Rechtssicherheit im digitalen Unternehmen: Verträge, Daten und KI im Griff

Der Vertrieb schickt Angebote über ein Signaturtool, die Personalabteilung verschickt Arbeitsverträge als PDF, im Marketing entstehen Texte mit einem KI-Werkzeug und die Kundendaten liegen in einer Cloud, deren Serverstandort niemand genau benennen kann. Jeder einzelne Schritt war sinnvoll. Zusammen ergeben sie eine Struktur, die noch nie jemand rechtlich geprüft hat.

Auffällig wird das meist von außen. Ein Kunde verlangt vor Vertragsschluss Nachweise zum Datenschutz, ein Auftraggeber fragt nach dem Umgang mit KI, oder ein Mitarbeiter bestreitet eine Vereinbarung, weil die Unterschrift nur ein Bild in einer PDF-Datei war. Digitale Rechtssicherheit entscheidet damit nicht nur über Risiken, sondern über Aufträge.

clience.legal ist eine digitale Wirtschaftskanzlei für Unternehmerinnen und Unternehmer. Wir arbeiten selbst digital und kennen die Reibungspunkte zwischen technischer Umsetzung und rechtlicher Anforderung aus der Praxis. Dieser Beitrag führt die drei Felder digitaler Rechtssicherheit zusammen und beginnt mit einer Selbsteinschätzung, mit der Sie in wenigen Minuten erkennen, wo bei Ihnen die größten Lücken liegen.

Das Wichtigste im Überblick

• Drei Felder, ein Zusammenhang: Verträge, Daten und KI hängen zusammen, weil dieselben Prozesse betroffen sind. Wer sie getrennt bearbeitet, schließt Lücken doppelt und übersieht andere.
• Form vor Inhalt: Seit dem Bürokratieentlastungsgesetz IV genügt in vielen Fällen die Textform. In wichtigen Ausnahmen bleibt die eigenhändige Unterschrift zwingend, und ein Formfehler macht die Vereinbarung unwirksam.
• Beweisbarkeit schlägt Signaturtechnik: Entscheidend ist im Streitfall selten die Signaturart, sondern ob Sie Zugang und Inhalt belegen können.
• Datenschutz scheitert an Alltagsprozessen: Nicht die große Datenpanne führt zu Problemen, sondern unbeantwortete Betroffenenanfragen, fehlende Verzeichnisse und Auftragsverarbeitungsverträge.
• KI-Regeln gelten bereits: Transparenzpflichten und die Durchsetzung der KI-Verordnung greifen seit dem 2. August 2026. Die Pflichten für Hochrisiko-Systeme wurden auf Dezember 2027 verschoben.
• Nachweise sind Vertriebsargument: In Ausschreibungen und bei Großkunden entscheidet die vorhandene Dokumentation darüber, ob Sie überhaupt angeboten werden.

Selbstcheck: Wo stehen Sie?

Gehen Sie die folgenden zwölf Aussagen durch und zählen Sie, wie oft Sie zustimmen können. Beantworten Sie ehrlich, nicht wie es sein sollte.

Verträge

• Wir wissen, welche unserer Vereinbarungen digital geschlossen werden dürfen und welche nicht.
• Bei jedem digital versendeten Vertrag können wir den Zugang beim Empfänger belegen.
• Unsere Bedingungen liegen in einer aktuellen Fassung vor und werden nachweisbar einbezogen.
• Laufzeiten und Kündigungsfristen sind zentral erfasst und werden überwacht.

Daten

• Unser Verzeichnis der Verarbeitungstätigkeiten ist aktuell und bildet die tatsächlich genutzten Systeme ab.
• Für alle externen Dienstleister mit Datenzugriff liegen Auftragsverarbeitungsverträge vor.
• Eine Betroffenenanfrage könnten wir innerhalb eines Monats vollständig beantworten.
• Für einen Sicherheitsvorfall existiert ein Ablaufplan mit benannten Verantwortlichen.

