Wer heute ein Unternehmen im DACH-Raum führt, hat es nicht mit einem Regelwerk zu tun, sondern mit mehreren gleichzeitig. Das Datenschutzgesetz und die DSGVO, der EU AI Act und in Deutschland sein Durchführungsgesetz KI-MIG, die NIS2-Umsetzungen in Deutschland und Österreich, das Schweizer Informationssicherheitsgesetz mit seiner Meldepflicht, der Data Act für vernetzte Produkte, die Barrierefreiheitspflichten nach European Accessibility Act, BFSG und BaFG, die E-Rechnungspflicht in Deutschland. Jedes davon hat eigene Schwellen, Rollen und Fristen. Die Frage, die uns in Erstgesprächen am häufigsten gestellt wird, lautet deshalb nicht «Was verlangt die DSGVO?», sondern «Was davon betrifft uns überhaupt?».
Vom Geschäftsmodell zur Betroffenheit
Wir beginnen mit einer strukturierten Aufnahme: Rechtsform und Sitz, Märkte und Kundengruppen, Verbraucher- oder Geschäftskunden, Branche und Grösse, eingesetzte Systeme und Dienstleister, Produkte mit digitalen Elementen, KI-Anwendungen, Zahlungs- und Vermögensflüsse. Aus diesen Angaben leiten wir für jedes Regelwerk ab, ob es gilt, in welcher Rolle und ab wann. Das Ergebnis ist eine begründete Liste, keine Vermutung: Für jedes Regelwerk steht, warum es zutrifft oder warum nicht.
Gap-Analyse statt Gesetzeskommentar
Für die Regelwerke, die zutreffen, vergleichen wir den Ist-Zustand mit den Pflichten. Dazu sichten wir vorhandene Unterlagen wie Datenschutzerklärung, Verzeichnis der Bearbeitungstätigkeiten, Verträge mit Dienstleistern, Notfallpläne und Richtlinien, und führen kurze Interviews mit den Verantwortlichen. Jede Lücke wird nach Risiko und Frist bewertet. Daraus entsteht ein Massnahmenplan, der mit dem Dringendsten beginnt und realistisch zu Ihrer Organisation passt.
Warum regelwerksübergreifend
Viele Pflichten überschneiden sich. Ein Verzeichnis der Systeme dient dem Datenschutz, der NIS2-Risikoanalyse und dem KI-Inventar zugleich. Ein Incident-Response-Plan deckt die Meldewege nach DSG, DSGVO, ISG und NIS2 ab, wenn er von Anfang an dafür gebaut ist. Wer jedes Regelwerk einzeln angeht, baut dieselben Grundlagen mehrfach. Unsere Analyse zeigt, welche Bausteine mehrere Pflichten auf einmal erfüllen.
Erfahrung, auf die wir uns stützen
Leutrim Miftaraj arbeitet seit über zehn Jahren in IT- und Projektmandaten, unter anderem für Bundesstellen und regulierte Unternehmen, als Business-Analyst nach IREB und als Projektleiter. Innopulse betreibt eigene Compliance-Produkte für den EU AI Act, für Geldwäscherei-Pflichten im Family Office und für Cyber-Assurance. Die Analyse ist methodisch saubere Anforderungsarbeit: erheben, abgrenzen, belegen. Wo eine Frage eine rechtliche Würdigung im Einzelfall braucht, sagen wir das und ziehen auf Wunsch eine Anwaltskanzlei bei, statt eine Rechtsberatung zu behaupten, die wir nicht erbringen.
Für einzelne Branchen beschreiben wir die typische Lage genauer, etwa für Arztpraxen, Treuhand und Steuerberatung, den Maschinenbau, den Onlinehandel, Software- und SaaS-Anbieter und Vermögensverwalter. Die geltenden Schwellen fasst die Übersicht Compliance-Schwellenwerte zusammen.
Für wen sich das lohnt
Eine Compliance-Analyse lohnt sich vor allem in drei Situationen: wenn ein Unternehmen in neue Märkte oder Kundengruppen wächst, wenn ein grosser Kunde einen Nachweis verlangt, oder wenn mehrere neue Regelwerke gleichzeitig näherrücken und niemand den Überblick hat. Den schnellsten ersten Eindruck gibt unser kostenloser Regulierungs-Check auf der Website; die Analyse geht danach in die Tiefe.