Compliance im Mittelstand

Compliance im Mittelstand scheitert selten an einzelnen Vorschriften und fast immer an ihrer Gleichzeitigkeit. Ein Unternehmen mit achtzig Beschäftigten unterliegt heute fünf Regelwerken, die alle Dokumentation, Schulung und benannte Zuständigkeiten verlangen – und die in vier getrennten Projekten bearbeitet werden, obwohl sie sich zu zwei Dritteln überschneiden.

Was tatsächlich greift – und ab wann

Was tatsächlich greift – und ab wann
RegelwerkSchwelleWas verlangt wird
DSGVO und BDSGab dem ersten Beschäftigten; Datenschutzbeauftragter meist ab 20 PersonenVerzeichnis, Maßnahmen, Löschkonzept, Betroffenenrechte, Meldewege
TDDDGjede WebsiteEinwilligung vor dem Setzen nicht erforderlicher Cookies
HinSchGab 50 Beschäftigten, in einzelnen Sektoren unabhängig davoninterne Meldestelle mit Fristen und Vertraulichkeit
KI-Verordnungsobald KI eingesetzt wirdKI-Kompetenz, Einstufung, bei Hochrisiko deutlich mehr
NIS-2nach Sektor und Größe – mittelbar über Kunden auch darunterRisikomanagement, Meldewege, Pflichten der Leitung
Barrierefreiheitviele gewerbliche Auftritte, seit 28.06.2025 anwendbarzugängliche Websites und Dienste

Zwei Beobachtungen dazu. Erstens: Die niedrigste Schwelle hat ausgerechnet die KI-Verordnung – die Pflicht zur KI-Kompetenz hängt nicht an der Größe, sondern daran, ob überhaupt ein Werkzeug eingesetzt wird. Zweitens: NIS-2 erreicht kleine Zulieferer nicht über die Behörde, sondern über den Fragebogen ihres größten Kunden.

Die Reihenfolge, die sich bewährt hat

1. Bestandsaufnahme, einmal für alles. Welche Daten, welche Systeme, welche Dienstleister, welche Standorte. Diese Erhebung ist die Grundlage für das Verarbeitungsverzeichnis, für die Risikobetrachtung der Informationssicherheit und für das KI-Inventar. Wer sie dreimal macht, zahlt dreimal.

2. Das, was von außen sichtbar ist. Die Website ist der Teil, den jeder prüfen kann – und der am schnellsten in Ordnung zu bringen ist. Start: kostenloser Website-Check.

3. Das, was Fristen auslöst. Meldewege für Datenpannen und für Betroffenenanfragen. Beide laufen ab Kenntnis; wer sie nicht vorbereitet hat, verliert die halbe Frist mit der Zuständigkeitsfrage.

4. Die Pflichten mit Schwelle. Meldestelle, wenn Sie fünfzig erreichen. Datenschutzbeauftragter, wenn die Zählung es ergibt.

5. Die Managementsysteme. ISMS und Zertifizierung zuletzt – oder dann, wenn ein Kunde es verlangt.

Was die fünf Regelwerke gemeinsam haben

Wer das erkennt, spart den größten Teil des Aufwands. Alle verlangen im Kern dasselbe:

  • Ein Verzeichnis dessen, was man tut – Verarbeitungen, Systeme, KI-Anwendungen, Dienstleister.
  • Eine Bewertung des Risikos und die begründete Entscheidung, was dagegen getan wird.
  • Benannte Zuständigkeiten, keine geteilte Verantwortung ohne Namen.
  • Geschulte Beschäftigte mit Nachweis – siehe Pflichtschulungen.
  • Dokumentation, die den Nachweis trägt. Was nicht aufgeschrieben ist, gilt als nicht geschehen.
  • Verträge mit Dienstleistern und deren Prüfung – siehe Lieferantenaudit.

Deshalb ist die teuerste Entscheidung nicht, welches Regelwerk zuerst angegangen wird, sondern ob man sie getrennt behandelt. Vier Projekte mit vier Beratern, vier Dokumentenablagen und vier Schulungsreihen kosten ein Vielfaches einer gemeinsamen Umsetzung.

Was Sie nicht brauchen

Keine Compliance-Abteilung. In einem Haus dieser Größe genügen eine interne Ansprechperson – siehe Datenschutzkoordinator – und externe Rollen, wo Unabhängigkeit oder Fachkunde verlangt sind.

Keine Vollständigkeit im ersten Jahr. Eine belastbare Grundlage, die wächst, ist mehr wert als ein Ordner, den niemand pflegt.

Keine Software vor der Bestandsaufnahme. Ein System, in das man nicht weiß, was hineingehört, erzeugt nur eine leere Struktur. Wann sich der Umstieg lohnt, steht unter Software-Wissen.

Kontakt

Sie wollen wissen, welche der fünf Regelwerke Sie tatsächlich treffen? Das klärt eine Stunde – und erspart oft ein Projekt.