IT- / Datenschutzrecht
Art.-4-KI-Kompetenz für Mandanten
anymize entfernt Mandanten- und Mitarbeiter-Identitäten, KI-Produktnamen und konkrete Schulungs-Inhalte automatisch aus der Curriculum-Skizze, bevor sie an GPT, Claude oder Gemini geht — und setzt sie nach der KI-Antwort wieder ein. So strukturieren Sie ein Art.-4-KI-VO-konformes Schulungs-Curriculum für Mandanten-Unternehmen mit Teilnahme-Dokumentation, Audit-Trail und Verzahnung zur DSGVO-Art.-39-Schulungspflicht, ohne § 43a BRAO oder § 203 StGB zu berühren.
Schwierigkeit: Fortgeschritten · Datenklasse: Mandantendaten · Letztes Review:
Zur Orientierung gedacht. Die anwaltliche Würdigung im Einzelfall bleibt selbstverständlich bei Ihnen — KI-Outputs sind vor jeder Verwendung zu prüfen. Mehr dazu am Ende.
Anwendungsbereich
Worum geht es hier?
Art. 4 KI-VO verlangt seit 02.02.2025 von Anbietern und Betreibern, hinreichende KI-Kompetenz ihres Personals sicherzustellen. Das ist Strukturarbeit: Curriculum nach Rolle, Schulungs-Häufigkeit, Teilnahme-Dokumentation, Wirksamkeits-Kontrolle, Audit-Trail. Ein manuell aufgesetztes Curriculum kostet die Mandanten-Beratung sechs bis zehn Stunden, weil es Rollenmatrix, Inhalts-Modulen, Dokumentations-Tools und Verzahnung mit bestehenden DSB-/Compliance-Schulungen umfasst. Mit anymize geht die pseudonymisierte Mandanten-Skizze an ein Frontier-Modell — Mandantenname, Mitarbeiter-Funktionen, eingesetzte KI-Produkte und konkrete Schulungs-Themen verlassen das Haus nicht. Die juristische Kernwertung — Reichweite des Kompetenz-Begriffs, Anbieter- vs. Betreiber-Pflicht, Verzahnung mit § 39 DSGVO und § 7 GeschGehG — bleibt anwaltliche Eigenleistung. Das Pillar-Profil P-02 passt, weil die Arbeit dokument-orientiert ist (Curriculum-Dokument, Teilnahme-Liste, Audit-Akte) und nicht schriftsatz-getrieben.
Für wen passt das?
Zielgruppe und Kontext
- Rolle
- Fachanwält:in für IT-Recht; Fachanwält:in für Arbeitsrecht mit IT-Bezug; Datenschutzbeauftragte:r mit anwaltlicher Beratungsfunktion; KI-Compliance-Beauftragte:r; Inhouse-Counsel bei Unternehmen mit eigenem KI-Einsatz.
- Seniorität
- Berufserfahrung mittel — die Curriculum-Strukturierung ist methodische Arbeit; die juristische Kernwertung der „hinreichenden KI-Kompetenz“ (Art. 4 Satz 1) und die Abgrenzung zur Schulungspflicht nach Art. 39 DSGVO sind aber anwaltliche Eigenleistung. BRAK-Leitfaden KI als Auslegungs-Stütze.
- Kanzleigröße
- Einzelkanzlei mit Compliance-Praxis bis BigLaw mit Schulungs-Pflichtenkreis-Mandaten. Der Hebel ist beim mittelständischen Mandanten mit 200–1.000 Mitarbeitenden besonders hoch, weil dort Schulungs-Curricula erstmals aufgebaut werden.
- Spezifische Kontexte
- Mandant mit erstmaligem KI-Einsatz (LLM-Lizenz, generative Werkzeuge im Marketing, KI-Komponenten im HR / Vertrieb); Konzern mit dezentralen KI-Initiativen und Bedarf an einheitlichem Curriculum; KMU mit DSB, der ein integriertes Curriculum aufbauen will; Folge-Mandat nach AI-Act-Klassifikation (UC-V-IDS-006); Vorbereitung auf Hochrisiko-Anwendbarkeit ab 02.08.2026 mit dann erweitertem Schulungsbedarf der Betreiber.
Die Situation in der Kanzlei
So bringen Sie Tempo und Sorgfalt zusammen
Art. 4 KI-VO ist seit 02.02.2025 anwendbar. Anbieter und Betreiber müssen Maßnahmen ergreifen, um sicherzustellen, dass ihr Personal — und andere mit dem Betrieb / der Nutzung des KI-Systems betraute Personen — eine hinreichende KI-Kompetenz aufweisen. Die Norm ist absichtlich offen formuliert; das macht die Mandanten-Beratung anspruchsvoll. Mandanten fragen: Wer braucht welches Schulungs-Level? Reicht eine E-Learning-Pflicht-Schulung? Wie dokumentieren wir die Teilnahme? Was passiert bei Personalwechseln? Wie verzahnen wir mit Art. 39 DSGVO (DSB-Schulungen) und § 7 GeschGehG (Geschäftsgeheimnis-Schutz)? Wer ChatGPT direkt nutzt, um ein Curriculum zu entwerfen, kommt schneller — verletzt aber § 43a BRAO und § 203 StGB, sobald Mandantenname, eingesetzte KI-Produkte und Mitarbeiter-Funktionen das Haus verlassen. Die Aufsichts-Praxis ist noch jung; die ersten Bußgeld-Fälle werden voraussichtlich ab 2026 dokumentiert. Wer jetzt strukturiert vorbereitet, ist im Vorteil. anymize löst den Konflikt: Klarnamen werden vor dem KI-Aufruf zu Platzhaltern; die KI-Antwort kommt strukturiert zurück, anymize re-identifiziert. Die anwaltliche Kernwertung — „hinreichende KI-Kompetenz“, Anbieter- vs. Betreiber-Pflicht-Differenzierung, Schulungs-Tiefe nach Rolle — bleibt im Haus.
