In den letzten Wochen haben uns mehrere Unternehmen mit derselben Frage kontaktiert, nur unterschiedlich formuliert: Was davon betrifft uns eigentlich? Gemeint waren DSGVO, AI Act, NIS2, Data Act, Barrierefreiheit, E-Rechnung und einiges mehr. Die ehrliche Antwort lautet fast immer: weniger, als befürchtet, aber anderes, als vermutet. Dieser Beitrag beschreibt das Vorgehen, mit dem wir diese Frage beantworten.
Schritt 1: Vom Geschäftsmodell ausgehen, nicht vom Gesetz
Wer mit einem Gesetz beginnt, prüft ein Regelwerk nach dem anderen und verliert den Überblick. Besser ist der umgekehrte Weg: zuerst das Unternehmen beschreiben. Welche Gesellschaften gibt es, in welchen Ländern? Wer sind die Kunden, Unternehmen oder Verbraucher? Welche Produkte enthalten Software oder sind vernetzt? Wo wird KI eingesetzt, auch in eingekauften Werkzeugen? Welche Dienstleister verarbeiten Daten? Diese Angaben sind schnell gesammelt, und sie entscheiden über fast alles Weitere.
Schritt 2: Schwellenwerte prüfen
Viele Pflichten hängen an Zahlen. Die wichtigsten Schwellen im DACH-Raum:
- 50 Beschäftigte: interne Meldestelle nach dem deutschen HinSchG und dem österreichischen HSchG.
- 50 Beschäftigte oder mehr als zehn Millionen Euro Umsatz und Bilanzsumme: Beginn der mittleren Unternehmensgrösse, ab der NIS2 in den erfassten Sektoren greift.
- Weniger als zehn Beschäftigte und höchstens zwei Millionen Euro Umsatz: Ausnahme für Kleinstunternehmen bei der Barrierefreiheit von Dienstleistungen.
- 800 000 Euro Vorjahresumsatz: Stichtag 2027 oder 2028 für den Versand von E-Rechnungen in Deutschland.
- 20 Personen, die ständig mit personenbezogenen Daten arbeiten: Pflicht zum Datenschutzbeauftragten nach deutschem BDSG.
Schritt 3: Marktbezug klären
Für Schweizer Unternehmen ist der Marktbezug zur EU die zentrale Frage. Die DSGVO gilt, wenn Personen in der EU gezielt Waren oder Dienstleistungen angeboten werden oder ihr Verhalten beobachtet wird. Der AI Act gilt, wenn KI-Systeme in der EU in Verkehr gebracht werden oder ihre Ergebnisse dort verwendet werden. Der European Accessibility Act und der Data Act knüpfen an das Angebot in der EU an, nicht an den Sitz. Umgekehrt gilt NIS2 nicht für eine Schweizer Gesellschaft, wohl aber für ihre Tochter in Deutschland oder Österreich. In der Schweiz selbst gilt stattdessen das Informationssicherheitsgesetz mit seiner Meldepflicht für kritische Infrastrukturen.
Schritt 4: Betroffenheit begründen
Für jedes Regelwerk halten wir schriftlich fest, ob es gilt, in welcher Rolle und ab wann, und vor allem warum. Die Begründung ist wichtiger als das Ergebnis, denn sie macht die Einschätzung überprüfbar. Ein Beispiel: Ein Website-Chatbot macht ein Unternehmen nach dem AI Act zum Betreiber eines KI-Systems mit Transparenzpflicht, nicht zum Anbieter eines Hochrisiko-Systems. Ein Bewerbungs-Screening mit KI dagegen fällt unter Anhang III und damit in die Hochrisiko-Kategorie, deren Pflichten ab dem 2. Dezember 2027 gelten.
Schritt 5: Lücken bewerten und bündeln
Erst für die zutreffenden Regelwerke folgt die Gap-Analyse. Jede Lücke wird nach Risiko und Frist bewertet. Danach lohnt sich ein Blick auf gemeinsame Bausteine: Ein Inventar der Systeme dient dem Datenschutz, der NIS2-Risikoanalyse und dem KI-Inventar. Ein Notfallplan kann die Meldewege nach DSG, DSGVO, ISG und NIS2 zugleich abdecken. Wer diese Bausteine einmal sauber baut, spart bei jedem weiteren Regelwerk Arbeit.
Was die Analyse nicht ist
Eine Compliance-Analyse ist keine Rechtsberatung. Sie erhebt Fakten, ordnet sie den Regelwerken zu und priorisiert Massnahmen. Wo eine rechtliche Würdigung im Einzelfall nötig ist, etwa bei einer unklaren GwG-Unterstellung oder einer Haftungsfrage der Geschäftsleitung, gehört diese Frage zu einer Kanzlei. Gute Analysen kennzeichnen solche Stellen ausdrücklich, statt sie zu überspielen.
Ein typisches Ergebnis
Bei einem Schweizer KMU mit rund 60 Beschäftigten, einem Onlineshop für Kunden in Deutschland und einem KI-Chatbot auf der Website ergibt sich häufig folgendes Bild: DSG und DSGVO gelten, ein EU-Vertreter ist zu prüfen, der Onlineshop fällt unter BFSG, der Chatbot braucht einen Transparenzhinweis, NIS2 gilt nicht für die Schweizer Gesellschaft, und die E-Rechnungspflicht trifft das Unternehmen ohne deutsche Niederlassung in der Regel nicht direkt. Das ist eine überschaubare Liste, aber eine andere als die, die man ohne Analyse erwartet hätte.
Wie Sie anfangen
Einen ersten Überblick gibt unser kostenloser Regulierungs-Check. Er stellt die Fragen aus Schritt 1 bis 3 und zeigt, welche Regelwerke möglicherweise relevant sind. Für eine belastbare Einschätzung mit Begründung und Massnahmenplan beschreibt unsere Leistung Compliance-Analyse das Vorgehen; die Checkliste zur Vorbereitung hilft beim Sammeln der Angaben. Die Rechtsunterschiede zwischen Schweiz, Deutschland und Österreich fasst unsere Übersicht Regulierungen im DACH-Vergleich zusammen.