Monat: Oktober 2026

n8n In The Loop 2026: Vom Workflow-Tool zum Betriebssystem für KI-Arbeit

von

n8n In The Loop 2026

KI-Agenten als Betriebssystem: n8n wird agent-first – und die Kontrolle bleibt beim Menschen

Auf der Konferenz In The Loop 2026 in Berlin stellte n8n seine neue Funktion Agents vor: Der Agent wird zur Eingangstür, die Workflows zu seinen Werkzeugen. 6,7 Mio. Workflows laufen bereits pro Monat, 60 % der Fortune 500 nutzen die Plattform. Was sich damit ändert und warum sich der Engpass im regulierten Umfeld vom Bauen aufs Prüfen verlagert, zeigt dieser Beitrag.

n8n will vom Workflow-Werkzeug zum Betriebssystem für KI-gestützte Arbeit werden. Das ist die Botschaft der Konferenz In The Loop 2026, die n8n am 14. Oktober 2026 in Berlin ausgerichtet hat.

Ich war für VARY.FY vor Ort, habe die Keynote von Gründer und CEO Jan Oberhauser gehört und mit dem n8n-Team, Ausstellern und Anwendern gesprochen. n8n ist deshalb besonders spannend, weil es sich vollständig selbst betreiben lässt. Genau dort entscheidet sich, ob KI im regulierten Umfeld kontrollierbar bleibt.

Vom Produkt zum Betriebssystem

Jan Oberhauser hat die neue Rolle von n8n in einem Satz zusammengefasst: KI-Modelle liefern die Intelligenz, n8n soll daraus verlässliche Arbeit im Unternehmen machen, die Menschen verstehen, steuern und gestalten können.

Die Zahlen aus der Keynote: 6,7 Mio. aktive Workflows laufen pro Monat, 300 % mehr als im Vorjahr. 60 % der Fortune 500 nutzen die Plattform, nach dem SAP-Investment im Mai 2026 wird n8n mit 5,2 Mrd. US-Dollar bewertet.

Bemerkenswert: n8n benennt klar, was sich nicht ändert. Die Community Edition bleibt kostenlos, selbst hostbar, mit einsehbarem Quellcode. Die Modellwahl bleibt beim Kunden – wichtig für Unternehmen, die sich nicht an einen US-Anbieter binden wollen.

Der Agent wird zur Eingangstür

Der größte Schritt: n8n Agents, seit Herbst 2026 in der Preview. Ein Agent wird einmal beschrieben – mit Modell, Anweisungen, Werkzeugen, Wissen – und lässt sich aus Chat, Slack, Telegram, per Zeitplan oder aus einem Workflow ansprechen.

n8n formuliert die Richtung in zwei Sätzen: Agent-first, workflow second – und AI-first, nicht AI-only. Der Agent wird zur Eingangstür, er versteht das Ziel und plant den Weg. Die Workflows werden zu seinen Werkzeugen und bleiben das Rückgrat, wo ein Ablauf jedes Mal gleich und nachvollziehbar laufen muss.

An einem Agenten hängen Workflows, Sub-Agents, Skills, MCP-Server, Wissen, ein Gedächtnis über Sitzungen hinweg und Freigaben. Eine vollständige Orchestrierung mehrerer Agenten fehlt noch. Aber die Architektur ist klar: ein KI-Betriebssystem auf einer offenen, selbst betreibbaren Plattform.

Agent im Workflow oder Workflow im Agenten?

In Make sitzt der Agent im Workflow, bei n8n Agents sitzt der Workflow im Agenten. Make hat seine KI-Agenten im Februar 2026 in den Szenario-Builder geholt; der Agent ist dort ein Baustein im Ablauf, gestartet über den Trigger des Szenarios. So hat auch n8n bisher mit dem AI-Agent-Node gearbeitet.

n8n Agents dreht das um: Der Agent ist ein eigenes Objekt mit eigenen Kanälen, Workflows, Sub-Agents, Skills und MCP-Server hängen als Werkzeuge an ihm, und bei jedem Lauf entscheidet der Agent, was er braucht. Beide Wege bleiben möglich, denn ein Workflow kann einen Agenten auch selbst aufrufen.

Mein Preview-Test zeigt eigene Leitplanken: Budget je Monat und Sitzung, bis zu 20 parallele Sub-Agents, Modell-Routing nach Schwierigkeitsgrad und die Freigabe des Agenten als MCP für andere Agenten. Damit wächst eine Steuerungsebene – genau das meint n8n mit Betriebssystem. Microsoft Teams fehlt noch als eigener Kanal, lässt sich aber über einen Teams-Trigger-Workflow anbinden. Stand: Oktober 2026.

Der LLM Council

Andrej Karpathy hat mit dem LLM Council gezeigt, wie mehrere Sprachmodelle eine Frage gemeinsam beantworten. Mit n8n Agents lässt sich das Muster in drei Stufen abbilden:

  • Mehrere Modelle verschiedener Anbieter beantworten dieselbe Frage parallel und unabhängig.
  • Die Antworten werden anonymisiert, jedes Modell bewertet die der anderen.
  • Ein Chairman fasst alles zusammen, die Freigabe gibt ein Mensch.

