Welche Fristen wann greifen, und welche Rechtsnorm hinter jedem der neun Vertragskriterien steht. Jede Angabe mit Fundstelle und Link zum Volltext — damit Sie sie nicht glauben müssen, sondern nachlesen können.
In Kraft seit 01.08.2024, gestaffelt anwendbar. Die Hochrisiko-Termine sind durch die Änderungsverordnung (EU) 2026/1744 verschoben — im Amtsblatt am 24.07.2026, in Kraft seit 27.07.2026.
Vollständige Tabelle mit Rechtsgrundlage und Verfahrensstand je Zeile: KI-Verordnung: Was wann gilt →
Diese Seiten werden gepflegt und tragen einen Stand. Sie beschreiben die geltende Lage, nicht einen einzelnen Tag.
Die vollständige Tabelle mit Rechtsgrundlage, Verfahrensstand und EUR-Lex-Fundstelle je Zeile. Maßgeblich für jedes Datum.
Weiterlesen →Die Rolle entscheidet, welche Pflichten überhaupt greifen — und sie kippt, sobald ein System wesentlich verändert wird.
Weiterlesen →Die Einsatzbereiche im Katalog. Beschäftigtenbezogene Anwendungen stehen ausdrücklich darin — auch rein intern genutzte.
Weiterlesen →Offenlegen, dass eine Maschine spricht, und synthetische Ausgaben markieren. Anwendbar seit dem 2. August 2026.
Weiterlesen →Welche Frist wann greift, ändert nichts an der ersten Frage: Welche KI-Systeme stecken im eigenen Software-Stack?
Weiterlesen →Jedes der neun REALTRAX-Kriterien knüpft an konkrete Rechtsnormen an — DSGVO, KI-Verordnung, NIS2, Data Act, Geschäftsgeheimnisgesetz. Was der Befund für Ihren Einsatz bedeutet, bewerten Sie bzw. Ihre Rechtsberatung.
Art. 28 Abs. 3 lit. a DSGVO bindet Auftragsverarbeiter an die dokumentierte Weisung des Kunden. Die DSGVO verlangt für eine darüber hinausgehende Datenverarbeitung zu eigenen Zwecken des Anbieters (wie z. B. Modell-Training) eine gesonderte Rechtsgrundlage. Ob der hier dokumentierte Stand für Ihren Einsatz ausreicht, bewerten Sie bzw. Ihre Rechtsberatung.
Art. 28 Abs. 3 lit. a DSGVO · Art. 5 Abs. 1 lit. b DSGVO · Art. 10 KI-VO (Hochrisiko)Die DSGVO verlangt festgelegte, eindeutige Zwecke (Art. 5 Abs. 1 lit. b); eine Weiterverarbeitung zu anderen Zwecken ist an Art. 6 Abs. 4 gebunden. Der hier dokumentierte Vertragsstand zeigt, welche Zweckgrenzen der Anbieter selbst zusichert.
Art. 5 Abs. 1 lit. b DSGVO · Art. 6 Abs. 4 DSGVO · Art. 28 Abs. 3 lit. a DSGVOArt. 28 Abs. 2 DSGVO verlangt eine vorherige (allgemeine oder spezifische) Genehmigung für Unterauftragsverarbeiter samt Informations- und Einspruchsmöglichkeit bei Änderungen; die NIS2-Richtlinie adressiert die Sicherheit der Lieferkette. Der dokumentierte Stand zeigt, was der Vertrag dazu regelt.
Art. 28 Abs. 2, 4 DSGVO · Art. 21 Abs. 2 lit. d NIS2-RLEinseitige Änderungsklauseln unterliegen der AGB-Kontrolle (§§ 305 ff. BGB); für die Nachweisführung nach Art. 28 DSGVO ist maßgeblich, welche Vertragsfassung wann galt. Der dokumentierte Stand zeigt den Änderungsmechanismus dieses Vertrags (Zuordnung gemischter Klauseln: K4-Misch-Regel v1.0).
§§ 305 ff. BGB (AGB-Kontrolle) · Art. 28 Abs. 3 DSGVOArt. 28 Abs. 3 lit. g DSGVO verlangt Löschung oder Rückgabe nach Ende der Verarbeitung; der Data Act regelt zusätzlich den Wechsel zwischen Datenverarbeitungsdiensten. Der dokumentierte Stand zeigt, welche Export- und Löschzusagen dieser Vertrag enthält.
Art. 28 Abs. 3 lit. g DSGVO · Art. 20 DSGVO · Data Act (VO (EU) 2023/2854), Kap. VIArt. 28 Abs. 3 lit. h DSGVO gibt dem Verantwortlichen ein Nachweis- und Prüfrecht; Art. 26 Abs. 6 KI-VO verlangt vom Betreiber die Aufbewahrung automatisch erzeugter Protokolle über mindestens sechs Monate, soweit sie seiner Kontrolle unterliegen. Der dokumentierte Stand zeigt, welche Prüf- und Nachweiswege dieser Vertrag eröffnet.
Art. 28 Abs. 3 lit. h DSGVO · Art. 26 Abs. 5, 6 KI-VO · Art. 21 NIS2-RLÜbermittlungen in Drittländer sind nur unter den Voraussetzungen von Kapitel V DSGVO zulässig — der vertraglich zugesicherte Verarbeitungsort bestimmt, ob Kapitel V überhaupt eröffnet ist. Der dokumentierte Stand zeigt, was dieser Vertrag zum Ort zusichert.
Kap. V DSGVO (Art. 44 ff.) · Art. 28 Abs. 3 lit. a DSGVODer US CLOUD Act verpflichtet US-Anbieter zur Herausgabe von Daten in ihrem Besitz unabhängig vom Speicherort — maßgeblich ist die Konzernzugehörigkeit, nicht die Region des Rechenzentrums. Der dokumentierte Stand zeigt die Konzern- und Jurisdiktionslage dieses Anbieters.
Kap. V DSGVO · US CLOUD Act (18 U.S.C. § 2713) · FISA 702§ 2 Nr. 1 lit. b GeschGehG verlangt „angemessene Geheimhaltungsmaßnahmen“ zum Schutz von Geschäftsgeheimnissen. Zudem statuiert Art. 50 KI-VO Transparenzpflichten, die klare vertragliche Regelungen zu Urheberschaft und Output-Rechten erfordern. Der dokumentierte Stand zeigt, welche Rechte dieser Vertrag beim Kunden belässt.
§ 2 Nr. 1 lit. b GeschGehG · UrhG (Rechteeinräumung) · Art. 50 KI-VO