Einsatz von künstlicher Intelligenz: Rechtliche Grenzen, Verantwortung und automatisierte Auszahlungen

Künstliche Intelligenz kann in Deutschland grundsätzlich eingesetzt werden – beispielsweise zur Bearbeitung von Kundenanfragen, zur Betrugserkennung oder zur Vorbereitung von Entscheidungen. Ob eine bestimmte Anwendung zulässig ist, hängt insbesondere von ihrem Zweck, den verarbeiteten Daten und den Auswirkungen auf betroffene Personen ab. Eine pauschale rechtliche Freigabe, menschliche Entscheidungen durch KI zu ersetzen, besteht nicht. [1][2]

Den rechtlichen Rahmen bilden insbesondere die europäische KI-Verordnung, die Datenschutz-Grundverordnung und das deutsche Zivilrecht. Im Arbeitsleben, bei urheberrechtlich geschützten Inhalten und im Glücksspielbereich kommen besondere Anforderungen hinzu. Gerade automatisierte Auszahlungen verdeutlichen das Spannungsfeld: Technische Beschleunigung darf gesetzlich vorgeschriebene Prüfungen und bestehende Rechte der Betroffenen nicht verdrängen.

Dieser Beitrag erläutert die wesentlichen Anforderungen für Unternehmen und Betroffene in Deutschland. Er unterscheidet zwischen allgemeinen gesetzlichen Pflichten und den zeitlich gestaffelten Regelungen der KI-Verordnung. Die rechtliche Bewertung eines konkreten Systems erfordert darüber hinaus Kenntnisse seiner Funktionsweise und seines Verwendungszwecks.

• KI ist kein rechtsfreier Raum. Datenschutz, Vertragsrecht und besondere Branchenvorschriften gelten auch für selbstlernende oder schwer erklärbare Systeme.
• Nicht jede Automatisierung ist KI. Ebenso wenig ist jedes KI-System ein Hochrisiko-KI-System. Entscheidend sind die gesetzlichen Merkmale und der vorgesehene Einsatz.
• Die KI-Verordnung gilt stufenweise. Verbote bestimmter Praktiken und Anforderungen an KI-Kompetenz sind früher anwendbar als zahlreiche Pflichten für Hochrisiko-Systeme.
• Automatisierte Entscheidungen über Menschen unterliegen besonderen Grenzen. Artikel 22 DSGVO erfasst ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung und lässt diese nur unter bestimmten Voraussetzungen zu.
• Die Einschaltung eines Softwareanbieters beseitigt eigene Pflichten nicht. Welche Verantwortung ein Unternehmen trägt, richtet sich nach seiner Rolle und den einschlägigen Vorschriften.
• Schnelle Auszahlungen sind kein rechtlicher Sonderstatus. Auch bei Online-Glücksspielen sind Erlaubnis-, Datenschutz- und gegebenenfalls geldwäscherechtliche Anforderungen zu beachten. [1][2][4][8][9]

Was rechtlich unter künstlicher Intelligenz zu verstehen ist

KI, maschinelles Lernen und regelbasierte Automatisierung

Maschinelles Lernen bezeichnet Verfahren, mit denen Modelle anhand von Daten Zusammenhänge erschließen. Tiefes Lernen arbeitet mit mehrschichtigen neuronalen Netzen. Die rechtliche Einordnung hängt jedoch nicht allein davon ab, ob ein System eine dieser Techniken verwendet.

Davon zu unterscheiden ist einfache regelbasierte Automatisierung: Überträgt eine Software lediglich vorgegebene Daten von einem Formular in ein anderes, liegt nicht allein deshalb ein KI-System vor. Nach Erwägungsgrund 12 KI-Verordnung sollen insbesondere Systeme nicht erfasst werden, die ausschließlich auf von Menschen festgelegten Regeln zur automatischen Ausführung von Vorgängen beruhen. Die Bezeichnung „intelligente Automatisierung“ ist für sich genommen nicht entscheidend. [1]

Diese Abgrenzung hat eine wichtige Grenze: Eine Software kann außerhalb der KI-Verordnung liegen und dennoch datenschutzrechtlichen Anforderungen einschließlich Artikel 22 DSGVO unterliegen. Die DSGVO setzt nicht voraus, dass eine Verarbeitung durch KI erfolgt. [2]

Dasselbe Sprachmodell kann für unterschiedliche Anwendungen eingesetzt werden: zur internen Textkorrektur, zur Bewertung von Bewerbungen oder zur Vorbereitung einer Kreditentscheidung. Die rechtlichen Anforderungen können sich erheblich unterscheiden. [1][2]

Zu untersuchen sind deshalb insbesondere:

• Welche Aufgabe erfüllt das System tatsächlich?
• Welche Personen und Daten sind betroffen?
• Bereitet es eine Entscheidung nur vor oder bestimmt es deren Ergebnis?
• Können Beschäftigte die Ausgabe sachkundig überprüfen und korrigieren?
• Welche Schäden können durch Fehler oder missbräuchliche Nutzung entstehen?

