Verträge mit KI-Anbietern: Worauf Sie bei Haftungsklauseln achten müssen

Warum Vertragsklauseln bei KI besonders wichtig sind

Bei fehlerhaften KI-Leistungen ist die vertragliche Haftung nach § 280 BGB in der Praxis oft der greifbarere Weg als die Produkthaftung, weil sie auch reine Vermögensschäden erfassen kann — etwa falsche Prognosen, Ausfälle, Produktivitätsverluste, Fehlbuchungen oder entgangene Geschäfte. Ob eine Pflichtverletzung vorliegt, bestimmen Leistungsbeschreibung, vereinbarter Zweck, zugesagte Genauigkeit, Sicherheitsanforderungen und Mitwirkungspflichten. Unpräzise Marketingaussagen können die berechtigte Erwartung erhöhen und damit das Vertragsrisiko verschärfen — wer "zuverlässige, geprüfte Antworten" verspricht, muss sich später daran messen lassen.

Was in der Leistungsbeschreibung stehen sollte

Für KI-Projekte muss die Leistungsbeschreibung messbar sein, sonst wird eine Pflichtverletzung im Streitfall kaum bestimmbar. Dazu gehören mindestens:

• der konkrete Zweck und die vorgesehene Nutzergruppe
• die verwendeten Daten und deren Aktualität
• zulässige Fehlerraten beziehungsweise Qualitätsschwellen
• das vorgesehene Human-Oversight-Konzept
• Verfügbarkeit und Schnittstellen
• das zugesagte Sicherheitsniveau
• der Änderungs- und Update-Prozess

Ohne eine solche Baseline lässt sich später kaum belegen, ob eine konkrete KI-Ausgabe innerhalb oder außerhalb der vertraglich geschuldeten Qualität lag.

Erfüllungsgehilfen: Der Anbieter bleibt in der Pflicht

Setzt ein Unternehmen einen externen KI-Anbieter ein, um eigene Vertragspflichten gegenüber seinen Kunden zu erfüllen, wird dessen Verschulden nach § 278 BGB zugerechnet. Das bedeutet konkret: Das Unternehmen kann gegenüber seinem eigenen Kunden haften, obwohl der technische Fehler beim Unterauftragnehmer lag. Ein Rückgriff auf den KI-Anbieter erfordert dann belastbare Lieferverträge und eigene Beweise — ohne diese bleibt das Unternehmen auf dem Schaden sitzen, selbst wenn die eigentliche Ursache extern lag. Eine pauschale Klausel wie "KI-Ausgaben können falsch sein" beseitigt dabei nicht jede Leistungspflicht; entscheidend bleibt, ob der konkrete Einsatz, die zugesagte Qualität und die tatsächlich durchgeführte menschliche Prüfung angemessen waren.

Grenzen von Haftungsbegrenzungen

Im B2B-Vertrag können Haftungsgrenzen grundsätzlich weiter gehen als gegenüber Verbrauchern, sind aber nicht unbegrenzt wirksam. Sie scheitern regelmäßig an:

• der Verletzung sogenannter Kardinalpflichten (wesentliche Vertragspflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags erst ermöglicht)
• Vorsatz und grober Fahrlässigkeit, die nach § 276 Abs. 3 BGB nicht im Voraus ausgeschlossen werden können
• Personenschäden
• der zwingenden Produkthaftung gegenüber dem eigentlich Geschädigten, die vertraglich überhaupt nicht ausgeschlossen werden kann — interne Freistellung und Deckelung wirken dabei nur zwischen den Vertragsparteien, nie gegenüber Dritten

Sinnvoll ist eine Differenzierung nach Schadenstyp statt eines einheitlichen niedrigen Haftungshöchstbetrags: Personenschaden, Sachschaden, Datenwiederherstellung, reine Vermögensschäden, Datenschutzverstöße, geistiges Eigentum, Cyber-Vorfälle und Rückrufkosten sollten getrennt geregelt werden. Ein einheitlicher niedriger Cap kann sonst entweder unwirksam oder wirtschaftlich unzureichend sein.

Was eine Freistellung wirklich wert ist

Eine vertragliche Freistellung durch den KI-Anbieter ist nur so werthaltig wie dessen Leistungsfähigkeit, Versicherbarkeit, die vereinbarte Rechtswahl, der Gerichtsstand und der tatsächliche Beweiszugang. Eine unbegrenzte, abstrakte KI-Freistellung ist in der Praxis häufig weder kalkulierbar noch im Ernstfall durchsetzbar — insbesondere wenn der Anbieter im Ausland sitzt oder wirtschaftlich zu klein ist, um einen größeren Schaden zu tragen.

Checkliste für den Liefervertrag mit einem KI-Anbieter

• Spezifikation von Komponente, Version, Datenbasis und Schnittstelle klar benennen: welche Komponente liefert wer?
• Sicherheitsanforderungen und Dokumentationspflichten festschreiben
• Change-Control-Prozess für Modell- und Konfigurationsänderungen vereinbaren
• Vulnerability-Handling und Incident-Kooperation regeln
• Beweissicherung, Audit-Rechte und Subunternehmertransparenz vereinbaren
• Exit- und Datenmigrationsregelung für den Fall eines Anbieterwechsels
• Haftungsgrenzen nach Schadenstyp differenzieren statt eines einzelnen Caps
• Freistellung an tatsächlich kontrollierbare Pflichtverletzungen des Anbieters knüpfen, nicht pauschal an "jeden KI-bezogenen Schaden"
• Versicherungsnachweis und Mindestdeckungssummen des Anbieters verlangen

Gewährleistung ist nicht dasselbe wie Produkthaftung

Bei Kauf-, Werk- und Digitalverträgen bestehen eigenständige Mängelrechte wie Nacherfüllung, Minderung, Rücktritt und Schadensersatz — bei digitalen Produkten zusätzlich geprägt durch Aktualisierungspflichten. Produkthaftung und Gewährleistung verfolgen unterschiedliche Zwecke: Die Produkthaftung schützt vor Sicherheitsschäden gegenüber jedermann, die Gewährleistung sichert die vertragsgemäße Leistung gegenüber dem eigenen Vertragspartner. Beide Ebenen sollten im Vertrag getrennt und nicht gegeneinander ausgespielt werden.