Entscheidend ist, wie man es baut. Der Agent ist die Eingangstür und entscheidet, ob eine Frage den Council braucht. Der Council selbst hängt als Workflow am Agenten und läuft jedes Mal in derselben Reihenfolge – ein echter Graph, nachvollziehbar und für unbeaufsichtigte Läufe geeignet.

Für regulierte Branchen ist das stark: Die Gegenprüfung ist eingebaut, nicht nachträglich organisiert. Die Kosten steigen mit jedem Modell – bei vier Modellen mindestens neun Aufrufe pro Frage. Budgets je Sitzung gehören daher von Anfang an dazu. Es ist eine eigene Konzeptskizze; das Original: Karpathys llm-council auf GitHub.

Verlässlichkeit wird zum Preis

Je größer die Konsequenz eines Prozesses, desto größer der Anspruch an Kontrolle und Verantwortung – der wichtigste Satz des Tages. Ein Agent baut eine Automation in 40 Sekunden, ein Mensch braucht 40 Minuten zum Prüfen. Der Engpass ist nicht mehr das Bauen, sondern das Prüfen. Inspektion, Tests und Evaluations gehören daher fest in den Ablauf, bevor etwas unbeaufsichtigt läuft.

n8n führt einen Reifeweg in drei Stufen ein:

  • Quick, in dem ein Mensch jeden Lauf begleitet;
  • Repeating, in dem der Agent wiederholt und unbeaufsichtigt läuft; und
  • Hardened, in dem aus dem bewährten Ablauf ein Workflow wird, der jedes Mal gleich läuft.

Dazu kommt eine Ausführungsumgebung, die nach jedem Schritt speichert, Fehler sicher wiederholt und Code in einer Sandbox ausführt.

Governance ordnet n8n auf vier Achsen: Zugriff, Guardrails, Ownership und Qualität sowie Sicherheit. Für jede Achse gibt es bereits Funktionen, weitere sind in Arbeit.

Was das fürs regulierte Umfeld heißt

Agenten machen Automatisierung schneller, aber nicht automatisch sicherer. Wer KI in Kanzleien, Versicherungen oder Verwaltungen einsetzt, muss jederzeit sagen können, welche Daten hineingehen, was daraus wird und wer dafür verantwortlich ist. Genau diese Fragen hat n8n in der Keynote ins Zentrum gestellt.

Daraus leiten wir drei Punkte ab:

  • 1. den Prozess stabilisieren, bevor automatisiert wird – ein unklarer Ablauf wird durch einen Agenten nicht besser, nur schneller unklar.
  • 2. Agenten für das Neue, Workflows für das Bewährte.
  • 3.Recht und Technik im selben Projekt: DSGVO, Geschäftsgeheimnisse und die Einordnung nach dem EU AI Act gehören in die Konstruktion des Workflows, nicht in eine Prüfung Monate später.

n8n bietet eine gute Grundlage: vollständiger Betrieb im eigenen Rechenzentrum, freie Modellwahl.

Fazit

In The Loop 2026 hat gezeigt, dass n8n die Agenten ernst nimmt, ohne die Kontrolle abzugeben. Für Unternehmen, die KI produktiv und nachvollziehbar betreiben wollen, ist das die richtige Richtung – wir haben uns deshalb als n8n-Partner beworben, mit Schwerpunkt auf dem regulierten Umfeld. Welche Ihrer Abläufe eignen sich für Agenten, welche besser für einen geprüften Workflow? Sprechen Sie uns an.

Autor

Sascha Scheffler ist diplomierter Maschinenbauingenieur und Experte für digitale Transformation.

Er ist zertifizierter Lean Administration Expert, hat einen Master in Business with AI (MBAI®) und ist AI Integration Expert.

Vereinbaren Sie jetzt Ihren Beratungstermin! https://varyfy.de/kontakt/

OLG Hamm: Unternehmen haftet für die Aussage seines KI-Chatbots

von

Wenn KI kreativ wird?

OLG Hamm: Unternehmen haftet die Aussage seines KI-Chatbots

Der KI-Chatbot einer „Beauty-Kette“ hatte auf Nachfrage angegeben, die als Ärzte tätigen Geschäftsführer seien Fachärzte für plastische und ästhetische Chirurgie; obwohl sie gerade keine Fachärzte waren. Das OLG Hamm rechnete dem Unternehmen die falsche Angabe voll zu.

Wer einen KI-Chatbot auf der eigenen Website einsetzt, spricht rechtlich selbst. Das Oberlandesgericht (OLG) Hamm hat mit Urteil vom 12. Mai 2026, Az. 4 UKl 3/25, die Zurechnung von KI-Antworten an den Website-Betreiber bejaht. Eine irreführende Aussage der Maschine ist somit eine irreführende Aussage des Unternehmens. Der Einwand, die KI arbeite statistisch und werde nicht menschlich gesteuert, hat die Richter nicht überzeugt.

Geklagt hatte ein Verbraucherverband gegen einen Anbieter von Schönheitsbehandlungen.

Falsche Facharztbezeichnung durch Chatbot

Auf seiner Webseite zur Kunden- bzw. Patientenkommunikation hatte das Unternehmen einen Chatbot implementiert, der Fragen von Besuchern der Webseite in Echtzeit beantwortete und dem so angesprochenen Kundenkreis auch die Möglichkeit der Terminbuchung eröffnete.