Die KI-Verordnung: Verbote, Risikoklassen und Übergangsfristen

Welche Pflichten wann anwendbar werden

Die Verordnung (EU) 2024/1689 ist unmittelbar geltendes Unionsrecht. Ihre einzelnen Regelungen werden jedoch zu unterschiedlichen Zeitpunkten anwendbar. Artikel 113 KI-Verordnung sieht insbesondere folgende Stufen vor:

| Zeitpunkt | Wesentliche Regelungsbereiche |

|---|---|

| 2. Februar 2025 | Allgemeine Bestimmungen einschließlich KI-Kompetenz sowie verbotene KI-Praktiken |

| 2. August 2025 | Unter anderem Vorschriften zu KI-Modellen mit allgemeinem Verwendungszweck sowie Teile der Governance- und Sanktionsregelungen; gesetzliche Ausnahmen bleiben bestehen |

| 2. August 2026 | Grundsätzliche Anwendung der übrigen Vorschriften, soweit keine Sonderregel greift |

| 2. August 2027 | Artikel 6 Absatz 1 KI-Verordnung und die damit verbundenen Pflichten für bestimmte produktbezogene Hochrisiko-KI-Systeme |

Zusätzlich enthält Artikel 111 KI-Verordnung Übergangsbestimmungen, unter anderem für bereits in Verkehr gebrachte Systeme und Modelle. Die Aussage, Unternehmen müssten generell „erst ab 2026“ tätig werden, ist deshalb ebenso unzutreffend wie die Behauptung, sämtliche Anforderungen hätten bereits 2025 vollständig gegolten. Maßgeblich sind die jeweilige Vorschrift und gegebenenfalls die einschlägige Übergangsregelung. [1]

Verbotene Anwendungen und KI-Kompetenz

Artikel 5 KI-Verordnung untersagt bestimmte Praktiken. Dazu gehören unter näheren Voraussetzungen manipulative oder täuschende KI-Praktiken, die Ausnutzung bestimmter Schutzbedürftigkeiten sowie bestimmte Formen sozialer Bewertung. Nicht jede personalisierte Werbung und nicht jede Kundenklassifizierung ist damit automatisch verboten; maßgeblich sind die einzelnen Tatbestandsmerkmale. [1]

Artikel 4 KI-Verordnung verpflichtet Anbieter und Betreiber zu Maßnahmen, mit denen sie nach besten Kräften ein ausreichendes Maß an KI-Kompetenz ihres Personals und anderer in ihrem Auftrag mit den Systemen befasster Personen sicherstellen. Zu berücksichtigen sind unter anderem technische Kenntnisse, Erfahrung, Ausbildung, Einsatzkontext und die betroffenen Personen oder Personengruppen. [1]

Ein bestimmtes, allgemein vorgeschriebenes Schulungszertifikat folgt daraus nicht. Verständliche Nutzungsregeln, geklärte Zuständigkeiten und eine aufgabenbezogene Unterweisung können zur Umsetzung beitragen; welche Maßnahmen ausreichen, hängt vom konkreten Einsatz ab.

Wann ein System als hochriskant gilt

Die Hochrisiko-Einstufung richtet sich insbesondere nach Artikel 6 KI-Verordnung und den Anhängen I und III. Erfasst werden unter den jeweiligen Voraussetzungen etwa bestimmte Systeme für Personalauswahl, Beschäftigtenbewertung und Kreditwürdigkeitsprüfung natürlicher Personen. Nicht jede Anwendung in diesen Bereichen fällt ohne weitere Prüfung darunter. Insbesondere sind die Voraussetzungen und Ausnahmen des Artikels 6 Absatz 3 KI-Verordnung zu beachten. [1]

Gerade im Zahlungsbereich ist zu differenzieren: Anhang III Nummer 5 Buchstabe b KI-Verordnung nimmt Systeme zur Aufdeckung von Finanzbetrug von der dort geregelten Hochrisiko-Kategorie für Kreditwürdigkeitsbewertungen aus. Daraus folgt jedoch keine generelle Befreiung von der KI-Verordnung oder vom Datenschutzrecht. [1][2]

