109 Antworten zu DSGVO, AI Act, NIS2, HinSchG, AGG

Mit vollständiger Zahlung erhalten Sie ein nicht ausschließliches, nicht übertragbares und zeitlich unbeschränktes Nutzungsrecht als Unternehmenslizenz: für die in der Bestellung benannte juristische Person und ihre Konzerngesellschaften, wie in den Lizenzbedingungen festgelegt (AGB § 6). Die Dateien sind mit Firmenname, Logo und Lizenz-ID personalisiert. Innerhalb dieses Rahmens dürfen Sie die Dokumente anpassen, für interne Zwecke vervielfältigen, in eigenen Systemen speichern und Behörden, Auditoren oder Geschäftspartnern vorlegen.

Weitere Unternehmen oder ein Einsatz durch Beraterinnen und Berater sind auf Anfrage möglich. Nicht erlaubt sind Weitergabe an Dritte, Veröffentlichung, Weiterverkauf sowie die Nutzung für Schulungs- oder Beratungsleistungen gegenüber Dritten.

Nein. Innerhalb der Lizenz dürfen die Dokumente für eine unbegrenzte Zahl von Beschäftigten, Standorten und internen Vorgängen genutzt werden (AGB § 6). Die Dateien werden mit Firmenname, Logo und Lizenz-ID personalisiert geliefert; das inhaltliche Anpassen an Ihr Unternehmen — Platzhalter ausfüllen, Auswahlfelder entscheiden — ist ausdrücklich erlaubt und braucht keine zusätzliche Lizenz.

Auch das E-Learning im Paket Komplett hat keine Nutzerstaffel. Nur der einzeln gekaufte Kurs gilt ab 490 € netto für bis zu 25 Nutzer; für größere Unternehmen gestaffelt nach Unternehmensgröße auf Anfrage.

Für eine Anfrage verarbeiten wir die Angaben aus dem Kontaktformular oder Ihrer E-Mail, für eine Bestellung zusätzlich Unternehmens- und Rechnungsdaten. Das Kontaktformular wird von einer Cloudflare Pages Function entgegengenommen und über den E-Mail-Versanddienst Resend an unser Postfach zugestellt. Die Zahlung per Karte oder SEPA-Lastschrift wickelt der Zahlungsdienstleister Stripe im Bestellvorgang ab; diese Zahlungsdaten liegen nicht bei uns. Bei Überweisung auf Rechnung senden wir Ihnen die Rechnung per E-Mail.

Ihre ausgefüllten Compliance-Dokumente sehen wir nicht: Sie bearbeiten die Vorlagen in Ihren eigenen Systemen. Auch die E-Learnings hosten wir nicht — Teilnehmerdaten verarbeiten Sie in Ihrem eigenen LMS, sie verbleiben bei Ihnen. Welche Daten wir zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange verarbeiten, steht in der Datenschutzerklärung.

Die gelieferten Dateien verbleiben dauerhaft bei Ihnen. Es gibt keine Cloud-Abhängigkeit und keine fortlaufende Aktivierung; die Dokumente und das E-Learning als HTML-Datei bzw. SCORM-Paket funktionieren ohne unsere Server. Bei Geschäftsaufgabe, Verkauf oder Insolvenz des Anbieters bleiben Ihre Nutzungsrechte an den bereits gelieferten Dokumenten unberührt — die Update-Pflichten enden in diesem Fall mit der zuletzt gelieferten Version (AGB § 6 Abs. 6 und 7).

Einmal: Basis 990 € · Plus 1.390 € · Komplett 1.690 € netto je Kit. Der Preis gilt je Kit und je Rechtsraum-Fassung; ein Abo gibt es nicht. Enthalten sind 12 Monate Rechtsstand-Updates ab der ersten Bereitstellung: Bei einschlägigen Rechtsänderungen stellen wir eine aktualisierte Dokumentversion per E-Mail oder Download-Link bereit. Nach Ablauf der 12 Monate bieten wir Bestandskunden weitere Folge-Updates zu Vorzugskonditionen an; Umfang und Konditionen werden gesondert vereinbart (AGB § 8).

Vertragspartner ist Ens Naturale e.U. (Wien). Bestellt wird online. Sie zahlen per Karte oder SEPA-Lastschrift über den Zahlungsdienstleister Stripe im Bestellvorgang (diese Zahlungsdaten liegen nicht bei uns) oder per Überweisung auf Rechnung: Dann bestellen Sie im Formular, und wir senden Ihnen die Rechnung per E-Mail.

Verkauft wird nur an Unternehmen: Bei der Bestellung bestätigen Sie, dass Sie als Unternehmer handeln. Die Preise sind netto zuzüglich Umsatzsteuer, Sie erhalten eine Rechnung mit Umsatzsteuer-Identifikationsnummer; ein Widerrufsrecht besteht für Unternehmer nicht.

Bei innergemeinschaftlichen Geschäften zwischen Unternehmern mit gültiger und durch VIES-Validierung bestätigter UID-Nummer erfolgt die Rechnungsstellung nach dem Reverse-Charge-Verfahren; andernfalls weisen wir die gesetzlich anfallende Umsatzsteuer aus. Details: AGB § 5.

