Was müssen KMU der Bundesnetzagentur als neuer KI-Aufsichtsbehörde ab 2026 melden?

Kurze Antwort

Mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) ist die Bundesnetzagentur seit 2026 die zentrale Marktüberwachungsbehörde, Koordinierungsstelle, Anlaufstelle und Beschwerdestelle für die EU-KI-Verordnung in Deutschland. Das betrifft nicht nur größere Firmen: Ein Einzelunternehmen zählt EU-rechtlich als Kleinstunternehmen und fällt damit ebenfalls unter die KMU-Kategorie – die Regeln in diesem Artikel gelten für Solo-Selbstständige und Freelancer genauso wie für ein 50-köpfiges Team. Für die meisten KMU, die Standardwerkzeuge wie Chatbots, Schreibassistenten oder KI-Funktionen im CRM einsetzen, entsteht daraus aktuell keine aktive Meldepflicht — du musst aber auf Anfrage der Behörde jederzeit Auskunft über deine eingesetzten KI-Systeme geben können. Die schärferen Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III der Verordnung verschieben sich durch den sogenannten Digital Omnibus voraussichtlich vom 2. August 2026 auf den 2. Dezember 2027. Diese Verschiebung wurde von Rat und Parlament am 27. Juli 2026 final verabschiedet (Stand: 2026-08).

Wichtig: Ein hoher DSGVO-Score bedeutet nicht automatisch einen aufsichtsbehördlich vertretbaren Einsatz im Einzelfall. Entscheidend sind auch die konkrete Nutzung, ein AVV und interne Datenschutzprozesse.

Die folgenden DSGVO-Scores sind Risikoeinschätzungen, keine rechtlichen Bewertungen.

Praxisregel:

• ✅ Standard-KI-Tools (Textassistenten, CRM-KI, Übersetzung, Design-KI) ohne automatisierte Personalentscheidung einsetzen — dafür besteht in aller Regel keine aktive Meldepflicht bei der Bundesnetzagentur.
• ✅ Auf Anfrage jederzeit Auskunft über eingesetzte KI-Systeme geben können — dafür reicht eine einfache interne Tool-Liste mit Zweck und Anbieter.
• ⚠️ KI zur automatisierten Bewertung, Auswahl oder Überwachung von Mitarbeitenden oder Bewerbern einsetzen — braucht eine Prüfung gegen Anhang III sowie meist einen AVV.
• ⚠️ Personenbezogene Daten über KI-Tools verarbeiten lassen — AVV und TOMs prüfen, unabhängig vom AI-Act-Status des Tools.
• ⚠️ KI-Systeme in sicherheitsrelevanten, biometrischen oder scoring-basierten Anwendungsfeldern testen — vorab über den KI-Service-Desk der Bundesnetzagentur einordnen lassen.

Relevante KI-Tools im Überblick

Warum diese Tools?

Wer Social-Media-Grafiken bisher von Hand in mehreren Programmen zusammenbaut, kennt den Zeitdruck vor jedem Kampagnenstart. Canva setzt hier mit KI-gestützten Design-Vorschlägen an und erreicht in unserer Methodik einen DSGVO-Score von 6.5/10, vor allem aufgrund von Transparenz bei der Datenverarbeitung. Als generative Funktion innerhalb eines Design-Tools fällt der Einsatz in aller Regel nicht unter Anhang III; bei Kundenlogos mit personenbezogenen Daten lohnt trotzdem ein Blick in den AVV.

Viele Teams arbeiten längst in Google Workspace und wollen KI nicht als separates Tool, sondern direkt in Mail und Docs. Gemini deckt das ab und liegt mit 6.5/10 im Mittelfeld unserer Scores. Auch hier gilt: Als allgemeines KI-Modell (GPAI) greifen primär die Transparenzpflichten aus Art. 50 der KI-Verordnung, nicht die strengeren Hochrisiko-Auflagen aus Anhang III.

Verträge, Angebote oder lange Reports lassen sich mühsam Zeile für Zeile prüfen — genau dafür ist Claude von Anthropic ausgelegt, mit einem Score von 6.0/10. Anthropic ist ein US-Unternehmen; die Cloud-Act-Anwendbarkeit bleibt dadurch unabhängig vom gewählten Tarif nicht vollständig ausgeschlossen. Für reine Textanalyse ohne Personalbezug bleibt das Risiko überschaubar, muss aber individuell geprüft werden.

