Datenschutz – Pflicht oder Kür?
Mit der Entwicklung immer moderneren Informationstechnologien erkannten die Gesetzgeber die Notwendigkeit, die Verarbeitung von personenbezogenen Daten rechtlich zu regeln. Am 25.Mai 2018 trat neben dem Bundesdatenschutzgesetz (BDSG) die EU-Datenschutz-Grundverordnung (DSGVO) in Kraft. Mit dieser europaweit geltenden Verordnung werden die Persönlichkeitsrechte aller EU-Bürger noch mehr gestärkt. Auf die Unternehmen und die verantwortlichen Stellen kommen jedoch neue Anforderung im Zusammenhang mit der Umsetzung zu. Es ist sowohl eine Pflicht als auch eine Kür, denn eine Missachtung der Vorgaben kann hohe Strafen und dadurch ein Imageverlust nach sich ziehen.
Wir unterstützen mit unserem Know-how interne Datenschutzbeauftragte bzw. Datenschutzverantwortliche und betreuen Unternehmen als externe Datenschutzbeauftragte.
Datenschutzberatung
Eine gute Datenschutzberatung geht weit über die DSGVO und das BDSG hinaus. Unternehmen und Vereineunterliegen heute einer Vielzahl von Gesetzen, wie z.B. dem Sozialgesetzbuch (SGB), dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) und dem Gesetz gegen den unlauteren Wettbewerb (UWG). Jede Branche hat zudem noch spezifische Gesetze und Regelungen zu beachten, z.B. im Gesundheitswesen, im Bildungssektor, in der Hotellerie oder bei Online-Dienstleistungen im In- und Ausland. Insbesondere für kleine und mittelständische Unternehmen ist es schwierig, diese komplexen Anforderungen zu durchschauen und in ihren Arbeitsprozessen zu berücksichtigen.
Als zertifizierte Datenschutzbeauftragte beraten wir individuell und praxisorientiert. Unsere Kunden profitieren aus der Erfahrung aus unserer Beratungstätigkeit seit 2006 in der Datenschutzberatung in den unterschiedlichsten Branchen.
UNSERES LEISTUNGEN IM ÜBERBLICK
- Datenschutzanalyse – Aufnahme des Istzustandes
- Erstellung eines Umsetzungskonzeptes
- Aufbau und Pflege eines Zentralen Datenschutzmanagement Systems (ZDMS)
- Erstellung von relevanten Richtlinien und Vereinbarungen
- Vertretung bei Kontrollen durch die Datenschutzaufsichtsbehörde
- Bereitstellung eines Online-Schulungstools für die Grundschulung Datenschutz und andere Themen
- Schulung der Mitarbeiter vor Ort
- Führen des Verzeichnisses für Verarbeitungstätigkeiten
- Vertragsgestaltung/-ergänzung mit Dienstleistertern im Rahmen der Datenverarbeitung im Auftrag
- Durchführung der Schutzbedarfsfeststellungen, Risikobewertungen und Datenschutz-Folgenabschätzungen
- Durchführung von internen Datenschutzaudits
- Beratung zu einschlägigen und relevanten Rechtsvorschriften (keine Rechtsberatung im juristischen Sinne)
- Beratung über technische und organisatorische Maßnahmen
- Prüfung der Anfragen von Betroffenen (Auskunft, Löschung, Widerspruch)
- Bearbeitung Datenschutzbeschwerden und Datenpannen
- Coaching interner Datenschutzbeauftragter
Datenschutzaudits
Der Umgang mit Kunden- und Mitarbeiterdaten ist für jedes Unternehmen, ob klein oder groß, ein heikles Thema. Welche Daten dürfen erfasst und wie lange dürfen diese gespeichert werden? Wie müssen sie vor Unbefugten geschützt werden? Es gibt viele Punkte zu beachten, die der Gesetzgeber vorgibt.
Um Ihnen die notwendige Sicherheit zu geben, welche Vorgaben Sie bereits im Unternehmen zum Thema Datenschutz umgesetzt haben und wo sich vielleicht noch Schwachstellen befinden, bieten wir Ihnen ein Datenschutzaudit zur Überprüfung der internen Vorgaben in Ihrem Hause oder bei Ihren Dienstleistern im Rahmen der Kontrollpflichten nach Art. 28 Abs. 3 lit. h DSGVO an.
Wir ermitteln für Ihr Unternehmen und Ihre Dienstleister einen Datenschutzstatus für sämtliche Verfahren bzw. Produkte. Mit ihm erkennen wir einen möglichen Handlungsbedarf. Nach erfolgter Prüfung erhalten Sie einen Bericht, den Sie als Nachweis verwenden können. Im Zuge einer kontinuierlichen Evaluierung kann der Datenschutzbeauftragte oder die IT-Abteilung Maßnahmen ergreifen, welche die Verarbeitung der Ihnen anvertrauten, personenbezogenen Daten verbessern.
Die Vorbereitung eines Datenschutzaudits lässt sich – ohne Anspruch auf Vollständigkeit – mit Hilfe von vier Leitfragen vereinfachen:
- In welchen Verfahren werden welche personenbezogenen Daten für welchen Zweck erhoben, verarbeitet oder genutzt?
- Wer ist gegenüber den Betroffenen sowie innerhalb der Organisation für die Datenverarbeitung und seine Datenschutzkonformität verantwortlich?
- Entspricht das Verfahren seiner Dokumentation? Ist das Datenschutz- und Sicherheitskonzept nachvollziehbar und implementierbar?
- Auf welcher Rechtsgrundlage erfolgt die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten und werden die entsprechenden Anforderungen erfüllt?
Durch eine zielorientierte Umsetzung reduzieren Sie das Risiko, sensible Daten zu verlieren, einen Imageverlust zu erleiden oder gar verklagt zu werden.
Datenschutzlösungen
Schon zu alten BDSG-Zeiten ging es um die Technischen und organisatorischen Maßnahmen, kurz TOMs genannt. Das Thema ist nicht neu. Die Anforderungen spiegeln sich vor allem in der DSGVO unter Artt. 5, 25 und 32 wider – und das nicht ohne Grund. Softwarelösungen helfen uns, die Datenverarbeitung sicher zu gestalten, unabhängig ob es sich um personenbezogene oder betriebliche Daten handelt. Während Art. 25 DSGVO den Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen regelt, fordert Art. 32 DSGVO von uns Instrumente zu implementieren, welche die Sicherheit in der Verarbeitung von Daten gewährleistet.
Als externe Datenschutzbeauftragte prüfen wir die Software- und Systemanwendungen für unsere Kunden und bewerten diese unter datenschutzrechtlichen Aspekten. Zudem organisieren wir unsere tägliche Arbeit in einem eigenen System und erfüllen die Anforderungen der Dokumentations- und Nachweispflicht, welche die DSGVO jedem Unternehmen auferlegt.
Nachfolgend gehen wir sowohl auf unsere eigenen Lösungen als auch auf Lösungen anderer Anbieter ein, welche wir zum größten Teil auch selber nutzen.
