Rechts-Kompass für Geschäftsführer

Ein wichtiger Hinweis vorab

Dieses Dokument ist kein Rechtsrat und ersetzt keine anwaltliche Beratung im Einzelfall. Es ordnet die Rechtslage so, dass ein Geschäftsführer erkennt, *wo* er persönlich in der Pflicht steht, *was* er entscheiden muss, *was* er delegieren darf und *was* er dokumentieren sollte. Die genannten Normen sind geltendes Recht; die daraus gezogenen Handlungsempfehlungen sind Synthese und ausdrücklich als solche gekennzeichnet. Zeitabhängige Angaben tragen „Stand MM/JJJJ".

Management-Zusammenfassung

Der zentrale Satz für jeden Geschäftsführer lautet: KI verändert nicht die Haftungsordnung — sie erweitert nur die Zahl der Wege, auf denen man in sie hineingerät. Es gibt kein eigenes „KI-Haftungsrecht" für die Geschäftsleitung. Es gibt die vertraute Organhaftung nach § 43 GmbHG bzw. § 93 AktG, und der KI-Einsatz ist ein neuer, besonders fehleranfälliger Anwendungsfall dieser altbekannten Pflichten.

Vier Dinge folgen daraus unmittelbar:

Erstens: Der Geschäftsführer schuldet die Sorgfalt eines ordentlichen Geschäftsmannes (§ 43 Abs. 1 GmbHG). Wer ein KI-System einführt, ohne dessen Risiken zu verstehen, ohne Zuständigkeiten zu regeln und ohne Kontrolle einzurichten, verletzt diese Sorgfalt — unabhängig davon, ob das System am Ende Schaden anrichtet.

Zweitens: Die Legalitätspflicht ist nicht delegierbar und nicht durch unternehmerisches Ermessen gedeckt. Der Geschäftsführer muss sicherstellen, dass der KI-Einsatz Datenschutz-, KI-, Urheber-, Wettbewerbs- und Arbeitsrecht einhält. „Wir wussten nicht, dass das Tool das tut" ist kein Verteidigungsargument, sondern das Eingeständnis eines Organisationsverschuldens.

Drittens: Delegation entlastet, aber nur richtig gemacht. Aufgaben lassen sich an CIO, Datenschutzbeauftragten, Fachabteilung oder externe Dienstleister übertragen. Die Leitungsverantwortung für sorgfältige Auswahl, klare Instruktion und wirksame Überwachung bleibt beim Geschäftsführer. Delegation ohne Kontrolle ist keine Entlastung, sondern ein zweiter Pflichtverstoß.

Viertens: Dokumentation ist Selbstschutz. Im Innenverhältnis trägt bei der AG das Vorstandsmitglied die Beweislast dafür, dass es sorgfältig gehandelt hat (§ 93 Abs. 2 Satz 2 AktG); für den GmbH-Geschäftsführer gilt nach gefestigter Rechtsprechung eine vergleichbare Verteilung. Wer nicht dokumentiert hat, kann im Streit nicht beweisen, dass er sorgfältig war — selbst wenn er es war.

Hinzu treten konkrete, teils bußgeldbewehrte Pflichtenkreise: die DSGVO (Verantwortlichkeit, Datenschutz-Folgenabschätzung, automatisierte Einzelentscheidungen), die KI-Verordnung der EU (AI Act) mit ihren gestaffelten Betreiberpflichten und Fristen, das Berufsgeheimnis nach § 203 StGB in verschwiegenheitspflichtigen Branchen sowie die Mitbestimmung des Betriebsrats nach dem BetrVG. Diese vier bilden das Rückgrat der Kapitel 7 bis 10.

Die praktische Botschaft: Der Geschäftsführer muss nicht Data Scientist werden. Er muss aber eine KI-Governance einrichten (wer darf was, mit welcher Freigabe, unter welcher Kontrolle, mit welcher Dokumentation) und deren Wirksamkeit überwachen. Diese Organisationsleistung ist die Kernpflicht — und zugleich die beste Verteidigung.

Kernaussagen mit Einzelquellen

Jede der folgenden Thesen wird im genannten Kapitel vertieft. Die Quelle steht jeweils direkt dabei.

These 1 — Es gibt keine KI-Sonderhaftung, sondern die normale Organhaftung. Maßstab ist die Sorgfalt eines ordentlichen Geschäftsmannes; Pflichtverletzung löst Schadensersatz gegenüber der Gesellschaft aus. Quelle: § 43 GmbHG, gesetze-im-internet.de, geltende Fassung (abgerufen 08/2026), https://www.gesetze-im-internet.de/gmbhg/__43.html

These 2 — Unternehmerische Entscheidungen sind durch die Business Judgment Rule geschützt, Rechtsverstöße nicht. Die Legalitätspflicht steht außerhalb des haftungsfreien Ermessens. Quelle: § 93 Abs. 1 Satz 2 AktG, gesetze-im-internet.de (abgerufen 08/2026), https://www.gesetze-im-internet.de/aktg/__93.html

These 3 — Beim Datenschutz ist das Unternehmen „Verantwortlicher"; die Geschäftsleitung muss geeignete technische und organisatorische Maßnahmen nachweisen. Quelle: Art. 4 Nr. 7 und Art. 24 DSGVO, EUR-Lex, VO (EU) 2016/679 (in Kraft seit 25.05.2018), https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679

These 4 — Bestimmte KI-Anwendungen lösen zwingend eine Datenschutz-Folgenabschätzung aus. Das gilt insbesondere bei umfangreichem Profiling mit erheblichen Auswirkungen. Quelle: Art. 35 DSGVO, EUR-Lex (abgerufen 08/2026), https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679