Als bekanntester Allrounder deckt ChatGPT Plus von Aufgabenplanung bis Recherche fast alles ab, kommt in unserer Methodik aber nur auf 5.0/10. OpenAI sitzt ebenfalls in den USA, weshalb dieselbe Cloud-Act-Einschränkung gilt. Für Freelancer und kleine Teams ohne sensible Kundendaten ist der breite Funktionsumfang trotzdem ein praktischer Einstieg.

Englischsprachige Kundenkommunikation kostet KMU oft Korrekturzeit. Grammarly automatisiert das (Score 6.5/10) und bleibt als Sprachwerkzeug meist unauffällig nach Anhang III, solange keine automatisierte Personenbewertung stattfindet.

Wer bereits mit Word, Excel und Teams arbeitet, will KI nicht als Bruch im Workflow. Microsoft 365 Copilot erreicht deshalb mit 8.0/10 den höchsten Score in dieser Übersicht. Der Preis liegt seit dem 01.07.2026 bei rund 21 US-$/Monat (ca. 19–21 €, Stand: 2026-07) — der bis zum 30.06.2026 gültige Promotional-Preis von 18 $/Monat ist ausgelaufen. Der höhere Score ersetzt trotzdem keine Einzelfallprüfung, etwa wenn Copilot auf Personalakten oder Bewerberdaten zugreift.

Notion KI bündelt Wissen und Aufgaben im ohnehin genutzten Wiki, liegt aber mit 5.0/10 im unteren Scorebereich. Bei HR-Dokumentation prüfen, ob personenbezogene Daten betroffen sind und ein AVV vorliegt.

Automatisierte Workflows zwischen mehreren Tools sparen vor allem in der Buchhaltung und im Kundenservice viel manuelle Klickarbeit. Make erreicht mit 7.0/10 einen soliden Wert, weil viele Verarbeitungsschritte transparent konfigurierbar sind — die konkrete Bewertung hängt aber von den verknüpften Datenquellen ab und muss individuell geprüft werden.

KMU mit hohem Anspruch an Datenhoheit setzen zunehmend auf europäische statt US-Infrastruktur. T Cloud Public (ehemals Open Telekom Cloud, seit Februar 2026 umbenannt) erreicht 7.0/10 und betreibt nach eigenen Angaben Rechenzentren in Deutschland — relevant für KI-Workloads mit sensiblen Daten.

Vertrieb und Marketing verlieren oft Zeit mit manueller Lead-Priorisierung. HubSpot bündelt KI-Funktionen direkt im CRM und kommt auf 6.5/10 in unserer Methodik. Wird die KI zur automatisierten Bewertung von Personen (Lead-Scoring mit Profilbildung) genutzt, lohnt eine genauere Prüfung gegen Anhang III, auch wenn die meisten Standard-Konfigurationen darunter nicht fallen.

Was andere Tools problematisch macht

Kritisch wird es nicht bei der Kategorie „Chatbot” oder „CRM-KI”, sondern bei der konkreten Funktion. KI-Systeme, die Bewerbungen automatisiert vorsortieren, Mitarbeitende bewerten oder biometrische Daten kategorisieren, fallen unter Anhang III der KI-Verordnung — unabhängig davon, ob sie als „Zusatzfunktion” in einem sonst unauffälligen Tool stecken. Nach unserer Recherche (Stand: 2026-08) dokumentieren nicht alle Anbieter solcher Zusatzfunktionen offen, ob und wie sie automatisiertes Scoring einsetzen.

Problematisch sind außerdem Tools, die keine nachvollziehbaren TOMs oder keinen AVV anbieten, obwohl sie personenbezogene Daten verarbeiten. Die Bundesnetzagentur prüft zwar primär die KI-Verordnung, nicht die DSGVO — beide Pflichten laufen bei Personenbezug aber parallel und lassen sich nicht gegeneinander ausspielen.

Muss ich mein Unternehmen bei der Bundesnetzagentur registrieren?