Für Hochrisiko-Systeme sieht die KI-Verordnung unter anderem Risikomanagement, Anforderungen an Daten, technische Dokumentation, Protokollierung und menschliche Aufsicht vor. Welche Pflicht wen trifft, hängt von der jeweiligen Rolle ab. Anbieter und Betreiber sind nicht gleichzusetzen. Wer ein Hochrisiko-System unter eigenem Namen bereitstellt oder ein System wesentlich verändert beziehungsweise seine Zweckbestimmung entsprechend ändert, kann unter den Voraussetzungen des Artikels 25 KI-Verordnung selbst Anbieterpflichten übernehmen. [1]

Transparenz ist keine bloße Kennzeichnungspflicht

Artikel 50 KI-Verordnung enthält besondere Transparenzpflichten, unter anderem für bestimmte Systeme zur direkten Interaktion mit Menschen sowie für bestimmte künstlich erzeugte oder manipulierte Inhalte. Nach dem Zeitplan des Artikels 113 KI-Verordnung ist diese Vorschrift grundsätzlich ab dem 2. August 2026 anzuwenden. [1]

Bei einem Chatbot muss grundsätzlich erkennbar sein, dass die Kommunikation mit einem KI-System erfolgt, soweit dies für eine angemessen informierte, aufmerksame und verständige Person unter den Umständen nicht bereits offensichtlich ist. Die Vorschrift enthält weitere Differenzierungen und Ausnahmen. [1]

Ein Hinweis „KI-generiert“ löst allerdings nicht sämtliche Rechtsprobleme. Eine unzulässige Datenverarbeitung oder eine rechtswidrige Vertragsentscheidung wird durch die Kennzeichnung nicht rechtmäßig. [2][4]

Datenschutz und automatisierte Entscheidungen

Für Datenverarbeitung und Training braucht es eine Rechtsgrundlage

Soweit die DSGVO anwendbar ist und personenbezogene Daten verarbeitet werden, bedarf es insbesondere einer Rechtsgrundlage nach Artikel 6 DSGVO. Eine Verarbeitung kann beispielsweise zur Vertragserfüllung, zur Erfüllung einer gesetzlichen Pflicht oder unter bestimmten Voraussetzungen aufgrund berechtigter Interessen zulässig sein. Eine Einwilligung ist weder immer erforderlich noch stets die passende Grundlage. [2]

Ein praktischer Fehler besteht darin, die Rechtsgrundlage für den Kundenservice mit einer Erlaubnis zum Modelltraining gleichzusetzen. Dass ein Unternehmen eine Kundenanfrage bearbeiten darf, bedeutet nicht automatisch, dass es die Anfrage für ein allgemeines Trainingsvorhaben verwenden oder einem externen Anbieter für dessen eigene Zwecke überlassen darf. Eine solche Nutzung muss gesondert datenschutzrechtlich geprüft werden. [2]

Zu prüfen sind außerdem insbesondere:

• Zweckbindung und Datenminimierung nach Artikel 5 DSGVO;
• Informationspflichten nach Artikeln 13 und 14 DSGVO;
• gegebenenfalls Auftragsverarbeitung nach Artikel 28 DSGVO;
• Datensicherheit nach Artikel 32 DSGVO;
• gegebenenfalls Drittlandübermittlungen nach Artikeln 44 ff. DSGVO.

Gesundheitsdaten und andere besondere Datenkategorien unterliegen zusätzlich Artikel 9 DSGVO. Eine bloße Entfernung von Namen führt nicht notwendig zu anonymen Daten. Bleibt eine Person unter Berücksichtigung der vernünftigerweise einsetzbaren Mittel identifizierbar, gilt das Datenschutzrecht grundsätzlich weiter. [2]

Wann Artikel 22 DSGVO eingreift

Artikel 22 Absatz 1 DSGVO betrifft Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und gegenüber einer Person rechtliche Wirkung entfalten oder sie ähnlich erheblich beeinträchtigen. Das kann beispielsweise bei einer Vertragsablehnung oder einer erheblichen Einschränkung des Zugangs zu einer Dienstleistung relevant werden. [2]

