Weitergabe an Endkunden, und wann Sie dadurch selbst Anbieter werden

Wo die Grenze zwischen Weiterverweis und eigener Marke verläuft

Rollenwechsel

Für einen IT-Dienstleister, der einen Avatar bei seinen Kunden ausrollt, hängt fast alles an einer Unterscheidung, die auf den ersten Blick nach Marketing klingt und in Wahrheit über Pflichten entscheidet. Verweisen Sie Ihre Endkunden auf unsere Oberfläche, oder betreiben Sie den Avatar unter Ihrem Namen? Zwischen diesen beiden Modellen verläuft die Grenze zwischen Betreiber und Anbieter im Sinne der KI-Verordnung, und mit ihr verschiebt sich, wer welche Transparenzpflicht schuldet und wer im Zweifel dafür einsteht.

Artikel 3 Nummer 3 der Verordnung definiert den Anbieter als jemanden, der ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Handelsmarke in Verkehr bringt oder unter eigenem Namen in Betrieb nimmt, entgeltlich oder unentgeltlich. Nummer 4 definiert den Betreiber als jemanden, der ein System in eigener Verantwortung verwendet. Händler und Einführer aus den Nummern 6 und 7 spielen hier keine Rolle, weil ein cloudbasierter Dienst nicht als Ware eingeführt oder vertrieben wird.

Was die Kommissionsleitlinien dazu sagen

Die Leitlinien zur Anwendung von Artikel 50, veröffentlicht im Juli 2026 als C(2026) 5054, sind an dieser Stelle ungewöhnlich konkret. Unter Ziffer 10 halten sie fest, dass sich die Anbieterdefinition für Artikel 50 aus Artikel 3 Nummer 3 ergibt. Unter Ziffer 11 folgt ein Beispielkasten, der den Weitergabefall beschreibt, ohne ihn so zu nennen: Nimmt ein Unternehmen ein bereits in Verkehr gebrachtes generatives System eines anderen Anbieters, verändert es, etwa mit neuen Trainingsdaten, und nimmt es danach unter eigenem Namen in Betrieb, dann wird dieses Unternehmen Anbieter des neuen Systems, ohne dass die Verantwortung des ursprünglichen Anbieters entfällt.

Im selben Kasten steht die Gegenprobe. Wer ein System unverändert in seine Prozesse einbindet und ohne Änderungen oder zusätzliche Komponenten nutzt, bleibt Nutzer und wird nicht Anbieter. Die Grenze verläuft also bei der Veränderung, nicht bei der Vermarktung.

Was das für Ihre beiden Betriebsmodelle bedeutet

Wer seinen Endkunden einen Verweis auf unsere Oberfläche in die Signatur schreibt und ansonsten nichts anfasst, ist Betreiber. Wer pro Mandant eine eigene Wissensbasis anlegt, Eskalationsregeln festlegt, Antwortgrenzen zieht und die Oberfläche in seinen Farben ausliefert, hat das System verändert und unter eigenem Namen in Betrieb genommen. Er ist Anbieter, zusätzlich zu uns.

Zwischen diesen beiden Fällen gibt es ein Feld, das nicht ausjudiziert ist. Wer nur die Wissensbasis befüllt, das Modell aber nicht anfasst, lässt sich mit den Leitlinien nicht sicher einordnen. Diese Unsicherheit gehört benannt und nicht überspielt. Praktisch heißt das, im Zweifel von der Anbieterrolle auszugehen und die Pflichten daran auszurichten, weil der umgekehrte Irrtum teurer ist.

Warum Artikel 25 hier regelmäßig nicht greift

Artikel 25

Wer sich zu diesem Thema einliest, landet fast zwangsläufig bei Artikel 25 der KI-Verordnung. Die Norm trägt die Überschrift zu Verantwortlichkeiten entlang der KI-Wertschöpfungskette und wird häufig so zitiert, als regele sie jeden Fall, in dem ein Dienstleister ein System unter eigenem Namen weitergibt. Das trifft nicht zu, und der Irrtum ist folgenreich, weil eine Argumentation, die Artikel 25 auf einen Service-Desk-Avatar anwendet, angreifbar ist.

Der Wortlaut lässt keinen Spielraum. Absatz 1 beginnt damit, dass Händler, Einführer, Betreiber oder sonstige Dritte in den genannten Fällen „als Anbieter eines Hochrisiko-KI-Systems“ gelten und den Anbieterpflichten nach Artikel 16 unterliegen. Buchstabe a erfasst das Versehen mit eigenem Namen oder eigener Handelsmarke, Buchstabe c die Änderung der Zweckbestimmung, durch die ein System erst zum Hochrisiko-System wird. Alles davon setzt voraus, dass ein Hochrisiko-System im Spiel ist.

