4. Direkte Interaktion mit einem KI-System

Soweit Sie auf unserer Website unmittelbar mit einem KI-System interagieren, beispielsweise über einen Chatbot, Sprachassistenten oder virtuellen Assistenten, weisen wir Sie spätestens zu Beginn der ersten Interaktion deutlich darauf hin.

Der jeweilige Dienst wird als „KI-Assistent“, „KI-Chatbot“ oder mit einer vergleichbaren eindeutigen Bezeichnung gekennzeichnet. Sie kommunizieren in diesem Fall mit einem technischen System und nicht mit einem Menschen.

Antworten eines KI-Systems stellen, soweit nicht ausdrücklich anders angegeben, keine verbindliche Erklärung, Zusage oder Entscheidung unseres Unternehmens dar. Für eine Überprüfung durch einen Menschen können Sie sich an [E-Mail-Adresse, Telefonnummer oder Kontaktformular] wenden.

5. Kennzeichnung KI-generierter und KI-manipulierter Inhalte

Soweit wir KI-generierte oder KI-manipulierte Bild-, Audio- oder Videoinhalte verwenden, die fälschlicherweise als authentisch oder echt wahrgenommen werden könnten, kennzeichnen wir diese Inhalte in geeigneter Weise als künstlich erzeugt oder verändert.

Dies gilt insbesondere für Inhalte, die reale Personen, Gegenstände, Orte, Einrichtungen oder Ereignisse wirklichkeitsnah darstellen, obwohl die dargestellte Situation in dieser Form nicht stattgefunden hat.

Texte, die mithilfe von KI erzeugt oder wesentlich verändert wurden und der Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse dienen, werden entsprechend gekennzeichnet, soweit keine ausreichende menschliche Überprüfung oder redaktionelle Kontrolle stattgefunden hat.

Bei Inhalten, die von einer natürlichen Person überprüft, freigegeben und redaktionell verantwortet wurden, können wir freiwillig auf die unterstützende Verwendung von KI hinweisen.

6. Menschliche Kontrolle

Wir setzen angemessene menschliche Kontroll- und Überprüfungsmaßnahmen ein. Art und Umfang der Kontrolle richten sich insbesondere nach dem Verwendungszweck des KI-Systems und den möglichen Auswirkungen eines fehlerhaften Ergebnisses.

Bei rechtlich, wirtschaftlich oder persönlich bedeutsamen Angelegenheiten wird ein KI-Ergebnis nicht ungeprüft übernommen. Zuständige Mitarbeiter können Ergebnisse überprüfen, korrigieren, verwerfen oder die weitere Nutzung des Systems beenden.

7. Automatisierte Entscheidungen

Variante A – verwenden, wenn keine entsprechenden Entscheidungen stattfinden

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung einschließlich Profiling beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in vergleichbarer Weise erheblich beeinträchtigen.

KI-Systeme können unsere Mitarbeiter bei der Vorbereitung oder Strukturierung von Informationen unterstützen. Die maßgebliche Entscheidung wird jedoch durch eine hierzu befugte natürliche Person getroffen.

Variante B – nur nach individueller rechtlicher Prüfung verwenden

In dem Verfahren [genaue Bezeichnung des Verfahrens] findet eine automatisierte Entscheidungsfindung statt.

Dabei werden folgende Daten berücksichtigt:

[Datenkategorien]

Die Entscheidung beruht in Grundzügen auf folgender Funktionsweise:

[Verständliche Erläuterung der maßgeblichen Kriterien und Logik]

Die mögliche Tragweite und die erwarteten Auswirkungen für Sie sind:

[Beschreibung]

Rechtsgrundlage der Verarbeitung ist:

[Rechtsgrundlage]

Sie können unter [Kontaktstelle] eine menschliche Überprüfung beantragen, Ihren eigenen Standpunkt darlegen und die Entscheidung anfechten, soweit Ihnen diese Rechte gesetzlich zustehen.

8. Verarbeitung personenbezogener Daten

Bei der Nutzung unserer KI-Funktionen können personenbezogene Daten verarbeitet werden. Dies betrifft insbesondere:

• von Ihnen eingegebene Texte oder Dateien;

• Kontaktdaten und Identifikationsdaten;

• Kunden-, Vertrags- oder Vorgangsdaten;

• technische Verbindungs- und Nutzungsdaten;

• IP-Adresse, Zeitstempel und Geräteinformationen;

• [weitere tatsächlich verarbeitete Daten].

