Dann braucht es eine tool-spezifische Anbieter-Due-Diligence und dokumentierte Nutzungsgrenzen. ## Structured data ```json [ { "@context": "https://schema.org", "@type": [ "Organization", "LegalService" ], "@id": "https://compound.law/#organization", "name": "Compound Law", "alternateName": "Compound Law — AI Law Firm", "url": "https://compound.law/", "logo": { "@type": "ImageObject", "url": "https://compound.law/press/logos/PNG/Compound_Law_Icon.png", "width": 1024, "height": 1024 }, "image": "https://compound.law/assets/images/og-image.webp", "description": "Die KI-native Kanzlei in Berlin für Start-ups, Mittelstand und Konzerne: Commercial und Vertragsrecht, Datenschutz, KI-Verordnung, Marken, Gesellschaftsrecht sowie Sanierung und Insolvenz. Jedes Ergebnis prüft ein Anwalt, abgerechnet zum Festpreis.", "foundingDate": "2026", "founder": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] } ], "employee": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Marc Schuba", "jobTitle": "Founding Partner, Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/marc-schuba/", "sameAs": [ "https://www.linkedin.com/in/marcschuba/" ], "knowsAbout": [ "IP- und IT-Recht", "SaaS- und IT-Verträge, IT-Outsourcing", "Software- und Open-Source-Lizenzen", "Datenschutzrecht (DSGVO)", "KI-Recht und KI-Verordnung (AI Act)" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] }, { "@type": "Person", "name": "Philipp Brandt", "jobTitle": "Partner, Rechtsanwalt, Fachanwalt für gewerblichen Rechtsschutz", "url": "https://compound.law/de-DE/lawyers/philipp-brandt/", "sameAs": [ "https://www.linkedin.com/in/philipp-brandt-81b446a/" ], "knowsAbout": [ "Sanierungs- und Insolvenzrecht (Krisenberatung der Geschäftsführung, Schutzschirm- und Planverfahren, Insolvenzverwaltung)", "Gewerblicher Rechtsschutz (Marken, Wettbewerbsrecht, Urheberrecht, Geschäftsgeheimnisse, Lizenzverträge)", "Datenschutzrecht (Datenpannen, Bußgeldverfahren, Auskunft und Schadensersatz)", "Vertriebs- und Handelsrecht (Vertriebsverträge, Kauf und Verkauf von Industrieanlagen)" ] }, { "@type": "Person", "name": "Dr. Markus Dreißigacker", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/markus-dreissigacker/", "sameAs": [ "https://www.linkedin.com/in/markusdreissigacker" ], "knowsAbout": [ "M&A (Due Diligence, Post-Merger-Integration, IPO-Readiness)", "Gesellschaftsrecht (Governance, Gremienarbeit, Restrukturierung)", "Handelsrecht (Kundenverträge, Lieferantenvereinbarungen, NDAs)", "IP (Markenmanagement, IP-Übertragungsverträge)", "Compliance & ESG (Globale Compliance-Programme, Menschenrechte, Nachhaltigkeit)", "Datenschutz (DSGVO-Strategie, DPO-Erfahrung, Datenschutzprogramme)" ] } ], "address": { "@type": "PostalAddress", "addressLocality": "Berlin", "addressCountry": "DE" }, "areaServed": [ "Germany", "Austria", "Switzerland", "European Union", "United Kingdom", "United States", "Singapore" ], "availableLanguage": [ "de", "en" ], "serviceType": [ "AI law firm", "AI-native legal services", "legal counsel for start-ups and growth companies", "legal counsel for mid-sized companies and corporates", "Commercial Law", "Corporate Law", "Employment Law", "Regulatory & Compliance", "Intellectual Property", "Insolvency & Restructuring" ], "hasOfferCatalog": { "@type": "OfferCatalog", "name": "Compound Law services", "itemListElement": [ { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Commercial Contracts", "description": "Battle-tested contracts for your sales process", "serviceType": [ "enterprise contracts", "MSA", "DPA", "sales contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "International Employment", "description": "Compliant hiring across borders", "serviceType": [ "international employment", "hiring abroad", "employment contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "VSOP/ESOP Setup", "description": "Employee participation that actually works", "serviceType": [ "VSOP", "ESOP", "employee stock options", "equity incentives" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Funding Round Support", "description": "Clean legal for your next raise", "serviceType": [ "funding round", "term sheet", "SHA", "due diligence", "cap table" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Corporate Housekeeping", "description": "Get your legal house in order", "serviceType": [ "corporate governance", "board resolutions", "shareholder register" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Data Protection & Privacy", "description": "GDPR compliance that doesn't slow you down", "serviceType": [ "GDPR", "data protection", "privacy", "DPA", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI Act Compliance", "description": "Navigate EU AI regulation", "serviceType": [ "AI Act", "AI compliance", "AI governance", "EU AI regulation" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "IP & Competition", "description": "Protect and enforce what you've built", "serviceType": [ "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Fractional General Counsel", "description": "In-house legal without the full-time cost", "serviceType": [ "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "FinTech Compliance", "description": "Navigate financial regulation", "serviceType": [ "fintech compliance", "BaFin", "banking regulation", "AML", "KYC" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Legal Retainer", "description": "Predictable legal support when you need it", "serviceType": [ "legal retainer", "legal subscription", "ongoing legal support" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "M&A