KI-Verträge.
Wer KI einkauft, lizenziert oder Trainingsdaten bereitstellt, unterschreibt selten einen einfachen Vertrag. Es geht um Nutzungsrechte am Output, um Gewährleistung und Haftung, um Datenschutz und Auftragsverarbeitung, um Geheimnisschutz und um die Weitergabe der Pflichten aus der KI-Verordnung. Dieser Ratgeber zeigt, welche Klauseln zählen, wo die AGB-Kontrolle greift und wie Sie typische Fallstricke vermeiden. Rechtsstand 2026.
Das Wichtigste in Kürze.
Die Kernpunkte für Unternehmen, Freelancer und Einkauf. Einzelheiten samt Normen folgen in den Kapiteln.
KI-Verträge — kompakt.
Sechs Punkte, die jeder KI-Vertrag klären sollte.
- Regeln Sie die Nutzungsrechte am Output ausdrücklich — reiner KI-Output ist oft nicht urheberrechtlich geschützt.
- Klären Sie Trainings- und Eingabedaten: Werden Ihre Prompts zum Training genutzt? Legen Sie das vertraglich fest.
- Prüfen Sie Gewährleistung und Haftung — pauschale Haftungsausschlüsse in AGB sind oft unwirksam (§§ 307 ff. BGB).
- Bei personenbezogenen Daten ist meist ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO) nötig.
- Sichern Sie Geschäftsgeheimnisse ab: Vertraulichkeit, Verbot der Trainingsnutzung, Datenrückgabe.
- Verteilen Sie die Pflichten aus der KI-VO entlang der Kette (Anbieter/Betreiber, Art. 25).
Schreiben-Konfigurator
Anschreiben, Nachverhandlung von Klauseln oder Widerspruch gegen die Nutzung Ihrer Daten zum Training erstellen.
Schreiben erstellenKI-Risiko- & Anspruchs-Rechner
Ordnen Sie Ihre Rolle (Anbieter/Betreiber) ein und prüfen Sie, welche KI-VO-Pflichten vertraglich abzubilden sind.
Zu den Rechnern1.Vertragstypen und Rechtsnatur.
„KI-Vertrag" ist kein eigener Vertragstyp. Je nach Leistung greifen unterschiedliche Regeln des BGB.
Ob ein KI-Vertrag Miet-, Dienst-, Werk- oder Lizenzcharakter hat, entscheidet über Gewährleistung, Kündigung und Haftung. Häufig sind es gemischte Verträge, deren Schwerpunkt zu bestimmen ist.
- KI-SaaS / Cloud-Zugang. Überwiegend mietvertragliche Elemente (§§ 535 ff. BGB) — laufende Gebrauchsüberlassung gegen Entgelt.
- KI-Projekt / Implementierung. Oft Werkvertrag (§§ 631 ff.), wenn ein konkreter Erfolg geschuldet ist.
- Lizenzvertrag. Einräumung von Nutzungsrechten an Software, Modellen oder Daten.
- Trainingsdaten-Vertrag. Bereitstellung und Lizenzierung von Daten für das Training.
2.Nutzungsrechte am Output.
Die wichtigste Frage im KI-Vertrag: Wem gehört, was die KI erzeugt — und darf ich es kommerziell nutzen?
Reiner KI-Output ist mangels menschlicher Schöpfung häufig nicht urheberrechtlich geschützt (§ 2 Abs. 2 UrhG). Was nicht geschützt ist, kann auch nicht als Urheberrecht „übertragen" werden — deshalb regeln Verträge die Output-Nutzung schuldrechtlich: Der Anbieter weist dem Nutzer die Rechte zu, soweit sie bestehen, und erlaubt die kommerzielle Nutzung. Für schutzfähige, hinreichend menschlich gestaltete Teile richtet sich die Rechteeinräumung nach §§ 31 ff. UrhG.
Im Vertrag sichern
- Ausdrückliche Zuweisung der Output-Rechte an den Nutzer
- Erlaubnis zur kommerziellen Nutzung und Bearbeitung
- Freistellung von Ansprüchen Dritter (IP-Indemnity)
- Klarheit zu Exklusivität und Weitergabe
Risiken bedenken
- Output kann fremde geschützte Inhalte enthalten (Haftung!)
- Kein Ausschließlichkeitsschutz gegen Nachahmer
- Anbieter behält sich Nutzung/Training vor
- Ähnliche Ergebnisse bei anderen Nutzern
Haftung für den Output. Wer KI-Ergebnisse veröffentlicht, haftet für darin enthaltene Rechtsverletzungen (z. B. Urheber- oder Markenrechte). Nach dem LG München I (GEMA ./. OpenAI) kann die Wiedergabe geschützter Werke im Output lizenzpflichtig sein. Prüfen Sie Ergebnisse vor der Verwertung und sichern Sie eine Freistellung.
