Datenschutz & KI – unsere Unterlagen

1. Verantwortlicher

Werbeagentur Focustrend
Inhaberin: Tugba Özkaya
Bubesheimer Str. 22, 89312 Günzburg, Deutschland
Telefon: +49 (0) 152 234 073 73
E-Mail: info@focustrend.de
USt-IdNr.: DE332913593

Die Marke TaxiAgentur.de (Dispositions- und Telefonsoftware für Taxi- und Mietwagenbetriebe, einschließlich der Fahrer-App, der Fahrgast-App HiTaxi und der KI-gestützten Telefonannahme) wird von der Werbeagentur Focustrend betrieben.

Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht benannt. Die Voraussetzungen des § 38 Abs. 1 BDSG (in der Regel mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind) liegen nicht vor; eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO wird zu den unter 3. genannten Tätigkeiten laufend geprüft. Ansprechpartnerin für alle Datenschutzfragen ist die Inhaberin unter der oben genannten Adresse.

2. Aufbau dieses Verzeichnisses

Das Verzeichnis ist zweigeteilt, weil wir in zwei unterschiedlichen Rollen arbeiten:

• Teil A – als Verantwortliche (Art. 30 Abs. 1 DSGVO): alles, was wir für eigene Zwecke verarbeiten, etwa unsere Website, unsere Kundenverwaltung und unsere Buchhaltung.
• Teil B – als Auftragsverarbeiterin (Art. 30 Abs. 2 DSGVO): alles, was wir im Auftrag und auf Weisung unserer Kunden (Taxi- und Mietwagenbetriebe) verarbeiten. Dort ist der jeweilige Betrieb der Verantwortliche, nicht wir.

3. Teil A – Verarbeitungen als Verantwortliche

4. Teil B – Verarbeitungen als Auftragsverarbeiterin

Die folgenden Verarbeitungen führen wir ausschließlich im Auftrag unserer Kunden durch. Verantwortlicher ist jeweils der beauftragende Taxi- oder Mietwagenbetrieb. Grundlage ist der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Wir verarbeiten diese Daten nur auf dokumentierte Weisung und niemals für eigene Zwecke.

5. Empfänger und Unterauftragsverarbeiter

Die folgenden Dienstleister verarbeiten in unserem Auftrag personenbezogene Daten. Mit allen besteht ein Vertrag nach Art. 28 DSGVO; bei Anbietern außerhalb der EU zusätzlich Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO und, soweit zertifiziert, das EU-US Data Privacy Framework.

Diese Liste wird laufend fortgeschrieben. Kunden werden über den Wechsel oder die Aufnahme eines Unterauftragsverarbeiters vorab unterrichtet und können widersprechen; Einzelheiten regelt § 7 des AV-Vertrags.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die Maßnahmen sind in Anlage 1 des AV-Vertrags ausführlich beschrieben. In Kurzform:

7. Übermittlung in Drittländer

Eine Übermittlung in Länder außerhalb der EU und des EWR findet nur bei den unter 5. genannten Anbietern statt und nur, soweit es für die jeweilige Funktion erforderlich ist. Grundlage sind die Standardvertragsklauseln der EU-Kommission, ergänzt um eine Abwägung der Rechtslage im Zielland (Transfer Impact Assessment). Gesprächsaufzeichnungen und Abschriften werden nicht zum Training von KI-Modellen verwendet; dies ist mit den betroffenen Anbietern vertraglich ausgeschlossen.

8. Fristen und Löschkonzept

9. Rechte der betroffenen Personen

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) und Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO). Anträge beantworten wir unverzüglich, spätestens innerhalb eines Monats. Betrifft der Antrag Daten, die wir im Auftrag eines Betriebs verarbeiten, leiten wir ihn unverzüglich an diesen weiter und unterstützen ihn bei der Beantwortung.

