KI- und Vertragsaudit
KI ist längst im Unternehmen.
Die Regeln fehlen noch.
Ihre Mitarbeiter nutzen längst ChatGPT, Copilot und andere KI-Tools — meist ohne Regeln, oft ohne Wissen der Geschäftsführung. Der EU AI Act macht daraus eine Verantwortungsfrage. Wir bringen Ordnung hinein: Bestandsaufnahme, klare Regeln für den KI-Einsatz, und die wichtigsten Verträge gleich mit überarbeitet. Zum Festpreis.
Festpreis 4.900 € nettoein halber Tag vor Ortfertig in vier Wochen
Seit 2. August 2026
Nein, es ist nicht alles verschoben.
Sie haben vielleicht gehört, dass die KI-Verordnung entschärft und verschoben wurde. Das stimmt, aber nur zum Teil. Mit dem Digital Omnibus, in Kraft seit dem 27. Juli 2026, wurden vor allem die Pflichten für Hochrisiko-Systeme verschoben, auf Dezember 2027 für eigenständige Systeme, etwa im Personalbereich, und auf August 2028 für KI in regulierten Produkten wie Maschinen oder Medizingeräten. Die Transparenzpflichten aus Artikel 50 gelten dagegen seit dem 2. August 2026.
Sie treffen auch Unternehmen, die KI nur einsetzen. Wer Deepfakes erzeugt, also täuschend echte Bilder, Videos oder Tonaufnahmen von Personen, Orten oder Ereignissen, muss sie als künstlich kennzeichnen. Wer mit KI erzeugte Texte veröffentlicht, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, ebenso, es sei denn, ein Mensch hat sie redaktionell geprüft und verantwortet. Und ein Chatbot muss so gestaltet sein, dass Nutzer erkennen, dass sie mit einer KI sprechen. Wer einen auf seiner Website einsetzt, sollte das sicherstellen.
Schon seit Februar 2025 gilt die Pflicht, die KI-Kompetenz der eigenen Mitarbeiter zu fördern. Der Omnibus hat sie abgeschwächt, nicht abgeschafft: Unternehmen müssen Maßnahmen ergreifen, aber kein bestimmtes Niveau mehr sicherstellen.
Verstöße können mit Bußgeldern von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden. Für kleine und mittlere Unternehmen gilt der jeweils niedrigere Betrag.
Was genau gilt und wie Sie kennzeichnenAusgangslage
Das Muster ist fast immer gleich.
In den Gesprächen mit Geschäftsführungen höre ich meist denselben Satz: „Das KI-Thema haben wir noch nicht richtig angefasst.“ In den Gesprächen mit den Mitarbeitern höre ich das Gegenteil: KI ist überall im Einsatz. In der Buchhaltung, im Marketing, in der Entwicklung, im Kundenservice. Nur weiß oben niemand genau, wo, wie und mit welchen Daten.
Das ist kein Vorwurf — es ist der Normalfall. Aber es ist ein Risiko. Denn der EU AI Act macht das Unternehmen für den KI-Einsatz verantwortlich, unabhängig davon, ob die KI selbst entwickelt oder nur genutzt wurde. Und parallel liegen in den meisten Unternehmen Verträge, die von KI-Nutzung, Datenverarbeitung und modernen Haftungsfragen noch gar nichts wissen. Warum das am Ende eine Frage der Geschäftsführerhaftung ist, steht hier.
Boris Burow · Rechtsanwalt
Schatten-KI: Tools, die niemand freigegeben hat, verarbeiten möglicherweise Geschäfts- oder Kundendaten. Die Verantwortung liegt trotzdem bei Ihnen.
EU AI Act: Gestaffelte Pflichten, die bereits greifen. Wer KI einsetzt, muss sie einordnen, dokumentieren und bestimmte Anforderungen erfüllen.
Veraltete Verträge: AGB, Auftragsverarbeitungsverträge und Dienstleisterverträge aus der Zeit vor der breiten KI-Nutzung decken die heutigen Risiken nicht ab.
Für wen
Nicht für jeden. Aber für die meisten.
Passt, wenn …
- in Ihrem Unternehmen KI genutzt wird oder eingeführt werden soll, freigegeben oder nicht,
- die Geschäftsführung wissen will, wofür sie geradesteht,
- Sie eigene AGB, Kunden- und Dienstleisterverträge haben, die älter sind als ChatGPT.
Passt nicht, wenn …
- Sie eine eigene Rechts- und Compliance-Abteilung haben. Dann brauchen Sie gezielte Zuarbeit, kein Paket.