Wir liefern Dokumentations-Pakete zu fünf EU-Compliance-Themen: EU AI Act, NIS2, DSGVO, HinSchG und AGG. Jedes Kit gibt es in drei Paketen: Basis mit der Dokumentation (alle Dokumente und Vorlagen ohne den Schulungsordner, Quick-Start, Anleitung, Platzhalter und Ausfüllhinweise), Plus zusätzlich mit dem Schulungs-Pack (Foliensatz, Wissenstest und Vorlage für einen Teilnahmenachweis; Trainer-Handbuch, Teilnehmerunterlage und Schulungsplan sind im EU AI Act Kit enthalten; für DSGVO, NIS2, AGG und HinSchG folgen sie als kostenloses Update innerhalb des Aktualisierungszeitraums) und Komplett zusätzlich mit dem E-Learning zum Thema. Die Dokumentation ist auditfertig aufgebaut: jede Aussage mit Fundstelle, zum Ausfüllen vorbereitet. Die Dateien sind mit Firmenname, Logo und Lizenz-ID personalisiert; die Auswahlfelder entscheiden und die Platzhalter füllen Sie für Ihr Unternehmen aus.

Kits und E-Learnings sind standardisierte Dokumentation und standardisierte Schulungsinhalte — keine Rechtsberatung und keine Prüfung Ihres Einzelfalls (AGB § 2). Ein begleiteter Ausfüllservice („machen lassen“) ist in Vorbereitung: kommt bald.

Fünf: EU AI Act, NIS2, DSGVO, HinSchG und AGG. Jedes Kit wird einzeln erworben, in einem von drei Paketen: Basis, Plus oder Komplett. Ein Bundle mehrerer Kits gibt es nicht. Was im jeweiligen Kit enthalten ist, steht auf der Seite des Kits.

Basis 990 € · Plus 1.390 € · Komplett 1.690 € netto je Kit (zzgl. Umsatzsteuer), einmalig und für alle fünf Themen gleich. Der Preis gilt je Kit und je Rechtsraum-Fassung; es gibt kein Kit-Bundle und kein Abo. Das E-Learning ist im Kit nur im Paket Komplett enthalten.

Einzeln kosten die E-Learnings ab 490 € netto (bis 25 Nutzer), alle fünf Kurse als Bundle ab 2.190 € netto; größere Unternehmen gestaffelt nach Unternehmensgröße auf Anfrage. Übersicht: Preise.

Sie zahlen einmalig für das Kit und nutzen es unbefristet weiter — kein Abo, keine Freischaltung, keine laufenden Gebühren. Enthalten sind 12 Monate Rechtsstand-Updates; danach sind Folge-Updates optional (siehe nächste Frage).

12 Monate ab der ersten Bereitstellung sind Rechtsstand-Updates im Preis enthalten. Bei einschlägigen Rechtsänderungen erhalten Sie eine aktualisierte Dokumentversion per E-Mail oder Download-Link; bei E-Learnings erhalten Sie in diesem Zeitraum aktualisierte Kursdateien als HTML-Datei bzw. SCORM-Paket.

Der Anspruch bezieht sich auf die erworbene Ausgabe — also auf das erworbene Kit bzw. den erworbenen Kurs in der erworbenen Rechtsraum-Fassung; eine bestimmte Update-Frequenz ist nicht geschuldet. Nach Ablauf der 12 Monate bieten wir Bestandskunden weitere Folge-Updates zu Vorzugskonditionen an, die gesondert vereinbart werden. Ihre bis dahin gelieferten Dokumente bleiben dauerhaft bei Ihnen und nutzbar — nichts wird gesperrt, nichts verfällt (AGB § 8).

Die, die Sie bei der Bestellung wählen. Jedes Kit wird in einer Rechtsraum-Fassung geliefert: Deutschland oder Österreich. Eine gemischte „DACH“-Fassung gibt es nicht, weil die nationalen Vorschriften auseinandergehen — im Cybersecurity-Bereich etwa das BSIG in Deutschland und das NISG 2026 in Österreich, das seit 1. Oktober 2026 in Kraft ist.

Brauchen Sie beide Rechtsräume, sind das zwei Fassungen, die gesondert zu erwerben sind (AGB § 2 Abs. 2). Auch die E-Learnings gibt es als Kursfassung für Deutschland oder Österreich; der AI-Act-Kurs ist eine EU-weit einheitliche Fassung.

Online: Sie wählen Kit, Rechtsraum-Fassung und Paket und bestellen mit „Jetzt kaufen“. Bei der Bestellung bestätigen Sie, dass Sie als Unternehmer handeln, und zahlen per Karte oder SEPA-Lastschrift über Stripe (Stripe Checkout) oder per Überweisung auf Rechnung; die Rechnung senden wir Ihnen dann per E-Mail. Sie erhalten eine Rechnung mit Umsatzsteuer-Identifikationsnummer.

Den Download-Link erhalten Sie innerhalb von 48 Stunden nach Zahlungseingang (Werktage): Die Dateien werden mit Firmenname, Logo und Lizenz-ID personalisiert ausgeliefert (AGB § 3, § 4).

Fragen vor dem Kauf oder ein individuelles Angebot? Dafür steht Ihnen das Kontaktformular offen.

Ja, mit Firmenname, Logo und Lizenz-ID: Die Dateien werden für Ihr Unternehmen personalisiert ausgeliefert. Den Inhalt füllen Sie selbst aus — Platzhalter, Auswahlfelder und Ausfüllhinweise sind dafür vorbereitet (AGB § 2). Das ist Absicht: Die Dokumente sollen zu Ihren Prozessen passen und nicht nur Ihren Namen tragen. Quick-Start und Anleitung liegen bei. Ein begleiteter Ausfüllservice ist in Vorbereitung: kommt bald.