Künstliche Intelligenz

• Wir wissen, welche KI-Werkzeuge im Unternehmen tatsächlich genutzt werden.
• Es ist geregelt, welche Daten in diese Werkzeuge eingegeben werden dürfen.
• Ergebnisse werden vor der Verwendung geprüft, und diese Prüfung ist jemandem zugewiesen.
• Wir können Kunden auf Nachfrage erklären, wie und wo wir KI einsetzen.

Neun bis zwölf Zustimmungen sprechen für eine solide Grundlage, hier geht es um Feinschliff. Fünf bis acht bedeuten, dass einzelne Felder tragen und andere ungeregelt sind, meist ist die KI-Nutzung das schwächste. Unter fünf Zustimmungen sollten Sie das Thema priorisieren, bevor der erste Anlassfall die Prüfung erzwingt.

Warum die drei Felder zusammengehören

Verträge, Daten und KI wirken auf den ersten Blick wie getrennte Themen mit getrennten Zuständigkeiten. In der Praxis treffen sie sich an derselben Stelle, nämlich in den Abläufen des Tagesgeschäfts. Ein Angebot enthält Kundendaten, wird über ein externes Werkzeug versendet, möglicherweise mit KI-Unterstützung formuliert und anschließend digital signiert und abgelegt. Vier Rechtsfragen, ein Vorgang.

Daraus folgt eine praktische Konsequenz. Wer das Thema nach Rechtsgebieten sortiert, arbeitet an Dokumenten. Wer es nach Prozessen sortiert, arbeitet an der Realität des Unternehmens und erkennt Lücken, die in keiner Checkliste stehen. Aus unserer Erfahrung liegen die teuersten Punkte fast immer an den Übergängen: dort, wo eine Abteilung ein Werkzeug eingeführt hat, das eine andere Abteilung nicht kennt.

Feld 1: Verträge digital schließen

Welche Form wann gilt

Das Bürgerliche Gesetzbuch kennt drei Stufen. Die Schriftform nach § 126 BGB verlangt die eigenhändige Unterschrift auf einer Urkunde. Die elektronische Form nach § 126a BGB kann sie ersetzen, allerdings nur mit einer qualifizierten elektronischen Signatur, die auf einem Zertifikat beruht und mit einer sicheren Signaturerstellungseinheit erzeugt wird. Die Textform nach § 126b BGB verlangt lediglich eine lesbare Erklärung auf einem dauerhaften Datenträger, in der die erklärende Person genannt ist. Eine E-Mail genügt.

Die meisten Verträge im Geschäftsverkehr sind formfrei. Sie kommen auch mündlich oder durch schlüssiges Verhalten zustande. Die Frage nach der Signatur ist deshalb häufig keine Wirksamkeitsfrage, sondern eine Beweisfrage.

Wo die eigenhändige Unterschrift Pflicht bleibt

Seit dem Bürokratieentlastungsgesetz IV zum 1. Januar 2025 genügt für den Nachweis der wesentlichen Arbeitsbedingungen die Textform. Einige Ausnahmen sind geblieben, und ein Formfehler führt dort zur Unwirksamkeit.

• Kündigung des Arbeitsverhältnisses: § 623 BGB verlangt Schriftform und schließt die elektronische Form ausdrücklich aus.
• Befristungsabreden: § 14 Abs. 4 TzBfG verlangt Schriftform. Zulässig ist alternativ die elektronische Form mit qualifizierter Signatur. Bei der Befristung auf die Regelaltersgrenze genügt inzwischen die Textform.
• Nachvertragliche Wettbewerbsverbote: Nach §§ 74 ff. HGB schriftformbedürftig.
• Bürgschaftserklärungen: § 766 BGB schließt die elektronische Form aus.

Prüfen Sie außerdem Ihre eigenen Musterverträge auf Schriftformklauseln. Wer vereinbart hat, dass Änderungen der Schriftform bedürfen, kann sich später nicht auf eine per E-Mail geschlossene Anpassung berufen. Welche Klauseln hier häufig Probleme machen, zeigen wir bei den wichtigsten Klauseln in Verträgen.