Unsere eigenen Lösungen
Unsere Datenschutzmanagement Software (ZDMS)
Die DSGVO verlangt von jedem Unternehmen umfangreiche Dokumentations- und Nachweispflichten. Um diese für unsere Kunden und für unsere eigene Tätigkeit zuverlässig zu erfüllen, haben wir das Zentrale Datenschutz-Management-System (ZDMS) entwickelt. Es bündelt alle datenschutzrelevanten Informationen und Dokumente an einer Stelle und ersetzt verstreute Excel-Dateien und Ablagen auf Fileservern oder in Cloudsystemen.
Im ZDMS führen Sie das Verzeichnis von Verarbeitungstätigkeiten, verwalten Ihre Auftragsverarbeiter und dokumentieren die technischen und organisatorischen Maßnahmen. Zu jedem Verfahren lassen sich Schutzbedarfsfeststellung, Risikobewertung und Transfer Impact Assessment erstellen, bei Bedarf auch eine Datenschutz-Folgenabschätzung. Jeder Datensatz kann mit einem oder mehreren Dokumenten verknüpft werden, sodass alle Nachweise auf Knopfdruck bereitstehen.
Die wichtigsten Merkmale im Überblick
- Verzeichnis von Verarbeitungstätigkeiten zentral erstellen und pflegen
- Auftragsverarbeiter und den Status der Vereinbarungen im Blick behalten
- Technische und organisatorische Maßnahmen dokumentieren und nachweisen
- Schutzbedarf, Risiko, TIA und bei Bedarf DSFA je Verfahren
- Dokumente mit den jeweiligen Datensätzen verknüpfen
- Mandanten- und mehrbenutzerfähig, Zusammenarbeit über Workflows
- Zugriff von jedem Gerät, zentrale Dokumentation an einem Ort
Das System lässt sich ohne tiefe Programmierkenntnisse an die eigenen Anforderungen anpassen und erweitern. Durch die Mandantenfähigkeit können wir unsere Kunden individuell einbinden, sodass diese ihre Verfahren im Verzeichnis selbst erstellen und aktualisieren können.
Auditdatenbank – direkt mit dem ZDMS verknüpft
Ergänzend zum ZDMS bieten wir unsere Auditdatenbank an, die unmittelbar mit dem Datenschutz-Management-System verbunden ist. Mit ihr führen Sie strukturierte Audits durch und bewerten den aktuellen Stand Ihrer Datenschutz- und Sicherheitsorganisation. Nach der Beantwortung aller Fragen erhalten Sie eine Bewertung des Umsetzungsgrades in den auditierten Bereichen, etwa der allgemeinen Datenschutzorganisation im Unternehmen, der IT-Sicherheit oder der Personaldatenverarbeitung.
Die Audits sind nicht starr. Sie lassen sich individuell an Ihr Unternehmen anpassen und um weitere Bereiche und Fragen erweitern. Aus den Ergebnissen leiten Sie unmittelbar konkrete Maßnahmen ab und übertragen diese direkt in das ZDMS. So schließt sich der Kreis aus Bestandsaufnahme, Bewertung, Maßnahmenableitung und Dokumentation in einem durchgängigen System.
Die wichtigsten Merkmale der Auditdatenbank
- Bewertung des aktuellen Standes in den auditierten Bereichen nach Beantwortung aller Fragen
- Vordefinierte Auditbereiche, unter anderem Datenschutzorganisation, IT-Sicherheit und Personaldatenverarbeitung …
- Individuell anpass- und erweiterbare Audits
- Direkte Ableitung von Maßnahmen aus den Auditergebnissen
- Übertragung der Maßnahmen unmittelbar in das ZDMS
Wir setzen das ZDMS und die Auditdatenbank bei unseren Kunden ein und bieten beide ebenso anderen Unternehmen und externen Datenschutzbeauftragten an, die eine Datenschutzmanagement-Software suchen. Gern unterstützen wir Sie bei der Einrichtung und auf Wunsch mit weiterem Support.
Bei Fragen oder für eine Vorstellung wenden Sie sich an uns oder buchen Sie direkt einen Termin.
Self-Assessment-Systems zur Risikobewertung IT „SINuS“
Die Anforderungen an die Cyber- und Informationssicherheit steigen, nicht zuletzt durch die EU-Richtlinie NIS2. Mit unserem Self-Assessment-System SINuS ermitteln Sie strukturiert und methodisch fundiert, wo Ihr Unternehmen bei der IT-Sicherheit steht, und leiten daraus konkrete Maßnahmen ab. Die Risikobewertung führen Sie dabei selbst durch. Eine externe Beratung ist an dieser Stelle nicht erforderlich.
Nicht nur für NIS2-pflichtige Unternehmen
SINuS richtet sich nicht allein an Unternehmen, die unmittelbar unter NIS2 fallen. Auch wer nicht direkt verpflichtet ist, profitiert von einer strukturierten Sicherheitsbewertung. In vielen Lieferketten verlangen NIS2-pflichtige Auftraggeber von ihren Zulieferern und Dienstleistern inzwischen Sicherheitsnachweise, Risikobewertungen und dokumentierte Maßnahmen. Ebenso fragen Cyberversicherer vor Vertragsabschluss zunehmend den Stand der technischen und organisatorischen Sicherheit ab. In beiden Fällen liefert SINuS eine belastbare Grundlage.
Darüber hinaus dient SINuS grundsätzlich jedem Unternehmen, unabhängig von Branche und Größe, dazu, sich gegen Cyberangriffe und andere Ausfälle aufzustellen. Betrachtet werden nicht nur digitale Bedrohungen, sondern auch Risiken wie Stromausfall, Feuer, Sturm und weitere Ereignisse, die den Geschäftsbetrieb beeinträchtigen können.
Fundierte Methodik auf BSI-Basis
SINuS beruht auf dem vom BSI initiierten Projekt „Weg in die Basis-Absicherung“ (WiBA). WiBA wurde vom BSI entwickelt, um den Einstieg in den IT-Grundschutz für Behörden, Unternehmen und Einrichtungen zu vereinfachen. Es eignet sich für öffentliche Verwaltungen ebenso wie für betroffene Einrichtungen der KMU. In einem strukturierten Selbstaudit lässt sich die Risikoanalyse nach den BSI-Gefährdungen durchführen. Bei Bedarf kann auch die Anwendbarkeit der ISO Controls nach ISO 27001:2022 Anhang A im Sinne eines Statement of Applicability (SoA) berücksichtigt werden.
Sie bewerten Ihren IST-Stand, identifizieren die Risiken und implementieren Maßnahmen, um das Risiko zu reduzieren. Zu jeder Frage werden Ihnen zahlreiche Maßnahmenempfehlungen angeboten.