Die Verarbeitung erfolgt für folgende Zwecke:

[Konkrete Verarbeitungszwecke]

Die Verarbeitung stützen wir auf folgende Rechtsgrundlage:

[zum Beispiel Art. 6 Abs. 1 Buchstabe b, f oder a DSGVO]

Soweit wir uns auf ein berechtigtes Interesse stützen, besteht dieses in:

[Konkretes berechtigtes Interesse]

Die Daten werden an folgende Empfänger beziehungsweise technische Dienstleister übermittelt:

[Name, Anschrift und Funktion des KI-Anbieters oder Hosting-Anbieters]

Der Dienstleister wird für uns als:

[Auftragsverarbeiter / eigenständig Verantwortlicher / gemeinsam Verantwortlicher]

tätig.

Nutzung von Eingaben für das Training

Eine der folgenden Aussagen auswählen und vertraglich überprüfen:

• Ihre Eingaben und die erzeugten Antworten werden vom technischen Anbieter nicht für das Training allgemeiner KI-Modelle verwendet.

• Ihre Eingaben können nach Maßgabe von [Beschreibung und Rechtsgrundlage] für die Verbesserung oder das Training des Systems verwendet werden.

• Eine Nutzung zu Trainingszwecken findet ausschließlich nach Ihrer vorherigen Einwilligung statt.

Übermittlung in Drittländer

[Es findet keine Übermittlung personenbezogener Daten außerhalb der EU beziehungsweise des Europäischen Wirtschaftsraums statt.]

oder:

[Eine Verarbeitung kann in folgenden Drittländern stattfinden: … . Die Übermittlung erfolgt auf Grundlage von …, beispielsweise eines Angemessenheitsbeschlusses oder EU-Standardvertragsklauseln.]

Speicherdauer

Eingaben, Ausgaben und technische Protokolldaten werden für folgenden Zeitraum gespeichert:

[Konkrete Dauer oder nachvollziehbare Löschkriterien]

Weitere Einzelheiten finden Sie in unserer [Datenschutzerklärung].

9. Hinweise zu Ihren Eingaben

Bitte geben Sie in frei zugängliche KI-Eingabefelder keine Geschäftsgeheimnisse, Passwörter, Zahlungsdaten oder sonstigen vertraulichen Informationen ein.

Bitte übermitteln Sie außerdem keine besonders sensiblen personenbezogenen Daten, beispielsweise Gesundheitsdaten, biometrische Daten, Angaben zur ethnischen Herkunft, Religion, politischen Meinung oder sexuellen Orientierung, sofern die jeweilige KI-Funktion nicht ausdrücklich für die sichere Verarbeitung dieser Informationen vorgesehen ist.

Geben Sie personenbezogene Daten anderer Personen nur ein, wenn Sie hierzu berechtigt sind.

10. Ihre Datenschutzrechte

Soweit die gesetzlichen Voraussetzungen erfüllt sind, haben Sie insbesondere das Recht auf:

• Auskunft über die Verarbeitung Ihrer personenbezogenen Daten;

• Berichtigung unrichtiger Daten;

• Löschung oder Einschränkung der Verarbeitung;

• Datenübertragbarkeit;

• Widerspruch gegen bestimmte Verarbeitungen;

• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft;

• Beschwerde bei einer zuständigen Datenschutzaufsichtsbehörde.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an:

[Datenschutzkontakt]

11. Kontakt zu einem Menschen

Sie können jederzeit eine menschliche Kontaktmöglichkeit nutzen:

[E-Mail-Adresse]
[Telefonnummer]
[Kontaktformular]

Eine Kontaktaufnahme über diesen Weg wird nicht ausschließlich durch ein KI-System bearbeitet.

12. Änderungen dieser Information

Wir überprüfen unsere KI-Systeme und diese Information regelmäßig. Bei einer Änderung der eingesetzten Systeme, ihrer Zwecke, der verarbeiteten Daten oder der rechtlichen Anforderungen passen wir diese Information entsprechend an.