Nicht jeder automatisch erzeugte Hinweis erfüllt diese Voraussetzungen. Eine tatsächlich eigenständige menschliche Entscheidung kann die ausschließliche Automatisierung ausschließen. Die vorgelagerte Verarbeitung muss gleichwohl rechtmäßig sein. Umgekehrt wird eine Entscheidung nicht schon dadurch zu einer menschlichen, dass ein Beschäftigter das Ergebnis lediglich routinemäßig bestätigt. Entscheidend ist die tatsächliche Funktion der menschlichen Beteiligung. [2][10]

Artikel 22 Absatz 2 DSGVO sieht Ausnahmen vor, etwa bei Erforderlichkeit für einen Vertragsschluss oder dessen Erfüllung, aufgrund einer gesetzlichen Ermächtigung mit angemessenen Schutzmaßnahmen oder bei ausdrücklicher Einwilligung. Bloße Wirtschaftlichkeit begründet nicht ohne Weiteres eine Erforderlichkeit für die Vertragserfüllung. [2]

Bei den vertrags- und einwilligungsbezogenen Ausnahmen verlangt Artikel 22 Absatz 3 DSGVO angemessene Schutzmaßnahmen. Dazu gehören mindestens das Recht auf menschliches Eingreifen seitens des Verantwortlichen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung. Für besondere Kategorien personenbezogener Daten enthält Artikel 22 Absatz 4 DSGVO zusätzliche Grenzen. [2]

Rechtsprechungslinie: Ein vorgelagerter Score kann bereits entscheidend sein

Der Europäische Gerichtshof hat mit Urteil vom 7. Dezember 2023, C‑634/21, zur SCHUFA-Bewertung entschieden, dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswerts über die Fähigkeit einer Person, künftigen Zahlungsverpflichtungen nachzukommen, eine Entscheidung im Sinne des Artikels 22 DSGVO darstellen kann. Voraussetzung ist insbesondere, dass ein Dritter diesen Wert maßgeblich seiner Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses zugrunde legt. [10]

Daraus folgt: Die formale Aufteilung eines Verfahrens in „Bewertung“ und „abschließende Entscheidung“ schließt Artikel 22 DSGVO nicht automatisch aus. Entscheidend ist die tatsächliche Bedeutung des maschinellen Ergebnisses. Ob diese Bewertung auf andere Prüfsysteme übertragbar ist, hängt von deren Funktionsweise und Entscheidungswirkung ab.

Das Urteil bedeutet nicht, dass jeder Risikowert oder jedes KI-gestützte Prüfsystem unzulässig wäre. Erforderlich bleibt die Prüfung der konkreten Entscheidungswirkung und einer möglichen Ausnahme. [2][10]

Datenschutz-Folgenabschätzung vor dem Einsatz

Eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Artikel 35 Absatz 3 Buchstabe a DSGVO erfasst insbesondere bestimmte systematische und umfassende automatisierte Bewertungen persönlicher Aspekte, die Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung zugrunde liegen. Nicht jede KI-Anwendung löst diese Pflicht aus. [2]

Ist eine Datenschutz-Folgenabschätzung erforderlich, muss sie vor Beginn der betreffenden Verarbeitung erfolgen. Ergibt sie ein hohes Risiko, das der Verantwortliche nicht durch geeignete Maßnahmen eindämmen kann, ist vor der Verarbeitung die Aufsichtsbehörde nach Artikel 36 DSGVO zu konsultieren. [2]

Verantwortung im Unternehmen: Verträge, Beschäftigte und Inhalte

Wer für fehlerhafte KI-Ergebnisse einstehen muss

Ein KI-System ist nach geltendem Recht kein eigenständiges Rechtssubjekt. Ansprüche wegen fehlerhafter Ergebnisse richten sich gegen die nach den einschlägigen Vorschriften verantwortlichen Personen oder Unternehmen, nicht gegen die KI selbst. [1][4]

Bei Vertragsverletzungen kommt insbesondere § 280 BGB in Betracht. Erforderlich sind grundsätzlich eine Pflichtverletzung, ein dadurch verursachter Schaden und Vertretenmüssen. Nach § 280 Absatz 1 Satz 2 BGB entfällt der Anspruch, wenn der Schuldner die Pflichtverletzung nicht zu vertreten hat. Für bestimmte Schadensersatzansprüche gelten zusätzliche Voraussetzungen. Außerhalb vertraglicher Beziehungen können etwa Ansprüche aus § 823 BGB relevant sein. [4]

