KI-App entwickeln und verkaufen
Rechtsanwalt
Veröffentlicht
• 27 Min Lesezeit
Das Wichtigste in Kürze
- Wer darf die eigene App verkaufen?
- Wer neben dem Job eine KI-App entwickeln will, klärt zuerst die Rechte am Code. Schaffen Beschäftigte ein Programm in Erfüllung ihrer Aufgaben oder auf Weisung, liegen die vermögensrechtlichen Befugnisse nach § 69b Abs. 1 UrhG vorbehaltlich anderer Vereinbarung beim Arbeitgeber.
- Wie begrenzen Sie die Datenweitergabe?
- Schicken Sie dem Sprachmodell nur die Angaben, die es für seine Aufgabe braucht. Bei einer Angebots-App können Sie etwa Name und Anschrift im eigenen System ergänzen, nachdem das Modell den Text entworfen hat.
- Wann braucht die App eine Widerrufsfunktion?
- Seit dem 19. Juni 2026 verlangt § 356a BGB bei erfassten Online-Fernabsatzverträgen eine leicht zugängliche Widerrufsfunktion während der Widerrufsfrist. Prüfen Sie diese Funktion im tatsächlichen Bestellweg, auch wenn Kunden über eine App abschließen.
Individuelle Prüfung
Jeder Fall ist speziell. Lassen Sie uns Ihren Sachverhalt unverbindlich prüfen.
Wenn Sie neben dem Job mit KI eine App entwickeln und verkaufen wollen, klären Sie zuerst, wer den Code vermarkten darf. Beschreiben Sie dann, was Kunden kaufen, welche Daten die App verarbeitet und ob sie im laufenden Betrieb selbst KI einsetzt. Aus diesen Antworten ergeben sich die Anforderungen an Datenschutz, Nutzungsbedingungen und den Verkauf.
Als Beispiel dient eine App für Handwerksbetriebe. Sie bereitet Angebote aus den Angaben des Betriebs vor. In einer Fassung setzt sie feste Textbausteine zusammen. In einer anderen schickt sie eine Leistungsbeschreibung an ein Sprachmodell, das daraus einen Entwurf macht. Die beiden Fassungen sehen für Kunden ähnlich aus. Für die Prüfung macht es einen Unterschied, wie der Text entsteht, wer ihn kontrolliert und wo die Daten verarbeitet werden.
Drei Fragen leiten Sie durch die Prüfung.
- Dürfen Sie die App während Ihres Arbeitsverhältnisses entwickeln und auf den Markt bringen?
- Welche Daten und Funktionen können Sie für einen Kundentest freigeben?
- Welche Unterlagen und Abläufe brauchen Sie vor dem ersten Verkauf?
Allgemeine Fragen zu Softwareverträgen und digitalen Diensten behandelt der Überblick zum IT-Recht.
Was heißt es, mit KI eine App zu entwickeln?
KI kann Ihnen beim Programmieren helfen oder eine Funktion für Ihre Kunden übernehmen. Bei der Entwicklung prüfen Sie vor allem, welche Informationen an den Programmierassistenten gelangen und welche Rechte Sie am Ergebnis haben. Beim Betrieb geht es darum, was die ausgelieferte App tatsächlich tut.
Beim sogenannten Vibe Coding beschreiben Sie einem KI-Assistenten eine Funktion. Der Assistent schlägt Programmcode vor oder ändert Dateien. Am Ende können daraus eine App mit festen Regeln, eine Anwendung mit integriertem Sprachmodell oder beide Varianten entstehen. Wenn Sie mehrere Tarife mit unterschiedlichen Funktionen anbieten, erfassen Sie auch diese Unterschiede.
Falls Sie die App als Software im Abo anbieten wollen, halten Sie für jeden Tarif fest, welche Funktionen und Leistungen Kunden erhalten. Diese Beschreibung ist die Grundlage für den SaaS-Vertrag.
| Einsatz | Beispiel | Was Sie zuerst prüfen |
|---|---|---|
| KI beim Programmieren | Ein Assistent schreibt Code. Die App erstellt Angebote mit festen Vorlagen. | Zugriff des Assistenten auf das Projekt und Herkunft des übernommenen Codes. |
| KI im laufenden Betrieb | Die App übermittelt Angaben zur gewünschten Leistung an ein Sprachmodell. | Datenweg, Vertragsbedingungen des Modelldienstes und Aufgabe der KI-Funktion. |
| KI mit Zugriff auf weitere Funktionen | Die App kann nach dem Entwurf auch einen E-Mail-Versand auslösen. | Berechtigungen, Freigabe vor dem Versand und Verhalten bei Fehlern. |
Halten Sie beide Umgebungen fest. Ein Programmierassistent kann etwa Zugriff auf Projektdateien und technische Protokolle erhalten. Der spätere Modelldienst sieht dagegen die von der App versandten Anfragen. Prüfen Sie, welche Daten Sie dem jeweiligen Dienst tatsächlich überlassen. Ein Test mit erfundenen Angebotsdaten hilft, diese Wege zu sehen, bevor ein Betrieb eigene Informationen eingibt.
Auch die geplante Vertriebsform gehört zur Einordnung. Ein Download landet auf dem Gerät des Kunden. Bei einer Web-App melden sich Kunden bei einem Dienst an, den Sie betreiben. Im Folgenden liegt der Schwerpunkt auf dieser Software im Abo, oft SaaS genannt. Für eine herunterladbare oder über einen App-Store verkaufte Fassung kommen weitere Fragen hinzu.
1. Dürfen Sie die App neben dem Job verkaufen?
Bei einer App aus dem Nebenerwerb brauchen Sie zwei getrennte Antworten. Die erste betrifft Ihre Nebentätigkeit und möglichen Wettbewerb mit dem Arbeitgeber. Die zweite betrifft Ihre Befugnis, den konkreten Code zu verkaufen, weiterzuentwickeln oder einer später gegründeten Gesellschaft zur Nutzung zu überlassen.
Arbeitsvertrag und Wettbewerb prüfen
Lesen Sie den Arbeitsvertrag und gegebenenfalls anwendbare Tarif- und Betriebsregelungen, bevor Sie das Projekt nach außen vorstellen. Prüfen Sie, ob eine Anzeige oder Zustimmung erforderlich ist und wann sie fällig wird. Beschreiben Sie dafür die Tätigkeit, den geplanten Umfang und die Kundengruppe. Das erleichtert eine schriftliche Klärung, die sich auf das konkrete Vorhaben bezieht.
Bei unmittelbarem Wettbewerb kann die Vermarktung schon vor der ersten Rechnung arbeitsrechtlich relevant werden.
Wer beim Arbeitgeber an Software für Handwerksbetriebe arbeitet und dieselben Unternehmen für die eigene App gewinnen will, sollte diese Überschneidung früh klären. Das gilt schon für den Inhalt einer Produktseite oder einer Einladung zur Warteliste. Halten Sie fest, welche Tätigkeiten der Arbeitgeber gegebenenfalls freigibt und für welche Fassung des Projekts die Freigabe gilt.
Für den Code zählt die Aufgabe
Schafft ein Arbeitnehmer ein Computerprogramm bei der Erfüllung seiner Aufgaben oder auf Weisung des Arbeitgebers, darf nach § 69b Abs. 1 UrhG grundsätzlich allein der Arbeitgeber die vermögensrechtlichen Befugnisse am Programm ausüben, sofern nichts anderes vereinbart wurde.
