Welche rechtlichen Unsicherheiten dich wirklich vom Start einer Automatisierung abhalten

Drei rechtliche Fragen verzögern deinen Start zu Recht: Wer haftet für maschinell erzeugte Ausgaben, brauchst du einen Auftragsverarbeitungsvertrag für Kundendaten, und was muss in einer automatisch versendeten Mail stehen. Alle drei kannst du vor dem ersten Vorgang klären. Alles andere sind Sorgen ohne konkrete Frage dahinter. Sie kosten dich Wochen, ohne dich abzusichern.

Woran erkennst du, ob eine rechtliche Sorge ein echter Klärungspunkt ist?

Ein echter Klärungspunkt lässt sich als Frage formulieren, die jemand mit einem Dokument beantworten kann. Ein Aufschiebe-Grund lässt sich nicht beantworten, weil er keine Frage enthält. Das ist der ganze Unterschied, und du kannst ihn in zwei Minuten prüfen.

Vorweg: Ich bin kein Anwalt. Dieser Artikel ersetzt dir keine Rechtsberatung. Er sortiert die Fragen, mit denen du zu einer gehst, damit das Gespräch eine Stunde dauert statt drei.

Deine Vorsicht ist berechtigt. Du haftest für deinen Betrieb, also prüfst du, bevor du etwas laufen lässt. Entscheidend ist, ob deine Prüfung ein Ende hat.

Ein Klärungspunkt hat drei Merkmale: eine konkrete Frage, einen Zuständigen und ein Dokument am Ende. „Brauche ich mit meinem Mail-Anbieter einen Vertrag zur Auftragsverarbeitung" erfüllt alle drei. „Das ist rechtlich bestimmt heikel" erfüllt keines.

Mach die Probe an deiner eigenen Liste. Nimm die Bedenken, die dir zum Thema einfallen, und schreib jedes als Frage mit Fragezeichen auf. Hinter jede Frage schreibst du, wer sie dir beantwortet: Anwalt, Steuerberater, Versicherer oder Anbieter.

Was danach ohne Namen dasteht, ist kein Rechtsproblem. Es ist ein Unbehagen, und das darfst du haben. Nur klären kannst du es in dieser Form nicht, und deshalb begleitet es dich jede Woche aufs Neue.

Ich nutze im ganzen Artikel ein Beispiel, damit du mitprüfen kannst. Eine Terminanfrage kommt per Mail, der Termin wird eingetragen, eine Bestätigung geht raus, beide Seiten werden erinnert. An diesem einen Vorgang gehst du jede der folgenden Fragen durch.

Die Regel für dich: Was du nicht als Frage aufschreiben kannst, kannst du auch nicht klären.

Brauchst du für eine Automatisierung einen Auftragsverarbeitungsvertrag?

Ja, sobald ein Dienstleister in deinem Auftrag personenbezogene Daten verarbeitet. Die Pflicht folgt aus Art. 28 DSGVO. Sie hängt am Dienstleister und an den Daten, nicht an der Automatisierung selbst.

Auftragsverarbeitung heißt: Ein anderer verarbeitet Daten deiner Kunden nach deiner Weisung. Das trifft auf deinen Mail-Anbieter zu, auf dein Kalenderwerkzeug, auf den Betreiber deines Servers. Mit vielen davon hast du einen solchen Vertrag vermutlich schon.

Personenbezogen sind Daten, die sich einem Menschen zuordnen lassen. In deiner Terminanfrage sind das Name, Mail-Adresse, Telefonnummer und das Anliegen. Dein Vorgang berührt also Datenschutz, sobald ein Kunde dir schreibt.

Die Automatisierung verbindet diese Systeme. Für dich entsteht dadurch eine Prüfaufgabe: Kommt ein neuer Dienstleister dazu, der die Daten sieht? Dann brauchst du mit ihm einen Vertrag. Kommt keiner dazu, prüfst du nur, ob die bestehenden Verträge den neuen Datenfluss abdecken.