Aus dem Einsatz von KI allein folgt weder eine allgemeine verschuldensunabhängige Haftung für jeden Fehler noch ein Haftungsausschluss wegen technischer Unvorhersehbarkeit. Für eine mögliche Pflichtverletzung können Auswahl, Konfiguration, Überwachung und Verwendungszweck des Systems bedeutsam sein. Vereinbarungen mit Softwareanbietern können Regressfragen regeln, beseitigen aber nicht automatisch Ansprüche betroffener Kunden. [4]

KI am Arbeitsplatz

Bei Beschäftigtendaten ist neben der DSGVO insbesondere § 26 BDSG unter Beachtung der unionsrechtlichen Anforderungen zu prüfen. Im Anwendungsbereich des Betriebsverfassungsgesetzes kann die Einführung oder Anwendung technischer Einrichtungen zur Überwachung von Verhalten oder Leistung ein Mitbestimmungsrecht nach § 87 Absatz 1 Nummer 6 BetrVG auslösen. §§ 90 und 95 BetrVG enthalten zudem ausdrücklich KI-bezogene Regelungen zur Beteiligung des Betriebsrats. [2][3][5]

Bei Bewerbungen und Personalentscheidungen gelten außerdem die Benachteiligungsverbote des AGG. Historische Trainingsdaten gewährleisten nicht, dass die daraus abgeleiteten Entscheidungen diskriminierungsfrei sind. Benachteiligungen wegen eines geschützten Merkmals können auch mittelbar entstehen. Beweist eine Partei Indizien, die eine verbotene Benachteiligung vermuten lassen, greift die Beweislastregel des § 22 AGG. [6]

Urheberrecht bei Eingaben und Ergebnissen

Texte, Bilder oder Software dürfen nicht allein deshalb frei übernommen werden, weil ein KI-System sie verarbeiten kann. Trainings- und Analysevorgänge können urheberrechtlich relevante Nutzungen enthalten. Für Text und Data Mining kommen insbesondere §§ 44b und 60d UrhG in Betracht, deren Voraussetzungen und Anwendungsbereiche sich unterscheiden. § 44b UrhG verlangt unter anderem rechtmäßigen Zugang zu den Werken und berücksichtigt Nutzungsvorbehalte der Rechtsinhaber. Bei online zugänglichen Werken sind solche Vorbehalte für diese Vorschrift nur in maschinenlesbarer Form wirksam. [7]

Inwieweit ein konkretes Training generativer KI von diesen Bestimmungen gedeckt ist, muss anhand der jeweiligen Nutzung geprüft werden. Eine pauschale Erlaubnis für jede Form des KI-Trainings lässt sich daraus nicht ableiten.

Auch die Ausgabe ist gesondert zu prüfen. Sie kann geschützte Bestandteile fremder Werke enthalten. Umgekehrt setzt eigener urheberrechtlicher Werkschutz eine persönliche geistige Schöpfung nach § 2 Absatz 2 UrhG voraus; Urheber ist nach § 7 UrhG der Schöpfer des Werkes. Bei rein maschinell erzeugten Inhalten fehlt die menschliche Schöpfungsleistung. Bei KI-unterstützten Arbeitsergebnissen hängt der Schutz vom konkreten menschlichen Gestaltungsbeitrag ab. [7]

Besonderheiten bei automatisierten Auszahlungen und Online-Glücksspielen

Drei rechtlich getrennte Verarbeitungsschritte

Ein automatisierter Auszahlungsprozess kann beispielsweise aus mehreren Komponenten bestehen:

• Die Software prüft formal, ob ein Auszahlungsauftrag vollständig ist.
• Ein KI-Modell bewertet Auffälligkeiten oder Betrugsrisiken.
• Nach Freigabe wird ein Zahlungsauftrag ausgeführt.

Diese Schritte sind rechtlich auseinanderzuhalten. Eine automatische Vollständigkeitsprüfung ist etwas anderes als eine folgenreiche Entscheidung, einen Anspruch wegen eines Risikoscores zu verweigern. Auch die Ausführung durch einen Zahlungsdienstleister ist von der vorgelagerten Freigabeentscheidung des Unternehmens zu unterscheiden. [2][4]

Für bestimmte Zahlungsvorgänge enthält § 675s BGB Ausführungsfristen. Deren Anwendungsbereich und Beginn richten sich nach dem Zahlungsdiensterecht, insbesondere auch nach § 675n BGB. Sie bestimmen nicht ohne Weiteres, wann ein Glücksspielanbieter einen Gewinn prüfen und eine Auszahlung freigeben muss. [4]