Geprüft sind die Fundstellen der Word- und Excel-Dokumente gegen die amtlichen Volltexte (EUR-Lex, gesetze-im-internet.de, RIS); Rechtsstand der Ausgabe 2026 ist der 17. August 2026. Die Inhalte stützen sich auf Gesetzestexte und amtliche Quellen — Gesetzblätter, Veröffentlichungen der zuständigen Behörden und Leitlinien der EU-Kommission. Sie sind standardisierte Dokumentation, keine Rechtsberatung, und ersetzen keine Prüfung des Einzelfalls; ob und in welchem Umfang eine gesetzliche Pflicht Sie trifft, prüfen wir nicht.

Bei Fragen zu Ihrem Einzelfall kann eine Rechtsanwältin oder ein Rechtsanwalt bzw. eine fachkundige Datenschutzbeauftragte oder ein fachkundiger Datenschutzbeauftragter hinzugezogen werden (AGB § 11).

Es gibt fünf Kurse — DSGVO, EU AI Act, NIS2, HinSchG und AGG —, einzeln oder im Kit: Im Kit ist das E-Learning nur im Paket Komplett enthalten (Unternehmenslizenz, bis 25 Nutzer, größere Unternehmen auf Anfrage). Geliefert wird jeder Kurs als eigenständige HTML-Datei oder als SCORM 1.2/2004 für Ihr LMS — wir hosten nicht, es gibt keine Plattform bei uns, und die Teilnehmerdaten verbleiben bei Ihnen (AGB § 7).

Deutsch und Englisch sind in einer Datei enthalten; die Kursfassung gilt für Deutschland oder Österreich, der AI-Act-Kurs ist EU-weit einheitlich. Nach bestandener Prüfung (ab 70 %, wiederholbar) erhält die teilnehmende Person einen Teilnahmenachweis mit Prüfcode.

Preis einzeln: ab 490 € netto bis 25 Nutzer, alle fünf Kurse als Bundle ab 2.190 € netto, größere Unternehmen gestaffelt nach Unternehmensgröße auf Anfrage; 12 Monate Updates sind enthalten. Übersicht: E-Learnings.

Sie erhalten einen Teilnahmenachweis mit Prüfcode: Er dokumentiert, dass eine Person das E-Learning absolviert und die Prüfung bestanden hat (ab 70 %, wiederholbar). Das ist kein Zertifikat und keine amtliche Zertifizierung (AGB § 2). Für eigene Präsenzschulungen enthält das Schulungs-Pack ab Paket Plus eine Teilnahmenachweis-Vorlage.

Für die KI-Kompetenz nach Art. 4 KI-VO ist das der übliche Weg: Nach den Fragen und Antworten der EU-Kommission ist kein Zertifikat erforderlich; Organisationen können intern Aufzeichnungen über Schulungen und andere Maßnahmen führen. Ob Ihre Pflichten insgesamt erfüllt sind, hängt vom Einzelfall ab.

Ja, im Rahmen der Lizenzbedingungen. Die Unternehmenslizenz gilt für die in der Bestellung benannte juristische Person und ihre Konzerngesellschaften, wie in den Lizenzbedingungen festgelegt (AGB § 6). Sollen weitere Unternehmen mit den Dokumenten arbeiten oder Beraterinnen und Berater sie einsetzen, ist das auf Anfrage möglich: Kontaktformular.

Deutsch. Jedes Kit ist auf einen Rechtsraum zugeschnitten — Deutschland oder Österreich — und verwendet die dort gebräuchliche Terminologie. Für die interne Verwendung dürfen Sie die Dokumente in andere Sprachen übersetzen (AGB § 6). Die E-Learnings enthalten Deutsch und Englisch in einer Datei.

In bearbeitbaren Office-Formaten: Word, Excel und PowerPoint — etwa Word für Richtlinien, Konzepte und Verträge, Excel für Verzeichnisse und Register; ab Paket Plus kommt das Schulungs-Pack mit Foliensatz hinzu (Regie-Notizen in den Foliensätzen der Kits EU AI Act und AGG). Im Paket Komplett liegt zusätzlich das E-Learning als HTML-Datei und als SCORM 1.2/2004 für Ihr LMS bei. Sie brauchen kein Spezialprogramm und keine Plattform von uns.

Bei Unternehmenskunden aus einem anderen EU-Mitgliedstaat mit gültiger und durch VIES-Validierung bestätigter UID-Nummer stellen wir netto ohne Umsatzsteuer in Rechnung; die Steuerschuld geht auf Sie über und Sie erklären die Umsatzsteuer in Ihrem Land. Ohne gültige UID-Nummer weisen wir die gesetzlich anfallende Umsatzsteuer aus (AGB § 5 Abs. 3).

Nein. Wer Word, Excel und PowerPoint bedienen kann, kann mit dem Kit arbeiten. Der Aufwand liegt nicht in der Technik, sondern in den inhaltlichen Entscheidungen: Platzhalter ausfüllen, Auswahlfelder entscheiden, die Vorlagen an Ihre Prozesse anpassen. Die beiliegende Anleitung gibt die Reihenfolge vor.

Ja. Betreiber (Deployer) trifft ein eigener Pflichtenkreis: Maßnahmen zur KI-Kompetenz nach Art. 4, Transparenzpflichten nach Art. 50 und — beim Einsatz von Hochrisiko-Systemen — die Betreiberpflichten nach Art. 26: Verwendung nach Betriebsanleitung, menschliche Aufsicht durch geeignete Personen, geeignete Eingabedaten, Aufbewahrung der automatisch erzeugten Protokolle und Information der betroffenen Personen.

