Volljurist und Compliance-Experte
January 7, 2026
5 Minuten
.svg)
Die Bußgeldhöhe hängt stark vom Verhalten des Unternehmens im Verfahren ab.
Dokumentierte Compliance kann Sanktionen deutlich reduzieren.
Dokumentierte Compliance kann Sanktionen deutlich reduzieren.
Kooperation mit Behörden wirkt oft stärker als juristische Abwehr.
Stellen Sie sich vor, am Montagmorgen landet ein Brief auf Ihrem Schreibtisch. Der Absender: Die nationale Marktaufsichtsbehörde. Der Inhalt: Ein Anhörungsbogen wegen eines mutmaßlichen Verstoßes Ihres KI-Systems gegen die neuen EU-Regularien.
Die Schlagzeilen kennen wir alle: „Bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes.“ Diese Zahlen wirken abstrakt, fast wie Drohkulissen aus einem Katastrophenfilm. Doch für Compliance-Verantwortliche und Geschäftsführer liegt die wahre Unsicherheit nicht in der theoretischen Höchststrafe, sondern im „Black Box“-Verfahren dazwischen. Wie wird aus einem Gesetzestext eine konkrete Summe? Würfelt die Behörde?
Die Realität ist weniger willkürlich, aber deutlich komplexer. Während sich die meisten Ratgeber auf das „Was“ (die Verbote) konzentrieren, widmen wir uns heute dem „Wie“: den verfahrensrechtlichen Aspekten der Bußgeldbemessung. Wir lüften den Vorhang und zeigen Ihnen, nach welchen Kriterien Aufsichtsbehörden tatsächlich entscheiden – und an welchen Stellschrauben Sie drehen können, bevor das Urteil fällt.
Der EU AI Act ist nicht nur ein Regelwerk für Technologie, er ist ein massiver Eingriff in die Marktüberwachung. Anders als bei der DSGVO, wo Datenschutzbehörden oft im Fokus stehen, werden beim AI Act oft spezialisierte Marktaufsichtsbehörden aktiv (in Deutschland diskutiert man beispielsweise die Rolle der Bundesnetzagentur oder des BfDI in Doppelunktion).
Das Ziel ist eine Zusammenfassung des EU AI Act, die Sicherheit und Grundrechte schützt, ohne Innovation zu ersticken. Doch wenn diese Balance kippt, greift Artikel 99.
Hier beginnt das Missverständnis vieler Unternehmen: Ein Verstoß führt nicht automatisch zur Höchststrafe. Die Behörden agieren nach dem Opportunitätsprinzip (in einigen Jurisdiktionen) oder dem Legalitätsprinzip, haben aber bei der Höhe des Bußgeldes einen erheblichen Ermessensspielraum. Sie müssen verhältnismäßig, wirksam und abschreckend sanktionieren.
Bevor wir in die Praxis eintauchen, müssen wir das Fundament verstehen. Der Gesetzgeber hat drei Hauptkategorien für Bußgelder festgelegt, abhängig von der Schwere des Vergehens:
Doch diese Zahlen sind nur der Rahmen. Das Bild darin malen die Behörden anhand spezifischer Kriterien aus.
Wie läuft ein solches Verfahren ab? Es ist selten ein kurzer Prozess, sondern eine mehrstufige administrative Reise.
Meist beginnt es nicht mit einem Audit, sondern mit einem „Incident“ oder einer Beschwerde. Ähnlich wie die NIS2-Richtlinie die Meldepflichten bei Sicherheitsvorfällen verschärft, können auch KI-Fehlfunktionen behördliche Untersuchungen auslösen.
Die Behörde sammelt Fakten. Hier zeigt sich der Wert einer soliden AI Act Compliance Software. Wer auf Knopfdruck technische Dokumentationen, Logs und Risikoanalysen vorlegen kann, signalisiert Kontrolle. Wer erst suchen muss, wirkt fahrlässig.
Hier wird es spannend. Die Behörde legt Artikel 99 Absatz 7 zugrunde. Sie prüft nicht nur den Fehler, sondern den Kontext:
Nehmen wir an, zwei Unternehmen nutzen ein Hochrisiko-KI-System ohne korrekte menschliche Aufsicht.
Das „Wie“ der Reaktion ist oft teurer als das „Was“ des Fehlers.
Wissen ist gut, Handeln ist besser. Wenn Sie verstehen, wie Behörden messen, können Sie Ihre Verteidigungslinie aufbauen, lange bevor ein Brief eintrifft.
Aufsichtsbehörden honorieren Transparenz. Ein AI Act Compliance System, das Ihre Prozesse lückenlos dokumentiert, dient als Beweis für Ihre Sorgfaltspflicht ("Accountability"). Wenn Sie nachweisen können, dass Sie technische und organisatorische Maßnahmen (TOMs) implementiert hatten und der Verstoß ein Ausreißer war, sinkt der Vorwurf der Fahrlässigkeit massiv.