Vertiefend zu Training und Output: der Spezial-Ratgeber (KI & Urheberrecht).
3.Trainings- und Eingabedaten.
Ihre Prompts und Daten sind wertvoll — und schützenswert. Der Vertrag muss regeln, was damit geschieht.
Wer Daten für ein KI-Training bereitstellt oder in ein KI-Tool eingibt, sollte vertraglich festhalten, ob und wie diese Daten verwendet werden dürfen. Für das Training mit fremden Werken sind die TDM-Schranken (§§ 44b, 60d UrhG) und ein etwaiger Nutzungsvorbehalt (Opt-out) maßgeblich. Bei eigenen Eingaben empfiehlt sich die Klarstellung, dass der Anbieter sie nicht zum Training nutzt und nach Vertragsende löscht.
Vereinbaren Sie präzise: Zweckbindung der Daten, Kein-Training-Klauseln für vertrauliche Eingaben, Löschung und Rückgabe bei Vertragsende sowie Rechte an Fine-Tuning-Modellen, die aus Ihren Daten entstehen.
4.Gewährleistung, Haftung und AGB.
KI-Anbieter schließen Haftung gern weitgehend aus. Ob das wirksam ist, entscheidet die AGB-Kontrolle des BGB.
Vorformulierte Vertragsbedingungen unterliegen der Inhaltskontrolle (§§ 305–310 BGB). Eine Klausel, die den Vertragspartner unangemessen benachteiligt, ist unwirksam (§ 307 BGB). Unzulässig sind insbesondere:
- der Ausschluss der Haftung für Vorsatz und grobe Fahrlässigkeit;
- der Ausschluss der Haftung für Schäden aus der Verletzung von Leben, Körper, Gesundheit;
- der vollständige Ausschluss der Haftung für die Verletzung wesentlicher Vertragspflichten (Kardinalpflichten).
Zulässig sind hingegen maßvolle, differenzierte Haftungsregelungen (z. B. Begrenzung der Höhe bei einfacher Fahrlässigkeit außerhalb der Kardinalpflichten). Achten Sie außerdem auf klare Service-Level (Verfügbarkeit), Gewährleistung für zugesicherte Eigenschaften und Regeln zu „Halluzinationen" — also der Frage, welche Ergebnisqualität überhaupt geschuldet ist.
Tipp der Redaktion
Prüfen Sie Rechtswahl und Gerichtsstand: Viele KI-Anbieter unterwerfen Verträge ausländischem Recht. Für Verbraucher und oft auch im unternehmerischen Verkehr lässt sich das nachverhandeln. Lassen Sie zentrale Klauseln (Haftung, IP, Daten) vor Unterschrift anwaltlich prüfen.
5.Auftragsverarbeitung und Transfer.
Sobald personenbezogene Daten im Spiel sind, wird der KI-Vertrag auch zum Datenschutzvertrag.
Verarbeitet der Anbieter personenbezogene Daten weisungsgebunden für Sie, brauchen Sie einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO) mit den gesetzlich vorgeschriebenen Inhalten (Zweck, Dauer, Weisungen, Unterauftragnehmer, technische und organisatorische Maßnahmen, Löschung). Nutzt der Anbieter die Daten zu eigenen Zwecken (etwa zum Training), ist er insoweit eigener Verantwortlicher — dann braucht es eine eigene Rechtsgrundlage und Transparenz.
Werden Daten in ein Drittland übermittelt (viele KI-Dienste betreiben Server außerhalb der EU), sind die Transfermechanismen der Art. 44 ff. DSGVO einzuhalten — etwa Standardvertragsklauseln und ergänzende Maßnahmen. Für risikoreiche Verarbeitungen ist eine Datenschutz-Folgenabschätzung (Art. 35) durchzuführen.
Vertrauliche Eingaben. Die Eingabe von Geschäftsgeheimnissen in ein öffentliches KI-Tool kann den Schutz nach dem GeschGehG gefährden. Sichern Sie Vertraulichkeit, ein Trainingsnutzungs-Verbot und Löschpflichten vertraglich ab — oder nutzen Sie abgesicherte Unternehmenslösungen.
6.Pflichten der KI-VO im Vertrag.
Die KI-VO verteilt Pflichten auf Anbieter und Betreiber. Wer welche trägt, sollte der Vertrag klar zuweisen.
Die KI-VO adressiert verschiedene Rollen entlang der Wertschöpfungskette. Art. 25 KI-VO regelt, wann Betreiber, Händler oder Integratoren selbst zu Anbietern werden (etwa bei wesentlicher Änderung eines Hochrisiko-Systems oder Auftreten unter eigenem Namen) — mit entsprechend erweiterten Pflichten. Damit im Streitfall klar ist, wer die Konformität, Dokumentation, Kennzeichnung und Aufsicht schuldet, sollten Verträge:
- die Rollen (Anbieter/Betreiber/Integrator) ausdrücklich festlegen;
- die Bereitstellung von Informationen und Dokumentation regeln, die der Betreiber für seine Pflichten braucht;
- Zusicherungen zur Konformität (CE, Hochrisiko-Anforderungen) und zur Kennzeichnung (Art. 50) enthalten;
- Mitwirkungs- und Informationspflichten bei Vorfällen und Marktüberwachung vorsehen.