Art. 4 KI-VO gilt seit 2. Februar 2025 — seit 27. Juli 2026 in der Fassung der Verordnung (EU) 2026/1744. Anbieter und Betreiber müssen danach Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und der in ihrem Auftrag mit KI befassten Personen zu unterstützen; zu berücksichtigen sind Vorkenntnisse, Erfahrung, Aus- und Fortbildung sowie der Einsatzkontext.

Ausdrücklich klargestellt ist seither: Ein bestimmtes Niveau an KI-Kompetenz muss für keine Person garantiert werden. Aufsicht und Durchsetzung von Art. 4 liegen bei den nationalen Marktüberwachungsbehörden, nicht beim KI-Büro; sie beginnen nach den Fragen und Antworten der EU-Kommission (Stand 27. Juli 2026) am 2. August 2026.

Nach Art. 99 KI-VO: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei Verstößen gegen die verbotenen Praktiken (Art. 5); bis zu 15 Mio. € oder 3 % bei Verstößen gegen andere Pflichten, unter anderem der Anbieter (Art. 16), der Betreiber (Art. 26) und der Transparenz (Art. 50); bis zu 7,5 Mio. € oder 1 % bei falschen, unvollständigen oder irreführenden Angaben gegenüber Behörden — jeweils der höhere Betrag. Für KMU einschließlich Start-ups gilt umgekehrt der jeweils niedrigere Betrag; für kleine Midcap-Unternehmen gilt das seit 27. Juli 2026 für die beiden letzten Stufen.

Marktüberwachungsbehörde ist in Deutschland seit 29. Juli 2026 die Bundesnetzagentur (§ 2 Abs. 1 KI-MIG), soweit nicht sektorale Behörden zuständig sind — etwa die BaFin für KI im direkten Zusammenhang mit regulierten Finanztätigkeiten. Das KI-MIG enthält zusätzlich eigene Bußgeldtatbestände von bis zu 50.000 € (§ 15 Abs. 3). Österreich hat bis zum Stand dieser Seite keine Marktüberwachungsbehörde nach Art. 70 KI-VO benannt.

Jedes Unternehmen, das KI-Systeme anbietet, einsetzt, importiert oder vertreibt — sobald die Systeme im EU-Markt verfügbar sind oder ihre Wirkung in der EU entfalten. Auch US-Anbieter mit EU-Nutzern fallen darunter.

Seit 2. Februar 2025 unzulässig: manipulative oder ausnutzende Praktiken mit Schädigungspotenzial, Social Scoring, biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken (nur in eng umgrenzten Ausnahmefällen zulässig), Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie Vorhersage von Straftaten allein aufgrund von Profiling.

Mit der Verordnung (EU) 2026/1744 kommt eine weitere Gruppe hinzu, die ab 2. Dezember 2026 gilt: nicht einvernehmliche sexualisierte Deepfakes und Darstellungen sexuellen Kindesmissbrauchs (Art. 5 Abs. 1 Buchst. ba und bb sowie Abs. 1a und 1b).

Es gibt zwei Wege in die Hochrisiko-Klasse: die Anwendungsfälle nach Anhang III — unter anderem Beschäftigung und Personalauswahl, Bildung, Kreditwürdigkeitsprüfung, kritische Infrastruktur, Strafverfolgung, Migration, Justiz und demokratische Prozesse — und KI als Sicherheitsbauteil von Produkten, die unter die in Anhang I gelisteten Harmonisierungsrechtsvorschriften fallen.

Die Pflichten aus Kapitel III Abschnitte 1 bis 3 gelten seit der Änderung durch die Verordnung (EU) 2026/1744 ab 2. Dezember 2027 für Anhang-III-Systeme und ab 2. August 2028 für Anhang-I-Systeme.

Ja, faktisch. Ohne aktuelles Verzeichnis Ihrer KI-Systeme können Sie weder Risiko klassifizieren noch Pflichten zuordnen. Unser Schnelltest und der KI-Inventar-Schnellcheck helfen beim Einstieg.

Art. 27 KI-VO verpflichtet bestimmte Betreiber von Hochrisiko-Systemen zur Grundrechte-Folgenabschätzung: Einrichtungen des öffentlichen Rechts und private Einrichtungen, die öffentliche Dienste erbringen, sowie Betreiber von Systemen zur Bonitätsbewertung und zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung. Sie ist vor der ersten Verwendung durchzuführen und zu aktualisieren, wenn sich maßgebliche Elemente ändern; anschließend ist die Marktüberwachungsbehörde zu unterrichten.

Zeitlich greifen diese Hochrisiko-Pflichten für Anhang-III-Systeme ab 2. Dezember 2027. Was das EU-AI-Act-Kit dazu enthält, steht auf der Kit-Seite.

KI-Modelle mit allgemeinem Verwendungszweck (General Purpose AI) — Modelle, die sehr unterschiedliche Aufgaben erfüllen können und in verschiedene nachgelagerte Systeme eingebaut werden, etwa große Sprach- und Multimodalmodelle. Für ihre Anbieter gelten seit 2. August 2025 die Pflichten aus Kapitel V: technische Dokumentation, Informationen für nachgelagerte Anbieter, Urheberrechts-Strategie und eine Zusammenfassung der Trainingsinhalte; bei Modellen mit systemischem Risiko kommen weitere Pflichten hinzu. Modelle, die vor dem 2. August 2025 in Verkehr gebracht wurden, müssen die Anforderungen bis 2. August 2027 erfüllen.

Anbieter entwickelt, lässt entwickeln oder bringt KI auf den Markt unter eigenem Namen. Betreiber nutzt KI im eigenen Verantwortungsbereich. Wenn Sie ein KI-System wesentlich verändern oder rebranden, werden Sie zum Anbieter (Art. 25).

