Fristen, Nachweise und die Systeme, in denen sie entstehen

Wer im Haus für Compliance zuständig ist, hat selten mit einem Gesetz zu tun. Meistens liegen mehrere gleichzeitig auf dem Tisch, und alle laufen auf dieselben Anwendungen, dieselben Server und dieselben Beschäftigten zu.

Der EU AI Act fragt nach Zweck, Aufsicht und Protokoll eines Modells, das NIS2UmsuCG nach Meldewegen und der Wirksamkeit der Maßnahmen, die DSGVO nach Rechtsgrundlage, Frist und Nachweis. Papier dazu ist fast überall vorhanden: ein Verarbeitungsverzeichnis in einer Tabellendatei, ein Löschkonzept als Textdokument, eine Richtlinie im Intranet. Eine Prüfung will aber den Datensatz sehen, der nach Ablauf der Frist tatsächlich verschwunden ist, den Protokolleintrag dazu und die Person, die die Ausnahme freigegeben hat.

Wir arbeiten deshalb von der Systemseite her. Was ein Regelwerk verlangt, wird zu Feldern, Rollen, Fristen und Protokollen in genau der Anwendung, die den Vorgang ohnehin führt. Das ist unauffällige Arbeit und in aller Regel günstiger, als ein weiteres Werkzeug neben die bestehenden Systeme zu stellen.

Der erste Schritt kostet fast nichts: eine Liste, welche Gesellschaft, welche Tätigkeit und welches System von welchem Regelwerk erfasst wird. Sie verhindert den teuersten Fehler dieser Projekte, nämlich Technik zu beschaffen, bevor klar ist, für welche Einheit sie überhaupt gebraucht wird. In Konzernstrukturen fällt regelmäßig eine Tochtergesellschaft unter eine Pflicht, während die Schwestergesellschaft im selben Gebäude davon frei bleibt.

An zwei Stellen hört unsere Arbeit auf. Ein Zertifikat vergibt eine akkreditierte Stelle; wir bauen Systeme so, dass die verlangten Nachweise darin ohnehin entstehen. Und ob eine Gesellschaft unter das NIS2UmsuCG fällt oder wie ein System nach dem EU AI Act einzustufen ist, entscheidet Ihre Rechtsabteilung. Wo wir an einer solchen Stelle stehen, sagen wir es und arbeiten mit der Antwort weiter.

Das Barrierefreiheitsstärkungsgesetz steht oben in der Übersicht, hat hier aber keine eigene Seite. Es wird in der Oberfläche entschieden und deshalb bei der barrierefreien Websitebehandelt. Wie eine KI-Anwendung aussieht, die Datenschutz von Beginn an mitträgt, zeigt die Seite überDSGVO-konforme KI.