Für die öffentliche Beschaffung stellt die EU zudem Mustervertragsklauseln für KI bereit, die als Orientierung dienen können.
Rechtsrahmen im Überblick.
Zu KI-Verträgen im engeren Sinne besteht noch wenig spezifische Rechtsprechung. Maßgeblich sind die etablierten Grundsätze des Vertrags-, AGB- und Urheberrechts.
Tragende Grundsätze
- AGB-Kontrolle (§§ 305–310 BGB): Unangemessene Haftungs- und Leistungsklauseln sind unwirksam; die Rechtsprechung zu Kardinalpflichten gilt auch für KI-Verträge.
- Kein Schutz reinen KI-Outputs (§ 2 Abs. 2 UrhG): Rechte am Output werden vertraglich zugewiesen, nicht urheberrechtlich „übertragen".
- Output-Haftung (LG München I, GEMA ./. OpenAI): Die Wiedergabe geschützter Werke im Output kann lizenzpflichtig sein — nicht rechtskräftig.
- Auftragsverarbeitung (Art. 28 DSGVO): Ohne wirksamen AVV drohen Datenschutzverstöße; Drittlandtransfers sind abzusichern.
Fragen & Antworten (FAQ).
Acht Antworten rund um Output-Rechte, Haftung und Datenschutz im KI-Vertrag.
Reiner KI-Output ist meist nicht urheberrechtlich geschützt, weil die menschliche Schöpfung fehlt. „Eigentum" im urheberrechtlichen Sinn entsteht dann nicht. Ob und wie Sie den Output nutzen dürfen, ergibt sich aus dem Vertrag mit dem Anbieter — achten Sie auf eine klare Rechtezuweisung und die Erlaubnis zur kommerziellen Nutzung.
Ja, wer KI-Ergebnisse veröffentlicht oder verwertet, haftet für darin enthaltene Rechtsverletzungen. Prüfen Sie Ergebnisse vor der Nutzung und vereinbaren Sie im Vertrag eine Freistellung (IP-Indemnity) durch den Anbieter.
Nur, wenn der Vertrag das erlaubt. Für vertrauliche oder personenbezogene Daten sollten Sie eine „Kein-Training"-Klausel und Löschpflichten vereinbaren. Ohne solche Regelung riskieren Sie den Verlust von Geheimnisschutz und Datenschutzverstöße.
Oft nicht. Der Ausschluss der Haftung für Vorsatz und grobe Fahrlässigkeit, für Schäden an Leben/Körper/Gesundheit und für die Verletzung wesentlicher Vertragspflichten ist nach §§ 307 ff. BGB unwirksam. Solche Klauseln lassen sich angreifen bzw. nachverhandeln.
Ja, wenn der Anbieter personenbezogene Daten weisungsgebunden für Sie verarbeitet (Art. 28 DSGVO). Nutzt er die Daten zu eigenen Zwecken (z. B. Training), ist er insoweit eigener Verantwortlicher — das braucht eine eigene Rechtsgrundlage und Transparenz.
Prüfen Sie Rechtswahl und Gerichtsstand sowie den Drittlandtransfer (Art. 44 ff. DSGVO, z. B. Standardvertragsklauseln und ergänzende Maßnahmen). Für risikoreiche Verarbeitungen ist eine Datenschutz-Folgenabschätzung erforderlich.
Das hängt von der Rolle ab (Anbieter/Betreiber/Integrator). Nach Art. 25 KI-VO kann ein Betreiber selbst zum Anbieter werden, etwa bei wesentlicher Änderung eines Hochrisiko-Systems. Der Vertrag sollte die Rollen, Informations- und Dokumentationspflichten ausdrücklich zuweisen.
Nutzungsrechte am Output samt Freistellung, Regelungen zu Eingabe-/Trainingsdaten, Gewährleistung und Haftung, Datenschutz/AVV, Geheimnisschutz und die Verteilung der KI-VO-Pflichten. Diese Punkte entscheiden über Ihr Risiko — sie sollten vor Unterschrift geprüft werden.
Passenden Anwalt finden.
Ob unklare Output-Rechte, riskante Haftungsklausel oder fehlender AVV — schildern Sie Ihren Fall. Wir vermitteln an einen Partneranwalt für IT-, Vertrags- und Datenschutzrecht.
Passende Inhalte.
Tools, Rechtsgebiete und vertiefende Ratgeber — direkt verlinkt.