EU AI Act, Haftung, Verträge und Pflichten: die rechtlichen Begriffe, die Geschäftsführer:innen kennen sollten, bevor KI im Unternehmen produktiv wird. Orientierung, keine Rechtsberatung.
AGES (Österreichische Agentur für Gesundheit und Ernährungssicherheit) und BASG (Bundesamt für Sicherheit im Gesundheitswesen) sind die österreichischen Regulierungsbehörden für Medizinprodukte. Das…
Der EU AI Act (Verordnung 2024/1689) ist die weltweit erste umfassende Rechtsverordnung zur Regulierung künstlicher Intelligenz. Die am 1. August 2024 in Kraft getretene Verordnung klassifiziert…
Das European AI Office ist eine 2024 innerhalb der EU-Kommission eingerichtete Behörde, die als zentrale Anlaufstelle für die Umsetzung und Durchsetzung des EU AI Act fungiert – insbesondere für…
Anbieter im Sinne der EU-KI-Verordnung ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Im Gegensatz zum…
Angemessenheit ist die dritte und letzte Stufe der rechtlichen Verhältnismäßigkeitsprüfung. Sie prüft, ob eine Maßnahme – selbst wenn sie geeignet und erforderlich ist – in einem ausgewogenen…
Anhang IV des EU AI Act legt fest, welche technische Dokumentation Anbieter von Hochrisiko-KI-Systemen vor Markteinführung erstellen müssen. Die Dokumentation umfasst neun Pflichtabschnitte und dient…
Eine Anpassungsklausel ist eine Vertragsbestimmung, die festlegt, unter welchen Voraussetzungen und in welchem Verfahren Preise, Leistungen oder Pflichten eines laufenden Vertrags geändert werden…
Das Arbeitsverfassungsgesetz (ArbVG) ist in Österreich die zentrale Rechtsgrundlage der betrieblichen Mitbestimmung. Es regelt die Errichtung des Betriebsrats und dessen Rechte – für die Einführung…
Artikel 50 des EU AI Act verpflichtet Anbieter und Betreiber bestimmter KI-Systeme zur Offenlegung gegenüber Nutzern: bei direkter KI-Interaktion muss erkennbar sein, dass ein KI-System im Einsatz…
Das Auditrecht bezeichnet die vertragliche Befugnis des Auftraggebers, bei Dienstleistern (insbesondere Auftragsverarbeitern) die Einhaltung vereinbarter Datenschutz- und Sicherheitsanforderungen…
Die Aufbewahrungspflicht verlangt, Bücher, Aufzeichnungen, Belege und Geschäftspapiere nach § 132 BAO mindestens sieben Jahre lang geordnet, vollständig und lesbar verfügbar zu halten — auch bei rein…
Automatisierte Entscheidungsfindung bezeichnet Entscheidungen, die ausschließlich durch Computer-Algorithmen ohne menschliches Eingreifen getroffen werden und rechtliche Wirkung entfalten oder eine…
Das Arbeitszeitgesetz (AZG) ist das zentrale österreichische Bundesgesetz, das die zulässige Dauer der täglichen und wöchentlichen Arbeitszeit, Ruhepausen und Ruhezeiten regelt. Es verpflichtet…
Als „begrenztes Risiko“ werden KI-Systeme bezeichnet, die den Transparenzpflichten des Artikels 50 der KI-Verordnung unterliegen – etwa Chatbots oder Systeme, die Bilder, Texte oder Stimmen erzeugen.…
Die Belegerteilungspflicht nach § 132a BAO verpflichtet Unternehmer in Österreich, über jede Barzahlung ab dem ersten Euro einen Beleg auszustellen. Sie gilt unabhängig von der…
Das Berufsgeheimnis nach WTBG (§ 80 Wirtschaftstreuhandberufsgesetz 2017) verpflichtet Steuerberater:innen und Wirtschaftsprüfer:innen zur umfassenden Verschwiegenheit über anvertraute…
Ein Beschwerdeverfahren ist das in der DSGVO verankerte Recht jeder betroffenen Person, bei einer Datenschutzbehörde gegen vermutete Datenschutzverstöße vorzugehen. Es ermöglicht KMU-Kund:innen oder…
