Mitgedacht, nicht nachgerüstet.
DSGVO, EU AI Act, NIS2 und DORA: was jeweils gilt, und was jedes Projekt dafür liefert.
In jedem Projekt enthalten
Was „DSGVO-konform umgesetzt“ und „EU AI Act umgesetzt“ bei uns heißt: Diese acht Punkte sind in jedem Projekt mit KI-Schritt oder personenbezogenen Daten enthalten, schriftlich. Ohne beides liefern wir die Punkte 2 bis 4 und eine kurze Einstufung.
DSGVO
- Auftragsverarbeitungsvertrag (Art. 28 DSGVO), sobald wir personenbezogene Daten verarbeiten.
- Hosting in der EU oder auf Ihrer Infrastruktur, mit schriftlicher Liste aller Unterauftragnehmer und Modell-Anbieter.
- Datenfluss-Dokumentation und technisch-organisatorische Maßnahmen (TOMs), passend für Ihr Verarbeitungsverzeichnis.
- Festgelegte Lösch- und Aufbewahrungsfristen sowie Protokolle, wer und was auf personenbezogene Daten zugegriffen hat.
EU AI Act
- Eine schriftliche Risikoeinstufung des KI-Systems nach der KI-Verordnung, mit Begründung.
- KI-Kennzeichnung bei Chatbots und erzeugten Inhalten, wo Art. 50 sie verlangt.
- Ein Mensch gibt Abweichungen frei; automatische Entscheidungen werden protokolliert und sind nachvollziehbar.
- Eine dokumentierte Einweisung Ihres Teams in die Nutzung des Systems (Art. 4).
DSGVO
Seit 2018. Die Datenschutz-Grundverordnung regelt, wie personenbezogene Daten natürlicher Personen erhoben, gespeichert und verarbeitet werden, unabhängig von Staatsangehörigkeit oder Wohnsitz.
Wer ist betroffen? Jedes Unternehmen mit Niederlassung in der EU sowie Unternehmen außerhalb der EU, die Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten dort beobachten (Art. 3).
Wichtige Anforderungen
- Zweckbindung: Daten nur für festgelegte Zwecke
- Datenminimierung: Nur erheben, was nötig ist
- Recht auf Löschung: Daten auf Anfrage löschen
- Meldepflicht: 72 Stunden ab Kenntnis der Datenpanne (Art. 33)
- Auftragsverarbeitungsverträge mit allen Dienstleistern
Praktische Auswirkungen
- US-Cloud-Dienste benötigen eine EU-US Data Privacy Framework (DPF) Zertifizierung oder SCCs mit zusätzlichen Maßnahmen, falls der Anbieter nicht DPF-zertifiziert ist
- KI-Tools mit personenbezogenen Daten brauchen Auftragsverarbeitungsverträge
- Ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung sind nur ausnahmsweise zulässig (Vertrag, Gesetz, ausdrückliche Einwilligung) und brauchen Schutzmaßnahmen wie menschliches Eingreifen (Art. 22)
FluxHuman Vorteil
- Datenhoheit: Wir bevorzugen n8n auf Ihren Servern (oder EU-Cloud wie Hetzner). Daten bleiben im Rechtsraum.
- Lokale KI: Mit dem KI-Assistenten auf eigener Hardware laufen LLMs (wie Llama) lokal. Keine Daten an OpenAI.
- Datensparsamkeit: Unsere Workflows verarbeiten Daten durch die Pipeline und speichern sie nicht länger als für die Automatisierung erforderlich.
Nur mit AVV und gültiger Übermittlungsgrundlage: DPF-Zertifizierung des Anbieters oder SCCs. Wir empfehlen EU-gehostete oder lokale Alternativen bzw. vorherige Anonymisierung.
Meist nicht. DSGVO Artikel 22 gilt für Entscheidungen mit rechtlicher oder erheblicher Wirkung. Die meisten Workflow-Automatisierungen sind ausgenommen.
EU AI Act
Stufenweise 2024-2028. Die weltweit erste umfassende KI-Verordnung. Klassifiziert KI-Systeme nach Risikolevel und setzt entsprechende Anforderungen.
Wer ist betroffen? Jeder, der KI-Systeme in der EU entwickelt oder einsetzt. Anforderungen hängen von der Risikoklassifizierung ab.
Hochrisiko-Pflichten nach Anhang III auf 2. Dezember 2027 verschoben. Bis dahin sollten Sie vorbereitet sein.