Ein oft übersehener Punkt: Behörden prüfen, ob Sie durch den Verstoß Geld gespart oder verdient haben. Haben Sie durch den Verzicht auf Tests den Marktstart beschleunigt? Dieser „erlangte wirtschaftliche Vorteil“ wird oft auf das Bußgeld aufgeschlagen. Eine saubere Compliance-Kalkulation zeigt hier oft: Compliance ist günstiger als die Gewinnabschöpfung.
Der Blick auf die verfahrensrechtlichen Aspekte zeigt: Bußgelder sind keine mathematische Zwangsläufigkeit, sondern das Ergebnis eines Bewertungsprozesses. In diesem Prozess haben Unternehmen mehr Einfluss, als sie oft glauben.
Die beste Strategie zur Bußgeldvermeidung ist nicht, zu hoffen, dass nichts passiert, sondern beweisen zu können, dass man alles getan hat, damit nichts passiert. Automatisierung und saubere Prozesse sind dabei Ihre stärksten Argumente im Dialog mit den Behörden.
Möchten Sie tiefer in die Welt der automatisierten Compliance eintauchen und verstehen, wie Sie Ihre Haftungsrisiken minimieren? Erkunden Sie unsere Ressourcen weiter oder sprechen Sie mit uns über Ihre Compliance-Architektur.
Der AI Act sieht vor, dass bei KMU und Start-ups die Geldbußen verhältnismäßig sein müssen und ihre wirtschaftliche Leistungsfähigkeit berücksichtigt wird. Die absoluten Obergrenzen sind für sie oft niedriger angesetzt als für Großkonzerne.
Die Durchsetzung und Bußgeldverhängung obliegt den nationalen Aufsichtsbehörden der Mitgliedstaaten. Das neu geschaffene "AI Office" auf EU-Ebene unterstützt und koordiniert, verhängt aber in der Regel keine direkten Bußgelder gegen einzelne Betreiber, es sei denn, es geht um General Purpose AI Models (GPAI).
Ja, wie bei jedem Verwaltungsakt steht Ihnen der Rechtsweg offen. Dies beginnt meist mit einer Anhörung vor Erlass des Bescheids und führt über den Widerspruch bis hin zur Klage vor den zuständigen Verwaltungsgerichten.
Zertifizierungen und die Einhaltung harmonisierter Normen indizieren Konformität. Sie wirken im Bußgeldverfahren stark entlastend, da sie gegen den Vorwurf der Fahrlässigkeit sprechen.
Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Niklas die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Taylor Wessing und Amazon tätig. Als Gründer und Geschäftsführer von SECJUR, lässt Niklas sein Wissen vor allem in die Produktentwicklung unserer Compliance-Automatisierungsplattform einfließen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
Gerade die Überwachung von Mitarbeitern ist immer wieder Gegenstand gerichtlicher Streitigkeiten. Dabei stehen Unternehmen mittlerweile die verschiedensten Möglichkeiten zur Verfügung - von der Überwachung des E-Mail-Verkehrs bis hin zum Anbringen von Videokameras am Arbeitsplatz. Ob die umfassende GPS-Überwachung von Mitarbeitern datenschutzrechtlich zulässig ist, hatte das Verwaltungsgericht Lüneburg zu entscheiden. Wie ging es aus?
Der EU AI Act sorgt in der Open-Source-Community für viel Unsicherheit, doch mit dem richtigen Verständnis verlieren die Regeln ihren Schrecken. Dieser Leitfaden zeigt Entwicklern praxisnah, wann die Open-Source-Ausnahme wirklich gilt, welche Projekte trotz freier Lizenz voll reguliert sind und wie Sie Transparenz, Dokumentation und Risikomanagement effizient umsetzen. Erfahren Sie, wie Sie Open-Source-KI verantwortungsvoll entwickeln und gleichzeitig rechtssicher bleiben, ohne Ihre Innovationsfreiheit einzuschränken.
Cybervorfälle bei Drittanbietern sind unter NIS2 kein Randthema mehr, sondern ein akutes Compliance- und Haftungsrisiko für Ihr Unternehmen. Dieser Leitfaden zeigt, wann ein Lieferanten-Vorfall meldepflichtig wird, welche 24-/72-Stunden-Fristen gelten und wie Sie Incident-Response-Prozesse speziell für die Lieferkette aufsetzen. Erfahren Sie praxisnah, wie klare Rollen, vertragliche Meldepflichten und vorbereitete Eskalationswege helfen, auch bei externen Cyberangriffen handlungsfähig und NIS2-konform zu bleiben.
.svg)
.svg)
.svg){kind=small}