Zwei Themen beschäftigen Unternehmensverantwortliche und ihre Rechtsberater 2025 mehr denn je: der Datenschutz nach der DSGVO und die IT-Sicherheit im Sinne des neuen NIS-2-Umsetzungsgesetzes. Beide Bereiche sind enger miteinander verzahnt als oft angenommen, und die Konsequenzen bei Verstößen sind greifbar. Allein 2023 verhängte die deutsche Datenschutzkonferenz und die zuständigen Landesdatenschutzbehörden Bußgelder in Gesamthöhe von über 40 Millionen Euro gegen Unternehmen im Inland. Tendenz steigend.
Was NIS-2 für deutsche Unternehmen konkret bedeutet
Die EU-Richtlinie NIS-2 (Network and Information Security 2) wurde im Oktober 2024 in deutsches Recht überführt. Das BSI-Gesetz wurde entsprechend angepasst. Der Kreis der betroffenen Unternehmen ist erheblich größer als unter der Vorgängerregelung: NIS-2 erfasst nun auch mittelständische Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz, sofern sie in einem der 18 regulierten Sektoren tätig sind. Dazu gehören unter anderem Energie, Transport, Gesundheit, digitale Infrastruktur und die Lebensmittelbranche.
Für betroffene Unternehmen gelten konkrete Pflichten: Sie müssen Sicherheitsvorfälle innerhalb von 24 Stunden an das Bundesamt für Sicherheit in der Informationstechnik melden, technische Schutzmaßnahmen wie Multi-Faktor-Authentifizierung und Verschlüsselung einführen sowie ihre Lieferketten auf Sicherheitsrisiken prüfen. Verstöße können mit Bußgeldern bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden.
DSGVO: Wo die häufigsten Fehler passieren
Die Datenschutz-Grundverordnung gilt seit 2018, doch viele Unternehmen haben grundlegende Anforderungen bis heute nicht vollständig umgesetzt. Zu den häufigsten Mängeln, die bei Behördenprüfungen auffallen, zählen fehlerhafte oder fehlende Verarbeitungsverzeichnisse, unzureichende Auftragsverarbeitungsverträge mit Dienstleistern sowie der Einsatz von US-amerikanischen Cloudlösungen ohne gültige Standardvertragsklauseln nach Art. 46 DSGVO.
Besonders kritisch ist die Situation beim Einsatz von Drittanbieter-Tools auf Unternehmenswebseiten. Wer Google Fonts, externe Schriftarten oder Tracking-Pixel ohne gültige Einwilligung einbindet, riskiert nicht nur Abmahnungen, sondern auch behördliche Verfahren. Das Landgericht München I hat bereits 2022 klargestellt, dass die ungeprüfte Weitergabe von IP-Adressen an US-Server einen DSGVO-Verstoß darstellt.
Technische und organisatorische Maßnahmen: Der Stand der Technik zählt
Art. 32 DSGVO fordert von Unternehmen, technische und organisatorische Maßnahmen (TOMs) entsprechend dem aktuellen Stand der Technik umzusetzen. Das ist keine statische Vorgabe, sondern ein dynamischer Maßstab. Was 2019 als ausreichend galt, kann 2025 bereits als unzureichend bewertet werden. Konkret bedeutet das: Passwortrichtlinien ohne Mindestlänge von 12 Zeichen, fehlende Zwei-Faktor-Authentifizierung für Administratorzugänge oder unverschlüsselte E-Mail-Kommunikation mit sensiblen Kundendaten sind nicht mehr vertretbar.
Unternehmen sollten ihre TOMs mindestens einmal jährlich überprüfen und dokumentieren. Diese Dokumentation ist im Streitfall gegenüber Behörden der wichtigste Nachweis. Viele mittelständische Betriebe greifen dabei auf spezialisierte IT-Dienstleister zurück, etwa MALU-EDV, die sowohl technische Umsetzung als auch praxisnahe Beratung anbieten. Entscheidend ist dabei, dass der Dienstleister DSGVO-konform handelt und einen Auftragsverarbeitungsvertrag abschließt.
Datenpannen: Meldepflicht und typische Fallstricke
Eine der unterschätztesten Pflichten ist die Meldung von Datenpannen. Nach Art. 33 DSGVO müssen Unternehmen eine Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde melden, sofern ein Risiko für betroffene Personen besteht. In der Praxis scheitern Unternehmen häufig daran, dass interne Meldewege nicht definiert sind und Mitarbeiter nicht wissen, was überhaupt als Datenpanne gilt.
Typische Beispiele aus der Praxis: Ein Laptop mit unverschlüsselten Kundendaten wird gestohlen, eine E-Mail mit einem Vertragsanhang geht an den falschen Empfänger, oder ein Ransomware-Angriff verschlüsselt Patientendaten in einer Arztpraxis. All das sind meldepflichtige Vorfälle. Wer die 72-Stunden-Frist versäumt, riskiert ein eigenständiges Bußgeld, unabhängig vom ursprünglichen Vorfall.
Checkliste: Mindestvorgaben für 2026
- Verarbeitungsverzeichnis nach Art. 30 DSGVO aktuell halten und vollständig dokumentieren
- Auftragsverarbeitungsverträge mit allen externen Dienstleistern abschließen, die personenbezogene Daten verarbeiten
- TOMs dokumentieren und jährlich auf Aktualität prüfen
- Datenschutzbeauftragten benennen, wenn mehr als 20 Personen regelmäßig personenbezogene Daten verarbeiten
- Mitarbeiter schulen, mindestens einmal jährlich, nachweisbar
- NIS-2-Pflichten prüfen, ob das eigene Unternehmen in den Anwendungsbereich fällt
- Incident-Response-Plan erstellen, damit im Ernstfall die 72-Stunden-Frist eingehalten werden kann
Was Unternehmen von ihrem Anwalt erwarten sollten
Datenschutz ist längst kein reines IT-Thema mehr. Juristische und technische Anforderungen greifen ineinander, und das spiegelt sich auch in der anwaltlichen Beratungspraxis wider. Unternehmen sollten darauf achten, dass ihr Rechtsberater die technischen Grundlagen kennt und nicht nur Standarddatenschutzerklärungen liefert. Das Bundesamt für Sicherheit in der Informationstechnik stellt umfangreiche Orientierungshilfen und Mindeststandards bereit, die als Grundlage für die anwaltliche Beratung dienen können.
Gerade bei der Vertragsgestaltung mit IT-Dienstleistern, beim Aufbau eines Datenschutzmanagementsystems oder bei der Vorbereitung auf behördliche Prüfungen brauchen Unternehmen eine Beratung, die sowohl rechtssicher als auch praxistauglich ist. Wer frühzeitig handelt, vermeidet nicht nur Bußgelder, sondern schützt auch das Vertrauen seiner Kunden und Geschäftspartner. Dieses Vertrauen ist 2025 ein echter Wettbewerbsfaktor.
- Entrümpelung nach Mieterauszug: Rechte und Kosten - 3. August 2026
- Messie-Syndrom und Mietrecht: Kündigung durch Verwahrlosung - 3. August 2026
- Nahrungsergänzungsmittel im Betrieb: Was Arbeitgeber dürfen - 3. August 2026
