Fristen, Nachweise und die Systeme, in denen sie entstehen

Wer im Haus für Compliance zuständig ist, hat selten mit einem Gesetz zu tun. Meistens liegen mehrere gleichzeitig auf dem Tisch, und alle laufen auf dieselben Anwendungen, dieselben Server und dieselben Beschäftigten zu.

Der EU AI Act fragt nach Zweck, Aufsicht und Protokoll eines Modells, das NIS2UmsuCG nach Meldewegen und der Wirksamkeit der Maßnahmen, die DSGVO nach Rechtsgrundlage, Frist und Nachweis. Papier dazu ist fast überall vorhanden: ein Verarbeitungsverzeichnis in einer Tabellendatei, ein Löschkonzept als Textdokument, eine Richtlinie im Intranet. Eine Prüfung will aber den Datensatz sehen, der nach Ablauf der Frist tatsächlich verschwunden ist, den Protokolleintrag dazu und die Person, die die Ausnahme freigegeben hat.

Wir arbeiten deshalb von der Systemseite her. Was ein Regelwerk verlangt, wird zu Feldern, Rollen, Fristen und Protokollen in genau der Anwendung, die den Vorgang ohnehin führt. Das ist unauffällige Arbeit und in aller Regel günstiger, als ein weiteres Werkzeug neben die bestehenden Systeme zu stellen.

Jede Seite geht so weit ins Detail, dass sich der technische Aufwand für Ihr Haus einschätzen lässt.

• KI-Kompetenz nach Art. 4Schulungspflicht aus dem EU AI Act, durchgesetzt ab 02.08.2026.
• EU AI ActRisikoklassen, Pflichten und was das für ein konkretes System heißt.
• NIS2Betroffenheit prüfen, registrieren, Maßnahmen und Meldewege aufsetzen.
• ISO/IEC 27001Unser Zertifikat DS-0722046 und was daraus im Projekt folgt.
• DSGVO-BetriebVerarbeitungsverzeichnis, TOMs, DSFA, Auftragsverarbeitung und Betroffenenrechte.
• LöschkonzeptLöschklassen und Fristen nach DIN 66398, im System hinterlegt und protokolliert.

Betroffenheit je Gesellschaft geprüft

Liste, welche Einheit unter welches Regelwerk fällt

Datenarten, Rollen, Fristen und Dienstleister aufgenommen

Bestandsverzeichnis mit den Lücken, die dabei sichtbar werden

Lücken nach Zuständigkeit sortiert

Getrennte Listen für Technik, Organisation und Rechtsfragen

Anforderungen in der führenden Anwendung umgesetzt

Felder, Rollen, Freigaben und Protokolle im laufenden System

Änderungsdienst eingerichtet

Unterlagen, die mit Datum und Grund fortgeschrieben werden

Der erste Schritt kostet fast nichts: eine Liste, welche Gesellschaft, welche Tätigkeit und welches System von welchem Regelwerk erfasst wird. Sie verhindert den teuersten Fehler dieser Projekte, nämlich Technik zu beschaffen, bevor klar ist, für welche Einheit sie überhaupt gebraucht wird. In Konzernstrukturen fällt regelmäßig eine Tochtergesellschaft unter eine Pflicht, während die Schwestergesellschaft im selben Gebäude davon frei bleibt.

An zwei Stellen hört unsere Arbeit auf. Ein Zertifikat vergibt eine akkreditierte Stelle; wir bauen Systeme so, dass die verlangten Nachweise darin ohnehin entstehen. Und ob eine Gesellschaft unter das NIS2UmsuCG fällt oder wie ein System nach dem EU AI Act einzustufen ist, entscheidet Ihre Rechtsabteilung. Wo wir an einer solchen Stelle stehen, sagen wir es und arbeiten mit der Antwort weiter.

Das Barrierefreiheitsstärkungsgesetz steht oben in der Übersicht, hat hier aber keine eigene Seite. Es wird in der Oberfläche entschieden und deshalb bei der barrierefreien Websitebehandelt. Wie eine KI-Anwendung aussieht, die Datenschutz von Beginn an mitträgt, zeigt die Seite überDSGVO-konforme KI.