Blog
Praxiswissen aus Compliance und Entwicklung
Was wir in Mandaten und eigenen Projekten lernen, schreiben wir hier auf — zu Datenschutz, Informationssicherheit, EU AI Act und lokaler KI. Ohne Marketing-Nebel, mit Haltung.
KI-Chatbot fürs Unternehmen: Kosten, Aufwand und was beim Datenschutz zählt
Vom FAQ-Bot bis zum RAG-Assistenten: welche Chatbot-Typen es gibt, was sie realistisch kosten, wie lange die Umsetzung dauert und welche DSGVO- und AI-Act-Pflichten Sie vor dem Go-live klären sollten.
Weiterlesen →
ISO 27001 Kosten: Womit der Mittelstand für die Zertifizierung rechnen muss
Was eine ISO-27001-Zertifizierung kostet, hängt weniger vom Zertifikat als vom Weg dorthin ab. Welche Kostenblöcke anfallen, wie sich Audittage berechnen und warum die internen Stunden fast immer unterschätzt werden.
Weiterlesen →
Informationssicherheitsbeauftragten bestellen: Ablauf, Befugnisse und typische Fehler
Einen ISB zu benennen ist schnell erledigt, ihn wirksam zu machen nicht. Wie die Bestellung abläuft, was in die Bestellungsurkunde gehört, wo der ISB organisatorisch hingehört und welche Fehler die Rolle von Anfang an schwächen.
Weiterlesen →
Datenschutzbeauftragten benennen: Ablauf, Meldung und typische Fehler
Wer einen Datenschutzbeauftragten braucht, muss ihn nicht nur auswählen, sondern auch richtig benennen, veröffentlichen und der Aufsichtsbehörde melden. Wie die Benennung abläuft, was Art. 37 bis 39 DSGVO verlangen und wo Unternehmen in der Praxis stolpern.
Weiterlesen →
Datenschutzbeauftragten wechseln: Worauf Unternehmen achten sollten
Ein Wechsel des Datenschutzbeauftragten ist rechtlich kein großes Thema, wenn die Reihenfolge stimmt. Was beim externen und beim internen DSB unterschiedlich läuft, warum keine Lücke entstehen darf und welche Unterlagen Sie sich unbedingt übergeben lassen sollten.
Weiterlesen →
Aufbewahrungsfristen zum Jahreswechsel: Welche Unterlagen Sie ab 2027 vernichten dürfen
Seit dem Bürokratieentlastungsgesetz IV gelten für Buchungsbelege und Rechnungen acht statt zehn Jahre. Was das zum Jahreswechsel 2026/27 konkret bedeutet, wo die Ausnahmen liegen und warum aus dem Fristablauf eine Löschpflicht nach DSGVO wird.
Weiterlesen →
NIS2-Registrierung beim BSI verpasst? Was nach Ablauf der Fristen jetzt gilt
Die gesetzliche Registrierungsfrist nach § 33 BSIG endete am 6. März 2026, die Nachfrist des BSI am 31. Juli 2026. Warum sich eine Nachregistrierung trotzdem lohnt, wie sie praktisch abläuft und welche Pflichten danach sofort greifen.
Weiterlesen →
Stellenabbau und Werkschließung: Welche Datenschutzpflichten Arbeitgeber jetzt treffen
GSK Dresden, VW Zwickau, Zulieferer in Sachsen: Jede Kündigungswelle ist auch ein Datenschutzvorgang. Ein Überblick über Löschkonzept, Postfächer, Sozialauswahl und Betriebsübergang, mit Verweis auf den ausführlichen Leitfaden unseres Datenschutz-Portals.
Weiterlesen →
IT-Notfallplan für Geschäftsführer: Was 2026 hineingehört, wer haftet und wie Sie in vier Wochen startklar sind
Ransomware, Stromausfall, Cloud-Ausfall: Ein IT-Notfallplan entscheidet, ob ein Unternehmen nach dem Vorfall weiterarbeitet. Was der Plan nach BSI-Standard 200-4 enthalten muss, welche Fristen aus DSGVO und NIS-2 gelten und warum die Geschäftsführung persönlich in der Pflicht steht.
Weiterlesen →
Externer Informationssicherheitsbeauftragter: Aufgaben, Pflicht und Kosten – wann sich ein externer ISB lohnt
Wer braucht einen Informationssicherheitsbeauftragten, was macht er den ganzen Tag und warum holen sich immer mehr Mittelständler die Rolle von außen? Ein Überblick mit Kostenrahmen und Entscheidungshilfe.