Eigene Geräte und Entwicklung in der Freizeit können bei der Einordnung helfen. Gehen Sie vor allem der Frage nach, welche Aufgaben Sie für den Arbeitgeber übernommen haben und welche Anweisungen es gab.
Legen Sie das private Projekt in einer getrennten Entwicklungsumgebung an. Verwenden Sie eigene Konten, ein eigenes Codearchiv und eigene Testdaten. Bewahren Sie die Versionsgeschichte und Vereinbarungen auf. Falls Sie bereits Teile einer betrieblichen Anwendung oder interne Unterlagen verwendet haben, klären Sie deren Herkunft und die erlaubte Nutzung vor der Weitergabe an Dritte.
§ 4 Abs. 2 GeschGehG untersagt unter anderem die Nutzung oder Offenlegung von Geschäftsgeheimnissen, wenn dabei eine Pflicht zur Beschränkung der Nutzung oder eine Geheimhaltungspflicht verletzt wird.
Erfasst eine solche Pflicht etwa vertrauliche Kalkulationsunterlagen, gehört auch ihre Eingabe in einen externen KI-Dienst in die Prüfung. Eine Zustimmung zur Nebentätigkeit sollte deshalb erkennen lassen, welche Materialien und Rechte die Beteiligten gesondert geregelt haben.
Die Herkunft des Codes belegen
Erfassen Sie für die veröffentlichte Fassung, wer welche Bestandteile beigetragen hat und zu welchen Bedingungen Sie sie verwenden dürfen. Behandeln Sie den erzeugten Code, selbst geschriebene Teile, Bibliotheken, Schriften und Grafiken jeweils nach ihrer Herkunft.
Der urheberrechtliche Schutz eines Computerprogramms setzt nach § 69a Abs. 3 UrhG voraus, dass es auf der eigenen geistigen Schöpfung seines Urhebers beruht.
Bei KI-unterstützter Entwicklung kommt es daher auf die konkrete menschliche Gestaltung an. Dokumentieren Sie beispielsweise eigene Architekturentscheidungen und Änderungen am Code. Prüfen Sie zusätzlich, ob KI-Vorschläge fremden Code übernehmen und ob dessen Nutzung unter einer Lizenz erlaubt ist.
Die Bedingungen des Programmierassistenten beantworten, welche Nutzung Ihnen der Dienst gestattet. Wenn ein Beitrag von einem freien Entwickler oder einer Mitgründerin stammt, brauchen Sie eine eigene Grundlage für dessen Verwendung.
Führen Sie eine Liste der verwendeten Softwarebausteine mit Version, Lizenz und Einbauort. Bei einer Komponente mit Weitergabepflichten kann es darauf ankommen, ob sie im eigenen Server läuft oder als Teil der App auf Kundengeräten installiert wird. Prüfen Sie auch Lizenzen mit besonderen Bedingungen für den Betrieb über ein Netzwerk. Bei unklarer Herkunft eines Bausteins lässt sich vor der Veröffentlichung noch entscheiden, ob Sie eine Freigabe einholen oder ihn ersetzen.
Festlegen, wer die App anbietet
Bestimmen Sie, ob Sie die App selbst anbieten oder eine Gesellschaft den Vertrieb übernimmt. Dieselbe Person oder Gesellschaft sollte im Bestellablauf, in der Vertragsbestätigung und bei der Abrechnung nachvollziehbar auftreten. Bei Gründung einer Gesellschaft halten Sie fest, welche Rechte und Anbieterkonten sie für die App benötigt. Klären Sie mit den Dienstleistern, ob und wie sich Konten und Verträge auf sie übertragen lassen.
Wer den selbstständigen Betrieb eines stehenden Gewerbes aufnimmt, muss das Gewerbe nach § 14 Abs. 1 GewO gleichzeitig bei der zuständigen Behörde anzeigen.
Bei einem geplanten regelmäßigen Vertrieb ist daher früh zu klären, ab wann Sie das Angebot nach außen aufnehmen. Für Rechtsform, Anmeldung und steuerliche Erfassung finden Sie die weiteren Schritte in der Checkliste zur Unternehmensgründung.
2. Was macht die App mit den Daten?
Beschreiben Sie die App so, dass ein Außenstehender ihren Zweck, ihre Nutzer und ihre Datenwege nachvollziehen kann. Spielen Sie danach einen vollständigen Vorgang in einer Testumgebung durch. Das Ergebnis sind ein Produktsteckbrief und eine Übersicht der Dienste, die bei der Nutzung tatsächlich beteiligt sind.
Zielgruppe und Leistung beschreiben
Der Produktsteckbrief sollte erklären, welches Ergebnis Kunden erhalten und welche Schritte sie selbst übernehmen. Für die Angebots-App kann das ein bearbeitbarer Textentwurf für den Betrieb sein. Preis, Empfänger und Versand liegen in dessen Verantwortung. Falls Ihre App künftig selbst Preise bestimmt oder Angebote versendet, beschreiben Sie diese Funktionen getrennt.
Halten Sie auch fest, ob sich das Angebot an Unternehmer, Verbraucher oder beide richtet. Notieren Sie, in welchen Ländern Sie es anbieten wollen und wer im App-Store oder auf Ihrer Website den Vertrag schließt. Erfassen Sie die Abrechnung, etwa ein Abo mit einer bestimmten Zahl an Anfragen oder eine Gebühr pro Nutzung. So lässt sich später überprüfen, ob Produktseite, Bestellablauf und Vertrag dasselbe Angebot beschreiben.
Ein praktischer Maßstab für die Vorführung ist der Weg vom ersten Login bis zum Vertragsende. Zeigen Sie Registrierung, Rollen, Beispielanfrage, Entwurf, Export und Löschung. Bei einer geschäftlichen Anwendung gehört auch der Zugriff durch mehrere Beschäftigte eines Betriebs dazu. Erfassen Sie, welche Rolle Ergebnisse freigeben oder andere Nutzer einladen darf.
Daten vom Eingabefeld bis zur Löschung verfolgen
Zeichnen Sie den Datenfluss vom Eingabefeld über Ihre Server bis zu den beteiligten Diensten und zurück. Berücksichtigen Sie dabei die Weboberfläche oder mobile App, Hosting, Datenbank, Anmeldung, Modell, Zahlung, E-Mail, Analyse und Fehlerberichte. Prüfen Sie bei jedem Dienst die übertragenen Felder, den Grund der Übertragung, Speicher- und Zugriffsmöglichkeiten sowie den Weg der Löschung.
Sehen Sie sich einen Testvorgang zusammen mit einer technisch qualifizierten Person an. Vergleichen Sie die Netzwerkaufrufe und Protokolle mit der geplanten Architektur. Prüfen Sie, ob Fehlerberichte Inhalte aus Eingaben enthalten und ob Anbieter bei Supportfällen auf gespeicherte Dateien zugreifen können. Für hochgeladene Dokumente kann es zusätzlich Suchindizes, Zwischenspeicher oder Sicherungskopien geben.
Wenn ein Nutzer ein Angebot löscht, verfolgen Sie auch den Weg der Kopien. Entscheidend für die weitere Prüfung ist, welche Löschmöglichkeiten die App tatsächlich bietet, wann Sicherungen überschrieben werden und welche Anbieter eigene Fristen setzen. Halten Sie diese Unterschiede fest, bevor Sie Kunden eine bestimmte Aufbewahrungsdauer zusagen.