Ein Avatar, der Kennwörter zurücksetzt, Konten entsperrt und Erstauskünfte zu Druckertreibern gibt, ist kein Hochrisiko-System nach Artikel 6 in Verbindung mit Anhang III. Er wird eines, wenn Sie ihn in einen der dort aufgeführten Bereiche ziehen, etwa in die Vorauswahl von Bewerbungen, in Entscheidungen über den Zugang zu Bildung oder in eine Bonitätsbewertung. Dieser Fall ist erwähnenswert, aber er ist nicht der Regelfall, und niemand sollte ihn versehentlich herstellen.

Der Unterschied in der letzten Zeile ist der Grund, weshalb diese Unterscheidung nicht akademisch ist. Nach Artikel 25 Absatz 2 gilt der ursprüngliche Anbieter nicht mehr als Anbieter des betreffenden Systems. Über Artikel 3 Nummer 3 bleibt er es, und Sie treten hinzu. Für Ihre Vertragsverhandlung heißt das, dass wir aus der Verantwortung nicht herausfallen, wenn Sie unter eigener Marke ausrollen. Das ist für Sie die bessere Nachricht.

Was Sie als Anbieter zusätzlich schulden

Artikel 50

Artikel 50 gilt seit dem 2. August 2026, festgelegt in Artikel 113 Buchstabe c. Absatz 1 verpflichtet Anbieter, Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, so zu konzipieren und zu entwickeln, dass die betroffenen Personen informiert werden, dass sie mit einem KI-System interagieren. Die einzige Ausnahme greift, wenn das aus Sicht einer angemessen informierten, aufmerksamen und verständigen Person aufgrund der Umstände offensichtlich ist. Absatz 2 verlangt von Anbietern generativer Systeme, die Ausgaben in maschinenlesbarer Form als künstlich erzeugt zu kennzeichnen.

Für die Weitergabekette machen die Kommissionsleitlinien unter Ziffer 11 eine Aussage, die man beim ersten Lesen leicht übersieht. Anbieter müssen die Transparenz in Auslegung und Betrieb des Systems einbetten und dafür sorgen, dass alle betroffenen Personen über den gesamten Lebenszyklus hinweg wirksam und einheitlich informiert werden, unabhängig davon, wer die Betreiber oder sonstigen Nutzer sind. Die Pflicht lässt sich also nicht an den Betreiber durchreichen. Wenn Sie durch die Anpassung selbst Anbieter geworden sind, schulden Sie sie zusätzlich in eigener Person.

Eine Weißmarken-Zusage kann lauten, ohne unsere Marke. Sie kann nicht lauten, ohne erkennbare KI.

Warum der Hinweis nicht abschaltbar sein darf

Die häufigste Bitte im Weitergabegeschäft lautet, den Hinweis auf die KI-Natur aus der Oberfläche zu nehmen, weil er unpersönlich wirke und die Kundenwirkung schwäche. Wir liefern das nicht, und der Grund liegt nicht in unserer Vorsicht. Wer den Hinweis entfernt, verstößt gegen Artikel 50 Absatz 1, sobald er durch die Mandanten-Anpassung Anbieter geworden ist. Wer ihn bei uns bestellt und wir liefern ihn, entfernt ihn aus unserem System und bringt zugleich uns in Schwierigkeiten.

Daraus folgt ein Produktmerkmal, das sich verkaufen lässt. Der Hinweis ist Teil der Auslieferung und nicht konfigurierbar. Wer gegenüber seinen Endkunden erklären muss, warum das so ist, hat mit Artikel 50 Absatz 1 eine Antwort, die keine Diskussion über Geschmack braucht. Was die Verordnung nicht vorschreibt, ist eine bestimmte Formulierung oder Platzierung. Sie regelt das Ob, nicht das Wie, und die Leitlinien geben dazu Empfehlungen, keine Vorgaben.

Der Bußgeldrahmen, und die Zeile für Mittelständler

Artikel 99 Absatz 4 setzt für die dort aufgezählten Verstöße bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes an, je nachdem, welcher Betrag höher ist. Buchstabe g nennt ausdrücklich die Transparenzpflichten für Anbieter und Betreiber nach Artikel 50. Die häufig zitierten 35 Millionen Euro oder 7 Prozent stehen in Absatz 3 und gelten allein für die verbotenen Praktiken nach Artikel 5.

Die Zeile, die in Ihrem Fall wahrscheinlich zählt, steht in Absatz 6. Für kleine und mittlere Unternehmen einschließlich Start-ups gilt jeweils der niedrigere der beiden Beträge. Für einen MSP mit 30 Millionen Euro Umsatz bedeutet das nicht 15 Millionen, sondern 3 Prozent. Das ist die ehrliche Zahl, und sie ist groß genug, um eine Entscheidung zu tragen.

Die Genehmigung kommt von Ihrem Endkunden, nicht von Ihnen

Genehmigungskette

Datenschutzrechtlich entsteht bei der Weitergabe eine Kette mit drei Gliedern, und die Reihenfolge entscheidet über die Pflichten. Nach Artikel 4 Nummer 7 DSGVO ist Verantwortlicher, wer über Zwecke und Mittel der Verarbeitung entscheidet, nach Nummer 8 Auftragsverarbeiter, wer im Auftrag verarbeitet. Die Zuordnung ist funktional, sie folgt der tatsächlichen Rollenverteilung und nicht der Überschrift auf dem Vertrag. Der Europäische Datenschutzausschuss stellt das in den Leitlinien 07/2020 gleich in der Zusammenfassung klar.

