01
Wer ist der Anbieter?
Rechtsträger, Sitz, Ansprechpartner,
Unterauftragnehmer und Verantwortlichkeiten
müssen eindeutig identifizierbar sein.
Anfrage senden
Hinterlassen Sie kurz Ihre Kontaktdaten und Ihr Anliegen. Wir kümmern uns um die weitere Bearbeitung und melden uns bei Bedarf persönlich zurück.
Ich bin damit einverstanden, dass meine Angaben zur Bearbeitung der Anfrage verarbeitet werden. Weitere Informationen stehen in der Datenschutzerklärung.
KI-Regulierung · Vendor Due Diligence
KI-Anbieter prüfen: Checkliste für Unternehmen
Bevor ein KI-Tool, eine KI-Plattform oder ein externer KI-Dienst im Unternehmen eingesetzt wird, sollten nicht nur Funktionen und Preis geprüft werden. Entscheidend sind auch Datenverarbeitung, Datenschutz, EU AI Act, Informationssicherheit, Vertragsbedingungen, Haftung, technische Abhängigkeiten, Betriebsmodell und Exit-Möglichkeiten.
Regulatorische Grundlagen
AI
EUR-Lex:EU AI Act ↗ DSGVO EUR-Lex:
Datenschutz-Grundverordnung ↗ EDPB EDPB:
Datenschutz bei KI-Modellen ↗
Anbieterprüfung
Vier Fragen, die vor jeder KI-Freigabe beantwortet sein sollten
Eine gute Produktdemo beantwortet diese Fragen nicht. Für eine unternehmerische Freigabe müssen Produkt, Anbieter und konkreter Einsatzkontext gemeinsam bewertet werden.
02
Was passiert mit Daten?
Eingaben, Dateien, Ausgaben, Metadaten,
Speicherung, Training und Datenstandorte
müssen nachvollziehbar sein.
03
Wie sicher ist der Betrieb?
Zugriffe, Schnittstellen, Sicherheitsmaßnahmen,
Ausfälle, Änderungen und Incident-Prozesse
gehören in die Bewertung.
04
Wie komme ich wieder heraus?
Datenexport, Vertragsende, API-Wechsel,
Modellwechsel und Vendor Lock-in müssen
bereits vor der Einführung bewertet werden.
Anbieterprüfung ist mehr als Datenschutzprüfung.
Ein datenschutzrechtlich grundsätzlich nutzbarer
KI-Dienst kann für einen konkreten Unternehmensprozess
trotzdem ungeeignet sein – etwa wegen technischer
Abhängigkeit, unzureichender Nachvollziehbarkeit,
fehlender SLAs, problematischer Vertragsbedingungen
oder fehlender Exit-Möglichkeiten.
Answer First
Wie prüft man einen KI-Anbieter vor dem Einsatz?
Ein KI-Anbieter sollte anhand des konkreten Unternehmens-Use-Cases geprüft werden. Eine allgemeine Aussage wie „DSGVO-konform“, „EU AI Act ready“ oder „Enterprise Security“ reicht für eine belastbare Freigabe nicht aus.
Unternehmen sollten nachvollziehen können, welche juristische Person Vertragspartner ist, welche KI-Modelle und Unterauftragnehmer eingesetzt werden, welche Daten wohin fließen, welche Sicherheitsmaßnahmen bestehen und welche Vertrags- und Haftungsregeln gelten.
Zusätzlich muss geprüft werden, ob ein Anbieterwechsel technisch und organisatorisch möglich bleibt. Gerade bei KI-Plattformen können proprietäre APIs, Workflows, Vektordatenbanken, Prompt-Strukturen und anbieterspezifische Agenten zu erheblichem Vendor Lock-in führen.
Vendor Due Diligence
Welche Unterlagen sollte ein KI-Anbieter bereitstellen können?
Nicht jedes Dokument ist für jeden Use Case zwingend erforderlich. Die Unterlagen sollten jedoch ausreichen, damit ein Unternehmen seine eigene Risikobewertung nachvollziehbar durchführen kann.
Vertragsunterlagen
Leistungsbeschreibung, Nutzungsbedingungen, Haftung, Kündigung, Änderungsrechte, SLA und Supportbedingungen.
Datenschutzunterlagen
Datenschutzhinweise, AVV soweit erforderlich, Subprocessor-Liste, Datenstandorte und Informationen zu Drittlandtransfers.
Sicherheitsinformationen
TOMs, Zugriffsschutz, Verschlüsselung, Incident-Prozesse, Sicherheitskonzept und gegebenenfalls relevante Zertifizierungen.
