Entgelttransparenz: Deutschland verpasst die EU-Frist — was für Arbeitgeber trotzdem gilt

Der 7. Juni 2026 ist verstrichen, ohne dass Deutschland geliefert hat: An diesem Tag endete die Frist zur Umsetzung der EU-Entgelttransparenzrichtlinie in nationales Recht. Ein deutsches Umsetzungsgesetz existiert bis heute nicht, nicht einmal ein Referentenentwurf liegt vor — die von der Bundesregierung eingesetzte Kommission arbeitet noch, mit einem Gesetz wird erst im Laufe des Jahres 2027 gerechnet. Wer daraus schließt, das Thema könne bis dahin ruhen, unterliegt allerdings einem folgenreichen Irrtum.

Denn europäische Richtlinien verlieren ihre Wirkung nicht dadurch, dass ein Mitgliedstaat die Frist versäumt. Öffentliche Arbeitgeber sind seit dem 8. Juni 2026 unmittelbar an die hinreichend bestimmten Vorgaben der Richtlinie gebunden, und für private Arbeitgeber wirken der Entgeltgleichheitsgrundsatz des Art. 157 AEUV sowie die Pflicht der Gerichte, das bestehende Entgelttransparenzgesetz richtlinienkonform auszulegen. Vor allem aber läuft die Zeit an anderer Stelle bereits: Das erste Berichtsjahr für die kommenden Entgelt-Berichtspflichten ist das Jahr 2026 — die Daten, über die größere Mittelständler ab Juni 2027 berichten müssen, entstehen gerade jetzt. Dieser Beitrag ordnet ein, was ohne deutsches Gesetz schon gilt, was mit ihm kommt und wie sich Arbeitgeber sinnvoll vorbereiten.

7. Juni

2026 endete die Umsetzungsfrist der Richtlinie — Deutschland hat sie ohne Gesetz verstreichen lassen

ab 100

Beschäftigten greifen künftig gestaffelte Berichtspflichten zum Entgeltgefälle — bisher lag die Schwelle im deutschen Recht bei 500

> 5 %

Entgeltgefälle in einer Arbeitnehmerkategorie ohne objektive Rechtfertigung lösen eine gemeinsame Entgeltbewertung mit der Arbeitnehmervertretung aus

Quelle: Richtlinie (EU) 2023/970, Art. 9, 10 und 34

Das Wichtigste in Kürze

Deutschland hat die Umsetzungsfrist der EU-Entgelttransparenzrichtlinie (7. Juni 2026) versäumt; ein Umsetzungsgesetz wird erst 2027 erwartet.
Öffentliche Arbeitgeber sind seit dem 8. Juni 2026 unmittelbar an die Richtlinie gebunden; für private Arbeitgeber wirken Art. 157 AEUV und die richtlinienkonforme Auslegung des bestehenden Entgelttransparenzgesetzes.
Die Richtlinie bringt Auskunftsrechte für alle Beschäftigten, Gehaltstransparenz schon im Bewerbungsprozess und ein Verbot der Frage nach der Gehaltshistorie.
Berichtspflichten zum Entgeltgefälle treffen künftig Arbeitgeber ab 100 Beschäftigten — ab 150 Beschäftigten erstmals zum 7. Juni 2027, und zwar über das Berichtsjahr 2026.
Ein nicht gerechtfertigtes Entgeltgefälle über 5 % zieht eine gemeinsame Entgeltbewertung nach sich, wenn es nicht binnen sechs Monaten beseitigt wird.
Beweislastumkehr, Schadensersatzansprüche und Sanktionen erhöhen das Risiko unstrukturierter Vergütungssysteme erheblich.

Eine verpasste Frist — und warum sie Arbeitgeber nicht entlastet

Die Richtlinie ist am 6. Juni 2023 in Kraft getreten und gab den Mitgliedstaaten drei Jahre Zeit für die Umsetzung. Deutschland gehört zu den Staaten, die diese Frist nicht eingehalten haben: Die Bundesregierung hat eine Kommission mit der möglichst bürokratiearmen Umsetzung beauftragt, ein Gesetzentwurf steht jedoch weiterhin aus. Für die Praxis entsteht damit eine Übergangslage, die unbequemer ist als ein klares Gesetz — denn welche Vorgaben wann und wie durchschlagen, entscheidet bis auf Weiteres die Rechtsprechung im Einzelfall.

Entgelttransparenzrichtlinie (EU) 2023/970

EU-Richtlinie vom 10. Mai 2023 zur Stärkung des Grundsatzes „Gleiches Entgelt für gleiche oder gleichwertige Arbeit“. Sie verpflichtet Arbeitgeber im privaten und öffentlichen Sektor zu Transparenz über Entgeltkriterien, gewährt allen Beschäftigten Auskunftsrechte, regelt Gehaltstransparenz im Bewerbungsprozess und führt gestaffelte Berichtspflichten zum geschlechtsspezifischen Entgeltgefälle ein. Umsetzungsfrist für die Mitgliedstaaten war der 7. Juni 2026.

Was ohne deutsches Gesetz bereits gilt

Nach ständiger Rechtsprechung des Europäischen Gerichtshofs können sich Beschäftigte gegenüber staatlichen und öffentlichen Arbeitgebern unmittelbar auf hinreichend bestimmte Richtlinienvorgaben berufen, sobald die Umsetzungsfrist abgelaufen ist — für Bund, Länder, Kommunen und öffentliche Unternehmen gilt die Richtlinie daher seit dem 8. Juni 2026 direkt. Private Arbeitgeber trifft die Richtlinie nicht unmittelbar, wohl aber auf zwei Umwegen: Der Grundsatz des gleichen Entgelts aus Art. 157 AEUV wirkt nach der Rechtsprechung auch zwischen Privaten, und die Arbeitsgerichte müssen das bestehende Entgelttransparenzgesetz so auslegen, dass es dem Ziel der Richtlinie möglichst nahekommt. Das Bundesarbeitsgericht hat diese Linie in den vergangenen Jahren bereits erkennbar eingeschlagen, etwa bei Auskunftsansprüchen und der Vermutungswirkung zugunsten klagender Beschäftigter.

Verpasste Frist, fortbestehende Pflichten

Die Verzögerung des deutschen Gesetzgebers verschafft privaten Arbeitgebern keine Schonfrist bei den Grundsätzen, sondern nur Unsicherheit bei den Details. Entgeltgleichheit für gleiche und gleichwertige Arbeit ist geltendes Recht; wer heute Vergütungsstrukturen ohne nachvollziehbare Kriterien betreibt, trägt das Prozessrisiko schon jetzt — und ab 2027 zusätzlich die Berichtspflichten über ein Jahr, das bereits läuft.

Heute und künftig: die Pflichten im Vergleich

Das deutsche Entgelttransparenzgesetz von 2017 bleibt bis zur Umsetzung der Maßstab des nationalen Rechts — die Richtlinie geht jedoch in nahezu jedem Punkt darüber hinaus. Die Gegenüberstellung zeigt, worauf sich Arbeitgeber einstellen müssen.

Regelungsbereich	EntgTranspG (heute)	Richtlinie (EU) 2023/970
Auskunftsanspruch	Nur in Betrieben mit mehr als 200 Beschäftigten	Für alle Beschäftigten unabhängig von der Unternehmensgröße, mit Angaben zum durchschnittlichen Entgelt vergleichbarer Gruppen nach Geschlecht
Transparenz im Bewerbungsprozess	Keine Pflicht zur Gehaltsangabe	Einstiegsentgelt oder Entgeltspanne müssen vor dem Vorstellungsgespräch mitgeteilt werden, etwa in der Stellenausschreibung
Frage nach der Gehaltshistorie	Zulässig	Verboten — Bewerber dürfen nach ihrer bisherigen Vergütung nicht gefragt werden
Berichtspflicht zum Entgeltgefälle	Erst ab mehr als 500 Beschäftigten	Gestaffelt ab 100 Beschäftigten, mit Meldung an eine zentrale Überwachungsstelle und Veröffentlichung
Vertraulichkeit des eigenen Entgelts	Nicht geregelt	Klauseln, die Beschäftigten die Offenlegung ihres Entgelts verbieten, sind unzulässig

Bis zur deutschen Umsetzung gilt formal das EntgTranspG — richtlinienkonform ausgelegt; die rechte Spalte beschreibt zugleich den sicheren Zielzustand für die eigene Vorbereitung.

Berichtspflichten: Das erste Berichtsjahr läuft bereits

Die für den Mittelstand folgenreichste Neuerung sind die gestaffelten Berichtspflichten zum geschlechtsspezifischen Entgeltgefälle. Zu melden sind unter anderem das durchschnittliche und das mediane Entgeltgefälle sowie die Verteilung der Beschäftigten nach Entgeltgruppen; die Daten fließen an eine zentrale Überwachungsstelle und werden veröffentlicht. Entscheidend für die Planung: Arbeitgeber ab 150 Beschäftigten berichten erstmals bis zum 7. Juni 2027 — und zwar über das Entgelt des Jahres 2026. Wer die eigene Datenbasis erst mit dem deutschen Gesetz aufbaut, berichtet über ein Jahr, das er nicht mehr gestalten kann.

Unternehmensgröße	Erster Bericht	Turnus
ab 250 Beschäftigte	bis 7. Juni 2027	jährlich
150 bis 249 Beschäftigte	bis 7. Juni 2027	alle drei Jahre
100 bis 149 Beschäftigte	bis 7. Juni 2031	alle drei Jahre
unter 100 Beschäftigte	keine Berichtspflicht (freiwillige Berichterstattung möglich)

Staffelung nach Art. 9 der Richtlinie. Ergibt der Bericht ein Entgeltgefälle von mehr als 5 % in einer Arbeitnehmerkategorie, das nicht durch objektive Kriterien gerechtfertigt und nicht binnen sechs Monaten beseitigt wird, folgt eine gemeinsame Entgeltbewertung mit der Arbeitnehmervertretung.

Beweislast, Ansprüche und Sanktionen

Die Richtlinie verschiebt das Prozessrisiko spürbar zugunsten der Beschäftigten. Legt eine klagende Person Tatsachen dar, die eine Entgeltdiskriminierung vermuten lassen, muss der Arbeitgeber beweisen, dass keine Diskriminierung vorliegt — wer seinen Transparenzpflichten nicht nachgekommen ist, trägt die Beweislast sogar generell. Betroffene haben Anspruch auf vollständigen Schadensersatz einschließlich der Nachzahlung entgangenen Entgelts; Gerichte und Behörden können Verstöße untersagen und die Einhaltung mit Zwangsgeldern durchsetzen. Ergänzend verlangt die Richtlinie wirksame, verhältnismäßige und abschreckende Sanktionen, ausdrücklich einschließlich Geldbußen. Vergütungssysteme ohne dokumentierte, geschlechtsneutrale Kriterien werden damit von einer Stilfrage zum handfesten Haftungsrisiko.

Was Arbeitgeber jetzt tun sollten

Entgeltstrukturen inventarisieren

Erfassen Sie alle Entgeltbestandteile je Funktion — Grundgehalt, variable Anteile, Zulagen, Sachleistungen — und bilden Sie Gruppen gleicher und gleichwertiger Arbeit anhand objektiver Kriterien wie Kompetenzen, Verantwortung, Belastung und Arbeitsbedingungen.

Gehaltsbänder und Kriterien dokumentieren

Legen Sie je Gruppe nachvollziehbare Bänder und geschlechtsneutrale Kriterien für Einstufung und Entwicklung fest. Diese Dokumentation ist zugleich die Grundlage für Auskünfte, Berichte und jede spätere Rechtfertigung von Unterschieden.

Recruiting-Prozesse anpassen

Nehmen Sie Einstiegsentgelt oder Spanne in Ausschreibungen auf und streichen Sie Fragen nach der Gehaltshistorie aus Interviewleitfäden und Bewerbungsformularen. Beides lässt sich ohne Gesetz umsetzen und wirkt zugleich als Signal im Arbeitsmarkt.

Datenbasis für das Berichtsjahr 2026 sichern

Prüfen Sie ab etwa 100 Beschäftigten, ob Ihre HR- und Abrechnungssysteme die geforderten Kennzahlen liefern können, und rechnen Sie das Entgeltgefälle probeweise. Auffälligkeiten über der 5-Prozent-Schwelle lassen sich jetzt noch korrigieren, bevor sie berichts- und bewertungspflichtig werden.

Auskunftsprozess und Datenschutz regeln

Definieren Sie Zuständigkeiten, Fristen und Vorlagen für Auskunftsersuchen und klären Sie den datenschutzkonformen Umgang mit den zugrunde liegenden Beschäftigtendaten — Entgeltinformationen gehören zu den sensibelsten Personaldaten. Unterstützung dazu bietet unsere Datenschutzberatung, auf Wunsch mit einem externen Datenschutzbeauftragten.

Das Wesentliche

Die verpasste Umsetzungsfrist verschiebt in Deutschland die Details, aber weder die Richtung noch den Zeitdruck: Entgeltgleichheit ist über Art. 157 AEUV und richtlinienkonforme Auslegung schon heute durchsetzbar, öffentliche Arbeitgeber sind unmittelbar gebunden, und das erste Berichtsjahr für Arbeitgeber ab 150 Beschäftigten läuft seit Januar. Wer Entgeltstrukturen, Gehaltsbänder und Datenbasis jetzt ordnet, erfüllt das kommende Gesetz nebenbei — und verhandelt bis dahin aus einer Position belegbarer Fairness.

Häufige Fragen

Gilt die Richtlinie ohne deutsches Umsetzungsgesetz überhaupt?