Was Sie davon haben
Zeit, Wert, Vertraulichkeit
Zeit pro Curriculum
~4 Std
Frontier-KI strukturiert die Rollenmatrix, das Modul-Curriculum, die Teilnahme-Dokumentation und den Audit-Trail in unter 20 Minuten. Anwaltliche Kernwertung — Tiefenniveau, Verzahnung mit DSB-Schulung, betriebliche Mitbestimmung — kommt wie gewohnt obendrauf.
Mehrwert pro Mandat
€ 1.000–1.800
Stundensatz IT-/Compliance-Recht (€ 250–450/h) angewandt auf 4 Stunden freigespielte Strukturierungs-Zeit. Bei Folge-Mandaten (Wartung, Aktualisierung, Konzern-Roll-Out) skaliert der Hebel weiter.
Vertraulichkeit
strukturell
anymize entfernt 40+ Kategorien personenbezogener Daten — Mandantenname, Mitarbeiter-Funktionen, eingesetzte KI-Produkte, Lieferanten-Identitäten — bevor der Text das Haus verlässt.
Erkennungsrate
>95 %
Dreifach geprüft (Algorithmus + zwei spezialisierte KI-Prüfungen). Restmenge kontrollieren Sie im Vorschau-Modus vor dem KI-Aufruf.
So gehen Sie vor
In 5 Schritten zum Antrag
Mandanten-Situation erfassen. Welche KI-Systeme setzt das Unternehmen ein (Anbieter-Rolle? Betreiber-Rolle? Beides?)? Welche Personenkreise sind betroffen (Entwicklung, Betrieb, Endnutzung, Compliance, Geschäftsleitung)? Bestehende Schulungslandschaft (DSB-Schulung Art. 39 DSGVO, Compliance-Pflichtschulung, Geschäftsgeheimnis-Schulung nach § 7 GeschGehG, IT-Security-Awareness)? Mitarbeiterzahl, Personalwechsel-Frequenz? Konzern-Struktur mit zentralem oder dezentralem Schulungs-Ansatz?
Sie
Rollenmatrix · Mandatsrecht
anymize anonymisiert automatisch. Über 40 Kategorien personenbezogener Daten — Mandantenname, Mitarbeiter-Funktionen, eingesetzte KI-Produkte, Lieferanten, Standorte, Konzern-Töchter, DSB-Identität — werden durch semantische Platzhalter ersetzt. Sie sehen die Vorschau vor dem KI-Aufruf.
anymize
§ 43a BRAO Verschwiegenheit · § 203 StGB
Frontier-KI strukturiert. Die pseudonymisierte Mandanten-Skizze geht an Ihr gewähltes Modell — GPT, Claude oder Gemini, alle in anymize verfügbar. Mit dem unten stehenden Prompt fragen Sie eine systematische Curriculum-Struktur ab: Rollenmatrix → Modul-Set (Grundlagen, Recht, Sicherheit, rollen-spezifisch) → Schulungs-Häufigkeit → Teilnahme-Dokumentation → Audit-Trail → Wirksamkeits-Kontrolle. Die KI sieht keine Klarnamen — sie arbeitet ausschließlich mit den Platzhaltern.
GPT / Claude / Gemini in anymize
Curriculum-Struktur · Dokumentations-Disziplin
anymize re-identifiziert. Die KI-Antwort kommt mit Platzhaltern zurück; anymize setzt automatisch die Originaldaten wieder ein. Sie erhalten eine Curriculum-Skizze, eine Dokumentations-Vorlage und einen Audit-Trail-Plan, die Sie anwaltlich würdigen: Tiefenniveau („hinreichende“ KI-Kompetenz), Verzahnung mit DSB-Schulung (Art. 39 DSGVO), Bezug zu § 7 GeschGehG und § 26 BDSG-Verarbeitungsgrundsätzen bei Personaldaten, mitbestimmungsrechtliche Querbezüge (§ 87 Abs. 1 Nr. 6 BetrVG bei KI-Werkzeugen). Citation-Check Art. 4 KI-VO und Art. 39 DSGVO.
anymize + Sie
Bidirektionale Anonymisierung · Citation-Check
Curriculum-Bericht an Mandantschaft. Die Skizze wird in einen umsetzbaren Schulungs-Plan überführt: Welche Module für welche Rolle? Welche Häufigkeit? Welches Dokumentations-Tool? Wer ist intern verantwortlich? Wie wird die Wirksamkeit gemessen (Test? Stichproben? Audit)? Verzahnung mit bestehenden Compliance-Schulungen klären, ggf. integrierten Schulungsplan vorschlagen. Bei Hochrisiko-Anbietern: zusätzlichen Schulungs-Pflichten-Kreis ab 02.08.2026 vorbereiten.
Sie
Beratungsauftrag · Compliance-Roadmap
Womit Sie arbeiten
So setzen Sie anymize konkret ein
Was anymize tut
- Erkennt 40+ Kategorien personenbezogener Daten — Mandantenname, Mitarbeiter-Funktionen, eingesetzte KI-Produkte, Lieferanten, Standorte, DSB-Identität — mit über 95 % Erkennungsrate.