Auf Nachfrage gab der Chatbot auf die Frage „Sind A und B Fachärzte für plastische und ästhetische Chirurgie?“ folgende Antwort:

„Ja, A und B sind Fachärzte für plastische und ästhetische Chirurgie. Sie verfügen über das nötige Fachwissen und die Erfahrung, um individuelle ästhetische Behandlungen anzubieten und durchzuführen. Möchten Sie einen Termin vereinbaren?“

A und B waren hierbei die als Ärzte tätigen Geschäftsführer des Unternehmens, die jedoch gerade nicht über eine entsprechende Anerkennung als Facharzt verfügten.

Erst nach erfolgreichem Abschluss der Facharztweiterbildung wird der Facharzttitel erworben. Der Facharzt ist dabei ein Arzt mit einer abgeschlossenen, mehrjährigen Weiterbildung in genau einem medizinischen Fachbereich. Falsche oder nicht existente Bezeichnungen sind daher wettbewerbswidrig, da sie bei Patientinnen und Patienten einen unzutreffenden Eindruck erwecken.

            Das OLG geht dabei von Folgendem aus:

„Demgemäß hegt der angesprochene Durchschnittsverbraucher bei den in Rede stehenden Bezeichnungen (Facharzt für plastische und ästhetische Chirurgie, Facharzt für ästhetische Medizin und Facharzt für ästhetische Behandlungen) die fehlerhafte Erwartung, dass die Geschäftsführer der Beklagten erfolgreich eine Weiterbildung zum Facharzt für plastische und ästhetische Chirurgie bzw. zum Facharzt für plastische, rekonstruktive und ästhetische Chirurgie absolviert haben.“

Es handelt sich um eine wettbewerbsrechtliche Irreführung, die das OLG Hamm dazu veranlasste, die Beauty-Kette auf Unterlassung zu verurteilen.

Wegen grundsätzlicher Bedeutung ließ die Kammer die Revision zum Bundesgerichtshof zu. Rechtskräftig ist das Urteil also noch nicht.

Zurechnungskriterien

Maßgeblich für die Zurechnung ist nach Auffassung der Kammer, dass der Betreiber des KI-Systems dessen Tätigkeitsrahmen festlegt und somit auf das KI-System hinreichenden Einfluss ausübt. Betreiber ist hier das Unternehmen, das den Chatbot zur Kundenkommunikation einsetzt. Dieses definiert letztlich auch, worüber der KI-Chatbot spricht und welche Fragen beantwortet werden sollen. Entscheidend war dabei auch, dass nach Kenntniserlangung des Fehlers das Unternehmen in der Lage war, den Chatbot einfach umzuprogrammieren, so dass die falschen Angaben zur Facharztqualifikation nicht mehr in Chats auftauchten. Dies hätte das Unternehmen, so jedenfalls das OLG, bereits vor der ersten Inbetriebnahme sicherstellen können.

Zum Blackbox-Einwand

Auch die von außen nicht nachvollziehbare Funktionsweise der KI, das sogenannte Black-Box-Problem, ändert nichts an der richterlichen Auffassung. Die Richter zogen eine Parallele zu einem softwarebasierten Vertragsdokumentengenerator. Für solche Tools hat der Bundesgerichtshof (BGH) mit Urteil vom 9. September 2021, Az. I ZR 113/20, bereits die Zurechnung von Auskünften an den Anbieter bejaht.

Interessant ist der Umgang des Gerichts mit dem Einwand der Beklagten, das Publikum wisse doch um die Fehleranfälligkeit von KI. Die Kammer verneint das. Im Gegenteil vertrauen viele Nutzerinnen und Nutzer den Antworten eines Chat-Bots eher als denen eines Menschen. Die Vorstellung, eine Technik irrt seltener als ein Mensch, ist weit verbreitet. Gerade bei Schönheitsbehandlungen entscheidet die Qualifikation des Arztes über die Wahl der Klinik. Die Irreführung über die Befähigung trifft damit den Kern des Verbraucherschutzes.

Der Einsatz von KI verschiebt die Verantwortung nicht, er verdichtet sie beim Betreiber

Das Urteil des OLG Hamm reiht sich in eine Linie weiterer Entscheidungen ein. Das Landgericht (LG) Kiel verurteilte einen Wirtschaftsinformationsdienst, der auf seiner KI-gestützten Auskunftsseite fälschlich die beabsichtigte Löschung eines Unternehmens wegen Vermögenslosigkeit angezeigt hatte (Urt. v. 29.02.2024, Az. 6 O 151/23). Grundlage war die Störerhaftung aus § 1004 BGB analog. Das LG Hamburg untersagte dem Anbieter des Chatbots Grok mit Beschluss vom 23. September 2025, Az. 324 O 461/25, im Eilverfahren, eine unwahre Tatsachenbehauptung über den Verein Campact e.V. zu verbreiten.

Fazit

Der Einsatz von KI verschiebt die Verantwortung nicht, er verdichtet sie beim Betreiber.