Differenziert: Öffentliche Arbeitgeber sind seit dem 8. Juni 2026 unmittelbar an hinreichend bestimmte Vorgaben gebunden. Private Arbeitgeber trifft die Richtlinie nicht direkt, aber der Entgeltgleichheitsgrundsatz des Art. 157 AEUV wirkt auch zwischen Privaten, und die Gerichte legen das bestehende Entgelttransparenzgesetz im Licht der Richtlinie aus. Praktisch verringert die fehlende Umsetzung also vor allem die Rechtssicherheit, nicht die Pflichtenlage.

Wir haben 80 Beschäftigte — betrifft uns das Thema?

Die Berichtspflichten beginnen bei 100 Beschäftigten, alle übrigen Kernpflichten gelten größenunabhängig: Auskunftsrechte der Beschäftigten, Gehaltstransparenz im Bewerbungsprozess, das Verbot der Frage nach der Gehaltshistorie und der Grundsatz gleichen Entgelts selbst. Auch wachsende Unternehmen nahe der Schwelle sollten die Datenbasis früh aufbauen.

Was bedeutet „gleichwertige Arbeit“?

Arbeit gilt als gleichwertig, wenn sie nach objektiven, geschlechtsneutralen Kriterien vergleichbar ist — maßgeblich sind insbesondere Kompetenzen, Verantwortung, Belastung und Arbeitsbedingungen. Verglichen wird also nicht die Stellenbezeichnung, sondern der Anforderungsgehalt; eine saubere Arbeitsbewertung ist deshalb das Fundament jeder Vorbereitung.

Dürfen wir Bewerber künftig noch nach Gehaltsvorstellungen fragen?

Ja — die Frage nach der Vorstellung für die ausgeschriebene Stelle bleibt zulässig. Verboten ist die Frage nach der bisherigen Vergütung beim aktuellen oder früheren Arbeitgeber, weil sie bestehende Entgeltunterschiede in neue Arbeitsverhältnisse fortschreibt.

Was passiert bei einem Entgeltgefälle über 5 %?

Zeigt der Bericht in einer Arbeitnehmerkategorie ein Gefälle von mehr als 5 %, das sich nicht durch objektive Kriterien rechtfertigen lässt und nicht binnen sechs Monaten beseitigt wird, muss der Arbeitgeber gemeinsam mit der Arbeitnehmervertretung eine Entgeltbewertung durchführen — mit Ursachenanalyse und Abhilfemaßnahmen. Der beste Umgang mit dieser Schwelle ist, sie durch frühzeitige Probeauswertungen gar nicht erst zu erreichen.

Drohen schon vor dem deutschen Gesetz Klagen?

Entgeltgleichheitsklagen sind bereits heute möglich und werden geführt; das Bundesarbeitsgericht hat die Position klagender Beschäftigter zuletzt mehrfach gestärkt. Mit der Beweislastumkehr der Richtlinie steigt das Risiko unstrukturierter Vergütungssysteme weiter. Dokumentierte, kriterienbasierte Gehaltsbänder sind der wirksamste Schutz — unabhängig davon, wann das Umsetzungsgesetz kommt.

Quellen

Stand der Recherche: 26. Juli 2026. Maßgeblich sind der Richtlinientext und das Entgelttransparenzgesetz in der jeweils geltenden Fassung.

NIS-2-Registrierung: Warum der 31. Juli für viele Unternehmen zum Stichtag wird

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz, und mit ihm die größte Ausweitung gesetzlicher Cybersicherheitspflichten, die es hierzulande je gegeben hat. Statt der bislang rund 4.500 KRITIS-Betreiber sind nun etwa 30.000 Einrichtungen reguliert, viele davon mittelständische Unternehmen, die von ihrer Betroffenheit bis heute nichts wissen. Die gesetzliche Frist zur Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) ist bereits am 6. März 2026 abgelaufen; registriert hatte sich bis Ende Mai erst gut die Hälfte der Betroffenen.

Das BSI reagiert darauf mit einer Nachfrist: Bis zum 31. Juli 2026 sollen alle betroffenen Unternehmen ihre Betroffenheit geklärt und die Registrierung abgeschlossen haben. Wer den Termin verstreichen lässt, muss damit rechnen, dass die Aufsicht ihre bisherige Zurückhaltung aufgibt. Dieser Beitrag erklärt, wer unter das Gesetz fällt, welche Pflichten unabhängig von der Registrierung längst gelten und welche Schritte jetzt anstehen.

30.000

Einrichtungen fallen nach BSI-Schätzung unter das neue Gesetz — statt bisher rund 4.500 KRITIS-Betreibern

~50 %

der Betroffenen waren bis Ende Mai 2026 registriert — die andere Hälfte befindet sich seit dem 6. März im Verzug

10 Mio. €

oder 2 % des weltweiten Jahresumsatzes beträgt der Bußgeldrahmen für besonders wichtige Einrichtungen

Quellen: BSI; § 65 BSIG; Registrierungsstand nach Branchenerhebungen, Stand Mai/Juni 2026

Das Wichtigste in Kürze

Das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 ohne Übergangsfrist in Kraft; die Pflichten gelten seither.
Betroffen sind Unternehmen aus 18 Sektoren in der Regel ab 50 Beschäftigten oder ab 10 Mio. Euro Umsatz und Bilanzsumme — jedes Unternehmen muss seine Betroffenheit selbst prüfen, das BSI verschickt keine Bescheide.
Die gesetzliche Registrierungsfrist beim BSI endete am 6. März 2026; die fehlende Registrierung ist ein eigenständiger Bußgeldtatbestand.
Das BSI erwartet die Registrierung aller Betroffenen nun bis zum 31. Juli 2026 — eine Nachfrist bei der Durchsetzung, kein neuer gesetzlicher Stichtag.
Unabhängig von der Registrierung gelten Risikomanagement-Pflichten (§ 30 BSIG), Meldepflichten für Sicherheitsvorfälle und persönliche Pflichten der Geschäftsleitung (§ 38 BSIG) samt Schulungspflicht.
Erste Bußgeldverfahren werden für die zweite Jahreshälfte 2026 erwartet.

Seit Dezember in Kraft, seit März im Verzug

Der Bundestag hat das Gesetz am 13. November 2025 verabschiedet, am 6. Dezember 2025 trat es mit der Verkündung im Bundesgesetzblatt in Kraft. Eine Übergangsfrist sieht es nicht vor: Die materiellen Pflichten gelten seit dem ersten Tag. Am 6. Januar 2026 schaltete das BSI sein Registrierungsportal frei, drei Monate später, am 6. März 2026, endete die gesetzliche Registrierungsfrist. Ergänzend trat am 17. März 2026 das KRITIS-Dachgesetz in Kraft, das für Betreiber kritischer Anlagen zusätzliche Anforderungen an die physische Widerstandsfähigkeit stellt.

NIS-2-Umsetzungsgesetz (NIS2UmsuCG)

Deutsches Umsetzungsgesetz zur europäischen NIS-2-Richtlinie (EU) 2022/2555, das im Kern das BSI-Gesetz (BSIG) neu fasst. Es verpflichtet „besonders wichtige“ und „wichtige“ Einrichtungen aus 18 Sektoren zu Registrierung, Risikomanagement nach § 30 BSIG und zur Meldung erheblicher Sicherheitsvorfälle, und es verankert in § 38 BSIG persönliche Umsetzungs-, Überwachungs- und Schulungspflichten der Geschäftsleitung.

Wer betroffen ist — und warum es viele nicht wissen

Der Anwendungsbereich reicht weit über die klassische kritische Infrastruktur hinaus. Erfasst sind Sektoren wie Energie, Transport, Gesundheit, Trinkwasser und digitale Infrastruktur, aber auch das verarbeitende Gewerbe, Maschinenbau, Lebensmittelproduktion, Chemie und Logistik. Als Faustregel gilt: Wer in einem der 18 Sektoren tätig ist und mindestens 50 Beschäftigte oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme aufweist, sollte von einer möglichen Betroffenheit ausgehen. Das Gesetz unterscheidet dabei zwei Kategorien mit unterschiedlicher Aufsichts- und Sanktionslogik.

Besonders wichtige Einrichtungen

In der Regel Großunternehmen der Anhang-I-Sektoren (ab 250 Beschäftigten oder 50 Mio. Euro Umsatz) sowie bestimmte Betreiber kritischer Anlagen. Sie unterliegen der proaktiven Aufsicht des BSI mit anlasslosen Prüfbefugnissen und einem Bußgeldrahmen bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes.

Wichtige Einrichtungen

Vor allem mittelständische Unternehmen ab 50 Beschäftigten oder 10 Mio. Euro Umsatz in den erfassten Sektoren. Die Aufsicht arbeitet hier anlassbezogen; der Bußgeldrahmen reicht bis 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes. Die materiellen Pflichten sind weitgehend identisch.

Kein Bescheid, keine Entwarnung

Das BSI prüft die Betroffenheit nicht von Amts wegen und verschickt keine Benachrichtigungen. Jedes Unternehmen muss selbst ermitteln, ob es unter das Gesetz fällt; das BSI stellt dafür eine automatisierte Betroffenheitsprüfung als Orientierungshilfe bereit. Wer die Prüfung unterlässt, trägt das Risiko, unbemerkt gegen bestehende Pflichten zu verstoßen.

Die Nachfrist zum 31. Juli richtig einordnen

Der 31. Juli 2026 ist kein neuer gesetzlicher Stichtag, sondern ein Zeichen von Nachsicht bei der Durchsetzung: Das BSI erwartet, dass alle Betroffenen bis zu diesem Datum ihren Status geklärt und die Registrierung über das Portal abgeschlossen haben. Rechtlich war die Registrierung bereits am 6. März fällig; wer sie versäumt hat, befindet sich seither im Verzug, denn die fehlende Registrierung ist nach § 65 BSIG ein eigenständiger Bußgeldtatbestand. Die Nachfrist verschafft also Gelegenheit, den Rückstand ohne aufsichtsrechtliche Folgen aufzuholen. Nach ihrem Ablauf dürfte die Behörde deutlich weniger Zurückhaltung zeigen; Beobachter rechnen mit ersten Bußgeldverfahren gegen säumige Einrichtungen in der zweiten Jahreshälfte 2026.

Die Registrierung selbst erfolgt in zwei Schritten über das BSI-Portal: zunächst die Anlage eines Organisationskontos (erforderlich ist ein ELSTER-Organisationszertifikat), anschließend die eigentliche Meldung mit Stammdaten, Sektorzuordnung und einer benannten Kontaktperson. Der Aufwand ist überschaubar — die eigentliche Arbeit beginnt danach.

Diese Pflichten gelten unabhängig von der Registrierung

Die Registrierung ist nur der formale Einstieg. Materiell verlangt § 30 BSIG angemessene technische und organisatorische Risikomanagementmaßnahmen in zehn Bereichen, darunter Risikoanalyse und Sicherheitskonzepte, Vorfallsbewältigung, Backup- und Wiederanlaufmanagement, Sicherheit der Lieferkette, Zugriffskontrolle und Mehr-Faktor-Authentifizierung sowie Schulung und Sensibilisierung. Für erhebliche Sicherheitsvorfälle gilt ein dreistufiges Melderegime mit engen Fristen.

Meldestufe	Frist	Inhalt
Frühwarnung	innerhalb von 24 Stunden	Erstmeldung nach Kenntnis des erheblichen Vorfalls, mit erster Einschätzung zu Ursache und grenzüberschreitenden Auswirkungen.
Vollmeldung	innerhalb von 72 Stunden	Bestätigung und Aktualisierung der Frühwarnung mit erster Bewertung von Schweregrad und Auswirkungen.
Abschlussbericht	innerhalb eines Monats	Ausführliche Darstellung von Vorfall, Ursache, ergriffenen Maßnahmen und gegebenenfalls fortbestehenden Risiken.

Die Fristen laufen ab Kenntnis des Vorfalls — ohne eingerichtete Meldewege und geübte Abläufe sind sie im Ernstfall kaum zu halten.

Hinzu kommt die persönliche Verantwortung der Leitungsebene: Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen, sie haftet bei schuldhaften Pflichtverstößen nach den gesellschaftsrechtlichen Regeln auf Schadensersatz, und sie muss regelmäßig — nach der Gesetzesbegründung mindestens alle drei Jahre — an Cybersicherheitsschulungen teilnehmen. Diese Pflichten treffen alle Mitglieder der Geschäftsleitung persönlich und lassen sich weder auf die IT-Leitung delegieren noch vertraglich abbedingen. Bei bestehender ISO-27001-Zertifizierung ist ein großer Teil des Risikomanagements bereits adressiert; Registrierung, Meldefristen und die Leitungspflichten deckt das Zertifikat allerdings nicht ab.

Was Unternehmen jetzt tun sollten

Betroffenheit prüfen und dokumentieren

Klären Sie anhand von Sektor, Beschäftigtenzahl und Umsatz, ob Ihr Unternehmen als wichtige oder besonders wichtige Einrichtung gilt. Die Betroffenheitsprüfung des BSI liefert eine erste Orientierung; halten Sie das Ergebnis schriftlich fest — auch eine begründete Nicht-Betroffenheit ist im Zweifel ein wertvoller Nachweis.

Registrierung bis zum 31. Juli abschließen

Legen Sie das Organisationskonto an (ELSTER-Organisationszertifikat rechtzeitig beantragen, die Ausstellung dauert einige Tage) und registrieren Sie die Einrichtung im BSI-Portal mit Sektorzuordnung und Kontaktperson.

Meldewege einrichten

Definieren Sie, wer einen erheblichen Vorfall erkennt, bewertet und meldet, und hinterlegen Sie die Abläufe für Frühwarnung, Vollmeldung und Abschlussbericht. Verzahnen Sie die Meldekette mit Ihrem Notfall- und Krisenmanagement, damit die 24-Stunden-Frist auch am Wochenende funktioniert.

