IT-Recht für kleine Unternehmen: DSGVO, NIS-2, Pflichten im Web

Wer darf Ihr Unternehmen in IT-Rechtsfragen beraten?

Rechtsrat im Einzelfall dürfen nur Personen geben, denen ein Gesetz das erlaubt. Eine Rechtsdienstleistung ist nach § 2 Abs. 1 RDG jede Tätigkeit in konkreten fremden Angelegenheiten, die eine rechtliche Prüfung des Einzelfalls erfordert. Nach § 3 RDG ist sie nur zulässig, soweit das RDG oder ein anderes Gesetz sie erlaubt. Ein IT-Dienstleister, der Vertragsklauseln rechtlich prüft, überschreitet daher schnell seine Befugnis. Stand: Oktober 2026. (Quellen: gesetze-im-internet.de/rdg/__2.html und gesetze-im-internet.de/rdg/__3.html)

Ein Fachanwalt für Informationstechnologierecht muss besondere Kenntnisse in neun Bereichen nachweisen. § 14k der Fachanwaltsordnung nennt unter anderem IT-Vertragsrecht mit AGB, elektronischen Geschäftsverkehr, Domainrecht, Datenschutz und IT-Sicherheit sowie Telekommunikationsrecht. Dazu kommen IT-Vergaberecht mit Kartellrecht, internationale Bezüge mit Internationalem Privatrecht, IT-Strafrecht und die Verfahrensführung. Stand: Oktober 2026. (Quelle: brak.de/fileadmin/02_fuer_anwaelte/berufsrecht/29_-_FAO_Stand_01.10.2026.pdf)

Gilt NIS-2 für mein Unternehmen?

NIS-2 gilt in Deutschland seit dem 6. Dezember 2025 über das neu gefasste BSI-Gesetz (BSIG). An diesem Tag trat das NIS-2-Umsetzungsgesetz in Kraft. Unternehmen müssen laut BSI selbst prüfen, ob sie betroffen sind. Das BSI rechnet mit rund 29.500 beaufsichtigten Einrichtungen, nach bisher etwa 4.500. Stand: Oktober 2026. (Quelle: bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/251205_NIS-2-Umsetzungsgesetz_in_Kraft.html)

Viele Industriebranchen in OWL stehen in Anlage 2 BSIG, der Liste der Sektoren wichtiger Einrichtungen. Unter „Verarbeitendes Gewerbe/Herstellung von Waren“ nennt sie: 5.2 „Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen“, 5.3 „Herstellung von elektrischen Ausrüstungen“, 5.4 „Maschinenbau“ und 5.5 „Herstellung von Kraftwagen und Kraftwagenteilen“. Maßgeblich sind jeweils die NACE-Abteilungen 26 bis 29. Anlage 2 nennt außerdem Lebensmittelunternehmen in Großhandel und industrieller Produktion und Verarbeitung (Nr. 4.1.1). Stand: Oktober 2026. (Quelle: gesetze-im-internet.de/bsig_2025/anlage_2.html)

Ein Unternehmen aus diesen Sektoren ist ab einer bestimmten Größe „wichtige Einrichtung“. § 28 Abs. 2 Nr. 3 BSIG verlangt dafür mindestens 50 Mitarbeiter oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro. Besonders wichtige Einrichtungen gibt es nach § 28 Abs. 1 Nr. 4 BSIG nur in den Sektoren der Anlage 1. Dort gelten mindestens 250 Mitarbeiter oder über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme. Daneben nennt § 28 Abs. 1 Sonderfälle wie Betreiber kritischer Anlagen und bestimmte Telekommunikationsanbieter. Stand: Oktober 2026. (Quelle: gesetze-im-internet.de/bsig_2025/__28.html)

Für die Zählung von Mitarbeitern, Umsatz und Bilanz gilt § 28 Abs. 4 BSIG. Anzuwenden ist die KMU-Empfehlung der EU-Kommission 2003/361/EG, mit Ausnahme von Artikel 3 Absatz 4 ihres Anhangs. Daten von Partner- oder verbundenen Unternehmen werden aber nicht hinzugerechnet, wenn das Unternehmen bei seinen IT-Systemen und -Prozessen unabhängig von ihnen ist. Eine eigene Regel gilt für die Zuordnung zu einer Einrichtungsart. Dabei können nach § 28 Abs. 3 vernachlässigbare Geschäftstätigkeiten unberücksichtigt bleiben. Stand: Oktober 2026. (Quelle: gesetze-im-internet.de/bsig_2025/__28.html)

Eine betroffene Einrichtung muss sich beim BSI registrieren. § 33 Abs. 1 BSIG setzt dafür spätestens drei Monate, nachdem sie erstmals oder erneut als solche gilt. Zu melden sind unter anderem Name, Rechtsform, Kontaktdaten, öffentliche IP-Adressbereiche und Sektor. Änderungen sind nach § 33 Abs. 5 binnen zwei Wochen zu übermitteln. Stand: Oktober 2026. (Quelle: gesetze-im-internet.de/bsig_2025/__33.html)

Erhebliche Sicherheitsvorfälle müssen in drei Stufen gemeldet werden. Nach § 32 Abs. 1 BSIG kommt spätestens 24 Stunden nach Kenntnis eine frühe Erstmeldung. Spätestens nach 72 Stunden folgt eine Meldung mit erster Bewertung von Schweregrad und Auswirkungen. Spätestens einen Monat nach dieser Meldung ist eine Abschlussmeldung fällig. Auf Ersuchen des BSI kommt eine Zwischenmeldung hinzu. Dauert der Vorfall noch an, tritt nach § 32 Abs. 2 zunächst eine Fortschrittsmeldung an ihre Stelle. Stand: Oktober 2026. (Quelle: gesetze-im-internet.de/bsig_2025/__32.html)