Zuständige Aufsichtsbehörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

10. Pflege dieses Verzeichnisses

Das Verzeichnis wird mindestens einmal jährlich sowie bei jeder wesentlichen Änderung überprüft und fortgeschrieben – insbesondere bei neuen Funktionen, neuen Dienstleistern oder neuen Datenarten. Die jeweils geltende Fassung ist diese Seite; ältere Fassungen bewahren wir auf.

Letzte Überprüfung: 21.09.2026 · nächste planmäßige Überprüfung: September 2027

Zwischen

dem Auftraggeber
– Betrieb, Anschrift, vertreten durch –
 
 
– nachfolgend Verantwortlicher –

und
Werbeagentur Focustrend, Inhaberin Tugba Özkaya, Bubesheimer Str. 22, 89312 Günzburg – Marke TaxiAgentur.de
– nachfolgend Auftragsverarbeiter –

§ 1 Gegenstand und Dauer

1. Der Auftragsverarbeiter stellt dem Verantwortlichen eine Software für die Annahme, Vermittlung und Abrechnung von Fahrten bereit (Zentrale, Fahrer-App, Fahrgast-App, Telefonannahme mit KI-Unterstützung). Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen.
2. Die Dauer dieses Vertrags entspricht der Laufzeit des zugrunde liegenden Softwarevertrags. Er endet automatisch mit dessen Beendigung; § 10 bleibt unberührt.
3. Verantwortlicher im Sinne der DSGVO bleibt allein der Auftraggeber. Er beurteilt die Zulässigkeit der Verarbeitung.

§ 2 Art, Zweck und Umfang der Verarbeitung

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an die vom Verantwortlichen bestimmten Empfänger, Einschränken, Löschen und Vernichten.

Zweck: Betrieb der Dispositions- und Telefonsoftware, insbesondere Annahme von Fahrtwünschen, Zuteilung an Fahrer, Standortanzeige während der Schicht, Nachrichtenaustausch, Abrechnung und Terminverwaltung.

Kategorien betroffener Personen:

• Fahrgäste und Besteller von Fahrten
• Fahrerinnen und Fahrer sowie sonstige Mitarbeiter des Verantwortlichen
• Disponenten und weitere Nutzer der Zentrale
• Ansprechpartner von Rechnungs- und Krankenfahrtkunden

Kategorien personenbezogener Daten:

• Stammdaten: Name, Anschrift, Rufnummer, E-Mail-Adresse
• Fahrtdaten: Abhol- und Zieladresse, Zeitpunkt, Hinweise zur Fahrt, Preis, Zahlungsart
• Kommunikationsdaten: Anrufzeitpunkt und -dauer, Gesprächsaufzeichnung und Abschrift, Nachrichten und Sprachnachrichten zwischen Zentrale und Fahrern
• Standortdaten der Fahrzeuge während einer aktiven Schicht
• Beschäftigtendaten: Schichtzeiten, Pausen, Kilometerstände, Übergabeprotokolle
• Nutzungsdaten: Anmeldezeitpunkte, Gerätekennung für Push-Nachrichten, Protokolle

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Sollten sich in Freitextfeldern gleichwohl Hinweise etwa zu Krankenfahrten ergeben, behandelt der Auftragsverarbeiter diese mit demselben Schutzniveau; der Verantwortliche ist gehalten, solche Angaben auf das Notwendige zu beschränken.

§ 3 Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch im Hinblick auf eine Übermittlung in ein Drittland – es sei denn, er ist unionsrechtlich oder nach deutschem Recht dazu verpflichtet. In diesem Fall teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet.
2. Als Weisung gelten auch die Einstellungen, die der Verantwortliche in der Software selbst vornimmt (etwa das Ein- und Ausschalten der Anrufaufzeichnung, der KI-Telefonannahme oder der Standortanzeige). Weisungen in Textform sind ebenfalls zulässig; mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Bestätigung aussetzen.
4. Weisungsberechtigt auf Seiten des Verantwortlichen sind die von ihm benannten Personen; Ansprechpartner auf Seiten des Auftragsverarbeiters ist die Inhaberin.