Übertragen auf Ihr Geschäft heißt das: Ihr Endkunde ist Verantwortlicher für die Daten seiner Beschäftigten und seiner Kunden. Sie sind sein Auftragsverarbeiter, soweit Sie weisungsgebunden Support leisten. Wir sind dann Unterauftragsverarbeiter, und damit greift Artikel 28 Absatz 2.

Zwei Wege, und was jeder von Ihnen verlangt

Artikel 28 Absatz 2 verlangt eine vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen. Der EDSA beschreibt beide Wege in den Randnummern 152 bis 158. Bei der gesonderten Genehmigung muss der Verantwortliche schriftlich angeben, auf welchen Unterauftragsverarbeiter und welche Tätigkeit sie sich bezieht, spätere Änderungen brauchen eine erneute Genehmigung, und ein Antrag, der innerhalb der gesetzten Frist unbeantwortet bleibt, gilt als abgelehnt.

Bei der allgemeinen Genehmigung steht eine Liste im Vertrag oder in einem Anhang. Sie müssen über jede beabsichtigte Hinzufügung oder Ersetzung rechtzeitig informieren, und das Schweigen des Verantwortlichen innerhalb der Frist gilt als Genehmigung. Nach Randnummer 152 müssen Sie ihm dafür eine Liste potenzieller Unterauftragsverarbeiter mit Standort, künftiger Aufgabe und Nachweis der Sicherheitsmaßnahmen vorlegen.

Der praktische Kern für Ihr Ausrollen ist damit unbequem konkret. Sie brauchen pro Endkunde eine dokumentierte Genehmigung und müssen uns namentlich in Ihrer Unterauftragsverarbeiterliste führen. Ohne ein fertiges Paket von uns, also Standort, Aufgabenbeschreibung, technische und organisatorische Maßnahmen und einen Vertrag, den Sie eins zu eins durchreichen können, kommen Sie nicht saubers ins Rollen. Wo dieses Paket heute noch Lücken hat, sagen wir weiter unten.

Nach Artikel 28 Absatz 4 und den Randnummern 159 und 160 bleiben Sie Ihrem Endkunden gegenüber uneingeschränkt haftbar für die Erfüllung unserer Pflichten und müssen uns vertraglich dieselben Pflichten auferlegen, die Ihnen Ihr Endkunde auferlegt hat. Diese Klausel steht in jedem Auftragsverarbeitungsvertrag und wird selten gelesen. Sie ist der Grund, weshalb die Auswahl des Unterauftragnehmers keine Frage des Einkaufspreises ist.

Wann Sie aus der Auftragsverarbeitung herausfallen

Rollenwechsel DSGVO

Die zweite Falle liegt eine Ebene tiefer und betrifft die Frage, ob Sie überhaupt noch Auftragsverarbeiter sind. Artikel 28 Absatz 10 bestimmt, dass ein Auftragsverarbeiter, der über die Weisungen hinausgeht und eigene Zwecke und Mittel bestimmt, für diese Verarbeitung als Verantwortlicher gilt. Der EDSA formuliert das in Randnummer 81 ausdrücklich und knüpft daran Sanktionsfolgen.

Für Ihr Geschäft ist die Linie sichtbar. Solange Sie ausführen, was Ihr Endkunde weisungsgebunden bestellt, bleiben Sie Auftragsverarbeiter. Sobald Sie die Wissensbasis kuratieren, entscheiden, welche Auskünfte der Avatar überhaupt erteilt, und den Dienst als eigenes Produkt gestalten, verlassen Sie diesen Boden. Das ist bemerkenswert, weil genau dieselbe Handlung, die Sie nach der KI-Verordnung zum Anbieter macht, Sie nach der DSGVO zum Verantwortlichen machen kann.

Die dritte Möglichkeit, die bei Mandantenplattformen naheliegt

Der EDSA behandelt in Randnummer 65 den Fall einer Plattform oder eines standardisierten Werkzeugs, das von einer Partei so eingerichtet wurde, dass andere es nutzen und dabei mitentscheiden können, wie es eingerichtet wird. In der Fußnote dazu heißt es, der Anbieter des Systems könne gemeinsam Verantwortlicher sein, wenn er an der Festlegung von Zwecken und Mitteln beteiligt ist, andernfalls sei er als Auftragsverarbeiter zu betrachten.

Die dogmatische Grundlage liefert der Gerichtshof. In der Rechtssache C-210/16, Wirtschaftsakademie, hält er in den Randnummern 34 und 39 fest, dass gemeinsame Verantwortlichkeit keine gleichrangige Beteiligung voraussetzt, und in C-40/17, Fashion ID, in Randnummer 80, dass sie auch keine gleichartige verlangt. Wer eine Mandantenplattform baut und betreibt, sollte diese Möglichkeit wenigstens geprüft haben, statt sie auszuschließen.