3. Wie wird der Betrieb datenschutzkonform?
Eine App mit personenbezogenen Daten braucht eine Prüfung je Verarbeitungsvorgang. Die entscheidenden Fragen sind, wer den Zweck festlegt, welche Daten für diesen Zweck nötig sind und wer sie erhält. Daraus ergeben sich die Verträge, Informationen und Einstellungen für den Betrieb.
Verantwortlichkeit und Auftragsverarbeitung trennen
Ein SaaS-Anbieter kann bei verschiedenen Vorgängen unterschiedliche Rollen haben. Für die Rollenübersicht betrachten Sie daher beispielsweise die Angebotsdaten des Handwerksbetriebs getrennt von Ihrer eigenen Abrechnung.
Nach Art. 4 Nr. 7 und 8 DSGVO ist verantwortlich, wer allein oder gemeinsam über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Ein Auftragsverarbeiter verarbeitet solche Daten im Auftrag des Verantwortlichen.
| Vorgang in der Angebots-App | Typische Zuordnung im Beispiel | Was zu klären ist |
|---|---|---|
| Der Betrieb erstellt und speichert Angebote für seine Kunden. | Der Betrieb entscheidet über den Zweck. Der App-Anbieter verarbeitet die Inhalte nach seinen Weisungen. | Rechtsgrundlage beim Betrieb, Umfang des Auftrags und Zugriff für Support. |
| Der App-Anbieter rechnet sein eigenes Abo ab. | Der App-Anbieter entscheidet über die Verarbeitung für die eigene Abrechnung. | Datenumfang, Empfänger, gesetzliche Aufbewahrung und Information der Nutzer. |
| Ein Modelldienst verarbeitet Eingaben ausschließlich im Kundenauftrag. | Der Dienst kann Unterauftragsverarbeiter des App-Anbieters sein. | Genehmigung, vertragliche Pflichten, Speicherort und tatsächliche Einstellungen. |
Für ein direktes Verbraucherangebot kann der Anbieter selbst entscheiden, wie die App personenbezogene Daten für ihre Hauptfunktion verarbeitet. Bei Geschäftskunden kann der Anbieter ebenfalls für einzelne Zwecke verantwortlich sein. Das kann etwa der Fall sein, wenn er Inhalte aus Kundenkonten für eine eigene Produktanalyse auswertet. Ordnen Sie einen Vorgang nach der tatsächlichen Entscheidung über den Zweck ein.
Jede Verarbeitung personenbezogener Daten benötigt eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Eine Verarbeitung zur Vertragserfüllung nach Art. 6 Abs. 1 Buchst. b DSGVO muss für einen Vertrag mit der betroffenen Person erforderlich sein.
Bei Adressen der Kunden eines Handwerksbetriebs lässt sich deshalb aus dem Abo-Vertrag mit dem Betrieb allein keine Rechtsgrundlage für jede Verarbeitung ableiten. Der Betrieb klärt seine Rechtsgrundlage. Der App-Anbieter setzt die vereinbarte Verarbeitung in seinem Auftrag um.
Bei Gesundheitsdaten und anderen besonderen Kategorien personenbezogener Daten gilt grundsätzlich das Verarbeitungsverbot nach Art. 9 Abs. 1 DSGVO. Eine Verarbeitung setzt dann insbesondere eine passende Ausnahme nach Art. 9 Abs. 2 DSGVO voraus.
Überlegen Sie bei freien Eingabefeldern und Datei-Uploads, welche Informationen Nutzer dort eintragen können. Eine Angebots-App braucht im Regelfall keine Angaben zur Gesundheit des Auftraggebers. Beschränken Sie solche Eingaben nach Möglichkeit durch die Gestaltung der Oberfläche.
Die externe Modellschnittstelle absichern
Wer im Kundenauftrag Daten verarbeitet, muss die Einbindung der externen Dienste entlang der Vertragskette klären. Für die Modellschnittstelle kommt es auf den tatsächlich gebuchten Dienst und die benutzten Funktionen an.
Art. 28 Abs. 3 DSGVO verlangt für Auftragsverarbeitung einen Vertrag oder ein anderes bindendes Rechtsinstrument mit den vorgeschriebenen Inhalten, unter anderem zu Weisungen, Sicherheit und Beendigung der Verarbeitung.
Art. 28 Abs. 2 und 4 DSGVO verlangt für weitere Auftragsverarbeiter eine vorherige gesonderte oder allgemeine schriftliche Genehmigung und die Weitergabe der einschlägigen Datenschutzpflichten. Bei einer allgemeinen Genehmigung sind geplante Ergänzungen oder Wechsel so mitzuteilen, dass der Verantwortliche widersprechen kann.
Legen Sie die Anbieterbedingungen neben die Funktionen, die Ihre App tatsächlich verwendet. Klären Sie, welche Daten der Dienst in Missbrauchsprotokollen speichert und ob Datei- oder Verlaufsfunktionen Inhalte gesondert vorhalten. Prüfen Sie, ob der Anbieter Eingaben für eigene Zwecke wie das Modelltraining verwenden darf und welche Einstellungen das steuern. Halten Sie zusätzlich fest, wer auf die Daten zugreifen kann und wie die Löschung für die gebuchten Funktionen funktioniert.
Für Übermittlungen personenbezogener Daten an Empfänger in Drittländern gelten zusätzlich die Voraussetzungen der Art. 44 ff. DSGVO. Je nach Konstellation kommen etwa ein anwendbarer Angemessenheitsbeschluss oder geeignete Garantien in Betracht.
Prüfen Sie neben dem Speicherort, von wo aus beteiligte Unternehmen auf Daten zugreifen können. Klären Sie bei einer Drittlandübermittlung auch, ob die gewählte Grundlage die konkrete Verarbeitung und mögliche Weiterübermittlungen abdeckt. Das Ergebnis gehört in die Dienstleisterübersicht und in die Kundenunterlagen, soweit es dort relevant ist.
Eingaben, Protokolle und Löschung begrenzen
Der wirksamste Schritt ist häufig, weniger Informationen an die Modellschnittstelle zu schicken. In der Angebots-App reichen für einen Entwurf möglicherweise Art der Arbeit, Material und gewünschter Stil. Namen, Anschrift und verbindliche Preise kann die App anschließend aus den bereits gespeicherten Feldern ergänzen. Der Betrieb prüft den Entwurf vor dem Versand.
Art. 5 Abs. 1 Buchst. c und Art. 25 DSGVO verlangen Datenminimierung und die Berücksichtigung des Datenschutzes bei Gestaltung und Voreinstellungen der Verarbeitung.
Begrenzen Sie das Eingabeformat und prüfen Sie, was bei ungewöhnlichen Eingaben passiert. Auch eine Leistungsbeschreibung ohne Namen kann durch Ortsangaben oder eine Vorgangsnummer einer Person zugeordnet werden.
Pseudonymisierte Angaben bleiben personenbezogen, soweit sie einer Person mit zusätzlichen Informationen zugeordnet werden können. Das folgt aus Art. 4 Nr. 1 und 5 DSGVO in Verbindung mit Erwägungsgrund 26.
Entscheiden Sie, welche Inhalte Sie für Support und Fehlerbehebung speichern müssen. Bei einem fehlgeschlagenen Modellaufruf kann oft eine Vorgangsnummer für die Fehlersuche ausreichen. Hinterlegen Sie für Nutzerdaten, Protokolle und Sicherungen eigene Regeln. Prüfen Sie für jeden Speicherort, wer Auskünfte erteilen, Daten exportieren und Löschersuchen umsetzen kann.
