KI in der Mitgliederverwaltung: Chancen, Grenzen und Verantwortung

Welche Rolle spielen Nutzungsbedingungen und Datenklauseln bei KI-Plattformen – und warum sollten sie Teil der Entscheidungsfindung sein?

Die Nutzungsbedingungen sind das Fundament der rechtlichen Beziehung zwischen einem Verband oder Verein und der KI-Plattform – aber die wenigsten lesen sie. Das Problem: In vielen Nutzungsbedingungen stecken Klauseln, die der KI-Plattform weitreichende Rechte an ihren Daten einräumen.

Ein typisches Beispiel ist die "Training Data"-Klausel: "Der Kunde räumt dem Anbieter ein weltweites, gebührenfreies Nutzungsrecht an allen Daten ein, die zur Verbesserung der Software genutzt werden." Das klingt harmlos, bedeutet aber: Mitgliederdaten können Teil des Trainingsdatensatzes des KI-Tools werden. Das gilt dann weltweit und auf unbegrenzte Zeit.

Konkret: Wenn ein Verein oder Verband ein KI-Tool nutzt, um Mitgliederdaten zu verarbeiten – sei es für Automatisierung, Analyse oder Kommunikation – und dabei echte Produktionsdaten verwendet, landen diese möglicherweise beim Anbieter. Das betrifft Namen, Adressen, Zahlungsinformationen, kann aber zum Beispiel auch Gesundheitsdaten von Sportlern und damit besonders sensible und besonders geschützte personenbezogene Daten betreffen.

Das ist nicht nur ein DSGVO-Problem, sondern auch ein Wettbewerbsproblem: Vertrauliche Daten verbessern die KI für alle. Ein konkurrierender Verband nutzt dieselbe KI. Somit profitiert auch dieser Verband indirekt von den Daten. Deshalb sollten Nutzungsbedingungen Teil jeder Entscheidung sein. Die zentrale Frage lautet: Wem gehören meine bzw. unsere Daten nach der Verarbeitung?

Inwieweit verändert sich die Haftung, wenn KI-generierter Code oder KI-gestützte Prozesse eingesetzt werden?

Die Haftung verschiebt sich nicht zur KI – sie bleibt beim Anwender. Das ist der entscheidende Punkt, den viele übersehen. Wenn ein Verband Vibe Coding nutzt, um ein Mitgliederverwaltungs-Tool zu entwickeln, und der KI-generierte Code einen Fehler enthält, haftet der Verband und gerade nicht die KI-Plattform oder der Entwickler, der den Code mit KI erstellt hat.

Ein Beispiel: Ein KI-generiertes Tool verarbeitet Mitgliedsbeiträge. Ein Bug führt dazu, dass viel zu hohe Zahlungen abgebucht werden. Die Mitglieder fordern nun Wiedergutmachung. Die Argumentation "Das war die KI" wird vor Gericht nicht funktionieren.

Warum? Grund 1: Weil in den Nutzungsbedingungen fast aller KI-Plattformen steht: "You are responsible for all outputs." Das bedeutet: Der Nutzer trägt die volle Verantwortung für das, was die KI produziert – egal ob Code, Text oder Entscheidungen. Aber natürlich gilt ganz grundsätzlich: KI ist ein Werkzeug in meiner Hand. Am Ende hafte ich als derjenige, der das Werkzeug immer. Das gilt auch für DSGVO-Verstösse: Wenn ein KI-Tool personenbezogene Daten falsch verarbeitet, haftet der Verantwortliche nach Art. 82 DSGVO. Die Ausrede "Die KI hat es falsch gemacht" schützt nicht.

Zusätzlich verschärft der AI Act die Lage: Handelt es sich bei eingesetzten KI-Tools um sogenannte Hochrisiko-Systeme – dazu könnten Tools gehören, wenn sie automatisierte Entscheidungen über Personen treffen – muss künftig umfangreich dokumentiert, getestet und überwacht werden. Wer das nicht tut, dem drohen Bussgelder und Reputationsschäden. 
Die Haftung verändert sich also nicht in dem Sinne, dass sie verschwindet. Sie wird komplexer, weil zusätzlich nachgewiesen werden muss, dass die KI ordnungsgemäß überwacht und kontrolliert wurde.

Welche typischen Missverständnisse begegnen dir im Umgang mit KI in der Mitgliederverwaltung besonders häufig?

Das häufigste Missverständnis ist: „Wir entwickeln keine KI, wir nutzen sie nur – deshalb gelten die Regeln nicht für uns."

Das ist falsch. Die einschlägigen Gesetze regulieren nicht nur Entwickler, sondern auch Betreiber. Wenn ein Verband ein KI-System einsetzt, das automatisierte Entscheidungen über Mitglieder trifft – zum Beispiel Beitragsberechnungen, Zugriffsberechtigungen oder Kommunikation – ist er Betreiber eines KI-Systems. Und damit gelten die Pflichten der EU-KI-Verordnung.

Das zweite Missverständnis: "Vibe Coding ist nur ein Werkzeug, kein rechtliches Risiko."

Vibe Coding ist brilliant – aber es schafft neue Risiken. Wenn ein IT-Team mit Claude Code oder Lovable für ein Mitgliederverwaltungs-Tool Code schreibt, erhält die KI-Plattform möglicherweise Zugriff auf Testdaten. Diese Testdaten sind oft echte Mitgliederdaten, nur anonymisiert. Aber schlechte Anonymisierung ist keine Anonymisierung. Und wenn echte Daten in die KI-Plattform fliessen, entsteht ein DSGVO-Problem.

Das dritte Missverständnis: „Wenn etwas schiefgeht, haftet der Software-Anbieter."

Nur wenn es einen klassischen Software-Vertrag mit SLAs, Haftungsklauseln und Support gibt. Bei vielen KI-Tools wird aber eine Plattform mit Nutzungsbedingungen genutzt. Dort steht meistens: "We may suspend service at any time" und "You are responsible for all outputs." Das bedeutet: Wenn die KI Fehler macht oder der Service ausfällt, gibt es regelmässig keinen Schadensersatzanspruch. Der Betreiber trägt das Risiko allein.

Wie kann KI sinnvoll eingesetzt werden, ohne die Kontrolle über Prozesse und Daten zu verlieren?

KI ist ein enormer Effizienzgewinn – aber nur, wenn fünf Grundprinzipien befolgt werden:

1. Die Nutzungsbedingungen werden mit Sinn und Verstand gelesen, bevor echte Daten verwendet werden.

Es sind immer mindestens drei Fragen zu stellen:

• Welche Daten werden genutzt?
• Zu welchem Zweck?
• Kann das ausgeschlossen werden?

Viele Enterprise-Verträge bieten die Option, Training-Data-Klauseln auszuschliessen. Das sollte genutzt werden.

2. Entwicklung und Produktion trennen.

Wenn Vibe Coding genutzt wird, um Tools zu entwickeln, sollten niemals echte Mitgliederdaten zum Testen verwendet werden. Synthetische Testdaten oder vollständig anonymisierte Daten nutzen. Erst wenn das Tool fertig ist und die Nutzungsbedingungen geprüft wurden, sollte es in die Produktion eingeführt werden.

3. Human-in-the-Loop implementieren.

KI sollte niemals allein entscheiden. Bei allem Verständnis für die Effizienzgewinne durch KI müssen Entscheidungen, die Menschen nachteilig betreffen können, immer von Menschen und nicht Algorithmen getroffen werden.

4. Alles dokumentieren.

Welche KI-Systeme werden genutzt? Zu welchem Zweck? Welche Daten verarbeiten sie? Wie wurde getestet, ob sie korrekt funktionieren? Der AI Act verlangt umfassende Dokumentation. Damit sollte jetzt begonnen werden, auch wenn kein Hochrisiko-System betrieben wird. Es schützt im Streitfall.

5. Regelmässig prüfen, ob die KI das tut, was sie soll.

KI-Systeme können "driften" – ihre Performance verschlechtert sich über Zeit, oder sie entwickeln unerwartetes Verhalten. Man muss regelmässig testen, ob das Tool noch korrekt arbeitet. Besonders nach Updates der zugrunde liegenden KI-Plattform.

Zusammengefasst: KI ist beherrschbar. Aber nur, wenn verstanden wird, was unterschrieben wird, wie Haftung funktioniert und wo die Kontrolle endet. Die gute Nachricht: Mit klaren Prozessen, sorgfältiger Prüfung und gesundem Menschenverstand lassen sich die Risiken deutlich reduzieren – ohne auf die Chancen verzichten zu müssen.

---