Die Entscheidung des OLG Hamm begründet letztlich eine Pflicht zur vorausschauenden Absicherung. Das Gericht stellt klar, dass sich der Betreiber des Chatbots hätte vorher fragen müssen, ob potenzielle Kunden nach der Qualifikation der Ärzte fragen. Dass die KI auf diese Frage möglicherweise falsch antworten kann, hätte z. B. durch einen einfachen Test festgestellt werden können. Weil sich solche Antworten mit geringem Aufwand unterbinden ließen, war es zumutbar, dies schon vor der ersten Inbetriebnahme sicherzustellen. Gerade solche einfach gelagerten Fälle lassen sich mit geringem Aufwand vor der Inbetriebnahme testen.

Autorin

Sarah Tavcer ist Rechtsanwältin und seit einigen Jahren als externe Datenschutzbeauftragte und Datenschutzberaterin tätig. Außerdem ist die zertifizierte KI-Compliance-Beauftragte.

Vereinbaren Sie jetzt Ihren Beratungstermin!

https://varyfy.de/kontakt/

Videoüberwachung am Arbeitsplatz – 10.000 Euro Bußgeld

von

Videoüberwachung am Arbeitsplatz – 10.000 Euro Bußgeld

Videoüberwachung ist immer wieder ein Thema, bei dem Datenschutzbehörde genauer hinsehen. Wegen unzulässiger Videoüberwachung am Arbeitsplatz verhängte die italienische Datenschutzbehörde (Garante per la protezione dei dati personali) gegen das Forschungsinstitut Istituto Nazionale di Ricerca Metrologica (INRIM) ein Bußgeld in Höhe von 10.000 € . Dieses hatte zunächst nur Überwachungssystem getestet. Wegen fehlender Information der Beschäftigten, einem Verstoß gegen eine Betriebsvereinbarung zur Videoüberwachung und einer unterbliebenen Datenschutzfolgenabschätzung sah die Behörde darin einen Verstoß gegen das Datenschutzrecht.

Hintergrund

Zwei INRIM-Mitarbeitende hatten sich bei der Datenschutzbehörde beschwert, weil ihr Arbeitgeber ein Kamerasystem am Hauptstandort in Turin in Betrieb nahm, ohne sie zu informieren.

Bereits im Mai 2025 hatte das Institut mit den Betriebsvertretern eine Vereinbarung über ein Kamerasystem zur Überwachung der Grundstücksgrenzen geschlossen. Die Kameras sollten ausschließlich Grenzmauern und Zäune des Geländes filmen. Zweck war hier der Eigentumsschutz. Insgesamt hatten die Betriebsparteien sich auf zehn Kameras geeinigt.

Tatsächlich hatte das INRIM bis Ende Oktober 2025 18 Kameras installiert und am 31. Oktober 2025 Testmodus des Sysestem eingeschaltet. In der Zeit vom 3. bis 5. November 2025 erfolgte eine Videoüberwachung für wenige Stunden an Arbeitstagen, allerdings ohne Aufzeichnung. Ab dem 6. November folgte dann der Test mit Aufzeichnung- Dies geschah allerdings nur nachts, sowie samstags, sonntags und an Feiertagen. Zudem wurde die Aufzeichnung nur aktiviert, wenn tatsächlich ein Alarm ausgelöst wurde. Dem INRIM zufolge habe es sich hierbei um eine reine technische Prüfung gehandelt; das System sei „nur zum Zweck der Verifizierung seiner technischen Funktionsfähigkeit und Angemessenheit“ geschaltet und betrieben worden.

Fehlende Rechtsgrundlage

Die Datenschutzbehörde sah dies anders.  Es spielt keine Rolle, dass die Aufnahmen nur live angezeigt und nicht gespeichert wurden. Schon allein deshalb, weil die Kameras an Arbeitstagen Bilder von diensthabenden Mitarbeitern und anderen Personen im Gelände erfassten, war bereits eine Datenverarbeitung gegeben. Ohne Rechtsgrundlage und Erfüllung der Transparenzpflichten verstieß das INRIM insofern gegen die einschlägigen Datenschutzgesetze (Artikel 5 Abs. 1 Buchst. a), 6 Abs. 1 Buchst. c) Sätze 1 bis 3, 12 Abs. 1, 13, 35 und 88 Abs. 1 DSGVO sowie die Artikel 2-ter und 114 des italienischen Datenschutzgesetzes).

Verstoß gegen die Betriebsvereinbarung

Die Überwachung von Beschäftigten ist in Italien streng geregelt. Nach Artikel 4 des „Statuto dei lavoratori“ (Arbeitnehmerstatut, Gesetz Nr. 300/1970) dürfen Geräte, die eine Fernüberwachung der Tätigkeit der Arbeitskräfte ermöglichen, nur zu organisatorischen und produktionsbedingten Zwecken, zur Arbeitssicherheit und zum Schutz des Unternehmensvermögens eingesetzt werden. Vorausgesetzt ist dabei jedoch, dass dies auf Grundlage eines kollektiv verhandelten Abkommens mit der Arbeitnehmervertretung erfolgt.

Im vorliegenden Fall ging die Datenschutzbehörde davon aus, dass das INRIM zudem gegen die eigene Betriebsvereinbarung verstoßen hatte. Die Planzeichnung sah zehn Kameras mit definierten Erfassungsbereichen im Bereich der Grundstücksgrenzen vor. Installiert wurden jedoch 18 Kameras mit veränderter Position und anderem Blickfeld.