Art. 50 KI-VO gilt seit dem 2. August 2026. Anbieter müssen synthetisch erzeugte Audio-, Bild-, Video- und Textinhalte in maschinenlesbarer Form kennzeichnen; Betreiber müssen Deepfakes offenlegen, und bei Chatbots muss erkennbar sein, dass man mit einem KI-System kommuniziert.

Die EU-Kommission hat am 20. Juli 2026 Leitlinien zu Art. 50 angenommen — eine praktische Anleitung, kein verbindlicher Rechtsakt. Ergänzend gibt es seit 10. Juni 2026 den freiwilligen Verhaltenskodex zur Transparenz KI-erzeugter Inhalte; die Kommission hat festgehalten, dass die Einhaltung des Kodex kein abschließender Nachweis der Pflichterfüllung ist. Für generative Systeme, die vor dem 2. August 2026 in Verkehr waren, gilt eine Übergangsfrist bis 2. Dezember 2026 (Art. 111 Abs. 4).

Pflichtprüfung für Hochrisiko-KI vor Inverkehrbringen (Art. 43 KI-VO): Für die Anhang-III-Systeme der Nummern 2 bis 8 ist die interne Kontrolle nach Anhang VI vorgeschrieben. Bei Anhang III Nr. 1 ist eine notifizierte Stelle nach Anhang VII einzubeziehen, wenn harmonisierte Normen nicht oder nur teilweise angewandt wurden. Anhang IV regelt die technische Dokumentation. CE-Kennzeichnung als Ergebnis.

Wer KI-Systeme im Unternehmen einsetzt, ist Betreiber — auch bei Standardwerkzeugen wie Chatbots oder Assistenzsystemen. Nach Art. 4 KI-VO müssen Sie Maßnahmen ergreifen, die die KI-Kompetenz der damit befassten Personen unterstützen, abgestuft nach deren Vorkenntnissen und dem Einsatzkontext. Ein bestimmtes Niveau ist nicht geschuldet, und nach den Fragen und Antworten der EU-Kommission ist kein Zertifikat erforderlich — interne Aufzeichnungen über Schulungen genügen. Unsere Schulung zur KI-Kompetenz ist eine solche Maßnahme und dokumentiert die Teilnahme; Ihre internen Regeln (freigegebene Tools, KI-Richtlinie) ergänzen Sie selbst.

Ein von einer zuständigen Behörde eingerichteter kontrollierter Rahmen, in dem innovative KI-Systeme vor dem Inverkehrbringen unter Aufsicht entwickelt, trainiert und erprobt werden. KMU einschließlich Start-ups mit Sitz oder Zweigniederlassung in der Union erhalten vorrangigen Zugang.

Wer den vereinbarten Plan und die Teilnahmebedingungen einhält und der Anleitung der Behörde in gutem Glauben folgt, gegen den werden für Verstöße gegen die KI-VO keine Geldbußen verhängt (Art. 57 Abs. 12); die Haftung für Schäden Dritter bleibt bestehen. Nach dem Zeitplan der EU-Kommission sollen die nationalen KI-Reallabore bis zum 2. August 2027 einsatzbereit sein.

Die Verordnung (EU) 2026/1744 („Digital-Omnibus-Verordnung zur KI“) vom 8. Juli 2026 wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist seit 27. Juli 2026 in Kraft. Sie verschiebt die Hochrisiko-Pflichten (Kapitel III Abschnitte 1 bis 3) auf den 2. Dezember 2027 für Anhang-III-Systeme und auf den 2. August 2028 für Anhang-I-Systeme, formuliert Art. 4 zur KI-Kompetenz neu, fügt neue Verbote in Art. 5 ein (anwendbar ab 2. Dezember 2026) und bringt Erleichterungen für KMU und kleine Midcap-Unternehmen.

Der allgemeine Geltungsbeginn 2. August 2026 — unter anderem für Art. 50 — bleibt unverändert. Der Daten-Teil des Digital-Omnibus, der DSGVO und ePrivacy-Richtlinie ändern soll, ist davon zu trennen: Er ist weiterhin nur ein Vorschlag der Kommission.

Open-Source-GPAI-Modelle ohne systemisches Risiko sind weitgehend von den GPAI-Pflichten ausgenommen. Aber: Werden sie in Hochrisiko-Anwendungen eingesetzt, gelten die normalen Hochrisiko-Pflichten beim Anbieter/Betreiber.

Doppelregulierung: Wenn KI personenbezogene Daten verarbeitet, gelten beide. Art. 22 DSGVO (automatisierte Einzelentscheidung) und KI-VO greifen ineinander. DSFA und FRIA sollten parallel laufen — überlappende Felder wiederverwendbar.

Ja. Art. 30 DSGVO verpflichtet grundsätzlich jeden Verantwortlichen zur Führung eines Verarbeitungsverzeichnisses. Die KMU-Ausnahme (<250 MA) greift in der Praxis kaum, weil sie an enge Bedingungen geknüpft ist. VVT-Anleitung.

Technisch-organisatorische Maßnahmen nach Art. 32 DSGVO zum Schutz personenbezogener Daten — Verschlüsselung, Pseudonymisierung, Zugriffskontrolle, Backup, Wiederherstellung, regelmäßige Wirksamkeitsprüfung. TOM-Prüfliste.

Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs. 1 DSGVO) — Art. 35 Abs. 3 nennt als Regelfälle die systematische umfangreiche Bewertung persönlicher Aspekte einschließlich Profiling, die umfangreiche Verarbeitung besonderer Datenkategorien und die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Die Aufsichtsbehörden konkretisieren das über Listen: in Deutschland die Muss-Liste der Datenschutzkonferenz für nicht-öffentliche Stellen, in Österreich die DSFA-V (BGBl. II Nr. 278/2018) und die Ausnahmen der DSFA-AV (BGBl. II Nr. 108/2018).