Preparation", "description": "Get ready for acquisition interest", "serviceType": [ "M&A preparation", "acquisition", "due diligence", "exit" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Restructuring & Insolvency", "description": "From the first liquidity check to the restructuring itself", "serviceType": [ "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } } ] }, "contactPoint": { "@type": "ContactPoint", "contactType": "sales", "email": "contact@compound.law", "availableLanguage": [ "English", "German" ], "areaServed": [ "DE", "AT", "CH", "EU", "GB", "US", "SG" ] }, "email": "contact@compound.law", "sameAs": [ "https://www.linkedin.com/company/compoundlawfirm", "https://x.com/CompoundLawFirm" ], "knowsAbout": [ "Commercial Contracts", "enterprise contracts", "MSA", "DPA", "sales contracts", "International Employment", "international employment", "hiring abroad", "employment contracts", "VSOP/ESOP Setup", "VSOP", "ESOP", "employee stock options", "equity incentives", "Funding Round Support", "funding round", "term sheet", "SHA", "due diligence", "cap table", "Corporate Housekeeping", "corporate governance", "board resolutions", "shareholder register", "Data Protection & Privacy", "GDPR", "data protection", "privacy", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR", "AI Act Compliance", "AI Act", "AI compliance", "AI governance", "EU AI regulation", "IP & Competition", "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance", "Fractional General Counsel", "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer", "FinTech Compliance", "fintech compliance", "BaFin", "banking regulation", "AML", "KYC", "Legal Retainer", "legal subscription", "ongoing legal support", "M&A Preparation", "M&A preparation", "acquisition", "exit", "Restructuring & Insolvency", "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ] }, { "@context": "https://schema.org", "@type": "Article", "headline": "KI-Rechtsrisiken fuer Unternehmen vor dem Rollout (2026)", "description": "KI-Rechtsrisiken fuer Unternehmen in Deutschland betreffen DSGVO, KI-Verordnung, Vertraulichkeit, Haftung und Arbeitsrecht vor Pilot und Rollout.", "image": "https://compound.law/assets/images/compliance/compliance_4.webp", "datePublished": "2026-05-22T00:00:00.000Z", "dateModified": "2026-05-22T00:00:00.000Z", "author": { "@type": "Person", "name": "Dr. Markus Dreißigacker", "image": "https://compound.law/assets/images/team/markusdreissigacker.webp" }, "publisher": { "@type": "Organization", "@id": "https://compound.law/#organization", "name": "Compound Law" }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://compound.law/de-DE/compliance/ki-rechtsrisiken-unternehmen/" } }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://compound.law/de-DE/" }, { "@type": "ListItem", "position": 2, "name": "Compliance-Guides", "item": "https://compound.law/de-DE/compliance/" }, { "@type": "ListItem", "position": 3, "name": "KI-Rechtsrisiken fuer Unternehmen vor dem Rollout", "item": "https://compound.law/de-DE/compliance/ki-rechtsrisiken-unternehmen/" } ] }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Was sind die wichtigsten KI-Rechtsrisiken fuer Unternehmen?", "acceptedAnswer": { "@type": "Answer", "text": "In Deutschland liegen die wichtigsten KI-Rechtsrisiken meist in fuenf Feldern: DSGVO und Datentransfers, Betreiberpflichten nach der KI-Verordnung, IP- und Vertraulichkeitsrisiken, schwache vertragliche Risikoverteilung gegenueber dem Anbieter sowie arbeitsrechtliche und mitbestimmungsrechtliche Pflichten bei Mitarbeiter- oder Bewerberbezug." } }, { "@type": "Question", "name": "Reicht ein AVV aus, um KI-Rechtsrisiken zu steuern?", "acceptedAnswer": { "@type": "Answer", "text": "Nein. Ein AVV nach Art. 28 DSGVO ist nur ein Baustein. Er beantwortet nicht, ob der Anbieter Daten fuer Training nutzt, ob SCCs gebraucht werden, ob der Einsatz in einen Hochrisikokontext faellt, ob ausreichende Human-Oversight-Prozesse bestehen oder ob der Vertrag das wirtschaftliche Risiko sinnvoll verteilt." } }, { "@type": "Question", "name": "Seit wann ist die KI-Verordnung fuer Unternehmen relevant?", "acceptedAnswer": { "@type": "Answer", "text": "Sie ist bereits heute relevant. Die KI-Verordnung ist am 1. August 2024 in Kraft getreten. Verbotene Praktiken und die Pflicht zur KI-Kompetenz gelten seit dem 2. Februar 2025. Governance-Regeln und GPAI-bezogene Pflichten gelten seit dem 2. August 2025. Die Verordnung gilt grundsaetzlich ab dem 2. August 2026, waehrend Art. 6 Abs. 1 und die korrespondierenden Pflichten ab dem 2. August 2027 gelten." } }, { "@type": "Question", "name": "Wann muss der Betriebsrat bei KI-Tools eingebunden werden?", "acceptedAnswer": { "@type": "Answer", "text": "Hauefig frueh. Sobald ein KI-Tool Verhalten oder Leistung von Beschaeftigten ueberwachen, auswerten oder beeinflussen kann, kommt die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG in Betracht. Diese Pruefung sollte parallel zu Datenschutz, Security und Vertragsreview laufen." } }, { "@type": "Question", "name": "Wann reicht ein allgemeines KI-Framework nicht mehr aus?", "acceptedAnswer": { "@type": "Answer", "text": "Ein allgemeines Framework reicht nicht mehr aus, wenn ein konkretes Tool mit echten Kunden-, Mitarbeiter-, Support- oder Vertragsdaten arbeiten soll oder wenn Entscheidungen vorbereitet werden, die rechtlich oder operativ erheblich sind. Dann braucht es eine tool-spezifische Anbieter-Due-Diligence und dokumentierte Nutzungsgrenzen." } } ] } ] ```