Recht

Stellen Sie sich die Muster GmbH vor, einen deutschen Mittelständler mit 30 Beschäftigten, in dem niemand „Recht“ in der Stellenbezeichnung stehen hat und die Geschäftsführung Verträge, DSGVO-Fragen und Lieferantenunterlagen zwischen allem anderen erledigt. Business-Gym gibt dieser Person einen Ort für ihre Dokumente, einen Head, der sie liest, und einen Nachweis darüber, wer was entschieden hat — ein Vertragssystem gibt es ihr nicht.

Diese Seite ist bewusst zurückhaltend. Recht und Compliance sind genau der Bereich, in dem eine zu groß erzählte Fähigkeit echten Schaden anrichtet. Was folgt, trennt deshalb die Teile, auf die Sie sich verlassen können, von den Teilen, die nicht gebaut sind.

Was kann der Legal-Head heute tatsächlich?

Der Legal-Head kommt als Standard-Head-Vorlage mit dem Namen Legal und mit einem General-Counsel-Charter, das Sie lesen und bearbeiten können. Das Charter benennt den Auftrag — Vertragsprüfung und Klausel-Markierung, DSGVO-/Compliance-Überwachung, Lieferanten- und Partnerprüfung — und die Entscheidungsbefugnis steht im selben Dokument: markieren und entwerfen, niemals verbindlich beraten, niemals unterzeichnen; ein Mensch gibt frei, bevor irgendetwas unterzeichnet wird.

Seien Sie genau darin, was dieses Charter ist. Es ist ein Anweisungsdokument, das das Verhalten des Heads prägt, keine Beschreibung ausgelieferter Maschinerie. Es gibt keinen automatischen Ablauf zur Klausel-Prüfung, der einen hochgeladenen Vertrag von allein durchsieht und markierte Klauseln zurückgibt.

Was der Head tut, ist das, was jeder Head tut: Er liest die Dokumente, die Sie ihm gegeben haben, antwortet Ihnen im Chat mit diesen Dokumenten als Beleg, entwirft Text und schlägt Aufgaben und Freigaben vor. Wie das im Einzelnen funktioniert, steht unter Mit einem Head arbeiten — hier ist es identisch.

Achtung

Der Legal-Head ist kein Anwalt, und sein Charter sagt das auch. Behandeln Sie alles, was er hervorbringt, als ersten Entwurf, den eine qualifizierte Person prüft — nicht als Rat, nach dem Sie handeln können.

Wo liegen meine Verträge und Richtlinien?

In der Wissensdatenbank, als Dokumente, die Sie hochladen und einem Head oder dem ganzen Unternehmen zuordnen. Das ist der Teil, der beim Thema Recht wirklich funktioniert, und dort liegt der meiste Nutzen.

Material kommt auf vier Wegen hinein: Dateien hochladen (10 MB je Datei), Text einfügen, eine URL hinzufügen oder eine SharePoint-Site synchronisieren. Laden Sie einen ganzen Ordner hoch, bleibt dessen Struktur erhalten — die Verzeichnisebenen werden als Ordner nachgebildet, sodass ein erneuter Upload dieselben Dokumente aktualisiert, statt sie zu verdoppeln.

Mit binären Office-Dateien geht das System ehrlich um. PDF, DOCX und XLSX laufen durch eine Textextraktion, bevor sie indexiert werden. Ein Dateityp, der nicht gelesen werden kann, wird als unsupported gemeldet, und ein gescanntes PDF ohne Textebene wird als empty erfasst, statt so zu tun, als hätte es funktioniert. Dieser Unterschied zählt, wenn Ihre NDA-Vorlage ein Scan ist: Sie erfahren es beim Hochladen und nicht erst, wenn der Head aus dem Nichts antwortet.

Ordnen Sie jedes Dokument head:legal zu, wenn nur der Legal-Head es sehen soll, oder Mandantenweit, wenn es alle sehen sollen. Datenquellen behandelt den Zuschnitt und den Sync im Detail.