Risikomanagement gegen § 30 BSIG spiegeln

Nehmen Sie den Ist-Stand Ihrer Sicherheitsmaßnahmen auf und gleichen Sie ihn mit den zehn Pflichtbereichen ab — von der Risikoanalyse über Backups und Lieferkettensicherheit bis zur Mehr-Faktor-Authentifizierung. Aus den Lücken entsteht ein priorisierter Maßnahmenplan mit realistischen Terminen.

Geschäftsleitung einbinden und schulen

Verankern Sie die Billigungs- und Überwachungspflichten der Leitungsebene in Berichtswegen und Beschlüssen, und planen Sie die Cybersicherheitsschulung der Geschäftsleitung ein. Dokumentierte Schulungen und Entscheidungen sind zugleich der wichtigste Entlastungsnachweis für die persönliche Haftung.

Das Wesentliche

Die Nachfrist des BSI zum 31. Juli 2026 ist die letzte Gelegenheit, den Registrierungs-Rückstand ohne aufsichtsrechtliche Folgen aufzuholen — die Pflichten selbst gelten seit Dezember 2025. Wer jetzt Betroffenheit klärt, sich registriert, Meldewege einrichtet und das Risikomanagement gegen § 30 BSIG spiegelt, erledigt den formalen Teil in Tagen und gewinnt eine belastbare Grundlage für alles Weitere, einschließlich der persönlichen Absicherung der Geschäftsleitung.

Häufige Fragen

Wir haben die Frist am 6. März verpasst. Was passiert jetzt?

Die Registrierungspflicht besteht fort, eine verspätete Registrierung ist weiterhin möglich und dringend ratsam. Die fehlende Registrierung ist ein eigenständiger Bußgeldtatbestand; das BSI hat mit der Nachfrist bis zum 31. Juli 2026 aber signalisiert, dass es Nachzüglern zunächst ohne Sanktionen die Gelegenheit zur Nachholung gibt. Nach Ablauf der Nachfrist steigt das Risiko von Aufsichtsmaßnahmen deutlich.

Woher wissen wir, ob unser Unternehmen betroffen ist?

Maßgeblich sind Sektor und Unternehmensgröße: erfasst sind 18 Sektoren, in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme. Das BSI stellt unter diesem Link eine automatisierte Betroffenheitsprüfung bereit, die eine erste Einschätzung liefert. Da die Selbsteinstufung rechtliche Folgen hat, empfiehlt sich in Grenzfällen eine dokumentierte Prüfung, etwa gemeinsam mit einem externen Informationssicherheitsbeauftragten.

Was unterscheidet wichtige von besonders wichtigen Einrichtungen?

Die materiellen Pflichten sind weitgehend gleich; Unterschiede bestehen bei Aufsicht und Sanktionen. Besonders wichtige Einrichtungen unterliegen der proaktiven Aufsicht mit anlasslosen Prüfbefugnissen und einem Bußgeldrahmen bis 10 Mio. Euro oder 2 % des Umsatzes, wichtige Einrichtungen einer anlassbezogenen Aufsicht mit bis zu 7 Mio. Euro oder 1,4 %.

Reicht unsere ISO-27001-Zertifizierung für die NIS-2-Konformität?

Sie ist eine hervorragende Grundlage, ersetzt die gesetzlichen Pflichten aber nicht. Registrierung, die dreistufigen Meldefristen und die persönlichen Pflichten der Geschäftsleitung nach § 38 BSIG liegen außerhalb des Zertifikats. Sinnvoll ist eine gezielte Ergänzung des bestehenden Managementsystems um genau diese Bausteine.

Welche Rolle spielt die Geschäftsleitung persönlich?

Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Cybersicherheitsschulungen teilnehmen; bei schuldhaften Verstößen haftet sie auf Schadensersatz. Diese Pflichten treffen alle Leitungsmitglieder persönlich und sind weder delegierbar noch vertraglich ausschließbar. Dokumentation ist deshalb zugleich Entlastungsnachweis.

Wir fallen selbst nicht unter NIS-2 — kann uns das Gesetz trotzdem treffen?

Ja, über die Lieferkette. Regulierte Unternehmen müssen die Sicherheit ihrer Lieferanten und Dienstleister in ihr Risikomanagement einbeziehen und geben Anforderungen zunehmend vertraglich weiter. Wer als Zulieferer regulierter Kunden auftritt, sollte auf Sicherheitsfragebögen und Vertragsklauseln vorbereitet sein. Wie ein belastbares Fundament dafür aussieht, zeigen unser Überblick NIS-2 im Überblick und die BCM-Beratung für den Wiederanlauf-Teil der Anforderungen.

Quellen

Stand der Recherche: 26. Juli 2026. Maßgeblich sind Gesetzestext und die Veröffentlichungen des BSI.

BSI: Handreichung zur NIS-2-Geschäftsleitungsschulung (§ 38 Abs. 3 BSIG)

KI-Verordnung ab dem 2. August: Was jetzt gilt und was verschoben wurde

Kaum ein Rechtsakt hat in den vergangenen Monaten für so viel Verwirrung gesorgt wie die europäische KI-Verordnung. Im Juni hat die EU mit dem sogenannten Digital Omnibus zentrale Fristen verschoben, und in vielen Geschäftsleitungen ist davon vor allem eine Botschaft angekommen: Die Regulierung kommt später. Diese Lesart ist gefährlich verkürzt. Verschoben wurden ausschließlich die Pflichten für Hochrisiko-Systeme, während die Verordnung am 2. August 2026 wie geplant allgemein anwendbar wird.

Ab diesem Stichtag gelten unter anderem die Transparenzpflichten des Art. 50 KI-VO, und die Aufsichtsbehörden nehmen ihre Durchsetzung auf. Betroffen ist damit praktisch jedes Unternehmen, das einen Chatbot betreibt, KI-generierte Inhalte veröffentlicht oder Werkzeuge wie ChatGPT und Microsoft Copilot im Arbeitsalltag einsetzt. Dieser Beitrag ordnet ein, was ab dem 2. August tatsächlich gilt, was der Digital Omnibus verschoben hat und welche Schritte kleine und mittlere Unternehmen jetzt gehen sollten.

2. Aug.

2026 wird die KI-Verordnung allgemein anwendbar, inklusive der Transparenzpflichten nach Art. 50

15 Mio. €

oder 3 % des weltweiten Jahresumsatzes drohen als Bußgeld, wenn Transparenz- und Betreiberpflichten verletzt werden

16 Monate

mehr Zeit gibt der Digital Omnibus für eigenständige Hochrisiko-Systeme: Anwendungsbeginn erst am 2. Dezember 2027

Quellen: Verordnung (EU) 2024/1689 (KI-VO); Digital Omnibus on AI, Ratsbeschluss vom 29. Juni 2026

Das Wichtigste in Kürze

Am 2. August 2026 wird die KI-Verordnung allgemein anwendbar. Der Digital Omnibus verschiebt diesen Stichtag nicht, sondern nur die Pflichten für Hochrisiko-Systeme.
Ab dem Stichtag gelten die Transparenzpflichten des Art. 50: Chatbots müssen sich als KI zu erkennen geben, Deepfakes und bestimmte KI-generierte Texte sind zu kennzeichnen.
Die Pflicht zur maschinenlesbaren Kennzeichnung synthetischer Inhalte (Art. 50 Abs. 2) erhält eine eigene Übergangsfrist bis zum 2. Dezember 2026.
Hochrisiko-Pflichten greifen später: für eigenständige Systeme nach Anhang III ab dem 2. Dezember 2027, für produktintegrierte Systeme nach Anhang I ab dem 2. August 2028.
Unverändert in Kraft sind die verbotenen Praktiken und die KI-Kompetenzpflicht (beide seit Februar 2025) sowie die Pflichten für KI-Basismodelle (seit August 2025).
Mit dem Stichtag beginnt die aktive Durchsetzung, mit Bußgeldern bis 35 Mio. Euro oder 7 % des Jahresumsatzes bei verbotenen Praktiken.

Der 2. August 2026: Die Verordnung wird allgemein anwendbar

Die KI-Verordnung ist bereits am 1. August 2024 in Kraft getreten, entfaltet ihre Pflichten jedoch gestaffelt. Nach den Verboten und der Kompetenzpflicht (Februar 2025) sowie den Regeln für KI-Modelle mit allgemeinem Verwendungszweck (August 2025) folgt am 2. August 2026 die dritte und größte Stufe: Die Verordnung wird nach ihrem Art. 113 allgemein anwendbar. Ab diesem Zeitpunkt gelten die Transparenzpflichten, die Mitgliedstaaten müssen ihre Marktüberwachung arbeitsfähig haben, und das Sanktionsregime wird scharfgestellt.

Parallel dazu hat die EU im Juni 2026 das Änderungspaket zur KI-Verordnung beschlossen, das unter dem Namen Digital Omnibus verhandelt wurde. Das Europäische Parlament stimmte am 16. Juni zu, der Rat erteilte am 29. Juni seine finale Zustimmung; die Veröffentlichung im Amtsblatt ist so getaktet, dass die neuen Fristen noch vor dem 2. August wirksam werden. Wer aus den Schlagzeilen zur Verschiebung geschlossen hat, das Thema könne insgesamt warten, sollte diese Annahme daher dringend überprüfen.

Digital Omnibus on AI

Änderungsverordnung zur KI-Verordnung (EU) 2024/1689 im Rahmen der EU-Vereinfachungsagenda. Sie verschiebt den Anwendungsbeginn der Hochrisiko-Pflichten, ergänzt den Katalog verbotener Praktiken um KI-Systeme zur Erzeugung nicht einvernehmlicher intimer Darstellungen und von Missbrauchsdarstellungen, und präzisiert einzelne Pflichten zur Entlastung insbesondere kleiner und mittlerer Unternehmen. Die Grundsystematik der Verordnung bleibt unverändert.

Diese Transparenzpflichten gelten ab dem 2. August

Kern des Stichtags sind für die meisten kleinen und mittleren Unternehmen die Transparenzpflichten des Art. 50 KI-VO. Sie folgen einem einfachen Grundgedanken: Wo Menschen mit Künstlicher Intelligenz interagieren oder KI-erzeugte Inhalte wahrnehmen, sollen sie das erkennen können. Die Pflichten treffen je nach Konstellation den Anbieter des Systems oder das Unternehmen, das es einsetzt, im Sprachgebrauch der Verordnung den Betreiber.

Pflicht (Art. 50 KI-VO)	Wen sie trifft	Typischer Fall im Unternehmensalltag
Interaktions-Hinweis (Abs. 1)	Anbieter des KI-Systems	Der Website-Chatbot muss so gestaltet sein, dass Nutzer erkennen, dass sie mit einer KI kommunizieren, sofern das nicht offensichtlich ist.
Hinweis bei Emotionserkennung und biometrischer Kategorisierung (Abs. 3)	Betreiber	Wer solche Systeme einsetzt, etwa zur Auswertung von Kundenreaktionen, muss die betroffenen Personen darüber informieren.
Kennzeichnung von Deepfakes (Abs. 4)	Betreiber	KI-erzeugte oder -manipulierte Bild-, Audio- und Videoinhalte, die reale Personen oder Ereignisse täuschend echt darstellen, sind als künstlich erzeugt offenzulegen.
Kennzeichnung bestimmter KI-Texte (Abs. 4)	Betreiber	Veröffentlichte KI-Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, benötigen einen Hinweis, sofern keine menschliche redaktionelle Kontrolle und Verantwortung besteht.

Sonderfall Abs. 2: Die Pflicht der Anbieter, synthetische Inhalte maschinenlesbar zu kennzeichnen (Wasserzeichen), erhält durch den Digital Omnibus eine eigene Übergangsfrist bis zum 2. Dezember 2026.

Wen das praktisch betrifft

Die Transparenzpflichten sind keine Spezialmaterie für Technologiekonzerne. Ein Kundenservice-Chatbot auf der Website, KI-generierte Produktvideos im Marketing oder automatisiert erstellte Fachbeiträge reichen aus, um in den Anwendungsbereich zu fallen. Wer solche Werkzeuge einsetzt, sollte bis zum Stichtag prüfen, ob die erforderlichen Hinweise und Kennzeichnungen vorhanden sind.

Was der Digital Omnibus verschiebt und was nicht

Die Verschiebung betrifft ausschließlich die Anforderungen an Hochrisiko-KI-Systeme nach Kapitel III der Verordnung, also etwa Konformitätsbewertung, Risikomanagement, technische Dokumentation und CE-Kennzeichnung. Für eigenständige Systeme nach Anhang III (zum Beispiel KI in der Personalauswahl oder Kreditwürdigkeitsprüfung) verschiebt sich der Anwendungsbeginn um 16 Monate auf den 2. Dezember 2027, für Hochrisiko-KI als Sicherheitsbauteil regulierter Produkte nach Anhang I auf den 2. August 2028. Zusätzlich nimmt der Omnibus zwei neue Tatbestände in den Katalog der verbotenen Praktiken auf: KI-Systeme, die nicht einvernehmliche intime Darstellungen realer Personen oder Darstellungen sexuellen Kindesmissbrauchs erzeugen oder manipulieren, sind ab dem 2. Dezember 2026 verboten.

Gilt ab dem 2. August 2026

Allgemeine Anwendbarkeit der Verordnung. Transparenzpflichten nach Art. 50 Abs. 1, 3 und 4 für Chatbots, Emotionserkennung, Deepfakes und bestimmte KI-Texte. Beginn der aktiven Durchsetzung durch das EU AI Office und die nationale Marktüberwachung. Anwendbarkeit des Sanktionsregimes.

Durch den Omnibus verschoben

Hochrisiko-Pflichten für eigenständige Systeme nach Anhang III auf den 2. Dezember 2027. Hochrisiko-Pflichten für produktintegrierte Systeme nach Anhang I auf den 2. August 2028. Maschinenlesbare Kennzeichnung synthetischer Inhalte nach Art. 50 Abs. 2 auf den 2. Dezember 2026.

