Zum Inhalt springen

Anwalt für KI-Compliance · Düsseldorf und Hamburg

KI-Compliance für den Mittelstand

Ihr Team baut Software mit KI. Wer haftet, wenn etwas schiefgeht?

Mit Claude Code und ähnlichen Werkzeugen entstehen eigene Tools in Tagen statt Monaten. Oft ohne Dokumentation, ohne Datenschutzprüfung und ohne Blick auf Lizenzen. Die Verantwortung trägt am Ende die Geschäftsführung. Für den Mittelstand bringt ITMR System, Struktur und Compliance in Ihre KI-Tools, ohne Ihr Tempo auszubremsen.

KI-Tool-Check anfragen Die 6 Risiken ansehen

Erstkontakt kostenlos · Rückmeldung an Werktagen innerhalb von 24 Stunden

Stand: 25.10.2026

Beispielhafte Darstellung. Kein Ergebnis eines echten Mandats.

Das Wichtigste in Kürze

  • KI-Compliance heißt: Ihre mit KI gebauten Tools sind dokumentiert, datenschutzkonform, lizenzrechtlich geprüft und sicher betrieben, und Sie können das nachweisen.
  • Wir von ITMR Rechtsanwälte PartGmbB prüfen Ihre Tools rechtlich und technisch und bauen in drei Stufen Dokumentation, Verträge und Abläufe auf.
  • Relevant sind vor allem DSGVO, KI-Verordnung (AI Act), NIS-2 und BSIG, Open-Source-Lizenzen und § 87 BetrVG.
  • Ansprechpartner sind Andreas Buchholz, Dr. Alexander Pleh und Jean Paul P. Bohne aus unserem Team für IT-Recht, Datenschutz und KI-Recht. Rückmeldung an Werktagen innerhalb von 24 Stunden.

Ihre Situation

Sechs Fragen, die spätestens Ihr Prüfer, Käufer oder Datenschützer stellt

Wenn Sie nicht jede davon sicher beantworten können, haben Sie ein Compliance-Risiko, auch wenn das Tool tadellos funktioniert.

  1. 01

    Wo liegen Ihre Daten?

    Kundendaten in Prompts, Tools bei Anbietern ohne Auftragsverarbeitungsvertrag, Server außerhalb der EU. Datenschutzverstöße können nach Art. 83 DSGVO mit Bußgeldern von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.

  2. 02

    Was, wenn der Chat weg ist?

    Zugang gesperrt, Mitarbeiter gegangen, Verlauf gelöscht: Ohne Dokumentation versteht niemand mehr, was das Tool tut. Weiterbetrieb, Prüfung und Haftungsabwehr werden zum Blindflug.

  3. 03

    Wessen Code steckt drin?

    KI-Werkzeuge binden fremde Open-Source-Bibliotheken ein. Restriktive Lizenzen können bei Weitergabe Offenlegungspflichten auslösen und werden spätestens bei Verkauf oder Due Diligence zum Problem.

  4. 04

    Wer schließt die Sicherheitslücken?

    Passwörter und API-Schlüssel im Code, veraltete Abhängigkeiten, keine Updates. Selbstgebaute Tools, die niemand pflegt, werden zum Einfallstor.

  5. 05

    Wer haftet persönlich?

    Seit dem 6. Dezember 2025 gilt das NIS-2-Umsetzungsgesetz. Die Geschäftsleitung betroffener Unternehmen muss Sicherheitsmaßnahmen umsetzen und überwachen (§ 38 BSIG). Bei schuldhaften Pflichtverletzungen haftet sie dem eigenen Unternehmen für den Schaden.

  6. 06

    Sind Betriebsrat und AI Act mitgedacht?

    Tools, die Leistung oder Verhalten von Beschäftigten überwachen können, sind mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG). Die KI-Verordnung verlangt seit Februar 2025 Maßnahmen zur KI-Kompetenz der Beschäftigten (Art. 4 KI-VO).