Deutschland: zusätzlich zu Art. 37 Abs. 1 DSGVO, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG) — unabhängig von der Personenzahl außerdem, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen oder geschäftsmäßig zum Zweck der Übermittlung bzw. für Markt- und Meinungsforschung verarbeitet wird.

Österreich: keine zusätzliche Zahlenschwelle — es bleibt bei Art. 37 DSGVO, also Behörden, Kerntätigkeit mit umfangreicher regelmäßiger und systematischer Überwachung oder umfangreicher Verarbeitung besonderer Datenkategorien. Detailprüfung.

Jede Verletzung von Vertraulichkeit, Integrität oder Verfügbarkeit personenbezogener Daten — gestohlener Laptop, fehlgeleitete Mail, Hack, Fehlkonfiguration, Brand. Auch fast-Vorfälle (Beinahe-Datenpanne) sollten Sie intern dokumentieren.

72 Stunden ab Kenntnisnahme — an die zuständige Aufsichtsbehörde (Art. 33). Bei hohem Risiko zusätzlich Information der Betroffenen ohne unangemessene Verzögerung (Art. 34). 72h-Verfahren.

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO — Pflicht-Vertrag mit jedem Dienstleister, der für Sie personenbezogene Daten verarbeitet (Cloud-Anbieter, IT-Dienstleister, Lohnbüro, Newsletter-Tool). Mustertext im Kit, Anleitung.

Ja, an Organisationen, die in der vom US-Handelsministerium geführten Data Privacy Framework List stehen: Für sie stellt der Durchführungsbeschluss (EU) 2023/1795 ein angemessenes Schutzniveau fest. Für alle anderen Empfänger brauchen Sie eine Garantie nach Art. 46 DSGVO, in der Praxis Standardvertragsklauseln plus Transfer Impact Assessment.

Zum Verfahrensstand: Das Gericht der EU hat die Klage gegen den Beschluss am 3. September 2025 abgewiesen (T-553/23, Latombe); das Rechtsmittel ist beim Gerichtshof als C-703/25 P anhängig, eine Entscheidung liegt nicht vor. Der Beschluss gilt also weiter — ein Ausweichplan schadet trotzdem nicht. Plan B.

Acht Rechte: Auskunft (Art. 15), Berichtigung (16), Löschung/Vergessen (17), Einschränkung (18), Datenübertragbarkeit (20), Widerspruch (21), keine automatisierte Einzelentscheidung (22), Beschwerde bei der Aufsicht (77). Antwortfrist 1 Monat, einmal verlängerbar um 2 Monate.

Ein Monat ab Eingang der Anfrage (Art. 12 Abs. 3). Bei komplexen oder zahlreichen Anfragen darf um 2 Monate verlängert werden — mit Begründung an den Betroffenen innerhalb der ersten Frist.

Daten werden so verarbeitet, dass sie ohne Zusatz-Information keiner Person mehr zuzuordnen sind (Art. 4 Nr. 5). Beispiel: Klarname → Mitarbeiter-Nr., Liste der Zuordnung getrennt aufbewahrt. Reduziert das Risiko, ersetzt aber nicht die DSGVO-Pflichten.

Nur wenn Sie auf Endgeräte zugreifen oder dort Informationen speichern, ohne dass das für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist — dann brauchen Sie eine vorherige, informierte Einwilligung: in Deutschland nach § 25 TDDDG, in Österreich nach § 165 Abs. 3 TKG 2021. Für unbedingt erforderliche Zugriffe, etwa Session-Verwaltung oder Warenkorb, gilt die Ausnahme.

Wie die deutschen Aufsichtsbehörden das auslegen, steht in der Orientierungshilfe für Anbieter:innen digitaler Dienste (Version 1.2, Stand November 2024), die die frühere Telemedien-Fassung abgelöst hat. Eine feste Gültigkeitsdauer für Einwilligungen nennt sie nicht. Pflicht-Check.

Bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5) — höherer Wert gilt. Bei einfacheren Verstößen 10 Mio. / 2 %. Aktuelle Bußgelder.

Die DSGVO schreibt kein bestimmtes Verfahren vor, verlangt aber nach Art. 7 Abs. 1, dass Sie die Einwilligung nachweisen können. Genau daran scheitert das einfache Opt-in in der Praxis: Ohne Bestätigungsschritt lässt sich nicht belegen, dass die Adresse von der betroffenen Person selbst eingetragen wurde. Deshalb ist das Double-Opt-in mit protokolliertem Zeitstempel der gängige Weg — dokumentieren Sie Verfahren und Nachweise im Verarbeitungsverzeichnis.

Standardpraxis: 6 Monate nach Absage zur Verteidigung gegen AGG-Klagen (§ 15 Abs. 4 AGG: 2 Monate Geltend­machungsfrist + Pufferzeit). Bei Einwilligung für Talent-Pool länger zulässig. Danach: Löschen (Art. 17).

Verbot rein automatisierter Einzel­entscheidungen mit erheblicher Wirkung (Kreditscore, Bewerber-Auswahl, Versicherungs-Tarif), wenn sie ohne menschliche Beteiligung erfolgen. Ausnahmen: Vertrag, Einwilligung, gesetzliche Erlaubnis — immer mit menschlicher Überprüfung im Einspruchsfall.