Eine österreichische Erlaubnis ersetzt keine deutsche Erlaubnis

Eine österreichische oder andere ausländische Glücksspielerlaubnis ersetzt nicht die für das Veranstalten oder Vermitteln öffentlichen Glücksspiels in Deutschland erforderliche Erlaubnis. § 4 Glücksspielstaatsvertrag 2021 enthält den entsprechenden Erlaubnisvorbehalt. Für Online-Angebote gelten je nach Glücksspielart unterschiedliche Voraussetzungen und Beschränkungen. [8]

Die amtliche Whitelist nach § 9 Absatz 8 Glücksspielstaatsvertrag 2021 dient der Überprüfung, welche Veranstalter und Vermittler über die dort erfassten Erlaubnisse verfügen. Maßgeblich ist dabei auch, ob die Erlaubnis das konkrete Angebot abdeckt. [8]

Die Werbung mit einer schnellen Auszahlung sagt nichts Verlässliches über die Legalität eines Angebots aus. Ebenso wenig ist ein professionell gestalteter KI-Kundenservice ein Nachweis behördlicher Zulassung.

Geldwäschekontrollen sind nicht beliebig

Für Glücksspielveranstalter und -vermittler, die nach § 2 Absatz 1 Nummer 15 GwG zu den Verpflichteten gehören, gelten insbesondere die allgemeinen Sorgfaltspflichten nach § 10 GwG. Der Verpflichtetenkreis enthält gesetzliche Ausnahmen. Zu den Pflichten gehören unter den gesetzlichen Voraussetzungen Identifizierung und laufende Überwachung der Geschäftsbeziehung. [9]

Kann ein Verpflichteter die in § 10 Absatz 9 GwG bezeichneten Sorgfaltspflichten nicht erfüllen, gelten grundsätzlich Einschränkungen für die Begründung oder Fortsetzung der Geschäftsbeziehung und für die Durchführung von Transaktionen. [9]

Eine KI kann bei diesen Prüfungen unterstützen; ihre Einschaltung entbindet den Verpflichteten nicht von seinen gesetzlichen Pflichten. Zugleich begründet der allgemeine Hinweis auf Geldwäscheprävention kein zeitlich unbegrenztes Zurückbehaltungsrecht für jede Auszahlung. Entscheidend ist der konkrete gesetzliche oder vertragliche Hinderungsgrund. [4][9]

Für Transaktionen, wegen derer eine Verdachtsmeldung abgegeben wurde, gelten besondere Regeln nach § 46 GwG. Informationsverbote nach § 47 GwG können begrenzen, was einem Kunden mitgeteilt werden darf. Eine knappe Auskunft ist daher nicht automatisch rechtswidrig; sie belegt aber auch nicht, dass tatsächlich ein gesetzlicher Hinderungsgrund besteht. [9]

Eine allgemeine gesetzliche Garantie „sofortiger KI-Auszahlungen“ besteht nicht. Ob ein Anspruch besteht, fällig und durchsetzbar ist, hängt insbesondere von den vertraglichen Vereinbarungen, ihrer Wirksamkeit, den gesetzlichen Regeln für Spielverträge und möglichen Auszahlungshindernissen ab. [4][8][9]

Ablauf, Belege, Fristen und Kosten

Was Unternehmen vor der Einführung klären sollten

Ein rechtlich belastbarer Einführungsprozess beginnt mit einer konkreten Systembeschreibung. Darauf aufbauend sollten Unternehmen:

• Verwendungszweck, Rollen und gegebenenfalls Risikoeinstufung dokumentieren;
• Rechtsgrundlagen und Datenflüsse einschließlich möglicher Trainingsnutzung prüfen;
• erforderliche Folgenabschätzungen und Beteiligungsverfahren durchführen;
• Zuständigkeiten für Freigabe, Kontrolle und Beschwerden festlegen;
• erforderliche menschliche Überprüfung mit tatsächlicher Entscheidungskompetenz ermöglichen;
• gesetzlich gebotene Aufzeichnungen sowie relevante Vorfälle und Änderungen dokumentieren.

Welche Maßnahmen verpflichtend sind, hängt vom System und vom jeweiligen Regelungsbereich ab. Protokollierung rechtfertigt keine unbegrenzte Speicherung personenbezogener Daten. Speicherdauer und Zugriffsrechte müssen insbesondere mit Zweckbindung, Datenminimierung und Datensicherheit vereinbar sein. [1][2][5]

Welche Belege Betroffene sichern sollten

Bei einer fehlerhaften Entscheidung oder blockierten Auszahlung sind insbesondere Vertragsunterlagen, die maßgebliche Fassung der Geschäftsbedingungen, Transaktionsnachweise, Nachrichten, Fehlermeldungen und Zeitpunkte hilfreich.