Die wichtigsten Merkmale im Überblick
- Strukturiertes Selbstaudit auf Grundlage des BSI IT-Grundschutz (WiBA)
- Risikoanalyse nach den BSI-Gefährdungen, optional Abgleich mit den ISO Controls nach ISO 27001:2022 Anhang A
- GAP-Analyse zur Bestimmung des aktuellen Sicherheitsstatus
- Risikobewertung nach Eintrittswahrscheinlichkeit und Schadenshöhe
- Vollständige Betrachtung der elementaren Gefährdungen des BSI IT-Grundschutz, etwa Stromausfall, Feuer, Wasser und Sturm, neben den digitalen Bedrohungen
- Zahlreiche Maßnahmenempfehlungen zu jeder Prüffrage
- Dokumentation der Maßnahmenumsetzung über einen Zeitstrahl
- Aggregation der Ergebnisse im Management-Review für die Führungsebene
- Dokumentation von IT-Sicherheitsvorfällen nach den gesetzlichen Vorgaben
So entsteht ein fortlaufender Verbesserungsprozess und der Aufbau eines eigenen Cybersicherheits-Managementsystems. SINuS eignet sich unabhängig davon, ob eine gesetzliche Verpflichtung nach NIS2 oder KRITIS besteht, ob Anforderungen aus der Lieferkette oder von einem Cyberversicherer zu erfüllen sind oder ob das Thema allein aus der wachsenden Bedrohungslage an Bedeutung gewinnt.
Weitere Einblicke bieten unsere Videos zum Datenmodell SINuS und zum NINOX-Webinar vom 10.02.2026.
Mehr Informationen finden Sie unter www.sinus-nis.cloud. Bei Fragen oder zur Einladung in das Test-Team wenden Sie sich an uns oder buchen Sie direkt einen Termin.
Lösungen von anderen Anbietern
E-Mail-Verschlüsselung
E-Mail-Verschlüsselung im Bereich von klein- und mittelständische Unternehmen stellte sich bisher als recht umständlich heraus. Die einfachste Lösung ist eine Datei oder einen Container (ZIP-Datei) zu verschlüsseln. Allerdings ist dann noch nicht der Inhalt der E-Mail verschlüsselt. Im nächsten Schritt bietet sich eine End-zu-End-Verschlüsselung mit Zertifikaten wie S/MIME oder PGP an. Das generieren der Zertifikate und der Austausch mit den Kommunikationspartnern stellt sich aber als recht kompliziert da. Auch wir hatten hier so unsere Herausforderungen. Dann lernten wir REDDCRYPT, ein Produkt der REDDOXX GmbH kennen und waren von der einfachen Handhabung begeistert.
Eine Registrierung mit E-Mail-Adresse und Passwort reichte aus, es konnte auf der Weboberfläche oder in einer App fürs Smartphone losgehen. Für die betriebliche Nutzung konnten wir ein Outlook Plugin installieren. Die Kosten halten sich im Rahmen und sind auf jeden Fall ihr Geld wert.
Webseiten-Check
In unserer täglichen Arbeit als Datenschutzbeauftragte prüfen wir regelmäßig eine Vielzahl von Webseiten auf Datenschutz-Konformität. Für die automatisierte Analyse setzen wir die Compliance-Software decareto ein. Aus dieser Praxis heraus können wir das Tool empfehlen.
decareto ist eine Plattform zur automatisierten Website-Compliance-Analyse. Sie prüft Webseiten auf Datenschutz-Risiken nach DSGVO, BDSG, Swiss DSG und TDDDG sowie auf Barrieren nach den WCAG- und BITV-Kriterien. Die Ergebnisse werden in übersichtlichen Compliance-Reports mit konkreten Handlungsempfehlungen dargestellt.
Was decareto leistet
Das Datenschutz-Audit erkennt Cookies, Drittanbieterdienste, Server-Sicherheitsmerkmale und fehlerhaft eingebundene Consent-Banner. So werden Compliance-Risiken frühzeitig sichtbar und lassen sich gezielt beheben. Über ein kontinuierliches Monitoring werden Webseiten regelmäßig gescannt, Änderungen werden nachvollziehbar dokumentiert.
Der Datenschutzgenerator erstellt scan-basierte Datenschutzerklärungen, die zum tatsächlichen Inhalt der Webseite passen, und bildet spätere Änderungen nachvollziehbar ab. Datenschutzerklärungen lassen sich damit komfortabel erstellen, zentral verwalten und in mehreren europäischen Sprachen ausgeben.
Das Barrierefreiheit-Audit prüft Webseiten automatisiert nach WCAG und BITV, priorisiert gefundene Barrieren nach Schweregrad und liefert Handlungsempfehlungen zur Umsetzung der Anforderungen des Barrierefreiheitsstärkungsgesetzes (BFSG).
Warum wir decareto empfehlen
Für Datenschutzbeauftragte, Kanzleien und Agenturen bietet decareto einen belastbaren Überblick über den Compliance-Status vieler Webseiten an einem zentralen Ort. Prüfergebnisse und Nachweise stehen auf Knopfdruck bereit, die Reports lassen sich im eigenen Branding erstellen und mit Kunden teilen. Für uns ist decareto damit ein verlässliches Werkzeug, um Webseiten datenschutzrechtlich fundiert zu bewerten und unsere Kunden gezielt zu beraten.
Passwortmanager
Wir predigen immer ein gutes Passwortmanagement. Mindestens 12 Stellen, Groß- und Kleinbuchstaben sowie Zahlen und Sonderzeichen. Dann soll noch für jeden Account ein separates Passwort vergeben werden. Da kann man schnell den Überblick verlieren.
Auf der Suche nach geeigneten Passwortmanagern, ohne die ist ein gutes Passwortmanagement nicht möglich, haben wir kostenfreie und kostenpflichtige Tools getestet. Dabei haben wir im betrieblichen Bereich ein Augenmerk auf die Administration gelegt. In vielen Firmen nutzen zum Teil mehrere Mitarbeiter dieselben Zugangsdaten in Onlineportalen, haben aber auch ihre eigenen Passwörter. Gemeinsam genutzte Passwörter sollten aber nicht von jedem Mitarbeiter gesehen werden, um einen Missbrauch zu vermeiden. Auch das zuverlässige, selbstständige Ausfüllen der Zugangsdaten auf der Webseite stellt einige Passwortmanager vor Herausforderungen. Mit Keeper haben wir einen Passwortmanager gefunden, welcher unsere Bedürfnisse erfüllt und den wir gerne weiterempfehlen.
Low-Code-Plattform
Unsere eigenen Datenschutz-Werkzeuge, das Zentrale Datenschutz-Management-System (ZDMS), die Auditdatenbank und unser NIS2-Selbstauditsystem SINuS, sind auf der Plattform Ninox aufgebaut. Wir sind offizieller Partner der Ninox Software GmbH und arbeiten seit Jahren mit der Plattform. Aus dieser Praxis heraus empfehlen wir Ninox.
Ninox ist eine Low-Code-Plattform, mit der Unternehmen individuelle Datenbanken und Business-Anwendungen erstellen, ohne den Aufwand klassischer IT-Projekte. Statt sich an eine Standardsoftware anzupassen, gestalten Unternehmen genau die Lösung, die zu ihren Prozessen passt, und erweitern sie, wenn die Anforderungen wachsen.