These 5 — Der AI Act gilt gestaffelt; als „Betreiber" hat das Unternehmen eigene Pflichten, unabhängig davon, dass es die KI nicht selbst gebaut hat. Verbotene Praktiken und die KI-Kompetenzpflicht gelten bereits seit dem 02.02.2025. Quelle: Art. 4, Art. 26, Art. 113 VO (EU) 2024/1689; Umsetzungszeitplan, artificialintelligenceact.eu (abgerufen 08/2026), https://artificialintelligenceact.eu/implementation-timeline/

These 6 — In verschwiegenheitspflichtigen Berufen kann die Weitergabe von Mandanten-/Patientendaten an einen KI-Dienst den Straftatbestand des § 203 StGB erfüllen. § 203 Abs. 3 StGB erlaubt die Einbindung mitwirkender Personen nur unter Bedingungen. Quelle: § 203 StGB, gesetze-im-internet.de (abgerufen 08/2026), https://www.gesetze-im-internet.de/stgb/__203.html

These 7 — Der Betriebsrat hat beim KI-Einsatz erzwingbare Mitbestimmungs- und Beteiligungsrechte; seit 2021 nennt das BetrVG „Künstliche Intelligenz" ausdrücklich. Quelle: §§ 80 Abs. 3, 87 Abs. 1 Nr. 6, 90 Abs. 1 Nr. 3, 95 Abs. 2a BetrVG, gesetze-im-internet.de (abgerufen 08/2026), https://www.gesetze-im-internet.de/betrvg/

These 8 — Die eigentliche Leitungspflicht ist die Einrichtung und Überwachung einer KI-Governance. Auswahl, Instruktion und Überwachung bleiben beim Organ; nur die Ausführung ist delegierbar. (Synthese aus §§ 43 GmbHG, 93 AktG i. V. m. der Organisationspflicht-Rechtsprechung; siehe Kapitel 5 und 6.)

Organhaftung als Ausgangspunkt: § 43 GmbHG, § 93 AktG

Der Maßstab: Sorgfalt eines ordentlichen Geschäftsmannes

§ 43 Abs. 1 GmbHG verlangt vom Geschäftsführer, „in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden". Abs. 2 ordnet an, dass Geschäftsführer, die ihre Obliegenheiten verletzen, der Gesellschaft solidarisch für den entstandenen Schaden haften. Für den Vorstand der Aktiengesellschaft formuliert § 93 Abs. 1 Satz 1 AktG dieselbe Idee mit der „Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters". (Quelle: § 43 GmbHG, https://www.gesetze-im-internet.de/gmbhg/__43.html; § 93 AktG, https://www.gesetze-im-internet.de/aktg/__93.html; beide abgerufen 08/2026.)

Dieser Maßstab ist objektiv und branchenbezogen: Es kommt nicht darauf an, was der konkrete Geschäftsführer wusste oder konnte, sondern darauf, was ein sorgfältiger Geschäftsleiter in vergleichbarer Lage gewusst und getan hätte. Der Satz „Ich verstehe von KI nichts" entlastet deshalb nicht — im Gegenteil: Wer eine Technologie einführt, deren Risiken er nicht einschätzen kann, muss sich das notwendige Wissen beschaffen (intern oder extern) oder die Einführung unterlassen. Diese Wertung folgt unmittelbar aus dem objektiven Sorgfaltsmaßstab und ist im Kapitel 5 (Delegation) konkretisiert. (Synthese.)

Die Haftung ist Innenhaftung — mit scharfen Folgen

§ 43 GmbHG regelt zunächst die Haftung des Geschäftsführers gegenüber der eigenen Gesellschaft, nicht gegenüber Dritten. Das klingt harmlos, ist es aber nicht: Kommt es durch einen KI-Fehler zu einem Schaden bei einem Kunden, zahlt zuerst die Gesellschaft (Außenhaftung des Unternehmens). Anschließend kann die Gesellschaft — vertreten durch Mitgeschäftsführer, einen Insolvenzverwalter oder auf Gesellschafterbeschluss — beim verantwortlichen Geschäftsführer Regress nehmen. Gerade in der Insolvenz ist die Durchsetzung von § 43-Ansprüchen ein Standardweg des Verwalters. Die persönliche Haftung ist unbeschränkt und richtet sich gegen das Privatvermögen. (Quelle zur Norm: § 43 GmbHG, ebd.)

Die Business Judgment Rule: Schutz für Entscheidungen, nicht für Verstöße

Nicht jede unternehmerische Fehlentscheidung ist eine Pflichtverletzung. § 93 Abs. 1 Satz 2 AktG kodifiziert die aus der ARAG/Garmenbeck-Entscheidung des BGH bekannte „Business Judgment Rule": Eine Pflichtverletzung liegt nicht vor, „wenn das Vorstandsmitglied bei einer unternehmerischen Entscheidung vernünftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln". Für die GmbH wird dieser Maßstab von der Rechtsprechung entsprechend herangezogen. (Quelle: § 93 Abs. 1 Satz 2 AktG, https://www.gesetze-im-internet.de/aktg/__93.html, abgerufen 08/2026; Grundsatzentscheidung BGH, Urteil vom 21.04.1997, Az. II ZR 175/95 „ARAG/Garmenbeck".)