- Dreistufige Prüfung: Algorithmische Analyse, dann zwei spezialisierte KI-Prüfungen, die auch Kontext berücksichtigen (z. B. interne Funktions-Bezeichnungen vs. allgemeine Berufsbezeichnungen).
- Bidirektionale Anonymisierung: Platzhalter werden eingesetzt, das Frontier-Modell antwortet mit Kontext, anymize re-identifiziert beim Empfang.
- Daten in deutschen Rechenzentren (Hetzner). Originaldokumente werden nicht gespeichert — nur die Zuordnung Platzhalter ↔ Klarname, mit Aufbewahrungsfrist nach Ihrer Wahl von 24 Stunden bis unbegrenzt.
Was Sie als Anwält:in tun
- Mandanten-Situation erfassen — Rolle (Anbieter / Betreiber), eingesetzte KI-Systeme, Personenkreise, bestehende Schulungslandschaft.
- Vorschau der Anonymisierung sichten — bei Mitarbeiter-Funktionen auf interne Spezial-Bezeichnungen und bei KI-Produkten auf Vendor-Identitäten achten.
- Juristische Kernwertung — Tiefenniveau „hinreichende KI-Kompetenz“, Anbieter- vs. Betreiber-Pflichtenkreis, Verzahnung mit § 39 DSGVO und mitbestimmungsrechtlichen Anforderungen.
- Citation-Check: Art. 4 KI-VO, Art. 39 DSGVO, § 26 BDSG, § 87 Abs. 1 Nr. 6 BetrVG, BRAK-Leitfaden KI gegen Primärquellen verifizieren.
- Curriculum-Skizze mit Mandantschaft validieren — Modul-Inhalte, Tooling, Dokumentations-Tiefe, Mitbestimmung; integrierten Schulungs-Plan vorschlagen.
Daten-Input
Mandanten-Skizze mit Rolle (Anbieter / Betreiber), KI-System-Liste, Personenkreis-Übersicht, bestehender Schulungslandschaft (DSB-Schulung, Compliance, IT-Security), Mitarbeiterzahl, Konzern-Struktur, mitbestimmungs-relevante Hinweise. anymize akzeptiert PDFs, Word-Dokumente, Markdown und Klartext.
Output-Kontrolle
Pseudonymisierter Text geht an die KI. Re-identifizierte Curriculum-Skizze, Dokumentations-Vorlage und Audit-Trail-Plan kommen zurück. anymize selbst trifft keine inhaltlichen Aussagen — die Strukturierung leistet das Frontier-Modell, die juristische Kernwertung machen Sie.
Freigabeprozess
Sie behalten jederzeit die Hoheit: Sichtung der Anonymisierung, juristische Kernwertung, Mandanten-Beratung, Curriculum-Validierung — alles im üblichen Kanzlei-Workflow. anymize ist der Anonymisierungs-Layer, keine Schulungs-Plattform und kein Ersatz für die anwaltliche Curriculum-Wertung.
Die KI-Anweisung
Prompt zum Kopieren
So nutzen Sie diesen Prompt:
1. Mandanten-Skizze in anymize einfügen — die Anonymisierung läuft automatisch (Mandantenname, Mitarbeiter-Funktionen, eingesetzte KI-Produkte werden zu Platzhaltern).
2. Diesen Prompt kopieren und an die Mandanten-Skizze anhängen.
3. In anymize unter „Tools → Reasoning“ auf „Thinking-Modus“ stellen, dann KI-Aufruf starten — der Output kommt re-identifiziert zurück.
4. Die mit [ANWALT-PRUEFUNG] markierten Stellen anwaltlich abarbeiten.
Datums-Hinweis: Art. 4 KI-VO ist seit 02.02.2025 anwendbar; die Pflicht greift ab dem Datum, an dem das Personal mit KI-Systemen betraut wird.
# Rolle
Du bist Curriculum-Strukturierungs-Assistenz für eine
IT-/Datenschutzrechts-Kanzlei.
Rechtsstand: <heutiges Datum — bitte aktuell ermitteln und hier einsetzen>.
# Aufgabe
Entwirf ein Art.-4-KI-VO-konformes Schulungs-Curriculum für den
vorgelegten Mandanten. Liefere:
(1) Rollenmatrix — wer braucht welches Schulungs-Level?
(2) Modul-Curriculum — Grundlagen-, Rechts-, Sicherheits- und
rollen-spezifische Module.
(3) Schulungs-Häufigkeit — Erst-Schulung, Onboarding, Wiederholung,
Anlass-Schulung bei Personalwechsel oder neuer KI-Komponente.
(4) Teilnahme-Dokumentation — Format, Tooling-Empfehlung, Audit-Trail.
(5) Wirksamkeits-Kontrolle — Test, Stichprobe, Audit.
Die anwaltliche Kernwertung — Tiefenniveau „hinreichend“, Verzahnung
mit Art. 39 DSGVO, mitbestimmungsrechtliche Querbezüge — ist NICHT
deine Aufgabe; markiere die entsprechenden Stellen mit [ANWALT-PRUEFUNG].