Die Vereinbarung zwischen den Betriebsparteien gestattete zwar außerordentliche Wartung des Kamerasystems, was auch nicht wesentliche technische Verbesserungen oder Upgrades betraf. Voraussetzung dafür, dass die bestehende Betriebsvereinbarung nicht angepasst werden musste war jedoch, dass die definierten Erfassungsbereiche „nicht verändert“ werden. Zusätzlichen Kameras waren damit keine technische Anpassung, sondern eine substantielle Änderung des Überwachungsumfangs.

fehlende Datenschutzhinweise

Auch die Informationspflichten blieben verletzt. Das Institut hatte die Beschäftigten vor der Testphase nicht über die Videoüberwachung nach Art. 13 DSGVO informiert.Zwar sollte der Hinweis angeblich vor der eigentlichen Inbetriebnahme kommen; zu spät sei das aber nach Auffassung der Datenschutzbehörde gewesen. Maßgeblich sei der erste Tag der Datenverarbeitung, also hier der Beginn der Testphase am 31. Oktober 2025 und nicht eine „Inbetriebnahme“ der Videoüberwachung. Das Hinweisschild wurde erst am 17. November 2025 angebracht. Dies war zu spät.

Abgesehen vom Zeitpunkt monierte die Aufsichtsbehörde auch den Inhalt der Datenschutzinformationen auf dem Hinweisschild zur Videoüberwachung. Diese seien gleich in mehrfacher Hinsicht mangelhaft gewesen.

Das Schild nannte nur die Abkürzung „INRIM“ ohne Kontaktdaten, verwies auf einen unbestimmten Zweck („Sicherheit“) statt auf den tatsächlichen (Vermögenschutz), erwähnte weder die Rechte der Betroffenen noch die Speicherdauer und erläuterte nicht, dass der QR-Code zur zweiten Informationsstufe führt.

Die Leitlinien 3/2019 des Europäischen Datenschutzausschusses (EDSA) sind hier sehr klar: Videoüberwachung verlangt ein zweistufiges Informationssystem zur Verarbeitung personenbezogener Daten, nämlich ein Schild am Ort der jeweiligen Kamera mit den wichtigsten Angaben und eine leicht zugängliche, umfassende Informationsseite mit allen Elementen des Art. 13 DSGVO.

Beispiel für ein vorgelagertes Hinweisschild gemäß Landesbeauftragte für den Datenschutz Niedersachsen

https://www.lfd.niedersachsen.de/faq/videouberwachung/faq-videouberwachung-175245.html

Unterbliebene Folgenabschätzung

Ein dritter, eigenständiger Verstoß kam hinzu, Das Institut hatte die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO bzw. die erforderliche Schwellenwertanalyse bis zur Fertigstellung der technischen und organisatorischen Struktur „aufgeschoben“, also auf einen Zeitpunkt nach Beginn der ersten Verarbeitung vertagt. Liegt ein hohes Risiko für die Rechte und Freiheiten betroffener Personen vor, muss die DSFA vor Beginn der Verarbeitung erfolgen. Beschäftigte sind in dem asymmetrischen Arbeitsverhältnis nach der Auffassung des EDSA eine schutzbedürftige Gruppe (Erwägungsgrund 75, Art. 88 DSGVO), und ein Kamerasystem am Arbeitsplatz zählt zu dem durch den EDSA definierten „systematischen Monitoring“.

Fazit

Am Ende blieb die Geldbuße mit 10.000 Euro überschaubar. Die Verstöße seien fahrlässig begangen worden. Insbesondere hatte sich die Aktivierung des Systems an Arbeitstagen auf vier Arbeitstage und wenige Stunden pro Tag beschränkt. Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO waren nicht betroffen gewesen. Zugunsten des Instituts zählten außerdem die vollständige Zusammenarbeit mit der Behörde und das Fehlen früherer Verstöße. Das Institut kann innerhalb von 30 Tagen durch Zahlung der Hälfte (5.000 Euro) vergleichen; im Übrigen steht ihm ein Rechtsbehelf vor den ordentlichen Gerichten offen.

Weiterführende Hinweise

Pressemitteilung der Garante per la protezione dei dati personali: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10297167

Leitlinien 3/2019 des EDSA : https://www.edpb.europa.eu/documents/guideline/guidelines-32019-on-processing-of-personal-data-through-video-devices_de

Videoüberwachung im Fitnesstudio: https://varyfy.de/videoueberwachung-im-fitnessstudio/

Autor

Matthias Rosa ist Rechtsanwalt und Fachanwalt für IT-Recht und schwerpunktmäßig im Datenschutz-, KI- und Datenrecht tätig.