- Sie selbst Hochrisiko-KI anbieten. Dann geht es um Konformitätsbewertung, und das ist ein eigenes Mandat.
- Sie nur ein Datenschutz-Audit suchen. Dafür gibt es DSBX.
Was wir machen
Ein Audit. Zwei Ergebnisse.
Wir verbinden zwei Dinge, die sonst getrennt und teuer eingekauft werden: ein vollständiges KI-Compliance-Audit und die anwaltliche Überarbeitung Ihrer wichtigsten Verträge. Am Ende haben Sie nicht nur einen Bericht, sondern konkrete Ergebnisse in der Hand.
Teil 1 — Das KI-Compliance-Audit
KI-Bestandsaufnahme
Wir erfassen systematisch, welche KI-Systeme in Ihrem Unternehmen tatsächlich im Einsatz sind — auch die, von denen die Geschäftsführung nichts weiß. Über strukturierte Gespräche mit Ihren Mitarbeitern und eine etablierte KI-Compliance-Plattform decken wir Schatten-KI auf und schaffen ein vollständiges Inventar. Dazu gehört auch, was nach außen sichtbar ist: der Chatbot auf Ihrer Website, KI-Bilder im Marketing, automatisch erzeugte Texte — und ob dafür seit August eine Kennzeichnungspflicht gilt.
Risikoklassifizierung nach EU AI Act
Jedes eingesetzte KI-System wird nach den Risikoklassen der KI-Verordnung eingeordnet — von minimalem Risiko bis zu den streng regulierten Hochrisiko-Anwendungen. So wissen Sie, wo Handlungsbedarf besteht und wo nicht.
KI-Governance-Richtlinie
Sie bekommen eine Nutzungsrichtlinie für den KI-Einsatz in Ihrem Unternehmen, anwaltlich formuliert. Keine zwanzig Seiten Bürokratie, sondern klare Regeln, die im Alltag funktionieren: Was ist erlaubt, was nicht, wer entscheidet, welche Daten dürfen in welche Systeme.
Compliance-Roadmap
Eine priorisierte Maßnahmenliste — was muss sofort passieren, was kann warten. Konkret, umsetzbar, nach Dringlichkeit sortiert.
Dokumentation, die Sie vorzeigen können
Sauber aufbereitet, was Sie geregelt haben — damit Sie gegenüber einer Behörde, einem Kunden oder Ihrem Versicherer nicht bei null anfangen.
Teil 2 — Die Vertragsüberarbeitung
Ihre drei wichtigsten Verträge — überarbeitet
Das ist der Unterschied zwischen einem Bericht und einem Ergebnis. Wir analysieren nicht nur, wir überarbeiten. Gemeinsam identifizieren wir Ihre drei wichtigsten Verträge — häufig AGB, ein zentraler Dienstleister- oder Kundenvertrag, ein Auftragsverarbeitungsvertrag — und bringen sie auf den aktuellen Stand. Mit Blick auf KI-Nutzung, Datenverarbeitung und Haftung.
Was darüber hinausgeht
Findet sich im Audit weiterer Handlungsbedarf bei Verträgen — und das ist die Regel — erhalten Sie ein konkretes Angebot für die weitere Überarbeitung. Ohne Verpflichtung, aber mit klarer Grundlage.
Ablauf
So läuft es ab.
- 1
Kick-off-Gespräch
Wir klären den Rahmen, sichten vorab Ihre wichtigsten Verträge und bereiten die Mitarbeitergespräche vor.
- 2
Vor-Ort-Termin mit Mitarbeitergesprächen
Ein halber Tag in Ihrem Unternehmen. Wir sprechen mit den Menschen, die KI tatsächlich nutzen, und decken auf, was von oben nicht sichtbar ist.
- 3
Erfassung und Klassifizierung
Alle KI-Systeme werden in der Plattform erfasst und nach EU AI Act klassifiziert.
- 4
Vertragsüberarbeitung
Ihre drei wichtigsten Verträge werden anwaltlich überarbeitet.
- 5
Richtlinie und Roadmap
Sie erhalten die KI-Governance-Richtlinie und die priorisierte Maßnahmenliste.
- 6
Abschlussgespräch mit Übergabe
Wir gehen den Befund gemeinsam durch, klären offene Fragen und besprechen die nächsten Schritte.
Ihr Ergebnis
Kein Ordner zum Verstauben.
