Rollenmodell Use Case Vendor

---
name: rollenmodell-use-case-vendor
title: 'Systemrollen und betriebliche Verantwortung festlegen'
description: Bestimmt Anbieter, Betreiber und Zulieferer eines konkreten KI-Einsatzes einschließlich Agentenketten. Trennt gesetzliche Rollen von internen Zuständigkeiten und Datenschutzrollen und erstellt eine begründete Rollen- und Freigabeentscheidung.
author: Klotzkette
author_url: https://github.com/Klotzkette/claude-fuer-deutsches-recht/tree/main/ki-governance/skills/rollenmodell-use-case-vendor
license: Apache-2.0
version: 0.1.0
execution_mode: open
jurisdiction: de
practice: regulatory
language: de
---

# 1. Systemrollen und betriebliche Verantwortung festlegen

## 1. Zweck und Anwendungsfall

Ordne Verantwortung am tatsächlichen System, Zweck und Rechtsträger zu. Konzernlogo, Vertragsüberschrift und eigenes Hosting sind Indizien, keine vollständige Rollenprüfung. Die technische Autonomie eines Agenten beseitigt nicht die Verantwortung der beteiligten Personen und Unternehmen.

## 2. Eingaben

Lies Leistungsbeschreibung, Anbieterkennzeichnung, Konfiguration, Änderungsverlauf, Werkzeugrechte und Freigaben. Frage nur nach entscheidenden Lücken: Wer bietet welche Version unter wessen Namen an, wer verwendet sie unter eigener Verantwortung und wer darf sie verändern?

## 3. Ablauf und Checkliste

1. Modell, Anwendung, Orchestrierung, Gedächtnis und ausführende Werkzeuge abgrenzen. Ein Agent kann ein KI-System sein; er ist nicht schon deshalb selbst ein GPAI-Modell. Mehrere Komponenten weder ohne Prüfung zu einem Gesamtanbieter zusammenziehen noch zur Umgehung der tatsächlichen Zweckbestimmung künstlich zerlegen.
2. Artikel 3 Nummern 3 bis 8 für Anbieter, Betreiber, Bevollmächtigten, Importeur, Händler und Produkthersteller prüfen. Entwicklung oder Beauftragung der Entwicklung sowie Inverkehrbringen oder eigene Inbetriebnahme unter eigenem Namen beachten. Beschäftigter, Konzernmutter und Agent sind nicht automatisch eigenständige Betreiber.
3. Artikel 25 Absatz 1 getrennt prüfen: eigenes Kennzeichen, wesentliche Änderung eines Hochrisikosystems oder Zweckänderung, durch die ein bisher nicht hochriskantes System hochriskant wird. Nicht jedes neue Prompt oder Update erfüllt diese Voraussetzungen. Anbieterpflichten am konkreten geänderten System und zeitlichen Anwendungsrecht festmachen.
4. Rechte und Pflichten gegenüber Voranbieter/Zulieferer nach Artikel 25 Absätzen 2 und 4 klären. Konzerninterne Vertragsgestaltung und Haftungsausgleich ersetzen keine gesetzlichen Außenpflichten. Bei vereinbarter Nichtverwendung für Hochrisikozwecke den genauen gesetzlichen Zusammenhang prüfen; nicht jede Mitwirkungspflicht unterschiedslos behaupten.
5. Datenschutzrollen je Verarbeitung zusätzlich bestimmen. Verantwortlicher, Auftragsverarbeiter und gemeinsam Verantwortliche folgen Artikel 4, 26 und 28 DSGVO, nicht automatisch der Systemrolle. Training, Support, Protokolle und Werkzeugdienste getrennt zuordnen.
6. Benenne einen betrieblichen Verantwortlichen mit Vertretung, Eingriffsrecht und erreichbarem Meldeweg. Bei Agenten getrennte Lese-, Schreib- und Versandbefugnisse sowie wirksame Unterbrechung aller delegierten Aufträge vorsehen. Vor irreversiblen Handlungen konkrete Freigabe; Änderungsprüfung bei neuen Werkzeugen, Empfängern und Zwecken.
7. Zuständigkeit nach KI-MIG und sektoralen Regeln bestimmen, Datenschutzaufsicht separat. Keine allgemeine Frist aus dem Rollenmodell ableiten: insbesondere Artikel 73 kennt nach Ereignis unterschiedliche Fristen; sein Vorfallworkflow ist gesondert zu prüfen. Nach Antwort die Rollenentscheidung samt Vertrags- oder Organisationsänderung fertigstellen.

## 4. Quellenpflicht

Artikel 3, 25, 26, 111 und 113 der [Verordnung (EU) 2024/1689 in geltender Fassung](https://eur-lex.europa.eu/eli/reg/2024/1689/2026-07-27/eng), [Paragraf 2 KI-MIG](https://www.gesetze-im-internet.de/ki-mig/__2.html), [DSGVO](https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=de). Der amtliche Service Desk weist bei geänderten Vorschriften teilweise selbst auf nicht aktualisierte Darstellungen hin; dann konsolidierten Text und Änderungsrechtsakt abgleichen. Prüfstand 2. Oktober 2026; [Zitierweise](../../references/zitierweise.md).

## 5. Ausgabeformat

Ausformulierter Rollenvermerk oder Freigabebeschluss mit Systemversion, Tatsachengrundlage, Begründung, verbleibenden Voraussetzungen und benannten Verantwortlichen. Vollständige Sätze, keine Skelette; Times New Roman 11 pt, dezimale Gliederung. Registrierung, Konformitätserklärung oder Betriebsfreigabe nicht ungefragt ausführen.

## 6. Beispiele

Eine Vertriebsgesellschaft vermarktet einen zugekauften Agenten unter eigenem Namen: Rolle anhand Entwicklung/Beauftragung und Vertrieb prüfen, nicht den technischen Lieferanten automatisch allein verantwortlich nennen. Ein Sachbearbeiter nutzt einen Universalchat für einen Einzelversuch: Verwendung und organisatorische Übernahme feststellen, nicht sofort den gesamten Dienst in ein Recruiting-Produkt umdeuten.