Rechtslage

Die regulatorischen Anforderungen für Unternehmen steigen kontinuierlich. Datenschutz, IT-Sicherheit und der Einsatz künstlicher Intelligenz sind heute keine freiwilligen Themen mehr, sondern gesetzlich geregelte Verantwortungsbereiche. Unternehmen müssen Risiken bewerten, Prozesse dokumentieren und geeignete Schutzmaßnahmen etablieren. Verstöße können nicht nur hohe Bußgelder verursachen, sondern auch erhebliche wirtschaftliche und reputative Schäden nach sich ziehen.

Die DSGVO regelt den Umgang mit personenbezogenen Daten innerhalb der Europäischen Union. Unternehmen sind verpflichtet, Daten rechtmäßig, transparent und sicher zu verarbeiten. Dazu gehören unter anderem Informationspflichten, technische Schutzmaßnahmen, Dokumentationen sowie Prozesse für Datenschutzverletzungen und Betroffenenrechte.

Das Bundesdatenschutzgesetz ergänzt die DSGVO um nationale Regelungen in Deutschland. Besonders relevant sind Vorgaben zum Beschäftigtendatenschutz sowie zur Benennung eines Datenschutzbeauftragten. Unternehmen müssen sicherstellen, dass sowohl europäische als auch nationale Datenschutzanforderungen eingehalten werden.

Die europäische NIS2-Richtlinie verschärft die Anforderungen an die Cybersicherheit von Unternehmen erheblich. Betroffene Organisationen müssen Sicherheitsmaßnahmen etablieren, Risiken dokumentieren und Sicherheitsvorfälle melden. Besonders relevant ist die stärkere Verantwortung der Geschäftsleitung bei IT-Sicherheitsfragen.

Das deutsche IT-Sicherheitsgesetz verpflichtet Unternehmen – insbesondere Betreiber kritischer Infrastrukturen – zu angemessenen technischen und organisatorischen Sicherheitsmaßnahmen. Ziel ist der Schutz digitaler Systeme vor Cyberangriffen, Ausfällen und Manipulationen.

Die ISO 27001 ist ein international anerkannter Standard für Informationssicherheits-Managementsysteme. Unternehmen schaffen damit strukturierte Prozesse zur Identifikation, Bewertung und Minimierung von Sicherheitsrisiken. Für viele Kunden, Partner und Ausschreibungen ist ein entsprechender Sicherheitsstandard inzwischen Voraussetzung.

Mit dem EU AI Act schafft die Europäische Union erstmals verbindliche Regeln für den Einsatz künstlicher Intelligenz. Unternehmen müssen KI-Systeme je nach Risikoklasse bewerten und bestimmte Transparenz-, Dokumentations- und Kontrollpflichten erfüllen. Besonders Hochrisiko-KI-Systeme unterliegen strengen gesetzlichen Anforderungen.

Neben dem EU AI Act spielen auch Datenschutzrecht, Urheberrecht und Governance-Vorgaben eine wichtige Rolle. Unternehmen müssen nachvollziehbar dokumentieren, wie KI-Systeme eingesetzt werden, welche Daten verarbeitet werden und wie Risiken kontrolliert werden. Verantwortungsvolle KI-Nutzung wird zunehmend zu einem entscheidenden Wettbewerbs- und Vertrauensfaktor.

Ab zwanzig Unternehmens-Mitarbeitern (inkl. GF, Praktikanten, Studenten etc.), die ständig mit der Verarbeitung von personenbezogenen Daten Kontakt haben – unter bestimmten Umständen bereits ohne Mindestmitarbeiteranzahl – muss ein Datenschutzbeauftragter (DSB) bestellt werden. Dieser wird den Behörden entsprechend bekanntgegeben.

Ein interner DSB darf keinen Interessenskonflikt mit seiner üblichen betrieblichen Funktion haben, d.h. es darf nicht ein Mitglied der Geschäftsführung, Leiter IT, Leiter Marketing, Leiter Vertrieb etc. und auch kein Angehöriger der beispielhaft genannten Funktion als DSB bestellt werden. Der entsprechende Mitarbeiter genießt einen besonderen Kündigungsschutz, ähnlich wie ein Betriebsrat.

Die Bestellung eines externen Datenschutzbeauftragten ist zulässig und für ein Unternehmen auf Grundlage eines Dienstleistungsvertrages wesentlich flexibler und für die meisten KMUs günstiger.