Betroffene können eine nachvollziehbare Begründung und eine menschliche Überprüfung anfordern. Ob darauf ein durchsetzbarer Anspruch besteht, hängt von der jeweiligen Rechtsgrundlage ab. Artikel 22 Absatz 3 DSGVO gewährt die dort genannten Überprüfungsrechte nur in seinem Anwendungsbereich. [2]

Artikel 15 DSGVO vermittelt Auskunft über personenbezogene Daten und unter den dort genannten Voraussetzungen aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und angestrebten Auswirkungen automatisierter Entscheidungen. Ein pauschaler Anspruch auf vollständige Offenlegung des Quellcodes folgt daraus nicht. [2]

Über Maßnahmen auf einen Antrag nach Artikeln 15 bis 22 DSGVO muss der Verantwortliche nach Artikel 12 Absatz 3 DSGVO unverzüglich, spätestens innerhalb eines Monats nach Eingang informieren. Soweit dies unter Berücksichtigung der Komplexität und Anzahl der Anträge erforderlich ist, kann die Frist um zwei weitere Monate verlängert werden. Über die Verlängerung und ihre Gründe ist innerhalb des ersten Monats zu informieren. Wird der Verantwortliche nicht tätig, gelten die Mitteilungspflichten des Artikels 12 Absatz 4 DSGVO. [2]

Zahlungsansprüche und besondere Ausschlussfristen

Ist eine Geldforderung fällig, kann eine Mahnung für den Verzug nach § 286 BGB erforderlich sein; die gesetzlichen Ausnahmen und weiteren Voraussetzungen bleiben zu beachten. Eine selbst gesetzte Zahlungsfrist schafft keinen Anspruch, der materiell-rechtlich nicht besteht. [4]

Die regelmäßige Verjährungsfrist beträgt nach § 195 BGB drei Jahre. Ihr Beginn richtet sich grundsätzlich nach § 199 BGB, insbesondere nach Anspruchsentstehung und Kenntnis beziehungsweise grob fahrlässiger Unkenntnis der maßgeblichen Umstände. Eine bloße Beschwerde oder Zahlungsaufforderung hemmt die Verjährung regelmäßig nicht. Verhandlungen oder bestimmte Rechtsverfolgungsmaßnahmen können dagegen unter den Voraussetzungen der §§ 203 und 204 BGB eine Hemmung bewirken. [4]

Bei Benachteiligungen im Bewerbungs- oder Arbeitsverhältnis sind kurze Fristen zu beachten: Ansprüche nach § 15 Absatz 1 und 2 AGG müssen gemäß § 15 Absatz 4 AGG grundsätzlich innerhalb von zwei Monaten schriftlich geltend gemacht werden, sofern Tarifvertragsparteien nichts anderes vereinbart haben. Der Fristbeginn hängt vom Benachteiligungsfall ab. Eine Klage auf Entschädigung nach § 15 AGG muss gemäß § 61b Absatz 1 ArbGG innerhalb von drei Monaten nach der schriftlichen Geltendmachung erhoben werden. [6][14]

Kosten und Durchsetzungsrisiken

Bei der Planung eines KI-Einsatzes sind neben Lizenzkosten auch Aufwendungen für Schulung, Datenschutzprüfung, technische Absicherung und laufende Kontrolle zu berücksichtigen. Der konkrete Aufwand hängt vom System und seinem Einsatzbereich ab.

Bei gerichtlichen Streitigkeiten richten sich Gerichts- und gesetzliche Anwaltsgebühren häufig nach dem Streitwert. Maßgeblich sind insbesondere das GKG und das RVG. Anwaltliche Vergütungsvereinbarungen sind innerhalb der gesetzlichen Grenzen möglich. [12][13]

Im gewöhnlichen Zivilprozess trägt nach § 91 ZPO grundsätzlich die unterliegende Partei die notwendigen Kosten des Rechtsstreits. Bei teilweisem Unterliegen gelten insbesondere die Regeln des § 92 ZPO. Eine wichtige Ausnahme besteht im arbeitsgerichtlichen Urteilsverfahren erster Instanz: Nach § 12a Absatz 1 ArbGG besteht grundsätzlich kein Anspruch auf Erstattung der Kosten für einen Prozessbevollmächtigten. [11][14]

Eine Datenschutzbeschwerde nach Artikel 77 DSGVO ermöglicht die Befassung der zuständigen Aufsichtsbehörde. Sie ersetzt jedoch nicht die zivilrechtliche Durchsetzung einer Auszahlung oder eines Schadensersatzanspruchs. [2]

Häufige Fragen

Braucht jedes Unternehmen eine Genehmigung für den Einsatz von KI?