KI-Systeminformationen
Eingesetzte Modelle, relevante Grenzen, Versionsmanagement, Sicherheitsmechanismen und technische Architektur.
AI-Act-Informationen
Informationen, die für die Bestimmung der eigenen regulatorischen Rolle und der anwendbaren Anforderungen benötigt werden.
Exit-Informationen
Datenexport, Löschung, Vertragsende, Schnittstellen, Portabilität und technische Voraussetzungen für einen Anbieterwechsel.
Praxischeck
10-Punkte-Checkliste zur Prüfung eines KI-Anbieters
Die Prüfung sollte vor Freigabe, Vertragsabschluss oder Integration des KI-Dienstes durchgeführt und nachvollziehbar dokumentiert werden.
1
Anbieter und Vertragspartner identifizieren
- Juristischen Vertragspartner eindeutig feststellen.
- Sitz und relevante Unternehmensstandorte erfassen.
- Ansprechpartner für Vertrag, Datenschutz und Security identifizieren.
- Abhängigkeit des Anbieters von weiteren KI-Plattformen dokumentieren.
- Wesentliche Unterauftragnehmer erfassen.
2
Datenverarbeitung vollständig verstehen
- Welche Eingaben und Dateien verarbeitet das System?
- Welche Metadaten entstehen zusätzlich?
- Wie lange werden Daten gespeichert?
- Werden Daten zur Modellverbesserung oder für andere Zwecke genutzt?
- Wo werden Daten verarbeitet und gespeichert?
3
DSGVO und Datenschutz prüfen
- Datenschutzrechtliche Rollen bestimmen.
- AVV nach Art. 28 DSGVO prüfen, soweit einschlägig.
- Subprocessor und Drittlandtransfers bewerten.
- Betroffenenrechte und Löschprozesse berücksichtigen.
- Verarbeitung besonderer Datenkategorien gesondert prüfen.
4
EU-AI-Act-Rollen und Informationen prüfen
- Eigenen Use Case und Zweck dokumentieren.
- Prüfen, welche regulatorische Rolle das eigene Unternehmen einnimmt.
- Prüfen, welche Rolle der Anbieter einnimmt.
- Für den Use Case relevante Informationen vom Anbieter einholen.
- Transparenz- und Dokumentationsanforderungen berücksichtigen.
5
Informationssicherheit bewerten
- Zugriffs- und Berechtigungskonzept prüfen.
- Authentifizierung und Administrationsrechte bewerten.
- Verschlüsselung bei Übertragung und Speicherung prüfen.
- Incident- und Meldeprozesse hinterfragen.
- Sicherheitsnachweise und Zertifizierungen im Kontext bewerten.
6
KI-Modell und technische Architektur verstehen
- Welche Modelle werden tatsächlich eingesetzt?
- Betreibt der Anbieter eigene oder externe Modelle?
- Kann sich das verwendete Modell ohne Zustimmung ändern?
- Welche APIs und externen Dienste werden eingebunden?
- Wie werden Modell- und Systemänderungen kommuniziert?
7
Vertrag, Haftung und Änderungsrechte prüfen
- Leistungsumfang eindeutig dokumentieren.
- Haftungsbegrenzungen und Ausschlüsse prüfen.
- Einseitige Vertrags- und Leistungsänderungen bewerten.
- Regelungen zu Datenverlust und Sicherheitsvorfällen prüfen.
- Kündigungs- und Sonderkündigungsrechte berücksichtigen.
8
SLA, Support und Betriebsfähigkeit bewerten
- Verfügbarkeit geschäftskritischer Funktionen prüfen.
- Supportzeiten und Eskalationswege dokumentieren.
- Wartungsfenster und geplante Änderungen berücksichtigen.
- Backup- und Wiederanlaufkonzept bewerten, soweit relevant.
- Auswirkungen eines Ausfalls auf Geschäftsprozesse dokumentieren.
9
Vendor Lock-in und Exit-Strategie prüfen
- Können Unternehmensdaten vollständig exportiert werden?
- In welchem Format erfolgt der Export?
- Können Prompts, Agenten, Workflows und Konfigurationen migriert werden?
- Welche Funktionen sind proprietär an den Anbieter gebunden?
- Was geschieht mit Daten nach Vertragsende?
10
Entscheidung und Freigabe dokumentieren
- Use Case und zulässige Nutzung definieren.
- Bewertung und offene Risiken dokumentieren.
- Verantwortliche Person oder Stelle festlegen.