So gehst du vor. Du schreibst für den einen Vorgang auf, welche Daten durch welche Systeme laufen. Neben jedes System schreibst du, ob ein Vertrag vorliegt. Die Lücken siehst du danach auf einem Blatt.

Im Beispiel sind das drei Zeilen: Postfach, Kalender, Server. Steht hinter jeder Zeile ein Vertrag, bist du an dieser Stelle durch. Fehlt einer, forderst du ihn beim Anbieter an, denn die meisten halten ein fertiges Dokument dafür bereit.

Eine zweite Frage gehört auf dasselbe Blatt: Wo stehen die Server deiner Dienstleister? Liegt einer außerhalb der Europäischen Union, gelten für die Übermittlung zusätzliche Anforderungen. Das ist genau die Art Frage, die dein Anwalt dir kurz beantwortet, wenn du ihm das Blatt vorlegst.

Frag deinen Anbieter außerdem, wer auf was zugreifen kann. In meinen Automatisierungsprojekten bleibt die Kontrolle über den Server beim Kunden, und bei einer Kündigung werden alle Daten vollständig exportiert (Quelle: Produktinformationen auf impruvement.com). Das ersetzt dir den Vertrag nicht. Es macht die Frage nach dem Zugriff kurz.

Du denkst jetzt: Das ist viel Papier für eine Terminbestätigung. Es ist ein Blatt, und du schreibst es einmal. Beim zweiten Vorgang ergänzt du nur die Systeme, die neu dazukommen.

Die Regel: Du prüfst Verträge entlang des Datenflusses, nicht entlang deiner Befürchtungen.

Wer haftet, wenn eine maschinell erzeugte Ausgabe einen Schaden verursacht?

Gegenüber deinem Kunden haftet in aller Regel dein Betrieb. Eine Automatisierung ist rechtlich ein Werkzeug, das du einsetzt, kein eigener Verantwortlicher. Ob du dir den Schaden vom Anbieter zurückholen kannst, entscheidet dein Vertrag mit ihm.

Das ist für dich nichts Neues. Verschickt dein Mitarbeiter ein Angebot mit falschem Preis, steht ebenfalls dein Betrieb dafür ein. Die Automatisierung ändert nicht, wer haftet. Sie ändert, wie oft und wie schnell ein Fehler sich wiederholen kann.

Hier lohnt eine Unterscheidung. Ein regelbasierter Vorgang setzt feste Bausteine zusammen: Anfrage kommt, Termin wird eingetragen, Bestätigung geht raus. Ein Sprachmodell formuliert selbst, statt eine feste Vorlage zu füllen. Beim ersten weißt du vorher, was in der Mail steht. Beim zweiten nicht.

Daraus folgt dein Hebel. Du legst fest, welche Ausgaben deinen Betrieb ungeprüft verlassen und welche ein Mensch freigibt. Eine Terminbestätigung aus fester Vorlage kann allein rausgehen. Ein selbst formuliertes Angebot mit Preis und Zusage gehört vor dem Versand auf deinen Tisch.

Für die Einteilung reichen dir zwei Fragen je Ausgabe. Enthält sie eine Zusage, einen Preis oder eine Frist? Und kannst du sie zurückholen, wenn sie falsch war? Eine Erinnerung an einen Termin bindet dich zu nichts. Eine Auftragsbestätigung bindet dich.

Du denkst jetzt: Dann spare ich ja nichts. Doch. Lesen und freigeben dauert einen Bruchteil der Zeit, die das Schreiben kostet.

Zwei Fragen klärst du vor dem Start. An deinen Versicherer: Deckt meine Betriebshaftpflicht Schäden aus automatisierten Abläufen? An deinen Anbieter: Wofür steht er laut Vertrag ein? Beide Antworten bekommst du schriftlich.