Ein zweiter Punkt betrifft die Einbeziehung eigener Bedingungen. Im digitalen Bestellprozess reicht ein Link im Fußbereich der Seite häufig nicht aus. Die Bedingungen müssen vor Vertragsschluss zumutbar abrufbar sein, und der Kunde muss die Möglichkeit haben, sie zu speichern. Bei Verträgen mit Verbrauchern kommen die Informationspflichten und die korrekte Gestaltung der Bestellschaltfläche hinzu. Ein Fehler an dieser Stelle wirkt sich auf jeden einzelnen Vertragsschluss aus und nicht nur auf einen Fall.

Beweisbarkeit im Streitfall

Ein eingescanntes Unterschriftsbild in einer PDF-Datei erfüllt weder die Schriftform noch schafft es Beweiskraft. Wird der Vertragsschluss bestritten, müssen Sie darlegen, wer wann was erklärt hat und dass die Erklärung zugegangen ist. Praktikabel sind drei Maßnahmen: ein Signaturdienst, der den Ablauf protokolliert, eine Empfangsbestätigung im Standardprozess und eine revisionssichere Ablage. Vertiefend dazu unser Beitrag zu elektronische Unterschriften und ihre rechtlichen Anforderungen.

Feld 2: Daten im Griff behalten

Datenschutz wird in vielen Unternehmen als einmaliges Projekt behandelt. Erstellt wurden Datenschutzerklärung, Verzeichnis und ein paar Verträge, danach hat sich die Systemlandschaft weiterentwickelt und die Dokumentation nicht. Genau diese Lücke fällt bei Prüfungen und Kundenanfragen zuerst auf.

Vier Punkte tragen den größten Teil der praktischen Anforderungen. Erstens ein Verzeichnis der Verarbeitungstätigkeiten, das die tatsächlich genutzten Systeme abbildet, einschließlich der Werkzeuge, die einzelne Abteilungen eigenständig eingeführt haben. Zweitens Auftragsverarbeitungsverträge mit allen Dienstleistern, die Zugriff auf personenbezogene Daten haben, vom Cloudanbieter bis zur Agentur. Drittens ein Ablauf für Betroffenenanfragen, die grundsätzlich innerhalb eines Monats zu beantworten sind. Viertens ein Meldeplan für Sicherheitsvorfälle, denn die Meldefrist von 72 Stunden lässt keinen Raum für Abstimmungsrunden.

Der Bußgeldrahmen der Datenschutz-Grundverordnung reicht bis zu zwanzig Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes. Für mittelständische Unternehmen ist der wirtschaftlich relevantere Punkt aber ein anderer: Große Auftraggeber prüfen den Datenschutz ihrer Lieferanten inzwischen routinemäßig. Wer die Unterlagen nicht kurzfristig liefern kann, verliert die Ausschreibung. Wie sich das im Unternehmen organisieren lässt, beschreiben wir unter Datenschutz und Compliance im Unternehmen.

Feld 3: Künstliche Intelligenz im Betrieb

KI-Werkzeuge sind in den meisten Unternehmen längst im Einsatz, häufig ohne Freigabe und ohne Regeln. Aus rechtlicher Sicht entstehen daraus vier Fragen, die sich sauber trennen lassen.

• Welche Daten dürfen hinein? Werden personenbezogene Daten oder Geschäftsgeheimnisse in externe Systeme eingegeben, braucht es eine Rechtsgrundlage und einen Vertrag mit dem Anbieter. Ohne beides ist schon die Eingabe der Fehler.
• Wem gehört das Ergebnis? Rein maschinell erzeugte Inhalte sind urheberrechtlich in der Regel nicht geschützt. Wer daran Rechte an Dritte einräumen will, muss wissen, welchen Anteil menschliche Gestaltung hatte.
• Wer haftet für Fehler? Die Verantwortung bleibt bei dem Unternehmen, das das Ergebnis verwendet. Ein fehlerhafter Vertragstext, eine falsche Auskunft oder eine Rechtsverletzung in einem generierten Bild werden nicht dem Werkzeug zugerechnet.
• Was muss offengelegt werden? Die Transparenzpflichten der KI-Verordnung verlangen unter anderem, dass Nutzer erkennen können, wenn sie mit einem KI-System interagieren oder Inhalte künstlich erzeugt wurden.