Was Ninox leistet
Mit Ninox lassen sich Anwendungen für CRM und Vertrieb, Rechnungen und Aufträge, Inventar und Lager, Projekte und Aufgaben, HR und Personal bis hin zu branchenspezifischen Lösungen abbilden. Datensätze können mit Dokumenten verknüpft, Prozesse automatisiert und Berichte, Verträge oder Rechnungen direkt aus der Anwendung erstellt werden. E-Mail-Dienste wie Gmail und Outlook lassen sich anbinden, sodass die Arbeit in einem zentralen System zusammenläuft.
Datenschutz und Datensicherheit
Für uns als Datenschutzbeauftragte ist entscheidend, dass die Plattform hohe Anforderungen an Datenschutz und Datensicherheit erfüllt. Ninox hostet die Unternehmensdaten in zertifizierten Rechenzentren in Deutschland und weist Zertifizierungen nach ISO 27001, ISO 9001 und DSGVO aus. Zum Sicherheitskonzept gehören eine durchgehende Verschlüsselung von der Speicherung bis zur Übertragung, rollenbasierte Zugriffsrechte, eine hohe Verfügbarkeit mit automatischem Failover sowie regelmäßige Backups und ein Disaster-Recovery-Konzept.
Warum wir Ninox empfehlen
Ninox verbindet Flexibilität mit einem soliden Sicherheitsniveau und einer Datenhaltung in Deutschland. Genau diese Kombination hat uns ermöglicht, unsere eigenen datenschutzkonformen Anwendungen aufzubauen, mit denen wir Dokumentationspflichten erfüllen und unsere Kunden effizient betreuen. Für Unternehmen, die eine maßgeschneiderte und zugleich datenschutzgerechte Softwarelösung suchen, ist Ninox aus unserer Sicht eine sehr gute Wahl.
Unser Datenschutzpaket für klein- und mittelständische Unternehmen und Einrichtungen
Auch für kleine Unternehmen, Verbände, Arztpraxen, Apotheken, Onlineshops etc., die keinen Datenschutzbeauftragten seitens der Gesetzgebung benötigen, gilt die DSGVO im vollen Umfang. Insbesondere wo sensible und vertrauliche Daten verarbeitet werden, bspw. Gesundheits- oder Zahlungsdaten, sollte sich die Unternehmensleitung oder der Inhaber mit der Thematik Datenschutz genauer auseinandersetzen. Das ist oft nicht leicht, denn ohne einen Lehrgang zum Datenschutz ist es nahezu unmöglich, die Tragweite der Anforderungen, die sich aus der DSGVO, dem BDSG und anderen Gesetzen ergeben, zu erfassen.
Unser Know-how möchten wir gern weitergeben, um Ihnen das Leben in Hinblick Datenschutz zu erleichtern. Für ausgewählte Branchen, in welchen wir selbst beratend tätig sind, haben wir individuelle Pakete mit branchenspezifischen Vorlagen geschnürt. Die Verantwortung bleibt weiter bei Ihnen, im Aufbau einer Datenschutzorganisation nach den Vorstellungen der Gesetzgebung können wir Sie unterstützen.
Mehr zu den Branchenlösungen und Preisen erfahren Sie hier.
UMFANG
Grundpaket
- individueller Account auf unser Datenschutz-Management-System
- individueller Account auf unser Onlineschulungstool zum Datenschutz
- Bereitstellung von branchenspezifischen Unterlagen (Richtlinien, Arbeitsanweisungen, Vereinbarungen, …) als Entwurf
- branchenspezifische Vorlagen für Verzeichnis für Verarbeitungstätigkeiten
- Verzeichnis zu branchenspezifische Auftragsdatenverarbeiter
optional
- Webseiten-Check inkl. Prüfung/Anpassung Datenschutzerklärung
- Bereitstellung eines Consent Manager Tools (umgangssprachlich Cookiebanner) für die eigene Webseite (über Kooperationspartner)
- individuelle Beratung zu Datenschutzthemen auf Anfrage (Probleme, die Sie nicht lösen können oder wollen) via Telefon oder Video
- Durchführung von Datenschutzaudits vor Ort inkl. Bericht
Einsatz von KI im Unternehmen und der Schutz von Unternehmens- und Personendaten
Künstliche Intelligenz (KI oder AI) ist nichts Neues, seit der Einführung der Software ChatGPT jedoch in aller Munde. Mit dieser Software ist es für Jeden sehr einfach KI zu nutzen, das Ausprobieren macht Spaß. Dennoch ist es erforderlich auch einen kritischen Blick auf das Thema zu werfen und den Schutz von Unternehmens- und Personendaten sowie das Urheberrecht zu bewerten.
Was hat KI mit Datenschutz zu tun?
Es ergibt sich bereits aus der Definition, dass KI und Datenschutz eng miteinander verknüpft sind. Die KI lernt aus der Analyse von vielen Daten und wertet Texte, Bilder, Sprache und Verhaltensweisen aus. Ein Beispiel was wir alle kennen ist das Navigationssystem mit Verkehrserkennung. Wie in jedem Prozess, bei dem personenbezogene Daten verarbeitet werden, ist auch hier eine Rechtgrundlage erforderlich. Diese zu finden, fällt nicht leicht. Eine mögliche Grundlage wäre die Einwilligung des Nutzers. Sollen die Bedingungen der Einwilligung, die sich aus Art. 7 DSGVO ergeben, umgesetzt werden, muss der Verantwortliche transparent über die Datenverarbeitung informieren. Diese Transparenz zu schaffen ist schwer möglich, da derzeit nicht eindeutig ist, wie die KI die Daten verarbeitet und wo diese gespeichert werden. Selbst die Programmierer geben teilweise zu, dass sie nicht zu 100% wissen, wie der Algorithmus der KI funktioniert. Wie soll da ein Anwender transparent informiert werden?
Hinzu kommt aus Sicht des Datenschutzes, dass die Anbieter von KI-Software wie z.B. OpenAI (ChatGPT) Datenschutzvereinbarungen anbieten, die nicht zum Verarbeitungsumfang der Software passen. Die KI verarbeitet die Daten eigenständig, ohne dass der Auftraggeber, also das nutzende Unternehmen weiß, welche Daten verarbeitet werden. Das Unternehmen hat keinen bzw. einen eingeschränkten Einfluss auf die Verarbeitung. Damit handelt es sich nicht um eine reine Datenverarbeitung im Auftrag, wie wir sie von den meisten Dienstleistern kennen, sondern es liegt die Verantwortung zum überwiegenden Teil bei den Anbietern der KI. Hier ist rechtlich noch einiges zu klären.
KI bietet viele neue Möglichkeiten, die schwer vorhersehbar sind. Dienstleister werden immer häufiger Lösungen mit KI-Schnittstellen anbieten. Bevor sie eine KI-Software nutzen wollen, z.B. als ChatBot zur Beantwortung von Fragen auf der Webseite, für die Kommunikation mit Kunden etc. – halten sie bitte Rücksprache mit Ihrem Datenschutzbeauftragten.
Welche Rolle spielt das Urheberrecht?