VARY.FY begleitet Ihr Unternehmen bei der datenschutzkonformen Umsetzung ihrer Videoüberwachung. Wir dokumentieren die Kameraanlagen, prüfen die Rechtsgrundlagen und erstellen die datenschutzrechtliche Risikobewertung.

kontakt@varyfy.de

Videoüberwachung im Fitnessstudio

von

Videoüberwachung im Fitnessstudio

Bankdrücken und rotes Licht an der Decke: Videokameras gehören in vielen Fitnessstudios zum Inventar. Die Datenschutzkonferenz (DSK) hat jetzt in ihrer Orientierungshilfe zur Videoüberwachung in Fitnessstudios klargestellt, was Studios filmen dürfen und was nicht. Die DSK stellt die Orientierungshilfe online bereit: OH_Orientierungshilfe_zur_Videoueberwachung_in_Fitnessstudios.pdf

Ein Hinweisschild ersetzt keine Einwilligung

Wer glaubt, mit einem Schild am Eingang rechtlich abgesichert zu sein, irrt. Nur weil jemand ein Fitnessstudio betritt, bedeutet dies nicht, dass er einer Videoüberwachung zustimmt. Nach Auffassung der DSK ist daher auch das bloße Betreten eines gekennzeichneten Bereichs keine wirksame Einwilligung , denn ein Schild zu lesen und hindurchzugehen, genügt dafür nicht. Zugleich muss eine Einwilligung mehrere Voraussetzungen erfüllen:

  • nachweisbar: Der Verantwortliche muss sie nachweisen können
  • transparent: verständlich, leicht zugänglich, in einfacher Sprache
  • eindeutig: deutlich von anderen Sachverhalten abgegrenzt
  • jederzeit widerrufbar: Das Widerrufsrecht muss vorher mitgeteilt werden
  • Widerruf so einfach wie Erteilung: keine Erschwerung
  • freiwillig: keine Kopplung an die Vertragserfüllung
  • informiert: Aufklärung über das Widerrufsrecht

Viele Fitnessstudios sichern die Kameraüberwachung über den Mitgliedsvertrag ab. Aber ist dies zulässig?

Die Datenschutz-Grundverordnung (DSGVO) verbietet genau dieses Vorgehen. Ist der Vertragsabschluss zwingend an die Zustimmung zur Kamera geknüpft, steht das Mitglied unter Druck. Die Einwilligung ist dann nicht freiwillig – und damit unwirksam.

Studios, die rund um die Uhr und ohne Personal öffnen, argumentieren auch, die Mitglieder könnten wählen. Wer die Kamera nicht will, kann in den besetzten Zeiten trainieren , denn dann wird nicht aufgezeichnet. Eine echte Wahl besteht aber nur bei gleichwertigen Angeboten , und die rund-um-die-Uhr-Erreichbarkeit ist gerade ein wesentlicher Vorteil des Studios. Verweigert ein Mitglied diese Einwilligung, verliert es genau diesen Vorteil – so sieht es zumindest die DSK.

Fitnessstudios sind keine Banken

Warum filmen Studios überhaupt? Meist lautet die Antwort: „Sicherheit“. Rechtlich trägt das Argument jedoch selten , denn ein Fitnessstudio ist kein Banktresor. Während in Banken und Juweliergeschäften eine typischerweise abstrakte Gefährdungslage herrscht , fehlt sie im Studio. Deshalb reicht die pauschale Berufung auf allgemeine Sicherheit nicht aus ; bevor ein Studio zur Kamera greift, sind stets weniger eingriffsintensive Mittel zu prüfen. In Betracht kommen etwa Personal vor Ort, elektronische Zugangssysteme mit Chipkarte oder QR-Code, automatische Schranken und Drehkreuze.

Sieht der Betreiber eine erhöhte Gefahr für Straftaten, trifft ihn eine Dokumentationspflicht : er muss alle Vorfälle detailliert auflisten – Zeit, Ort, Art des Vorfalls, Schadenhöhe –, denn nur so lässt sich eine konkrete Gefahrenlage nachweisen.

Ferner muss zwischen Videobeobachtung und Videoaufzeichnung unterschieden werden. Während allein ein Live-Monitoring ein unmittelbares Einschreiten ermöglicht , verhindert eine bloße Aufzeichnung keine Straftaten , denn sie dient allenfalls der Abschreckung und einer nachträglichen Aufklärung. Als alleinige Rechtfertigung reicht das meist nicht.

Wo die Kamera niemals hin darf

In bestimmten Bereichen greift das Persönlichkeitsrecht mit voller Intensität , weshalb Überwachung dort grundsätzlich unzulässig ist. Betroffen sind insbesondere Umkleiden, Duschen und Saunen . Aber auch Gastronomie- und Ruhebereiche sind tabu , weil sie der unbeeinträchtigten Kommunikation dienen. Ebenfalls unzulässig ist eine Kamera , die dauerhaft auf Arbeitsplätze wie die Rezeptionstheke blickt .

„Die Kombination aus der Ausforschung des Privatlebens und der laufenden Erfassung, welcher Tätigkeit sie jeweils nachgingen, führte zu einem besonders intensiven Eingriff in die Rechte der Betroffenen“ (2020-10-01-H_M.pdf)

Für den Diebstahlschutz gibt es Alternativen. So sind Wertschließfächer im videoüberwachten Sichtbereich außerhalb der Umkleiden die sicherere Wahl. Kann der Betreiber die Schließfächer nicht beaufsichtigen, erlaubt die DSK als Plan B eine eng fokussierte Kamera unmittelbar vor den Schließfächern – vorausgesetzt, sie erfasst keine Umkleidebereiche.