Was in diesem Zusammenhang nicht trägt, ist die verbreitete Auskunft, ein Mehrmandantenbetrieb sei datenschutzrechtlich unkritisch, weil die Mandanten getrennt seien. Mandantentrennung ist eine technische Maßnahme nach Artikel 32. Sie ist wichtig, und sie ist bei uns umgesetzt. Die Rollenfrage beantwortet sie nicht.

Ihr Avatar wird Teil Ihrer NIS-2-Lieferkette

NIS-2

Das Argument, das in diesem Geschäft am seltensten fällt, ist gleichzeitig das mit den härtesten Folgen. Die europäische Cybersicherheitsrichtlinie ist in Deutschland durch das NIS2-Umsetzungsgesetz in nationales Recht überführt, das darin neu gefasste BSI-Gesetz gilt seit dem 6. Dezember 2025. Es führt Managed Services Provider und Managed Security Services Provider in Anlage 1 unter Sektor 6, Digitale Infrastruktur, als Nummern 6.1.10 und 6.1.11.

Legaldefiniert sind beide in Paragraf 2 Nummern 25 und 26. Der Managed Services Provider ist danach ein Anbieter von Diensten im Zusammenhang mit der Installation, der Verwaltung, dem Betrieb oder der Wartung von IKT-Produkten, Netzen, Infrastruktur, Anwendungen oder sonstigen Netz- und Informationssystemen, durch Unterstützung oder aktive Verwaltung in den Räumlichkeiten der Kunden oder aus der Ferne. Wer sein Leistungsverzeichnis daneben legt, weiß in einer Minute, woran er ist.

Ein typischer Mittelstands-MSP mit 60 bis 200 Mitarbeitern ist damit wichtige Einrichtung. Das ist keine Auslegung, das ist Subsumtion. Dazu kommt die Registrierungspflicht nach Paragraf 33 Absatz 1, mit einer Frist von drei Monaten, nachdem eine Einrichtung erstmals als wichtig oder besonders wichtig gilt.

Die Norm, die Ihre Beschaffung betrifft

Die Pflichten stehen in Paragraf 30. Absatz 1 verlangt geeignete, verhältnismäßige und wirksame Maßnahmen und ausdrücklich deren Dokumentation. Absatz 2 Nummer 4 nennt die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern. Nummer 5 ergänzt Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung einschließlich des Umgangs mit Schwachstellen.

Sobald Sie einen KI-Dienst in Ihre Leistungserbringung einbauen, wird dieser Dienst Teil Ihrer Lieferkette im Sinne dieser Norm. Sie brauchen von uns also Unterlagen, mit denen Sie die Pflicht dokumentieren können, und zwar bevor Sie ausrollen und nicht, wenn das Bundesamt fragt.

Geschäftsleitungen, die ihre Pflichten aus Paragraf 30 verletzen, haften ihrer Einrichtung nach Paragraf 38 Absatz 2 für schuldhaft verursachte Schäden nach den gesellschaftsrechtlichen Regeln.

BSI-Gesetz in der seit 6. Dezember 2025 geltenden Fassung

Paragraf 38 Absatz 1 verpflichtet die Geschäftsleitung persönlich zur Umsetzung und Überwachung der Maßnahmen, Absatz 3 verlangt regelmäßige Schulungsteilnahme der Geschäftsleitung selbst. Damit ist die Auswahl eines KI-Unterauftragnehmers keine Beschaffungsfrage mehr. Was wir dazu nicht sagen, weil es nicht stimmt: Unser Produkt macht Sie nicht NIS-2-konform. Konformität ist eine Eigenschaft Ihrer Einrichtung, nicht eines eingekauften Bausteins.

Wer einsteht, wenn der Avatar Unsinn erzählt

Haftung

Bis vor kurzem war die Haftung für fehlerhafte Auskünfte eines Dialogsystems in Deutschland eine Frage für Aufsätze. Seit Mai 2026 gibt es zwei Entscheidungen, und eine davon trifft die Weitergabekette mitten ins Geschäftsmodell.

Das Oberlandesgericht Hamm hat am 12. Mai 2026 unter dem Aktenzeichen 4 UKl 3/25 über ein Unternehmen entschieden, dessen Website-Chatbot eine nicht vorhandene Facharztqualifikation der Geschäftsführer behauptet hatte. Der Senat qualifiziert die Antworten in den Randnummern 69 bis 74 als geschäftliche Handlung des Betreibers nach Paragraf 2 Absatz 1 Nummer 2 UWG und stützt sich dabei auf die Entscheidung des Bundesgerichtshofs zum Vertragsdokumentengenerator, I ZR 113/20. In Randnummer 72 verwirft er das Argument, das System antworte ohne menschliches Zutun und auf von außen nicht nachvollziehbare Weise: Der grundsätzliche Einsatz sei von der Willensentschließung des Unternehmens getragen. Randnummer 78 stellt klar, dass es nicht um Haftung für einen Dritten geht, weil der Chatbot kein Dritter ist.