Das jeweils aktuelle Datum der Fassung finden Sie am Anfang dieser Seite.

Unmittelbarer Hinweis für einen Chatbot

Dieser Hinweis sollte oberhalb des Eingabefelds, im geöffneten Chatfenster oder als erste Systemnachricht erscheinen. Ein bloßer Link im Footer reicht für die unmittelbare Transparenz regelmäßig nicht aus, weil die Information spätestens bei der ersten Interaktion wahrnehmbar sein muss.

KI-Assistent
Sie kommunizieren mit einem KI-System und nicht mit einem Menschen. Die Antworten werden automatisiert erzeugt und können unzutreffend oder unvollständig sein. Ihre Eingaben werden gemäß unserer Datenschutzerklärung verarbeitet. Bitte geben Sie keine vertraulichen oder besonders sensiblen Informationen ein.

Datenschutz: [Link] · Menschliche Unterstützung: [Link oder Kontakt]

Eine kompaktere Variante lautet:

Hinweis: Dieser Chat wird durch künstliche Intelligenz bereitgestellt. Sie kommunizieren nicht mit einem Menschen. [Datenschutz] · [Kontakt zu einem Mitarbeiter]

Kennzeichnung von Bild-, Audio- und Videoinhalten

Direkt am Inhalt, beispielsweise als Bildunterschrift, sichtbares Label oder Hinweis vor dem Abspielen:

KI-generiert / KI-manipuliert
Dieser [Bild-/Audio-/Video-]Inhalt wurde künstlich erzeugt oder wesentlich verändert und stellt keine unveränderte authentische Aufnahme dar.

Bei einer realitätsnahen Darstellung einer konkreten Person oder eines konkreten Ereignisses:

Künstlich erzeugte Darstellung
Dieser Inhalt wurde mithilfe künstlicher Intelligenz erstellt beziehungsweise verändert. Die dargestellte Situation hat in dieser Form nicht stattgefunden.

Deepfakes müssen direkt und klar als künstlich erzeugt oder manipuliert kenntlich gemacht werden. Bei künstlerischen, satirischen oder fiktionalen Werken darf die Kennzeichnung angemessen in das Werk eingebunden werden, darf aber nicht vollständig verborgen sein.

Kennzeichnung von KI-Texten

Für einen Text über Angelegenheiten von öffentlichem Interesse, der nicht vollständig menschlich überprüft oder redaktionell verantwortet wurde:

KI-generierter Inhalt
Dieser Text wurde mithilfe künstlicher Intelligenz erzeugt oder wesentlich verändert und nicht vollständig menschlich redaktionell geprüft.

Für redaktionell geprüfte Inhalte als freiwillige transparente Variante:

Mit KI-Unterstützung erstellt
Dieser Inhalt wurde mithilfe künstlicher Intelligenz vorbereitet und anschließend durch [Unternehmen/Redaktion] geprüft, bearbeitet und redaktionell verantwortet.

Die besondere gesetzliche Kennzeichnungspflicht für Texte betrifft Veröffentlichungen zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse. Sie entfällt nach dem Wortlaut des Art. 50 Abs. 4 unter anderem, wenn eine menschliche Überprüfung oder redaktionelle Kontrolle erfolgt ist und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.

Was zusätzlich technisch und organisatorisch umgesetzt werden muss

1. KI-Systeme vollständig erfassen

Dokumentieren Sie für jedes System:

• Anbieter und Produktbezeichnung;

• Zweck und tatsächliche Verwendung;

• Ihre Rolle als Anbieter oder Betreiber;

• verarbeitete Daten und Datenempfänger;

• mögliche Drittlandübermittlungen;

• Nutzung der Eingaben für Modelltraining;

• menschliche Kontrollmechanismen;

• Kennzeichnung und Zeitpunkt der Nutzerinformation.

Ein Unternehmen kann selbst zum „Anbieter“ im Sinne der KI-Verordnung werden, wenn es ein System unter eigenem Namen oder eigener Marke entwickeln lässt oder bereitstellt. Die bloße Bezeichnung als „Nutzer“ oder „Kunde“ im Vertrag ist daher nicht automatisch entscheidend.