Absichern statt abschalten

Wir wollen Ihre KI-Tools nicht stoppen. Wir sorgen dafür, dass Sie sie belegbar sicher, rechtskonform und unabhängig von einzelnen Personen oder Anbietern weiter nutzen können.

Warum ITMR

Wir bauen selbst mit KI. Und wissen deshalb, worauf es ankommt.

Unsere eigenen KI-Tools sind durchgehend dokumentiert, mit technischen und organisatorischen Maßnahmen, Auftragsverarbeitungsverträgen und einer klaren Übersicht, wo welche Daten liegen. Wir könnten morgen ohne den KI-Anbieter weiterarbeiten. Genau diesen Standard bringen wir in Ihr Unternehmen: als Fachanwaltskanzlei für IT- und Medienrecht, mit dem Blick von Praktikern.

Dr. Alexander Pleh, Partner
15+ Jahre
Erfahrung im IT-Recht
Recht + Technik
aus einer Hand, ohne Übersetzungsverluste
Düsseldorf & Hamburg
bundesweit tätig

Leistungen

System, Struktur, Compliance. In drei Stufen.

Sie entscheiden, wie weit wir gehen. Den Umfang klären wir gemeinsam, der Erstkontakt ist kostenlos. Danach erhalten Sie ein Angebot, und wir beginnen erst nach Ihrer Zustimmung.

STUFE 1

KI-Tool-Check

Der schnelle Überblick: Wo stehen Sie wirklich?

  • Bestandsaufnahme aller KI-gebauten Tools
  • Datenlandkarte: welche Daten wo liegen
  • Lizenz-Scan der eingebundenen Bibliotheken
  • Risikobericht mit Ampel und Prioritäten

Check anfragen

STUFE 2 · MEISTGEWÄHLT

Compliance-Aufbau

Aus Risiken werden belastbare Strukturen.

  • Technische und rechtliche Dokumentation
  • TOM, AVV und Verzeichnis von Verarbeitungstätigkeiten
  • Sicherheitsgrundlagen: Schlüssel, Zugriffe, Backups
  • Exit-Plan: weiterarbeiten ohne KI-Anbieter

Aufbau anfragen

STUFE 3

Laufende Begleitung

Damit es so bleibt, auch bei neuen Tools.

  • Prüfung neuer Tools vor dem Go-live
  • Fester Rhythmus für Updates und Patches
  • Schulung zur KI-Kompetenz nach AI Act
  • Jährliches Compliance-Review

Begleitung anfragen

Wer was liefert und wer entscheidet

Was Sie liefern

  • Liste der Tools, die Sie mit KI gebaut haben oder nutzen
  • Zugang zu Code-Repository oder Exporten, soweit vorhanden
  • Bestehende Verträge und AVV mit KI- und Cloud-Anbietern
  • Ansprechpartner aus Fachbereich und IT

Was wir tun

  • Tools rechtlich und technisch prüfen
  • Risiken nach Dringlichkeit priorisieren
  • Dokumentation, TOM, AVV und VVT erstellen
  • Neue Tools vor dem Go-live begleiten

Was Sie entscheiden

  • Welche Stufe Sie beauftragen
  • Welche Maßnahmen Sie zuerst umsetzen
  • Ob Betriebsrat oder Datenschutzbeauftragter früh eingebunden werden

Nicht im Paket. Die Vertretung in Gerichts- oder Bußgeldverfahren und die eigentliche Programmierung von Fehlerbehebungen vereinbaren wir bei Bedarf gesondert.

Ablauf

So einfach geht es

Nach Ihrer Anfrage melden wir uns an Werktagen innerhalb von 24 Stunden.

  1. 01

    Erstkontakt

    Kostenlos: Welche Tools nutzen Sie, wer hat sie gebaut, welche Daten fließen?

  2. 02

    Check und Bericht

    Wir prüfen rechtlich und technisch und zeigen Ihnen klar priorisiert, was zu tun ist.