§ 4 Vertraulichkeit

1. Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorschriften vertraut gemacht worden sind. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.
2. Alle eingesetzten Personen werden mindestens jährlich im Datenschutz und im Umgang mit KI-Systemen geschult; die Schulung wird nachgewiesen (vgl. Art. 4 KI-VO).

§ 5 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der gesamten Vertragsdauer aufrecht.
2. Die Maßnahmen dürfen fortentwickelt werden, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 6 Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO). Wendet sich eine betroffene Person unmittelbar an ihn, leitet er den Antrag unverzüglich weiter und beantwortet ihn nicht selbst.
2. Er unterstützt ferner bei Datenschutz-Folgenabschätzungen, vorherigen Konsultationen und bei der Meldung von Datenschutzverletzungen (Art. 32 bis 36 DSGVO).
3. Eine Verletzung des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis – mit Beschreibung des Vorfalls, der betroffenen Datenarten, der wahrscheinlichen Folgen und der ergriffenen Gegenmaßnahmen. Die Frist ist so bemessen, dass der Verantwortliche seine eigene 72-Stunden-Frist nach Art. 33 DSGVO einhalten kann.

§ 7 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung der in Anlage 2 aufgeführten Unterauftragsverarbeiter.
2. Über die Hinzuziehung oder den Austausch eines Unterauftragsverarbeiters unterrichtet der Auftragsverarbeiter mindestens vier Wochen vorher in Textform. Der Verantwortliche kann innerhalb von zwei Wochen aus wichtigem, datenschutzbezogenem Grund widersprechen. Lässt sich der Widerspruch nicht ausräumen, steht beiden Seiten ein Sonderkündigungsrecht zu.
3. Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem dieselben Pflichten auferlegt, die ihn selbst treffen, und haftet für dessen Verhalten wie für eigenes.
4. Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie Telekommunikation, Postdienste, Reinigung oder die Prüfung durch Steuerberater und Wirtschaftsprüfer.

§ 8 Kontrollrechte

1. Der Verantwortliche kann sich von der Einhaltung dieses Vertrags überzeugen. Der Auftragsverarbeiter stellt dazu alle erforderlichen Auskünfte, dieses Verzeichnis, die Beschreibung der Maßnahmen sowie vorhandene Prüfberichte zur Verfügung.
2. Vor-Ort-Prüfungen sind nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs möglich, in der Regel einmal jährlich, bei konkretem Anlass auch häufiger.
3. Aufwendungen für Prüfungen, die über die Bereitstellung der Unterlagen hinausgehen, kann der Auftragsverarbeiter angemessen in Rechnung stellen.

§ 9 Einsatz von KI-Systemen

1. Auf Wunsch des Verantwortlichen wertet der Auftragsverarbeiter eingehende Anrufe mit Hilfe von KI-Systemen aus und nimmt Anrufe mit einem KI-Telefonassistenten entgegen. Beide Funktionen lassen sich jederzeit abschalten; ohne Freischaltung finden sie nicht statt.
2. Anrufer werden zu Beginn des Gesprächs darüber unterrichtet, dass sie mit einem KI-System sprechen (Art. 50 Abs. 1 KI-VO) und dass das Gespräch aufgezeichnet wird. Für die Ansage und ihre inhaltliche Richtigkeit in seinem Betrieb bleibt der Verantwortliche zuständig; der Auftragsverarbeiter stellt sie technisch bereit.
3. Ergebnisse der KI-Auswertung sind Vorschläge. Sie werden der Zentrale zur Bestätigung vorgelegt; eine automatisierte Entscheidung mit rechtlicher Wirkung gegenüber betroffenen Personen im Sinne des Art. 22 DSGVO findet nicht statt.
4. Die Zuteilung von Aufträgen an Fahrer erfolgt regelbasiert (Reihenfolge, Nähe, Verfügbarkeit) und nicht durch ein KI-System, das Verhalten oder persönliche Eigenschaften bewertet.
5. Gesprächsdaten werden nicht zum Training von KI-Modellen verwendet. Das ist mit den eingesetzten Anbietern vertraglich ausgeschlossen.