Der Verantwortliche muss betroffene Personen nach Art. 13 oder 14 DSGVO über die Verarbeitung informieren. Welche Vorschrift gilt, hängt davon ab, ob die Daten bei der betroffenen Person oder aus einer anderen Quelle erhoben werden.
Richten Sie die Datenschutzerklärung an den tatsächlich verantworteten Vorgängen aus. Unterstützen Sie Geschäftskunden dabei, Auskünfte für ihre eigenen Verarbeitungen vorzubereiten. Weitere Fallkonstellationen behandelt der Ratgeber zu KI und Datenschutz.
4. Welche Pflichten löst die KI-Funktion aus?
Ob die KI-Verordnung Ihre App erfasst, richtet sich nach den Funktionen der angebotenen Fassung. Für jede KI-Funktion klären Sie anschließend Ihre Rolle, den vorgesehenen Einsatz und die damit verbundenen Pflichten.
Modellanbieter und Anbieter der App auseinanderhalten
Prüfen Sie die fertig angebotene App anhand der gesetzlichen Definition. Die Frage nach den Pflichten beim professionellen Einsatz eines Programmierassistenten gehört zur Entwicklungsumgebung. Für die App selbst kommt es auf deren Verarbeitung von Eingaben und auf ihre Ausgaben an.
Art. 3 Nr. 1 der KI-Verordnung beschreibt ein KI-System unter anderem als maschinengestütztes System, das mit einem gewissen Grad an Autonomie arbeitet und aus Eingaben ableitet, wie es Ausgaben erzeugt, die physische oder virtuelle Umgebungen beeinflussen können.
Für die Einstufung einer App als KI-System nach Art. 3 Nr. 1 der KI-Verordnung zählen die Funktionen der App. Der Einsatz eines KI-Assistenten bei der Programmierung erfüllt für sich genommen die Merkmale der Definition für die fertige App nicht.
Im Beispiel hängt die Einordnung davon ab, ob die App feste Angebotsbausteine nach vorgegebenen Regeln einsetzt oder mit einem Sprachmodell eigenständig einen neuen Text entwirft.
Wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt, kann nach Art. 3 Nr. 3 der KI-Verordnung dessen Anbieter sein, auch wenn das eingebundene Modell von einem anderen Unternehmen stammt.
Ein Geschäftskunde, der ein KI-System in eigener Verantwortung beruflich verwendet, kann nach Art. 3 Nr. 4 der KI-Verordnung Betreiber dieses Systems sein.
Halten Sie für die Einordnung fest, wer die Funktion veröffentlicht, wer sie steuert und wer Änderungen ausliefert.
Art. 4 der KI-Verordnung in der Fassung der Verordnung (EU) 2026/1744 verlangt von Anbietern und Betreibern Maßnahmen, die die KI-Kompetenz des mit Betrieb oder Nutzung befassten Personals und der dafür in ihrem Auftrag handelnden Personen fördern. Die Vorschrift verlangt keine Garantie eines bestimmten Kompetenzniveaus.
Für die Angebots-App kann eine Anleitung zeigen, wie Beschäftigte den Entwurf auf erfundene Leistungen, falsche Angaben oder eine unpassende Preisnennung prüfen. Geben Sie an, an wen sich Anwender bei einem Fehler wenden können.
Chat, Textentwurf und Bewertung unterscheiden
Ein Textentwurf für einen Handwerksbetrieb, ein Kundenchat und die Bewertung von Bewerbungen haben unterschiedliche Zwecke. Beschreiben Sie diese Zwecke in Ihrer Dokumentation, auf der Produktseite und in den Anleitungen einheitlich. Prüfen Sie für die geplante Funktion zunächst, ob ein Verbot nach Art. 5 der KI-Verordnung einschlägig ist. Ordnen Sie danach ein, welche Anforderungen sich aus Funktion und Risiko ergeben.
Bei KI-Systemen zur direkten Interaktion mit Menschen müssen Anbieter das System nach Art. 50 Abs. 1 der KI-Verordnung grundsätzlich so gestalten, dass die angesprochenen Personen über die KI-Interaktion informiert werden. Eine Ausnahme greift, wenn die Interaktion mit einem KI-System unter den Umständen für eine angemessen informierte, aufmerksame und verständige Person offensichtlich ist.
Art. 50 Abs. 5 der KI-Verordnung verlangt für die von ihm erfassten Informationen eine klare, unterscheidbare und zugängliche Mitteilung spätestens bei der ersten Interaktion oder beim ersten Kontakt mit dem Inhalt.
Planen Sie den Hinweis bei einem Kundenchat an der Stelle ein, an der das Gespräch beginnt.
Art. 50 Abs. 2 der KI-Verordnung verpflichtet Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, die Ausgaben grundsätzlich maschinenlesbar als künstlich erzeugt oder manipuliert zu markieren und erkennbar zu machen. Die Pflicht entfällt unter anderem, soweit das System bei der Standardbearbeitung unterstützt oder die vom Betreiber bereitgestellten Eingaben oder ihre Semantik im Wesentlichen unverändert lässt.
Prüfen Sie die maschinenlesbare Markierung daher gesondert von einem sichtbaren Hinweis beim Chat.
Die Transparenzpflichten des Art. 50 der KI-Verordnung gelten grundsätzlich seit dem 2. August 2026. Für Anbieter von Systemen, die synthetische Inhalte erzeugen und vor diesem Datum in Verkehr gebracht wurden, sieht Art. 111 Abs. 4 für die Erfüllung von Art. 50 Abs. 2 eine Übergangsfrist bis zum 2. Dezember 2026 vor.
KI-Systeme für die Auswahl von Bewerbern, etwa zur Analyse und Filterung von Bewerbungen oder zur Bewertung von Kandidaten, fallen unter Anhang III Nr. 4 Buchst. a der KI-Verordnung. Ob eine Ausnahme von der Hochrisiko-Einstufung greift, richtet sich nach Art. 6 Abs. 3 der KI-Verordnung. Führt das in Anhang III genannte System ein Profiling natürlicher Personen durch, gilt es stets als hochriskant.
Wer aus einer Schreibassistenz ein Werkzeug zur Vorauswahl macht, sollte die neue Funktion vor einem Pilotbetrieb prüfen.
Art. 22 Abs. 1 DSGVO schützt betroffene Personen grundsätzlich vor ausschließlich automatisierten Entscheidungen, die ihnen gegenüber rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen. Art. 22 Abs. 2 DSGVO regelt die Ausnahmen.
Nach Art. 113 Abs. 3 Buchst. c der KI-Verordnung in der Fassung der Verordnung (EU) 2026/1744 gelten die zentralen Hochrisikoregeln in Kapitel III Abschnitte 1 bis 3, mit Ausnahme von Art. 6 Abs. 5, ab dem 2. Dezember 2027 für Hochrisiko-Systeme nach Art. 6 Abs. 2 und Anhang III und ab dem 2. August 2028 für solche nach Art. 6 Abs. 1 und Anhang I.