  3. 03

    Umsetzung und Begleitung

    Wir schaffen Dokumentation und Verträge und begleiten Sie, wenn neue Tools dazukommen.

Zentrale Begriffe und Normen

Was bedeuten die wichtigsten Begriffe der KI-Compliance?

KI-Compliance
Einhaltung aller rechtlichen Anforderungen beim Einsatz und Bau von KI-Werkzeugen, einschließlich Dokumentation und Nachweis.
KI-VO (AI Act)
Verordnung (EU) 2024/1689 über künstliche Intelligenz, geändert durch die Verordnung (EU) 2026/1744 (Digital-Omnibus).
KI-Kompetenz (Art. 4 KI-VO)
Pflicht von Anbietern und Betreibern, Maßnahmen zur KI-Kompetenz ihrer Beschäftigten zu ergreifen. Gilt seit dem 2. Februar 2025.
Betreiber
Wer ein KI-System in eigener Verantwortung beruflich einsetzt (Art. 3 Nr. 4 KI-VO).
AVV
Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit Dienstleistern, die personenbezogene Daten in Ihrem Auftrag verarbeiten.
TOM
Technische und organisatorische Maßnahmen zur Sicherheit der Verarbeitung nach Art. 32 DSGVO.
VVT
Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO.
NIS-2 / BSIG
EU-Richtlinie 2022/2555, in Deutschland umgesetzt durch das NIS-2-Umsetzungsgesetz und das neue BSI-Gesetz, in Kraft seit dem 6. Dezember 2025.
§ 87 Abs. 1 Nr. 6 BetrVG
Mitbestimmungsrecht des Betriebsrats bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind.
Copyleft
Open-Source-Lizenzmodell (etwa GPL, AGPL), das bei Weitergabe die Offenlegung abgeleiteten Quellcodes verlangen kann.
Exit-Plan
Dokumentierter Weg, ein Tool ohne den ursprünglichen KI-Anbieter weiter zu betreiben, zu pflegen oder zu ersetzen.

Quellen

Ihre Ansprechpartner

Wer betreut Ihre KI-Compliance?

Recht und Technik aus einer Hand: IT-Recht, Datenschutzrecht und KI-Recht im Team. Standorte in Düsseldorf, Schirmerstraße 80, und Hamburg, Palmaille 124.

Rechtsanwalt Andreas Buchholz

Andreas Buchholz

Rechtsanwalt · Partner · Fachanwalt für IT-Recht · Datenschutzrecht

Zum Profil

Rechtsanwalt Dr. Alexander Pleh

Dr. Alexander Pleh

Rechtsanwalt · Partner · IT-Recht und KI-Recht

Zum Profil

Rechtsanwalt Jean Paul P. Bohne

Jean Paul P. Bohne, LL.M., MM

Rechtsanwalt · Partner · Fachanwalt für IT-Recht · Fachanwalt für Urheber- und Medienrecht

Zum Profil

FAQ

Häufige Fragen zur KI-Compliance

Was bedeutet KI-Compliance für ein mittelständisches Unternehmen?

KI-Compliance bedeutet, dass KI-Werkzeuge und die damit gebauten Tools die rechtlichen Anforderungen einhalten und das nachweisbar. Dazu gehören vor allem Datenschutz nach DSGVO, Open-Source-Lizenzen, IT-Sicherheit, die KI-Verordnung (AI Act), Mitbestimmung des Betriebsrats und klare Verträge mit den KI-Anbietern.

Wir nutzen KI nur für kleine Helfer. Betrifft uns das?

Ja, häufig schon. Gerade kleine Helfer verarbeiten oft Kunden- oder Mitarbeiterdaten. Entscheidend ist nicht die Größe des Tools, sondern welche Daten es nutzt, wo sie verarbeitet werden und wer es betreibt.

Müssen wir unsere Tools abschalten?

In aller Regel nicht. Unser Ziel ist, Ihre Tools abzusichern, damit Sie sie mit gutem Gewissen weiter nutzen können. Wo ein Tool nicht tragfähig ist, sagen wir Ihnen das klar und zeigen Alternativen.