Texte und Bilder mit KI zu erstellen, birgt die Gefahr das Urheberrecht zu verletzen. Die Rechte am Bild z.B. ein Foto einer Person, sind auch bei der Verwendung von KI zu schützen. Es ist nicht erlaubt geschützte Bilder, Texte oder Fotos, insbesondere mit Personenbezug, einfach in eine KI-Software hochzuladen. Hier bedarf es ebenfalls der Einwilligung der abgelichteten Person oder des Fotografen. Das Urheberrechtsgesetz ist auch bei der Nutzung von KI zu beachten.
Was ist mit Unternehmens- und Geschäftsgeheimnissen?
Daten, welche in die KI-Software eingegeben werden, können je nach Anbieter für das Anlernen der KI frei verwendet werden. D.h., wenn interne Unterlagen, Gesprächs- oder Meetingnotizen hochgeladen werden, dann sind diese nicht mehr in der Kontrolle des Nutzers, sondern in den Datenspeichern der KI. Daher ist es unbedingt zu vermeiden, dass interne Unterlagen, Gesprächsnotizen oder andere für das Unternehmen schützenswerte Daten mittels KI verarbeitet werden.
Welche Konsequenzen kann das für das Unternehmen haben?
ChatGPT wurde in Italien bereits verboten. Es ist zu erwarten, dass sich auch die deutschen Aufsichtsbehörden dazu entsprechend positionieren. Eine rechtssichere Nutzung von KI-Software in Verbindung mit personenbezogenen Daten ist derzeit nicht möglich, sodass es hier zu hohen Bußgeldern kommen kann. Weiterhin kann es für das Unternehmen existenzbedrohend sein, wenn z.B. Geschäftsgeheimnisse durch die KI in Umlauf geraten, wie der Vorfall bei Samsung zeigt.
Gibt es geseztliche Regelungen?
Ein Gesetz zur Regelung des Einsatzes von KI in Europa, die KI-Verordnung, ist im Entwurf bereits vorhanden, allerdings wird mit dem Inkrafttreten erst 2025 gerechnet.
Ziel der Verordnung ist die Harmonisierung der Vorschriften für KI-Systeme in Europa und die Festlegung von Verpflichtungen in Bezug auf die Entwicklung, das Anbieten und die Verwendung von KI-Software.
Welche Regeln sind bei der Nutzung zu beachten?
Bei der Nutzung von KI im Unternehmensbereich sollten zum Schutz von Geschäfts- und Personendaten folgende Regeln aufgestellt werden:
- Keine Eingabe sensitiver Unternehmensdaten oder Geschäftsgeheimnisse!
- Keine Eingabe personenbezogener Daten!
- Keine Abfrage von sensitiven personenbezogenen im Rahmen der Bereitstellung von Kommunikationsmöglichkeiten!
Sie sollten sicherstellen, dass die Regeln im Unternehmen kommuniziert werden und die Beschäftigten entsprechend geschult werden. Denn wichtig für die Einhaltung der Vorgaben ist die Sensibilisierung der Beschäftigten zu diesem Thema.
Bei Fragen zur Verwendung von KI im Unternehmen oder insgesamt zum Datenschutz können Sie sich an uns wenden. Wir beraten Sie gern! Kontakt
Stand | 24.08.2026
NIS2 – IT-Sicherheit strukturiert nachweisen mit SINuS
Die EU-Richtlinie NIS2 hebt die Anforderungen an die Cyber- und Informationssicherheit auf ein deutlich höheres Niveau. Sie betrifft weit mehr Unternehmen als häufig angenommen. Neben den klassischen Sektoren mit hoher Kritikalität wie Energie, Verkehr, Gesundheit und Finanzwesen rücken zahlreiche weitere Bereiche in den Anwendungsbereich. Dazu zählen unter anderem Post- und Kurierdienste, die Abfallwirtschaft, die chemische Industrie, die Lebensmittelproduktion, Teile des verarbeitenden Gewerbes sowie Anbieter digitaler Dienste.
Mit unserem Self-Assessment-System SINuS klären Sie strukturiert und methodisch fundiert, wo Ihr Unternehmen steht.
Betroffen sein, ohne es zu wissen – auch über die Lieferkette
Viele Unternehmen gehen davon aus, dass NIS2 sie nicht betrifft, weil sie nicht zur kritischen Infrastruktur gehören. Das greift zu kurz. NIS2 fordert von betroffenen Unternehmen ausdrücklich, die Sicherheit ihrer gesamten Lieferkette zu bewerten. Damit geraten auch Zulieferer, Dienstleister und Partner in den Fokus, die selbst nicht unmittelbar unter die Richtlinie fallen. Wer beispielsweise Komponenten, Software, Logistik oder Cloud-Leistungen für ein NIS2-pflichtiges Unternehmen erbringt, wird über vertragliche Anforderungen faktisch in die Pflicht genommen. Sicherheitsnachweise, Risikobewertungen und dokumentierte Maßnahmen werden so zunehmend zur Voraussetzung für Geschäftsbeziehungen. Die Frage lautet daher nicht nur ob Sie direkt betroffen sind, sondern auch welche Rolle Sie in der Versorgungskette Ihrer Kunden einnehmen.
Betroffenheitsprüfung als erster Schritt
Eine Betroffenheitsprüfung zeigt, ob und in welcher Form ein Unternehmen unter die NIS2-Vorgaben fällt. Sie stützt sich auf drei Kernfragen. In welchem Sektor ist das Unternehmen tätig. Erreicht es die relevanten Schwellenwerte bei Mitarbeiterzahl oder Umsatz. Besteht eine besondere Kritikalität innerhalb der Lieferkette. Maßgeblich sind dabei häufig die bekannten EU-KMU-Schwellenwerte. Mittlere Unternehmen ab 50 Mitarbeitenden oder 10 Mio. Euro Umsatz sind in vielen Sektoren bereits verpflichtet. Große Unternehmen ab 250 Mitarbeitenden oder 50 Mio. Euro Umsatz fallen fast immer darunter, sofern sie in einem relevanten Sektor tätig sind. Auch kleinere Unternehmen können betroffen sein, wenn sie eine zentrale Rolle im Versorgungssystem einnehmen oder exklusive Produkte für kritische Branchen liefern.
Was SINuS leistet
SINuS ist ein Self-Assessment-System auf Grundlage des vom BSI initiierten Projektes „Weg in die Basis-Absicherung“ (WiBA). Es kombiniert eine klare Selbstaudit-Struktur mit einem detaillierten Datenmodell aus dem BSI IT-Grundschutz und den zugehörigen Gefährdungs- und Maßnahmenkatalogen. In einem strukturierten Selbstaudit lässt sich die Risikoanalyse für NIS2 effizient durchführen. Das BSI betrachtet dabei 19 Kategorien, die durch zahlreiche Fragen unterlegt und mit den BSI-Grundschutz-Bausteinen verknüpft sind. Jede Prüffrage ist mit möglichen Gefährdungen sowie mit ableitbaren Maßnahmen, Empfehlungen und Hinweisen hinterlegt.