Wenn Sie ein solches Produkt planen, kalkulieren Sie die erforderliche Dokumentation, menschliche Aufsicht und Konformitätsprüfung für den geplanten Einsatz ein. Aktuelle Fassung der KI-Verordnung
5. Was gehört in AGB und Bestellablauf?
Die Vertragsbedingungen beschreiben, was Sie liefern und wie Kunden die App nutzen dürfen. Bestellablauf, Werbung und Funktionen sollten zu diesen Bedingungen passen. Der Verkauf an Geschäftskunden und der Verkauf an Verbraucher erfordern dabei unterschiedliche Prüfungen.
Software im Abo an Unternehmen verkaufen
Bei Software im Abo gehören Leistungsumfang, Abrechnung und Vertragsende in die Vertragsunterlagen. Legen Sie auch fest, wann eine KI-Ausgabe zur weiteren Bearbeitung gedacht ist, welche Verfügbarkeit Sie zusagen und wie Sie über Änderungen informieren.
- Leistung und Verfügbarkeit. Beschreiben Sie die vereinbarten Funktionen, den Support und den Umgang mit Ausfällen. Regeln Sie, was passiert, wenn ein Modelldienst vorübergehend ausfällt oder eine vereinbarte Funktion dauerhaft entfällt.
- Preis und Nutzung. Legen Sie fest, wer ein Konto nutzen darf, wie sich das Entgelt berechnet und wie die App bei Überschreitung eines Kontingents reagiert. Die Abrechnung muss sich mit den Angaben bei der Bestellung nachvollziehen lassen.
- Inhalte und Berechtigungen. Bestimmen Sie, welche Rechte die App für die Verarbeitung hochgeladener Inhalte benötigt und was Kunden mit den Ausgaben tun dürfen. Halten Sie die Bedingungen so eng wie der angebotene Betrieb es erfordert.
- Vertragsende. Legen Sie fest, welche Inhalte Kunden bis wann und in welchem Format exportieren können. Stimmen Sie den Zeitpunkt der Sperrung und Löschung mit den tatsächlich verfügbaren Funktionen und der Datenschutzvereinbarung ab.
Auch im unternehmerischen Geschäftsverkehr unterliegen Allgemeine Geschäftsbedingungen der Inhaltskontrolle nach § 307 BGB unter Berücksichtigung von § 310 Abs. 1 BGB. Eine unangemessene Benachteiligung kann auch aus einer unklaren oder unverständlichen Klausel folgen.
Entwickeln Sie die Haftungsregeln aus der vereinbarten Leistung und dem konkreten Fehlerbild. Bei der Angebots-App macht es einen Unterschied, ob sie einen Text zum Bearbeiten ausgibt oder verbindliche Beträge berechnet und versendet. Die Freigabe durch den Kunden sollte dort stattfinden, wo der Kunde Entwurf und Preis tatsächlich prüfen kann.
Prüfen Sie, wie Ihre Zusagen an Kunden mit den Bedingungen des Modell- und Hostinganbieters zusammenpassen. Für messbare Zusagen zu Verfügbarkeit und Reaktionszeiten können Sie eine gesonderte Vereinbarung zum Leistungsniveau verwenden.
Den Kauf für Verbraucher gestalten
Bei Verbrauchern müssen Sie zusätzlich den elektronischen Vertragsschluss und die Vertragsbeendigung gestalten. Prüfen Sie den Weg vom beworbenen Tarif bis zu Bestätigung, Widerruf und Kündigung auf den Geräten, die Ihre Kunden tatsächlich verwenden.
Für die Einbeziehung vorformulierter Bedingungen in einen Verbrauchervertrag verlangt § 305 Abs. 2 BGB im Regelfall einen Hinweis bei Vertragsschluss, eine zumutbare Möglichkeit zur Kenntnisnahme und das Einverständnis des Vertragspartners.
Machen Sie die Bedingungen vor dem Abschluss leicht erreichbar. Speichern Sie für jede Bestellung, welche Fassung zu diesem Zeitpunkt galt. Achten Sie darauf, dass Laufzeit, Preis und Leistungsbeschreibung in der Bestätigung mit der Bestellung übereinstimmen.
Bei erfassten Fernabsatzverträgen muss der Unternehmer den Verbraucher nach § 312d Abs. 1 BGB in Verbindung mit Art. 246a § 1 EGBGB unter anderem über Leistung, Anbieter, Gesamtpreis und bei Abos über die Kosten je Abrechnungszeitraum informieren. Besteht ein Widerrufsrecht, gehören die Bedingungen, Fristen und das Verfahren seiner Ausübung zu den Pflichtangaben. Dazu zählen gegebenenfalls auch das Bestehen und die Platzierung der elektronischen Widerrufsfunktion.
- Bestellen. Bei erfassten entgeltlichen Verbraucherverträgen im elektronischen Geschäftsverkehr verlangt § 312j Abs. 2 BGB unmittelbar vor der Bestellung hervorgehobene Informationen, etwa zu wesentlichen Leistungsmerkmalen, Preis und gegebenenfalls Laufzeit.§ 312j Abs. 3 BGB verlangt bei erfassten zahlungspflichtigen Bestellungen im elektronischen Geschäftsverkehr eine eindeutige Bestätigung der Zahlungspflicht. Erfolgt die Bestellung über eine Schaltfläche, muss sie mit „zahlungspflichtig bestellen“ oder einer entsprechend eindeutigen Formulierung beschriftet sein. Nach § 312j Abs. 4 BGB kommt der Vertrag nur zustande, wenn der Unternehmer diese Pflicht erfüllt.
- Widerrufen. Die Widerrufsfrist beträgt nach § 355 Abs. 2 BGB grundsätzlich 14 Tage. Sie beginnt mit Vertragsschluss, soweit das Gesetz keinen anderen Beginn vorsieht. Bei erfassten Fernabsatzverträgen setzt der Fristbeginn nach § 356 Abs. 3 BGB außerdem die vorgeschriebene Information über das Widerrufsrecht voraus.Seit dem 19. Juni 2026 verlangt § 356a BGB bei erfassten Online-Fernabsatzverträgen eine hervorgehobene, eindeutig beschriftete und leicht erreichbare Widerrufsfunktion, die während der Widerrufsfrist ständig verfügbar ist. Eine gesondert beschriftete Funktion ermöglicht die Bestätigung. Anschließend muss der Unternehmer unverzüglich eine Eingangsbestätigung auf einem dauerhaften Datenträger übermitteln. Sie nennt den Inhalt des Widerrufs und Datum und Uhrzeit seines Eingangs.Für die Gestaltung hilft der Ratgeber zur elektronischen Widerrufsfunktion.
- Kündigen. § 312k BGB verlangt vorbehaltlich der gesetzlichen Ausnahmen einen elektronischen Kündigungsweg, wenn Verbraucher über eine Webseite ein Dauerschuldverhältnis abschließen können, das den Unternehmer zu einer entgeltlichen Leistung verpflichtet.Fehlen die vorgeschriebenen Schaltflächen oder die Bestätigungsseite, kann der Verbraucher einen erfassten Vertrag nach § 312k Abs. 6 BGB jederzeit ohne Einhaltung einer Kündigungsfrist kündigen.
Für eine mobile App mit Abrechnung über einen Store gehen Sie den dortigen Kauf als Testkunde durch. Klären Sie anhand der tatsächlichen Vertragsbeziehungen, wer welche Informationen, Bestätigungen und Beendigungsfunktionen bereitstellt. Erfassen Sie gesondert, welche Funktionen Sie selbst in der App oder auf der Website umsetzen.