Brauchen wir dafür eine eigene IT-Abteilung?

Nein. Wir liefern Dokumentation und Abläufe so, dass sie auch ohne eigene IT-Abteilung gepflegt werden können.

Wie lange dauert der KI-Tool-Check?

Das hängt von Anzahl und Umfang Ihrer Tools ab. Einen verbindlichen Zeitrahmen nennen wir Ihnen nach dem Erstkontakt.

Gilt der AI Act auch für Tools, die wir nur intern nutzen?

Ja, die KI-Verordnung unterscheidet nicht nach intern oder extern. Wer ein KI-System im eigenen Unternehmen einsetzt, ist in der Regel Betreiber. Seit dem 2. Februar 2025 müssen Anbieter und Betreiber Maßnahmen ergreifen, um die KI-Kompetenz ihrer Beschäftigten zu fördern (Art. 4 KI-VO). Welche weiteren Pflichten gelten, hängt vom Einsatzzweck und der Risikoklasse ab.

Was ändert der Digital-Omnibus an der KI-Kompetenzpflicht?

Mit der Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026, wurde Art. 4 KI-VO neu gefasst. Anbieter und Betreiber müssen weiterhin Maßnahmen zur Förderung der KI-Kompetenz ergreifen. Ein bestimmtes Kompetenzniveau einzelner Personen müssen sie aber nicht garantieren. Schulung und Dokumentation bleiben deshalb sinnvoll.

Welche Rolle spielt Open Source bei KI-gebauten Tools?

KI-Werkzeuge binden beim Programmieren häufig Open-Source-Bibliotheken ein. Copyleft-Lizenzen wie die GPL können bei Weitergabe der Software verlangen, dass Sie eigenen Quellcode offenlegen. Bei der AGPL kann das schon bei Bereitstellung über ein Netzwerk gelten. Deshalb prüfen wir die eingebundenen Lizenzen.

Ist unser Unternehmen von NIS-2 betroffen?

Das hängt von Branche, Mitarbeiterzahl und Umsatz ab. Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz mit dem neuen BSI-Gesetz. Betroffene Einrichtungen müssen Risikomanagementmaßnahmen umsetzen, die Geschäftsleitung muss sie überwachen (§§ 30, 38 BSIG). Ob Sie betroffen sind, prüfen wir gern nach Ihrem kostenlosen Erstkontakt oder mit unserem NIS-2-Paket.

Muss der Betriebsrat beteiligt werden?

Wenn ein Tool dazu geeignet ist, Verhalten oder Leistung von Beschäftigten zu überwachen, hat der Betriebsrat ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Das kann schon bei Protokollen und Auswertungen der Fall sein. Wir prüfen das und bereiten bei Bedarf eine Betriebsvereinbarung vor.

Jetzt starten

Wissen Sie, was in Ihren KI-Tools steckt?

Finden Sie es heraus, bevor es jemand anderes tut. Nehmen Sie jetzt Kontakt auf. Der Erstkontakt ist kostenlos.

Das hilft uns beim Erstkontakt

  • Welche Tools Sie mit KI gebaut haben oder gerade bauen
  • Mit welchen KI-Werkzeugen und Anbietern Sie arbeiten
  • Welche Daten die Tools verarbeiten, etwa Kunden- oder Mitarbeiterdaten
  • Ob ein Betriebsrat besteht und ob Sie von NIS-2 betroffen sein könnten

KI-Tool-Check anfragen

Beschreiben Sie kurz, welche KI-Tools Sie nutzen oder gebaut haben.

Ihre Kontaktdaten

Ihre Nachricht

z. B. Frist aus einer Abmahnung

Rückmeldung an Werktagen innerhalb von 24 Stunden. Bitte senden Sie uns noch keine Zugangsdaten oder API-Schlüssel.

Lieber direkt?

Verwandte Leistungen