§ 10 Löschung und Rückgabe

1. Nach Beendigung des Auftrags löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten Daten oder gibt sie zurück – nach Wahl des Verantwortlichen. Die Wahl ist spätestens 30 Tage nach Vertragsende mitzuteilen; ohne Mitteilung wird gelöscht.
2. Ein Export der Fahrt-, Abrechnungs- und Stammdaten in einem gängigen Format wird auf Anforderung bereitgestellt.
3. Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, sowie Daten, für die gesetzliche Aufbewahrungspflichten bestehen, dürfen über das Vertragsende hinaus aufbewahrt werden. Sie werden für andere Zwecke gesperrt.
4. Sicherungskopien werden im Rahmen des laufenden Sicherungszyklus spätestens nach 30 Tagen überschrieben.

§ 11 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Regelungen des Softwarevertrags.
2. Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für die Aufhebung dieser Formklausel.
3. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.
4. Bei Widersprüchen zwischen diesem Vertrag und dem Softwarevertrag geht dieser Vertrag in Datenschutzfragen vor.
5. Es gilt deutsches Recht.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

Zutrittskontrolle: Die Server stehen in einem Rechenzentrum in Deutschland mit Zutrittskontrolle rund um die Uhr, Videoüberwachung, Vereinzelungsanlage und Besucherprotokollierung. Eigene Arbeitsräume sind verschlossen; Besucher werden begleitet.

Zugangskontrolle: Anmeldung nur mit persönlicher Kennung und Passwort. Passwörter werden ausschließlich als Hashwert gespeichert. Nach mehreren Fehlversuchen wird der Zugang zeitweise gesperrt. Verwaltungszugänge sind zusätzlich abgesichert und nur aus dem Wartungsnetz erreichbar. Arbeitsplätze sperren sich automatisch.

Zugriffskontrolle: Rollen- und Rechtekonzept; jeder Nutzer sieht nur die Daten seines Betriebs. Jede Datenbankabfrage ist auf die Mandantenkennung eingeschränkt. Fahrer sehen nur die ihnen zugeteilten Aufträge. Administrative Zugriffe werden protokolliert.

Trennungskontrolle: Mandantentrennung auf Datenebene; getrennte Umgebungen für Betrieb und Erprobung; Testdaten sind keine echten Kundendaten.

Pseudonymisierung und Verschlüsselung: Übertragung ausschließlich über TLS, erzwungen durch HSTS. Zugangsdaten zu Dienstleistern liegen außerhalb des Web-Verzeichnisses. Datenträger sind verschlüsselt.

2. Integrität

Weitergabekontrolle: Datenübermittlungen erfolgen verschlüsselt. Ein Versand personenbezogener Daten über unverschlüsselte Wege ist untersagt. Schnittstellen sind mit Schlüsseln abgesichert.

Eingabekontrolle: Wesentliche Vorgänge werden mit Zeitpunkt und Benutzer protokolliert – etwa Anlage und Änderung von Fahrten, Stornierungen, Freigaben und Änderungen an Stammdaten. Die Protokolle sind für den Verantwortlichen einsehbar.

3. Verfügbarkeit und Belastbarkeit

Tägliche Datensicherung mit 30 Tagen Vorhaltung und regelmäßiger Wiederherstellungsprobe; unterbrechungsfreie Stromversorgung und Netzersatzanlage im Rechenzentrum; Schutz vor Feuer und Wasser; Firewall und Angriffserkennung; automatische Überwachung der Dienste, die Ausfälle meldet und wiederkehrende Aufgaben selbsttätig neu startet; zeitnahes Einspielen von Sicherheitsaktualisierungen.