Mit SINuS können Sie in einer GAP-Analyse Ihren aktuellen NIS2-Status bestimmen, Risiken nach Eintrittswahrscheinlichkeit und Schadenshöhe bewerten und daraus konkrete technische und organisatorische Maßnahmen ableiten. Die Umsetzung dieser Maßnahmen lässt sich dokumentieren und über einen Zeitstrahl verfolgen. So entsteht ein fortlaufender Verbesserungsprozess, dessen Ergebnisse sich im Management-Review für die Führungsebene aggregieren lassen. Auch die Dokumentation von IT-Sicherheitsvorfällen entsprechend den gesetzlichen Vorgaben ist im System vorgesehen. SINuS unterstützt damit den Aufbau eines eigenen Cybersicherheits-Managementsystems und eignet sich unabhängig davon, ob eine gesetzliche Verpflichtung nach NIS2 oder KRITIS besteht oder ob das Thema schlicht aus der wachsenden Bedrohungslage heraus an Bedeutung gewinnt.
Kosten und kostenfreie Teststellung
SINuS ist ab 170,00 Euro monatlich verfügbar. Die Lizenz umfasst die Nutzung des Templates inklusive einer Ninox-Lizenz. Jede weitere Ninox-Lizenz kostet 45,00 Euro monatlich. Ein optionales Support-Paket ab 20,00 Euro monatlich umfasst die laufende Aktualisierung der NIS-Fragen, Prüffragen und Maßnahmenempfehlungen sowie Support per Telefon und E-Mail. Auf Wunsch kann SINuS auch käuflich erworben und in die eigene Ninox-Cloud übernommen werden. Alle Preise verstehen sich zzgl. der gesetzlichen MwSt.
Sie möchten sich selbst ein Bild machen. Wir laden Sie zu einer unverbindlichen und kostenfreien Teststellung ein. Überzeugen Sie sich davon, wie einfach und zugleich tiefgreifend eine strukturierte IT-Sicherheitsbewertung sein kann.
Jetzt kostenfrei testen · Zur Betroffenheitsprüfung · Zu den Preisen
Stand | 24.08.2026
Das neue Outlook kommt. Und bringt eine Datenschutzfrage mit
Microsoft tauscht das klassische Outlook nach und nach gegen das neue Outlook für Windows. Für Unternehmen wurde der Pflichttermin auf März 2027 geschoben. Klingt weit weg, ist aber genau der richtige Moment, um hinzuschauen. Denn hinter der neuen Oberfläche steckt mehr, als man denkt.
Was ändert sich?
Es geht um extern gehostete Postfächer. Also Mails, die nicht bei Microsoft liegen, sondern bei Ihrem Provider oder auf dem eigenen Server.
Bisher holte Outlook diese Mails direkt vom Mailserver. Microsoft war außen vor. Im neuen Outlook läuft das anders. Der Abruf geht jetzt über die Microsoft-Cloud. Und dabei passiert Folgendes.
- Ihre Zugangsdaten wandern zu Microsoft. Bei klassischen IMAP-Konten sogar Benutzername und Passwort im Klartext.
- Microsoft greift damit selbst auf Ihr Postfach zu.
- Kopien Ihrer Mails, Kontakte und Termine landen in der Microsoft-Cloud.
Warum ist das ein Problem?
Wer Zugangsdaten und Mails aus der Hand gibt, gibt Kontrolle ab. Und zwar nicht nur über personenbezogene Daten, sondern auch über Geschäftsgeheimnisse und Internes. Kurz gesagt, über alles, was so in E-Mails steht.
Der springende Punkt sind die Zugangsdaten. Wer Login und Passwort hat, hat nicht nur einzelne Mails, sondern das ganze Postfach. Alte und neue, gesendete und empfangene. Der Generalschlüssel liegt dann bei einem Dritten. Und daraus ergeben sich mehrere Risiken:
Voller Zugriff aufs Postfach
Mit den hinterlegten Zugangsdaten lässt sich das komplette Postfach öffnen, nicht nur die frisch synchronisierten Mails.
Mitlesen von Inhalten
Ihre Mails liegen als Kopie in der Cloud und werden dort auch für KI-Funktionen ausgewertet. Die Möglichkeit, Inhalte zur Kenntnis zu nehmen, besteht damit grundsätzlich.
Angriffe von außen
Wo Zugangsdaten zentral gespeichert sind, entsteht ein attraktives Ziel. Wird die Infrastruktur des Anbieters kompromittiert, sind gleich sehr viele Postfächer auf einmal betroffen.
Missbrauch des Kontos
Mit vollem Zugriff könnte in Ihrem Namen kommuniziert werden. Das reicht von unbemerktem Mitlesen bis zu Mails, die scheinbar von Ihnen stammen.
Auch das BSI ist skeptisch. Nachvollziehbar, denn für den Umweg über die Cloud gibt es technisch keinen Grund. Direktabruf, klassisches Outlook oder ein anderer Mailclient können das genauso, ohne dass Passwörter das Haus verlassen.
Dazu kommt der Zugriff durch US-Behörden. Über Gesetze wie den CLOUD Act kommen die an Daten von US-Anbietern, egal wo die liegen. Ein Vertrag schützt davor nicht wirklich.
Sind Sie betroffen?
Vor allem dann, wenn Sie extern gehostete Postfächer nutzen. Wer komplett in Microsoft 365 arbeitet, ist von dieser Sache nicht im selben Maße betroffen.
Was Sie tun können
Nichtstun ist keine Option, Hektik aber auch nicht. Sie haben mehrere Möglichkeiten.
Beim alten Outlook bleiben
Die automatische Umstellung lässt sich per Richtlinie bis 2027 stoppen.
Sauber trennen
Neues Outlook nur für Microsoft-365-Postfächer, externe Postfächer weiter direkt abrufen.
Client wechseln
Tools wie Thunderbird holen die Mails direkt, ganz ohne Cloud dazwischen.
Unser Tipp
Solange Microsoft keine Lösung ohne Cloud-Zwischenstation anbietet, sollten externe Postfächer nicht einfach ins neue Outlook rutschen. Und wenn die Funktion im ganzen Unternehmen aktiviert wird, empfehlen wir eine Datenschutz-Folgenabschätzung.
Quellen und Fundstellen
Die Stellungnahme stützt sich auf öffentlich zugängliche Quellen. Die wesentlichen Fundstellen sind nachfolgend aufgeführt.
heise online, Microsoft bezieht Stellung zur Übertragung von Zugangsdaten (15.11.2023)
https://www.heise.de/news/Neues-Outlook-Microsoft-bezieht-Stellung-zur-Uebertragung-von-Zugangsdaten-9528869.html
heise online / c’t, BSI sieht Cloudzwang kritisch (22.11.2023)
https://www.heise.de/news/Neue-Outlook-App-BSI-sieht-Cloudzwang-kritisch-9536892.html
TU Berlin, Datenschutz-Notizen, Übertragung von Zugangsdaten (23.11.2023) https://blogs.tu-berlin.de/datenschutz_notizen/2023/11/23/neue-outlook-app-uebertraegt-zugangsdaten-in-die-microsoft-cloud/
heise online, Unternehmen erhalten ein weiteres Jahr, Umstellung März 2027 (23.02.2026) https://www.heise.de/news/Neues-Outlook-Microsoft-verschont-Unternehmen-ein-weiteres-Jahr-11185972.html
M365-Mailhosting und worin liegt der Unterschied zu extern gehosteten Postfächern
Für das Verständnis der folgenden Bewertung ist die Unterscheidung zweier Betriebsmodelle wesentlich, weil sich die datenschutzrechtliche Lage grundlegend danach richtet, wo das Postfach liegt.