Für KI-Entscheidungen sind daraus zwei Dinge zu lernen. Erstens: Der Schutz greift nur bei einer unternehmerischen Entscheidung — also etwa bei der Frage, ob man ein bestimmtes KI-Projekt startet, welchen Anbieter man wählt, wie viel Budget man riskiert. Zweitens: Er greift nur „auf der Grundlage angemessener Information". Wer ein KI-System ohne Prüfung von Datenschutz, Sicherheit und Vertragslage einführt, handelt gerade nicht auf angemessener Informationsgrundlage — der Schutz entfällt. Die praktische Konsequenz: Die Business Judgment Rule belohnt genau die Dokumentation, die Kapitel 6 verlangt. (Synthese.)

Entscheidend ist die Grenze: Die Business Judgment Rule schützt nie die Verletzung von Recht und Gesetz. Ein Rechtsverstoß ist keine „unternehmerische Entscheidung", die man abwägen dürfte — dazu Kapitel 4.

Legalitätspflicht: Rechtstreue ist nicht verhandelbar

Die Legalitätspflicht (auch Legalitätsverpflichtung) besagt: Der Geschäftsführer muss dafür sorgen, dass sich die Gesellschaft rechtmäßig verhält. Er darf nicht gegen Gesetze verstoßen, auch nicht, wenn ein Rechtsverstoß für das Unternehmen scheinbar vorteilhaft wäre („nützliche Pflichtverletzung"). Diese Pflicht ist im Aktienrecht anerkannt und wird für den GmbH-Geschäftsführer aus § 43 GmbHG abgeleitet. (Quelle zur Norm: § 43 GmbHG, ebd.; § 93 AktG, ebd. — die Legalitätspflicht ist gefestigte Rechtsprechung und herrschende Meinung; sie wird hier als geltender Grundsatz, nicht als einzelnes Urteil zitiert.)

Für den KI-Einsatz heißt das konkret: Die Frage „Dürfen wir dieses Tool so einsetzen?" ist keine Ermessensfrage, die man mit Blick auf Effizienzgewinne abwägen dürfte. Verstößt der Einsatz gegen die DSGVO (Kapitel 7), gegen den AI Act (Kapitel 8), gegen § 203 StGB (Kapitel 9), gegen Urheber- oder Wettbewerbsrecht (Kapitel 11), so ist er zu unterlassen oder rechtskonform umzugestalten — Punkt.

Daraus folgt die wichtigste organisatorische Konsequenz dieses ganzen Dokuments: Bevor ein KI-Anwendungsfall produktiv geht, braucht es eine Rechtmäßigkeitsprüfung (Datenschutz, KI-VO-Rolle, Vertraulichkeit, Rechte an In- und Output). Diese Prüfung ist Ausdruck der Legalitätspflicht; ihre Ergebnisse gehören dokumentiert. Ob die Prüfung intern (DSB, Justiziar) oder extern (Kanzlei) erfolgt, ist frei wählbar — dass sie erfolgt, nicht. (Synthese.)

Delegierbarkeit: Was das Organ abgeben darf — und was nicht

Die Grundregel: Ausführung ja, Verantwortung nein

Ein Geschäftsführer kann und soll Aufgaben verteilen — an einen CIO, an die IT-Abteilung, an den Datenschutzbeauftragten, an Fachbereiche, an externe Dienstleister. Delegation ist nicht nur erlaubt, sie ist in arbeitsteiligen Organisationen Pflicht. Aber die Rechtsprechung zur Organhaftung unterscheidet scharf zwischen der delegierbaren Ausführung und der nicht delegierbaren Leitungsverantwortung. Was beim Geschäftsführer bleibt, sind drei Pflichten, die sich seit jeher aus dem Deliktsrecht (§ 831 BGB, Auswahl-/Überwachungsverschulden) und der Organhaftung ableiten:

• Auswahl (cura in eligendo): die richtige, fachlich geeignete Person/Stelle

auswählen.

• Instruktion (cura in instruendo): klare Vorgaben, Kompetenzen und Grenzen

setzen — beim KI-Einsatz etwa: welche Daten dürfen in welches Tool, welche Ausgaben müssen geprüft werden, was ist verboten.

• Überwachung (cura in custodiendo): die Einhaltung stichprobenartig und

anlassbezogen kontrollieren und bei Auffälligkeiten eingreifen.

(Quelle zur deliktischen Grundstruktur: § 831 BGB, https://www.gesetze-im-internet.de/bgb/__831.html, abgerufen 08/2026; die Übertragung auf die Organpflichten ist gefestigte Rechtsprechung und wird hier als Grundsatz zitiert.)

Was nie vollständig delegierbar ist

Bestimmte Aufgaben bleiben Leitungsaufgaben im engeren Sinn und können allenfalls vorbereitet, aber nicht wegdelegiert werden. Dazu zählen die grundlegende Entscheidung über den KI-Einsatz in kritischen Prozessen, die Einrichtung der Compliance-/Governance-Struktur, die Sicherstellung der Legalität (Kapitel 4) und — in mehrköpfigen Geschäftsführungen — die Überwachung der Mitgeschäftsführer (Gesamtverantwortung trotz Ressortaufteilung). Auch eine Ressortaufteilung entbindet den nicht zuständigen Geschäftsführer nicht von der Pflicht, die Gesamtlage zu beobachten und bei erkennbaren Missständen einzuschreiten. (Synthese aus der Organhaftungs-Rechtsprechung; als Grundsatz zitiert.)

Delegation an externe Dienstleister und an die KI selbst

Zwei Sonderfälle sind für KI typisch. Erstens die Auslagerung an einen Cloud-/KI-Anbieter: Datenschutzrechtlich bleibt das Unternehmen Verantwortlicher (Kapitel 7), der Anbieter ist regelmäßig Auftragsverarbeiter — ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO ist Pflicht. Die Verantwortung „wandert" nicht zum Anbieter. (Quelle: Art. 28 DSGVO, EUR-Lex, VO (EU) 2016/679, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679, abgerufen 08/2026.)