- Ein vollständiges Inventar Ihrer KI-Systeme
- Eine EU-AI-Act-Risikoklassifizierung
- Eine KI-Nutzungsrichtlinie für Ihr Team
- Drei anwaltlich überarbeitete Verträge
- Eine priorisierte Compliance-Roadmap
- Eine Dokumentation, die Sie vorzeigen können
- Ein Team, das weiß, was erlaubt ist
- Einen Anwalt, der für das Ergebnis geradesteht
Der Unterschied
Struktur ist gut. Struktur mit Anwalt ist besser.
Es gibt inzwischen viele Anbieter, die KI-Compliance als reines Struktur- und Prozessthema behandeln. Sie liefern Inventare, Frameworks, Dokumentation — und schreiben ausdrücklich dazu, dass sie keine Rechtsberatung leisten und keine Anwälte ersetzen.
Genau da beginnt unsere Arbeit. Wir nutzen dieselbe strukturierte Methodik und eine etablierte Compliance-Plattform. Aber wir hören nicht beim Bericht auf. Wir überarbeiten Ihre Verträge, wir formulieren die Richtlinie als Anwälte, und wenn es darauf ankommt — bei einer Behördenanfrage, einem Bußgeldverfahren, einer Haftungsfrage — steht bei uns ein zugelassener Rechtsanwalt dahinter, kein Berater.
Compliance, die im Ordner verstaubt, hilft niemandem. Compliance, die im Alltag funktioniert und rechtlich trägt, ist unser Anspruch.
Nichts tun ist auch eine Entscheidung.
Nichts tun
0 €
Die Verantwortung liegt trotzdem bei der Geschäftsführung.
Schatten-KI bleibt unsichtbar, die Verträge bleiben alt.
KI- und Vertragsaudit
4.900 € netto
Bestandsaufnahme, Klassifizierung, Richtlinie und Roadmap — und drei überarbeitete Verträge.
Ein Anwalt steht dahinter, wenn eine Behörde fragt.
Compliance-Plattform allein
im Abo
Inventar, Frameworks, Dokumentation. Ausdrücklich ohne Rechtsberatung.
Ihre Verträge bleiben, wie sie sind.
Investition
Ein Festpreis. Kein Stundensatz-Roulette.
4.900 €
KI- und Vertragsaudit · netto
- Vollständiges KI-Compliance-Audit nach EU AI Act
- Vor-Ort-Termin mit Mitarbeitergesprächen (halber Tag)
- KI-Governance-Richtlinie
- Überarbeitung Ihrer drei wichtigsten Verträge
- Compliance-Roadmap und Dokumentation
- Abschlussgespräch mit Übergabe
Was darüber hinausgeht — weitere Verträge, laufende Betreuung, die Rolle des externen Datenschutz- oder KI-Beauftragten — besprechen wir auf Basis des Audit-Ergebnisses. Viele Mandanten führen das Audit anschließend in ein laufendes Beratungsverhältnis über.
Anfrage sendenHäufige Fragen
Was Mandanten vorher fragen.
Wir nutzen kaum KI. Lohnt sich das trotzdem?
Meist wird mehr genutzt, als oben bekannt ist, und genau dafür sind die Mitarbeitergespräche da. Ist es wirklich wenig, fallen Richtlinie und Roadmap kurz aus. Die drei überarbeiteten Verträge bekommen Sie trotzdem, und die brauchen Sie unabhängig von der KI-Frage.
Wie viel Zeit kostet uns das?
Auf Ihrer Seite: das Kick-off-Gespräch, einen halben Tag vor Ort für die Mitarbeitergespräche und das Abschlussgespräch. Dazwischen arbeiten wir. Rückfragen bekommen Sie nur, wenn wir sie brauchen.
Welche drei Verträge werden überarbeitet?
Das legen wir im Kick-off gemeinsam fest. Häufig sind es die AGB, ein zentraler Kunden- oder Dienstleistervertrag und ein Auftragsverarbeitungsvertrag. Entscheidend ist, wo bei Ihnen das meiste Risiko liegt.
Ist das Audit eine Zertifizierung?
Nein. Sie bekommen kein Siegel, sondern eine anwaltliche Bestandsaufnahme, eine Richtlinie, eine Roadmap und überarbeitete Verträge. Eine Zertifizierung nach der KI-Verordnung ist für Unternehmen, die KI nur einsetzen, auch nicht vorgesehen.
Was, wenn sich ein Hochrisiko-System zeigt?
Dann steht es in der Klassifizierung, und die Roadmap sagt, was bis wann zu tun ist. Für eigenständige Hochrisiko-Systeme, etwa im Personalbereich, gelten die Pflichten nach dem Digital Omnibus ab dem 2. Dezember 2027. Das ist Zeit, aber weniger, als es klingt.