Kann es etwas unterzeichnen, senden oder verbindlich zusagen?

Nein, und das ist die eine Zusage, die sich nicht verschiebt. Das Charter jedes Heads trägt dasselbe namentlich benannte Verbot: Niemals Geld bewegen, rechtsverbindlich unterzeichnen oder externe Kommunikation senden ohne ausdrückliche menschliche Freigabe. Das ist keine Einstellung, die Sie eingeschaltet haben — es ist die Untergrenze, auf der das Produkt gebaut ist.

Für die Rechtsarbeit heißt das konkret:

• Nichts unterzeichnet. Es ist kein E-Signatur-Dienst verbunden, es gibt also keinen Weg, auf dem eine Vereinbarung durch das System vollzogen wird.
• Nichts geht nach außen — keine Antwort an die Gegenseite, keine Mitteilung an einen Lieferanten, keine Nachricht an eine Behörde —, bevor ein Mensch genau diesen Vorgang freigibt.
• Nichts sagt Ausgaben verbindlich zu. Der Legal-Head hat überhaupt keine Ausgabenbefugnis.

Die harte Untergrenze erklärt, warum externe Sendungen und Geld dauerhaft von einem Menschen freigegeben werden und nicht mit wachsendem Vertrauen aufsteigen. Wenn Sie einmal alles auf einen Schlag stoppen müssen, stellt der Not-Aus jeden Head sofort auf Überwacht zurück — siehe Der Autonomie-Regler und der Not-Aus.

Welcher Nachweis bleibt darüber, wer was entschieden hat?

Es bleiben zwei Nachweise, und zusammen beantworten sie die meisten Fragen nach dem Muster „Wer hat das freigegeben, und wann?“. Das ist meist der Teil, der Compliance am meisten interessiert.

Die Freigabe-Warteschlange behält ihren Verlauf. Neben der offenen Warteschlange gibt es die Ansicht Verlauf mit den entschiedenen Freigaben, die neueste zuerst, und jede Zeile nennt den Menschen, der entschieden hat, und wann. Nichts Folgenreiches führt sich aus, ohne durch diese Warteschlange gegangen zu sein — siehe Die Freigabe-Warteschlange abarbeiten.

Der Audit-Trail ist nur anfügend und nur für Admins. Einträge kommen hinzu und werden niemals bearbeitet, jeder hält fest, wer gehandelt hat, welche Entität betroffen war und wie es ausgegangen ist, und Sie können nach Ereignisart filtern. Zielt ein Ereignis auf einen Lauf, zeigt es beim Öffnen das Ablaufprotokoll dieses Laufs Schritt für Schritt.

Auch Rücknahmen werden im Audit-Trail festgehalten. Manche eingehenden Aktionen, die ein Mensch ausgeführt hat — eine Aufgabe anlegen, ein Dokument ablegen —, lassen sich innerhalb von 24 Stunden rückgängig machen, aber nur durch die Person, die sie ausgeführt hat, und das Rückgängigmachen schreibt einen eigenen Rücknahme-Eintrag, statt das Original zu löschen. Ein externer Versand lässt sich niemals rückgängig machen — das ist die ehrliche Folge davon, dass er tatsächlich hinaus ist.

Hinweis

Der Audit-Trail ist auf Ihren Mandanten begrenzt und per Rolle auf Admins beschränkt. Sieht eine Kollegin oder ein Kollege ihn nicht, arbeitet das Berechtigungsmodell — es ist kein Fehler.

Wie beantworte ich ein Auskunftsersuchen einer betroffenen Person?

Business-Gym liefert die beiden DSGVO-Betroffenenrechte aus, nach denen ein kleines Unternehmen am häufigsten gefragt wird, und beide sitzen in der Web-App unter Einstellungen.

Export (Art. 15 und 20). Wer angemeldet ist, klickt auf Download my data und erhält das eigene Paket personenbezogener Daten als JSON-Datei. Es ist auf die aufrufende Person begrenzt — Sie exportieren Ihre eigenen Daten und die von niemandem sonst.

