Was Beauftragte jetzt wissen müssen.
Regulatorische Entwicklungen, Updates zu Frameworks und praktische Orientierung - kuratiert für Datenschutz, IT-Sicherheit, Compliance und KI-Governance. Aus der Praxis heraus geschrieben und an den Primärquellen geprüft.
§ 6 Abs. 12 Satz 3 GefStoffV: Wann ein Büro oder ein Versandlager kein Gefahrstoffverzeichnis braucht, und warum diese Antwort aus der Gefährdungsbeurteilung kommen muss
Das Gefahrstoffverzeichnis nach § 6 Abs. 12 GefStoffV hat eine Ausnahme, die in den meisten Vorlagen fehlt: Die Pflicht entfällt, wenn im Betrieb nur Tätigkeiten mit geringer Gefährdung ausgeübt werden. Für ein Softwarehaus mit Reinigungsmitteln in der Teeküche ist das die eigentliche Frage, für einen Onlinehändler mit Lager ebenfalls. Dieser Text liest Satz 3, die vier Kriterien des Absatzes 13 und die Dokumentationspflicht des Absatzes 8 im Wortlaut und zeigt, warum die Ausnahme nur mit einer dokumentierten Beurteilung trägt.
Rechtsänderungen überwachen: Ab welchem Tag eine Änderung gilt, warum die Veröffentlichung nicht der Stichtag ist, und wem sie im Unternehmen gehört
Legal Monitoring wird meist als Nachrichtenstrom verkauft. Die Quelle selbst ist kostenlos: Das Bundesgesetzblatt erscheint auf recht.bund.de, und § 5 VkBkmG verpflichtet zu einem unentgeltlichen Benachrichtigungsdienst. Was fehlt, ist die Übersetzung einer Veröffentlichung in einen Stichtag und eine Zuständigkeit. Dieser Text liest Art. 82 Abs. 2 GG, Art. 288 und Art. 297 AEUV im Wortlaut und zeigt, an welchen drei Stellen die Veröffentlichung nicht der Tag ist, an dem die Pflicht beginnt.
Rechtskataster: Wo das Recht ein Verzeichnis der Pflichten verlangt, wo es nur die Aufsicht verlangt, und warum eine Statusspalte allein nichts belegt
Ein Rechtskataster wird als Pflicht verkauft. Ausdrücklich verlangt wird ein Verzeichnis der geltenden rechtlichen Verpflichtungen nur in Anhang I Nummer 3 der EMAS-Verordnung, und dort zusammen mit der Angabe, wie die Einhaltung nachgewiesen wird. Für alle anderen Unternehmen ergibt sich der Bedarf aus § 130 OWiG, der nicht das Verzeichnis sanktioniert, sondern die unterlassene Aufsicht. Dieser Text trennt die beiden Grundlagen und zeigt, welche Spalte in den meisten Katastern fehlt.
§§ 10 bis 12 ChemBiozidDV: Welche Biozid-Produkte nicht ins Regal dürfen, wer sie abgeben darf und was im Onlinehandel vor dem Kaufvertrag passieren muss
Seit dem 1. Januar 2025 gelten die §§ 10 bis 13 der Biozidrechts-Durchführungsverordnung. Sie entscheiden drei Dinge: welche Biozid-Produkte der Käufer nicht frei greifen darf, wer sie überhaupt abgeben darf, und was im Online- und Versandhandel vor Abschluss des Kaufvertrags erledigt sein muss. Dieser Text liest die drei Vorschriften im Wortlaut, trennt die beiden Stufen des Selbstbedienungsverbots und zeigt, warum die Bußgeldhöhe nicht in der Verordnung steht, sondern erst in § 26 Abs. 3 ChemG.
Der Barrierefreiheits-Check: dreißig Seiten, vier WCAG-Tags, keine Konformitätsaussage. Und was § 14 BFSG davon unabhängig verlangt
Der Barrierefreiheits-Check in CIVAC ermittelt bis zu dreißig Seiten einer Website, rendert sie in einem Browser und prüft sie mit axe-core gegen die WCAG 2.1 auf Stufe A und AA; ein Sprachmodell formuliert danach nur die Handlungsempfehlungen. Der Beitrag beschreibt den Mechanismus aus dem Code und stellt ihn neben § 14 BFSG: die Informationen nach Anlage 3, die Pflicht, die Anforderungen „stets“ zu erfüllen, und die Meldung an die Marktüberwachungsbehörde bei Nichtkonformität.