Achte beim Anbieter auf einen dritten Punkt: Meldet sich ein Fehler von selbst? Ein Vorgang, der still ausfällt, erzeugt den Schaden, den du erst nach Wochen bemerkst. Ein Vorgang, der seinen Ausfall meldet, erzeugt eine Aufgabe für denselben Tag.

Die Regel: Je höher der mögliche Schaden einer Ausgabe, desto näher sitzt ein Mensch am Versand.

Muss eine automatisch versendete Mail als automatisiert gekennzeichnet werden?

Eine allgemeine Pflicht, eine Mail als automatisch versendet zu kennzeichnen, gibt es nach meinem Kenntnisstand nicht. Für deine automatische Mail gelten dieselben Regeln wie für jede geschäftliche Mail, die du von Hand schreibst. Lass dir das für deinen Fall bestätigen.

Das heißt für dich: Die Pflichtangaben deines Betriebs gehören in die Mail. Welche das sind, hängt an deiner Rechtsform, und du nutzt sie bereits in deiner Signatur. Deine Vorlage übernimmt diese Signatur, dann ist der Punkt erledigt.

Der zweite Teil betrifft Werbung. Werbung per Mail darfst du grundsätzlich nur an Empfänger schicken, die eingewilligt haben (§ 7 UWG). Eine Bestätigung zu einem Vorgang, den dein Kunde selbst ausgelöst hat, ist etwas anderes als ein Werbeschreiben.

Die Grenze verläuft im Inhalt deiner Vorlage. „Dein Termin ist am Dienstag um zehn Uhr" ist eine Bestätigung. Hängst du ein Angebot für eine weitere Leistung an, kann aus derselben Mail Werbung werden. Halte deine Vorlagen für Vorgänge deshalb frei von Angeboten, solange du die Einwilligung nicht geklärt hast.

Anders liegt es, wenn ein Mensch direkt mit einem System spricht, etwa in einem Chat auf deiner Seite. Das europäische Recht für solche Systeme kennt dort Transparenzpflichten: Dein Gegenüber soll erkennen können, dass kein Mensch antwortet. Planst du so etwas, gehört diese Frage auf deine Liste.

Unabhängig von der Pflicht hast du eine Entscheidung zu treffen. Ein Hinweis wie „Diese Bestätigung wurde automatisch erstellt" kostet dich eine Zeile und erspart deinem Kunden die Frage, warum niemand auf seine Rückfrage an diese Adresse reagiert. Ob du ihn setzt, entscheidest du. Wohin eine Antwort auf die Mail läuft, musst du in jedem Fall festlegen.

Für deinen ersten Vorgang ist die Lage meist einfach. Eine Terminbestätigung aus fester Vorlage enthält deine Pflichtangaben und geht an jemanden, der sie erwartet.

Wem gehören die Rechte an maschinell erzeugten Texten und Bildern?

An rein maschinell erzeugten Texten und Bildern entsteht nach deutschem Urheberrecht in der Regel kein Urheberrecht. Das Gesetz schützt die persönliche geistige Schöpfung eines Menschen (§ 2 Abs. 2 UrhG). Du darfst die Ausgabe nutzen, soweit die Bedingungen des Werkzeugs es erlauben, aber sie gehört dir nicht exklusiv.

Das hat für dich zwei Folgen. Erstens kannst du einem Wettbewerber kaum verbieten, einen solchen Text zu übernehmen. Zweitens kann eine Ausgabe einem geschützten Werk ähneln, und dann liegt das Risiko bei dem, der sie veröffentlicht. Das bist du.

Beide Folgen wiegen unterschiedlich, je nachdem, wohin die Ausgabe geht. Eine Mail an einen einzelnen Kunden liest ein Mensch. Ein Bild auf deiner Startseite sieht jeder, auch der Inhaber eines ähnlichen Werks. Je öffentlicher deine Ausgabe, desto wichtiger die Prüfung davor.

