Der Betrieb, der sich erinnert

Warum KI-Wissenssysteme gerade für kleine Unternehmen der größte Hebel seit Jahren sind, und welche eine Frage vor der Unterschrift geklärt sein muss.


Eine Tischlerei mit neun Beschäftigten. Das Wissen des Betriebs liegt an vier Orten: im Kopf des Meisters, in den Sprachnachrichten des Holzlieferanten, in einem Ordner mit Angeboten seit 2019 und auf dem Handy, mit dem der Geselle die Baustellen fotografiert. Fragt eine Kundin nach der Garantie auf ihre Einbautreppe, dauert die Antwort einen Tag. Nicht, weil niemand sie weiß, sondern weil niemand sie findet.

Genau hier setzt eine Klasse von Software an, die sich in den letzten zwei Jahren aus den großen Sprachmodellen entwickelt hat: KI-Wissenssysteme. Sie lesen, was im Betrieb ohnehin vorhanden ist, also Rechnungen, Angebote, E-Mails, Sprachnachrichten, Fotos und Kalender, und verknüpfen es zu einem befragbaren Gedächtnis. „Was kostet eine Treppe in Buche?“ „Welche Garantie geben wir auf unsere Arbeit?“ „Wann haben wir Familie Berger zuletzt beliefert?“ Die Antwort kommt in Sekunden, mit dem Beleg daneben.

Was das für einen kleinen Betrieb anders macht
Konzerne haben für solche Fragen Systeme, Abteilungen und Berater. Der Mittelstand hatte bislang die Wahl zwischen einem ERP-Projekt, das zwei Jahre dauert und den Betrieb an die Software anpasst, und dem Status quo. Wissenssysteme drehen das um. Vier Eigenschaften machen den Unterschied:

Keine Dateneingabe. Das System verlangt nicht, dass der Betrieb seine Arbeit in
Masken einträgt. Es liest die Sprachnachricht, den Lieferschein-Scan und die Excel-Preisliste so, wie sie sind. Der Einstieg kostet keine Umstellung, sondern einen Zugang zum Postfach.

Antworten mit Beleg. Anders als ein Chatbot, der plausibel klingt, zeigt ein Wissenssystem zu jeder Antwort, aus welchem Dokument sie stammt. Für einen Handwerksbetrieb ist das der Unterschied zwischen einer Spielerei und einem Werkzeug, auf das man eine Zusage stützen kann.

Entwürfe statt Entscheidungen. Die neueste Generation dieser Systeme arbeitet mit Agenten, die selbstständig vorschlagen: ein Angebot für die Eichentreppe, eine Antwort an Familie Berger, ein Hinweis, dass die Preisliste 2024 abgelaufen ist. Nichts davon geht hinaus, bevor der Inhaber es freigegeben hat. Der Betrieb bekommt einen Assistenten, der vorarbeitet, nicht einen Automaten, der handelt.

Wissen, das bleibt. Geht der Meister in Rente oder kündigt die Bürokraft, die seit
fünfzehn Jahren „alles im Kopf hat“, bleibt das Wissen im Betrieb. Für die Nachfolgefrage, vor der in Deutschland nach Schätzung des IfM Bonn rund 37.000 Unternehmen im Jahr stehen, ist das kein Nebeneffekt, sondern der Kern. Und all das ohne IT-Abteilung und ohne Server im Keller, zu laufenden Kosten statt zu
einem Projektbudget. Der Hebel, den große Unternehmen sich seit zehn Jahren teuer erkaufen, ist für den Neun-Personen-Betrieb verfügbar geworden.

Die Kunden der Kunden
Genau die Eigenschaft, die diese Systeme wertvoll macht, nämlich dass sie alles mit allem verknüpfen, erzeugt eine datenschutzrechtliche Frage, die kein Datenschutzhinweis von der Stange beantwortet.

In den Rechnungen, Mails und Sprachnachrichten eines Betriebs stehen Menschen: Kundinnen, Lieferanten, deren Mitarbeiter, der Nachbar, der sich über den Lärm beschwert hat. Diese Menschen haben mit dem Betrieb zu tun, nicht mit dem Anbieter der Software. Sie wissen nicht, dass es das System gibt, und sie haben zu dessen Betreiber keinen Kanal. Die DSGVO nennt den Betrieb dafür den Verantwortlichen und den Anbieter den Auftragsverarbeiter. Der Betrieb bleibt in der Pflicht, auch wenn die Technik woanders läuft.