- Bedingungen für die Freigabe dokumentieren.
- Termin und Trigger für eine erneute Prüfung bestimmen.
Vendor Risk
Unklare Datenverwendung
Kein eindeutiger Vertragspartner
Pauschale Compliance-Versprechen
Fehlende Subprocessor-Transparenz
Kein belastbarer Exit
Keine Änderungsnachvollziehbarkeit
Welche Warnsignale sprechen gegen eine schnelle Freigabe?
Einzelne Warnsignale bedeuten nicht automatisch, dass ein Anbieter ungeeignet ist. Sie zeigen jedoch, wo vor einer geschäftlichen Nutzung zusätzliche Klärung erforderlich ist.
Es bleibt offen, ob Eingaben gespeichert, für Training genutzt oder an weitere Anbieter übertragen werden.
Website, Rechnung, Vertrag oder Datenschutzinformationen nennen unterschiedliche oder nicht eindeutig identifizierbare Gesellschaften.
Aussagen wie „100 % DSGVO-konform“ oder „vollständig AI-Act-konform“ werden gemacht, ohne Einsatzkontext und Rollen zu berücksichtigen.
Es ist nicht nachvollziehbar, welche Cloud-, Modell- oder Infrastrukturprovider hinter dem angebotenen KI-Dienst stehen.
Unternehmensdaten lassen sich nicht vollständig exportieren oder Workflows und Agenten sind ausschließlich proprietär nutzbar.
Modell-, API- oder Funktionsänderungen können ohne nachvollziehbare Information Auswirkungen auf produktive Unternehmensprozesse haben.
Entscheidungsmatrix
Welche Bereiche gehören in eine KI-Anbieterbewertung?
Eine dokumentierte Bewertung macht Entscheidungen nachvollziehbar und verhindert, dass ein KI-Tool nur aufgrund einer guten Demo oder einzelner Funktionsmerkmale freigegeben wird.
| Prüffeld | Zentrale Frage | Typischer Nachweis | Intern zuständig |
|---|---|---|---|
| Anbieter | Wer ist rechtlich und operativ verantwortlich? | Vertrag / Impressum / Anbieterunterlagen | Einkauf / Legal |
| Datenschutz | Wie und wo werden personenbezogene Daten verarbeitet? | AVV / Datenschutzinformation / Subprocessor | Datenschutz |
| AI Act | Welche regulatorischen Rollen und Pflichten sind relevant? | Systeminformationen / Rollenbewertung | Compliance / KI-Governance |
| Security | Wie wird das System gegen unbefugten Zugriff geschützt? | TOMs / Security-Dokumentation | IT / Informationssicherheit |
| Technik | Welche Modelle, APIs und Abhängigkeiten bestehen? | Architektur- / Produktdokumentation | IT-Architektur |
| Vertrag | Wie sind Leistung, Haftung und Änderungen geregelt? | Vertrag / AGB / SLA | Legal / Einkauf |
| Betrieb | Was passiert bei Ausfall oder Sicherheitsvorfall? | SLA / Support- / Incident-Prozess | IT / Fachbereich |
| Exit | Können wir Anbieter, Modell oder Plattform wechseln? | Export- und Löschkonzept | IT-Architektur / Einkauf |
Häufige Fragen
Was Unternehmen vor der Freigabe eines KI-Anbieters wissen möchten
Antworten auf typische Fragen aus Beschaffung, IT, Datenschutz, Compliance und Geschäftsführung.
Was muss ich prüfen, bevor ich ein KI-Tool im Unternehmen einsetze?
Neben Funktionen und Preis sollten mindestens Anbieteridentität, Datenverarbeitung, Datenschutz, regulatorische Rollen, Informationssicherheit, technische Architektur, Vertragsbedingungen, Haftung, Betriebsfähigkeit, Vendor Lock-in und Exit-Möglichkeiten geprüft werden.
Wie erkenne ich einen seriösen KI-Anbieter?
Ein belastbarer Anbieter sollte transparent darstellen können, wer Vertragspartner ist, wie Daten verarbeitet werden, welche technischen Abhängigkeiten bestehen und welche Vertrags-, Sicherheits- und Supportbedingungen gelten. Zertifikate oder Marketingaussagen allein ersetzen keine Prüfung des konkreten Use Cases.
Welche Unterlagen sollte ein KI-Anbieter vorlegen können?
Abhängig vom Einsatz können unter anderem Vertragsunterlagen, Datenschutzinformationen, ein AVV soweit erforderlich, eine Subprocessor-Liste, Informationen zu Datenstandorten, Sicherheitsmaßnahmen, technische Systeminformationen, SLAs sowie Informationen zu Export und Löschung relevant sein.
