Ein Interim Manager nutzt KI, um Kundenunterlagen auszuwerten oder ein Konzept vorzubereiten. Der Provider hat das Mandat angebahnt, die Verträge organisiert und begleitet den Einsatz. Mit dem verwendeten KI-Konto hatte er allerdings nichts zu tun.
Ist das Thema damit für ihn erledigt?
Nicht unbedingt. Bei KI im Interim Management kommt es darauf an, welche Leistungen der Provider selbst schuldet, wie die Vertragsbeziehungen gestaltet sind und wer über die Datenverarbeitung entscheidet. Die Verantwortung folgt nicht automatisch dem Benutzerkonto.
Mit „Provider“ ist in diesem Beitrag der Interim-Management-Dienstleister gemeint, nicht der Anbieter des KI-Tools.
Rechtsstand: 22. Oktober 2026. Betrachtet werden deutsches Vertragsrecht und die DSGVO.
Nein. Eine pauschale Haftung für sämtliche KI-Aktivitäten eines vermittelten Managers besteht nicht.
Eigene Pflichten des Providers können sich jedoch aus seinen Verträgen, seiner tatsächlichen Mitwirkung und seiner datenschutzrechtlichen Rolle ergeben. Unter bestimmten Voraussetzungen kann ihm außerdem ein Fehlverhalten des eingesetzten Managers zugerechnet werden.
Die entscheidende Frage lautet deshalb nicht nur: „Wer hat die Daten eingegeben?“ Sondern auch: „Wer hat wem gegenüber welche Verantwortung übernommen?“
Für die Prüfung helfen zwei vereinfachte Konstellationen.
Der Provider vermittelt einen direkten Vertrag zwischen Kunde und Interim Manager. Dann schuldet er grundsätzlich die vereinbarte Vermittlungsleistung und gegebenenfalls weitere ausdrücklich übernommene Aufgaben. Er wird dadurch nicht automatisch für die gesamte spätere Mandatsausführung verantwortlich. Eigene Auswahl-, Informations- oder Vertraulichkeitspflichten können trotzdem relevant sein.
Der Provider ist selbst Vertragspartner des Kunden für Leistungen im Mandat und setzt dafür einen Interim Manager ein. Dann muss geprüft werden, welche Verpflichtungen er gegenüber dem Kunden übernommen hat und welche Aufgaben der Manager zu deren Erfüllung wahrnimmt.
In der Praxis können zusätzliche Vereinbarungen hinzukommen. Maßgeblich sind deshalb die konkreten Leistungsbeschreibungen und die tatsächliche Durchführung, nicht allein die Bezeichnung „Providervertrag“.
Setzt der Provider einen Interim Manager zur Erfüllung eigener vertraglicher Verpflichtungen ein, kann dieser als Erfüllungsgehilfe handeln. Nach § 278 BGB muss sich ein Schuldner das Verschulden solcher Personen grundsätzlich wie eigenes Verschulden zurechnen lassen.
Dass der Manager selbstständig arbeitet, schließt diese Zurechnung nicht automatisch aus.
Nutzt er KI bei der Erfüllung der übernommenen Aufgaben und verletzt dabei eine relevante Pflicht, kann das daher auch den Provider betreffen. Erforderlich ist allerdings ein entsprechender Zusammenhang mit der Vertragserfüllung. Nicht jedes Verhalten während eines laufenden Mandats fällt darunter.
Für einen vertraglichen Schadensersatzanspruch müssen zudem die jeweiligen Voraussetzungen vorliegen, insbesondere eine Pflichtverletzung, deren Vertretenmüssen und ein dadurch entstandener Schaden. Die Grundlage ist § 280 BGB.
„Das war der selbstständige Manager“ ist deshalb eine Sachverhaltsangabe. Eine vollständige Haftungsprüfung ist es noch nicht.
Ein fiktives Beispiel: Ein Provider übernimmt gegenüber einem Kunden Leistungen für ein Vertriebsprojekt und setzt dafür einen Interim Manager ein. Im Kundenvertrag ist die Weitergabe vertraulicher Unterlagen an nicht freigegebene KI-Dienste ausgeschlossen.
Diese Vorgabe wird weder in die Vereinbarung mit dem Manager übernommen noch beim Projektstart erläutert. Der Manager lädt interne Vertriebsunterlagen in ein eigenes KI-Konto.
Nun geht es nicht allein um den Upload. Zu prüfen ist auch, ob der Provider seine eigenen Verpflichtungen angemessen organisiert und weitergegeben hat.
Das Beispiel zeigt eine typische Schnittstelle: Kundenvertrag, Managervertrag und praktische Einweisung müssen zusammenpassen. Eine sorgfältige Regelung hilft wenig, wenn sie nur einer der Beteiligten kennt.
Eine vertragliche Leistungskette ist nicht automatisch eine Kette von Auftragsverarbeitern.
Datenschutzrechtlich entscheidet sich die Rolle danach, wer bei der jeweiligen Verarbeitung über Zwecke und wesentliche Mittel bestimmt und wer personenbezogene Daten weisungsgebunden für einen anderen verarbeitet. Diese Unterscheidung erläutert der Europäische Datenschutzausschuss in seinem Leitfaden zu Verantwortlichen und Auftragsverarbeitern.