M365-Mailhosting
Bei einem M365-Mailhosting betreibt Microsoft das Postfach selbst. Die E-Mails liegen originär auf Microsofts Exchange-Online-Servern innerhalb der Microsoft-Infrastruktur. Der Kunde hat mit Microsoft ein Auftragsverarbeitungsverhältnis, das über den Microsoft-Datenschutznachtrag (Data Protection Addendum, DPA) geregelt ist. Microsoft verarbeitet die Daten hier als Auftragsverarbeiter im Sinne von Art. 28 DSGVO auf Grundlage des DPA. Ein typisches Beispiel ist ein Unternehmen mit Microsoft 365 Business Standard, dessen Mitarbeiter Postfächer der Form name@firma.de nutzen, wobei firma.de als Domäne im Microsoft-Tenant eingerichtet ist und die Postfächer auf Exchange Online liegen.
Extern gehostetes Postfach
Bei einem extern gehosteten Postfach liegt das Postfach dagegen nicht bei Microsoft, sondern bei einem anderen Anbieter oder auf einem eigenen Mailserver. Der Abruf erfolgt klassisch über IMAP oder SMTP. Microsoft ist an diesem Postfach vertraglich nicht beteiligt. Ein typisches Beispiel ist ein Unternehmen, das seine E-Mails bei einem deutschen Provider wie einem regionalen Rechenzentrum oder Webhoster betreibt oder einen eigenen Mailserver im Haus unterhält, und Outlook lediglich als Anzeigeprogramm einsetzt, das die Mails per IMAP vom Fremdserver abholt.
Der Kern der Architekturänderung im neuen Outlook betrifft ausschließlich den zweiten Fall. Bislang holte Outlook die Mails eines extern gehosteten Postfachs unmittelbar vom Fremdserver ab, ohne dass Microsoft beteiligt war. Im neuen Outlook wird dieser Direktabruf durch die zwischengeschaltete Microsoft-Cloud ersetzt. Damit gerät Microsoft erstmals in eine Verarbeitungsrolle bei Postfächern, an denen es zuvor überhaupt nicht beteiligt war. Genau diese neue Beteiligung ist der Auslöser des datenschutzrechtlichen Handlungsbedarfs.
Missbrauchs- und Risikoszenarien
Aus der Architektur ergeben sich mehrere, klar zu trennende Risikodimensionen:
Vollzugriff über hinterlegte Klartext-Zugangsdaten
Werden Login und Passwort dauerhaft bei einem Dritten hinterlegt, verfügt dieser über den Generalschlüssel zum gesamten Postfach, nicht nur zu einzelnen synchronisierten Nachrichten. Ein Missbrauch durch den Anbieter selbst, durch kompromittierte Anbieter-Systeme oder durch behördlichen Zugriff beträfe damit potenziell den gesamten historischen und künftigen Postfachbestand.
Kenntnisnahme von Inhalten
Da Kopien der Kommunikation in der Microsoft-Infrastruktur vorgehalten und eingehende und ausgehende Nachrichten für KI-Funktionen gescannt werden, besteht die faktische Möglichkeit der inhaltlichen Kenntnisnahme durch den Anbieter.
Verletzung des Fernmeldegeheimnisses (§ 3 TDDDG)
Dem Fernmeldegeheimnis unterliegen nach § 3 Abs. 1 TDDDG der Inhalt der Telekommunikation und ihre näheren Umstände. Setzt ein Unternehmen für die dienstliche E-Mail-Kommunikation einen Dienst ein, bei dem ein Dritter systematisch Zugriff auf Inhalt und Umstände der Kommunikation erhält, ist im Einzelfall zu prüfen, ob dies mit der Vertraulichkeitspflicht vereinbar ist. Das gilt insbesondere dort, wo der Arbeitgeber bei erlaubter Privatnutzung selbst in den Anwendungsbereich telekommunikationsrechtlicher Vertraulichkeitspflichten geraten kann. Diese Dimension ist von der rein datenschutzrechtlichen Bewertung zu trennen.
Betroffenheit über personenbezogene Daten hinaus
Der Kontrollverlust betrifft nicht nur personenbezogene Daten, sondern in gleichem Maße Geschäftsgeheimnisse, Berufs- und Mandatsgeheimnisse sowie betriebliche Interna, die typischerweise über E-Mail ausgetauscht werden. Die Schutzbedürftigkeit folgt daher nicht allein aus der DSGVO.
Bleibt Microsoft Auftragsverarbeiter?
Die Einordnung von Microsoft als bloßer Auftragsverarbeiter nach Art. 28 DSGVO ist für diesen Zusatzvorgang zweifelhaft. Maßgeblich ist die Abgrenzung nach Art. 4 Nr. 7 und Nr. 8 DSGVO. Wer Zwecke und Mittel der Verarbeitung bestimmt, ist Verantwortlicher, nicht Auftragsverarbeiter.
Microsoft begründet die Synchronisierung mit Fremdkonten mit dem Ziel einer konsistenten Nutzererfahrung. Dieser Zweck wird von Microsoft selbst und nicht vom Verantwortlichen festgelegt. Hinzu tritt die Nutzung der Inhalte für eigene KI-Funktionen. Ein selbst definierter Zweck spricht gegen eine reine Weisungsgebundenheit im Sinne von Art. 28 DSGVO und rückt Microsoft für diesen Teilvorgang in Richtung eines eigenen Verantwortlichen, unter Umständen einer gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO.
Verschärfend kommt hinzu, dass für diese konkrete Verarbeitung regelmäßig überhaupt keine vertragliche Grundlage besteht. Wird kein M365-Mailhosting genutzt, existiert für das externe Postfach kein Auftragsverarbeitungsvertrag mit Microsoft, der den Zugriff auf ein Fremdpostfach und die Spiegelung der Inhalte abdecken würde. Solange Microsoft diese Zusatzverarbeitung als eigene, selbstbestimmte Funktion betreibt und kein spezifischer, sie abdeckender Vertrag vorliegt, ist die Auftragsverarbeiter-Rolle fraglich bis nicht gegeben. Das müsste vertraglich geklärt werden, bevor die Funktion produktiv eingesetzt wird.
Stand | 24.08.2026
Barrierefreiheitsstärkungsgesetz (BFSG): Neue digitale Pflichten seit 28. Juni 2025
Was ist das Barrierefreiheitsstärkungsgesetz?
Am 28. Juni 2025 tritt in Deutschland das Barrierefreiheitsstärkungsgesetz (BFSG) vollständig in Kraft. Es setzt die EU-Richtlinie (EU) 2019/882 – den sogenannten European Accessibility Act – in nationales Recht um. Ziel des Gesetzes ist es, die digitale Teilhabe für alle Menschen zu verbessern – insbesondere für Menschen mit Behinderungen. Das BFSG verpflichtet viele private Unternehmen, ihre digitalen Dienstleistungen und Produkte barrierefrei zu gestalten.