Weiterlesen →
Fällt die Pflicht zum Datenschutzbeauftragten? Was die geplante Streichung von § 38 BDSG für Unternehmen bedeutet
Bund und Länder wollen die 20-Personen-Schwelle für die Benennung eines Datenschutzbeauftragten bis Ende 2026 streichen. Was bisher beschlossen ist, was weiterhin gilt und warum die meisten Unternehmen ihren Datenschutzbeauftragten trotzdem behalten werden.
Weiterlesen →
HinSchG-Schulung: Warum die Meldestelle ohne informierte Mitarbeiter nichts wert ist
Viele Unternehmen haben ihre interne Meldestelle eingerichtet — und dann nie wieder darüber gesprochen. Dabei funktioniert Hinweisgeberschutz nur, wenn Mitarbeiter wissen, was sie melden können, wo und mit welchem Schutz. Was eine HinSchG-Schulung leisten muss und wer sie braucht.
Weiterlesen →
Datenschutzbeauftragter: Ab wann ist er wirklich Pflicht?
Die 20-Mitarbeiter-Regel kennt fast jeder — aber sie ist nur eine von drei Schwellen. Wer besondere Datenkategorien verarbeitet oder Personen systematisch überwacht, braucht den DSB auch mit fünf Leuten. Was § 38 BDSG und Art. 37 DSGVO wirklich verlangen und welche Fehler bei der Zählung passieren.
Weiterlesen →
KI-Governance im Unternehmen aufbauen: Wer entscheidet, was die KI darf?
ChatGPT im Vertrieb, Copilot in der Entwicklung, KI-Transkription in Meetings — und niemand hat den Überblick. KI-Governance schafft klare Zuständigkeiten, Freigabeprozesse und Kontrollen. Was dazugehört, wer welche Rolle übernimmt und wie der Einstieg ohne Bürokratie-Monster gelingt.
Weiterlesen →
Was kostet Datenschutz im Unternehmen? Die Budgetposten im Überblick
Zwischen „macht der Azubi nebenbei" und fünfstelligen Beraterprojekten liegt ein weites Feld. Welche Kostenblöcke bei DSGVO-Compliance wirklich anfallen, wie sich interne und externe Lösungen rechnen — und an welcher Stelle Sparen am Ende teurer wird.
Weiterlesen →
SEO-Audit: Warum viele Unternehmenswebsites unsichtbar sind — und wie man das systematisch ändert
Die meisten Websites verlieren Sichtbarkeit nicht durch einen großen Fehler, sondern durch viele kleine: Crawling-Blockaden, langsame Ladezeiten, doppelte Title-Tags, verwaiste Seiten. Ein strukturiertes SEO-Audit macht diese Probleme sichtbar — und priorisiert, was sich zu beheben lohnt.
Weiterlesen →
NIS-2 macht Cybersicherheit zur Chefsache: Die Schulungspflicht für Geschäftsleitungen
Art. 20 der NIS-2-Richtlinie verpflichtet Geschäftsleitungen persönlich: Risikomanagement billigen, Umsetzung überwachen — und selbst an Schulungen teilnehmen. Wer betroffen ist, was eine Leitungsschulung abdecken muss und warum Delegation an die IT diesmal nicht reicht.
Weiterlesen →
Die Rollenwechsel-Falle im EU AI Act: Wann Ihr Unternehmen unbemerkt zum KI-Anbieter wird
Art. 25 der KI-Verordnung macht aus KI-Nutzern rechtlich Anbieter — durch White-Labeling, wesentliche Veränderung oder eine geänderte Zweckbestimmung. Woran Sie den Rollenwechsel erkennen, welche Pflichten dann greifen und wie Sie ihn vermeiden oder sauber managen.
Weiterlesen →
Löschkonzept nach DSGVO: Warum Daten aufbewahren einfach ist — und richtig löschen die eigentliche Kunst
Art. 17 DSGVO verlangt das Löschen, Handels- und Steuerrecht verlangen das Aufbewahren. Ein praxistaugliches Löschkonzept löst diesen Widerspruch: Löschklassen bilden, Fristen zuordnen, Verantwortliche benennen und die Umsetzung technisch verankern — ohne juristische Doktorarbeit.
Weiterlesen →
Schwachstellenanalyse als Compliance-Pflicht: Welche Regelwerke regelmäßige Scans fordern — und wie oft
ISO 27001, NIS-2, PCI DSS, BSI IT-Grundschutz und sogar die DSGVO: Regelmäßige Schwachstellenanalysen sind längst keine Kür mehr. Welches Regelwerk was genau verlangt, welche Scan-Frequenz angemessen ist und warum ein einzelner Jahres-Scan fast nie reicht.
