Der EU AI Act ist kein Datenschutzrecht. Ich übernehme den Teil, der nicht in Ihr Mandat gehört.

Partnerinformation · Clemens Hübschmann · Stand: 14. September 2026

Datenschutz: SieEin MandantKI-Governance: ich

Ihre Mandanten nutzen ChatGPT und Copilot, und der Geschäftsführer fragt Sie, ob das in Ordnung ist. Damit sollen Sie nebenbei ein Regelwerk verantworten, das eigene Pflichten, eigene Risikoklassen und eine eigene Aufsicht hat. Ich mache bewusst keinen Datenschutz. Ich übernehme Risikoeinstufung, Betreiberpflichten, KI-Kompetenz und Governance und dokumentiere Ihre Rolle sauber daneben.

Die KI-VO steht nicht in Art. 39 DSGVO. Wer sie nebenbei trägt, tut das ohne Auftrag und ohne Honorar.

Art. 39 DSGVO beschreibt die Aufgaben des Datenschutzbeauftragten; die KI-Verordnung kommt dort nicht vor. Sie bringt eigene Pflichten mit, die KI-Kompetenz nach Art. 4, das Verbot bestimmter Praktiken nach Art. 5 und Betreiberpflichten je Risikoklasse, dazu eine eigene Aufsicht. Wer das als Datenschutzbeauftragter mitträgt, weil gerade niemand sonst da ist, arbeitet außerhalb seines Mandats und ohne Honorar, und dem Mandanten fehlt am Ende der Nachweis, wer wofür zuständig war.

Mit getrennten Rollen kann der Mandant beide Zuständigkeiten nachweisen, und Sie bleiben in Ihrem Feld.

Zwei Zuständigkeiten, ein Mandant: Die Schnittstellen sind festgelegt, bevor der erste Fall kommt.

Die Aufteilung ist einfach, weil beide Regelwerke verschiedene Fragen stellen.

Rechtsberatung macht keiner von uns beiden.

Das Tool-Register liegt neben dem Verarbeitungsverzeichnis, die KI-Richtlinie verweist auf Ihre Datenschutzvorgaben, und jeder neue KI-Anwendungsfall durchläuft eine Freigabe, in der Datenschutz und KI-Governance getrennt abzeichnen. Was von mir an Sie geht (DSFA-Anlässe, Auftragsverarbeitung) und was von Ihnen an mich (Risikoeinstufung, KI-Kompetenz, Governance), legen wir einmal fest. Danach läuft es ohne Abstimmungsschleifen, und der Geschäftsführer bekommt eine Struktur, die beide Prüfungen übersteht.

Sie verlieren nichts und gewinnen Gegenempfehlung, ein gemeinsames Angebot und einen Fachvortrag.

Ich arbeite neben Ihrer Rolle, nicht an ihrer Stelle. Provisionen biete ich weder an noch nehme ich welche, in keine Richtung (für Rechtsanwälte ohnehin § 49b Abs. 3 BRAO). Bei Datenschutzfragen aus meinen Mandaten verweise ich an Sie, Sie bei KI-Governance an mich.

Auf Wunsch machen wir ein gemeinsames Angebot: Datenschutz- und KI-Compliance-Check aus einer Hand, zwei Zuständigkeiten. Dazu ein Fachvortrag für Ihre Mandanten, 45 bis 60 Minuten, online oder vor Ort, und Kollegenauskunft bei fachlichen Rückfragen, ohne Rechnung.

Ihre Mandanten bekommen damit Klarheit in zwei Beratertagen, den KI-Compliance-Check zum Festpreis mit Management-One-Pager für die Geschäftsführung, die KI-Kompetenz nach Art. 4 erfüllt und dokumentiert, und eine Stelle für Datenschutz und eine für KI, die miteinander reden. Ein Teil davon ist in NRW förderfähig; welches Programm passt, sage ich vorab.

So läuft das an

1. Ein Gespräch, 30 Minuten. Sie sagen, wo bei Ihren Mandanten die KI-Fragen liegen bleiben. Ich sage, was ich abdecke und was bei Ihnen bleibt.
2. Ein erstes Format. Ein gemeinsamer Vortrag, ein gemeinsames Angebot für einen konkreten Mandanten oder eine einzelne Fallübergabe. Sie entscheiden.
3. Feste Schnittstellen. Wir legen einmal fest, was von mir an Sie geht (DSFA-Anlässe, Auftragsverarbeitung) und was von Ihnen an mich (Risikoeinstufung, KI-Kompetenz, Governance). Danach läuft es ohne Abstimmungsschleifen.

Clemens Hübschmann, externer KI-Beauftragter für den Mittelstand, Wermelskirchen, bundesweit remote und vor Ort. Über mich →

KI-Tools DSGVO-konform nutzen: Datenampel, Anonymisierung, Haftung →