Zweitens die Delegation an das KI-System selbst — also die Frage, ob man eine Entscheidung „der KI überlässt". Rechtlich gibt es keine Delegation an eine Maschine: Eine KI ist kein Zurechnungssubjekt, sie kann nicht haften und keine Pflichten tragen. Wer eine Aufgabe an ein KI-System „übergibt", delegiert sie in Wahrheit an sich selbst zurück — die Verantwortung für Auswahl, Konfiguration, Freigabe und Überwachung des Systems bleibt vollständig beim Menschen und beim Organ. Wie viel Handlungsspielraum man einem System einräumt, ist damit selbst eine Leitungsentscheidung; sie ist Gegenstand der eigenständigen Abhandlung „Autonomie ist eine Entscheidung". (Synthese; siehe Dokument 2.)

Dokumentations- und Nachweispflichten

Die Beweislast — der stille Hebel

Im Haftungsprozess kann die Beweislastverteilung über alles entscheiden. § 93 Abs. 2 Satz 2 AktG bestimmt für den Vorstand ausdrücklich: Ist streitig, ob er die Sorgfalt angewandt hat, trägt das Vorstandsmitglied die Beweislast. Für den GmbH-Geschäftsführer hat der BGH eine entsprechende abgestufte Darlegungs- und Beweislast entwickelt: Die Gesellschaft muss den Schaden und ein möglicherweise pflichtwidriges Verhalten darlegen; der Geschäftsführer muss dann darlegen und beweisen, dass er sorgfältig gehandelt hat oder ihn kein Verschulden trifft. (Quelle: § 93 Abs. 2 AktG, https://www.gesetze-im-internet.de/aktg/__93.html, abgerufen 08/2026; zur GmbH: gefestigte BGH-Rechtsprechung, hier als Grundsatz zitiert.)

Praktische Übersetzung: Wer nicht dokumentiert, verliert im Zweifel — auch wenn er sorgfältig war. Die Dokumentation ist damit kein Bürokratie-Selbstzweck, sondern das Beweismittel des Geschäftsführers in eigener Sache.

Was beim KI-Einsatz zu dokumentieren ist (Empfehlung)

Die folgende Liste ist Synthese guter Praxis, kein Gesetzestext. Sie orientiert sich an dem, was ein Gericht als Beleg sorgfältigen Handelns erwarten würde, und deckt zugleich Nachweispflichten aus DSGVO und AI Act ab:

• Die Entscheidung für einen KI-Anwendungsfall: Zweck, erwarteter Nutzen,

erwogene Alternativen, Risikoeinschätzung, Budget, Freigabe (Datum, wer).

• Die Rechtmäßigkeitsprüfung: Datenschutz (inkl. Rechtsgrundlage), KI-VO-Rolle,

Vertraulichkeit, Rechte an In-/Output; wer hat wann geprüft, mit welchem Ergebnis.

• Die Datenschutz-Folgenabschätzung, wo ausgelöst (Kapitel 7).
• Der Vertrag zur Auftragsverarbeitung und die Prüfung des Anbieters.
• Die Nutzungsregeln (Richtlinie): erlaubte/verbotene Tools und Daten,

Prüfpflichten für Ausgaben, Meldewege.

• Der KI-Kompetenz-Nachweis (Schulungen), verpflichtend nach Art. 4 AI Act.
• Das Betriebslog / Monitoring kritischer Systeme und die Behandlung von

Vorfällen.

Wichtig ist die Realität hinter der Liste: Dokumentation, die erst nach dem Schadensfall entsteht, hat vor Gericht geringen Wert. Sie muss laufend und im Zeitpunkt der Entscheidung entstehen. (Empfehlung/Synthese.)

Datenschutz: Der Verantwortliche ist das Unternehmen

Grundzuordnung: Verantwortlicher, Auftragsverarbeiter

Sobald ein KI-System personenbezogene Daten verarbeitet — und das tut es, sobald Kundendaten, Bewerberdaten, Mitarbeiterdaten oder auch nur Namen in E-Mails ins Spiel kommen —, greift die DSGVO. Die entscheidende Rolle heißt „Verantwortlicher" (Art. 4 Nr. 7 DSGVO): derjenige, der über Zwecke und Mittel der Verarbeitung entscheidet. Das ist das Unternehmen, vertreten durch die Geschäftsleitung. Der externe KI-Anbieter, der nur weisungsgebunden im Auftrag verarbeitet, ist Auftragsverarbeiter (Art. 4 Nr. 8, Art. 28 DSGVO). Nach Art. 24 DSGVO muss der Verantwortliche geeignete technische und organisatorische Maßnahmen umsetzen und nachweisen können (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO). (Quelle: Art. 4, 5, 24, 28 DSGVO, EUR-Lex VO (EU) 2016/679, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679, in Kraft seit 25.05.2018, abgerufen 08/2026.)

Für den Geschäftsführer folgt daraus: Die Verantwortung lässt sich vertraglich nicht auf den Anbieter „abschieben". Ein Auftragsverarbeitungsvertrag nach Art. 28 ist Pflicht, aber er verlagert die Verantwortung nicht — er verteilt nur die Ausführungspflichten. Prüft man den Anbieter nicht sorgfältig aus (Auswahlpflicht, Kapitel 5), bleibt das ein eigener Pflichtverstoß.

Bußgeldrahmen — warum das den GF interessiert

Datenschutzverstöße sind bußgeldbewehrt: bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Das Bußgeld trifft das Unternehmen; im Innenverhältnis kann es als Schaden den Geschäftsführer über § 43 GmbHG treffen. (Quelle: Art. 83 Abs. 5 DSGVO, ebd.)