Art. 32 Abs. 1 lit. d DSGVO: das Verfahren zur regelmäßigen Überprüfung. Warum eine Prüfung kein Verfahren ist und was ein Probe-Audit davon abdeckt
Art. 32 Abs. 1 lit. d DSGVO verlangt „ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit“ der technischen und organisatorischen Maßnahmen. Der Beitrag nimmt die drei Wörter Verfahren, regelmäßig und Wirksamkeit auseinander, stellt Art. 24 Abs. 1 Satz 2 und Art. 32 Abs. 3 daneben und beschreibt, was das Probe-Audit in CIVAC davon leistet: Kriterien und Nachweise hinein, Lücken mit Korrekturmaßnahme heraus.
Art. 25 DSGVO: Datenschutz durch Technikgestaltung ist eine Pflicht des Verantwortlichen, und zwar zu zwei Zeitpunkten
Art. 25 Abs. 1 DSGVO verpflichtet den Verantwortlichen „sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung“. Der Beitrag nimmt diese Zwei-Zeitpunkte-Struktur wörtlich, erklärt, warum eine Zertifizierung nach Abs. 3 nur ein Faktor ist, und zeigt an Art. 39 Abs. 1 lit. a und b, wo die Person sitzt, die diese Arbeit tatsächlich tut.
§ 30 Abs. 2 Nr. 5 BSIG: Sicherheit bei Erwerb, Entwicklung und Wartung. Ein Scan ist Beleg für die Maßnahme, nicht ihre Erfüllung
§ 30 Abs. 2 Nr. 5 und Nr. 6 BSIG beschreiben genau das, was ein automatisierter Code- und Richtlinien-Scanner leistet. Der Beitrag zitiert beide Nummern im Wortlaut und zeigt an § 30 Abs. 1 Satz 3 und § 38 Abs. 1 BSIG, warum der Scanbericht ein Beleg ist, aber die dokumentierte Verpflichtung und die überwachende Geschäftsleitung das sind, was das Gesetz verlangt.
Art. 28 Abs. 1 DSGVO: „hinreichend Garantien“. Was der Verantwortliche vor dem Einsatz einer SaaS-Anwendung prüfen muss, und was lit. h danach erlaubt
Art. 28 Abs. 1 DSGVO ist keine Vertragsklausel, sondern eine Auswahlpflicht: Der Verantwortliche arbeitet „nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten“, dass geeignete Maßnahmen durchgeführt werden. Der Beitrag trennt diese Prüfung vor dem Vertrag vom Überprüfungsrecht nach Abs. 3 lit. h danach und zeigt an zwei Audit-Vorlagen aus dem CIVAC-Workspace, was dabei tatsächlich abgefragt wird.
§ 203 Abs. 3 und 4 StGB: Der IT-Dienstleister einer Arztpraxis ist selbst strafbar, wenn er ein Geheimnis offenbart, und die Praxis ist strafbar, wenn sie ihn nicht zur Geheimhaltung verpflichtet hat
Seit der Neufassung des § 203 StGB dürfen Berufsgeheimnisträger Geheimnisse gegenüber „sonstigen mitwirkenden Personen“ offenbaren, „soweit dies für die Inanspruchnahme der Tätigkeit … erforderlich ist“. Im Gegenzug macht Abs. 4 Satz 1 die mitwirkende Person selbst zum Täter, und Abs. 4 Satz 2 Nr. 1 bestraft den Berufsgeheimnisträger, der nicht dafür gesorgt hat, dass sie „zur Geheimhaltung verpflichtet wurde“. Was das für Software- und Cloud-Anbieter im Gesundheitswesen, für Kanzleien und für Steuerberater heißt, im Wortlaut.
§ 83 MPDG: Wer Fachkreise über Medizinprodukte informiert, ist Medizinprodukteberater – mit Sachkenntnis, regelmäßiger Schulung durch den Auftraggeber und einer Aufzeichnungspflicht, die bis zur PRRC reicht
§ 83 Abs. 1 MPDG erlaubt es nur dem, „die für die jeweiligen Medizinprodukte erforderliche Sachkenntnis und Erfahrung“ besitzt, Fachkreise berufsmäßig zu informieren, „auch für die fernmündliche Information“. Abs. 3 verpflichtet den Auftraggeber zur regelmäßigen Schulung, Abs. 4 den Berater, Meldungen über Risiken aufzuzeichnen und unverzüglich an den Hersteller oder dessen verantwortliche Person zu übermitteln. § 94 MPDG bewehrt die Tätigkeit ohne Sachkenntnis, den fehlenden Nachweis und die unterlassene Aufzeichnung oder Übermittlung mit Geldbuße bis zu dreißigtausend Euro.