§ 356 Abs. 5 und 6 BGB knüpft das vorzeitige Erlöschen des Widerrufsrechts bei Dienstleistungen und bei digitalen Inhalten auf keinem körperlichen Datenträger an unterschiedliche Voraussetzungen.
Wenn Kunden die App sofort nutzen können, prüfen Sie daher gesondert, wie Ihr Angebot einzuordnen ist und welche Erklärungen beim Abschluss erforderlich sind.
Die Regeln für digitale Produkte nach § 327 BGB erfassen Verbraucherverträge über digitale Inhalte oder Dienste gegen einen Preis. Sie können nach § 327 Abs. 3 BGB auch gelten, wenn Verbraucher personenbezogene Daten bereitstellen. Die Ausnahme nach § 312 Abs. 1a Satz 2 BGB betrifft Daten, die der Unternehmer ausschließlich zur Leistungserfüllung oder zur Erfüllung rechtlicher Anforderungen verarbeitet.
Prüfen Sie diese Voraussetzungen auch bei einem kostenlosen Tarif mit Datenverarbeitung für eigene Zwecke.
Nach § 327f BGB muss der Unternehmer die für die Vertragsmäßigkeit erforderlichen Aktualisierungen einschließlich Sicherheitsupdates bereitstellen und Verbraucher darüber informieren. Bei dauerhafter Bereitstellung gilt die Pflicht für den Bereitstellungszeitraum.
Für Änderungen eines dauerhaft bereitgestellten digitalen Produkts, die über die Erhaltung der Vertragsmäßigkeit hinausgehen, verlangt § 327r Abs. 1 BGB eine vertraglich vorgesehene Änderungsmöglichkeit mit triftigem Grund. Die Änderung muss für den Verbraucher ohne zusätzliche Kosten bleiben. Der Unternehmer muss klar und verständlich über sie informieren.
Wenn der Austausch eines Modells eine zugesagte Funktion einschränkt, prüfen Sie vor der Umstellung die zusätzlichen Informations- und Beendigungsregeln.
Beeinträchtigt eine Änderung den Zugriff auf ein dauerhaft bereitgestelltes digitales Produkt oder seine Nutzbarkeit mehr als unerheblich, kann der Verbraucher den Vertrag nach § 327r Abs. 3 und 4 BGB grundsätzlich innerhalb von 30 Tagen unentgeltlich beenden. Die Frist beginnt mit Zugang der Information oder bei einer späteren Änderung mit deren Umsetzung. Das Recht entfällt, wenn ihm der Zugriff auf das unveränderte Produkt und dessen Nutzbarkeit ohne zusätzliche Kosten erhalten bleiben.
Impressum, Tracking und App-Store-Angaben abgleichen
Die Anbieterinformationen und Datenschutzhinweise müssen zum konkreten Vertrieb passen. Vergleichen Sie die Angaben auf der Website, in der App und im Store mit der tatsächlich ausgelieferten Version. Das betrifft auch später hinzugefügte Analyse- oder Absturzberichte.
§ 5 DDG verlangt bei geschäftsmäßigen, in der Regel gegen Entgelt angebotenen digitalen Diensten, dass die vorgeschriebenen Anbieterinformationen leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sind.
Prüfen Sie die Erreichbarkeit des Impressums auch vor der Anmeldung. Halten Sie die Angaben im Store und in den Vertragsunterlagen mit dem tatsächlichen Anbieter in Einklang.
§ 25 TDDDG verlangt für das Speichern von Informationen auf Endgeräten oder den Zugriff auf dort gespeicherte Informationen grundsätzlich eine Einwilligung. Eine Ausnahme gilt unter anderem, soweit der Vorgang unbedingt erforderlich ist, um einen ausdrücklich gewünschten digitalen Dienst bereitzustellen.
Untersuchen Sie dafür auch eingebundene App-Module. Bei einem Analysemodul sollten Sie prüfen, wann es startet, welche Kennungen es ausliest und wie sich die Entscheidung des Nutzers technisch auswirkt.
§ 1 Abs. 3 Nr. 5 BFSG erfasst Dienstleistungen im elektronischen Geschäftsverkehr, die nach dem 28. Juni 2025 für Verbraucher erbracht werden. § 3 Abs. 3 BFSG nimmt Kleinstunternehmen aus, soweit sie Dienstleistungen anbieten oder erbringen.
Prüfen Sie den Anwendungsbereich und die Ausnahme anhand Ihres Angebots. Wenn die Pflichten greifen, berücksichtigen Sie den Zugang zur Registrierung und zum Bestellablauf. Beispiele finden Sie im Ratgeber zur Barrierefreiheit im Onlinehandel.
6. Welche Technik muss vor dem Start geprüft sein?
Prüfen Sie die geplante Version mit getrennten Testkonten und fehlerhaften Eingaben. So zeigt sich, wie die App bei falschen Berechtigungen, manipulierten Dateien und einem ausgefallenen Modelldienst reagiert. Halten Sie die Ergebnisse so fest, dass eine weitere Person sie nachvollziehen kann.
Daten und Funktionen über getrennte Testkonten prüfen
Bei einem Abo für mehrere Betriebe kommt es auf die Trennung der Kundenkonten in der Anwendung und in der Datenbank an.
Versuchen Sie mit einem Testkonto, über einen kopierten Link auf eine fremde Datei zuzugreifen. Testen Sie denselben Vorgang direkt an der Programmierschnittstelle. Ein ausgeblendeter Menüpunkt schützt den Datensatz nur, wenn der Server den Zugriff selbst kontrolliert. Prüfen Sie außerdem, ob Schlüssel für Modell- oder Zahlungsdienste ausschließlich in der geschützten Umgebung liegen.
Laden Sie in die Angebots-App ein Testdokument mit Anweisungen hoch, die mit der Aufgabe nichts zu tun haben. Ein Beispiel ist die Aufforderung, die letzte Anfrage eines anderen Kunden offenzulegen. Das Ergebnis zeigt, auf welche Daten und Werkzeuge die KI-Funktion zugreifen kann. Begrenzen Sie diesen Zugriff technisch. Beim Versand einer E-Mail kann eine gesonderte Freigabe sicherstellen, dass eine Person Empfänger, Inhalt und Anhänge sieht.
Prüfen Sie auch den Ausfall des Modells und die Rückkehr zur vorherigen Version. Ein verständlicher Fehlerhinweis hilft dem Betrieb zu erkennen, ob sein Entwurf gespeichert ist. Testen Sie, wie Sie die Modellfunktion vorübergehend abschalten, während die übrige App verfügbar bleibt. Spielen Sie eine Sicherung zurück und prüfen Sie, welche Daten dabei wieder verfügbar werden. Notieren Sie, wer diese Schritte auslösen darf und wer verwendete Bibliotheken auf Sicherheitsupdates kontrolliert.
Vorfälle und Updates vorbereiten
Halten Sie für den laufenden Betrieb fest, wer Schwachstellen bewertet, Updates bereitstellt und bei einem Vorfall Kunden informiert. Bei einer kleinen Gründung kann dieselbe Person mehrere Aufgaben übernehmen. Eine erreichbare Kontaktadresse und ein Ablauf für Abwesenheiten erleichtern die Reaktion.