Beide gelten parallel, wenn KI personenbezogene Daten verarbeitet. Art. 22 DSGVO + Art. 14 KI-VO (Human Oversight) + Art. 26 KI-VO (Betreiber-Pflichten) verzahnen sich. Doppelpflicht im Detail.

§ 12 Abs. 1 AGG verpflichtet Arbeitgeber zu den erforderlichen Maßnahmen zum Schutz vor Benachteiligungen, ausdrücklich einschließlich vorbeugender Maßnahmen. Abs. 2 macht daraus den praktischen Weg: Wer seine Beschäftigten in geeigneter Weise zum Thema schult, hat seine Pflicht nach Abs. 1 erfüllt. Eine feste Frequenz oder Form schreibt das Gesetz nicht vor — nachweisen müssen Sie die Maßnahme im Streitfall aber selbst, deshalb ist Dokumentation entscheidend.

§ 15 Abs. 4 AGG: Ansprüche auf Entschädigung und Schadensersatz müssen innerhalb von zwei Monaten schriftlich geltend gemacht werden; die Frist beginnt bei einer Bewerbung oder einem beruflichen Aufstieg mit dem Zugang der Ablehnung, sonst mit der Kenntnis von der Benachteiligung. Danach sind sie verfallen. Für Arbeitgeber heißt das: Auswahlunterlagen erst nach Ablauf dieser Frist mit Sicherheitsabstand aussortieren — sonst fehlt im Streitfall der eigene Nachweis.

Zunächst: Die Richtlinie (EU) 2023/970 verpflichtet Arbeitgeber nicht unmittelbar — sie wirkt über nationales Umsetzungsrecht. Die Umsetzungsfrist ist am 7. Juni 2026 abgelaufen; in Deutschland lag zum Stand dieser Seite kein Umsetzungsgesetz vor, in Österreich ebenfalls nicht.

Inhaltlich bringt die Richtlinie: Auskunftsrecht der Beschäftigten über das eigene Entgelt und die nach Geschlecht aufgeschlüsselten Durchschnittswerte vergleichbarer Gruppen, Antwort binnen zwei Monaten (Art. 7); Informationen über Einstiegsentgelt oder Entgeltspanne vor dem Bewerbungsgespräch und ein Verbot der Frage nach dem bisherigen Entgelt (Art. 5); Berichtspflichten gestaffelt nach Größe (Art. 9) und die gemeinsame Entgeltbewertung bei einem unerklärten Entgeltgefälle von mindestens 5 % (Art. 10). Detail.

Jeder Arbeitgeber. Sobald der Bewerber/Beschäftigte Indizien für eine Benachteiligung darlegt, muss der Arbeitgeber beweisen, dass kein Verstoß vorlag. Indizien können statistische Auffälligkeiten sein, Stellenanzeigen-Formulierungen, Auswahl­dokumentation. § 22 im Detail.

§ 1 AGG nennt sie abschließend: Benachteiligungen aus Gründen der Rasse oder wegen der ethnischen Herkunft, des Geschlechts, der Religion oder Weltanschauung, einer Behinderung, des Alters oder der sexuellen Identität sind zu verhindern oder zu beseitigen. In Österreich sind dieselben Gründe auf zwei Stellen des Gleichbehandlungsgesetzes verteilt: das Geschlecht in § 3, ethnische Zugehörigkeit, Religion oder Weltanschauung, Alter und sexuelle Orientierung in § 17.

Maßstab ist § 11 AGG: Ein Arbeitsplatz darf nicht unter Verstoß gegen das Benachteiligungsverbot ausgeschrieben werden. Praktisch heißt das: die Tätigkeit und ihre Anforderungen sachlich beschreiben, keine Altersgrenzen oder Formulierungen, die auf ein Alter zielen, keine Anforderungen an Herkunft, Sprache oder Erscheinung ohne sachlichen Bezug zur Tätigkeit, und eine geschlechtsneutrale Bezeichnung. In Österreich verlangt § 9 Abs. 1 GlBG ausdrücklich eine geschlechtsneutrale Ausschreibung. Unser Stellenanzeigen-Audit geht die typischen Fallen durch.

männlich, weiblich, divers. Der Zusatz selbst steht in keinem Gesetz — er ist die verbreitete Praxis, um die Anforderung aus § 11 AGG (bzw. § 9 Abs. 1 GlBG in Österreich) zu erfüllen, eine Stelle nicht auf ein Geschlecht zuzuschneiden. Entscheidend ist die Wirkung der gesamten Anzeige, nicht das Kürzel: Eine Anzeige mit „(m/w/d)“ im Titel und einer geschlechtsbezogenen Anforderung im Text bleibt angreifbar. Das gilt für jeden Ausschreibungsweg, auch für Social-Media-Postings.

Pflicht nach § 13 AGG für jeden Arbeitgeber — unabhängig von der Mitarbeiterzahl. Sie muss bekannt gemacht und besetzt sein. Beschwerdestellen-Workflow.

§ 22 AGG verlangt keine Beweise, sondern Indizien, die eine Benachteiligung wegen eines der Merkmale des § 1 vermuten lassen. In der Praxis diskutiert werden vor allem: Formulierungen in der Ausschreibung, die auf Alter, Geschlecht oder Herkunft zielen („junges Team“, „akzentfrei“), auffällige Muster in Auswahl- und Beförderungsentscheidungen, eine fehlende oder nachträglich konstruierte Auswahldokumentation sowie mündliche Begründungen wie „passt nicht ins Team“. Ob ein Indiz im Einzelfall genügt, entscheidet das Gericht.