Löschung (Art. 17). Delete account… startet einen Löschvorgang mit zwei Sicherungen: Sie müssen Ihre Konto-E-Mail-Adresse exakt eintippen, und Sie müssen anschließend einen einmalig gültigen Bestätigungslink anklicken, der an genau diese Adresse geht. Bis dieser Link angeklickt ist, wird nichts gelöscht. Was gelöscht wird, hängt von Ihrer Rolle ab — ein Eigentümer oder Admin löscht den Mandanten und alles darin und entzieht jedem Mitglied den Zugang; ein Mitglied entfernt nur die eigene Mitgliedschaft und lässt den Rest des Unternehmens unberührt.

Die Löschung ist absichtlich nicht vollständig. Ein minimaler anonymisierter Abrechnungs- und Audit-Datensatz bleibt bestehen, weil HGB §257 und AO §147 verlangen, dass Buchhaltungs- und Steuerunterlagen aufbewahrt werden, und DSGVO Art. 17(3)(b) genau diese Ausnahme erlaubt. Beträge, Daten und Hashes bleiben erhalten; jede Kennung wird entfernt oder durch ein unumkehrbares Pseudonym ersetzt.

Die App nennt im selben Bereich Einstellungen auch ihren Datenstandort: Germany West Central.

Achtung

Die Löschung ist unumkehrbar und wirkt bei einem Eigentümer oder Admin auf den gesamten Mandanten durch. Lesen Sie auf dem Bestätigungsbildschirm, welcher der beiden Fälle für Sie gilt, bevor Sie den zugesandten Link anklicken.

Was ist noch nicht verfügbar?

Diese Lücken stehen hier, weil es weit schlimmer ist, sie mitten in einer Prüfung zu entdecken, als sie hier zu lesen.

Keine E-Signatur und kein Contract Lifecycle Management. Nichts unterzeichnet, und Sie sollten Ihre Arbeit nicht auf der Annahme aufbauen, dass die Plattform eine Vereinbarung vom Entwurf über die Unterschrift bis zur Verlängerung verfolgt.

Die Compliance-Seite ist ein Platzhalter. Der Eintrag Compliance unter Ressourcen zeigt heute nur eine Rumpfseite mit dem Vermerk Demnächst. Dahinter liegt keine Compliance-Oberfläche, in der sich arbeiten ließe.

Kein Export des Audit-Protokolls. In den Einstellungen ist der Log-Export mit Demnächst gekennzeichnet. Sie können den Trail in der App lesen und filtern; Sie können ihn noch nicht an eine externe Log-Senke schicken und nicht als Datei herunterladen.

Kein Legal Hold und keine Aufbewahrungsfristen. Es gibt keine Möglichkeit, ein Dokument gegen Löschung zu sperren, und keine Aufbewahrungsregel je Dokument, die Sie konfigurieren könnten.

Keine automatische Klausel-Markierung, keine Vertragsextraktion, kein Lieferanten-Prüflauf. Das steht im Charter des Legal-Heads als sein Auftrag; es sind keine ausgelieferten Abläufe.

DATEV ist nicht verbunden, und das zählt, wenn Ihr Dokumentenfluss beim Steuerberater endet — siehe DATEV und die vollständige Statusmatrix unter Integrationen.

Keine mobile App und keine Push-Benachrichtigungen. Es gibt keine native App und keine Push-Infrastruktur, eine auf Sie wartende Freigabe erreicht Sie also nicht als Hinweis auf dem Telefon.

Noch kein Lernen aus Ihren Entscheidungen. Ihre Freigaben und Ihre Korrekturen werden protokolliert, sie ändern aber noch nicht, was der Head beim nächsten Mal vorschlägt. Wie Ihr Team lernt beschreibt den angestrebten Entwurf und seinen heutigen Stand.

Wie sollte ich anfangen, wenn ich Recht und Compliance verantworte?