Die Bestandskundenausnahme erlaubt unter strengen Voraussetzungen die elektronische Direktwerbung (E-Mail, SMS) an bestehende Kund:innen ohne deren ausdrückliche Einwilligung – in Österreich nach §…
Ein Betreiber ist eine natürliche oder juristische Person, die ein KI-System in eigener Verantwortung für berufliche Zwecke einsetzt, ohne es selbst zu entwickeln oder unter eigenem Namen zu…
Der Betriebsrat ist die gewählte Interessenvertretung der Arbeitnehmerinnen und Arbeitnehmer auf Betriebsebene. Er hat gesetzlich verankerte Mitbestimmungs-, Informations- und Überwachungsrechte und…
Eine Betriebsvereinbarung ist eine schriftliche, rechtsverbindliche Vereinbarung zwischen Arbeitgeber und Betriebsrat, die betriebliche Angelegenheiten regelt und für alle Arbeitnehmer eines Betriebs…
§ 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat ein zwingendes Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung der…
Beweissicherung bezeichnet alle Maßnahmen, mit denen Beweismittel festgehalten werden, bevor sie verloren gehen oder ihre Beweiskraft verlieren. Sie erfolgt entweder als gerichtliches…
Ein Beweisverwertungsverbot untersagt es dem Gericht, rechtswidrig erlangte Beweismittel zu verwerten. In Österreich gilt es im Strafverfahren (§ 166 StPO); im Zivil- und Arbeitsrechtsstreit kennt…
Biometrische Identifikation bezeichnet die Erkennung von Personen anhand einzigartiger körperlicher oder verhaltensbezogener Merkmale wie Fingerabdruck, Gesicht oder Iris. Sie gilt unter dem EU AI…
Ein Bug-Bounty-Programm ist eine Initiative, bei der Unternehmen externe Sicherheitsexpert:innen finanziell belohnen, wenn diese Schwachstellen in Software, Webanwendungen oder IT-Systemen entdecken…
Das Bundesamt für Cybersicherheit ist die österreichische Aufsichtsbehörde für die Umsetzung der NIS-2-Richtlinie und des NISG 2026. Es fungiert als zentrale Anlaufstelle für Meldungen von…
Der CLOUD Act ist ein US-amerikanisches Gesetz aus dem Jahr 2018, das US-Behörden den Zugriff auf Daten von US-Unternehmen ermöglicht – unabhängig davon, wo diese Daten weltweit gespeichert sind. Das…
Compliance bezeichnet die Gesamtheit aller Maßnahmen, die sicherstellen, dass ein Unternehmen geltende Gesetze, Verordnungen und interne Regeln einhält. Sie ist nicht nur rechtliche Pflicht, sondern…
Ein Cookie-Banner ist ein Pop-up-Element auf einer Website, das Nutzer:innen vor dem Setzen nicht notwendiger Cookies um eine aktive Einwilligung bittet. In Österreich und Deutschland ist es…
Eine Cybersicherheitsbehörde ist eine staatliche Stelle, die für die Überwachung, Durchsetzung und Koordination von Cybersicherheitsmaßnahmen zuständig ist. Sie fungiert als zentrale Anlaufstelle bei…
Dark Patterns sind manipulative Designelemente auf Websites und in Apps, die Nutzer durch gezielte Gestaltung zu Entscheidungen verleiten sollen, die ihren eigentlichen Interessen widersprechen –…
Ein Datenschutzgesetz regelt den Schutz personenbezogener Daten auf nationaler Ebene. In Österreich und Deutschland ergänzen die nationalen Datenschutzgesetze (DSG bzw. BDSG) seit 2018 die EU-weit…
Datensouveränität bezeichnet die Fähigkeit eines Unternehmens, vollständige Kontrolle über Erhebung, Speicherung, Verarbeitung und Löschung seiner Daten auszuüben – unabhängig davon, ob diese…