# Inhalt — strikte Reihenfolge
Schritt 1 — Rollenmatrix
Differenziere mindestens diese Rollen:
- Geschäftsleitung (KI-Strategie, Risiko-Governance)
- Anbieter-Entwicklung (Modelle / Komponenten, falls Mandant Anbieter ist)
- Betreiber-Fachverantwortung (HR, Marketing, Vertrieb, IT, Finance)
- Endnutzer:innen (Mitarbeitende, die KI-Werkzeuge im Alltag einsetzen)
- DSB / Datenschutz-Funktion
- Compliance / Legal
- Betriebsrat / Personalvertretung (Information, nicht Schulung im
eigentlichen Sinn — aber funktional verzahnt)
Schritt 2 — Modul-Curriculum
Modul A — Grundlagen KI (alle Rollen):
Was ist KI? Was unterscheidet GPAI von spezialisierten Systemen?
Welche Risiken? Welche Begriffe? (Halluzination, Bias, Drift,
Reasoning-Modus, Watermarking)
Modul B — Rechtsrahmen (Geschäftsleitung, Compliance, DSB):
KI-VO-Architektur (Risikostufen, Anwendbarkeits-Daten), Art. 4
KI-Kompetenz, Art. 5 Verbote, Art. 6 Hochrisiko, Art. 50 Transparenz,
Querbezug DSGVO Art. 22 / Art. 35 / Art. 39.
Modul C — Datenschutz (alle Rollen mit Datenzugriff):
Eingabe-Disziplin in KI-Werkzeuge, Geheimnis-Schutz § 203 StGB
(falls relevant für Mandanten-Tätigkeit), GeschGehG-Bezug.
Modul D — IT-Sicherheit (Entwicklung, Betrieb, Endnutzer:innen mit
Datenzugriff):
Prompt-Injection, Datenleck-Risiko, Logging, Zugriffs-Steuerung.
Modul E — Rollen-spezifisch:
HR — Art. 22 DSGVO, Anhang III Nr. 4 KI-VO, Mitbestimmung
Marketing — Art. 50 Abs. 2 / Abs. 4, Urheberrecht, DSA
Vertrieb — Halluzinations-Risiko bei Kundenkommunikation
IT — Anhang IV Dokumentation, Qualitätsmanagement Art. 17
Finance — Hochrisiko-Anhang-III-Nr. 5 (Kredit-Scoring)
Modul F — Vorfall-Management:
Was tun bei Halluzination im Output? Bei Datenleck? Bei Drift-
Erkennung? Meldewege intern und extern.
Schritt 3 — Schulungs-Häufigkeit
- Erst-Schulung: bei Inkrafttreten / Eintritt
- Onboarding: für neue Mitarbeitende innerhalb 30 Tagen
- Wiederholung: jährlich; rollenspezifisch evtl. halbjährlich
- Anlass: bei neuem KI-Werkzeug, Änderung der Rechtslage, größerem
Vorfall
Schritt 4 — Teilnahme-Dokumentation
Pflicht-Bestandteile:
- Datum der Schulung
- Modul-Liste mit Stundenumfang
- Teilnehmer:innen-Liste
- Schulungs-Anbieter (intern / extern)
- Wirksamkeits-Test (Bestanden / Nachschulungsbedarf)
- Aufbewahrungsfrist (Empfehlung: mindestens drei Jahre, an Verjährungs-
Pflichten und Bußgeld-Verfolgungsfristen anlehnen)
Tooling-Empfehlung: LMS oder dediziertes Compliance-Tool;
Lightweight-Variante mit Tabelle ist für KMU akzeptabel.
Schritt 5 — Wirksamkeits-Kontrolle
- Test am Modul-Ende (mindestens Wissens-Abfrage)
- Jährliche Stichprobe durch Compliance / DSB
- Externes Audit alle 24–36 Monate
- Anlass-Review bei Vorfall
Schritt 6 — Verzahnung mit bestehenden Schulungen
- Art. 39 Abs. 1 lit. b DSGVO — DSB-Schulungspflicht für Mitarbeitende
- § 26 BDSG / Art. 88 DSGVO — Datenverarbeitung im Beschäftigungskontext
- § 7 GeschGehG — Geschäftsgeheimnis-Schulungs-Aspekte
- § 87 Abs. 1 Nr. 6 BetrVG — Mitbestimmung Betriebsrat bei technischen
Einrichtungen zur Verhaltens-/Leistungs-Kontrolle (relevant bei
KI-Werkzeugen)
Integrationsvorschlag: gemeinsames Compliance-Curriculum mit
KI-Modul-Strang statt isoliertem KI-Curriculum.
# Querbezüge
- BRAK-Leitfaden KI — KI-Kompetenz in der Kanzlei (analog für Mandantschaft)
- EU-AI-Office-Leitlinien zu Art. 4
- BfDI/LfDI-Kurzpapiere zu KI im Beschäftigungskontext
# Format
Markdown. Executive Summary (max. 4 Sätze) am Anfang.
Tabelle Rollenmatrix.
Modul-Übersicht als Tabelle: Modul | Zielgruppe | Stunden | Häufigkeit.
Dokumentations-Vorlage als Tabellenkopf-Skizze.
Citation-Verifikations-Liste am Ende.
# Verbote
KEINE konkrete Tooling-Empfehlung mit Produktname.
KEINE pauschale Aussage „60 Minuten Schulung reichen“ ohne
Tiefenniveau-Begründung — die Tiefe ist anwaltliche Kernwertung.
KEINE Empfehlung zur Personalauswahl oder zur betrieblichen
Organisation jenseits der Schulungs-Architektur.
KEINE Bezugnahme auf konkrete KI-Modell-Versionen oder
Hersteller-Roadmaps.