Machen Sie den Head erst nützlich, bevor Sie ihn um etwas bitten — ein Head ohne Dokumente kann Ihnen nur allgemeinen Text geben.

1. Laden Sie zuerst Ihr eigenes Material. Ihre AGB, Ihre Datenschutzerklärung, Ihr Standard-NDA, Ihre AVV-Vorlagen und Ihre Lieferantenbedingungen — zugeordnet zu head:legal, wenn sie nicht unternehmensweit gelten sollen.
2. Stellen Sie Fragen an diese Dokumente. „Welche Kündigungsfrist steht in unserem Standard-NDA?“ ist genau die Art Frage, die eine in Ihren Dokumenten verankerte Suche gut beantwortet, und die Antwort nennt den Beleg, aus dem sie stammt.
3. Führen Sie die Freigabe-Warteschlange als Ihren Nachweis. Entscheiden Sie Vorgänge in der App statt nebenher, damit die Ansicht Verlauf ein vollständiges Bild davon bleibt, was entschieden wurde und von wem.
4. Sehen Sie sich den Audit-Trail an, bevor Sie ihn brauchen. Vergewissern Sie sich, dass Sie ihn sehen können und dass er zeigt, was Sie einer Prüferin oder einem Prüfer zeigen würden — solange kein Druck auf Ihnen liegt.

Benachbarte Seiten, die sich lohnen: Finanzen für die Freigaben auf der Geldseite und HR für Personaldaten — beide berühren dieselben DSGVO-Oberflächen. Das Glossar erklärt die Begriffe, und die FAQ behandelt Fragen zu Kontrolle und Daten.

Was passiert, wenn ein Kunde ein DSGVO-Auskunftsersuchen stellt?

Sie bearbeiten es selbst. Business-Gym hat keine Oberfläche, die ein Auskunftsersuchen einer betroffenen Person aus Ihrem Kundenkreis entgegennimmt, nachverfolgt oder beantwortet — es gibt kein Eingangsformular, keine Fallakte und nichts, was eine Antwortfrist überwacht. Kommt ein solcher Brief oder eine solche E-Mail an, bleiben Bearbeitung und Antwort bei Ihnen, außerhalb des Produkts.

Was die App hat, zielt auf Ihr eigenes Business-Gym-Konto, nicht auf das Ihrer Kunden. Die Seite Einstellungen trägt eine Karte Privacy · DSGVO mit einer Schaltfläche Download my data, die eine Datei mit Ihren eigenen Kontoinformationen erzeugt, und einen Ablauf zur Kontolöschung, der Sie Ihre Konto-E-Mail-Adresse erneut eintippen und danach über einen an diese Adresse gesendeten Link bestätigen lässt, bevor irgendetwas entfernt wird.

Landet eine juristisch aussehende Nachricht in einem verbundenen Postfach, wird sie als hohes Risiko gekennzeichnet, zur Weiterleitung vorgeschlagen und an einen Menschen eskaliert. Sie wird niemals automatisch beantwortet.

Zwei Dinge sehen weiter aus, als sie sind. In der Galerie der Workflow-Vorlagen liegt unter dem Legal-Head eine Karte DSGVO-Auskunftsersuchen, hinter der aber kein Workflow steht — die Karte zu öffnen startet einen leeren Entwurf, und die Beschreibung sowie die Zeile zu Kosten und SLA auf der Karte sind Katalogtext, kein laufender Prozess. Und die Einstellungen jedes Heads tragen in der Danger zone eine Schaltfläche Run DSAR purge: Bestätigen Sie sie, wird eine freigabepflichtige Absicht festgehalten, und auf dem Bildschirm steht, dass sie nicht ausgeführt wurde. Es wird nichts gelöscht.

Für Fragen zu Rechtsgrundlage, Aufbewahrung oder dazu, was unser Auftragsverarbeitungsvertrag abdeckt, fragen Sie uns nach dem AVV und sprechen Sie mit Ihrer eigenen Datenschutzberatung.