Nein. Eine allgemeine behördliche Genehmigungspflicht für jede KI-Anwendung besteht nicht. Je nach System und Branche können jedoch Verbote, Konformitätsanforderungen, Erlaubnisvorbehalte und weitere Pflichten eingreifen. Bei Online-Glücksspielen betrifft die erforderliche Erlaubnis insbesondere das Glücksspielangebot selbst. [1][8]

Muss jede KI-Entscheidung von einem Menschen bestätigt werden?

Nein. Eine allgemeine Pflicht zur menschlichen Bestätigung jedes Ergebnisses besteht nicht. Besondere Anforderungen ergeben sich unter anderem aus Artikel 22 DSGVO und den Vorschriften über menschliche Aufsicht bei Hochrisiko-KI-Systemen. Diese verlangen nicht pauschal die Bestätigung jeder einzelnen Ausgabe. Wo eine eigenständige menschliche Entscheidung erforderlich ist, genügt eine rein formale Bestätigung nicht. [1][2][10]

Darf ein Unternehmen Kundendaten in einen öffentlichen KI-Dienst eingeben?

Bei personenbezogenen Kundendaten müssen insbesondere Rechtsgrundlage, Zweck, Datenminimierung, Empfängerrolle, Sicherheitsmaßnahmen und mögliche Drittlandübermittlungen geprüft werden. Eine betriebliche Nutzungserlaubnis ersetzt diese Prüfung nicht. Zusätzlich können vertragliche Vertraulichkeitspflichten entgegenstehen. [2][4]

Darf ein Anbieter eine Auszahlung wegen eines KI-Betrugsalarms stoppen?

Ein Warnsignal kann Anlass für eine weitere Prüfung sein. Ob eine Auszahlung zurückgehalten werden darf, hängt jedoch vom Vertrag und den gesetzlichen Voraussetzungen ab. Ein KI-Score allein schafft keine eigenständige Rechtsgrundlage für eine dauerhafte Zahlungsverweigerung. Besondere geldwäscherechtliche Hindernisse und die Anforderungen des Artikels 22 DSGVO können hinzukommen. [2][4][9]

Habe ich Anspruch auf eine Erklärung eines automatisierten Ergebnisses?

Unter den Voraussetzungen der DSGVO bestehen Informations- und Auskunftsrechte, insbesondere zu relevanten automatisierten Entscheidungen. Verlangt werden können aussagekräftige Informationen, nicht pauschal sämtliche technischen Einzelheiten oder der vollständige Quellcode. Vertragliche Auskunfts- oder Erläuterungspflichten können je nach Rechtsverhältnis ergänzend Bedeutung gewinnen. [2][4]

Ist ein österreichisches Online-Casino für Personen in Deutschland automatisch legal?

Nein. Eine österreichische Erlaubnis ersetzt nicht die nach deutschem Glücksspielrecht erforderliche Erlaubnis. Maßgeblich sind das konkrete Angebot und die hierfür erforderliche Zulassung, nicht die behauptete Auszahlungsgeschwindigkeit. [8]

Zusammenfassung

Der Einsatz künstlicher Intelligenz ist in Deutschland grundsätzlich möglich, muss aber funktions- und risikobezogen geprüft werden. Maßgeblich sind insbesondere der Verwendungszweck, die Datenverarbeitung und die Folgen für betroffene Menschen. Die KI-Verordnung ergänzt Datenschutz, Vertragsrecht und besondere Branchenvorschriften; sie verdrängt diese nicht.

Besondere Anforderungen können entstehen, wenn KI über Bewerbungen, Vertragszugang oder Auszahlungen mitentscheidet. Unternehmen müssen ihre jeweiligen Pflichten bestimmen und erforderliche Zuständigkeiten, Dokumentation und Überprüfungsmöglichkeiten sicherstellen. Für Betroffene sind gesicherte Unterlagen, gezielte Auskunftsverlangen und die Beachtung von Fristen wesentlich. Technische Geschwindigkeit ersetzt weder Rechtmäßigkeit noch überprüfbare Verantwortung.