Was ohnehin schon gilt

Unabhängig vom Stichtag bestehen drei Pflichtenblöcke bereits heute. Seit dem 2. Februar 2025 sind die verbotenen Praktiken des Art. 5 anwendbar, darunter manipulative Techniken und Social Scoring. Seit demselben Tag verlangt Art. 4 die sogenannte KI-Kompetenz: Anbieter und Betreiber müssen sicherstellen, dass ihr Personal über ein ausreichendes Maß an Kenntnissen im Umgang mit KI-Systemen verfügt. Als Betreiber gilt dabei in der Regel schon ein Unternehmen, das Werkzeuge wie ChatGPT oder Copilot im Arbeitsalltag einsetzt. Seit dem 2. August 2025 gelten außerdem die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck; ab dem 2. August 2026 beginnt hierfür die aktive Durchsetzung durch das EU AI Office.

Für die Kompetenzpflicht bedeutet der Stichtag eine spürbare Veränderung der Risikolage: Mit dem Start der Marktüberwachung wird aus einer bislang kaum kontrollierten Vorgabe eine Anforderung, deren Erfüllung Unternehmen im Zweifel belegen sollten. Dokumentierte Schulungen und eine interne KI-Richtlinie sind der praktikabelste Nachweis. Wie ein solches Vorgehen aussehen kann, zeigen unsere Schulungen und E-Learnings sowie die KI-Beratung.

Durchsetzung und Bußgelder

Mit dem 2. August 2026 wird das Sanktionsregime der Verordnung anwendbar. Verstöße gegen verbotene Praktiken können mit bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden, Verstöße gegen die übrigen Pflichten, einschließlich der Transparenzvorgaben, mit bis zu 15 Mio. Euro oder 3 %. In Deutschland hat das Bundeskabinett im Februar 2026 den Entwurf des nationalen Durchführungsgesetzes beschlossen, das Marktüberwachung und Bußgeldverfahren regelt; nach dem Entwurfsstand ist das Bundesamt für Sicherheit in der Informationstechnik als durchsetzende Behörde vorgesehen, das parlamentarische Verfahren läuft noch. Unternehmen sollten sich darauf einstellen, dass Aufsicht und erste Prüfungen in der zweiten Jahreshälfte 2026 anlaufen.

Was Unternehmen jetzt tun sollten

KI-Bestand erfassen

Erstellen Sie ein Inventar aller eingesetzten KI-Systeme und -Werkzeuge, von der Fachsoftware mit KI-Funktionen bis zu frei zugänglichen Diensten. Ohne diesen Überblick lässt sich keine der folgenden Fragen belastbar beantworten.

Rollen und Betroffenheit klären

Prüfen Sie je System, ob Ihr Unternehmen Anbieter oder Betreiber ist und ob Transparenzpflichten nach Art. 50 greifen. Ordnen Sie außerdem ein, ob eines Ihrer Systeme künftig als Hochrisiko-System einzustufen wäre; die verlängerten Fristen sind Vorbereitungszeit.

Transparenz-Hinweise umsetzen

Statten Sie Chatbots mit einem klaren KI-Hinweis aus und kennzeichnen Sie KI-erzeugte Bild-, Audio-, Video- und Textinhalte dort, wo Art. 50 es verlangt. Legen Sie intern fest, wer diese Kennzeichnung bei neuen Inhalten sicherstellt.

KI-Kompetenz nachweisbar machen

Schulen Sie die Mitarbeitenden, die mit KI-Systemen arbeiten, und dokumentieren Sie die Teilnahme. Der Umfang darf zum Risiko der Nutzung passen; entscheidend ist, dass Sie die Maßnahme im Prüfungsfall belegen können.

Regeln und Dokumentation aufsetzen

Halten Sie in einer internen KI-Richtlinie fest, welche Werkzeuge freigegeben sind, welche Daten eingegeben werden dürfen und wer Ergebnisse prüft. Ein schlankes KI-Verzeichnis dokumentiert die Einsätze und erleichtert jede spätere Auskunft gegenüber Aufsicht oder Kunden.

Das Wesentliche

Der Digital Omnibus verschafft bei Hochrisiko-Systemen Zeit, am Stichtag 2. August 2026 ändert er nichts. Ab dann gelten Transparenzpflichten für Chatbots und KI-Inhalte, die Aufsicht beginnt zu prüfen, und die seit 2025 bestehende Kompetenzpflicht wird durchsetzbar. Wer jetzt Bestand, Rollen, Kennzeichnung und Schulungsnachweise ordnet, erledigt den Pflichtteil mit überschaubarem Aufwand und nutzt die verlängerten Hochrisiko-Fristen als das, was sie sind: Vorbereitungszeit.

Häufige Fragen

Gilt der 2. August 2026 trotz des Digital Omnibus?

Ja. Der Omnibus verschiebt die Verordnung nicht insgesamt, sondern nur die Pflichten für Hochrisiko-Systeme und die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2. Der allgemeine Anwendungsbeginn am 2. August 2026 bleibt bestehen, einschließlich der übrigen Transparenzpflichten und des Sanktionsregimes.

Wir nutzen nur ChatGPT im Büroalltag. Betrifft uns die Verordnung überhaupt?

In aller Regel ja. Wer KI-Werkzeuge eigenverantwortlich im Unternehmen einsetzt, gilt als Betreiber im Sinne der Verordnung. Damit greift insbesondere die Kompetenzpflicht nach Art. 4, die seit Februar 2025 besteht, und je nach Nutzung können Kennzeichnungspflichten für veröffentlichte KI-Inhalte hinzukommen.

Muss unser Website-Chatbot ab August einen KI-Hinweis tragen?

Ein KI-System, das für die direkte Interaktion mit Menschen bestimmt ist, muss so gestaltet sein, dass die Nutzer erkennen, dass sie mit einer KI kommunizieren, es sei denn, dies ist aus den Umständen offensichtlich. Die Pflicht richtet sich an den Anbieter des Systems; als einsetzendes Unternehmen sollten Sie bei Ihrem Dienstleister prüfen, ob der Hinweis vorhanden ist, und ihn andernfalls einfordern.

Was ändert sich bei den Hochrisiko-Systemen konkret?

Die Anforderungen der Abschnitte zu Risikomanagement, Datenqualität, Dokumentation, Konformitätsbewertung und CE-Kennzeichnung gelten für eigenständige Hochrisiko-Systeme nach Anhang III erst ab dem 2. Dezember 2027, für in Produkte eingebettete Systeme nach Anhang I ab dem 2. August 2028. Unternehmen, die solche Systeme entwickeln oder einsetzen wollen, sollten die Zeit für Klassifizierung und Aufbau der Dokumentation nutzen.

Wer kontrolliert die Einhaltung in Deutschland?

Auf EU-Ebene überwacht das AI Office insbesondere die Anbieter großer KI-Modelle. Für die nationale Marktüberwachung hat das Bundeskabinett im Februar 2026 den Entwurf eines Durchführungsgesetzes beschlossen; vorgesehen ist danach das Bundesamt für Sicherheit in der Informationstechnik. Bis zum Abschluss des Gesetzgebungsverfahrens sollten Unternehmen die Zuständigkeit im Blick behalten.

Wie hängt die KI-Verordnung mit anderen Pflichten wie NIS-2 zusammen?

Beide Rechtsakte verlangen Governance-Strukturen, Risikobetrachtung und Nachweisfähigkeit, setzen aber an unterschiedlichen Stellen an: NIS-2 bei der Cybersicherheit der Organisation, die KI-Verordnung beim Einsatz von KI-Systemen. Unternehmen, die von beidem betroffen sind, sollten die Dokumentation zusammen denken. Eine Einordnung zu NIS-2 finden Sie in unserem Beitrag NIS-2 im Überblick.

Quellen

Stand der Recherche: 26. Juli 2026. Maßgeblich ist der jeweils im Amtsblatt der EU veröffentlichte Verordnungstext.

Verordnung (EU) 2024/1689 (KI-Verordnung), EUR-Lex

Betriebliche Zusatzleistungen – So steigen Sie Ihre Mitarbeiterzufriedenheit

Beim Wettbewerb um gute Mitarbeiter entscheidet längst nicht mehr nur das Gehalt. Wer zusätzliche Leistungen bietet — eine Sachbezugskarte, ein Jobticket, einen Zuschuss zur Altersvorsorge — steigert die Zufriedenheit im Team und bindet Leistungsträger. Der Charme für Sie als Arbeitgeber: Viele dieser Leistungen bleiben steuer- und sozialabgabenfrei und kosten Sie deutlich weniger als eine Gehaltserhöhung mit dem gleichen Effekt beim Netto.

Auf politische Einmalprämien sollten Sie dabei nicht setzen: Der für 2026 diskutierte steuerfreie Krisenbonus ist im Bundesrat gescheitert. Verlässlich sind die dauerhaft im Einkommensteuergesetz verankerten Leistungen — wenn ein paar Spielregeln eingehalten werden.

50 €

pro Monat und Mitarbeiter steuer- und abgabenfrei als Sachbezug

600 €

Spielraum im Jahr allein über den Sachbezug — plus Geschenke zu persönlichen Anlässen

≈ 720 €

weniger Kosten im Jahr je Mitarbeiter als bei einer Gehaltserhöhung mit gleichem Netto

Rechtsstand 2026 · § 8 EStG

Benefit oder Sozialleistung — der Unterschied in der Praxis

Im Alltag werden „Benefits“, „Zusatzleistungen“ und „betriebliche Sozialleistungen“ oft in einen Topf geworfen. Für Sie als Geschäftsführer zählt vor allem ein Unterschied: ob aus einer Leistung mit der Zeit ein Anspruch wird.

Betriebliche Sozialleistung

Eine Leistung, die der Absicherung oder Fürsorge dient — etwa die betriebliche Altersvorsorge, ein Kinderbetreuungszuschuss oder Gesundheitsförderung. Wird sie über längere Zeit ohne Vorbehalt gewährt, kann daraus eine betriebliche Übung entstehen, aus der die Mitarbeiter einen dauerhaften Anspruch ableiten.

Benefit

Eine freiwillige Leistung, die das Arbeitsverhältnis attraktiver macht — die Sachbezugskarte, das Jobticket, ein Zuschuss zum Fitnessstudio. Auch hier ist ein klarer Freiwilligkeitsvorbehalt sinnvoll, damit Sie steuern, ob ein dauerhafter Anspruch entsteht.

Entscheidend ist am Ende weniger der Name als die Frage, auf welcher Grundlage eine Leistung steuerfrei bleibt und welche Bedingung dafür gilt. Die folgende Übersicht ordnet die gängigsten Leistungen ein.

Die gängigsten steuerbegünstigten Leistungen

Leistung	Rahmen	Rechtsgrundlage	Wesentliche Voraussetzung
Sachbezug (Gutschein, Geldkarte)	bis 50 € im Monat steuer- und abgabenfrei	§ 8 Abs. 2 S. 11 EStG	zusätzlich zum Lohn; keine Barauszahlung; Geldkarte muss die Vorgaben des § 2 Abs. 1 Nr. 10 ZAG erfüllen
Geschenk zu persönlichem Anlass	bis 60 € je Anlass (z. B. Geburtstag, Jubiläum)	R 19.6 LStR	konkreter persönlicher Anlass; Sachzuwendung, kein Geld
Dienstwagen zur Privatnutzung	geldwerter Vorteil pauschal (1-%-Regel) oder per Fahrtenbuch	§ 8 Abs. 2 EStG	1 % des Bruttolistenpreises je Monat oder Nachweis der Privatfahrten per Fahrtenbuch; reduzierter Satz für E-Fahrzeuge
Überlassung von Hardware (Smartphone, Notebook)	private Mitnutzung steuer- und abgabenfrei	§ 3 Nr. 45 EStG	Gerät bleibt Eigentum des Arbeitgebers (Überlassung, keine Übereignung)
Jobticket / Zuschuss ÖPNV	steuerfrei, mindert die Entfernungspauschale	§ 3 Nr. 15 EStG	zusätzlich zum Lohn; Nutzung im öffentlichen Nahverkehr
Betriebliche Gesundheitsförderung	bis 600 € je Mitarbeiter und Jahr steuerfrei	§ 3 Nr. 34 EStG	zertifizierte Maßnahmen nach § 20 SGB V; zusätzlich zum Lohn
Betriebliche Altersvorsorge	Beiträge steuer- und abgabenfrei innerhalb der Höchstgrenzen	§ 3 Nr. 63 EStG	zulässiger Versorgungsweg; bei Entgeltumwandlung Arbeitgeberzuschuss beachten
Kinderbetreuungszuschuss	steuer- und abgabenfrei, ohne betragliche Grenze	§ 3 Nr. 33 EStG	nicht schulpflichtige Kinder; Unterbringung z. B. im Kindergarten; zusätzlich zum Lohn

Rechtsstand 2026. Die Übersicht nennt die häufigsten Gestaltungen und ersetzt keine Prüfung des Einzelfalls.

Worauf es bei der Umsetzung ankommt

Die Beträge sind überschaubar, doch die Steuerfreiheit entfällt schnell, wenn eine formale Bedingung übersehen wird. Drei Punkte werden in Lohnsteuer-Prüfungen am häufigsten beanstandet.

Zusätzlich zum Lohn gewähren

Begünstigte Leistungen müssen zum vereinbarten Gehalt hinzukommen (§ 8 Abs. 4 EStG). Bestehenden Lohn in einen steuerfreien Sachbezug umzuwandeln ist nicht zulässig — geschieht es doch, entfällt die Steuerfreiheit.