4. Verfahren zur regelmäßigen Überprüfung

Jährliche Überprüfung dieses Verzeichnisses und der Maßnahmen; tägliche automatische Sicherheitsprüfung der Anwendung; dokumentiertes Verfahren für Datenschutzverletzungen mit 24-Stunden-Meldung an den Verantwortlichen; Auftragskontrolle durch schriftliche Verträge mit allen Dienstleistern; Datenschutz durch Voreinstellungen (Art. 25 DSGVO), etwa Standortfreigabe nur während der Schicht und automatische Löschung der Anrufdaten nach 30 Tagen.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

Stand der Anlage: 21.09.2026. Änderungen werden nach § 7 Abs. 2 angekündigt.

1. Warum es diese Richtlinie gibt

Wir setzen künstliche Intelligenz an zwei Stellen ein: im Büro als Werkzeug (Texte, Entwürfe, Programmierhilfe) und in unserem Produkt, wo Anrufe automatisch ausgewertet und auf Wunsch von einem Sprachassistenten entgegengenommen werden. Beides ist erlaubt – aber nur nach festen Regeln. Diese Richtlinie schreibt sie auf, gilt für alle Personen, die für uns tätig sind, und ist Teil des Arbeitsverhältnisses beziehungsweise des Auftrags.

Sie erfüllt zugleich die Pflicht aus Art. 4 KI-VO: Wer KI einsetzt, muss dafür sorgen, dass die damit befassten Personen über ausreichende KI-Kompetenz verfügen. Der Nachweis darüber wird geführt (siehe Abschnitt 9).

2. Unsere beiden Rollen

3. Verzeichnis der eingesetzten KI-Systeme

Dieses Verzeichnis wird bei jeder neuen KI-Funktion fortgeschrieben. Ein KI-Werkzeug, das nicht hier steht, darf für dienstliche Zwecke nicht eingesetzt werden, bevor es freigegeben und eingetragen ist.

4. Was verboten ist (Art. 5 KI-VO)

Unabhängig davon, wie nützlich es erscheinen mag, ist Folgendes untersagt:

• Erkennung von Gefühlen von Mitarbeitern aus Stimme, Gesicht oder Verhalten – am Arbeitsplatz ausdrücklich verboten. Weder Fahrer noch Disponenten werden auf Stimmung, Stress oder Zuverlässigkeit hin ausgewertet.
• Bewertung oder Einstufung von Personen nach sozialem Verhalten (Social Scoring).
• Rückschlüsse aus biometrischen Daten auf Herkunft, Religion, politische Einstellung, Gewerkschaftszugehörigkeit oder sexuelle Orientierung.
• Vorhersage von Straftaten allein aufgrund von Persönlichkeitsmerkmalen.
• Täuschende oder ausnutzende Beeinflussung von Anrufern.
• Ungezieltes Sammeln von Gesichtsbildern aus dem Internet oder aus Kameras.

5. Regeln für Eingaben

Was in ein KI-Werkzeug eingegeben wird, verlässt unser Haus. Deshalb gilt:

• Niemals eingeben: Passwörter, Schlüssel und Zugangsdaten; vollständige Kundenlisten; Gesundheitsangaben; Personalakten; Daten, die wir im Auftrag eines Kunden verarbeiten, ohne dass dieser es weiß und ein Vertrag besteht.
• Nur eingeschränkt eingeben: personenbezogene Daten allgemein. Wenn es sich nicht vermeiden lässt, vorher kürzen, abkürzen oder durch Platzhalter ersetzen.
• Unbedenklich: allgemeine Fragen, Entwürfe, Programmierung ohne echte Daten, Zusammenfassungen eigener öffentlicher Texte.
• Für den Einsatz im Produkt gilt zusätzlich: Verarbeitung nur bei Anbietern mit AV-Vertrag, mit abgeschaltetem Training und innerhalb der in der Anlage 2 des AV-Vertrags genannten Orte.