Was kommt nach dem Audit?
Das entscheiden Sie. Weitere Verträge, laufende Betreuung oder die Rolle des externen Datenschutz- oder KI-Beauftragten besprechen wir auf Grundlage des Ergebnisses. Viele Mandanten führen das Audit danach in ein laufendes Beratungsverhältnis über, etwa in eines unserer Abo-Modelle.
Bereit, Klarheit zu schaffen?
Im ersten Schritt klären wir in einem kurzen Gespräch, ob das Audit zu Ihrer Situation passt. Unverbindlich.
Audit-Anfrage
KI- und Vertragsaudit anfragen
Anfrage senden, wir prüfen und melden uns binnen 24 Stunden.
Aktuelles dazu
Beiträge zu diesem Thema
Auskunftsersuchen der Polizei: Was Unternehmen herausgeben müssen – und was nicht
Ein Anruf oder ein Schreiben der Kriminalpolizei: Man bittet um die Kundendaten hinter einer Bestellnummer, um die Adresse eines früheren Mitarbeiters oder um die Videoaufnahmen vom Werkstor. Viele Unternehmen liefern in dieser Situation sofort – aus Respekt vor der Behörde. Das ist verständlich, aber datenschutzrechtlich nicht folgenlos: Ein Auskunftsersuchen der Polizei entbindet Sie nicht von Ihrer eigenen Verantwortung für die Daten.
DSGVO-Auskunftsanspruch: Was Sie liefern müssen – und was nicht
Früher oder später landet in jedem Unternehmen ein Schreiben auf dem Tisch: „Bitte teilen Sie mir mit, welche Daten Sie über mich gespeichert haben." Der DSGVO-Auskunftsanspruch ist das am häufigsten genutzte Betroffenenrecht – und er kommt in der Praxis selten von neugierigen Kunden, sondern meist von ausgeschiedenen Mitarbeitern, Bewerbern oder Vertragspartnern im Streit. Drei Gerichtsentscheidungen aus dem Sommer 2026 haben nun wichtige Punkte geklärt: Inhalt, Umgang mit Vielfach-Anfragen und das Format der Herausgabe.
Wissentliche Pflichtverletzung: Wenn die Versicherung bei bewussten Regelverstößen nicht zahlt
Ein Rechtsanwalt schickt einen fristgebundenen Schriftsatz per Fax ans Gericht, obwohl er ihn elektronisch hätte einreichen müssen. Die Frist ist verloren, der Mandant hat einen Schaden – und die Berufshaftpflichtversicherung lehnt die Regulierung ab. Der Fall klingt nach einem Problem der Anwaltschaft. Das Muster dahinter betrifft jedes Unternehmen, das eine D&O-, Cyber- oder Haftpflichtversicherung hat: Wer eine ihm bekannte Pflicht bewusst übergeht, steht am Ende ohne Versicherungsschutz da.
Wenn der Chatbot Unsinn erzählt: Warum Ihr Unternehmen dafür haftet
Ein Oberlandesgericht hat im Mai 2026 entschieden: Sagt ein KI-Chatbot auf der Unternehmenswebsite etwas Falsches, haftet das Unternehmen dafür wie für eigene Werbung. Wenn Sie einen Chatbot im Kundenkontakt einsetzen – für Beratung, Produktfragen oder Terminbuchung –, ist die Chatbot-Haftung damit kein theoretisches Thema mehr, sondern ein Punkt auf Ihrer Compliance-Liste.
Recht auf Löschung: Was Unternehmen bei DSGVO-Löschanfragen wirklich leisten müssen
Das Recht auf Löschung ist nach dem Auskunftsanspruch das Betroffenenrecht, das am häufigsten geltend gemacht wird – von Kunden, Bewerbern, ehemaligen Mitarbeitern und Newsletter-Empfängern. Die europäischen Datenschutzbehörden haben 2025 gemeinsam geprüft, wie Unternehmen damit in der Praxis umgehen. Das Ergebnis: Die meisten Unternehmen kennen die Rechtslage, scheitern aber an der Umsetzung.
Kontakt
Neu bei uns? Ein Gespräch genügt.
Fünfzehn Minuten, kostenfrei: Sie schildern, was los ist. Wir sagen Ihnen, ob und wie wir helfen – und was es kostet.
Lieber schreiben? Zum Kontaktformular
Sie sind bereits Mandant? Dann wie gewohnt: Anruf oder WhatsApp.