KEINE Ausschluss-Empfehlung für den Betriebsrat — Mitbestimmung
ist anwaltlich zu prüfen.So sieht der Sachverhalt aus
Pseudonymisierter Eingabetext
Mandant:
[[Unternehmensname-c4d2]], mittelständischer Hersteller von
Industrie-Komponenten, ca. 850 Mitarbeitende, drei Standorte
([[Adresse-c4d2]], [[Adresse-7a91]], [[Adresse-b305]]).
Konzern-Mutter [[Unternehmensname-2e44]] in den Niederlanden.
Mandantenrolle:
Aktuell ausschließlich Betreiber — kein eigenes KI-Produkt.
KI-Einsatz:
- Lizenz für [[Produktname-2e44]] (LLM-Workplace-Lösung)
für ca. 320 Wissensarbeiter:innen.
- HR-Vorauswahl-Tool [[Produktname-7a91]] (Anhang III Nr. 4 KI-VO
Hochrisiko ab 02.08.2026 — separate Klassifikation bereits beauftragt).
- Marketing-Bild-Generator [[Produktname-b305]] für Kampagnen-Visuals.
- Geplant: KI-gestützte Predictive-Maintenance in der Produktion
(Roll-out Q3/2026, Anbieter [[Unternehmensname-9f7c]]).
Bestehende Schulungslandschaft:
- Compliance-E-Learning jährlich (60 Min, Pflicht für alle Mitarbeitenden)
- DSB-Schulung in IT-Abteilung und HR (zweistündig, jährlich)
- IT-Security-Awareness-Programm (vierteljährliche Newsletter)
- Geschäftsgeheimnis-Belehrung im Onboarding
Externe DSB: [[Vorname-2e44]] [[Nachname-2e44]] ([[Unternehmensname-2e44]]).
Mitbestimmung:
Betriebsrat mit 13 Mitgliedern; Betriebsvereinbarung zu IT-Werkzeugen
von 2021, KI-Werkzeuge nicht ausdrücklich erfasst.
Mandanten-Frage:
Wir brauchen ein Schulungs-Curriculum, das Art. 4 KI-VO erfüllt und
in unser bestehendes Compliance-Programm integriert ist. Spätestens
vor dem Predictive-Maintenance-Roll-out im Q3/2026 muss es stehen.So liefert anymize zurück
Der Antrags-Entwurf
# Art.-4-KI-Kompetenz-Curriculum — Strukturierter Entwurf
## Executive Summary
Für [[Unternehmensname-c4d2]] empfehlen wir ein integriertes
Compliance-Curriculum mit eigenständigem KI-Modul-Strang, das in das
bestehende jährliche E-Learning eingebettet wird. Die Schulungs-Pflicht
nach Art. 4 KI-VO greift bereits seit 02.02.2025 für die rund 320
Wissensarbeiter:innen, die mit [[Produktname-2e44]] arbeiten; weitere
Personenkreise (HR-Vorauswahl, Marketing-Bild-Generator, Produktion)
kommen bis spätestens Q3/2026 hinzu. Mitbestimmungsrechtliche Beteiligung
des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG ist [ANWALT-PRUEFUNG],
weil die Betriebsvereinbarung von 2021 KI-Werkzeuge nicht ausdrücklich
erfasst.
## Rollenmatrix
| Rolle | Personenkreis (geschätzt) | Schulungs-Level |
|---|---|---|
| Geschäftsleitung | 8 | Strategie + Risiko-Governance (B + Auszug A) |
| HR / Recruiting | 14 | Hochrisiko-Vertiefung Modul E-HR + A + B + C |
| Marketing | 22 | Art. 50 / Urheberrecht Modul E-Marketing + A + C |
| IT / KI-Betrieb | 28 | Modul A + B + D + E-IT |
| Endnutzer:innen LLM | 320 | Modul A + C + Mini-Modul D |
| Produktion (ab Q3/2026) | 45 | Modul A + C + Modul E-Produktion |
| DSB (extern) | 1 | A + B + C + integriert in Art.-39-DSGVO-Schulung |
| Compliance / Legal intern | 4 | A + B + F |
| Betriebsrat (Info) | 13 | A + Auszug B (zur Info, keine Pflicht-Schulung) |
## Modul-Curriculum
| Modul | Zielgruppe | Stunden | Häufigkeit |
|---|---|---|---|
| A — Grundlagen KI | alle Mitarbeitenden mit KI-Kontakt | 1,0 | Erst + jährliche Auffrischung |
| B — Rechtsrahmen | Geschäftsleitung, HR, Compliance, DSB, IT-Lead | 2,0 | Erst + jährlich |
| C — Datenschutz / Geheimnis-Schutz | alle mit Datenzugriff | 1,0 | Erst + jährlich |
| D — IT-Sicherheit (Prompt-Injection, Datenleck) | IT, Endnutzer:innen LLM | 1,0 | Erst + jährlich |
| E-HR | HR-Mitarbeitende mit Tool-Zugriff | 1,5 | Erst + halbjährlich (Hochrisiko) |
| E-Marketing | Marketing | 1,0 | Erst + jährlich |
| E-IT | IT-Betrieb | 2,0 | Erst + jährlich |
| E-Produktion (ab Q3/2026) | Produktion | 1,5 | Erst + jährlich |
| F — Vorfall-Management | Compliance, IT-Lead, DSB | 1,0 | Erst + bei Vorfällen |
## Schulungs-Häufigkeit
- **Erst-Schulung**: rückwirkend für alle bestehenden LLM-Nutzer:innen
binnen drei Monaten; für übrige Personenkreise vor Produktiv-Schaltung
des jeweiligen KI-Werkzeugs.