Nach Art. 33 Abs. 1 DSGVO muss der Verantwortliche die zuständige Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach eigener Kenntnis über eine Verletzung des Schutzes personenbezogener Daten informieren. Die Meldung entfällt, wenn ein Risiko für die Rechte und Freiheiten natürlicher Personen unwahrscheinlich ist. Ein Auftragsverarbeiter meldet dem Verantwortlichen eine ihm bekannt gewordene Verletzung nach Art. 33 Abs. 2 DSGVO unverzüglich.
Für einen möglichen Zugriff auf fremde Angebotsdaten sollten Sie feststellen können, welche Konten betroffen sind und wie lange der Zugriff möglich war.
Prüfen Sie bei einer kommerziellen Download-App zusätzlich, ob sie ein Produkt mit digitalen Elementen nach der Cyberresilienz-Verordnung ist.
Die Cyberresilienz-Verordnung gilt nach ihrem Art. 71 grundsätzlich ab dem 11. Dezember 2027. Art. 14 gilt seit dem 11. September 2026 und enthält Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bei erfassten Produkten.
Halten Sie für Ihre geplante Vertriebsform fest, ob Sie einen eigenen Melde- und Aktualisierungsprozess einrichten müssen.
7. Was muss vor der Veröffentlichung vorliegen?
Für die Veröffentlichung brauchen Sie eine nachvollziehbare Entscheidung über eine bestimmte Fassung. Dazu gehören die freigegebenen Funktionen, die beteiligten Dienste, die vorgesehenen Nutzer und die auf diese Fassung abgestimmten Vertragsunterlagen.
Den Pilotbetrieb begrenzen
Beginnen Sie mit erfundenen Testdaten. Wenn ein Betrieb eigene Daten im Pilot einsetzen soll, legen Sie vor dem Start fest, welche Vorgänge geprüft werden und welche Daten dafür erforderlich sind. Halten Sie Dauer, Zugriffsrechte, technische Grenzen und das Ende des Tests fest. Vereinbaren Sie mit dem Betrieb, wie er Daten und Entwürfe zurückerhält und wann verbliebene Kopien gelöscht werden.
Art. 35 Abs. 1 DSGVO verlangt vom Verantwortlichen vorab eine Datenschutz-Folgenabschätzung, wenn eine geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.
Prüfen Sie das vor einem Pilot mit personenbezogenen Daten. Bei einer App, die umfangreiche Gesundheitsinformationen verarbeitet oder Menschen systematisch bewertet, kann sich ein anderer Prüfbedarf ergeben als bei einer App, die Materialangaben in einen Textentwurf umformuliert.
Ein geeigneter Pilot hat ein überprüfbares Ziel. Für die Angebots-App kann der Betrieb beispielsweise feststellen, welche Informationen für einen brauchbaren Entwurf ausreichen. Lassen Sie den automatischen Versand zunächst ausgeschaltet und protokollieren Sie, an welchen Stellen der Betrieb Angaben ergänzen oder korrigieren muss. Die Ergebnisse helfen Ihnen, das Angebot vor dem Verkauf genauer zu beschreiben.
Die Freigabe dokumentieren
Stellen Sie vor der Veröffentlichung diese Unterlagen für die angebotene Fassung zusammen.
- Rechteübersicht. Legen Sie die Vereinbarungen zur Nebentätigkeit und gegebenenfalls zur Nutzung betrieblicher Beiträge ab. Ergänzen Sie die Liste der Codebestandteile und Lizenzen.
- Produktsteckbrief. Benennen Sie Anbieter, Zielgruppe, Leistungsumfang, Vertriebskanäle und Funktionen, die erst später hinzukommen sollen.
- Datenfluss und Verträge. Erfassen Sie Verarbeitung, Dienste, tatsächliche Einstellungen und Löschung. Ordnen Sie den Vorgängen die Datenschutzinformationen und erforderlichen Verträge zu.
- Einordnung der KI-Funktionen. Halten Sie für jede Funktion Zweck, Rolle und geprüfte Anforderungen fest. Vermerken Sie, an welcher Stelle nötige Informationen angezeigt oder Ausgaben markiert werden.
- Kauf- und Vertragsunterlagen. Legen Sie je Vertriebsweg die angezeigten Tarife, Vertragsfassungen, Bestätigungen und Beendigungsfunktionen ab. Dokumentieren Sie einen Testkauf.
- Prüfprotokoll. Vermerken Sie die getestete Version, gefundene Fehler, offene Maßnahmen und die Zuständigkeit für Sicherheitsupdates oder Vorfälle.
- Entscheidung über den Start. Legen Sie fest, welche Fassung zum Verkauf freigegeben ist. Benennen Sie etwaige Beschränkungen, die im Produkt wirksam sein müssen.
Die Unterlagen helfen auch bei späteren Änderungen. Wenn Sie das KI-Modell austauschen, prüfen Sie vor der Freigabe erneut Datenwege, Vertragsbedingungen und Ergebnisse. Der Wechsel kann bei gleicher Oberfläche andere Empfänger und Speicherregeln mitbringen. Kommt eine Funktion hinzu, die selbst E-Mails versendet oder Entscheidungen vorbereitet, nehmen Sie auch die Zweckbestimmung und die Zugriffsrechte wieder in den Blick.
Vom Prototyp zum eigenen Angebot
Wer neben dem Job eine App entwickelt, kann die erste Prüfung schon mit einem Prototyp, dem Arbeitsvertrag und einem Überblick über die Herkunft des Codes beginnen. Für den Verkauf kommen die Vorführung der geplanten Fassung, die Liste der beteiligten Dienste und ein Entwurf des Kaufablaufs hinzu. Damit lässt sich entscheiden, ob der nächste sinnvolle Schritt eine Rechteklärung, ein begrenzter Test oder die Vorbereitung des Verkaufs ist.
Wenn Sie einen Pilotbetrieb oder den ersten Verkauf vorbereiten, prüfen wir die konkrete Fassung Ihrer App. An der technischen Due Diligence wirkt CTO Wilhelm Raider mit. Er prüft, wohin Kundendaten fließen, welche Schnittstellen die App nutzt und wie die Zugriffsrechte umgesetzt sind. Seine Befunde fließen in die anwaltliche Prüfung von Datenschutz und KI-Funktionen sowie in die Gestaltung der Vertragsbedingungen ein.
Antworten auf einen Blick
Häufige Fragen
Die häufigsten Fragen zum Thema, kompakt beantwortet. Für die vollständige Einordnung bleiben die Abschnitte oben maßgeblich.
Darf ich neben dem Job eine KI-App entwickeln und verkaufen?
Sie können neben dem Job eine App vermarkten, wenn Ihre Nebentätigkeit zulässig ist und Sie den konkreten Code dafür nutzen dürfen. § 69b Abs. 1 UrhG ordnet die vermögensrechtlichen Befugnisse grundsätzlich dem Arbeitgeber zu, wenn ein Programm in Erfüllung von Arbeitsaufgaben oder auf Weisung entsteht und nichts anderes vereinbart ist. Prüfen Sie getrennt, ob Sie die Nebentätigkeit anzeigen oder eine Zustimmung einholen müssen. Das Bundesarbeitsgericht hat im Urteil vom 24. Februar 2021 (Az. 10 AZR 8/19) die unveröffentlichte Vorbereitung einer Website von der öffentlichen Werbung für Leistungen unterschieden. Bei einem Konkurrenzangebot lohnt sich die Prüfung daher schon vor der Freischaltung Ihrer Produktseite oder Warteliste.
Wem gehören die Rechte am KI-generierten Code?