Ein Provider kann beispielsweise für seinen eigenen Kandidatenpool verantwortlich sein. Für die Verarbeitung von Kundendaten innerhalb eines Mandats ist dagegen eine gesonderte Prüfung erforderlich. Auch ein Interim Manager ist nicht allein deshalb Auftragsverarbeiter, weil er vertraglich Auftragnehmer heißt.
Die Einordnung sollte für konkrete Verarbeitungsvorgänge erfolgen. Eine Rechnungsadresse ist noch keine Datenschutzrolle.
Liegt Auftragsverarbeitung vor und soll ein KI-Dienst als weiterer Auftragsverarbeiter eingesetzt werden, gelten insbesondere die Anforderungen aus Artikel 28 DSGVO.
Dazu gehören die vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen und die vertragliche Weitergabe der einschlägigen Datenschutzpflichten.
Ist der Provider selbst erster Auftragsverarbeiter, haftet er gegenüber dem Verantwortlichen nach Artikel 28 Absatz 4 für die Einhaltung der Pflichten eines hinzugezogenen weiteren Auftragsverarbeiters. Das setzt diese konkrete Rollenverteilung voraus, nicht lediglich eine geschäftliche Beteiligung am Mandat.
Der Europäische Datenschutzausschuss betont außerdem, dass Verantwortliche die Identität der eingesetzten Auftragsverarbeiter und Unterauftragsverarbeiter kennen müssen. Die Prüfung ihrer Garantien ist erforderlich; ihre Tiefe richtet sich insbesondere nach dem Risiko. Das erläutert seine Stellungnahme zur Einbindung von Auftragsverarbeitern und Unterauftragsverarbeitern.
Eine Freigabe durch den Provider ersetzt deshalb nicht automatisch die erforderliche Genehmigung des Kunden oder eine notwendige datenschutzrechtliche Rechtsgrundlage.
Für die praktische Umsetzung sollten Provider insbesondere fünf Punkte miteinander abstimmen:
Die Prüfung sollte auch mögliche Unterschiede zwischen Ansprüchen des Kunden und Rückgriffsmöglichkeiten gegenüber dem Manager erfassen. Ein interner Regressanspruch befreit den Provider nicht automatisch von einer eigenen Verpflichtung gegenüber dem Kunden.
Nicht jedes Risiko entsteht erst beim eingesetzten Manager.
Provider können KI selbst für Profilzusammenfassungen, die Aufbereitung von Kundenbriefings oder die Kommunikation mit Kandidaten nutzen. Dabei werden möglicherweise personenbezogene oder vertrauliche Informationen verarbeitet.
Diese Vorgänge sind eigenständig zu bewerten. Eine Freigabe für KI im Kundenprojekt erfasst nicht automatisch die Verarbeitung im eigenen Recruiting- oder Vermittlungsprozess. Umgekehrt sagt ein intern zugelassenes Werkzeug noch nichts darüber aus, ob Kundenunterlagen darin verarbeitet werden dürfen.
Wurden Daten möglicherweise unbefugt an einen KI-Dienst übermittelt, braucht es einen schnellen, abgestimmten Prozess: weitere Übermittlungen stoppen, den Vorgang nachvollziehen, Beweise angemessen sichern und Schutzmaßnahmen prüfen.
Bei einer Datenschutzverletzung muss ein Auftragsverarbeiter den Verantwortlichen unverzüglich informieren. Dieser bewertet mögliche weitere Melde- und Benachrichtigungspflichten. Eine vertragliche Meldeabfolge darf die Erfüllung gesetzlicher Pflichten nicht verzögern.
Nicht jeder ungeklärte KI-Einsatz ist automatisch eine meldepflichtige Datenschutzverletzung. Er sollte aber auch nicht zwischen Provider, Manager und Kunde so lange weitergereicht werden, bis niemand mehr zuständig sein möchte.
Provider profitieren von einem einheitlichen Vorgehen für Mandatsstart, KI-Freigaben und Vorfallmeldungen. Ergänzende KI-Schulungen können helfen, die Regeln anhand typischer Projektsituationen verständlich zu machen.
Ein AI Officer kann diese organisatorischen Abläufe koordinieren, ersetzt aber weder die Vertragsprüfung noch die datenschutzrechtliche Bewertung.
K11 Consulting unterstützt bei Governance, Datenschutz und Informationssicherheit. Die K11 Rechtsanwaltsgesellschaft kann die rechtliche Abstimmung der Vertragsbeziehungen ergänzen.
Provider haften nicht automatisch für jeden KI-Einsatz eines Interim Managers. Sie sind aber ebenso wenig allein deshalb aus der Verantwortung, weil das verwendete Konto einem anderen gehört.
Entscheidend sind das Vertragsmodell, die übernommenen Pflichten, die tatsächlichen Datenverarbeitungen und die Organisation der Zusammenarbeit.
Wer Kundenanforderungen, Managervereinbarungen und praktische Freigaben miteinander verbindet, schafft eine belastbarere Grundlage für KI im Interim Management. Die Verantwortung sollte vor dem Projektstart geklärt werden, nicht erst nach dem ersten problematischen Upload.