Freigrenze nicht überschreiten

Die 50 € beim Sachbezug sind eine Freigrenze, kein Freibetrag. Schon ein Cent darüber macht den gesamten Betrag steuer- und abgabenpflichtig. Mehrere Sachbezüge eines Monats zählen zusammen, und ungenutzte Beträge lassen sich nicht in den Folgemonat übertragen.

Sauber dokumentieren

Sachbezüge gehören nachvollziehbar in die Lohnabrechnung. Bei Geldkarten muss sichergestellt sein, dass keine Barauszahlung möglich ist — sonst liegt steuerpflichtiger Barlohn vor.

Praxishinweis

Der Vorteil gegenüber einer Gehaltserhöhung entsteht gerade dadurch, dass weder Lohnsteuer noch Sozialabgaben anfallen. Genau deshalb schauen die Finanzbehörden bei der Prüfung genau hin. Eine sauber aufgesetzte Regelung mit Freiwilligkeitsvorbehalt und korrekter Lohnabrechnung sichert den Vorteil dauerhaft.

Häufige Fragen

Lohnt sich ein Sachbezug gegenüber einer Gehaltserhöhung?

Meist ja. Ein steuer- und abgabenfreier Sachbezug von 50 € im Monat kommt netto voll beim Mitarbeiter an, während von einer Gehaltserhöhung in gleicher Höhe nach Steuern und Abgaben nur ein Bruchteil bleibt. Zugleich sparen Sie die Lohnnebenkosten der Erhöhung. Voraussetzung: zusätzlich zum Lohn gewähren und die Freigrenze einhalten.

Können wir mehrere Leistungen kombinieren?

Ja, sofern jede Leistung für sich ihre Voraussetzung erfüllt und die jeweiligen Grenzen eingehalten werden. So lässt sich der Sachbezug etwa mit einem Jobticket und einem Gesundheitszuschuss verbinden. Wichtig ist, die Leistungen in der Abrechnung sauber zu trennen, weil sie auf verschiedenen Rechtsgrundlagen beruhen.

Was heißt „zusätzlich zum Lohn“ konkret?

Die Leistung muss zum vereinbarten Gehalt hinzukommen und darf nicht aus umgewandeltem Lohn finanziert werden. Wer einem Mitarbeiter anbietet, künftig einen Gehaltsteil als steuerfreien Sachbezug auszuzahlen, verstößt dagegen — die Steuerfreiheit entfällt. Die Altersvorsorge per Entgeltumwandlung folgt eigenen Regeln.

Welche Geldkarten sind als Sachbezug erlaubt?

Erlaubt sind Karten mit eingeschränktem Einsatzbereich — etwa begrenzt auf bestimmte Händler, Verbünde, Regionen oder Produktgruppen. Offene Prepaid-Kreditkarten mit allgemeiner Akzeptanz sowie Karten mit Bar- oder Überweisungsfunktion erfüllen die Vorgaben des Zahlungsdiensteaufsichtsgesetzes nicht und gelten als steuerpflichtiger Barlohn.

Wie funktioniert der Dienstwagen steuerlich?

Die Privatnutzung eines Dienstwagens ist ein geldwerter Vorteil. Er wird entweder pauschal mit 1 % des Bruttolistenpreises pro Monat angesetzt oder per Fahrtenbuch anhand der tatsächlichen Privatfahrten ermittelt. Für reine Elektrofahrzeuge gilt ein reduzierter Ansatz. Welche Methode günstiger ist, hängt vom Nutzungsverhalten ab.

Entsteht durch wiederholte Gewährung ein Anspruch?

Das kann passieren. Wird eine freiwillige Leistung lange ohne Vorbehalt gewährt, kann eine betriebliche Übung entstehen, aus der die Mitarbeiter einen Anspruch ableiten. Ein klar formulierter Freiwilligkeitsvorbehalt bei jeder Gewährung hilft, das zu steuern; seine Wirksamkeit hängt von der Ausgestaltung ab.

Das Reifegradmodell der ISO 50005: in vier Stufen zum Energiemanagement

Ein vollständiges Energiemanagementsystem nach ISO 50001 aufzubauen, ist für viele kleinere und mittlere Unternehmen ein großer Schritt – gerade dann, wenn weder Erfahrung mit Managementsystemen noch freie Personalkapazität vorhanden ist. Genau an dieser Stelle setzt die ISO 50005 an. Sie zerlegt den Weg zum Energiemanagement in überschaubare Stufen und erlaubt es, mit begrenzten Ressourcen dort zu beginnen, wo der Nutzen am größten ist. Wie dieses stufenweise Vorgehen im Detail funktioniert, zeigt ein Blick auf das Reifegradmodell, das im Kern der Norm steht.

ISO 50005:2021

„Energiemanagementsysteme – Leitfaden für eine phasenweise Umsetzung“ (englischer Originaltitel: Energy management systems – Guidelines for a phased implementation). Die Norm ist ein Leitfaden und ausdrücklich nicht zertifizierbar. Sie ist konsistent mit der ISO 50001:2018, deckt aber nicht alle deren Anforderungen ab. Ihr Ziel ist es, insbesondere kleinen und mittleren Organisationen einen niedrigschwelligen, schrittweisen Einstieg in ein Energiemanagementsystem (EnMS) zu ermöglichen.

Zwölf Elemente, vier Reifegrade

Das Modell der ISO 50005 beruht auf zwölf Kernelementen, die sich inhaltlich an den Abschnitten der ISO 50001:2018 orientieren, jedoch vereinfacht sind. Für jedes dieser Elemente beschreibt die Norm vier aufeinander aufbauende Reifegrade. Ein Unternehmen bestimmt zunächst seinen Ist-Zustand je Element und wählt dann das Niveau, das es als Nächstes erreichen möchte. Der entscheidende Gedanke dabei ist, dass nicht jedes Element sofort die höchste Stufe erreichen muss – die Reife darf je nach Bedeutung und Aufwand unterschiedlich ausfallen.

Die vier Reifegrade markieren einen wachsenden Umsetzungsstand, der von ersten, noch unsystematischen Ansätzen bis nahe an die Anforderungen der ISO 50001 reicht.

Reifegrad 1 – Energiemanagement ermöglichen

Eine erste Unterstützung durch die Leitung ist vorhanden, ein grundlegendes Bewusstsein für den Energieeinsatz entsteht und erste Energiedaten werden zusammengetragen, etwa aus vorhandenen Energierechnungen. Systematische Praktiken gibt es auf dieser Stufe noch nicht; sie schafft die Grundlage, auf der alles Weitere aufbaut.

Reifegrad 2 – Energiemanagement ausbauen

Eine Energiepolitik ist formuliert, ein verantwortliches Team benannt. Verbrauchs- und Kostendaten werden grundlegend analysiert, erste Einsparpotenziale werden bewertet. Einzelne systematische Praktiken setzen sich durch, ohne dass bereits ein durchgängiges System besteht.

Reifegrad 3 – EnMS entsteht

Die Praktiken werden systematisch, das Energiemanagement gewinnt strategische Bedeutung. Überwachung und Bewertung verbessern sich, die Einhaltung rechtlicher Vorgaben wird fester Bestandteil des Systems, und die Organisation beginnt, aus ihren Daten zu lernen und nachzusteuern.

Reifegrad 4 – EnMS etabliert

Das System verbessert sich kontinuierlich, die Kernelemente der ISO 50001 sind umgesetzt. Auf dieser Stufe ist die Organisation so weit, dass eine Gap-Analyse gegen die ISO 50001 sinnvoll wird – mit einigen Ergänzungen und Anpassungen lässt sich von hier aus die Konformität zur zertifizierbaren Norm erreichen.

Im Anhang B der Norm sind die Voraussetzungen für das Erreichen der Stufen eins bis vier für jedes Kernelement detailliert aufgelistet. Dieses Reifegradmodell erlaubt es, den eigenen Ist-Zustand zu bestimmen, Verbesserungspotenziale zu erkennen und erste Ziele festzulegen.

Die zwölf Kernelemente im Überblick

Die zwölf Elemente spannen den gesamten Bogen eines Energiemanagementsystems auf – von der grundlegenden Verankerung in der Organisation über die energetische Bewertung bis zur Überprüfung und Verbesserung. Sie lassen sich grob in einen Bereich der Führung und Planung und einen Bereich des Betriebs und der Verbesserung gliedern.

Führung & Planung

Den Rahmen setzen

Elemente, die das Energiemanagement in der Organisation verankern und die Grundlage für gezielte Maßnahmen legen.

Kontext der Organisation
Führung und Verpflichtung der Leitung
Ressourcen
Energiepolitik
Rollen, Verantwortlichkeiten und Befugnisse
Energetische Bewertung

Betrieb & Verbesserung

Wirksam werden

Elemente, die das System in den Alltag bringen, seine Leistung messen und die kontinuierliche Verbesserung sichern.

Ziele und Maßnahmenplanung
Kompetenz und Bewusstsein
Betrieb und Beschaffung
Überwachung und Messung der energiebezogenen Leistung
Bewertung der Einhaltung von Verpflichtungen
Überprüfung und kontinuierliche Verbesserung

Die genaue Bezeichnung und Zuordnung der Elemente ergibt sich aus den Tabellen der Norm; entscheidend für die Praxis ist, dass sich der Reifegrad je Element unterschiedlich entwickeln darf. Ein Unternehmen kann etwa bei der energetischen Bewertung bereits weit fortgeschritten sein, während die formale Energiepolitik noch am Anfang steht.

Wie ein stufenweises Vorgehen praktisch aussieht

Der erste Schritt ist immer die Bestimmung des Ist-Zustands: In welchem Reifegrad befindet sich das Unternehmen je Element? Aus dieser Standortbestimmung ergibt sich, wo sinnvoll begonnen wird. Die Norm empfiehlt, dort anzusetzen, wo das größte Verbesserungspotenzial besteht und wo sich die energiebezogene Leistung einfach oder kostengünstig verbessern lässt. Es ist ausdrücklich zulässig, sich zunächst nur auf einzelne Elemente oder Teilthemen zu konzentrieren, statt das gesamte System auf einmal aufzubauen.

Werden im Laufe der Zeit alle Elemente, Themen und Kriterien bis zur höchsten Stufe umgesetzt, lässt sich daraus mit einigen Ergänzungen die Konformität zur ISO 50001 herstellen. Die ISO 50005 ist damit kein Gegenentwurf zur zertifizierbaren Norm, sondern ein geordneter Weg dorthin – oder ein bewusst gewählter Endpunkt für Unternehmen, die ein wirksames Energiemanagement betreiben möchten, ohne eine Zertifizierung anzustreben.

Zum Mitnehmen

Die ISO 50005 macht den Aufbau eines Energiemanagementsystems planbar, weil sie ihn in zwölf Elemente und vier Reifegrade zerlegt. Unternehmen müssen nicht alles auf einmal leisten, sondern können dort beginnen, wo der Nutzen am größten und der Aufwand am geringsten ist – und sich von dort schrittweise bis zur ISO-50001-Konformität entwickeln, sofern sie das anstreben.

Häufige Fragen

Kann man sich nach ISO 50005 zertifizieren lassen?

Nein. Die ISO 50005 ist ein Leitfaden für die phasenweise Umsetzung und ausdrücklich nicht zertifizierbar. Sie führt ein Unternehmen jedoch so weit an die ISO 50001 heran, dass von der höchsten Reifestufe aus mit einigen Ergänzungen die Konformität zur zertifizierbaren ISO 50001 erreicht werden kann.

Worin unterscheidet sich die ISO 50005 von der ISO 50001?

Die ISO 50001:2018 ist die zertifizierbare Anforderungsnorm für ein vollständiges Energiemanagementsystem. Die ISO 50005:2021 ist ein damit konsistenter Leitfaden, der denselben Gegenstand in zwölf Elemente und vier Reifegrade zerlegt und so einen schrittweisen Einstieg erlaubt. Sie deckt nicht alle Anforderungen der ISO 50001 ab, bereitet deren Erfüllung aber strukturiert vor.

Muss jedes Element denselben Reifegrad erreichen?

Nein. Der Reifegrad darf je Element unterschiedlich ausfallen. Ein Unternehmen kann bei einem Element bereits eine hohe Stufe erreicht haben, während ein anderes noch am Anfang steht. Die Norm empfiehlt, dort mit der Weiterentwicklung zu beginnen, wo das größte Verbesserungspotenzial bei geringem Aufwand besteht.

Für wen eignet sich der Einstieg über die ISO 50005?

Die Norm richtet sich besonders an kleine und mittlere Organisationen sowie an Einrichtungen, die ein Energiemanagement mit begrenzten Ressourcen und in eigenem Tempo aufbauen möchten. Welcher Weg – Energieaudit, Stufeneinstieg nach ISO 50005 oder direkt das zertifizierte System nach ISO 50001 – im Einzelfall passt, ordnen wir in unserer Energiemanagement-Beratung ein.

ISO 31000: Risikomanagement als Führungsaufgabe

Risiken zu managen bedeutet nicht, sie zu vermeiden, sondern sie bewusst und nachvollziehbar in unternehmerische Entscheidungen einzubeziehen. Während gesetzliche Vorgaben wie die Krisenfrüherkennungspflicht das Ob eines Risikomanagements vorschreiben, beantwortet ISO 31000 die Frage nach dem Wie. Die Norm liefert einen anerkannten Rahmen, der das Risikomanagement aus der Rolle einer lästigen Berichtspflicht löst und es in die Führung des Unternehmens integriert.

ISO 31000:2018

„Risikomanagement – Leitlinien“, in Deutschland übernommen als DIN ISO 31000. Die Norm definiert Risiko als die Auswirkung von Unsicherheit auf Ziele – ausdrücklich nicht nur im Sinne einer Bedrohung, sondern auch als Chance. Sie ist als Leitfaden konzipiert und ausdrücklich nicht zertifizierbar; ihr Wert liegt in der methodischen Orientierung, nicht in einem Zertifikat.