Weiterlesen →
DORA in der Praxis: Was der Digital Operational Resilience Act von Finanzunternehmen — und ihren IT-Dienstleistern — verlangt
Seit Januar 2025 gilt DORA verbindlich für den europäischen Finanzsektor. Welche fünf Pflichtenblöcke die Verordnung umfasst, warum auch IT-Dienstleister außerhalb der Finanzbranche betroffen sind und wo Unternehmen jetzt nachschärfen sollten.
Weiterlesen →
Cyber Resilience Act: Was für Hersteller und Softwareanbieter jetzt gilt — und was bis Ende 2027 ansteht
Der EU Cyber Resilience Act verpflichtet erstmals Hersteller digitaler Produkte zu Security by Design, Schwachstellenmanagement und Meldepflichten. Wen die Verordnung trifft, welche Fristen gelten und womit man jetzt sinnvoll anfängt.
Weiterlesen → Datenschutz-Folgenabschätzung: Wann Art. 35 DSGVO sie verlangt — und wie sie ohne Papierberg gelingt
Die DSFA gilt als Bürokratiemonster, ist aber in Wahrheit ein Projektwerkzeug: Wer sie früh und schlank aufsetzt, erkennt Risiken, bevor sie teuer werden. Wann sie Pflicht ist, wie der Ablauf aussieht und welche Fehler sich vermeiden lassen.
Weiterlesen →
EU AI Act 2026: Diese Pflichten treffen jetzt jedes Unternehmen
KI-Kompetenz und Transparenzpflichten gelten, die Hochrisiko-Pflichten folgen nach dem KI-Omnibus ab Dezember 2027. Was Unternehmen jetzt konkret tun müssen, von der KI-Inventur bis zur Schulungspflicht.
Weiterlesen →
Microsoft 365 datenschutzkonform betreiben: die Stellschrauben, die wirklich zählen
M365 pauschal zu verteufeln hilft niemandem — es unkonfiguriert auszurollen auch nicht. Die Einstellungen und Dokumente, die aus dem Standard-Tenant einen vertretbaren machen.
Weiterlesen →
Lokale KI statt US-Cloud: Was wir aus dem Betrieb eigener GPU-Server gelernt haben
LLMs, Transkription und Dokumenten-KI auf eigener Hardware in deutschen Rechenzentren — warum wir das seit Jahren so machen, was es datenschutzrechtlich bringt und wo die Grenzen liegen.
Weiterlesen →
Individualsoftware oder SaaS? Eine ehrliche Abwägung jenseits der Lagerkämpfe
Mieten ist schnell, bauen ist souverän — und beide Lager erzählen nur die halbe Geschichte. Wann sich Eigenentwicklung wirklich rechnet, wann SaaS die richtige Antwort bleibt, und welche dritte Option oft übersehen wird.
Weiterlesen → KI-Kompetenz nach Art. 4 EU AI Act: Wie eine Schulung aussieht, die den Namen verdient
Seit Februar 2025 müssen Unternehmen die KI-Kompetenz ihrer Beschäftigten fördern. Ein Erklärvideo für alle erfüllt das nicht — ein rollenbasiertes Konzept schon. So bauen wir es auf.
Weiterlesen →
Datenschutzschulungen, die hängen bleiben: Warum Branchenbezug alles ist
Die DSGVO verlangt geschulte Mitarbeiter — aber generische Folienschulungen erreichen niemanden. Was wir aus hunderten Schulungsterminen von der Kita bis zum Krankenhaus gelernt haben.
Weiterlesen →
Phishing-Simulationen: Was sie wirklich bringen — und wie man sie fair aufsetzt
Simulierte Phishing-Mails sind das ehrlichste Awareness-Messinstrument, das es gibt. Falsch eingesetzt, zerstören sie Vertrauen. Erfahrungen aus unserer eigenen Simulations-Plattform.
Weiterlesen →
Schatten-IT: finden, bewerten, einfangen — ohne Verbotskultur
Das CRM aus der Fachabteilung, der private Cloud-Speicher, das KI-Tool vom Praktikanten: Schatten-IT ist in jedem Unternehmen. Warum Verbote scheitern und ein dreistufiges Vorgehen funktioniert.
Weiterlesen →
Website-Datenschutz: Cookies, Consent und die Abmahnfallen, die nicht aussterben
Google Fonts, Tracking ohne Einwilligung, Consent-Banner mit Dark Patterns — die immergleichen Fehler kosten weiter Geld und Vertrauen. Der Realitäts-Check für Ihre Website.
Weiterlesen →
KI-Transkription im Unternehmen: Meetings dokumentieren ohne Datenschutz-Blindflug
Automatische Mitschriften sparen enorm Zeit — aber Stimme ist ein personenbezogenes Datum, und viele Transkriptions-Tools senden sie in die US-Cloud. Wie es sauber geht.