- **Onboarding**: 30-Tage-Frist nach Eintritt.
- **Jährliche Wiederholung**: zentral koordiniert mit dem Compliance-
E-Learning.
- **Anlass-Schulung**: bei neuer KI-Komponente (insbesondere Predictive-
Maintenance Q3/2026), bei größerem Vorfall, bei Änderung der Rechtslage.
## Teilnahme-Dokumentation — Vorlage
| Feld | Inhalt | Verpflichtend? |
|---|---|---|
| Schulungs-ID | eindeutig pro Durchgang | ja |
| Datum / Zeitraum | Beginn / Ende | ja |
| Modul-Liste | mit Stundenumfang | ja |
| Teilnehmer:in (Personal-ID) | pseudonymisiert speichern möglich | ja |
| Schulungs-Anbieter | intern / extern, Name | ja |
| Wirksamkeits-Test | Bestanden / Nachschulungsbedarf | ja |
| Aufbewahrungsfrist | mindestens drei Jahre | ja |
Tooling-Empfehlung: integriertes LMS oder dediziertes Compliance-Tool;
Lightweight-Variante mit pseudonymisierter Tabelle ist akzeptabel.
[ANWALT-PRUEFUNG] auf datenschutz-konforme Speicherung der Teilnahme-
Daten (Art. 5 Abs. 1 lit. c DSGVO Datenminimierung).
## Wirksamkeits-Kontrolle
- Test am Modul-Ende: Mindest-Wissens-Abfrage, 70 % Bestehensquote.
- Jährliche Stichprobe durch interne Compliance-Funktion.
- Externes Audit alle 24 Monate (parallel zum DSB-Audit empfehlenswert).
- Anlass-Review bei Vorfall / Datenleck / behördlicher Anfrage.
## Verzahnung mit bestehenden Schulungen
| Bestehende Schulung | KI-Modul-Integration |
|---|---|
| Compliance-E-Learning (60 Min jährlich) | Modul A einbetten |
| DSB-Schulung IT + HR (zweistündig jährlich) | Modul B + C ergänzen |
| IT-Security-Awareness | Modul D verzahnen |
| Geschäftsgeheimnis-Belehrung Onboarding | Modul C im Onboarding |
## Mitbestimmung Betriebsrat
Die Betriebsvereinbarung von 2021 zu IT-Werkzeugen erfasst KI nicht
ausdrücklich. § 87 Abs. 1 Nr. 6 BetrVG greift bei KI-Werkzeugen, die
Verhaltens- oder Leistungs-Kontrolle ermöglichen — insbesondere beim
HR-Vorauswahl-Tool und potenziell beim LLM-Workplace.
[ANWALT-PRUEFUNG]: Aktualisierung der Betriebsvereinbarung empfehlen,
KI-Modul des Curriculums in mitbestimmten Inhalt integrieren.
## Datums-Architektur
| Meilenstein | Datum |
|---|---|
| Inkrafttreten Art. 4 KI-VO | 02.02.2025 (bereits anwendbar) |
| Erst-Schulung LLM-Nutzer:innen | binnen drei Monaten ab Curriculum-Verabschiedung |
| Integration in jährliches Compliance-E-Learning | nächste Welle |
| Schulung HR-Vorauswahl-Personenkreis | vor Hochrisiko-Anwendbarkeit 02.08.2026 |
| Schulung Produktions-Personal Predictive-Maintenance | vor Roll-out Q3/2026 |
| Erste Wirksamkeits-Stichprobe | binnen 12 Monaten ab Erst-Schulung |
## Citation-Verifikations-Liste
1. VO (EU) 2024/1689 — EUR-Lex (Art. 4)
2. Art. 113 KI-VO (Anwendbarkeit Art. 4 seit 02.02.2025) — EUR-Lex
3. Art. 39 Abs. 1 lit. b DSGVO — EUR-Lex
4. § 26 BDSG, Art. 88 DSGVO — Bundesrecht / EUR-Lex
5. § 7 GeschGehG — Bundesrecht
6. § 87 Abs. 1 Nr. 6 BetrVG — Bundesrecht
7. BRAK-Leitfaden KI — BRAK-Website
8. EU-AI-Office-Leitlinien zu Art. 4 — ai-office.europa.eu
[ANWALT-PRUEFUNG: Tiefenniveau „hinreichende KI-Kompetenz“ Modul A bei
LLM-Endnutzer:innen, Mitbestimmung Betriebsrat, datenschutz-konforme
Speicherung der Teilnahme-Daten sind anwaltliche Kernwertungs-Punkte.]Was das Berufsrecht verlangt
Pflichten — und wie anymize sie abdeckt
§ 43a BRAO Verschwiegenheit
Mandanten-Schulungs-Skizzen enthalten Mitarbeiter-Funktionen, Vendor-Identitäten und interne Organigramme. anymize ersetzt 40+ Kategorien personenbezogener Daten durch Platzhalter, bevor irgendein KI-Anbieter den Text sieht. Erkennungsrate über 95 %.
§ 43e BRAO Auftragsverarbeitung
Sie schließen einen AVV mit anymize ab. Datenverarbeitung ausschließlich in deutschen Rechenzentren (Hetzner). Originaldokumente speichern wir nicht — nur die Zuordnung Platzhalter ↔ Originaldaten, mit Aufbewahrungsfrist nach Ihrer Wahl. Die Selbstreferenz: Sie strukturieren das KI-Curriculum des Mandanten mit demselben Werkzeug, das Sie selbst nach § 43e BRAO einsetzen.