Der Digital Omnibus ist ein von der EU-Kommission im November 2025 vorgeschlagenes Gesetzespaket, das Anpassungen an bestehenden EU-Digitalgesetzen (DSGVO, KI-Verordnung, Data Act, NIS2, ePrivacy)…
Eine digitale Signatur ist ein kryptografisches Verfahren, mit dem elektronische Dokumente unterzeichnet und auf Unverfälschtheit geprüft werden. In ihrer höchsten Stufe – der qualifizierten…
Digitale Souveränität bezeichnet die Fähigkeit von Staaten, Organisationen und Unternehmen, ihre digitalen Ressourcen, Infrastrukturen und Daten eigenständig zu kontrollieren und selbstbestimmt über…
Das dreistufige Meldeverfahren ist der Ablauf, in dem wesentliche und wichtige Einrichtungen erhebliche Cybersicherheitsvorfälle nach § 34 NISG 2026 melden müssen: Frühwarnung binnen 24 Stunden,…
Der Zuschlag zum Dienstgeberbeitrag (DZ) ist eine österreichische Kammerumlage, die Mitglieder der Wirtschaftskammer zusätzlich zum Dienstgeberbeitrag auf Basis der monatlichen Bruttolohnsumme über…
Das E-Commerce-Gesetz (ECG) ist ein österreichisches Bundesgesetz, das seit 2002 in Kraft ist und rechtliche Rahmenbedingungen für den elektronischen Geschäfts- und Rechtsverkehr regelt, insbesondere…
Eine E-Rechnung ist eine Rechnung in einem strukturierten elektronischen Format, das eine automatische und maschinelle Verarbeitung ermöglicht. Eine einfache PDF-Rechnung per E-Mail zählt nicht dazu.
Die Einnahmen-Ausgaben-Rechnung (EAR) ist eine vereinfachte Methode der Gewinnermittlung für kleinere Unternehmen in Österreich, bei der der Gewinn als Differenz zwischen tatsächlich zugeflossenen…
Die ECG-Sperrliste ist eine von der RTR-GmbH in Österreich geführte Liste, in die sich Personen und Unternehmen kostenlos eintragen können, um kommerzieller E-Mail-Werbung zu widersprechen.…
Die erste der beiden rechtlichen Wege, über die der EU AI Act ein KI-System als hochriskant einstuft: Das System muss als Sicherheitskomponente eines nach Anhang I regulierten Produkts verwendet…
Anhang III des EU AI Act listet acht definierte Anwendungsbereiche (z. B. Personalauswahl, Kreditwürdigkeit, Strafverfolgung), in denen eigenständige KI-Systeme automatisch als hochriskant gelten und…
Die ePrivacy-Richtlinie (Richtlinie 2002/58/EG) regelt seit 2002 EU-weite Mindestvorgaben für den Datenschutz in der elektronischen Kommunikation, insbesondere Cookie-Verwendung, Telefon- und…
Erforderlichkeit ist der zweite Prüfschritt im Dreistufentest der Verhältnismäßigkeit, der bei der Bewertung von Hochrisiko-KI-Systemen im Rahmen des AI Act angewendet wird. Er prüft, ob ein…
Die EU-Konformitätserklärung ist ein rechtsverbindliches Dokument, mit dem der Hersteller bestätigt, dass sein Produkt alle anwendbaren EU-Anforderungen erfüllt. Die CE-Kennzeichnung wird auf dieser…
Ein externes IT-Sicherheitsaudit ist die systematische Überprüfung der IT-Infrastruktur eines Unternehmens durch unabhängige Fachkräfte, um Schwachstellen, Fehlkonfigurationen und Sicherheitslücken…
Die Firmenbuchnummer (FN-Nummer) ist eine eindeutige Identifikationsnummer, die jedem im österreichischen Firmenbuch eingetragenen Unternehmen bei der Eintragung automatisch zugewiesen wird und…
Die FMA (Finanzmarktaufsichtsbehörde) ist die unabhängige, weisungsfreie Aufsichtsbehörde für den österreichischen Finanzmarkt und beaufsichtigt Kreditinstitute, Versicherungen, Pensionskassen und…