Brauche ich mit jedem KI-Anbieter einen AVV?
Nein, nicht automatisch. Ein Vertrag zur Auftragsverarbeitung ist erforderlich, wenn im konkreten Verarbeitungskontext eine Auftragsverarbeitung nach Art. 28 DSGVO vorliegt. Die datenschutzrechtlichen Rollen müssen daher anhand des konkreten Dienstes und der Verarbeitung bestimmt werden.
Muss ein KI-Anbieter Informationen zum EU AI Act bereitstellen?
Welche Informationen rechtlich bereitzustellen sind, hängt von der Rolle des Anbieters, dem KI-System und den jeweils anwendbaren Anforderungen des AI Act ab. Für die eigene Compliance-Bewertung sollte ein Unternehmenskunde jedenfalls genügend Informationen erhalten, um den konkreten Einsatz und die eigene regulatorische Rolle bewerten zu können.
Wie prüfe ich, wo ein KI-Anbieter meine Daten verarbeitet?
Relevante Informationen finden sich typischerweise in Datenschutzunterlagen, AVV, Subprocessor-Listen, Vertragsbedingungen und technischen Dokumentationen. Dabei sollten nicht nur der Hauptanbieter, sondern auch Cloud-, Modell- und weitere Unterauftragnehmer berücksichtigt werden.
Was sollte im Vertrag mit einem KI-Anbieter geregelt sein?
Je nach Dienst sind insbesondere Leistungsumfang, Datenverwendung, Verfügbarkeit, Support, Sicherheitsvorfälle, Änderungen, Haftung, Kündigung, Datenexport, Löschung und gegebenenfalls regulatorische Mitwirkung relevant.
Was bedeutet Vendor Lock-in bei KI-Systemen?
Vendor Lock-in entsteht, wenn ein Wechsel technisch, organisatorisch oder wirtschaftlich sehr aufwendig wird. Bei KI-Systemen können beispielsweise proprietäre APIs, Agenten, Prompt-Strukturen, Vektordaten, Workflows oder Datenformate die Migration erschweren.
Wer haftet, wenn ein KI-System falsche Ergebnisse liefert?
Eine pauschale Antwort ist nicht möglich. Haftung hängt unter anderem vom Vertrag, konkreten Fehler, Einsatzkontext, Verantwortungsbereich und den anwendbaren gesetzlichen Regelungen ab. Deshalb sollten Haftungs- und Gewährleistungsklauseln vor dem produktiven Einsatz geprüft werden.
Wie dokumentiere ich die Freigabe eines KI-Tools?
Sinnvoll ist ein zentrales KI-Register mit Anbieter, Produkt, Zweck, Nutzern, Datenkategorien, regulatorischer Bewertung, Sicherheitsprüfung, Vertragsstatus, Verantwortlichen, verbleibenden Risiken, Freigabestatus und Re-Assessment-Termin.
Fachliche Grundlage
Regulatorische Primär- und Fachquellen
EU AI Act:
Verordnung (EU) 2024/1689 über künstliche Intelligenz.
EUR-Lex – Verordnung (EU) 2024/1689
Europäische Kommission:
Leitlinien zu Transparenzpflichten für Anbieter
und Betreiber von KI-Systemen nach Art. 50 AI Act.
EU-Kommission – Guidelines on transparency obligations
Datenschutz-Grundverordnung:
Verordnung (EU) 2016/679.
Europäischer Datenschutzausschuss:
Stellungnahme 28/2024 zu Datenschutzaspekten
im Zusammenhang mit KI-Modellen.
Informationsstand: 2. September 2026. Diese Checkliste dient der strukturierten Anbieter- und Risikoprüfung und stellt keine Rechtsberatung dar. Welche Prüfungen und Nachweise für einen konkreten KI-Dienst erforderlich sind, hängt insbesondere vom Produkt, Use Case, Datenfluss und regulatorischen Rollenmodell ab.
Weiterführende Themen
KI-Regulierung und sichere KI-Nutzung
Haben Sie bereits einen Überblick über Ihre KI-Anbieter?
Wenn verschiedene Teams eigenständig KI-Tools, APIs und Assistenten einsetzen, entstehen schnell unübersichtliche Anbieter-, Daten- und Vertragsabhängigkeiten. Eine strukturierte KI-Inventur schafft Transparenz über Systeme, Anbieter, Daten, Risiken und Verantwortlichkeiten.