Auch die Trainingsfläche ist ein sensibler Bereich , denn Sport ist eine Form der Persönlichkeitsentfaltung. Wer leicht bekleidet trainiert und schwitzt, genießt das Recht auf informationelle Selbstbestimmung . Doch die ständige Beobachtung erzeugt Anpassungsdruck und nimmt den Trainierenden die Unbefangenheit. Deshalb geht die DSK davon aus, dass gerade in den Trainingsbereichen die Videoüberwachung die Persönlichkeitsentfaltung erheblich beeinträchtigt , und sie verweist in Punkt 4.2.4 auf diese Wirkung.

Ausnahme: die Trainingsanalyse

Gibt es Szenarien, in denen die Kamera erlaubt ist? Ja – zumindest einen solchen Sonderfall beschreibt die DSK in Punkt 1.4. So kann eine Kamera, die ausschließlich auf ein Gerät gerichtet ist, zulässig sein, wenn das Mitglied die Aufnahme zur individuellen Trainingsanalyse selbst aktiv startet. Dann liegt aber keine Videoüberwachung vor, denn der Zweck ist ein anderer: Das Mitglied will prüfen, ob es die Bewegung korrekt ausführt.

Ist die Videoanalyse der Hauptgegenstand des Vertrags, stützt der Betreiber die Verarbeitung auf Art. 6 Abs. 1 Buchst. b DSGVO, weil die Aufzeichnung der Vertragserfüllung dient. Eine widerrufbare Einwilligung ist in diesem Fall nicht nötig – in jedem Fall dürfen aber keine Dritten ins Bild geraten.

Fazit

Sicherheit und Diebstahlschutz können legitime Anliegen sein, sie dürfen aber nicht die Grundrechte der Mitglieder aushebeln. Flächendeckende Überwachung während der Öffnungszeiten ist rechtlich kaum haltbar, wenn mildere Mittel wie Personalpräsenz nicht ausgeschöpft sind. Setzen Betreiber Kameras ein, sollten sie dies auf ein solides rechtliches Fundament stellen: verschlüsselte Aufnahmen, ein Berechtigungskonzept, Datensicherung und definierte Löschfristen.

Autor

Matthias Rosa ist Rechtsanwalt und Fachanwalt für IT-Recht und schwerpunktmäßig im Datenschutz-, KI- und Datenrecht tätig.

.

VARY.FY

VARY.FY begleitet Ihr Unternehmen bei der datenschutzkonformen Umsetzung ihrer
Videoüberwachung. Wir dokumentieren die Kameraanlagen, prüfen die
Rechtsgrundlagen und erstellen die datenschutzrechtliche Risikobewertung.

kontakt@varyfy.de

[1] Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder

AI-Leadership als Schlüsselqualifikation

von

AI-Leadership als Schlüsselqualifikation

KI-Kompetenz ist Pflicht, KI zu führen ist mehr

Seit dem 2. Februar 2025 müssen Unternehmen, die KI-Systeme anbieten oder betreiben, die KI-Kompetenz ihres Personals fördern. Für die Geschäftsleitung ist das mehr als Compliance: AI-Leadership beschreibt die Führungs- und Steuerungskompetenz für den KI-Einsatz. Warum diese Kompetenz zur Schlüsselqualifikation wird, lesen Sie hier.

Der Begriff AI-Leadership ist gesetzlich nicht definiert. Gleichzeitig lassen sich aber eine Vielzahl von Weiterbildungsangeboten zu dem Thema im Internet finden, die Führungskräften versprechen sie „zu befähigen“, KI in Entscheidungsprozessen und der Zusammenarbeit mit Teams einzusetzen, KI-gestützte Strategien zu entwickeln und somit ihr Unternehmen zukunftssicher zu machen.  Das Gesetz kennt nur den Begriff der sogenannten KI-Kompetenz. So definiert Artikel 3 Nummer 56 KI-Verordnung die KI-Kompetenz als Fähigkeiten, Kenntnisse und das Verständnis, die es Anbietern, Betreibern und Betroffenen ermöglichen, KI-Systeme sachkundig einzusetzen und sich der Chancen und Risiken bewusst zu werden.

Artikel 4 der KI-VO verpflichtet Anbieter und Betreiber von KI-Systemen, nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen ( https://varyfy.de/ki-kompetenz/).  Die Pflicht gilt seit dem 2. Februar 2025 und erfasst alle KI-Systeme, unabhängig von der Risikoklassifizierung.

Mit dem Digital Omnibus on AI (https://varyfy.de/der-digital-omnibus-on-ai-was-hat-sich-geaendert/) wurde dies nochmal angepasst. Wie Unternehmen KI-Kompetenz aufbauen, bleibt ihnen überlassen. Es gibt keine Zertifizierungspflicht und keinen vorgeschriebenen KI-Beauftragten. Sicher ist aber, dass die Schaffung von KI-Kompetenz Unternehmen ganzheitlich betrifft und damit auch die Geschäftsleitung betrifft.  

Steuerung in der Praxis

In der Praxis kommen Beschäftigte und Fachabteilungen auf Führungskräfte zu, um mit KI Prozesse zu verbessern und die Produktivität zu steigern. Steuert die Führungskraft nicht, droht Schatten-KI: nicht freigegebene Systeme werden trotzdem eingesetzt. Ebenso leicht gerät die Kostenkontrolle aus dem Blick. Führungskräfte sollten wissen, wie Anbieter von KI-Systemen abrechnen. Und sie müssen den konkreten Anwendungsfall kennen, um einzuschätzen, ob und welches KI-System oder KI-Modell zum Einsatz kommt.