Algorithmische Diskriminierung im Recruiting unterliegt der § 22 AGG-Beweislastumkehr: Indizien (z.B. statistische Auffälligkeiten in Auswahl-Outputs) reichen — der Arbeitgeber muss den Vollbeweis der Nicht-Diskriminierung führen. Kernpunkt: Wer KI im Recruiting einsetzt, übernimmt deren Bias. Rechtslage und Folgen.

Die „gemeinsame Entgeltbewertung“ nach Art. 10 der Richtlinie (EU) 2023/970: Liegt das durchschnittliche Entgeltgefälle zwischen Frauen und Männern in einer Gruppe von Arbeitnehmern bei mindestens 5 %, lässt es sich nicht durch objektive, geschlechtsneutrale Kriterien rechtfertigen und wird es nicht binnen sechs Monaten nach der Entgeltberichterstattung behoben, führen Arbeitgeber gemeinsam mit den Arbeitnehmervertretern eine systematische Analyse durch und beschließen Abhilfemaßnahmen. Wirksam wird das erst mit der nationalen Umsetzung, die in Deutschland und Österreich noch aussteht.

Mittlerer/Median-Vergleich der Brutto-Stundenlöhne pro Vergleichsgruppe (gleiche oder gleichwertige Arbeit). Vergleichsgruppen werden durch Job-Evaluation gebildet. Pay-Gap-Berechnung in der Praxis.

Das AGG gibt abgelehnten Bewerberinnen und Bewerbern keinen Anspruch darauf, die Gründe der Absage zu erfahren. Die Richtlinie (EU) 2023/970 sieht dagegen vor, dass Stellenbewerber vom künftigen Arbeitgeber Informationen über das auf objektiven, geschlechtsneutralen Kriterien beruhende Einstiegsentgelt oder dessen Spanne erhalten — bereitgestellt etwa in der Ausschreibung oder vor dem Vorstellungsgespräch — und dass nicht nach dem bisherigen Entgelt gefragt werden darf (Art. 5). Anwendbar wird das erst über das nationale Umsetzungsgesetz, das noch nicht vorliegt.

Das AGG kennt keine Bußgelder. Die Sanktion ist zivilrechtlich: Schadensersatz für den materiellen Schaden und eine angemessene Entschädigung in Geld für den immateriellen Schaden (§ 15 Abs. 1 und 2 AGG). Für die Nichteinstellung gibt es eine Obergrenze — die Entschädigung darf drei Monatsgehälter nicht übersteigen, wenn die Person auch bei benachteiligungsfreier Auswahl nicht eingestellt worden wäre. Die Ansprüche müssen binnen zwei Monaten schriftlich geltend gemacht werden (§ 15 Abs. 4).

Ein umgangssprachlicher Begriff für Personen, die sich gezielt auf Stellen bewerben, um im Fall der Absage eine Entschädigung nach § 15 AGG geltend zu machen. Rechtsmissbrauch kann dem Anspruch entgegenstehen, ist aber im Einzelfall zu belegen — und die Beweisführung liegt beim Arbeitgeber. Der wirksamste Schutz ist deshalb die saubere Anzeige und die dokumentierte Auswahlentscheidung: Audit-Checkliste.

Zwei Regelwerke greifen ineinander. Nach § 22 AGG müssen Sie die Nicht-Benachteiligung beweisen, sobald Indizien vorliegen — dafür brauchen Sie nachvollziehbare Auswahlkriterien und Protokolle, auch wenn ein System vorsortiert. Und Anhang III der KI-VO stuft KI für Personalauswahl und Beschäftigungsentscheidungen als Hochrisiko ein; die zugehörigen Pflichten — darunter menschliche Aufsicht und Protokollierung — gelten für Anhang-III-Systeme ab 2. Dezember 2027. Wer schon jetzt prüft, dokumentiert und die menschliche Letztentscheidung sichert, arbeitet auf beides hin. Safeguards.

EntgTranspG (Deutschland, geltendes Recht): individueller Auskunftsanspruch in Betrieben mit in der Regel mehr als 200 Beschäftigten (§ 12); das Vergleichsentgelt wird nicht genannt, wenn die Vergleichstätigkeit von weniger als sechs Beschäftigten des anderen Geschlechts ausgeübt wird. Der Bericht zu Gleichstellung und Entgeltgleichheit trifft Arbeitgeber mit in der Regel mehr als 500 Beschäftigten, die einen Lagebericht erstellen (§§ 21, 22).

Richtlinie (EU) 2023/970: größenunabhängiges Auskunftsrecht, Entgelttransparenz vor der Beschäftigung, gestaffelte Berichtspflichten ab 100 Arbeitnehmern und die gemeinsame Entgeltbewertung. Sie ersetzt das EntgTranspG nicht automatisch — sie muss erst in nationales Recht umgesetzt werden, und das ist bislang nicht geschehen. In Österreich gilt bis dahin die Einkommensbericht-Pflicht ab dauerhaft mehr als 150 Arbeitnehmern (§ 11a GlBG).

Der Anker ist § 12 Abs. 1 und 2 AGG: erforderliche, auch vorbeugende Maßnahmen zum Schutz vor Benachteiligungen — eine geeignete Schulung der Beschäftigten gilt als Erfüllung dieser Pflicht. Eine eigene Schulungspflicht für HR aus der Entgelttransparenz-Richtlinie besteht derzeit nicht: Die Richtlinie ist in Deutschland und Österreich nicht umgesetzt; sie sieht Schulungen vor allem als Unterstützungs- und Abhilfemaßnahme vor. Unsere AGG-Schulung ist auf diese Schulung nach § 12 Abs. 2 AGG ausgerichtet.