§ 203 StGB Geheimnisschutz
Personalstärke je Funktion, eingesetzte KI-Werkzeuge und Konzern-Tochter-Strukturen sind Geschäftsgeheimnisse. Indem diese Angaben das Haus nicht verlassen, vermeiden Sie das Offenbarungsproblem grundsätzlich.
„Hinreichende KI-Kompetenz“ — anwaltliche Wertung
Art. 4 Satz 1 KI-VO gibt das Tiefenniveau nicht vor; die Aufsichtspraxis ist noch jung. Die KI darf eine Modul-Stundenzahl vorschlagen — die Frage, ob das im konkreten Fall „hinreichend“ ist, ist anwaltliche Kernwertung. Tendenz: Je höher die Risikostufe des eingesetzten Systems, desto höher das Tiefenniveau.
Mitbestimmung § 87 Abs. 1 Nr. 6 BetrVG
KI-Werkzeuge zur Verhaltens-/Leistungs-Kontrolle (HR-Vorauswahl, LLM-Workplace mit Audit-Trail, Predictive-Maintenance mit Bediener-Performance-Daten) lösen Mitbestimmung aus. Das KI-Curriculum kann selbst Gegenstand mitbestimmter Betriebsvereinbarung sein. Versäumtes Mitbestimmungsverfahren macht die zugrundeliegende Maßnahme unwirksam.
Art. 39 DSGVO / § 26 BDSG-Querbezug
Art. 39 Abs. 1 lit. b DSGVO verpflichtet den DSB zur Sensibilisierung und Schulung des Personals. Die KI-Kompetenz-Schulung nach Art. 4 KI-VO ergänzt diese Pflicht, ersetzt sie nicht. Integrierte Curricula sind effizient; eine bloße Umbenennung der DSB-Schulung in „KI-Kompetenz-Schulung“ reicht nicht.
Datenschutz der Teilnahme-Daten selbst
Teilnahme-Listen mit Personal-ID, Test-Ergebnissen und Nachschulungs-Bedarf sind personenbezogene Daten im Beschäftigungskontext. § 26 BDSG / Art. 88 DSGVO erfordern Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO), klare Zweckbindung, Aufbewahrungsfrist und ggf. Mitarbeiter-Einsicht.
Hochrisiko-Pflichtenkreis ab 02.08.2026
Bei Hochrisiko-KI-Systemen (Anhang III) trifft den Betreiber zusätzlich Art. 26 Abs. 2 KI-VO: Sicherstellung, dass das Personal mit der Aufsicht beauftragt ist und über die nötigen Qualifikationen verfügt. Das ist mehr als allgemeine KI-Kompetenz — Aufsichts-Kompetenz im Sinn Art. 14 KI-VO (menschliche Aufsicht) ist eine eigene Schulungs-Schicht.
Datenschutz und Vertraulichkeit
So funktioniert das mit anymize
Die juristisch entscheidende Frage bei der Curriculum-Strukturierung: Sieht der KI-Anbieter den Mandantenname, die Konzern-Struktur, die eingesetzten KI-Produkte und die internen Funktions-Bezeichnungen? Antwort mit anymize: nein. Mandantenname, Konzern-Mutter, Standorte, KI-Produkte und Mitarbeiter-Funktionen werden vor dem KI-Aufruf durch Platzhalter ersetzt; nach der KI-Antwort identifiziert anymize zurück. Verarbeitung in deutschen Rechenzentren (Hetzner), AVV nach Art. 28 DSGVO und § 43e BRAO ist Teil des Standardvertrags, Originaldokumente werden nicht gespeichert. Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO (Mandatsvertrag). Bei Curricula im HR-Kontext (Mitarbeiter-IDs, Funktionsbezeichnungen) prüft anymize zusätzlich gegen Personen-bezogene Datenkategorien — die Anonymisierung deckt die Schicht „Mitarbeiter:in als betroffene Person“.
Was anymize konkret leistet
- Erkennt Mandantenname, Konzern-Strukturen, eingesetzte KI-Produkte, Mitarbeiter-Funktionen und Standorte mit über 95 % Genauigkeit.
- Ersetzt sie durch semantische Platzhalter, bevor die Mandanten-Skizze an GPT, Claude oder Gemini geht.
- Re-identifiziert die KI-Antwort automatisch — Sie sehen die Curriculum-Skizze und Dokumentations-Vorlage mit den richtigen Klarnamen zurück.
- Verarbeitung in deutschen Rechenzentren (Hetzner). AVV nach Art. 28 DSGVO mit § 43e BRAO-Erklärung im Standardvertrag.
- Originaldokumente werden nicht gespeichert — nur die Zuordnung Platzhalter ↔ Klarname, mit Aufbewahrungsfrist nach Ihrer Wahl von 24 Stunden bis unbegrenzt.
Sicherheitscheck vor der Einreichung
Was anymize liefert — was Sie souverän entscheiden
Vor dem KI-Aufruf
- Mandantenrolle (Anbieter / Betreiber / beides) eindeutig dokumentiert?
- Vollständige Liste der eingesetzten KI-Systeme inkl. geplanter Roll-outs?
- Personenkreis-Übersicht und bestehende Schulungslandschaft dokumentiert?
- Mitbestimmungs-relevante Hinweise (Betriebsrat, bestehende Betriebsvereinbarungen) erfasst?
- Anonymisierungs-Vorschau gesichtet — Konzern-Töchter und interne Funktionsbezeichnungen vollständig anonymisiert?