Wissen Sie, wie Ihre KI-Systeme klassifiziert sind? Die Digital-Omnibus-Verordnung zur KI ((EU) 2026/1744, in Kraft seit 27. Juli 2026) verschob die Hochrisiko-Pflichten nach Anhang III auf Dezember 2027. Die Transparenzpflicht für Chatbots gilt jedoch seit August 2026. Wer das Zeitfenster jetzt nutzt, ist besser vorbereitet, wenn die Pflichten greifen.
290 €, bei Buchung eines Pakets innerhalb von 60 Tagen voll angerechnet
Zeitplan
- Feb 2025
- Verbotene KI-Praktiken untersagt, KI-Kompetenz (Art. 4)
- Aug 2025
- GPAI-Modell-Regeln gelten
- Aug 2026
- Allgemeine Geltung, u. a. Transparenzpflichten (Art. 50)
- Dez 2026
- Neue Verbote (intime Deepfakes ohne Zustimmung, CSAM); Art.-50-Kennzeichnung für Altsysteme
- Dez 2027
- Hochrisiko-KI nach Anhang III (durch Omnibus verschoben von Aug 2026)
- Aug 2028
- Hochrisiko-KI in Produkten nach Anhang I
Risikokategorien
- Verboten: Social Scoring, manipulative KI, Emotionserkennung am Arbeitsplatz, Echtzeit-Biometrie im öffentlichen Raum zur Strafverfolgung
- Hochrisiko: HR-Entscheidungen, Kreditwürdigkeitsprüfung, kritische Infrastruktur
- Begrenztes Risiko: Chatbots (Transparenzpflicht)
- Minimales Risiko: Die meiste Geschäftsautomatisierung
Praktische Auswirkungen
- Hochrisiko-KI erfordert Konformitätsbewertung, Dokumentation, menschliche Aufsicht
- Chatbots müssen als KI gekennzeichnet werden
- Die meiste Workflow-Automatisierung fällt unter minimales Risiko
FluxHuman Vorteil
- Kontrollierte KI: Workflow-Orchestrierung (n8n) ist deterministisch. KI-Komponenten nutzen Human-in-the-Loop-Freigabe für kritische Entscheidungen. Das reduziert das Halluzinationsrisiko, eliminiert es aber nicht vollständig.
- Transparenz: Mit vollem Quellcode-Zugang ist die KI auditierbar. Keine "Black Box", die keiner erklären kann.
- Kategorisierung: Wir bauen primär Automation mit minimalem Risiko und Chatbots mit begrenztem Risiko.
Normalerweise nicht. Hochrisiko gilt für Entscheidungen, die Rechte oder Sicherheit betreffen. FAQ-Bots sind begrenztes Risiko, nur Transparenz erforderlich.
Das ist explizit Hochrisiko unter Anhang III. Erfordert vollständige Dokumentation, Tests und menschliche Aufsicht.
NIS2
DE: in Kraft / AT: in Kraft seit 1. Okt 2026. Die Netzwerk- und Informationssicherheitsrichtlinie 2 erweitert Cybersecurity-Anforderungen auf mehr Sektoren und kleinere Unternehmen.
Wer ist betroffen? Mittlere und große Unternehmen in betroffenen Sektoren (ab 50 Mitarbeitern oder je über 10 Mio. € Umsatz und Bilanzsumme). In Deutschland: ~30.000 Unternehmen.
Betroffene Sektoren: Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trink- und Abwasser, Digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B), Öffentliche Verwaltung, Weltraum, Post und Kurier, Abfall, Chemie, Lebensmittel, Herstellung bestimmter Waren, Anbieter digitaler Dienste, Forschung
Wichtige Anforderungen
- Risikomanagement-Richtlinien und -Verfahren
- Vorfallmeldung: 24h Frühwarnung, 72h Meldung, 1 Monat Abschlussbericht (Art. 23)
- Lieferketten-Sicherheitsmaßnahmen (Art. 21(2)(d))
- Business-Continuity-Pläne
- Mehrfaktor-Authentifizierung und Zugriffskontrolle (Art. 21(2)(j))
Praktische Auswirkungen
- Software-Anbieter werden Teil Ihrer Angriffsfläche
- Sicherheitsfragebögen für jedes neue Tool
- Keine Schatten-IT-Käufe mehr durch Abteilungen
FluxHuman Vorteil
- Verringertes Lieferketten-Risiko: Sie halten die Infrastruktur. Da kein permanenter Vendor-Zugang besteht, sinkt die Drittanbieter-Exposition.