Für die aktive Registrierungspflicht in der EU-Datenbank nach Art. 71 sind in erster Linie Anbieter (Hersteller) von Hochrisiko-KI-Systemen zuständig, nicht Betreiber, die fertige Tools wie die oben genannten lediglich einsetzen. Als Betreiber greifen stattdessen die Pflichten aus Art. 26: Anweisungen des Anbieters befolgen, menschliche Aufsicht sicherstellen, Protokollierung aktivieren und bei Einsatz am Arbeitsplatz Mitarbeitende beziehungsweise den Betriebsrat vorab informieren (Art. 26 Abs. 7). Die Bundesnetzagentur selbst fungiert dabei als Koordinierungsstelle, Kontaktpunkt für Beschwerden und notifizierende Behörde nach Art. 70 der Verordnung, betreibt zusätzlich einen KI-Service-Desk mit einem „Compliance-Kompass” zur Einordnung eigener Systeme sowie KI-Reallabore für Unternehmen, die neue Anwendungen unter behördlicher Begleitung testen wollen. Bei Verstößen drohen die in Art. 99 der EU-KI-Verordnung festgelegten, über das KI-MIG durchgesetzten Bußgelder (Stand: 2026-08) — bis zu 35 Mio. Euro bzw. 7 % des weltweiten Jahresumsatzes für verbotene Praktiken, bis zu 15 Mio. Euro bzw. 3 % für Hochrisiko- und sonstige Pflichtverstöße und bis zu 7,5 Mio. Euro bzw. 1 % für Falschangaben gegenüber Behörden, wobei für KMU jeweils die niedrigeren Beträge gelten.

Kurz gesagt: Wenn dein Unternehmen KI zur automatisierten Bewertung, Überwachung oder Auswahl von Menschen einsetzt, brauchst du fast immer: eine Einordnung über den KI-Service-Desk, einen AVV mit dem Anbieter, eine interne Dokumentation der eingesetzten Systeme und – bei Einsatz am Arbeitsplatz – eine vorherige Information der Belegschaft.

Was ändert der Digital Omnibus konkret?

Der Digital Omnibus wurde am 7. Mai 2026 zwischen Rat und Parlament politisch vereinbart und am 27. Juli 2026 final verabschiedet. Er verschiebt die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027; für in Produkte eingebettete Hochrisiko-Systeme nach Anhang I gilt danach der 2. August 2028. Als Begründung wird die verzögerte Verabschiedung harmonisierter technischer Normen durch die EU-Kommission genannt, die für die praktische Umsetzung der Hochrisiko-Pflichten nötig sind. Zusätzlich wird die Kategorie „Small Mid-Caps” (bis 750 Beschäftigte oder 150 Mio. Euro Umsatz) in den Anwendungsbereich aufgenommen und erhält vereinfachte Dokumentationspflichten (Stand: 2026-08) — für konkrete Einzelfälle empfiehlt sich dennoch ein aktueller Check beim KI-Service-Desk der Bundesnetzagentur.

Welche Pflichten gelten für Standard-KI-Nutzung schon jetzt?

Unabhängig vom Digital Omnibus gelten seit dem 2. August 2025 bereits die GPAI-Pflichten für Anbieter allgemeiner KI-Modelle, unter anderem Transparenzanforderungen zum KI-Training und zur Kennzeichnung generierter Inhalte nach Art. 50. Für Betreiber wie KMU heißt das praktisch: Du bist nicht direkt meldepflichtig, solltest aber dokumentieren können, welches Tool wofür eingesetzt wird und ob dabei personenbezogene Daten verarbeitet werden. Diese Dokumentation deckt gleichzeitig einen Teil der ohnehin bestehenden DSGVO-Rechenschaftspflicht ab.

Methodik

Die genannten DSGVO-Scores stammen aus unserer laufend aktualisierten Tool-Datenbank; Details zur Methodik findest du unter /methodik. Die Scores sind Risikoeinschätzungen auf Basis öffentlich zugänglicher Datenschutzerklärungen, AVV-Dokumente und Preisseiten und müssen für den konkreten Einsatzfall individuell geprüft werden — sie ersetzen keine Rechtsberatung. Preisangaben sind Momentaufnahmen zum jeweils genannten Stand-Datum; prüfe vor einer Kaufentscheidung immer die aktuelle Preisseite des Anbieters, da sich insbesondere Promotional-Tarife kurzfristig ändern können.

Fazit & Empfehlung

Für die meisten KMU ändert der Start der Bundesnetzagentur als KI-Aufsichtsbehörde im Alltag zunächst wenig: Standard-Tools ohne automatisierte Personalbewertung lösen keine aktive Meldepflicht aus, die schärferen Anhang-III-Pflichten verschieben sich voraussichtlich auf Dezember 2027. Trotzdem lohnt sich jetzt eine einfache interne Liste der eingesetzten KI-Tools mit Zweck, Anbieter und AVV-Status, damit du bei einer Anfrage der Bundesnetzagentur oder einer Datenschutzaufsicht sofort auskunftsfähig bist.

Du willst nicht jeden Vertrag selbst prüfen? Unsere Tooltests zeigen pro KI-Tool: AVV, DPA, KI-Training, Cloud-Act-Risiko, DSGVO-Score.

FAQ: