Was muss das Leitungsorgan wissen und können?

Ein Aktienvorstand entscheidet über ein neues ERP-System und vertieft sich in Oberflächen und Funktionsumfang. Anbieterabhängigkeit, Ausfallrisiken und die Verteilung der Verantwortung bleiben dagegen weitgehend unausgesprochen. Ein Stiftungsvorstand beschließt ein neues Abrechnungssystem und diskutiert Lizenzkosten, während offenbleibt, wie fehlerhafte Buchungen korrigiert werden und wer dafür verantwortlich ist. Ein Presbyterium führt ein KI-gestütztes Verwaltungsprogramm ein und verbringt drei Sitzungen mit Bedienbarkeit und Schulungsaufwand, ohne zu fragen, wer haftet, wenn das System personenbezogene Daten falsch verarbeitet.

Drei Gremien, drei Rechtsbereiche, dieselbe Verwechslung. Alle drei beschäftigen sich mit dem System, statt mit der Entscheidung. Genau dort verliert das Leitungsorgan seine eigentliche Aufgabe aus dem Blick. Keiner der drei Rechtsbereiche verlangt von jedem Organmitglied, ein System bis ins technische Detail zu durchdringen. Das Organ muss aber sicherstellen, dass die entscheidungsrelevanten Fragen fachlich eingeordnet werden, dass klar ist, wer diese Einordnung leisten kann und ob die Antwort tatsächlich in die Entscheidung einfließt.

Gleichklang der Rechtsbereiche

Das deutsche Recht weist für dieses Problem in verschiedenen Rechtsgebieten einen vergleichbaren Leitgedanken auf, auch wenn die gesetzlichen Grundlagen und Rechtsfolgen nicht identisch sind. Im Aktienrecht bestimmt § 93 Abs. 1 S. 2 AktG, dass keine Pflichtverletzung vorliegt, wenn das Vorstandsmitglied bei einer unternehmerischen Entscheidung vernünftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohl der Gesellschaft zu handeln. Die Regelung betrifft damit Entscheidungen, bei denen ein unternehmerischer Handlungsspielraum besteht. Sie ersetzt weder die Pflicht zur Einhaltung zwingenden Rechts noch die Pflicht, sich vor der Entscheidung angemessen zu informieren. Die Vorschrift schützt damit nicht die Unaufmerksamkeit des Vorstands. Sie schützt die vertretbare Ausübung eines bestehenden unternehmerischen Handlungsspielraums.

Für Stiftungsorgane enthält § 84a Abs. 2 S. 2 BGB seit der Stiftungsrechtsreform 2023 eine gesetzliche Regelung für Ermessensentscheidungen. Danach kommt es unter anderem darauf an, ob das Organmitglied die gesetzlichen und satzungsmäßigen Vorgaben beachtet und auf einer angemessenen Informationsgrundlage vernünftigerweise annehmen durfte, zum Wohl der Stiftung zu handeln. Die Vorschrift ist damit keine pauschale Haftungsfreistellung für Entscheidungen des Stiftungsvorstands.

Im kirchlichen Bereich existiert keine mit § 93 Abs. 1 S. 2 AktG oder § 84a Abs. 2 S. 2 BGB gleichlautende Vorschrift. Eine kirchliche Business Judgement Rule muss man dafür auch nicht konstruieren. Die Kirchenordnung der EKvW bestimmt beispielsweise, dass die Leitung der Kirchengemeinde beim Presbyterium liegt und dass die Presbyterinnen und Presbyter den Leitungsdienst in gemeinsamer Verantwortung ausüben. Das kirchliche Vermögens- und Finanzrecht weist den Leitungsorganen Verantwortung für die ordnungsgemäße Vermögens- und Finanzverwaltung zu. Daraus folgt eine Verantwortung für Leitung, Organisation und Kontrolle, nicht aber die Pflicht jedes einzelnen Organmitglieds, selbst zum Fachspezialisten zu werden. Auch hier geht es nicht darum, jedes enttäuschende Ergebnis nachträglich als Pflichtverletzung zu bewerten. Entscheidend ist vielmehr, ob das Gremium den Entscheidungsprozess sachgerecht organisiert und die erkennbaren Risiken angemessen berücksichtigt hat.

Der gemeinsame Kern ist enger und zugleich anspruchsvoller, als es auf den ersten Blick scheint. Niemand muss über vollständiges Fachwissen verfügen. Das Organ muss aber sicherstellen, dass die für die Entscheidung wesentlichen Informationen beschafft, fachlich eingeordnet und in der Beschlussfassung berücksichtigt werden. Das Organ muss nicht alles selbst wissen. Es muss erkennen, welches Wissen seine Entscheidung voraussetzt und wie dieses Wissen zuverlässig in den Entscheidungsprozess gelangt.

Das Presbyterium und seine Verantwortung

Ein Presbyterium muss die Funktionsweise eines KI-gestützten Verwaltungsprogramms nicht bis ins technische Detail verstehen. Es muss aber erkennen, welche Fragen vor einer KI-Einführung beantwortet werden müssen und ob die Antworten des Anbieters belastbar sind. Wo werden die Daten verarbeitet? Werden Eingaben oder Ergebnisse zum Training eines Modells verwendet? Wer haftet bei einer Datenschutzverletzung? Welche Kontroll- und Weisungsrechte hat die Organisation? Was geschieht mit den Daten, wenn der Vertrag endet? Für den Aktienvorstand aus der Einleitung gilt dieselbe Verschiebung. Über die Pflichterfüllung entscheidet nicht die Systemarchitektur des ERP-Systems, entscheidend ist die Qualität der Fragen, die vor der Unterschrift gestellt wurden.

Diese Verschiebung von Fachwissen zu Fragekompetenz ist die eigentliche Kunst der Leitung. Sie lässt sich trainieren und sie lässt sich institutionalisieren, etwa durch feste Prüffragen bei größeren Beschaffungen oder durch die bewusste Trennung zwischen Vorbereitung und Beschlussfassung.

Bei hochkomplexen Systemen wird die Grenze zwischen Fachwissen und Fragekompetenz allerdings fließend. Ein KI-System mit RAG-Architektur kann eigene Dokumentenbestände zur Beantwortung von Anfragen heranziehen. Für die rechtliche Bewertung genügt deshalb keine abstrakte Zusicherung, das Modell trainiere nicht mit den eingegebenen Daten. Zu prüfen ist vielmehr, welche Dokumente technisch abrufbar sind, welche Daten bei einer Anfrage tatsächlich verarbeitet werden, welche Personen oder Systeme darauf zugreifen können und auf welcher datenschutzrechtlichen Grundlage dies geschieht. Dabei ist auch zu klären, ob besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO betroffen sind. Die praktische Lösung liegt trotzdem nicht darin, dass das Leitungsorgan selbst zum Systemexperten wird. Sie liegt darin sicherzustellen, dass jemand mit diesem Verständnis in den Entscheidungsprozess eingebunden wird und die Einordnung nachvollziehbar dokumentiert.

Vor der nächsten Systementscheidung sollte das Gremium klären, wer die technische Einordnung vornehmen kann, ob diese Person unabhängig genug ist, um Risiken offen anzusprechen, und ob ihre Einschätzung in der Entscheidungsvorlage dokumentiert wurde.

Der Aktienvorstand zwischen Legalitätspflicht und unternehmerischem Ermessen

Die Business Judgement Rule schützt nur Entscheidungen innerhalb eines bestehenden unternehmerischen Ermessensspielraums. Für die Einhaltung zwingenden Rechts besteht kein vergleichbarer Spielraum. Die Legalitätspflicht bildet damit die Grenze, innerhalb derer unternehmerische Abwägungen überhaupt geschützt sein können.

Das ERP-Beispiel aus der Einleitung zeigt das deutlich. Ein Vorstand muss die Systemarchitektur nicht selbst im Detail analysieren. Er muss aber dafür sorgen, dass die entscheidungsrelevanten Fragen beantwortet werden. Welche Abhängigkeit vom Anbieter entsteht? Wie werden Daten bei einem Anbieterwechsel übertragen? Wie sind Betrieb, Wiederherstellung und Haftung im Fall eines Ausfalls vertraglich verteilt?

Ein aktuelles Beispiel liefert Art. 50 der KI-Verordnung. Die dort geregelten Transparenzpflichten sind seit dem 2. August 2026 anwendbar. Sie betreffen längst nicht jeden Einsatz von KI. Erfasst sind bestimmte gesetzlich beschriebene Situationen, etwa die erkennbare Interaktion eines Menschen mit einem KI-System, der Einsatz zur Emotionserkennung oder biometrischen Kategorisierung sowie bestimmte Deepfakes und KI-generierte Texte zu Angelegenheiten von öffentlichem Interesse. Durch die Digital-Omnibus-Verordnung (EU) 2026/1744 vom 8. Juli 2026 gilt für Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und bereits vor dem 2. August 2026 in Verkehr gebracht wurden, eine Übergangsfrist bis zum 2. Dezember 2026, um die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 umzusetzen. Für das Leitungsorgan ist deshalb nicht entscheidend, die technische Funktionsweise eines Sprachmodells zu verstehen. Es muss klären lassen, ob die Organisation im konkreten Fall als Anbieter oder Betreiber handelt, welcher Anwendungsfall des Art. 50 einschlägig ist und wer die Transparenzpflicht praktisch umsetzt. Das ist primär eine Governancefrage, auch wenn ihre Beantwortung technische Sachkunde voraussetzt.

Vor der nächsten Unterschrift sollte klar sein, wer intern für die Erfüllung der Pflicht verantwortlich ist, welche Leistung der Anbieter vertraglich erbringen muss und wie kontrolliert wird, dass beides tatsächlich geschieht.

Der Stiftungsvorstand zwischen Vertrauen und Organisationspflicht

Bei Stiftungen zeigt sich das Spannungsfeld besonders deutlich in der Kapitalanlage. Ein Stiftungsvorstand, der jede Einzelposition eines Anlageportfolios selbst bewerten will, wird weder der Komplexität der Kapitalanlage noch seiner eigentlichen Leitungsaufgabe gerecht. Die gesetzliche Regelung verlangt hier nicht, dass jedes Vorstandsmitglied selbst professionelle Anlageentscheidungen trifft. Sie setzt vielmehr voraus, dass die Entscheidung sachgerecht vorbereitet und innerhalb der gesetzlichen, satzungsmäßigen und stiftungsbezogenen Vorgaben organisiert wird. Wurde ein geeigneter Vermögensverwalter ausgewählt? Existiert eine Anlagerichtlinie, die Rendite, Sicherheit und den Stiftungszweck in ein nachvollziehbares Verhältnis setzt? Wird die Umsetzung in angemessenen Abständen kontrolliert?

Die Organisationspflicht ist damit die Kehrseite der Vertrauensgrundlage. Delegation entbindet nicht von Verantwortung. Sie verlagert die Verantwortung von der einzelnen Detailentscheidung auf die Auswahl, Vorgabe, Steuerung und Kontrolle der Person oder Struktur, an die delegiert wird.

Vor der nächsten Sitzung zur Kapitalanlage sollte dokumentiert sein, nach welchen Kriterien der Vermögensverwalter ausgewählt, welche Vorgaben ihm gemacht und wie seine Tätigkeit kontrolliert wurde.