Eine Grundrechtsfolgenabschätzung (Fundamental Rights Impact Assessment, FRIA) ist die Vorabprüfung nach Artikel 27 der KI-Verordnung, mit der bestimmte Betreiber von Hochrisiko-KI-Systemen mögliche…
Geeignetheit ist die erste Stufe des Dreistufentests aus dem Datenschutzrecht, der prüft, ob eine KI-Maßnahme grundsätzlich geeignet ist, den verfolgten Zweck zu erreichen. Der Test stammt aus der…
Ein genehmigter Tool-Katalog ist eine verbindliche Liste jener KI-Tools und -Dienste, die in einem Unternehmen nach datenschutzrechtlicher und technischer Prüfung für bestimmte Zwecke freigegeben…
Die GISA-Zahl ist die eindeutige Identifikationsnummer einer Gewerbeberechtigung im Gewerbeinformationssystem Austria. Sie ersetzt die früheren dezentralen Gewerberegisternummern und lässt sich…
Die GoBD legen fest, wie Unternehmen in Deutschland steuerrelevante Bücher, Belege und Unterlagen in elektronischer Form führen und aufbewahren müssen. Sie regeln die Anforderungen an digitale…
Ein GPAI-System ist ein KI-System, das auf einem KI-Modell mit allgemeinem Verwendungszweck (GPAI-Modell) aufbaut und dadurch vielfältige Aufgaben erfüllen kann – zur direkten Nutzung oder zur…
Guilt-Tripping (auch Confirmshaming) ist ein manipulatives Design-Muster in digitalen Oberflächen, das Schuldgefühle oder Scham nutzt, um Nutzer:innen zu einer bestimmten Entscheidung zu drängen.…
Incident-Reporting bezeichnet die rechtlich verpflichtende oder freiwillige Meldung von Sicherheitsvorfällen, Datenschutzverletzungen oder KI-Fehlfunktionen an zuständige Behörden. Bei…
Eine interne KI-Nutzungsrichtlinie ist ein verbindliches Regelwerk für Mitarbeitende, das festlegt, welche KI-Tools im Unternehmen erlaubt sind, welche Daten verarbeitet werden dürfen und wie…
Ein Informationssicherheitsmanagementsystem (ISMS) ist ein strukturierter Satz von Verfahren, Prozessen und Verantwortlichkeiten, mit dem Organisationen die Sicherheit ihrer Informationen…
Eine IT-Nutzungsrichtlinie ist ein internes Regelwerk, das verbindlich festlegt, wie Beschäftigte die IT eines Unternehmens nutzen dürfen. Sie regelt Geräte, Software, Internet, E-Mail, Cloud-Dienste…
Kennzeichnungspflicht bezeichnet die gesetzliche Verpflichtung, KI-generierte oder KI-manipulierte Inhalte als solche erkennbar zu machen. Seit dem 2. August 2026 regelt Artikel 50 der…
Ein Konformitätsbewertungsverfahren ist der formale Nachweis, dass ein Hochrisiko-KI-System alle gesetzlichen Anforderungen der EU-KI-Verordnung erfüllt, bevor es in Verkehr gebracht oder in Betrieb…
Kritische Infrastruktur (KRITIS) umfasst Organisationen, Einrichtungen und Systeme, deren Ausfall oder Beeinträchtigung erhebliche Versorgungsengpässe, Gefährdungen der öffentlichen Sicherheit oder…
Die kritische Prüfpflicht bezeichnet die Sorgfaltspflicht von Unternehmen – abgeleitet aus Haftungsrisiken und den Transparenzpflichten des Art. 50 EU AI Act –, KI-generierte Inhalte vor deren…
Das Mandantengeheimnis ist die rechtlich geschützte Verschwiegenheitspflicht bestimmter Berufsgruppen wie Rechtsanwälte, Steuerberater, Wirtschaftsprüfer und Notare gegenüber allen Informationen, die…
Eine Marktüberwachungsbehörde ist die staatliche Stelle, die kontrolliert, ob Produkte — und nach der EU-KI-Verordnung auch KI-Systeme — die rechtlichen Anforderungen erfüllen, und die bei Verstößen…
Das Mediengesetz (MedienG) ist das zentrale österreichische Bundesgesetz, das Impressums- und Offenlegungspflichten für periodische Medien – darunter Websites, Newsletter und Druckwerke – regelt und…