Die Abrechnung der Anbieter folgt dabei selten einem einfachen Modell. Je nach System zahlen Unternehmen pro Nutzer, pro Abfrage oder nach Verbrauch der Rechenleistung. Wer die Kostenstruktur nicht kennt, kann weder Budgets planen noch erkennen, wann sich ein Einsatz wirtschaftlich lohnt.

Dazu gehört, die KI-Kompetenz der einzelnen Beschäftigten zu steuern. Wer in der Softwareentwicklung KI-Systeme nutzt, braucht anderes Fachwissen als Kolleginnen und Kollegen im Marketing oder im Personalbereich. Führungskräfte bauen Widerstände ab und nehmen das Personal mit.

Die Geschwindigkeit der technologischen Entwicklung verlangt zudem, dass Kompetenz kein einmaliges Projekt ist. Was heute als Standardwerkzeug gilt, kann morgen durch ein leistungsfähigeres Modell ersetzt sein. Führungskräfte, die KI steuern, müssen deshalb auch den Zeitpunkt der Nachschulung im Blick behalten.

Von AI- Literacy zu AI-Leadership

Das Beratungszentrum für Künstliche Intelligenz (BeKI) am Bundesministerium für Digitales und Staatsmodernisierung und die Bundesakademie für öffentliche Verwaltung (BAköV) haben Handlungsleitlinien für die Umsetzung veröffentlicht (https://bmds.bund.de/fileadmin/BMDS/Dokumente/CDR_CDR_251025_%C3%9Cbersicht_KI-Kompetenzaufbau_nach_AI_Act_Ma_BL_clean.pdf).

Empfohlen wird, die Schulung nach Zielgruppen zu differenzieren:

  • Anwenderinnen und Anwender lernen Nutzung, Risiken und ethisches Verständnis, technische Mitarbeitende Architektur, Sicherheit und Monitoring.
  • Führungskräfte bilden dabei eine eigene Gruppe mit eigenem Fokus: strategischer Einsatz, rechtliche Rahmenbedingungen, Verantwortlichkeiten, Vorbildfunktion.

Davon ausgehend, dass „AI-Leadership“ als die Führungs- und Steuerungskompetenz für den KI-Einsatz zu verstehen ist, erweitert dies letztlich die Definition von AI-Literacy bzw. KI-Kompetenz um die aktive Führungsdimension: Es reicht nicht, KI zu verstehen.

Für Führungskräfte bedeutet KI-Kompetenz weit mehr als reine Compliance.

Vom Nachweis zur Strategie

Die Steuerung braucht auch Nachweis. Die Leitlinien von BeKI und BAköV empfehlen, die durchgeführten Schulungen und zu dokumentieren, was Art, Umfang und Teilnehmer betrifft. Ein Zertifikat ist nicht erforderlich, ein internes Verzeichnis genügt. Regelmäßige Auffrischung gehört dazu, etwa bei Systemwechseln oder regulatorischen Änderungen.

Wer die Pflicht nicht ernst nimmt, riskiert mehr als einen verpassten Produktivitätsgewinn. Werden Beschäftigte nicht angemessen geschult, kann das bei Vorfällen, die auf mangelnde KI-Kompetenz zurückzuführen sind, zu rechtlichen Konsequenzen führen. Ein KI-Beauftragter ist nicht vorgeschrieben, kann aber als Multiplikator helfen, die Kompetenz im Unternehmen zu verankern.

Fazit

AI-Leadership kann somit als die Kompetenz verstanden werden, KI verantwortungsvoll im Unternehmen einzusetzen, ohne die eigene Wettbewerbsfähigkeit zu gefährden. Ein zentraler Baustein ist dabei die Entwicklung einer nachhaltigen KI-Strategie, die von der Unternehmensvision zur konkreten Roadmap führt. Diese Strategie zu tragen, verlangt mehr als Technikverständnis. AI-Leadership bedeutet, die richtigen Anwendungsfälle zu priorisieren, das Personal auf dem passenden Niveau zu schulen und die Verantwortung klar zu verteilen — und setzt dabei voraus, dass die Führungskräfte selbst über die nötige AI-Literacy verfügen. Wer die Möglichkeiten und Grenzen von KI versteht, erkennt, wo sie einen echten Vorteil bringt, und wo sie nur ein weiteres Werkzeug bleibt. Der regulatorische Mindeststandard ist gesetzt. Ob KI im Unternehmen ein Werkzeug bleibt oder zum Wettbewerbsvorteil wird, entscheidet die Führungskraft.

Autorin

Sarah Tavcer ist Rechtsanwältin und seit einigen Jahren als externe Datenschutzbeauftragte und Datenschutzberaterin tätig. Außerdem ist die zertifizierte KI-Compliance-Beauftragte.

Vereinbaren Sie jetzt Ihren Beratungstermin!

https://varyfy.de/kontakt/

VARY.FY

Wir von VARY.FY helfen Ihnen bei der Umsetzung von AI-Leadership. Mit Beratung, Workshops und passender Unterstützung entwickeln Sie eine KI-Strategie, die zu Ihrem Unternehmen passt – von der Zielgruppenanalyse über die Schulungskonzepte bis zur Dokumentation.