Kontrolle endet nicht mit der Entscheidung

Der bisherige Fokus lag auf dem Entscheidungszeitpunkt. Mit der Einführung eines IT-Systems endet die Verantwortung des Leitungsorgans jedoch nicht. Je nach System, Organisation und Risikolage müssen insbesondere drei Bereiche fortlaufend überprüft werden. Erstens muss die Abhängigkeit vom Anbieter einschließlich der Möglichkeit eines geordneten Wechsels überprüft werden. Zweitens ist die datenschutzrechtliche Bewertung zu aktualisieren, wenn sich Einsatzzweck, Verarbeitung oder andere Umstände so verändern, dass eine Neubewertung des Risikos erforderlich wird. Drittens muss die tatsächliche Vertragserfüllung kontrolliert werden, etwa anhand von Service-Level-Agreements, Sicherheitsvorfällen und gemeldeten Haftungsfällen.

Dieser Gedanke lässt sich am Beispiel der Vorstandshaftung bei Cyberangriffen präzisieren, allerdings nur mit einer wichtigen Unterscheidung. Dass die Organisation angemessene technische und organisatorische Sicherheitsmaßnahmen treffen muss, ist keine freie unternehmerische Entscheidung. Die Pflicht besteht, ihre konkrete Ausgestaltung ist jedoch risikobasiert und nicht in jedem Unternehmen identisch. Ein Beurteilungsspielraum kann deshalb bei der Auswahl und Ausgestaltung mehrerer angemessener Sicherheitskonzepte bestehen. Dass ein Angriff trotz vertretbarer Maßnahmen erfolgreich war, führt nicht automatisch zu einer Pflichtverletzung. Maßgeblich sind die Qualität der Risikoanalyse, die Angemessenheit der Maßnahmen, ihre regelmäßige Überprüfung und die Reaktion auf erkannte Schwachstellen. Die Business Judgement Rule kann daher nicht die Pflicht ersetzen, überhaupt eine angemessene Sicherheitsorganisation einzurichten. Sie kann aber innerhalb des bestehenden unternehmerischen Ermessens bei der Auswahl und Ausgestaltung angemessener Maßnahmen Bedeutung gewinnen.

Unabhängig vom Rechtsträger gehört deshalb ein fester Termin in den Kalender, an dem geklärt wird, wann die Sicherheitsorganisation zuletzt risikobasiert überprüft wurde, welche Schwachstellen festgestellt wurden und wann dem Leitungsorgan darüber erneut berichtet wird.

Die Rückkehr zur Sitzung

Am Ende jener drei Sitzungen hätte daher nicht die Frage im Mittelpunkt stehen müssen, welche Oberfläche am komfortabelsten oder welches System am günstigsten ist. Entscheidend sollte zuerst sein, dass der Entscheidungsprozess selbst klar definiert und praktikabel ist. Wurde eine fachlich geeignete und, soweit erforderlich, unabhängige Einschätzung eingeholt? Passt die Investition zur langfristigen Strategie und zur Risikotragfähigkeit der Organisation? Sind Betrieb, Datenschutz, Sicherheit, Kontrolle, Haftung und Ausstieg eindeutig zugeordnet? Ist dokumentiert, auf welcher Informationsgrundlage das Gremium entschieden hat?

Ein Leitungsorgan, das diese Fragen stellt, braucht keine Allwissenheit. Es braucht die Fähigkeit, rechtzeitig zu erkennen, welches Wissen fehlt, wer es beisteuern kann und welche Risiken bis zur nächsten Kontrolle bestehen bleiben. Es braucht die Bereitschaft, eine Entscheidung zurückzustellen, wenn die Informationsgrundlage nicht trägt. Wissen ersetzt Urteilskraft nicht. Gute Leitung zeigt sich deshalb nicht daran, dass ein Gremium jedes System erklären kann. Sie zeigt sich daran, dass es die richtigen Fragen stellt, Verantwortung eindeutig zuordnet und die eigene Entscheidung später überprüft.