Menschliche Aufsicht ist die in Artikel 14 der EU-KI-Verordnung verankerte Pflicht, Hochrisiko-KI-Systeme so zu gestalten und zu betreiben, dass natürliche Personen den Betrieb wirksam überwachen,…
„Minimales Risiko“ ist die Sammelbezeichnung für KI-Systeme, die weder verboten noch hochriskant sind und auch keinen Transparenzpflichten unterliegen. Die KI-Verordnung verbindet mit dieser Stufe…
Die NIS2-Richtlinie ist eine EU-Richtlinie zur Stärkung der Cybersicherheit von Unternehmen und Einrichtungen in 18 kritischen Sektoren. Sie verpflichtet mittlere und große Organisationen zu…
Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) ist das österreichische Bundesgesetz zur Umsetzung der EU-NIS-2-Richtlinie. Es verpflichtet rund 4.000 mittlere und große…
Persönliche Haftung der Leitungsorgane bezeichnet die zivilrechtliche Verantwortung von Geschäftsführer:innen und Vorständen mit ihrem Privatvermögen für Pflichtverletzungen. Das NISG 2026 verschärft…
Pflichtangaben im Geschäftsverkehr sind die gesetzlich vorgeschriebenen Unternehmensdaten, die auf Geschäftsbriefen, Bestellscheinen, E-Mails und Webseiten anzugeben sind. Welche Angaben nötig sind,…
Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verpflichtet Verantwortliche, die Einhaltung aller datenschutzrechtlichen Grundsätze nicht nur einzuhalten, sondern auch jederzeit nachweisen zu…
Die Rechnungslegungspflicht verpflichtet Unternehmen zur doppelten Buchführung und zum Jahresabschluss nach dem Dritten Buch des Unternehmensgesetzbuches. Sie trifft Kapitalgesellschaften unabhängig…
Ein Review-Zyklus bezeichnet den festgelegten zeitlichen Rhythmus, in dem unternehmensinterne Richtlinien, Policies und Compliance-Dokumente auf ihre Aktualität, Rechtmäßigkeit und Praxistauglichkeit…
Risikoklassen sind die vier Kategorien (minimal, begrenzt, hoch, inakzeptabel), in die KI-Systeme gemäß der EU-KI-Verordnung eingeordnet werden. Die Klassifizierung bestimmt, welche rechtlichen…
Risikomanagement im NIS2-Kontext bezeichnet die systematische Identifikation, Bewertung und Behandlung von Cyberrisiken, die von betroffenen Unternehmen nach der NIS2-Richtlinie umzusetzen sind. Es…
Ein dokumentiertes System zur systematischen Identifikation, Bewertung und Minderung von Risiken, das für Hochrisiko-KI-Systeme nach dem EU AI Act verpflichtend ist. Es muss als kontinuierlicher…
Die Registrierkassensicherheitsverordnung (RKSV) ist eine österreichische Rechtsvorschrift, die seit 1. April 2017 technische Sicherheitsanforderungen an elektronische Registrierkassen festlegt, um…
Die Rundfunk und Telekom Regulierungs-GmbH (RTR) ist die österreichische Regulierungsbehörde für Medien, Telekommunikation und Post. Sie fungiert als Geschäftsstelle für die KommAustria und die…
Sanktionen im EU AI Act sind gestufte Geldstrafen bei Verstößen gegen die KI-Verordnung. Artikel 99 sieht je nach Schwere bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor, je…
Schulungspflicht bezeichnet die rechtliche Verpflichtung für Unternehmen, ihre Mitarbeiter regelmäßig im Umgang mit sensiblen Daten, Datenschutz und KI-Systemen zu schulen. Sie leitet sich aus der…
Die Selbstdeklaration ist die strukturierte Erklärung, mit der wesentliche und wichtige Einrichtungen der Cybersicherheitsbehörde nach § 33 Abs. 1 NISG 2026 darlegen, wie sie die…