Art. 87 MDR: drei Fristen für schwerwiegende Vorkommnisse, 15 Tage, 10 Tage, 2 Tage, und die Regel, im Zweifel trotzdem zu melden
Art. 87 der Verordnung (EU) 2017/745 verpflichtet jeden Hersteller, unabhängig von seiner Größe, schwerwiegende Vorkommnisse zu melden: spätestens 15 Tage nach Kenntnis, bei Tod oder unvorhergesehener schwerwiegender Verschlechterung des Gesundheitszustands spätestens zehn Tage, bei schwerwiegender Gefahr für die öffentliche Gesundheit spätestens zwei Tage. Absatz 7 nimmt die Unsicherheit als Entschuldigung weg. Der Wortlaut mit den Definitionen des Art. 2.
Art. 3 und 7 Data Act: vernetzte Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden, müssen Daten standardmäßig zugänglich machen – unter 50 Beschäftigten nicht, ab 50 schon
Art. 3 Abs. 1 der Verordnung (EU) 2023/2854 verlangt, dass vernetzte Produkte so konzipiert und hergestellt werden, dass Produktdaten für den Nutzer „standardmäßig … einfach, sicher, unentgeltlich“ zugänglich sind. Nach Art. 50 gilt das für Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden. Art. 7 Abs. 1 nimmt Kleinst- und Kleinunternehmen aus und gibt mittleren Unternehmen ein Jahr. Was das für Hersteller mit 20, 60 und 300 Beschäftigten heißt.
Art. 25 und 29 Data Act: welche Klauseln seit dem 12. September 2025 in jeden SaaS-Vertrag gehören und warum Wechselentgelte am 12. Januar 2027 auf null fallen
Die Verordnung (EU) 2023/2854 gilt seit dem 12. September 2025 und kennt für Anbieter von Datenverarbeitungsdiensten keine Größenschwelle. Art. 25 schreibt den Mindestinhalt des Vertrags vor, darunter eine Kündigungsfrist von höchstens zwei Monaten, eine Übergangsfrist von höchstens 30 Tagen und ein Abrufzeitraum von mindestens 30 Tagen. Art. 29 verbietet Wechselentgelte ab dem 12. Januar 2027. Der Wortlaut, und was Art. 31 ausnimmt.
§ 17 BFSG: Wer sich auf die unverhältnismäßige Belastung beruft, dokumentiert, bewahrt fünf Jahre auf, prüft bei jeder Änderung neu und meldet unverzüglich
Die Ausnahme des § 17 BFSG ist kein Freibrief. Absatz 2 verlangt eine dokumentierte Beurteilung mit fünf Jahren Aufbewahrung, Absatz 3 die Wiederholung mindestens alle fünf Jahre und bei jeder Veränderung der Dienstleistung, Absatz 5 die unverzügliche Unterrichtung der Marktüberwachungsbehörde. Nur Kleinstunternehmen sind teilweise ausgenommen, und die enden bei zehn Beschäftigten.
Ab 20 Arbeitsplätzen: die Fünf-Prozent-Quote des § 154 SGB IX, die Ausgleichsabgabe des § 160 und die Anzeige bis zum 31. März
Wer jahresdurchschnittlich monatlich mindestens 20 Arbeitsplätze hat, muss auf fünf Prozent davon schwerbehinderte Menschen beschäftigen, zahlt für jeden unbesetzten Pflichtarbeitsplatz eine gestaffelte Ausgleichsabgabe und zeigt die Zahlen bis zum 31. März der Agentur für Arbeit an. Die drei Vorschriften im Wortlaut, mit der Zählweise des § 156 und den Bußgeldtatbeständen des § 238.
Grün, Gelb, Rot: was die Konfidenz einer Antwort des Compliance Agents bedeutet, woher die Quellen kommen und wann die Antwort ausbleibt
Jede Antwort des Compliance Agents in CIVAC trägt eine Konfidenz in drei Stufen mit Begründung, eine Liste typisierter Quellen und ein Eskalationsfeld. Dieser Beitrag beschreibt, was in eine Antwort hineingeht, wie die drei Stufen in der Anweisung definiert sind, wann das Modell keine inhaltliche Antwort geben darf, und warum das Eskalationsfeld ein Hinweis an die Beauftragte ist und keine Übergabe an eine Kanzlei.