6. Menschliche Aufsicht

• Kein KI-Ergebnis geht ungeprüft nach außen. Wer es verwendet, verantwortet es.
• KI erfindet Angaben, die überzeugend klingen. Namen, Adressen, Zahlen, Rechtsstellen und Zitate sind vor der Verwendung zu prüfen.
• Erkannte Fahrten werden der Zentrale als Vorschlag angezeigt und erst durch einen Menschen übernommen. Bei Unklarheiten fragt das System nach, statt zu raten.
• Der KI-Telefonassistent kann jederzeit für einen einzelnen Anruf oder dauerhaft abgeschaltet werden; fällt er aus, klingeln die Mitarbeiter wie zuvor.

7. Transparenz (Art. 50 KI-VO)

• Wer mit unserem Sprachassistenten telefoniert, erfährt das zu Beginn des Gesprächs.
• Wer aufgezeichnet wird, erfährt das vor der Aufzeichnung und kann das Gespräch beenden.
• Bildmaterial, das vollständig von KI erzeugt wurde, wird als solches ausgewiesen.
• Unsere Kunden werden über jede KI-Funktion unterrichtet, bevor sie freigeschaltet wird, und können sie abwählen.

8. Datenschutz und KI zusammen gedacht

• Für jede KI-Funktion ist eine Rechtsgrundlage nötig; sie steht im Verarbeitungsverzeichnis.
• Gesprächsdaten werden nach 30 Tagen automatisch gelöscht – auch die Abschriften.
• KI-Anbieter sind Unterauftragsverarbeiter; sie stehen in Anlage 2 des AV-Vertrags und werden nur mit Vertrag eingesetzt.
• Eine Datenschutz-Folgenabschätzung wird geprüft, bevor eine neue KI-Funktion mit personenbezogenen Daten in Betrieb geht.

9. KI-Kompetenz und Schulung (Art. 4 KI-VO)

• Alle Personen, die mit KI-Systemen arbeiten, werden vor der ersten Nutzung und danach mindestens einmal jährlich geschult.
• Inhalt: Grundlagen des Datenschutzes, Rollen und Pflichten nach der KI-Verordnung, verbotene Praktiken, Transparenzpflichten, Grenzen der Technik und die Regeln dieser Richtlinie.
• Die Teilnahme wird mit Datum und Inhalt schriftlich nachgewiesen und mindestens drei Jahre aufbewahrt.
• Die Schulung steht unter taxiagentur.de/ki-schulung.php bereit und endet mit einem Nachweis zum Ausdrucken.

10. Vorfälle melden

Jeder Verdacht auf eine Fehlfunktion, eine falsche Auskunft mit Folgen, einen Datenabfluss oder einen Verstoß gegen diese Richtlinie ist unverzüglich der Inhaberin zu melden – auch dann, wenn er selbst verursacht wurde. Eine offene Meldung hat keine arbeitsrechtlichen Nachteile; das Verschweigen sehr wohl. Betrifft der Vorfall personenbezogene Daten, greift zusätzlich das Verfahren nach Art. 33 DSGVO mit der 72-Stunden-Frist.

11. Geltung und Überprüfung

Diese Richtlinie gilt ab dem 21.09.2026 und wird jährlich überprüft, zusätzlich bei jeder neuen KI-Funktion und bei Änderungen der Rechtslage. Verstöße können arbeits- oder vertragsrechtliche Folgen haben.

Zeitliche Einordnung: Die Verbote nach Art. 5 und die Pflicht zur KI-Kompetenz nach Art. 4 gelten seit dem 2. Februar 2025, die Pflichten für Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025. Die übrigen Vorschriften gelten gestaffelt bis 2027.