Für Sie steht der entscheidende Satz in einer Klammer. In Randnummer 72 heißt es, der Einsatz sei von der Willensentschließung der Beklagten und „des in ihrem Auftrag tätigen IT-Dienstleisters (Paragraf 8 Abs. 2 UWG)“ getragen, in Randnummer 95 noch deutlicher, es habe für die Beklagte beziehungsweise ihren bei Programmierung und Inbetriebsetzung eingesetzten Beauftragten, für den sie nach Paragraf 8 Absatz 2 UWG einzustehen hat, auf der Hand liegen müssen, dass der Chatbot auf die naheliegende Frage falsche Antworten erfinden könnte.

Ihr Endkunde steht für Sie ein, Sie stehen für uns ein. In dieser Kette ist niemand ein unbeteiligter Dritter.

Die Sorgfaltspflicht, die daraus folgt

Der Senat formuliert nicht nur eine Zurechnung, sondern eine konkrete Anforderung. Man muss die naheliegenden Fragen antizipieren, bei denen das System erfinden könnte, und sie technisch absichern. Im entschiedenen Fall hatte das Unternehmen genau das nach dem Vorfall mit einer Anweisung an das Modell und einem nachgelagerten Schlüsselwortfilter problemlos geschafft, was der Senat ihm vorhält.

Daraus lässt sich ein Produktmerkmal ableiten, das wir tatsächlich liefern können, nämlich Sperrlisten und Antwortgrenzen pro Mandant. Und ein Vertragsmerkmal, das geklärt werden muss, nämlich wer diese Grenzen pflegt. Wer nach dem Ausrollen feststellt, dass diese Frage offen ist, hat sie zu spät gestellt. Die Revision ist übrigens nach Randnummer 119 zugelassen, die Entscheidung ist nicht rechtskräftig.

Was die zweite Entscheidung sagt und was nicht

Das Landgericht München I hat am 28. Mai 2026 unter 26 O 869/26 in einem einstweiligen Verfügungsverfahren über die Funktion „Übersicht mit KI“ einer Suchmaschine entschieden, die über zwei Unternehmen unwahre Tatsachenbehauptungen ausgab. Die Kammer bejaht die Haftung als unmittelbare Störerin, weil die Zusammenfassung nicht bloß Drittinhalte wiedergibt, sondern eine eigene Zusammenstellung und Wertung vornimmt.

Interessant für uns ist die Zurückweisung des Arguments, die Nutzenden könnten die Angaben über die mitgelieferten Verweise überprüfen und wüssten, dass KI-Ausgaben nicht blind zu vertrauen sei. Die Kammer hält dagegen, dass die Möglichkeit, eine Äußerung durch weitere Recherche zu widerlegen, regelmäßig nicht von der Haftung für sie befreit. Was die Entscheidung nicht sagt, ist, dass ein ausdrücklicher Fehlerhinweis wirkungslos wäre. Darüber hatte die Kammer nicht zu entscheiden, und wer sie so zitiert, überdehnt sie.

Als Illustration, nicht als Beleg für die deutsche Rechtslage, taugt eine kanadische Bagatellentscheidung. In Moffatt gegen Air Canada, 2024 BCCRT 149, hatte die Fluggesellschaft argumentiert, der Chatbot sei eine eigenständige rechtliche Einheit, die für ihr Handeln selbst verantwortlich sei. Die Antwort des Tribunals in Randnummer 27 ist knapp: Der Chatbot habe eine interaktive Komponente, sei aber immer noch nur ein Teil der Website, und es sollte offensichtlich sein, dass Air Canada für alle Informationen auf ihrer Website verantwortlich ist. In Randnummer 28 verwirft das Tribunal auch das Argument, die richtige Auskunft habe an anderer Stelle der Website gestanden. Dasselbe Muster findet sich in der Münchner Entscheidung wieder.

Der Ausstieg gehört in den Vertrag, bevor der Einstieg beginnt

Anbieterwechsel

Kapitel VI der europäischen Datenverordnung regelt den Wechsel zwischen Datenverarbeitungsdiensten und ist seit dem 12. September 2025 anwendbar. Erwägungsgrund 81 nennt Software as a Service ausdrücklich, ein Avatar aus der Cloud fällt also darunter. Drei Fristen entscheiden in der Praxis, und sie stehen alle in Artikel 25 Absatz 2.

Buchstabe a verlangt nicht nur die Übertragung, sondern auch, dass der Anbieter in dieser Zeit angemessen unterstützt, die Kontinuität des Geschäftsbetriebs wahrt, über bekannte Risiken unterrichtet und für ein hohes Sicherheitsniveau sorgt. Absatz 1 verlangt zusätzlich, dass der Vertrag schriftlich und vor Vertragsschluss so bereitgestellt wird, dass der Kunde ihn speichern und wiedergeben kann.