Der Pflichten-Check: vier Profilangaben, drei Stufen, eine Norm je Rolle, und was die Indikation nicht entscheidet
Der Pflichten-Check in CIVAC gleicht das Unternehmensprofil gegen den Rollenkatalog ab und gibt je Rolle einen Befund zurück: Pflicht, empfohlen oder beobachten, mit der Norm, dem Profilmerkmal, das die Pflicht auslöst, und einem nächsten Schritt. Dieser Beitrag beschreibt, welche vier Angaben hineingehen, wie ein Befund aufgebaut ist, was die Ampel am Ende bedeutet, und warum das Ergebnis nur so gut ist wie das Profil.
Der Abmahncheck: neun Prüfbereiche, fünf Schweregrade, eine Norm je Befund, und was der Check ausdrücklich nicht bewertet
Der Abmahncheck in CIVAC liest eine Website oder ein hochgeladenes Dokument und gibt Befunde zurück, die jeweils eine Kategorie aus neun, einen Schweregrad aus fünf, die Norm, auf die der Befund zeigt, ein kurzes Belegzitat und eine Empfehlung tragen. Dieser Beitrag beschreibt, was der Check feldgenau prüft, wie ein Befund aufgebaut ist, warum das Ergebnis eine Risiko-Indikation und keine Rechtsbewertung ist, und wo seine Grenzen liegen.
Fünf Kernschritte, ein Datenmodell: wie ein Projekt in CIVAC vom Geltungsbereich zum Bericht läuft, und an welcher Stelle kein Modell beteiligt ist
Jedes Projekt in CIVAC, ob DSFA, Lieferantenaudit oder Vorfallbearbeitung, hat dieselben fünf Kernschritte: Geltungsbereich, Unterlagen, Rückfragen, Risiken, Bericht. Dieser Beitrag beschreibt sie so, wie sie im Datenmodell stehen: welche Felder jeder Schritt hat, wo ein Sprachmodell Vorschläge macht, wo ausschließlich Menschen arbeiten, und warum der Bericht als veraltet markiert wird, sobald sich eine Antwort ändert.
§§ 6, 17, 45 ElektroG: Registrierung vor dem Inverkehrbringen, Rücknahme ab 400 Quadratmetern, bis zu 100.000 Euro
Das Elektro- und Elektronikgerätegesetz trifft Hersteller, Händler, Marktplätze und Fulfilment-Dienstleister mit drei ineinandergreifenden Vorschriften: der Registrierungspflicht des § 6, der Rücknahmepflicht des § 17 und dem Bußgeldkatalog des § 45. Welche Schwellen im Wortlaut stehen und wer für welchen Verstoß haftet.
§ 393 SGB V: seit dem 1. Juli 2025 zählt nur noch das C5-Typ-2-Testat, mit einer 18-Monats-Ausnahme
Wer als Leistungserbringer oder Krankenkasse Sozial- und Gesundheitsdaten in der Cloud verarbeitet, braucht nach § 393 Abs. 3 SGB V ein aktuelles C5-Testat der datenverarbeitenden Stelle. Abs. 4 legt fest, wann Typ 1 genügt hat, seit wann Typ 2 verlangt wird und welche 18 Monate für neu in Verkehr gebrachte Systeme gelten.
Art. 15 Abs. 2 MDR: unter 50 Beschäftigten keine eigene PRRC, aber „dauerhaft und ständig“ eine
Die Medizinprodukteverordnung verlangt von jedem Hersteller eine für die Einhaltung der Regulierungsvorschriften verantwortliche Person. Kleinst- und Kleinunternehmen müssen sie nicht anstellen, aber dauerhaft und ständig auf sie zurückgreifen können. Wo die Grenze liegt und was der Wortlaut verlangt.
Art. 5n der Verordnung (EU) Nr. 833/2014: welche Software und welche Dienste ein Unternehmen keinem in Russland niedergelassenen Kunden mehr bereitstellen darf
ERP, CRM, CAD, Online-Banking-Software, IT-Beratung, seit dem 25. November 2025 auch KI-Modellzugang und Hochleistungsrechnen: Art. 5n verbietet die Bereitstellung an in Russland niedergelassene Kunden. Der Wortlaut, die Genehmigungstatbestände, die Strafnorm.