Die drei Säulen der Norm

ISO 31000 ist um drei aufeinander aufbauende Bestandteile herum aufgebaut. Sie greifen ineinander: Die Grundsätze begründen, warum Risikomanagement betrieben wird, das Rahmenwerk sorgt für seine Verankerung in der Organisation, und der Prozess beschreibt das konkrete methodische Vorgehen.

Grundsätze

Der übergeordnete Zweck des Risikomanagements ist die Schaffung und Bewahrung von Werten. Daraus leiten sich die Eigenschaften eines wirksamen Risikomanagements ab: Es soll unter anderem integriert, strukturiert, maßgeschneidert, einbeziehend und dynamisch sein und auf der bestmöglichen verfügbaren Information beruhen.

Rahmenwerk

Das Rahmenwerk sorgt dafür, dass Risikomanagement in die Führungs- und Organisationsstrukturen eingebettet wird. Die überarbeitete Fassung von 2018 betont dabei ausdrücklich die Verantwortung der obersten Leitung – Risikomanagement ist demnach Führungsaufgabe, nicht delegierbare Nebentätigkeit.

Prozess

Der Risikomanagementprozess umfasst das Festlegen des Kontextes, das Beurteilen der Risiken (Identifikation, Analyse, Bewertung), ihre Behandlung sowie das fortlaufende Überwachen, Überprüfen, Aufzeichnen und Berichten – begleitet von durchgängiger Kommunikation mit den Beteiligten.

Warum die Norm eine Führungsaufgabe beschreibt

Die Revision von 2018 hat den Fokus spürbar auf die Leitungsebene verschoben. Risikomanagement wird nicht länger als nachgelagertes Reporting verstanden, das die eigentlichen Prozesse stört, sondern als integraler Bestandteil jeder unternehmerischen Entscheidung. Damit schlägt ISO 31000 die Brücke zwischen der rechtlichen Pflicht zur Risikofrüherkennung und ihrer praktischen Umsetzung: Wo das Gesetz ein angemessenes Früherkennungssystem verlangt, liefert die Norm die Methode, dieses System nachvollziehbar aufzubauen. Den strukturierten Aufbau eines solchen Systems begleitet die Risiko-Beratung, die die methodische Orientierung der Norm mit den konkreten Anforderungen Ihres Unternehmens verbindet.

Zum Mitnehmen

ISO 31000 ist kein Zertifikat, sondern ein methodischer Bezugsrahmen, der Risikomanagement in der Verantwortung der Unternehmensleitung verortet. Wer die drei Säulen – Grundsätze, Rahmenwerk und Prozess – konsequent anwendet, erfüllt nicht nur gesetzliche Erwartungen an die Risikofrüherkennung, sondern gewinnt eine belastbare Grundlage für unternehmerische Entscheidungen.

Häufige Fragen

Kann man sich nach ISO 31000 zertifizieren lassen?

Nein. ISO 31000 ist als Leitlinie konzipiert und sieht kein Zertifizierungsverfahren vor. Sie dient der methodischen Orientierung und lässt sich in bestehende Managementsysteme integrieren. Wer ein zertifizierbares System benötigt, kombiniert die Grundsätze der ISO 31000 in der Praxis häufig mit den Anforderungen anderer, zertifizierbarer Normen.

Worin unterscheidet sich ISO 31000 von der KonTraG-Pflicht?

Die gesetzliche Krisenfrüherkennungspflicht – ursprünglich aus dem KonTraG, heute rechtsformübergreifend über § 1 StaRUG – schreibt vor, dass ein Unternehmen ein angemessenes Risikofrüherkennungssystem unterhält. ISO 31000 sagt nichts über das Ob, sondern liefert die Methode für das Wie: einen anerkannten Rahmen, um ein solches System strukturiert aufzubauen und zu betreiben.

Ist die Norm auch für kleinere Unternehmen geeignet?

Ja. ISO 31000 ist ausdrücklich so angelegt, dass sie unabhängig von Größe, Branche oder Komplexität anwendbar ist. Einer ihrer Kerngrundsätze ist, dass das Risikomanagement maßgeschneidert auf die jeweilige Organisation zugeschnitten wird. Gerade für mittelständische Unternehmen lässt sich der Aufwand damit angemessen halten.

IT-Richtlinien für Mitarbeiter: Pflichtinhalte und Aufbau

Die meisten Sicherheitsvorfälle in Unternehmen beginnen nicht mit einem ausgefeilten Angriff, sondern mit einer alltäglichen Unachtsamkeit: einem unbedacht geöffneten Anhang, einem privat genutzten USB-Stick, einem schwachen Passwort. Eine klare IT-Richtlinie setzt genau hier an. Sie übersetzt die abstrakten Anforderungen der Informationssicherheit in verständliche Regeln für den Arbeitsalltag und schafft eine verbindliche Grundlage, auf die sich das Unternehmen im Zweifel berufen kann.

IT-Richtlinie

Eine IT-Richtlinie (oft auch IT-Nutzungsrichtlinie oder Acceptable Use Policy) ist eine verbindliche interne Regelung, die festlegt, wie Beschäftigte mit IT-Systemen, Daten und Diensten des Unternehmens umgehen dürfen. Sie konkretisiert die Vorgaben eines Informationssicherheits-Managementsystems auf der Ebene des täglichen Handelns und bildet zugleich die arbeitsrechtliche Grundlage für den Umgang mit Verstößen.

Welche Inhalte in eine IT-Richtlinie gehören

Eine wirksame Richtlinie bleibt nah am Arbeitsalltag und vermeidet rein technische Formulierungen, die im Tagesgeschäft niemand liest. Die folgenden Themenfelder bilden den Kern, der in nahezu jedem Unternehmen geregelt werden sollte; je nach Branche und Schutzbedarf kommen weitere Bausteine hinzu.

Zugang und Passwörter

Regeln zu Passwortqualität, zum Umgang mit Zugangsdaten und zur Mehr-Faktor-Authentifizierung. Festlegung, dass Zugänge personengebunden sind und nicht weitergegeben werden, sowie das Vorgehen beim Ausscheiden von Beschäftigten.

Umgang mit E-Mail und Internet

Hinweise zum Erkennen von Phishing, zum Umgang mit Anhängen und Links sowie zur Frage, ob und in welchem Umfang eine private Nutzung gestattet ist. Gerade die Regelung der Privatnutzung hat erhebliche datenschutz- und arbeitsrechtliche Bedeutung.

Geräte, Datenträger und mobiles Arbeiten

Vorgaben zur Nutzung dienstlicher und privater Geräte, zu Wechseldatenträgern, zur Verschlüsselung und zum Arbeiten außerhalb des Büros. Hierzu gehört auch der Umgang mit Cloud-Diensten und die Frage, welche Anwendungen für dienstliche Daten zugelassen sind.

Meldewege bei Vorfällen

Eine klare Anweisung, an wen sich Beschäftigte wenden, wenn sie einen Verdacht auf einen Sicherheitsvorfall haben – und die ausdrückliche Ermutigung, dies ohne Angst vor Schuldzuweisungen zu tun. Je früher ein Vorfall gemeldet wird, desto begrenzbarer ist der Schaden.

Eine Richtlinie wirkt nur, wenn sie gelebt wird

Ein Dokument allein verändert kein Verhalten. Damit eine IT-Richtlinie ihre Wirkung entfaltet, muss sie den Beschäftigten nachweislich bekannt gemacht, verständlich erläutert und regelmäßig aufgefrischt werden. Auch die arbeitsrechtliche Verbindlichkeit setzt voraus, dass die Kenntnisnahme dokumentiert ist. In Unternehmen mit Betriebsrat sind dessen Mitbestimmungsrechte zu beachten, insbesondere wenn die Richtlinie Verhaltens- oder Kontrollaspekte berührt. Die inhaltliche Ableitung der Richtlinie aus den übergeordneten Sicherheitszielen und ihre Einbettung in ein geordnetes Regelwerk begleitet bei Bedarf der externe Informationssicherheitsbeauftragte.

Zum Mitnehmen

Eine gute IT-Richtlinie ist kurz genug, dass sie gelesen wird, und konkret genug, dass sie im Zweifel trägt. Sie sollte die zentralen Felder – Zugang, Kommunikation, Geräte und Meldewege – verständlich abdecken, nachweislich bekannt gemacht und regelmäßig aktualisiert werden. So wird aus einer abstrakten Sicherheitsanforderung eine im Arbeitsalltag wirksame Regel.

Häufige Fragen

Ist eine IT-Richtlinie gesetzlich vorgeschrieben?

Es gibt keine Vorschrift, die ein einzelnes Dokument namens IT-Richtlinie ausdrücklich verlangt. Die Pflicht ergibt sich mittelbar: Aus dem Datenschutzrecht, aus branchenspezifischen Sicherheitsanforderungen und aus der Sorgfaltspflicht der Geschäftsleitung folgt die Notwendigkeit angemessener technischer und organisatorischer Maßnahmen. Eine schriftliche IT-Richtlinie ist das praktische Mittel, um diese organisatorischen Vorgaben verbindlich zu verankern und nachzuweisen.

Dürfen wir die private Nutzung von Internet und E-Mail verbieten?

Der Arbeitgeber kann die private Nutzung dienstlicher Systeme regeln, einschränken oder untersagen. Die Ausgestaltung hat allerdings erhebliche datenschutz- und arbeitsrechtliche Folgen, etwa für die Frage, ob und wie der Arbeitgeber auf Inhalte zugreifen darf. Eine eindeutige Regelung ist für beide Seiten vorteilhaft; in Unternehmen mit Betriebsrat ist dessen Beteiligung zu beachten.

Wie oft sollte eine IT-Richtlinie aktualisiert werden?

Eine feste Frist gibt es nicht. Sinnvoll ist eine Überprüfung mindestens einmal jährlich sowie anlassbezogen, wenn sich die technische Umgebung, die genutzten Dienste oder die rechtlichen Rahmenbedingungen wesentlich ändern. Wichtig ist, dass jede Aktualisierung den Beschäftigten erneut bekannt gemacht und die Kenntnisnahme dokumentiert wird.

KonTraG: Warum Risikofrüherkennung Chefsache ist

Wenn ein Unternehmen in eine existenzielle Schieflage gerät, fällt der Blick schnell auf die Geschäftsleitung: Hätte sie die Entwicklung früher erkennen müssen? Das deutsche Recht beantwortet diese Frage seit über zwei Jahrzehnten mit einem klaren Ja. Den Grundstein legte das KonTraG, das die Risikofrüherkennung zur ausdrücklichen Leitungsaufgabe erhob. Wer die Tragweite dieser Pflicht unterschätzt, riskiert nicht nur das Unternehmen, sondern auch die persönliche Haftung.

KonTraG

Das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich trat am 1. Mai 1998 in Kraft. Als Artikelgesetz änderte es vor allem das Aktiengesetz und das Handelsgesetzbuch mit dem Ziel, die Unternehmensführung und -überwachung zu verbessern. Kernstück ist der neu eingefügte § 91 Abs. 2 AktG, der den Vorstand verpflichtet, ein Überwachungssystem zur frühen Erkennung bestandsgefährdender Entwicklungen einzurichten.

Was das Gesetz konkret verlangt

Der Gesetzgeber formuliert in § 91 Abs. 2 AktG, der Vorstand habe geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden. Aus dieser knappen Vorschrift ergeben sich in der Praxis mehrere konkrete Anforderungen, die zusammen einen geschlossenen Regelkreis bilden.

Risiken identifizieren

Das Unternehmen muss systematisch erfassen, welche Entwicklungen seinen Fortbestand gefährden können. Da bestandsgefährdende Lagen meist aus dem Zusammenwirken mehrerer Einzelrisiken entstehen, reicht eine isolierte Betrachtung nicht aus; gefragt ist eine regelmäßige Risikoanalyse über alle wesentlichen Bereiche hinweg.

Risiken bewerten und verdichten

Die identifizierten Risiken werden nach Eintrittswahrscheinlichkeit und möglicher Auswirkung bewertet und anschließend zu einem Gesamtbild verdichtet (Risikoaggregation). Erst diese Aggregation zeigt, ob das Zusammenwirken einzelner Risiken eine bestandsgefährdende Schwelle erreichen könnte.

Überwachen und berichten

Das Überwachungssystem läuft fortlaufend, nicht punktuell. Wesentliche Risiken sind im Lagebericht des Jahresabschlusses darzustellen, und bei prüfungspflichtigen Gesellschaften beurteilt der Abschlussprüfer, ob das Früherkennungssystem seine Aufgabe erfüllen kann.

Nicht nur ein Thema für die Aktiengesellschaft

Der Wortlaut des § 91 Abs. 2 AktG richtet sich unmittelbar an den Vorstand einer Aktiengesellschaft. Dennoch reicht die Wirkung weit darüber hinaus. Über die sogenannte Ausstrahlungswirkung wird die Sorgfaltspflicht auch auf die Geschäftsführung einer GmbH übertragen, deren Pflichtenmaßstab sich aus § 43 GmbHG ergibt. Eine spürbare Verschärfung brachte das StaRUG: Seit dem 1. Januar 2021 normiert dessen § 1 eine rechtsformübergreifende Pflicht zur Krisenfrüherkennung und zum Krisenmanagement, die ausdrücklich für Geschäftsleiter haftungsbeschränkter Unternehmen jeder Größenordnung gilt. Damit ist die ursprünglich aktienrechtliche Anforderung im Kern für den gesamten Mittelstand verbindlich geworden.

1998

Inkrafttreten des KonTraG – seither ist die Risikofrüherkennung eine ausdrückliche Leitungsaufgabe.