Nach der KI-Antwort
- Re-Identifikation korrekt — alle Platzhalter zurückgesetzt?
- Rollenmatrix vollständig — keine Personenkreise vergessen?
- Modul-Curriculum deckt Grundlagen, Recht, Datenschutz, IT-Sicherheit und Rolle ab?
- Citation-Check: Art. 4 KI-VO, Art. 39 DSGVO, § 87 BetrVG, BRAK-Leitfaden gegen Primärquelle verifiziert?
- Verzahnung mit bestehenden Compliance-Schulungen konkret beschrieben?
Vor der Mandanten-Vorlage
- Tiefenniveau „hinreichende KI-Kompetenz“ für jede Rolle anwaltlich gewertet?
- Mitbestimmung Betriebsrat geprüft (§ 87 Abs. 1 Nr. 6 BetrVG)?
- Datenschutz der Teilnahme-Daten (Datenminimierung, Aufbewahrungsfrist) adressiert?
- Bei Hochrisiko-Betreiber: Art.-26-/Art.-14-Schulungs-Schicht ab 02.08.2026 integriert?
- Verzahnung mit DSB-Schulung nach Art. 39 DSGVO mit DSB abgestimmt?
- Folge-Mandat-Optionen (Betriebsvereinbarung-Aktualisierung, FRIA-Vorbereitung, AI-Act-Klassifikation) markiert?
Typische Fehlermuster — und wie anymize gegensteuert
- →KI gibt pauschale Empfehlung „60 Minuten reichen“ ohne Tiefenniveau-Begründung — der Prompt verbietet das.
- →KI vermengt Anbieter-Schulungs-Pflicht und Betreiber-Schulungs-Pflicht — Anbieter brauchen Entwicklungs-Tiefe, Betreiber Anwendungs-Tiefe.
- →KI behauptet, eine Umbenennung der DSB-Schulung erfülle Art. 4 KI-VO — falsch, Art. 4 und Art. 39 DSGVO sind komplementär, nicht substituierend.
- →KI gibt konkrete Produkt-Empfehlung für LMS — der Prompt verbietet das.
- →KI übergeht Mitbestimmung des Betriebsrats — die Mitbestimmung ist anwaltliche Kernwertung, darf aber im Output nicht fehlen.
- →KI gibt „Anwendbar ab 02.08.2026“ für Art. 4 — falsch, Art. 4 ist seit 02.02.2025 anwendbar; die Hochrisiko-Anwendbarkeit nach Art. 6 / Art. 26 ist ab 02.08.2026.
Rechtsgrundlagen
Normen, Urteile, Belege
Primärnormen
- Verordnung über künstliche Intelligenz (KI-VO)
- KI-Kompetenz — seit 02.02.2025 anwendbar
- Menschliche Aufsicht — bei Hochrisiko-Systemen ab 02.08.2026
- Betreiber-Pflichten — Aufsichts-Qualifikation ab 02.08.2026
- Anwendbarkeits-Architektur
- DSB-Sensibilisierungs- und Schulungspflicht
- Datenverarbeitung im Beschäftigungskontext
- Öffnungsklausel Beschäftigtendatenschutz
- Schutzmaßnahmen Geschäftsgeheimnis
- Mitbestimmung bei technischen Einrichtungen zur Verhaltens-/Leistungs-Kontrolle
Berufsrechtliche Grundlagen
- Anwaltliche Verschwiegenheit
- Auftragsverarbeitung und IT-Auslagerung
- Verletzung von Privatgeheimnissen
Sekundärquellen
- KI-Kompetenz in der Kanzlei — analog für Mandanten-Curricula
- ai-office.europa.eu — laufende Konkretisierungen zu Art. 4
- Beschäftigtendatenschutz und KI
- KI in der anwaltlichen Praxis
- GPAI-Auslegungs-Leitlinie — Querbezug Schulungs-Schwerpunkt
Stand: · Nächste Überprüfung:
Hinweis zur Nutzung
Zur Orientierung — nicht als Mandatsersatz
Diese Anleitung beschreibt einen Arbeitsablauf, den Sie mit anymize umsetzen können. Sie ist zur Orientierung gedacht und ersetzt weder die anwaltliche Würdigung im Einzelfall noch eine fachanwaltliche Prüfung. Welche Rechtsprechung einschlägig ist, wie der Sachverhalt rechtlich zu bewerten ist, welche Anträge in Ihrem konkreten Mandat richtig sind — das bleibt selbstverständlich bei Ihnen.
KI-Outputs müssen vor jeder Verwendung anwaltlich geprüft werden. Insbesondere Urteils-Aktenzeichen, Norm-Verweise und Fristen sind gegen Primärquellen zu verifizieren. anymize gewährleistet die Vertraulichkeit der Mandantendaten gegenüber dem KI-Anbieter; die fachliche Richtigkeit des Outputs liegt in Ihrer Verantwortung.
Jetzt starten.
14 Tage kostenlos testen.
Alle Modelle. Alle Features. Keine Kreditkarte.
Wir sind überzeugt von anymize. Und wir wissen: Bei einem KI-Werkzeug, das Mandanten-, Patienten- oder Mitarbeiter-Daten berührt, reicht ein Demo-Video nicht. Deshalb 14 Tage voller Zugang – alle Modelle, alle Features, keine Kreditkarte. Genug Zeit, um sicher zu sein, bevor du uns vertraust.
Dein KI-Arbeitsplatz wartet.