- Minimierte Angriffsfläche: Durch Self-Hosting (VPNs/Firewalls) ist Automation nicht öffentlich exponiert.
- Update-Hoheit: Sie entscheiden über Updates. Keine erzwungenen Cloud-Updates, die Prozesse brechen.
Nicht direkt, sofern sie nicht selbst darunter fallen. Sie müssen aber die Sicherheit Ihrer direkten Zulieferer berücksichtigen (Art. 21(2)(d) und (3)). So wirken die Anforderungen über Verträge auf tausende weitere Unternehmen.
Größenschwellen haben Ausnahmen. Vertrauensdienste, DNS-Anbieter und TLD-Registries sind unabhängig von der Größe betroffen.
DORA
Seit Jan 2025. Der Digital Operational Resilience Act schafft einen einheitlichen Rahmen für IKT-Risikomanagement im Finanzsektor.
Wer ist betroffen? Banken, Versicherer, Investmentfirmen, Zahlungsdienstleister, Krypto-Anbieter und deren kritische IKT-Dienstleister.
Wichtige Anforderungen
- IKT-Risikomanagement-Framework
- Vorfallklassifizierung und -meldung
- Regelmäßige Resilienztests
- Informationsregister aller IKT-Verträge (seit Jan 2025)
- Exit-Strategien für alle kritischen Anbieter
Praktische Auswirkungen
- Dokumentierte Exit-Strategien sind Pflicht; ein Anbieterwechsel muss möglich sein (DORA verlangt kein generelles Lock-in-Verbot)
- Alle IKT-Anbieter müssen dokumentiert und überwacht werden
- Verträge brauchen Datensicherheits- und Kündigungsklauseln; bei kritischen oder wichtigen Funktionen auch Audit-Rechte und Exit-Strategien
FluxHuman Vorteil
- Dokumentierte Exit-Strategie: voller Quellcode und Dokumentation. Wenn wir verschwinden, läuft Ihr System weiter.
- Unabhängigkeit: Jeder fähige Entwickler kann das System warten. Keine Abhängigkeit von uns.
- Keine proprietäre Cloud: Wir nutzen Open-Source-Standards (Docker, Postgres, Python), keine geschlossenen Plattformen.
Ein Register aller Verträge über IKT-Dienstleistungen von Drittanbietern, zu führen seit 17. Januar 2025. Die Aufsicht fordert es jährlich an (Stichtag: 31. Dezember des Vorjahres).
Wenn Ihr Unternehmen unter DORA fällt, gehört jede bezogene IKT-Dienstleistung ins Register. Unterstützt ein Tool kritische oder wichtige Funktionen, gelten strengere Vertrags-, Audit- und Exit-Regeln.
Unsere Prinzipien
Einmal bezahlt, kein Abo
Compliance erfordert Kontrolle. Sie mieten unsere Lösungen nicht: Sie bekommen den vollen Quellcode mit umfassenden Nutzungsrechten.
Open Source Standards
Wir nutzen n8n, Docker und Python. Auditoren verstehen und lieben diese Standards. Keine obskuren Eigenentwicklungen.
Safety First Architecture
Wir trennen Logik (Code) von Daten (Datenbank). Sensible Daten fließen durch, werden aber nicht unnötig protokolliert.
Dokumentation inklusive
Sie erhalten Code und Datenfluss-Dokumentation. Das spart Ihrem Datenschutzbeauftragten Tage an Arbeit.
Stand der Angaben: 8. Oktober 2026
Täglich automatisch auf Änderungen, Berichtigungen, konsolidierte Fassungen und Aufhebungen überwacht: die auf dieser Seite zitierten Rechtsakte, also DSGVO, KI-Verordnung, NIS2-Richtlinie, DORA, das DORA-Informationsregister (Durchführungsverordnung (EU) 2024/2956), der EU-US-Angemessenheitsbeschluss, die Standardvertragsklauseln, das österreichische NISG 2026 und das deutsche BSIG. Nicht automatisch überwacht: Inhalte weiterer Durchführungsrechtsakte, harmonisierte Normen und nationale Leitlinien. Änderungen prüfen wir und arbeiten sie von Hand in diese Seite ein; das Datum oben nennt die letzte Durchsicht.
Unsicher, welche Regularien greifen?
Wir prüfen einen konkreten KI-Einsatz gegen DSGVO und EU AI Act und geben Ihnen das Ergebnis schriftlich. 290 €, bei Buchung eines Pakets innerhalb von 60 Tagen voll angerechnet.