Weiterlesen →
Souveräne Team-Kommunikation: Warum wir intern auf Matrix setzen
Firmeninterna im Consumer-Messenger sind ein Compliance-Dauerbrenner. Wir betreiben seit Jahren einen eigenen Matrix-Server — ein Erfahrungsbericht über den Messenger, den man besitzen statt mieten kann.
Weiterlesen →
ISO 27001 im Mittelstand: Der realistische Weg zur Zertifizierung
Kein Papier-ISMS, keine Beraterfolklore: Wie ein mittelständisches Unternehmen in 9–15 Monaten zertifizierungsreif wird — und welche Abkürzungen sich rächen.
Weiterlesen →
Das Verarbeitungsverzeichnis: unterschätztes Fundament jeder DSGVO-Dokumentation
Art. 30 DSGVO verlangt es von fast jedem Unternehmen — und in der Praxis ist es das Dokument, an dem sich die Qualität des gesamten Datenschutzes ablesen lässt. So baut man es richtig auf.
Weiterlesen →
Backups sind kein Notfallkonzept: Die 3-2-1-Regel und die Übung, die alle auslassen
Fast jedes Unternehmen hat Backups — die wenigsten haben je eine Wiederherstellung geprobt. Warum Ransomware genau darauf wettet und wie ein Notfallkonzept für den Mittelstand aussieht.
Weiterlesen →
Hinweisgeberschutzgesetz: Die interne Meldestelle, die kaum jemand richtig betreibt
Seit Ende 2023 brauchen Unternehmen ab 50 Beschäftigten eine interne Meldestelle. Viele haben eine auf dem Papier — und keine, die funktioniert. Worauf es wirklich ankommt.
Weiterlesen →
Auskunftsanfrage nach Art. 15 DSGVO: In 30 Tagen souverän antworten
Eine einzige E-Mail — „Ich bitte um Auskunft über meine Daten“ — setzt eine Monatsfrist in Gang und testet die gesamte Datenschutz-Organisation. So antworten Sie vollständig, fristgerecht und ohne Übererfüllung.
Weiterlesen →
Homeoffice und Datenschutz: Die Regeln, die in den meisten Unternehmen fehlen
Mobiles Arbeiten ist Normalität — die dazugehörigen Datenschutz-Regeln sind es oft nicht. Welche fünf Punkte eine Homeoffice-Richtlinie wirklich braucht, jenseits von Selbstverständlichkeiten.
Weiterlesen →
NIS-2: In zehn Minuten prüfen, ob Ihr Unternehmen betroffen ist
Die europäische NIS-2-Richtlinie zieht den Kreis der regulierten Unternehmen drastisch weiter — bis tief in den Mittelstand und die Lieferketten. Der Selbstcheck in drei Schritten.
Weiterlesen →
Passwörter, Passkeys, Zwei-Faktor: Was 2026 Stand der Technik ist
Phishing-resistente Anmeldung ist keine Zukunftsmusik mehr: Passkeys sind in allen großen Plattformen angekommen. Was Unternehmen jetzt umstellen sollten — und welche 2FA-Verfahren nur noch zweite Wahl sind.
Weiterlesen →
TOM nach Art. 32 DSGVO: Stand der Technik ohne Buzzword-Bingo
Technische und organisatorische Maßnahmen sind das Scharnier zwischen Datenschutz und IT-Sicherheit. Was die Generalklausel wirklich verlangt — und woran man erkennt, ob die eigene TOM-Liste lebt oder nur existiert.
Weiterlesen →
Datenpanne: Warum die ersten 72 Stunden entscheiden
Falsch versendete E-Mail, verlorener Laptop, Ransomware — die DSGVO gibt 72 Stunden für die Meldung an die Aufsicht. Wer erst im Ernstfall den Prozess sucht, verliert davon die Hälfte.
Weiterlesen →
AV-Vertrag nach Art. 28 DSGVO: Die fünf Fehler, die in fast jeder Prüfung auftauchen
Auftragsverarbeitungsverträge hat heute jedes Unternehmen — funktionierende AV-Verträge sind deutlich seltener. Die fünf Klassiker aus unserer Prüfpraxis und wie man sie abstellt.
Weiterlesen →Fangen Sie noch heute an
Vereinbaren Sie ein kostenloses 15-Minuten-Kennenlerngespräch und erfahren Sie, wie wir Ihr Unternehmen unterstützen können.
Kennenlernen vereinbarenOder rufen Sie uns an: 0351 79593513 | kontakt@daturex.de