Für die Weitergabekette gilt das zweimal. Sie schulden es Ihrem Endkunden, und wir schulden es Ihnen. Wer eine Kündigungsfrist von drei Monaten oder ein Ausstiegsentgelt im Vertrag stehen hat, hat eine unwirksame Klausel und wird das im Streitfall erfahren.

Die Ausnahme, die in der Beratung übersehen wird

Artikel 31 Absatz 1 nimmt Dienste aus, bei denen die meisten zentralen Funktionen auf die spezifischen Bedürfnisse eines einzelnen Kunden zugeschnitten wurden oder alle Komponenten für die Zwecke eines einzelnen Kunden entwickelt wurden, sofern der Dienst nicht in größerem kommerziellem Maßstab über einen Dienstleistungskatalog angeboten wird. Ausgenommen sind dann Artikel 23 Buchstabe d, Artikel 29 und Artikel 30 Absätze 1 und 3. Nach Absatz 2 gilt das ganze Kapitel nicht für Testversionen.

Ein individuell für Sie gebauter Avatar könnte darunter fallen, ein aus dem Katalog bestellter nicht. Diese Grenze gehört ins Angebot und nicht in den Streitfall, weil davon abhängt, welche Fristen Sie Ihrem Endkunden überhaupt zusagen können.

Mietrecht statt Kaufrecht, und was das für Ihre Kette bedeutet

Vertragsrecht

Wer Mängelrechte für einen Clouddienst über Paragraf 434 BGB argumentiert, argumentiert mit der falschen Norm. Der Bundesgerichtshof hat mit Urteil vom 15. November 2006 unter dem Aktenzeichen XII ZR 120/04 entschieden, dass auf einen Vertrag über Application Service Providing Mietvertragsrecht anzuwenden ist, soweit er auf die entgeltliche Überlassung von Standardsoftware gerichtet ist. Tragend ist nach Randnummer 15, dass die Gewährung der Onlinenutzung für begrenzte Zeit die typische Leistung darstellt und der Mietvertrag keine Besitzverschaffung voraussetzt, sondern Gebrauchsüberlassung genügt.

Das Urteil betrifft ein Vertragsmodell, das damals anders hieß, und wird seit fast zwanzig Jahren als Grundlage für die mietrechtliche Einordnung von Software as a Service herangezogen. Der Bundesgerichtshof ordnet den Vertrag zugleich als zusammengesetzten Vertrag ein, dessen weitere Bestandteile wie Pflege, Aktualisierungen und Datensicherung nach dem jeweils passenden Vertragstyp zu beurteilen sind.

Die Folge für die Weitergabe ist unbequem. Es gilt das mietrechtliche Gewährleistungsregime der Paragrafen 536 und folgende BGB, einschließlich der verschuldensunabhängigen Haftung für anfängliche Mängel nach Paragraf 536a Absatz 1. Diese Kette geben Sie an Ihren Endkunden weiter, und Sie können sie nicht nach oben durchreichen, wenn unser Vertrag sie ausschließt. Wer prüfen will, ob ein Angebot tragfähig ist, liest deshalb zuerst die Haftungsklausel und nicht die Leistungsbeschreibung.

Wenn Sie Finanzkunden bedienen

DORA

Die europäische Verordnung zur digitalen operationalen Resilienz gilt seit dem 17. Januar 2025. Einschlägig ist sie für Sie, soweit Sie Finanzunternehmen im Sinne von Artikel 2 bedienen. Dann sind Sie IKT-Drittdienstleister, und Ihr Kunde muss die Vertragsanforderungen aus Artikel 30 durchsetzen. Absatz 2 enthält den Mindestkatalog für alle Verträge, Absatz 3 den erweiterten Katalog für Verträge, die eine kritische oder wichtige Funktion unterstützen, darunter vollständige Beschreibungen der Dienstleistungsgüte mit präzisen quantitativen und qualitativen Leistungszielen.

Artikel 3 Nummer 22 definiert die kritische oder wichtige Funktion als eine Funktion, deren Ausfall die finanzielle Leistungsfähigkeit eines Finanzunternehmens oder die Solidität oder Fortführung seiner Geschäftstätigkeiten und Dienstleistungen erheblich beeinträchtigen würde, oder deren gestörte Erbringung die fortdauernde Einhaltung der Zulassungsbedingungen gefährdet.

Ob ein Service-Desk-Avatar eine solche Funktion unterstützt, lässt sich nicht allgemein beantworten, und wir lassen es offen, statt es auszuschmücken. Für einen Avatar, der Kennwörter zurücksetzt und Erstauskünfte gibt, spricht wenig dafür. Für einen Avatar, der als einziger Kanal für Störungsmeldungen dient, könnte es anders liegen. Die belastbare Aussage lautet deshalb nicht, unser Avatar sei DORA-konform, sondern: Klären Sie mit dem jeweiligen Kunden, ob die von uns unterstützte Funktion in seinem Register nach Artikel 28 Absatz 3 als kritisch oder wichtig geführt wird. Davon hängt ab, welchen Vertrag wir Ihnen liefern müssen.