Ob Code einer KI-App geschützt ist, hängt nach § 69a Abs. 3 UrhG von der eigenen geistigen Schöpfung seines Urhebers ab. Für die Vermarktung prüfen Sie drei Gruppen von Bestandteilen getrennt. Das sind Ihre eigenen Beiträge, Vorschläge des Programmierassistenten und Material Dritter wie Bibliotheken, Grafiken oder Beiträge eines freien Entwicklers. Dokumentieren Sie, welche Teile Sie selbst entworfen oder überarbeitet haben. Sehen Sie für fremde Beiträge nach, welche Nutzung die Lizenz oder der Vertrag erlaubt. Wichtig ist dabei die geplante Vertriebsform. Eine Berechtigung für den Serverbetrieb kann einen Download durch Kunden anders behandeln. Bei einer späteren Gründung sollten Sie auch festhalten, welche Rechte die Gesellschaft benötigt.
KI-App entwickeln mit einem Assistenten – gilt die KI-Verordnung?
Entscheidend für die Einordnung der verkauften App ist, ob ihre Funktionen die Definition eines KI-Systems nach Art. 3 Nr. 1 der KI-Verordnung erfüllen. Prüfen Sie den Programmierassistenten und das angebotene Produkt getrennt. Eine App mit festen Textvorlagen hat andere Funktionen als eine App, die aus Nutzereingaben mit einem Sprachmodell neue Texte erzeugt. Wer eine solche KI-Funktion unter eigenem Namen anbietet, sollte seine Rolle als Anbieter des Systems prüfen. Die Transparenzpflichten nach Art. 50 der KI-Verordnung gelten grundsätzlich seit dem 2. August 2026. Für die Umsetzung kommt es unter anderem darauf an, ob die Funktion direkt mit Menschen interagiert oder synthetische Inhalte erzeugt.
Wann braucht meine KI-App einen Auftragsverarbeitungsvertrag?
Verarbeiten Sie personenbezogene Daten weisungsgebunden für einen Geschäftskunden, verlangt Art. 28 Abs. 3 DSGVO einen Vertrag oder ein anderes bindendes Rechtsinstrument. Prüfen Sie zwei Ebenen. Auf der ersten Ebene regeln Sie die Verarbeitung gegenüber dem Kunden. Auf der zweiten Ebene klären Sie, welche weiteren Dienste Daten im Kundenauftrag erhalten und ob deren Einbindung genehmigt ist. Ein Modelldienst kann etwa Auftragsdaten zum Erstellen eines Entwurfs verarbeiten. Klären Sie für seine tatsächlich verwendete Schnittstelle, welche Daten sie erhält, welche Inhalte sie speichert und welche Personen darauf zugreifen können. Trennen Sie diese Verarbeitung von eigenen Vorgängen wie der Abrechnung Ihres Abos. Halten Sie die Rollen je Zweck im Datenfluss fest.
Testkunden für die KI-App – wann darf ich echte Daten nutzen?
Für einen Pilotbetrieb mit personenbezogenen Kundendaten braucht der Verantwortliche eine Rechtsgrundlage für die konkrete Verarbeitung nach Art. 6 Abs. 1 DSGVO. Klären Sie vor dem Test drei Punkte. Legen Sie erstens die für den Test nötigen Daten und ihren Zweck fest. Ordnen Sie zweitens jedem Vorgang eine verantwortliche Stelle zu und klären Sie gegebenenfalls die Auftragsverarbeitung. Testen Sie drittens die vorgesehenen Zugriffe und die Löschung. Bei einer Verarbeitung mit voraussichtlich hohem Risiko verlangt Art. 35 Abs. 1 DSGVO vorab eine Datenschutz-Folgenabschätzung durch den Verantwortlichen. Beginnen Sie mit erfundenen Daten und nehmen Sie die vereinbarten echten Daten erst für den begrenzten Testzweck hinzu.
Welche AGB brauche ich für eine KI-App im Abo?
AGB für ein App-Abo sollten verständlich regeln, welche Leistung Kunden erhalten, wie Sie abrechnen und wie Kunden den Vertrag beenden. Die Inhaltskontrolle nach § 307 BGB gilt auch für AGB im Geschäftsverkehr zwischen Unternehmen. Orientieren Sie sich an vier Bereichen. Beschreiben Sie erstens, welche Funktionen und Verfügbarkeit Sie zusagen. Legen Sie zweitens Preise, Nutzungskontingent und Folgen einer Überschreitung fest. Regeln Sie drittens den Umgang mit Eingaben und den erzeugten Inhalten. Klären Sie viertens, wie Kunden nach Kündigung ihre Daten exportieren können. Bei KI-Funktionen sollte aus der Oberfläche und dem Vertrag hervorgehen, an welcher Stelle Kunden ein Ergebnis prüfen. Für ein Verbraucherabo kommen die Regeln für digitale Produkte und den elektronischen Vertragsschluss hinzu.
App-Abo für Verbraucher – welche Schaltflächen brauche ich?
Für ein Verbraucherabo prüfen Sie die zahlungspflichtige Bestellung nach § 312j BGB und richten die jeweils erforderlichen Wege für Kündigung und Widerruf ein. Kann der Verbraucher einen erfassten entgeltlichen Dauervertrag über eine Webseite abschließen, greift der elektronische Kündigungsweg nach § 312k BGB. Die Widerrufsfunktion nach § 356a BGB gilt seit dem 19. Juni 2026 für erfasste Online-Fernabsatzverträge während der Widerrufsfrist. Die Frist beträgt nach § 355 Abs. 2 BGB grundsätzlich 14 Tage. Gehen Sie jeden Weg mit einem Testkonto durch und prüfen Sie, ob nach dem Absenden die richtige Bestätigung eingeht. Bei einem App-Store-Kauf kommt es zusätzlich darauf an, wer Vertragspartner ist und wer die jeweiligen Funktionen für Verbraucher bereitstellt.
Was muss ich bei einem Modellwechsel prüfen?
Prüfen Sie bei einem Modellwechsel Datenflüsse und Leistungszusagen, insbesondere die Änderungsregeln aus § 327r BGB für dauerhaft bereitgestellte digitale Verbraucherprodukte. Sehen Sie zuerst nach, ob sich Empfänger, Speicherzeiten oder Zugriffe ändern. Prüfen Sie danach mit Testvorgängen, ob die zugesagten Funktionen weiter verfügbar sind. Beeinträchtigt die Änderung den Zugriff oder die Nutzbarkeit mehr als unerheblich, können Verbraucher den Vertrag unter den Voraussetzungen des § 327r Abs. 3 und 4 BGB grundsätzlich innerhalb von 30 Tagen unentgeltlich beenden. Legen Sie deshalb fest, welche Informationen Nutzer vor der Änderung erhalten und wie Sie die vorige Fassung bei einem Problem wiederherstellen können. Halten Sie die Entscheidung zusammen mit den Testergebnissen fest.
Noch offene Fragen?
Wir prüfen die Rechte am Code, Datenflüsse und Vertragsbedingungen für die Fassung, die Sie anbieten möchten.
Weiterlesen
Beliebte Ratgeber
Rechtlicher Hinweis: Die Informationen auf dieser Seite dienen der allgemeinen Orientierung und stellen keine Rechtsberatung im Einzelfall dar. Für eine verbindliche Einschätzung Ihrer konkreten Situation kontaktieren Sie uns bitte direkt.