Datenschutz-Folgenabschätzung (DSFA): Wann sie Pflicht wird

Art. 35 DSGVO verlangt eine DSFA, wenn eine Verarbeitung „voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge" hat. Art. 35 Abs. 3 nennt drei Regelbeispiele, von denen für KI vor allem das erste einschlägig ist: die „systematische und umfassende Bewertung persönlicher Aspekte", die auf automatisierter Verarbeitung einschließlich Profiling beruht und ihrerseits als Grundlage für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung dient. Ebenfalls genannt: umfangreiche Verarbeitung besonderer Datenkategorien und systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. (Quelle: Art. 35 Abs. 1, 3 DSGVO, ebd.)

Ergänzend führen die deutschen Aufsichtsbehörden (Datenschutzkonferenz, DSK) sog. „Muss-Listen" von Verarbeitungstätigkeiten, für die stets eine DSFA durchzuführen ist; der Einsatz von KI zur Bewertung/Prognose menschlichen Verhaltens ist dort typischerweise erfasst. (Quelle: Datenschutzkonferenz, „Liste von Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist"; abrufbar über die DSK-Seite, https://www.datenschutzkonferenz-online.de/, abgerufen 08/2026 — der genaue Listenstand ist bei der jeweils zuständigen Landesbehörde zu prüfen; UNKLAR ist, ob alle Länderlisten wortgleich sind, sie können abweichen.)

Handlungsregel für den GF: Bei KI-gestützten Entscheidungen über Menschen (Bonität, Bewerberauswahl, Leistungsbewertung, Betrugsscoring, Preis-/Vertragsentscheidungen) ist eine DSFA im Regelfall verpflichtend und vor dem Produktivstart durchzuführen. Sie ist zu dokumentieren (Kapitel 6). (Empfehlung/Synthese.)

Automatisierte Einzelentscheidungen (Art. 22 DSGVO)

Art. 22 DSGVO gibt betroffenen Personen das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung — einschließlich Profiling — beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie ähnlich erheblich beeinträchtigt. Ausnahmen bestehen (Vertragserforderlichkeit, gesetzliche Erlaubnis, ausdrückliche Einwilligung), sind aber an Schutzmaßnahmen gebunden, insbesondere das Recht auf Eingreifen einer Person. (Quelle: Art. 22 DSGVO, ebd.)

Für den GF heißt das: Vollautomatische Entscheidungen mit erheblicher Wirkung auf Menschen sind der rechtlich heikelste KI-Anwendungsfall überhaupt. Entweder man hält einen Ausnahmetatbestand ein und richtet echte menschliche Eingriffsmöglichkeit ein — oder man lässt die Letztentscheidung beim Menschen. Die Frage nach dem Grad der Automatisierung ist damit zugleich eine Rechtsfrage; sie wird in Dokument 2 („Autonomie ist eine Entscheidung") vertieft.

Die KI-Verordnung (AI Act): Eigene Pflichten als „Betreiber"

Die zentrale Rollenfrage: Anbieter oder Betreiber?

Der AI Act (Verordnung (EU) 2024/1689) knüpft Pflichten an Rollen. Die zwei für Unternehmen wichtigsten sind der „Anbieter" (provider — wer ein KI-System entwickelt oder unter eigenem Namen in Verkehr bringt) und der „Betreiber" (deployer — wer ein KI-System in eigener Verantwortung einsetzt, außer im rein privaten Bereich). Die meisten Unternehmen sind Betreiber: Sie kaufen oder abonnieren ein System und nutzen es. Wichtig ist die Falle: Wer ein zugekauftes System wesentlich verändert, unter eigenem Namen anbietet oder ein Hochrisiko-System zweckentfremdet, kann selbst zum Anbieter mit deutlich strengeren Pflichten werden. (Quelle: VO (EU) 2024/1689, Begriffe in Art. 3; Betreiberpflichten Art. 26; artificialintelligenceact.eu/article/26, abgerufen 08/2026, https://artificialintelligenceact.eu/article/26/. Verordnungstext bei EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689)

Der Zeitplan — was seit wann gilt (Stand 08/2026)

Der AI Act gilt gestaffelt:

• 01.08.2024 — Inkrafttreten; noch keine Pflichten anwendbar.
• 02.02.2025 — Verbotene Praktiken (Art. 5) und die Pflicht zur KI-Kompetenz

(Art. 4) gelten. Die KI-Kompetenzpflicht trifft ausdrücklich Anbieter und Betreiber.

• 02.08.2025 — Pflichten für Modelle mit allgemeinem Verwendungszweck (GPAI),

Governance-Struktur, Sanktionsrahmen.

• 02.08.2026 — Der übrige Teil der Verordnung wird anwendbar, einschließlich der

Transparenzpflichten nach Art. 50 (Kennzeichnung von KI-Interaktion, synthetischen Inhalten, Deepfakes) und der Hochrisiko-Anforderungen für Anhang-III-Systeme.

• 02.08.2027 — Art. 6 Abs. 1 (Hochrisiko-Einstufung über Produktsicherheitsrecht,

Anhang I) sowie volle Compliance der GPAI-Anbieter.

(Quelle: Umsetzungszeitplan, artificialintelligenceact.eu/implementation-timeline, abgerufen 08/2026, https://artificialintelligenceact.eu/implementation-timeline/; Rechtsgrundlage Art. 113 VO (EU) 2024/1689.)