Welche Unterlagen Sie von uns bekommen und welche heute fehlen

Unterlagen

Alles, was auf dieser Seite steht, führt auf eine Liste von Unterlagen zu. Ohne sie kann kein Dienstleister den beschriebenen Weg gehen, weil sich Genehmigung, Lieferkettennachweis und Endkunden-Audit nicht mit Zusicherungen führen lassen. Wir benennen deshalb beides, das Vorhandene und das Fehlende.

Die letzte Zeile stand auf der früheren Fassung dieser Seite anders. Dort hieß es an zwei Stellen, die Plattform sei nach ISO 27001 zertifiziert. Das war unbelegt. Es gibt kein Zertifikat einer akkreditierten Stelle, keine Registriernummer und keinen Geltungsbereich, und unsere eigene Transparenzseite verpflichtet uns darauf, Zertifizierungen nur zu nennen, wenn sie vorliegen. Auf einer Seite für Dienstleister ist diese Behauptung besonders heikel, weil Sie sie an Ihre Endkunden weitergeben und dafür einstehen müssen.

Was Protokollierung leistet und was sie nicht leistet

Die frühere Fassung versprach vollständige Protokolle und keine Blackbox. Beides ist gestrichen. Was zutrifft: Jede Interaktion wird protokolliert, so dass Zeitpunkt, Frage, Antwort und die herangezogene Wissensquelle im Nachhinein rekonstruierbar sind. Das ist etwas anderes als Nachvollziehbarkeit der Modellentscheidung.

Diese Unterscheidung ist keine Wortklauberei. Das OLG Hamm hat in der genannten Entscheidung ausdrücklich festgehalten, dass die Antworten eines Dialogsystems auf eine von außen nicht nachvollziehbare Weise zustande kommen, und daraus gerade keine Entlastung abgeleitet. Ein Protokoll dokumentiert das Ergebnis. Es erklärt nicht, warum das Modell so geantwortet hat. Wer im Audit eines Endkunden das Gegenteil behauptet, wird die Frage ein zweites Mal bekommen.

Belegbar bleibt der Betrieb in Rechenzentren innerhalb der Europäischen Union. Für Ihr Weitergabegeschäft ist dabei eine Nachfrage sinnvoll, die selten gestellt wird: ob damit nur die Datenhaltung gemeint ist oder auch die Modellinferenz. Ihr Endkunde wird genau das wissen wollen, und Sie müssen es ihm beantworten können.

Zur Aufgabenverteilung im Betrieb sagt diese Seite bewusst etwas anderes als die frühere Fassung. Der Avatar gibt Auskunft und führt definierte, umkehrbare Aktionen aus. Entscheidungen mit Wirkung auf Rechte oder Verträge bleiben beim Menschen. Das ist wichtiger, als es klingt, weil ein Zurücksetzen des Kennworts im Verzeichnis Ihres Endkunden ein schreibender Zugriff ist und die datenschutzrechtliche wie die aufsichtsrechtliche Bewertung verschiebt. Die frühere Fassung behandelte das als Funktionsmerkmal.

Was auf dieser Seite gestrichen ist

Streichungen

Diese Seite trug in ihrer früheren Fassung neun Zahlen. Keine davon hat die Prüfung überstanden, und der Grund ist bei allen derselbe. Sie stammen aus einem einzigen Blogbeitrag eines Weiterbildungsanbieters, der im selben Text seine eigene Weiterbildung bewirbt, seine Werte ausdrücklich als Erfahrungswerte bezeichnet und selbst offenlegt, nicht neutral zu sein. Eine Methode, eine Stichprobe oder einen Erhebungszeitraum nennt er nicht.

Besonders unangenehm ist der Satz, mit dem die frühere Fassung diese Zahlen einführte. Sie kämen aus realen Umsetzungen und nicht aus Marketingprospekten, hieß es, und die vollständigen Studien stelle man im Strategiegespräch bereit. Beides trifft nicht zu. Es gibt keine Studien, die man aushändigen könnte, und die vier weiteren genannten Quellen waren Domainnamen ohne Dokument, ohne Titel und ohne Datum.