§ 91 II

AktG – die zentrale Vorschrift, die zur Einrichtung eines Risikofrüherkennungssystems verpflichtet.

2021

Ausweitung durch § 1 StaRUG auf alle haftungsbeschränkten Gesellschaften – rechtsformübergreifend.

Warum Risikofrüherkennung Haftungsfragen berührt

Die adäquate Funktionsweise des Früherkennungssystems gehört zur Sorgfaltspflicht der Geschäftsleitung. Fehlt ein solches System oder werden erkannte Risiken nicht mit geeigneten Gegenmaßnahmen beantwortet, kann dies im Schadensfall zu einer persönlichen Innenhaftung führen – unabhängig davon, ob es später tatsächlich zu einem Restrukturierungs- oder Insolvenzverfahren kommt. Eine nachvollziehbare Dokumentation der Risikolage und der getroffenen Entscheidungen ist daher nicht nur eine Frage guter Unternehmensführung, sondern ein wirksamer Schutz für die handelnden Personen. Für den strukturierten Aufbau eines solchen Systems bietet die Compliance-Beratung den passenden Rahmen, in dem sich Risikofrüherkennung mit den übrigen Pflichten der Geschäftsleitung verzahnen lässt.

Zum Mitnehmen

Die Pflicht zur Risikofrüherkennung beginnt nicht erst in der Krise, sondern besteht im laufenden Betrieb. Wer als Geschäftsleitung ein funktionierendes Früherkennungssystem unterhält, die Risikolage regelmäßig bewertet und seine Entscheidungen dokumentiert, erfüllt nicht nur eine gesetzliche Vorgabe, sondern minimiert zugleich das eigene Haftungsrisiko.

Häufige Fragen

Gilt das KonTraG auch für meine GmbH?

Der Wortlaut des § 91 Abs. 2 AktG betrifft unmittelbar die Aktiengesellschaft. Über die Ausstrahlungswirkung und den Sorgfaltsmaßstab des § 43 GmbHG wird die Pflicht zur Risikofrüherkennung jedoch auch auf die GmbH-Geschäftsführung übertragen. Spätestens seit § 1 StaRUG zum 1. Januar 2021 gilt eine rechtsformübergreifende Pflicht, die ausdrücklich auch haftungsbeschränkte Gesellschaften jeder Größe erfasst.

Was bedeutet Risikoaggregation in diesem Zusammenhang?

Bestandsgefährdende Lagen entstehen selten aus einem einzelnen Risiko, sondern aus dem Zusammenwirken mehrerer Einzelrisiken. Die Risikoaggregation fasst diese Einzelrisiken zu einem Gesamtbild zusammen, um zu beurteilen, ob ihr kombiniertes Wirken eine existenzielle Schwelle erreichen könnte. Erst diese Gesamtschau macht die eigentliche Gefährdungslage sichtbar.

Welche Folgen hat ein fehlendes Früherkennungssystem?

Da der Betrieb eines funktionierenden Früherkennungssystems zur Sorgfaltspflicht der Geschäftsleitung gehört, kann sein Fehlen im Schadensfall eine persönliche Haftung begründen. Maßgeblich ist, ob bei rechtzeitiger Erkennung ein Schaden vermeidbar gewesen wäre. Eine sorgfältige Dokumentation der Risikobewertung und der eingeleiteten Maßnahmen ist daher von erheblicher Bedeutung.

Was tun im Notfall? Wie die ISO 22320 die Vorfallbewältigung strukturiert

Wenn ein Cyber-Angriff die Produktivsysteme lahmlegt oder ein Brand das Rechenzentrum trifft, entscheidet sich in den ersten Stunden, ob ein Unternehmen handlungsfähig bleibt. Genau für diese Phase – die operative Reaktion im akuten Moment – bietet die internationale Norm ISO 22320:2018 einen erprobten Rahmen. Sie beschreibt, wie Organisationen ihre Führung, Koordination und Kommunikation in der Lage so aufstellen, dass Entscheidungen schnell und nachvollziehbar getroffen werden können, statt im Krisenmoment improvisiert zu werden.

ISO 22320:2018

„Sicherheit und Resilienz – Notfallmanagement – Leitlinien für die Vorfallbewältigung“ (englischer Originaltitel: Security and resilience – Emergency management – Guidelines for incident management). Die Norm ist ausdrücklich ein Leitfaden, keine zertifizierbare Anforderungsnorm. Sie liefert Organisationen jeder Größe eine Struktur für Führung, Koordination und Informationsmanagement während eines Schadensereignisses. Die heute gültige Fassung von 2018 löste die ältere Version von 2011 ab, die noch als Anforderungsnorm konzipiert war.

Was die Norm im Kern regelt

ISO 22320 konzentriert sich auf die unmittelbare Bewältigung eines Vorfalls und gliedert diese in drei eng verzahnte Handlungsfelder. Anders als ein vollständiges Managementsystem schreibt die Norm keine Dokumentenpyramide vor, sondern beschreibt, welche Funktionen in der akuten Lage zuverlässig zusammenspielen müssen.

Führung und Entscheidungsstruktur

Im Zentrum steht eine klare Befehls- und Entscheidungsstruktur mit benannten Rollen und Eskalationsbefugnissen. Wer die Lage führt, wer Entscheidungen freigibt und wer in Vertretung übernimmt, ist vorab festgelegt – damit im Ernstfall keine Zeit mit Zuständigkeitsfragen verloren geht. Die Norm orientiert sich dabei am Gedanken eines abgestuften Führungssystems, wie es auch im behördlichen Einsatzwesen üblich ist.

Koordination und Zusammenarbeit

In größeren Lagen sind mehrere Stellen beteiligt – interne Teams, Dienstleister, gegebenenfalls Behörden und Rettungskräfte. ISO 22320 legt besonderen Wert darauf, wie diese Akteure ihre Maßnahmen aufeinander abstimmen, Schnittstellen definieren und Ressourcen gemeinsam einsetzen, ohne dass parallele oder widersprüchliche Anweisungen entstehen.

Informationsmanagement

Eine belastbare Reaktion setzt voraus, dass Informationen strukturiert erfasst, bewertet und an die richtigen Stellen weitergegeben werden. Die Norm beschreibt, wie ein verlässliches Lagebild entsteht und wie die Kommunikation nach innen und außen über benannte Rollen läuft, sodass alle Beteiligten auf demselben Informationsstand handeln.

Warum strukturierte Vorfallbewältigung den Unterschied macht

Die Bedrohungslage für mittelständische Unternehmen hat sich in den vergangenen Jahren spürbar verschärft. Ransomware-Angriffe, Ausfälle von Cloud-Diensten und der plötzliche Wegfall von Schlüsselpersonal treffen Organisationen heute mit einer Regelmäßigkeit, die eine geübte Reaktionsfähigkeit zur Pflicht macht. Die folgenden Werte verdeutlichen, in welchem Umfeld sich Vorfallbewältigung heute bewegt.

266 Tsd. €

durchschnittlicher Schaden durch einen erfolgreichen Cyber-Angriff bei kleinen und mittleren Unternehmen in Deutschland.

3 Felder

Führung, Koordination und Informationsmanagement – die drei Handlungsfelder, die ISO 22320 für die akute Lage zusammenführt.

2018

aktuelle Fassung der Norm, in der ISO 22320 vom Anforderungsdokument zum praxisorientierten Leitfaden weiterentwickelt wurde.

Schadenswert: Branchenerhebungen zur Cyber-Schadenslage im deutschen Mittelstand; Werte variieren je nach Unternehmensgröße und Vorfall.

ISO 22320 und ISO 22301 – zwei Normen, die zusammengehören

In der Praxis werden ISO 22320 und ISO 22301 häufig verwechselt, obwohl sie unterschiedliche Fragen beantworten. ISO 22301 beschreibt das übergeordnete Business-Continuity-Management-System – also die strategische Frage, wie ein Unternehmen kritische Prozesse über einen längeren Zeitraum aufrechterhält und nach einer Störung wieder anläuft. ISO 22320 setzt eine Ebene darunter an und strukturiert die operative Reaktion im akuten Moment. Wer beide Ebenen sauber verzahnt, schließt die Lücke zwischen dem strategischen Plan und dem konkreten Handeln in der Lage.

ISO 22320 — Vorfallbewältigung

Leitfaden für die operative Reaktion: Führung, Koordination und Informationsmanagement während eines Schadensereignisses. Beantwortet die Frage, wie im akuten Moment gehandelt wird. Nicht zertifizierbar.

ISO 22301 — Business Continuity

Zertifizierbares Managementsystem für die Geschäftsfortführung: Business Impact Analyse, Wiederanlaufpläne, Wiederanlaufzeiten und kontinuierliche Verbesserung. Beantwortet die Frage, wie das Unternehmen handlungsfähig bleibt.

Für den Aufbau eines vollständigen, zertifizierungsfähigen Managementsystems ist die BCM-Beratung nach ISO 22301 der passende Rahmen. Geht es zunächst um eine pragmatische, geübte Reaktionsfähigkeit ohne den vollen Zertifizierungsaufwand, ist der Einstieg über die Notfall- und Krisenmanagement-Beratung häufig der direktere Weg. ISO 22320 liefert in beiden Fällen die methodische Grundlage für die operative Reaktionsebene.

Zum Mitnehmen

ISO 22320 ist kein Zertifikat, sondern ein bewährter Bauplan für die Stunden, in denen es darauf ankommt. Eine Organisation, die ihre Führungs-, Koordinations- und Kommunikationswege vorab festgelegt und geübt hat, reagiert in der Lage strukturiert statt improvisiert – und genau das entscheidet darüber, ob ein Vorfall beherrschbar bleibt oder zur existenziellen Krise wird.

Häufige Fragen

Kann man sich nach ISO 22320 zertifizieren lassen?

Nein. ISO 22320:2018 ist ausdrücklich als Leitfaden konzipiert und enthält keine zertifizierbaren Anforderungen. Wer ein zertifizierbares Managementsystem benötigt – etwa weil ein Konzern, Großkunde oder Cyber-Versicherer den Nachweis fordert – baut dieses nach ISO 22301 auf. ISO 22320 kann dabei als methodische Grundlage für die operative Reaktionsebene dienen.

Worin unterscheidet sich ISO 22320 von ISO 22301?

ISO 22301 beschreibt das übergeordnete Business-Continuity-Management-System mit Business Impact Analyse, Wiederanlaufplänen und Wiederanlaufzeiten. ISO 22320 setzt eine Ebene darunter an und strukturiert die operative Vorfallbewältigung im akuten Moment – Führung, Koordination und Informationsmanagement. Die beiden Normen ergänzen sich und werden in der Praxis sinnvoll miteinander verzahnt.

Für welche Unternehmen ist ISO 22320 relevant?

Die Norm richtet sich an Organisationen jeder Größe und Branche. Besonders relevant ist sie für Unternehmen, die im Ernstfall mehrere interne und externe Stellen koordinieren müssen, sowie für Organisationen, die ihre Reaktionsfähigkeit nachweisbar strukturieren möchten – etwa im Rahmen regulatorischer Anforderungen oder als Bestandteil eines umfassenderen Business-Continuity-Managements.

Reicht ISO 22320 als alleinige Grundlage für die Krisenvorsorge?

ISO 22320 deckt die operative Reaktion ab, nicht aber die vorgelagerte Analyse und Planung. Welche Prozesse kritisch sind, welche Wiederanlaufzeiten gelten und welche Wiederherstellungsmaßnahmen angemessen sind, klärt eine Business Impact Analyse im Rahmen eines Business-Continuity-Managements. Für eine belastbare Krisenvorsorge sollten beide Ebenen zusammengeführt werden.

Gesprächsaufzeichnung nur mit ausdrücklicher Einwilligung des Kunden

„Dieses Gespräch wird zu Qualitätszwecken aufgezeichnet.“ Diesen Satz kennt jeder aus der Warteschleife. Was viele Unternehmen unterschätzen: Hinter dem beiläufigen Hinweis steht eine der wenigen Datenschutzfragen, bei denen nicht nur ein Bußgeld droht, sondern eine Freiheitsstrafe. Denn die Aufzeichnung eines Telefonats berührt zwei Rechtsgebiete gleichzeitig, das Datenschutzrecht und das Strafrecht. Wer hier ohne saubere Grundlage handelt, riskiert deutlich mehr als eine Beanstandung der Aufsichtsbehörde. Dieser Beitrag erklärt, wann eine Aufzeichnung erlaubt ist, wer einwilligen muss und wie eine rechtssichere Lösung im Unternehmensalltag aussieht.

Warum das Thema doppelt heikel ist

Im digitalen Vertrieb ist das Mitschneiden von Telefonaten zu einer Selbstverständlichkeit geworden. CRM- und Telefonie-Systeme bieten die Aufnahme ausgehender und eingehender Anrufe oft mit einem einzigen Klick an, und die Gründe klingen plausibel: Qualitätssicherung, Schulung neuer Mitarbeiter, Beweissicherung bei telefonischen Vertragsabschlüssen. Genau diese Leichtigkeit verführt dazu, die rechtliche Prüfung zu überspringen.

Der entscheidende Punkt, den der schnelle Klick verdeckt: Eine Telefonaufzeichnung ist nicht nur eine Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung, sondern zugleich ein möglicher Eingriff in die strafrechtlich geschützte Vertraulichkeit des Wortes. Beide Ebenen müssen erfüllt sein, und sie haben unterschiedliche Konsequenzen.