2. Maschinenlesbare Kennzeichnung prüfen

Anbieter generativer KI-Systeme müssen grundsätzlich dafür sorgen, dass synthetische Audio-, Bild-, Video- und Textausgaben maschinenlesbar als künstlich erzeugt oder manipuliert erkennbar sind. Bei einem externen Anbieter sollten Sie sich diese Funktion und ihre Aktivierung vertraglich oder dokumentarisch bestätigen lassen. Betreiben Sie ein eigenes oder unter Ihrer Marke angebotenes System, kann die Verpflichtung unmittelbar Ihr Unternehmen treffen.

Für Systeme, die bereits vor dem 2. August 2026 in Verkehr gebracht wurden, besteht nur hinsichtlich dieser maschinenlesbaren Anbieterkennzeichnung eine begrenzte Übergangsfrist bis zum 2. Dezember 2026. Die sichtbaren Hinweise bei Chatbots oder Deepfakes werden von dieser besonderen Übergangsregelung nicht allgemein erfasst.

3. Datenschutzerklärung konkret ergänzen

Bei personenbezogenen Daten müssen unter anderem Verantwortlicher, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer, Drittlandübermittlungen, Betroffenenrechte und gegebenenfalls automatisierte Entscheidungen transparent beschrieben werden. Ein allgemeiner Satz wie „Wir verwenden KI“ ist dafür nicht ausreichend.

Bei ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung gelten zusätzliche Anforderungen. Ein gewöhnlicher Chatbot fällt nicht allein deshalb unter Art. 22 DSGVO; entscheidend ist, ob das System tatsächlich eine maßgebliche Entscheidung ohne wirksame menschliche Beteiligung trifft.

4. Cookie- und Einwilligungsmanagement prüfen

Lädt das KI-Widget externe Skripte, speichert es Informationen im Browser oder greift es auf vorhandene Geräteinformationen zu, muss geprüft werden, ob dies für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Ist es nicht unbedingt erforderlich, darf das Widget grundsätzlich erst nach einer wirksamen Einwilligung geladen werden.

5. Verträge mit KI-Anbietern kontrollieren

Zu prüfen sind insbesondere:

• Auftragsverarbeitungsvertrag;

• Server- und Verarbeitungsstandorte;

• Unterauftragnehmer;

• Trainingsnutzung von Ein- und Ausgaben;

• Löschfristen;

• technische Sicherheitsmaßnahmen;

• maschinenlesbare Inhaltskennzeichnung;

• Möglichkeiten zum Deaktivieren von Training und Protokollierung;

• Unterstützung bei Auskunfts-, Lösch- und Berichtigungsanfragen.

6. Mitarbeiter schulen

Anbieter und Betreiber von KI-Systemen müssen Maßnahmen zur Entwicklung der KI-Kompetenz ihrer Beschäftigten und sonstigen mit dem System arbeitenden Personen treffen. Die Schulungen sollten zum konkreten Einsatz, zu Risiken, Datenschutz, Vertraulichkeit, menschlicher Kontrolle und Fehlererkennung passen.

7. Besondere Risikofälle separat prüfen

Dieses Muster reicht nicht aus, wenn KI beispielsweise Bewerbungen filtert, Beschäftigte bewertet, Kreditwürdigkeit oder Versicherungsrisiken beurteilt, Bildungszugänge beeinflusst, Gesundheitsleistungen priorisiert oder biometrische beziehungsweise emotionale Merkmale bewertet. Solche Einsatzbereiche können als Hochrisiko-Anwendungen eingeordnet werden und erfordern eine gesonderte Risiko-, Datenschutz- und Compliance-Prüfung.

Bei einem voraussichtlich hohen Datenschutzrisiko, etwa durch umfangreiches Profiling, sensible Daten oder neue Überwachungstechnologien, kann zudem eine Datenschutz-Folgenabschätzung erforderlich sein.

Entscheidend für die Veröffentlichung

Vor der Übernahme müssen mindestens diese Angaben feststehen:

[Unternehmensname], [eingesetzte KI-Produkte und Anbieter], [Verwendungszwecke], [personenbezogene Daten], [Rechtsgrundlagen], [Speicherdauer], [Serverstandorte], [Trainingsnutzung], [menschliche Kontrolle] und [Kontaktmöglichkeit zu einem Mitarbeiter].