• 75 Stunden monatlich bei 1.000 Tickets. Keine Messung, sondern eine Rechnung aus einem selbsterklärten Erfahrungswert von 30 Prozent. Aus „lassen sich schneller bearbeiten“ war unterwegs „werden frei“ und schließlich „kosten“ geworden.
• 22 Minuten Durchschnitts-Bearbeitungszeit. Das war der Vorher-Wert eines einzelnen Systemhauses mit 14 Mitarbeitern, im Bestand zum Branchendurchschnitt umgedeutet. Dieselbe Quelle nennt an anderer Stelle 15 Minuten.
• 22 auf 14 Minuten, Angebotsquote 40 auf 85 Prozent. Selbstauskunft desselben Betriebs nach drei Monaten, im Bestand als Praxisbelege im Plural geführt.
• 90 auf 7 Minuten je Dokumentationseintrag, minus 92 Prozent, 27 Stunden monatlich. Dieselbe Veröffentlichung nennt in ihrer Tabelle 12 Minuten statt 7. Eine Quelle, die sich um den Faktor knapp zwei widerspricht, trägt keine Prozentzahl mit zwei Stellen.
• Drei Stunden auf 45 Minuten bei der Angebotserstellung. Im Fließtext derselben Quelle steht ein halber Tag auf 90 Minuten.
• Minus 33 Prozent Notfalleinsätze bei einem mittleren Dienstleister in Nürnberg. Die Quelle schreibt, der Betrieb berichte von etwa einem Drittel. Aus einem Bericht war eine Messung geworden, und die Ortsangabe ließ eine fremde Anekdote wie eine eigene Referenz aussehen.
• ISO 27001 zertifizierte Plattform, an zwei Stellen. Kein Zertifikat, keine Stelle, keine Nummer.
• Vollständige Protokolle und keine Blackbox. Absolutaussagen ohne öffentlich abrufbare Grundlage, ersetzt durch die Beschreibung dessen, was Protokollierung tatsächlich leistet.
• Onboarding-Dauer sinkt von Tagen auf Stunden, die Fehlerquote reduziert sich messbar, die Servicequalität bleibt nachts identisch zur Tagschicht. Wirkungszusagen ohne Ausgangsmessung und ohne Qualitätsmaß.

Eine Formulierung ist geblieben und wurde umgebaut. Am Seitenende stand ein Hinweis, Texte und Bilder seien teilweise mit Hilfe künstlicher Intelligenz erstellt, und zwar „gemäß EU AI Act Art. 50“. Der Hinweis ist sinnvoll, die Begründung war schief. Artikel 50 Absatz 2 richtet sich an Anbieter von Systemen, die synthetische Inhalte erzeugen, Absatz 4 an Betreiber und betrifft Deepfakes sowie Texte zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse. Ein Text auf einer Unternehmensseite ist regelmäßig keines von beidem. Er steht jetzt als freiwilliger Hinweis dort, und das Normzitat steht an der Stelle, an der es um den Avatar geht.

Wie ein solches Vorhaben anfängt

Vorgehen

Der erste Schritt ist eine Festlegung, die nichts kostet und alles bestimmt. Verweisen Sie weiter, oder betreiben Sie unter eigener Marke? Solange diese Frage offen ist, lassen sich weder Pflichten zuordnen noch Verträge entwerfen, und jede Aufwandsschätzung steht auf Sand. Wir gehen sie mit den Kommissionsleitlinien zu Artikel 50 durch, an Ihren geplanten Anpassungen entlang.

Der zweite Schritt betrifft Ihre Endkundenstruktur. Wie viele Verantwortliche stehen über Ihnen, welche davon sind selbst reguliert, und arbeiten Sie mit gesonderten oder mit allgemeinen Genehmigungen? Daraus ergibt sich, ob wir Ihnen einen Vertrag zum Durchreichen liefern oder eine Mustergenehmigung je Endkunde, und wie aufwendig eine spätere Änderung in der Unterauftragskette wird.

Der dritte Schritt ist Ihre eigene Einordnung nach dem BSI-Gesetz. Ab 50 Beschäftigten sind Sie wichtige Einrichtung, und daran hängt, welche Angaben Sie von uns für Ihr Lieferkettendossier brauchen. Diese Liste legen wir gemeinsam fest, statt sie später nachzureichen. Wer sich noch nicht nach Paragraf 33 Absatz 1 registriert hat, sollte diese Frist ohnehin prüfen.

Der vierte Schritt betrifft die Antwortgrenzen. Welche Fragen wird der Avatar bekommen, bei denen eine erfundene Antwort teuer wird? Für Ihr Geschäft sind das typischerweise Zusagen zu Verfügbarkeiten, Aussagen über Vertragsinhalte und Auskünfte zu Sicherheitsvorfällen. Diese Liste ist das, was das OLG Hamm als Sorgfalt beschreibt, und sie gehört in den Vertrag, mit einer Antwort auf die Frage, wer sie pflegt.

Der fünfte Schritt ist der Ausstieg. Zwei Monate Kündigungsfrist, 30 Tage Übergang, 30 Tage Abruf, und die Klärung, ob Ihr Avatar unter die Ausnahme für maßgeschneiderte Dienste fällt. Eine Zusage, die Sie Ihrem Endkunden nicht weitergeben können, ist keine Zusage. Deshalb steht dieser Punkt am Anfang und nicht am Ende.

Wenn Ihre Endkunden Konzernzentralen sind, kommt zu diesen fünf Schritten eine sechste Größe hinzu, die Sie nicht steuern: die Kette der Stellen, die zustimmen müssen. Was das für den Takt eines Vorhabens bedeutet, steht bei der KI-Avatar-Agentur München, und es lohnt sich, das zu lesen, bevor Sie Ihrem Endkunden einen Termin zusagen.

Häufige Fragen zur Weitergabe an Endkunden