IT-, SaaS- und KI-Recht für Unternehmen
Ich berate Softwareanbieter und Unternehmen, die IT-Leistungen oder KI-Tools einkaufen und einführen – vom SaaS-Vertrag über die KI-Verordnung bis zur Betriebsvereinbarung.
Noah OsujiRechtsanwalt in MünchenDas Wichtigste in Kürze
- Die Verbote der KI-Verordnung gelten seit dem 2. Februar 2025, darunter die Emotionserkennung am Arbeitsplatz (Art. 5 Abs. 1 lit. f KI-VO).
- Die Transparenzpflichten nach Art. 50 KI-VO gelten im Wesentlichen seit dem 2. August 2026.
- Für Hochrisiko-KI nach Anhang III, etwa bei Bewerberauswahl oder Leistungsbewertung, gelten die Pflichten nach dem Digital Omnibus ab dem 2. Dezember 2027.
- KI als solche löst keine Mitbestimmung aus. Verarbeitet ein System aber Daten, die Rückschlüsse auf Verhalten oder Leistung der Beschäftigten zulassen, dürfte der Betriebsrat mitzubestimmen haben (§ 87 Abs. 1 Nr. 6 BetrVG).
SaaS- und IT-Verträge
Ob Sie Software anbieten oder einkaufen: Entscheidend sind eine klare Leistungsbeschreibung, belastbare Service Levels, angemessene Haftungsregeln und ein geordneter Ausstieg.
- Leistungsbeschreibung und Service Level Agreements
- Haftung, Gewährleistung und Haftungsbegrenzung
- AGB: Auch im Geschäftsverkehr zwischen Unternehmen unterliegen vorformulierte Klauseln der Inhaltskontrolle (§§ 305 ff., 307 BGB)
- Auftragsverarbeitung (Art. 28 DSGVO) und Übermittlungen in Drittländer
- Laufzeit, Kündigung, Exit und Rückgabe der Daten
SaaS-Verträge dürften als typengemischte Verträge einzuordnen sein, deren Kern regelmäßig das Mietrecht bildet (vgl. BGH, Urt. v. 15.11.2006 – XII ZR 120/04, zum ASP-Vertrag). Einrichtung, Datenmigration oder Schulungen können dagegen nach Werk- oder Dienstvertragsrecht zu beurteilen sein. Das wirkt sich etwa auf Gewährleistung und Haftung aus.
KI-Verordnung: Was jetzt gilt
Die KI-Verordnung (Verordnung (EU) 2024/1689) gilt gestaffelt. Der Digital Omnibus (Verordnung (EU) 2026/1744) hat einzelne Fristen und Pflichten angepasst.
- Verbotene Praktiken seit dem 2. Februar 2025 (Art. 5 KI-VO)
- KI-Kompetenz: Anbieter und Betreiber müssen weiterhin Maßnahmen ergreifen, die die KI-Kompetenz ihres Personals fördern, etwa Schulungen und Nutzungsregeln; ein bestimmtes Kompetenzniveau müssen sie seit dem 27. Juli 2026 nicht mehr sicherstellen (Art. 4 KI-VO in der Fassung des Digital Omnibus)
- Transparenzpflichten im Wesentlichen seit dem 2. August 2026 (Art. 50 KI-VO); für die Kennzeichnung von Inhalten älterer generativer Systeme gilt eine Übergangsfrist bis zum 2. Dezember 2026
- Hochrisiko-Systeme nach Anhang III ab dem 2. Dezember 2027. Als Betreiber treffen Arbeitgeber dann eigene Pflichten, etwa zur menschlichen Aufsicht und zur Information der Arbeitnehmervertreter und der betroffenen Beschäftigten (Art. 26 Abs. 7 KI-VO).
KI im Betrieb: Betriebsrat und Datenschutz
Wer KI-Tools im Unternehmen einführt, sollte drei Regelwerke zusammen denken: KI-Verordnung, DSGVO und Betriebsverfassungsrecht.
- Mitbestimmung, sobald das System Verhaltens- oder Leistungsdaten verarbeitet (§ 87 Abs. 1 Nr. 6 BetrVG)
- Unterrichtung des Betriebsrats bei der Planung von KI (§ 90 Abs. 1 Nr. 3 BetrVG)
- Hinzuziehung eines Sachverständigen, die bei KI als erforderlich gilt (§ 80 Abs. 3 Satz 2 BetrVG)
- Auswahlrichtlinien auch beim Einsatz von KI (§ 95 Abs. 2a BetrVG)
- Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und Grenzen automatisierter Entscheidungen (Art. 22 DSGVO)
Ich begleite die Einführung – von der Richtlinie zur KI-Nutzung über die Betriebsvereinbarung bis zur Schulung der Führungskräfte. Siehe auch Datenschutzrecht und Arbeitsrecht für Arbeitgeber.
Ihr Ansprechpartner: Noah Osuji
Rechtsanwalt in München, zugelassen bei der Rechtsanwaltskammer München. Beratung auf Deutsch und Englisch.
Mehr über michHäufige Fragen
Dürfen Beschäftigte ChatGPT und andere KI-Tools bei der Arbeit nutzen?
Das hängt von den Vorgaben des Arbeitgebers ab. Sinnvoll dürfte eine klare Richtlinie sein, die festlegt, welche Tools für welche Zwecke erlaubt sind und welche Daten nicht eingegeben werden dürfen. Erlaubt der Arbeitgeber lediglich die Nutzung frei verfügbarer Tools über den Browser, kann die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG im Einzelfall entfallen (vgl. ArbG Hamburg, Beschl. v. 16.01.2024 – 24 BVGa 1/24). Stellt der Arbeitgeber eigene Accounts oder Systeme bereit, dürfte sie dagegen regelmäßig greifen.
Ist unser KI-System ein Hochrisiko-System?
Hochrisiko-Systeme sind insbesondere KI-Systeme in den in Anhang III genannten Bereichen, im Arbeitsleben etwa für die Auswahl von Bewerbern, Entscheidungen über Beförderung oder Kündigung und die Leistungsbewertung. Ob ein System darunter fällt, dürfte vom konkreten Einsatzzweck abhängen.
Worauf sollten wir beim Einkauf einer SaaS-Lösung achten?
Neben Preis und Funktionsumfang vor allem auf Verfügbarkeit und Service Levels, Haftungsbegrenzungen, Datenschutz und Auftragsverarbeitung, den Speicherort der Daten sowie auf Kündigungsrechte und die Rückgabe der Daten am Vertragsende.
Allgemeine Information, Stand: 28. Oktober 2026. Sie ersetzt keine Beratung im Einzelfall.