Überarbeitest du den Text wesentlich, kann an deinem Anteil Schutz entstehen. Wo die Grenze liegt, entscheidet der Einzelfall.

Praktisch klärst du drei Dinge. Was erlauben dir die Nutzungsbedingungen des Werkzeugs? Wer prüft Bilder vor der Veröffentlichung? Welche Inhalte sind dir so wichtig, dass ein Mensch sie schreibt?

Die dritte Frage beantwortest nur du. Dein Leitbild, dein Angebotstext, der Name deines Produkts: Das sind Inhalte, an denen du Rechte halten willst. Eine Eingangsbestätigung gehört nicht dazu, und niemand wird sie dir streitig machen.

Für die meisten ersten Vorgänge stellt sich die Frage gar nicht. Eine Terminerinnerung braucht keinen Urheberschutz.

Wie lange musst du Protokolle einer automatisierten Verarbeitung aufbewahren?

Eine einheitliche Frist gibt es nicht. Die Dauer hängt davon ab, was in deinem Protokoll steht. Zwei Regelwerke ziehen dabei in entgegengesetzte Richtungen.

Der Datenschutz verlangt von dir, personenbezogene Daten nur so lange zu speichern, wie der Zweck es erfordert (Art. 5 DSGVO). Das Handels- und Steuerrecht verlangt, geschäftliche Unterlagen über mehrere Jahre aufzubewahren. Ein Protokoll kann unter beides fallen.

Der Widerspruch löst sich auf, sobald du in dein Protokoll hineinschaust. Steht dort „Vorgang um 9:14 Uhr gelaufen, ohne Fehler", hast du eine technische Notiz. Steht dort der vollständige Text einer Auftragsbestätigung mit Name und Betrag, hast du einen Beleg mit Personenbezug.

Die Lösung ist eine Trennung. Ein technisches Protokoll hält fest, dass ein Vorgang lief und ob er fehlerfrei war. Ein geschäftlicher Beleg hält fest, was vereinbart oder berechnet wurde. Das erste löschst du nach kurzer Zeit, das zweite bewahrst du nach den gesetzlichen Fristen auf.

Frag deinen Anbieter deshalb, was das Protokoll festhält und wer die Löschfrist einstellt. Je weniger Kundendaten im technischen Protokoll stehen, desto kleiner ist deine Frage. Im besten Fall enthält es einen Verweis auf den Vorgang und keinen Inhalt.

Die konkreten Fristen für deine Unterlagen nennt dir dein Steuerberater. Frag ihn: Welche Ausgaben dieses Vorgangs sind Belege? Die Antwort passt in eine Mail.

Für das Beispiel heißt das: Die Terminbestätigung selbst ist in vielen Betrieben kein Beleg, die spätere Rechnung ist einer. Ob das bei dir so ist, klärt dieselbe Mail an deinen Steuerberater.

Drei Sorgen, die rechtlich klingen und keine Frage enthalten

Manche Bedenken fühlen sich wie Sorgfalt an und lassen sich trotzdem nicht klären. Das liegt an ihrer Form. Ihnen fehlt die Frage.

Ich kenne das aus meinen eigenen Notizen zum Unterschied zwischen Vorbereiten und Handeln. Vorbereitung kostet dich Aufwand, aber kein Risiko. Eine offene rechtliche Sorge ist die seriöseste Form davon, weil niemand dir Vorsicht vorwerfen kann.

„Die Rechtslage ändert sich noch." Das stimmt, und es gilt für dein Steuerrecht genauso. Du führst deinen Betrieb trotzdem. Eine Automatisierung ohne Mindestlaufzeit passt du an oder schaltest sie ab, wenn sich eine Regel ändert.

Die klärbare Fassung dieser Sorge lautet: Wie schnell komme ich aus dem Vertrag, und wer passt den Vorgang an, wenn eine Regel sich ändert? In meinen Projekten können beide Seiten mit 30 Tagen Frist zum Monatsende kündigen (Quelle: Produktinformationen auf impruvement.com). Stell die Frage jedem Anbieter, mit dem du sprichst.