Für den GF entscheidend: Zwei Pflichten sind bereits in Kraft — das Verbot bestimmter Praktiken und die KI-Kompetenzpflicht. Letztere ist die praktisch wichtigste sofort umsetzbare Pflicht: Das Unternehmen muss sicherstellen, dass alle Personen, die mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen (Schulung, angemessen zu Vorwissen und Einsatzkontext). Das ist dokumentierbar und sollte dokumentiert werden. (Quelle: Art. 4 VO (EU) 2024/1689, https://artificialintelligenceact.eu/article/4/, abgerufen 08/2026.)

Betreiberpflichten bei Hochrisiko-Systemen (Art. 26)

Setzt das Unternehmen ein Hochrisiko-KI-System ein (z. B. in Personalauswahl, Kreditwürdigkeitsprüfung, bestimmten sicherheitskritischen Bereichen — Kategorien nach Anhang III), treffen es nach Art. 26 u. a. folgende Pflichten:

• Betrieb gemäß der Gebrauchsanweisung des Anbieters.
• Zuweisung der menschlichen Aufsicht an ausreichend kompetente, geschulte und

befugte Personen.

• Sicherstellung, dass die vom Betreiber kontrollierten Eingabedaten der

Zweckbestimmung entsprechend relevant und hinreichend repräsentativ sind.

• Überwachung des Betriebs und Information des Anbieters/der Marktaufsicht bei

Risiken oder schwerwiegenden Vorfällen.

• Aufbewahrung der automatisch erzeugten Protokolle (Logs), soweit in der

Kontrolle des Betreibers.

• Information der Beschäftigten und ihrer Vertretung vor dem Einsatz am

Arbeitsplatz.

• Nutzung der Anbieterinformationen zur Erfüllung der DSFA-Pflicht aus Art. 35

DSGVO (Verzahnung mit Kapitel 7).

(Quelle: Art. 26 VO (EU) 2024/1689, https://artificialintelligenceact.eu/article/26/, abgerufen 08/2026.)

Die Sanktionen sind empfindlich: Für verbotene Praktiken drohen Geldbußen bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes; für andere Verstöße bis zu 15 Mio. Euro oder 3 %. (Quelle: Art. 99 VO (EU) 2024/1689, EUR-Lex, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689, abgerufen 08/2026.)

Was der GF hier konkret entscheiden muss

Der Geschäftsführer muss dafür sorgen, dass das Unternehmen für jeden KI-Anwendungsfall seine Rolle bestimmt (Betreiber/Anbieter), die Risikoklasse einordnet (verboten / hochriskant / begrenztes Risiko mit Transparenzpflicht / minimal), die KI-Kompetenz seiner Leute sicherstellt und die anwendbaren Pflichten umsetzt. Diese Einordnung ist eine Governance-Aufgabe; die Ausführung ist delegierbar, die Sicherstellung nicht. (Empfehlung/Synthese.)

Berufsgeheimnis: § 203 StGB

In verschwiegenheitspflichtigen Berufen — Rechtsanwälte, Steuerberater, Wirtschaftsprüfer, Ärzte, Psychotherapeuten, bestimmte Berater und Versicherungen — ist die Weitergabe fremder Geheimnisse strafbewehrt. § 203 StGB stellt die unbefugte Offenbarung eines fremden Geheimnisses, das dem Täter in seiner beruflichen Eigenschaft anvertraut wurde, unter Strafe (Freiheitsstrafe bis zu einem Jahr oder Geldstrafe, in bestimmten Fällen bis zu zwei Jahren). (Quelle: § 203 StGB, https://www.gesetze-im-internet.de/stgb/__203.html, abgerufen 08/2026.)

Der KI-Bezug ist unmittelbar: Wer Mandats-, Patienten- oder Versicherungsdaten in ein externes KI-System eingibt (etwa ein Cloud-basiertes Sprachmodell), offenbart sie gegenüber dem Anbieter. Ob das „befugt" ist, entscheidet § 203 Abs. 3 StGB: Danach ist das Offenbaren gegenüber „mitwirkenden Personen" zulässig, soweit dies für die Inanspruchnahme ihrer Tätigkeit erforderlich ist — der Berufsgeheimnisträger muss die mitwirkende Person aber zur Geheimhaltung verpflichten, und die Weitergabe muss auf das Erforderliche beschränkt sein. (Quelle: § 203 Abs. 3, Abs. 4 StGB, ebd.)

Für den GF einer betroffenen Kanzlei/Praxis/Gesellschaft heißt das: Der Einsatz externer KI mit geschützten Daten ist nur zulässig, wenn der Anbieter vertraglich wirksam zur Geheimhaltung verpflichtet ist, die Datenweitergabe auf das Erforderliche beschränkt bleibt und die berufsrechtlichen Vorgaben (z. B. § 43e BRAO für Anwälte) eingehalten werden. Andernfalls ist der Einsatz zu unterlassen. Dies ist kein Ermessen, sondern Legalitätspflicht (Kapitel 4). (Quelle zur berufsrechtlichen Flankierung: § 43e BRAO, https://www.gesetze-im-internet.de/brao/__43e.html, abgerufen 08/2026; Empfehlung/Synthese im Übrigen.)

Mitbestimmung: Der Betriebsrat beim KI-Einsatz

Wo ein Betriebsrat besteht, ist der KI-Einsatz keine reine Leitungsentscheidung. Das Betriebsverfassungsgesetz (BetrVG) gibt dem Betriebsrat mehrere Hebel, von denen einige erzwingbar sind (echte Mitbestimmung), andere Unterrichtungs- und Beratungsrechte:

• § 87 Abs. 1 Nr. 6 BetrVG — erzwingbare Mitbestimmung bei der Einführung und

Anwendung „technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen". KI-Systeme, die Beschäftigtendaten auswerten (Leistungs-, Verhaltensdaten), fallen regelmäßig darunter — schon die objektive Eignung zur Überwachung genügt nach ständiger Rechtsprechung, eine Überwachungsabsicht ist nicht erforderlich. Ohne Zustimmung/Einigung (ggf. über die Einigungsstelle) darf ein solches System nicht eingeführt werden.

• § 90 Abs. 1 Nr. 3 BetrVG — Unterrichtungs- und Beratungsrecht bei der Planung

des Einsatzes von Künstlicher Intelligenz (2021 ausdrücklich ergänzt).

• § 80 Abs. 3 BetrVG — der Betriebsrat kann zur Beurteilung von KI einen

Sachverständigen hinzuziehen; das Gesetz stellt seit 2021 klar, dass dessen Erforderlichkeit bei KI als gegeben gilt (Erleichterung der Sachverständigen- Hinzuziehung).

• § 95 Abs. 2a BetrVG — die Mitbestimmung bei Auswahlrichtlinien gilt auch, wenn

bei der Aufstellung solcher Richtlinien KI zum Einsatz kommt (2021 ergänzt).

(Quelle: §§ 80, 87, 90, 95 BetrVG, gesetze-im-internet.de, https://www.gesetze-im-internet.de/betrvg/, geltende Fassung, abgerufen 08/2026; die KI-Ergänzungen wurden durch das Betriebsrätemodernisierungsgesetz vom 14.06.2021 eingefügt, BGBl. I S. 1762, https://www.bgbl.de/xaver/bgbl/start.xav?startbk=Bundesanzeiger_BGBl&start=//*[@attr_id=%27bgbl121s1762.pdf%27], abgerufen 08/2026.)

Für den GF folgt daraus eine harte Reihenfolge-Regel: Bei mitbestimmungspflichtigen KI-Systemen muss der Betriebsrat vor der Einführung beteiligt werden. Wird ein überwachungsgeeignetes System ohne Mitbestimmung eingeführt, drohen Unterlassungsansprüche und ein faktisches Verwertungs-/Nutzungsverbot — ein vermeidbarer, aber teurer Fehler. Der übliche Weg ist eine Betriebsvereinbarung, die den KI-Einsatz regelt und zugleich die datenschutzrechtliche Grundlage (§ 26 BDSG / Betriebsvereinbarung als Rechtsgrundlage) mitliefert. (Empfehlung/Synthese; Norm-Quellen wie oben.)

Weitere Haftungsfelder im Überblick

Urheberrecht (Input und Output). Beim Training und bei der Nutzung von KI stellen sich zwei getrennte Fragen: Dürfen geschützte Werke als Eingabe verwendet werden, und sind KI-Ausgaben geschützt bzw. verletzen sie fremde Rechte? Für die Eingabe erlaubt das deutsche Urheberrecht Text- und Data-Mining unter den Voraussetzungen der §§ 44b, 60d UrhG, wobei sich Rechteinhaber die Nutzung zu kommerziellen Zwecken maschinenlesbar vorbehalten können (Opt-out). Reine KI-Erzeugnisse ohne menschliche schöpferische Leistung sind nach herrschender Auffassung nicht urheberrechtlich geschützt. (Quelle: §§ 44b, 60d UrhG, https://www.gesetze-im-internet.de/urhg/__44b.html und https://www.gesetze-im-internet.de/urhg/__60d.html, abgerufen 08/2026.) Für den GF relevant: Ungeprüfte Nutzung generierter Inhalte kann fremde Rechte verletzen; die Schutzlosigkeit reiner KI-Ausgaben kann eigene Verwertungsinteressen untergraben.

Geschäftsgeheimnisse. Wer vertrauliche Unternehmensinformationen in ein externes KI-System eingibt, kann den Schutz nach dem Geschäftsgeheimnisgesetz (GeschGehG) verlieren, weil „angemessene Geheimhaltungsmaßnahmen" (§ 2 Nr. 1 lit. b GeschGehG) Voraussetzung des Schutzes sind. (Quelle: § 2 GeschGehG, https://www.gesetze-im-internet.de/geschgehg/__2.html, abgerufen 08/2026.)

Wettbewerbs- und Irreführungsrecht. KI-generierte Werbeaussagen, Fake-Bewertungen oder unzutreffende Produktangaben können nach dem UWG unlauter sein; die Verantwortung trägt das werbende Unternehmen. (Quelle: UWG, https://www.gesetze-im-internet.de/uwg_2004/, abgerufen 08/2026.)

Diskriminierung (AGG). Setzt ein Unternehmen KI in Personalauswahl oder Kundenbeziehungen ein und führt das System zu einer Benachteiligung wegen eines in § 1 AGG genannten Merkmals, drohen Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz. Die „Neutralität" eines Algorithmus ist keine Entlastung — Verzerrungen in Trainingsdaten können mittelbare Diskriminierung erzeugen. (Quelle: §§ 1, 7, 15 AGG, https://www.gesetze-im-internet.de/agg/, abgerufen 08/2026.)

Produkt-/Außenhaftung. Für Schäden Dritter haftet zunächst das Unternehmen. Die zivilrechtliche Haftungslandschaft für KI ist im Fluss; die ursprünglich geplante EU-KI-Haftungsrichtlinie (AI Liability Directive) wurde von der EU-Kommission Anfang 2025 im Rahmen der Priorisierung des Arbeitsprogramms zurückgezogen, während die überarbeitete Produkthaftungsrichtlinie (Richtlinie (EU) 2024/2853) Software und KI-Systeme ausdrücklich erfasst. Der genaue Umsetzungsstand in nationales Recht ist zeitabhängig und gehört zur Refresh-Liste. (Quelle zur Produkthaftungsrichtlinie: Richtlinie (EU) 2024/2853, EUR-Lex, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024L2853, abgerufen 08/2026; zum Rückzug der KI-Haftungsrichtlinie: Anhang zum Kommissions-Arbeitsprogramm 2025, veröffentlicht 11.02.2025 — UNKLAR, ob der Rückzug endgültig ist; Status prüfen.)