Zwei Dinge sind neu. Erstens: Die DSGVO verlangt, dass der Zweck einer Verarbei‐
tung vorher „festgelegt“ und „eindeutig“ ist (Art. 5 Abs. 1 lit. b). Ein Wissenssys-tem weiß beim Einlesen aber noch nicht, welche Frage später gestellt wird. Der Zweck entsteht erst bei der Abfrage. Zweitens, und das ist der praktisch wichtigere Punkt: die Löschung. Rechnungen muss der Betrieb ohnehin acht Jahre aufbewahren. Die Löschfrage stellt sich für alles andere: die Sprachnachricht, die Notiz zur Reklamation, das Foto von der Baustelle. Wer eine solche Notiz aus dem Ordner nimmt, hat sie gelöscht. Wer sie aus einem Wissenssystem nimmt, hat ein Dokument entfernt. Das System hat aus diesem Dokument aber längst Verknüpfungen gebildet: Familie Berger, Eichentreppe, Reklamation im März. Ob diese Verknüpfungen mit dem Dokument verschwinden, entscheidet die Architektur des Systems, nicht der Löschknopf.

Verlangt eine Kundin also nach Art. 17 DSGVO die Löschung ihrer Daten, und steht
dem keine Aufbewahrungspflicht entgegen, muss der Betrieb eine Frage beantworten können, die ihm nur sein Anbieter beantworten kann: Weiß das System nach der Löschung noch etwas über diese Person?

Drei Fragen vor der Unterschrift
Das spricht nicht gegen den Einsatz. Es spricht dafür, drei Fragen vor dem Vertrag zu stellen statt danach.

1. Wer trägt was? Ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO ist
Pflicht, keine Formsache. Er muss unter anderem regeln, was mit den Daten ge‐
schieht, wenn der Vertrag endet, und er sollte klären, wo die Daten liegen und wer
Zugriff hat.

2. Die Löschprobe. Lassen Sie sich vorführen, was passiert, wenn ein Kunde ge‐
löscht wird, und fragen Sie das System danach nach diesem Kunden. Antwortet
es noch, ist die Löschung nicht vollzogen. Diese Probe gehört als Abnahmekriteri‐
um in den Vertrag. Ob sie rechtlich genügt, ist offen. Dass ein System sie nicht be‐
steht, genügt in keinem Fall.

3. Das Freigabetor. Kein Angebot, keine Mail, keine Preisänderung verlässt den Betrieb ohne den Klick eines Menschen. Das ist nicht nur gute Führung. Es nimmt
die Frage vom Tisch, ob hier eine Maschine über Menschen entscheidet, was die
DSGVO in Art. 22 nur unter engen Voraussetzungen zulässt, und es ist der Grund,
warum der Inhaber abends ruhig schläft.

Dazu ein vierter, unspektakulärer Punkt: Die Datenschutzhinweise gegenüber Kunden müssen die neue Verarbeitung nennen. Wenige Sätze genügen. Ihr Fehlen ist der häufigste Fehler.

Auf beiden Seiten des Kanals
Für britisch-deutsche Unternehmen kommt eine Beruhigung hinzu. Der britische Data (Use and Access) Act 2025 hat die UK GDPR an einigen Stellen gelockert, aber weder das Löschrecht noch die Rollenverteilung zwischen Verantwortlichem und Auftragsverarbeiter angetastet. Ein Betrieb in Manchester, der ein Wissenssystem einsetzt, stellt sich dieselben drei Fragen wie einer in Magdeburg. Wer Kunden auf beiden Seiten hat, unterliegt ohnehin beiden Regimen. Die Antworten lassen sich einmal erarbeiten und zweimal verwenden.

Der Hebel ist real. Ein Betrieb, der sein eigenes Wissen befragen kann, arbeitet an‐
ders: schneller, mit weniger Abhängigkeit von einzelnen Köpfen, mit belegten statt gefühlten Antworten. Die Frage ist nicht, ob der Mittelstand diese Systeme einsetzen wird. Die Frage ist, ob er die drei Fragen vorher stellt.


Felix Langrock
Vizepräsident, Anglo-German Law Society e.V.

 

Felix Langrock studiert Rechtswissenschaft in Berlin (LL.B., King’s College London), ist Vizepräsident der Anglo-German Law Society e.V. und Mitgründer eines Berliner Unternehmens, das KI-Wissenssysteme für mittelständische Betriebe entwickelt. Die Anglo-German Law Society ist Mitglied der BCCG.

SHARE THIS