„Erst muss alles geklärt sein." Alles ist keine Menge, die du abarbeiten kannst. Für einen Vorgang sind es die fünf Fragen aus diesem Artikel, und bei den meisten ersten Vorgängen entfallen zwei davon.

„Datenschutz ist grundsätzlich schwierig." Grundsätzlich vielleicht. Für einen bestimmten Datenfluss durch drei bestimmte Systeme ist er eine Liste mit drei Zeilen.

Alle drei Sorgen haben dasselbe Muster. Sie sprechen über Automatisierung im Allgemeinen, und im Allgemeinen gibt es keine Antwort. Sobald du sie auf deinen einen Vorgang beziehst, werden sie zu Fragen oder sie lösen sich auf.

Eine offene Sorge bindet deine Denkzeit jede Woche neu. Eine gestellte Frage bindet sie einmal.

Was kannst du vor dem Start tatsächlich klären?

Alles, was deinen ersten Vorgang betrifft, in fünf Schritten und mit drei Ansprechpartnern. Du brauchst dafür kein Gutachten über Automatisierung im Allgemeinen. Du brauchst Antworten für einen Ablauf.

1. Schreib den Vorgang auf: Auslöser, beteiligte Systeme, Ergebnis.
2. Markiere, wo personenbezogene Daten fließen, und prüf die Verträge zur Auftragsverarbeitung.
3. Leg fest, welche Ausgaben ungeprüft rausgehen und welche du freigibst.
4. Frag deinen Versicherer nach der Deckung und deinen Steuerberater nach den Belegen.
5. Geh mit den offenen Punkten zu einer Rechtsberatung, schriftlich und nummeriert.

Die Reihenfolge hat einen Grund. Die ersten drei Schritte erledigst du allein an deinem Schreibtisch. Erst danach sprichst du mit anderen, und dann legst du ihnen ein Blatt vor statt einer Stimmung.

Das verändert das Gespräch mit deinem Anwalt. Auf „Darf ich automatisieren?" bekommst du ein „Kommt darauf an". Auf „Deckt dieser Vertrag diesen Datenfluss?" bekommst du ein Ja, ein Nein oder eine Änderung am Vertrag.

Wähl als ersten Vorgang einen mit kleiner rechtlicher Fläche. Feste Vorlage statt frei formuliertem Text. Empfänger, die den Vorgang selbst ausgelöst haben. Wenige Systeme. So klärst du in Tagen, was bei einem großen Vorhaben Monate bindet.

Setz dir für die Klärung ein Datum. Eine Prüfung ohne Enddatum wächst mit jeder neuen Meldung, die du zum Thema liest. Eine Prüfung mit Datum endet mit einer Liste beantworteter Fragen und einer Entscheidung.

Die rechtlichen Fragen sind getrennt von den vertraglichen. Was als geliefert gilt, wie gemessen wird und wie lange du gebunden bist, habe ich hier beschrieben: Welche Fragen solltest du vor der Beauftragung einer Automatisierung stellen?

Nach der Klärung kommt die Handlung

Sind deine fünf Fragen beantwortet, steht dir rechtlich nichts mehr im Weg. Ob du dann startest, entscheidet keine Vorschrift mehr. Es entscheidet die Person, die du in dem Moment bist.

Das ist der Punkt, an dem Klärung und Handlung sich trennen. Die Klärung gibt dir eine Rückmeldung von innen: das Gefühl, abgesichert zu sein. Erst der laufende Vorgang gibt dir eine Rückmeldung von außen, nämlich ein Ergebnis, das du messen kannst.

Genau dort setzt die Challenge an: vier Tage, der Einstieg in Werden, Machen, Haben. Du findest sie auf impruvement.com/challenge.