Handlungsraster: MUSS tun / DARF delegieren / MUSS dokumentieren

Das folgende Raster fasst die Pflichten aus GF-Sicht zusammen. Es ist Synthese der oben belegten Normen und als Arbeitshilfe zu verstehen, nicht als abschließender Rechtskatalog.

Die eine Regel, die alles zusammenhält: Der Geschäftsführer schuldet nicht die fehlerfreie KI, sondern die sorgfältige Organisation ihres Einsatzes. Wer das nachweislich leistet, ist auf der sicheren Seite der Business Judgment Rule — wer es unterlässt, haftet auch dann, wenn er Glück hatte und kein Schaden entstand.

Quellenliste

Primärquellen (Gesetze, Verordnungen, amtliche Fundstellen):

• § 43 GmbHG — https://www.gesetze-im-internet.de/gmbhg/__43.html (abgerufen 08/2026)
• § 93 AktG — https://www.gesetze-im-internet.de/aktg/__93.html (abgerufen 08/2026)
• § 203 StGB — https://www.gesetze-im-internet.de/stgb/__203.html (abgerufen 08/2026)
• § 831 BGB — https://www.gesetze-im-internet.de/bgb/__831.html (abgerufen 08/2026)
• § 43e BRAO — https://www.gesetze-im-internet.de/brao/__43e.html (abgerufen 08/2026)
• §§ 44b, 60d UrhG — https://www.gesetze-im-internet.de/urhg/__44b.html ;

https://www.gesetze-im-internet.de/urhg/__60d.html (abgerufen 08/2026)

• § 2 GeschGehG — https://www.gesetze-im-internet.de/geschgehg/__2.html (abgerufen 08/2026)
• AGG — https://www.gesetze-im-internet.de/agg/ (abgerufen 08/2026)
• UWG — https://www.gesetze-im-internet.de/uwg_2004/ (abgerufen 08/2026)
• §§ 80, 87, 90, 95 BetrVG — https://www.gesetze-im-internet.de/betrvg/ (abgerufen 08/2026)
• Betriebsrätemodernisierungsgesetz vom 14.06.2021, BGBl. I S. 1762 —

https://www.bgbl.de/ (abgerufen 08/2026)

• DSGVO, VO (EU) 2016/679 (Art. 4, 5, 22, 24, 28, 32, 35, 83) —

https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 (in Kraft seit 25.05.2018)

• KI-Verordnung, VO (EU) 2024/1689 (Art. 3, 4, 5, 26, 50, 99, 113) —

https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689 (abgerufen 08/2026)

• Produkthaftungsrichtlinie, Richtlinie (EU) 2024/2853 —

https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024L2853 (abgerufen 08/2026)

Sekundär-/Erläuterungsquellen (zur Orientierung, nicht als Rechtsquelle):

• AI Act — Umsetzungszeitplan, artificialintelligenceact.eu —

https://artificialintelligenceact.eu/implementation-timeline/ (abgerufen 08/2026)

• AI Act — Art. 4 (KI-Kompetenz), artificialintelligenceact.eu —

https://artificialintelligenceact.eu/article/4/ (abgerufen 08/2026)

• AI Act — Art. 26 (Betreiberpflichten), artificialintelligenceact.eu —

https://artificialintelligenceact.eu/article/26/ (abgerufen 08/2026)

• Datenschutzkonferenz (DSK), DSFA-Muss-Listen —

https://www.datenschutzkonferenz-online.de/ (abgerufen 08/2026)

Grundsatz-Rechtsprechung (als Prinzip zitiert, nicht im Volltext geprüft):

• BGH, Urteil vom 21.04.1997, Az. II ZR 175/95 („ARAG/Garmenbeck") — Business

Judgment Rule / Legalitätspflicht. Hinweis: Aktenzeichen aus dem Gedächtnis wiedergegeben; vor Zitation im Buch anhand einer amtlichen Fundstelle (z. B. bundesgerichtshof.de oder juris) verifizieren. UNKLAR bis zur Einzelprüfung.

Liste „schnell veraltend" (Refresh nötig)

• AI-Act-Fristen und -Leitlinien: Der 02.08.2026 ist der große Anwendungsstichtag;

danach erscheinen laufend Durchführungsrechtsakte, Leitlinien und harmonisierte Normen. Vor Drucklegung Stand prüfen.

• DSFA-Muss-Listen der Landesbehörden: können sich ändern und je Land abweichen.
• KI-Haftungsrichtlinie (AI Liability Directive): Rückzug 2025 — Status prüfen, ob

ein neuer Vorschlag kommt.

• Produkthaftungsrichtlinie (EU) 2024/2853: nationale Umsetzung in Deutschland

beobachten (Umsetzungsfrist läuft).

• Berufsrecht (BRAO, StBerG, MBO-Ä): berufsständische KI-Leitlinien entstehen laufend.
• Konkrete Bußgeldpraxis zu KI unter DSGVO/AI Act: bei Erscheinen erster Bescheide

aktualisieren.

• ARAG/Garmenbeck-Aktenzeichen und alle Einzelurteile: vor Zitation verifizieren.

*Ende Dokument 1.*