Strafrecht · § 201 StGB

Schützt die Vertraulichkeit des nichtöffentlich gesprochenen Wortes
Die unbefugte Aufnahme ist eine Straftat, bereits der Versuch ist strafbar
Strafrahmen bis zu drei Jahre Freiheitsstrafe oder Geldstrafe
Trifft die handelnde Person, also auch den Mitarbeiter selbst

Datenschutz · DSGVO

Die Aufzeichnung ist eine Verarbeitung personenbezogener Daten
Sie braucht eine Rechtsgrundlage nach Art. 6 DSGVO, in der Praxis die Einwilligung
Bei Verstoß drohen Bußgelder und Ansprüche der Betroffenen
Trifft das Unternehmen als Verantwortlichen

Wichtig ist das Zusammenspiel: Eine wirksame Einwilligung räumt beide Hürden zugleich aus dem Weg. Sie macht die Aufnahme im Sinne des § 201 StGB befugt und liefert gleichzeitig die Rechtsgrundlage nach der DSGVO. Fehlt sie, ist die Aufzeichnung in der Regel auf beiden Ebenen rechtswidrig.

Was § 201 StGB schützt

Verletzung der Vertraulichkeit des Wortes (§ 201 StGB)

Strafbar macht sich, wer unbefugt das nichtöffentlich gesprochene Wort eines anderen auf einen Tonträger aufnimmt, eine solche Aufnahme nutzt oder einem Dritten zugänglich macht. Ein Telefongespräch ist ein klassisches Beispiel für das nichtöffentlich gesprochene Wort. Auf den Inhalt kommt es nicht an, geschützt ist das Wort als solches.

Daraus folgt eine Konsequenz, die in der Praxis oft übersehen wird: Die Strafnorm schützt jeden Gesprächsteilnehmer. Es genügt also nicht, dass der Kunde einwilligt. Auch der Mitarbeiter, dessen Stimme aufgezeichnet wird, muss der Aufnahme zustimmen. Und umgekehrt erlaubt die eigene Zustimmung zur Aufzeichnung niemandem, das Gespräch des Gegenübers heimlich mitzuschneiden. Befugt ist die Aufnahme nur, wenn entweder eine gesetzliche Erlaubnis greift oder alle Beteiligten wirksam eingewilligt haben.

Gesetzliche Erlaubnisse sind die Ausnahme und für den Unternehmensalltag fast nie einschlägig. Sie betreffen etwa die Aufzeichnung von Notrufen bei 110 und 112. Die allgemeinen Rechtsgrundlagen der DSGVO und des Bundesdatenschutzgesetzes rechtfertigen das routinemäßige Mitschneiden von Kundengesprächen dagegen nicht. Für den Normalfall bleibt es deshalb bei der Einwilligung als einzig tragfähigem Weg.

Welcher Fall ist erlaubt, welcher nicht?

Die folgende Übersicht ordnet die typischen Konstellationen ein, die im Unternehmensalltag vorkommen.

Aufzeichnung nach Hinweis und aktiver Zustimmung beider Seiten vor Gesprächsbeginn

→

ZulässigEinwilligung nach Art. 6 Abs. 1 lit. a DSGVO, befugt im Sinne § 201 StGB

Live-Mithören durch Vorgesetzte oder Coaches, ohne dass aufgezeichnet wird

→

Eingeschränkt zulässig§ 201 StGB greift mangels Aufnahme nicht, eine DSGVO-Grundlage ist trotzdem nötig

Aufzeichnung trotz Widerspruch des Kunden oder mit reinem Opt-out

→

UnzulässigKeine wirksame Einwilligung, Verstoß gegen DSGVO und § 201 StGB

Heimliche Aufzeichnung zur späteren Beweisführung

→

Unzulässig und unbrauchbarStrafbar und vor dem Zivilgericht regelmäßig nicht verwertbar

Kein berechtigtes Interesse als Abkürzung: Qualitätssicherung oder Beweissicherung sind nachvollziehbare Ziele, sie ersetzen die Einwilligung aber nicht. Ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO trägt die routinemäßige Gesprächsaufzeichnung nach Auffassung der Aufsichtsbehörden gerade nicht.

Der oft übersehene Knackpunkt: die Einwilligung der Mitarbeiter

Bei der Kundenseite ist die Lösung klar: ein Hinweis vor dem Gespräch und eine aktive Zustimmung. Schwieriger ist die zweite, häufig vergessene Seite. Weil § 201 StGB auch die Stimme des Mitarbeiters schützt, braucht es auch dessen Einwilligung. Und genau hier liegt eine Falle, denn eine Einwilligung im Arbeitsverhältnis ist nicht ohne Weiteres wirksam.

Das Bundesdatenschutzgesetz verlangt in § 26 Absatz 2, dass bei der Beurteilung der Freiwilligkeit die Abhängigkeit der beschäftigten Person berücksichtigt wird. Wer Sorge haben muss, dass eine verweigerte Zustimmung beruflich nachteilig ausgelegt wird, willigt nicht wirklich freiwillig ein. Eine Einwilligung, die im Arbeitsvertrag oder unter dem Druck des Vorgesetzten erteilt wird, ist deshalb oft unwirksam. In der Praxis stützen Unternehmen die Aufzeichnung gegenüber den Beschäftigten daher meist nicht auf eine Einwilligung, sondern regeln sie über eine Betriebsvereinbarung.

Mitbestimmung beachten

Aufzeichnungssysteme sind technische Einrichtungen, die geeignet sind, das Verhalten und die Leistung der Beschäftigten zu überwachen. Ihre Einführung unterliegt damit der Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz. Wo ein Betriebsrat besteht, lässt sich die Aufzeichnung von Kundengesprächen ohne dessen Beteiligung nicht rechtssicher einführen. Die Betriebsvereinbarung schafft zugleich die saubere Grundlage für die Beschäftigtenseite.

Wie eine wirksame Einwilligung aussieht

Auf der Kundenseite muss die Einwilligung vor Beginn der Aufzeichnung vorliegen und vier Anforderungen erfüllen: Sie muss freiwillig, für den konkreten Fall, in informierter Weise und durch eine eindeutige bestätigende Handlung erteilt werden. Ein vorab geschaltetes Tonband, das lediglich mitteilt, das Gespräch werde aufgezeichnet, genügt nicht, wenn der Anrufer keine echte Wahl hat. Entscheidend ist, dass die Person aktiv zustimmt, nicht dass sie es versäumt zu widersprechen.

Hinweis auf die Aufzeichnung und ihren Zweck am Anfang des Gesprächs, bevor aufgenommen wird
Aktive Zustimmung durch eine eindeutige Handlung, etwa ein gesprochenes „Ja“ oder das Drücken einer Telefontaste
Eine echte Alternative für alle, die nicht zustimmen, also ein Gesprächsweg ohne Aufzeichnung
Dokumentation der Einwilligung, damit sie sich im Streitfall nachweisen lässt
Klare Zweckbindung: Nutzung nur für den vorab genannten Zweck, etwa Qualitätssicherung
Begrenzte Speicherdauer, in der Regel nicht länger als nötig, häufig wenige Monate
Auftragsverarbeitungsvertrag mit dem Anbieter, wenn ein externer Dienst die Aufnahmen verarbeitet

Ein verbreiteter Fehler ist die Opt-out-Lösung, bei der nur widersprechen kann, wer die Aufzeichnung nicht wünscht. Sie verkehrt das Prinzip der Einwilligung in sein Gegenteil. Ebenso unzulässig ist die in der Praxis anzutreffende Variante, dem Anrufer mitzuteilen, die Aufnahme lasse sich technisch nicht abschalten. Wer keine aufzeichnungsfreie Alternative anbietet, übt faktisch Zwang aus und macht die Einwilligung unwirksam.

Heimliche Aufnahmen taugen nicht einmal als Beweis

Ein häufiges Motiv für die heimliche Aufzeichnung ist die Sorge, im Streitfall ohne Beweis dazustehen. Dieser Gedanke führt in die Irre, denn die heimliche Aufnahme nützt vor Gericht gerade nichts. Nach ständiger Rechtsprechung des Bundesgerichtshofs unterliegen heimlich erstellte Gesprächsmitschnitte im Zivilprozess grundsätzlich einem Beweisverwertungsverbot, weil sie das allgemeine Persönlichkeitsrecht des Aufgezeichneten verletzen.

Die heimliche Aufnahme ist damit in doppelter Hinsicht ein Fehlgriff: Sie begründet eine Strafbarkeit nach § 201 StGB und einen Datenschutzverstoß, und sie liefert zugleich ein Beweismittel, das das Gericht in aller Regel nicht verwerten darf. Wer telefonische Zusagen belastbar dokumentieren möchte, erreicht das verlässlicher über eine offen angekündigte und einvernehmliche Aufzeichnung oder über eine schriftliche Bestätigung im Anschluss an das Gespräch.

Neue Frage: KI-gestützte Transkription und Analyse

Moderne Telefonie- und Vertriebssysteme zeichnen Gespräche nicht mehr nur auf, sondern transkribieren sie automatisch, fassen sie zusammen oder analysieren die Stimmung des Anrufers. Datenschutzrechtlich gelten dabei dieselben Grundsätze wie für die reine Aufnahme, allerdings verschärft. Jede dieser zusätzlichen Verarbeitungen braucht eine eigene Rechtsgrundlage, und die Betroffenen müssen über Zweck, Umfang und Funktionsweise informiert werden. Wer eine Stimmungsanalyse oder ein KI-Coaching auf Basis der Gespräche einführen möchte, sollte das nicht als bloße Nebenfunktion der Aufzeichnung behandeln, sondern als eigenständige Verarbeitung mit eigenem Prüfbedarf.

Unsere Empfehlung: Behandeln Sie die Gesprächsaufzeichnung nicht als technische Einstellung, sondern als Prozess mit zwei Seiten. Auf der Kundenseite brauchen Sie eine echte, aktiv erteilte Einwilligung vor Beginn der Aufnahme samt aufzeichnungsfreier Alternative; auf der Beschäftigtenseite in der Regel eine Betriebsvereinbarung unter Beteiligung des Betriebsrats statt einer Einwilligung. Wir prüfen Ihre vorhandene Praxis, gestalten die Einwilligungs- und Ansagetexte sowie die nötigen internen Regelungen und stimmen den Auftragsverarbeitungsvertrag mit Ihrem Telefonie-Anbieter ab. Die Verantwortung bleibt bei Ihnen; wir sorgen für die rechtssichere Grundlage.

Häufige Fragen

Reicht der Hinweis „Dieses Gespräch wird aufgezeichnet“?

Allein nicht. Der Hinweis ist nur der erste Schritt. Erforderlich ist eine aktive Zustimmung des Anrufers, etwa ein gesprochenes „Ja“ oder das Drücken einer Taste, und eine echte Möglichkeit, das Gespräch ohne Aufzeichnung fortzusetzen. Wird die Aufnahme als unabänderlich dargestellt, fehlt die Freiwilligkeit und die Einwilligung ist unwirksam.

Muss auch der Mitarbeiter einwilligen?

Ja, denn § 201 StGB schützt jeden Gesprächsteilnehmer, also auch die Stimme des Mitarbeiters. Eine Einwilligung der Beschäftigten ist allerdings wegen der Abhängigkeit im Arbeitsverhältnis oft nicht wirksam freiwillig. In der Praxis wird die Aufzeichnung gegenüber den Mitarbeitern deshalb meist über eine Betriebsvereinbarung geregelt, nicht über eine individuelle Einwilligung.

Dürfen wir Gespräche zur Qualitätssicherung aufzeichnen?

Nur mit Einwilligung. Qualitätssicherung ist ein legitimer Zweck, aber kein eigener Erlaubnistatbestand. Ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO trägt die routinemäßige Aufzeichnung nach Auffassung der Aufsichtsbehörden nicht. Sie brauchen daher auch zu diesem Zweck die vorherige, aktive Zustimmung des Anrufers.

Ist das bloße Mithören durch einen Vorgesetzten erlaubt?

Das reine Mithören ohne Aufzeichnung fällt nicht unter § 201 StGB, weil keine Aufnahme entsteht. Datenschutzrechtlich braucht es aber dennoch eine Grundlage. Gegenüber den Mitarbeitern lässt sich diese im Beschäftigungskontext schaffen, gegenüber dem Anrufer ist auch hier in der Regel dessen Einwilligung erforderlich.

Was droht bei einer unzulässigen Aufzeichnung?

Gleich mehreres. Strafrechtlich steht eine Geld- oder Freiheitsstrafe von bis zu drei Jahren im Raum, wobei bereits der Versuch strafbar ist. Datenschutzrechtlich drohen Bußgelder und Schadensersatzansprüche der Betroffenen. Hinzu kommen mögliche staatsanwaltschaftliche Ermittlungen und Reputationsschäden. Die heimliche Aufnahme ist zudem vor Gericht meist nicht verwertbar, der vermeintliche Beweis ist also wertlos.

Wie lange dürfen wir die Aufnahmen speichern?

Nur so lange, wie es für den genannten Zweck erforderlich ist. Für die Qualitätssicherung ist das in der Regel ein kurzer Zeitraum, da die wesentlichen Inhalte meist ohnehin anderweitig dokumentiert werden, etwa durch Bestätigungs-E-Mails. Eine pauschale Dauerspeicherung lässt sich nicht rechtfertigen; sinnvoll ist eine feste, eher knapp bemessene Löschfrist.

Einordnung

Die Aufzeichnung von Kundengesprächen ist erlaubt, aber sie verlangt mehr als einen Mausklick im Telefonie-System. Weil Datenschutzrecht und Strafrecht zusammentreffen, genügt es nicht, an die Einwilligung des Kunden zu denken; auch die Beschäftigtenseite und die betriebliche Mitbestimmung gehören dazu. Wer die Aufzeichnung sauber aufsetzt, gewinnt ein verlässliches Werkzeug für Service und Schulung. Wer sie nebenbei einführt, riskiert ein Bußgeld, ein Strafverfahren und am Ende ein Beweismittel, das vor Gericht nichts wert ist.