Eigenverantwortliche Prüfung durch ein Unternehmen, ob Compliance-Anforderungen erfüllt sind – etwa bei DSGVO oder AI Act. Dient der Selbsteinschätzung von Risiken und Umsetzungsstand ohne externe…
Shadow IT bezeichnet IT-Systeme, Software oder Cloud-Dienste, die Mitarbeiter:innen ohne Wissen oder Genehmigung der IT-Abteilung im Arbeitsalltag einsetzen. Beispiele sind private Cloud-Speicher,…
Ein Sicherheitsvorfall ist ein Ereignis, bei dem die Sicherheit von IT-Systemen, Netzwerken oder Daten beeinträchtigt wird oder wurde. Dazu zählen unbefugter Zugriff, Datenverlust, Systemstörungen…
Supply-Chain-Sicherheit bezeichnet Maßnahmen und Strategien zur Absicherung von Lieferketten gegen Cyberbedrohungen, physische Risiken und Abhängigkeiten. Sie umfasst die Bewertung und Überwachung…
Die technische Dokumentation ist ein verpflichtender Nachweis für Anbieter von Hochrisiko-KI-Systemen, der vor dem Inverkehrbringen erstellt werden muss. Sie belegt gemäß Artikel 11 und Anhang IV des…
§ 165 Abs. 3 TKG 2021 ist die österreichische Rechtsgrundlage für die Verwendung von Cookies und regelt, dass das Speichern von Informationen auf Endgeräten oder der Zugriff darauf grundsätzlich nur…
Rechtliche Verpflichtung, betroffene Personen oder Nutzer klar und verständlich darüber zu informieren, wie personenbezogene Daten verarbeitet werden oder dass sie mit einem KI-System interagieren.…
Das Unternehmensgesetzbuch (UGB) ist das zentrale österreichische Bundesgesetz für das Unternehmensrecht. Es regelt Firmenrecht, Rechnungslegung, Personengesellschaften und unternehmensbezogene…
Die UID-Nummer (Umsatzsteuer-Identifikationsnummer) ist eine EU-weit etablierte Kennziffer, die Unternehmen für umsatzsteuerliche Zwecke kennzeichnet. In Österreich besteht sie aus dem Länderkürzel…
Unannehmbares Risiko bezeichnet im EU AI Act die höchste Risikostufe für KI-Systeme, deren Einsatz vollständig verboten ist, weil sie Grundrechte und europäische Werte gefährden. Dazu zählen…
Verhältnismäßigkeit ist ein rechtlicher Grundsatz, nach dem ein Eingriff in Rechte nur zulässig ist, wenn er geeignet, erforderlich und angemessen ist. Im Datenschutz entscheidet er darüber, wie…
Das ViDA-Paket (VAT in the Digital Age) ist die EU-Reform des Mehrwertsteuersystems für die digitale Wirtschaft. Es ist seit 14. April 2025 in Kraft und führt bis 2035 stufenweise verpflichtende…
Das Vier-Augen-Prinzip bei KI-Systemen bedeutet, dass kritische Entscheidungen oder Ausgaben eines KI-Systems von mindestens einer menschlichen Person geprüft und freigegeben werden müssen, bevor sie…
Eine Vulnerability Disclosure Policy (VDP) ist ein veröffentlichtes Regelwerk, das festlegt, wie Sicherheitsforscher und externe Personen dem Unternehmen Sicherheitslücken melden können – inklusive…
Wesentliche Einrichtungen sind Unternehmen und Organisationen aus hochkritischen Sektoren, die aufgrund ihrer Größe oder Funktion unter die NIS-2-Richtlinie fallen und strengeren…
Wichtige Einrichtungen sind Unternehmen, die aufgrund ihrer Größe und Branchenzugehörigkeit unter die NIS-2-Richtlinie fallen und strengen Cybersicherheitspflichten unterliegen. Sie werden im…
Das Wirtschaftstreuhandberufsgesetz 2017 (WTBG 2017) regelt in Österreich die Berufe Steuerberater und Wirtschaftsprüfer. Es definiert Berufsbefugnisse, Zugangsvoraussetzungen, Berufspflichten wie…