Zum Stand der Regulierung: Der Digital Omnibus wurde Ende Juli 2026 im Amtsblatt veröffentlicht und ist in Kraft. Die Transparenzpflichten sowie Durchsetzung und Sanktionen greifen seit dem 2. August 2026. Die umfangreichen Pflichten für Hochrisiko-Systeme nach Anhang III wurden auf den 2. Dezember 2027 verschoben, für in regulierte Produkte eingebettete Systeme auf den 2. August 2028. Für die meisten mittelständischen Anwender bedeutet das Entlastung bei der Dokumentation, aber keine Pause: Die Bestandsaufnahme der eingesetzten Systeme und ihre Einordnung bleiben die Grundlage für alles Weitere. Wir begleiten das beim rechtlich sicheren Einsatz von KI und ordnen die Haftungsfragen unter Haftung, Urheberrecht und Datenschutz bei der Nutzung von KI ein.

Praktisch reicht für den Anfang eine einseitige Nutzungsrichtlinie: eine Liste freigegebener Werkzeuge, klare Regeln zu zulässigen Eingaben, eine benannte Prüfpflicht vor Verwendung und eine Aussage zur Kennzeichnung gegenüber Kunden. Warum Verträge trotzdem nicht aus dem Werkzeug kommen sollten, erläutern wir unter warum Verträge nicht mit KI-Tools wie ChatGPT entstehen sollten, und die datenschutzrechtliche Seite behandeln wir unter KI und Datenschutz.

Was Kunden und Auftraggeber inzwischen abfragen

Die stärkste Triebfeder für digitale Rechtssicherheit ist längst nicht mehr die Aufsichtsbehörde, sondern der Einkauf großer Kunden. Wer als Lieferant gelistet werden will, bekommt Fragebögen, die sich in den vergangenen zwei Jahren spürbar verändert haben.

• Nachweise zum Datenschutz, häufig einschließlich Verarbeitungsverzeichnis und technischer Maßnahmen.
• Angaben zu Unterauftragnehmern und zum Verarbeitungsort von Daten.
• Auskunft darüber, ob und wie KI in der Leistungserbringung eingesetzt wird.
• Regelungen zur Informationssicherheit und zum Umgang mit Sicherheitsvorfällen.
• Erklärungen zu Compliance und Hinweisgeberschutz.

Diese Anforderungen werden vertraglich weitergegeben, unabhängig davon, ob das Gesetz Ihr Unternehmen unmittelbar verpflichtet. Wer die Unterlagen vorhält, kann kurzfristig anbieten. Wer sie erst erstellen muss, verliert Zeit und im Zweifel den Auftrag. Damit wird aus einem Pflichtthema ein Vertriebsargument, und genau so sollte es intern auch begründet werden.

Die drei Felder zusammenführen

Der häufigste Fehler besteht darin, jedes Feld einzeln zu bearbeiten. Datenschutz landet bei der IT, Verträge bei der Geschäftsführung, KI bei niemandem. Dabei betreffen alle drei dieselben Prozesse: Ein Angebot wird erstellt, verschickt, unterschrieben, abgelegt und ausgewertet. An jeder Station stellen sich Fragen aus mehreren Feldern gleichzeitig.

Sinnvoller ist der Blick entlang der Prozesse. Nehmen Sie Ihre drei wichtigsten Abläufe, etwa Angebotserstellung, Einstellung und Kundenbetreuung, und gehen Sie sie einmal durch. Notieren Sie an jeder Station, welche Daten fließen, welche Erklärung abgegeben wird, welche Form gilt und ob KI beteiligt ist. Aus dieser Übersicht ergibt sich die Prioritätenliste fast von selbst. Die Umsetzung gehört anschließend in feste Zuständigkeiten, wie wir es in der Erstellung von Verträgen und AGB und der laufenden Betreuung als externe Rechtsabteilung machen.

FAQs