Wer ist betroffen?
Das Gesetz richtet sich an alle Wirtschaftsakteure, die unter die im BFSG benannten Dienstleistungen oder Produkte fallen – etwa Webseitenbetreiber, App-Anbieter, Online-Shops, Buchungssysteme, Selbstbedienungsterminals und viele mehr.
Ausgenommen sind lediglich Kleinstunternehmen mit weniger als 10 Mitarbeitenden und einem Jahresumsatz bzw. einer Bilanzsumme unter 2 Mio. Euro – es sei denn, sie stellen auf Anfrage barrierefreie Informationen bereit.
Was sind die allgemeinen Anforderungen des BFSG?
Unternehmen, deren digitale Dienste unter das BFSG fallen, müssen sicherstellen, dass ihre Angebote gemäß den internationalen Standards barrierefrei nutzbar sind. Im Zentrum stehen die Web Content Accessibility Guidelines (WCAG) 2.1, Level AA.
Anforderungen im Überblick:
- Tastaturbedienbarkeit: Inhalte müssen auch ohne Maus vollständig steuerbar sein.
- Kompatibilität mit Screenreadern: Inhalte müssen korrekt strukturiert und lesbar für assistive Technologien sein.
- Kontraste & Lesbarkeit: Texte und grafische Inhalte müssen ausreichend kontrastreich und gut skalierbar sein.
- Alternativtexte: Bilder und visuelle Elemente benötigen sinnvolle Beschreibungen.
- Strukturierte Navigation: Webseiten und Apps müssen logisch aufgebaut sein – mit klarer Menüführung und konsistenter Benutzerführung.
- Barrierefreie Dokumente: PDF-Dateien, Buchungsformulare oder AGBs müssen ebenso zugänglich sein wie die Webseiten selbst.
Auch Self-Service-Terminals (z. B. in Bahnhöfen, Hotels oder Banken) müssen barrierefrei nutzbar sein – z. B. mit Sprachausgabe, taktilen Bedienelementen oder visueller Unterstützung.
Handeln und Wettbewerbsvorteil sichern!
Die Umsetzung der BFSG-Anforderungen ist nicht nur eine gesetzliche Pflicht, sondern bietet auch strategische Vorteile. Barrierefreie digitale Angebote verbessern die Nutzererfahrung, sind zugänglicher für eine breitere Zielgruppe und stärken das positive Image Ihres Betriebs. Besonders im Gastgewerbe – wo Inklusion, Servicequalität und digitale Innovation entscheidend sind – kann Barrierefreiheit zum echten Differenzierungsmerkmal werden.
Da technische Anpassungen, Partnerabstimmungen und rechtliche Prüfungen Zeit benötigen, sollten Sie jetzt mit der Planung und Umsetzung beginnen.
Was passiert, wenn das Gesetz nicht umgesetzt wird?
Die Nichtbeachtung der Anforderungen des Barrierefreiheitsstärkungsgesetzes ist kein Bagatelldelikt. Unternehmen, die ihre digitalen Dienstleistungen nicht barrierefrei anbieten, setzen sich einem hohen rechtlichen und wirtschaftlichen Risiko aus.
Mögliche Konsequenzen:
- Bußgelder bis zu 100.000 Euro pro Verstoß
(§ 37 BFSG) - Abmahnungen durch Wettbewerber oder Verbraucherschutzverbände
(z. B. wegen Verstoßes gegen das Allgemeine Gleichbehandlungsgesetz oder das Gesetz gegen unlauteren Wettbewerb) - Rufschädigung durch öffentliche Kritik oder negative Berichterstattung
- Ausschluss von öffentlichen Aufträgen oder Förderprogrammen
- Verlust von Kundengruppen, insbesondere Gästen mit Einschränkungen, die zunehmend Wert auf digitale Barrierefreiheit legen
Hinzu kommen mögliche Folgekosten durch kurzfristige Nachbesserungen, Imageverluste und technische Reibungsverluste – gerade dann, wenn digitale Angebote unter Zeitdruck angepasst werden müssen.
Hinweis: Die Marktüberwachung und Durchsetzung obliegt den zuständigen Behörden der Bundesländer. Diese können bei Verstößen neben Bußgeldern auch Verkaufs- oder Nutzungsverbote für nicht konforme digitale Dienstleistungen oder Produkte verhängen.
Praxisbeispiel: Anforderungen für Hotels und Gastronomiebetriebe
Besonders betroffen sind Unternehmen in der Hotellerie und Gastronomie, da sie zunehmend auf digitale Lösungen zur Gästebetreuung setzen. Für diese Branche ergeben sich besondere Anforderungen durch das BFSG.
Was fällt im Hotel- und Gastgewerbe unter die BFSG-Pflicht?
Hotel-Webseiten mit Buchungsfunktionen, Kundenkonto, Kontaktformularen oder digitalen Gästeinformationen
- Online-Buchungssysteme (Booking Engines), auch wenn sie von Drittanbietern eingebunden sind
- Tischreservierungssysteme im Restaurant
- Spa-/Wellness-Terminbuchungssysteme
- Online Check-in/Check-out-Systeme
- Self-Service-Terminals an Rezeption, Eingang oder in öffentlichen Bereichen
- Mobile Hotel-Apps oder digitale Gästemappen
Alle diese Systeme gelten als digitale Schnittstellen, die unter das Gesetz fallen – und sie müssen barrierefrei gestaltet sein.
Konkrete Anforderungen:
- Webseiten müssen nach den WCAG 2.1 AA gestaltet sein
- Check-in-Terminals müssen für blinde, sehbehinderte und mobilitätseingeschränkte Gäste bedienbar sein
- Apps müssen Alternativen zur Touch-Bedienung, z. B. über Sprachsteuerung oder Tastenbedienung, bieten
- PDFs, AGBs, Menükarten oder Buchungsdokumente müssen in barrierefreier Version vorliegen
Systemanbieter einbinden
Da viele Hoteliers mit Drittanbietern für Buchungssysteme, Check-in-Software oder digitale Gästeinformationen zusammenarbeiten, ist es dringend erforderlich, die Systemanbieter frühzeitig zu kontaktieren. Nur so lässt sich sicherstellen, dass diese Lösungen rechtzeitig barrierefrei weiterentwickelt oder ersetzt werden können.
Datenschutz beachten
Auch bei der Integration neuer Systeme oder beim Wechsel des Dienstleisters müssen datenschutzrechtliche Aspekte berücksichtigt werden:
- Abschluss von Auftragsverarbeitungsverträgen (AVV) nach Art. 28 DSGVO
- Datenschutz-Folgeabschätzungen, wenn neue Technologien mit sensiblen Gästedaten verbunden sind
- Anpassung der Datenschutzerklärung
- Verarbeitung nur auf sicherer Rechtsgrundlage
Stand | 24.08.2026