Die Geschäftsleitung ist für die Umsetzung selbst verantwortlich. Nach § 38 Abs. 1 BSIG muss sie die Risikomanagementmaßnahmen nach § 30 umsetzen und überwachen. Verletzt sie diese Pflicht, haftet sie nach § 38 Abs. 2 der Einrichtung für einen schuldhaft verursachten Schaden. Maßgeblich sind die Regeln des Gesellschaftsrechts für die jeweilige Rechtsform. Nach § 38 Abs. 3 muss sie regelmäßig an Schulungen teilnehmen. Stand: Oktober 2026. (Quelle: gesetze-im-internet.de/bsig_2025/__38.html)

Die Maßnahmen selbst stehen in § 30 Abs. 2 BSIG. Dazu gehören Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup-Management und Notfallwiederherstellung. Weiter verlangt sind Sicherheit der Lieferkette, Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Die Einhaltung ist nach § 30 Abs. 1 zu dokumentieren. Stand: Oktober 2026. (Quelle: gesetze-im-internet.de/bsig_2025/__30.html)

Eine erste Einschätzung liefert die NIS-2-Betroffenheitsprüfung des BSI. Laut BSI-FAQ ist sie unverbindlich und selbständig durchzuführen. Eine verbindliche Mitteilung zur Betroffenheit gibt das BSI nicht. Bleiben Zweifel, empfiehlt das BSI externe juristische Unterstützung. Stand: Oktober 2026. (Quelle: bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-FAQ/NIS-2-FAQ-allgemein/FAQ-zu-NIS-2_node.html)

Die Registrierung läuft laut BSI in zwei Schritten. Zuerst braucht das Unternehmen ein ELSTER-Organisationszertifikat für „Mein Unternehmenskonto“. Dann registriert es sich im BSI-Portal. Das BSI meldet die gesetzliche Registrierungsfrist als abgelaufen. Stand: Oktober 2026. (Quelle: bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html)

Kostenlose Hilfe zu NIS-2 gibt es in NRW bei der NIS2-Anlaufstelle von eurobits e.V. in Bochum. Das Land NRW fördert sie. Sie richtet sich nach eigener Angabe vor allem an Unternehmen mit 50 bis 250 Mitarbeitenden. Ein Orientierungsgespräch klärt, ob ein Unternehmen betroffen sein könnte. Danach folgt eine kostenfreie Erstberatung. Stand: Oktober 2026. (Quelle: eurobits.de/projekte/nis2-anlaufstelle-nrw/)

Die IHK Ostwestfalen zu Bielefeld verweist auf ihrer NIS-2-Seite auf diese kostenfreie Anlaufstelle des Landes. Sie nennt außerdem den „FitNIS2-Navigator“ des Bundeswirtschaftsministeriums. Mit diesem Online-Werkzeug lassen sich Betroffenheit und vorhandene Maßnahmen prüfen. Stand: Oktober 2026. (Quelle: ihk.de/ostwestfalen/beratung-und-service/digitalisierung/nis-2-richtlinie-6643996)

Was muss ein Vertrag zur Auftragsverarbeitung regeln?

Ein Vertrag zur Auftragsverarbeitung ist nötig, wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet. Das folgt aus Art. 28 DSGVO. Nach dem Kurzpapier Nr. 13 der Datenschutzkonferenz (DSK) prüfen Sie den Dienstleister vorher auf hinreichende Garantien. Der Vertrag kann schriftlich oder elektronisch geschlossen werden. Er muss unter anderem den Einsatz von Subunternehmern und die Maßnahmen nach Art. 32 DSGVO regeln. Stand: Oktober 2026. (Quelle: datenschutzkonferenz-online.de/media/kp/dsk_kpnr_13.pdf)

Fernwartung ist laut DSK eine Auftragsverarbeitung, wenn ein Zugriff auf personenbezogene Daten nicht ausgeschlossen ist. Eine rein technische Wartung von Stromzufuhr, Kühlung oder Heizung fällt nicht darunter. Für Verstöße gegen Art. 28 DSGVO nennt die DSK Geldbußen bis 10 Millionen Euro oder bis 2 Prozent des weltweiten Jahresumsatzes. Stand: Oktober 2026. (Quelle: datenschutzkonferenz-online.de/media/kp/dsk_kpnr_13.pdf)

Welche Pflichten gelten für die Website Ihres Unternehmens?

Eine geschäftsmäßige Website braucht ein Impressum nach § 5 Digitale-Dienste-Gesetz (DDG). Pflicht sind unter anderem Name und Anschrift, bei juristischen Personen Rechtsform und Vertretungsberechtigte. Hinzu kommen eine E-Mail-Adresse, Registereintrag mit Nummer und, falls vorhanden, die Umsatzsteuer-Identifikationsnummer. Die Angaben müssen leicht erkennbar und ständig verfügbar sein. Stand: Oktober 2026. (Quelle: gesetze-im-internet.de/ddg/__5.html)

Cookies brauchen grundsätzlich eine Einwilligung. Das gilt nach § 25 Abs. 1 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) für jedes Speichern oder Auslesen von Informationen auf dem Endgerät. Ausgenommen ist nach § 25 Abs. 2, was für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Stand: Oktober 2026. (Quelle: gesetze-im-internet.de/ttdsg/__25.html)

Barrierefreiheit ist Pflicht für bestimmte Online-Angebote an Verbraucher. Das Barrierefreiheitsstärkungsgesetz (BFSG) gilt nach § 1 Abs. 3 für Dienstleistungen, die nach dem 28. Juni 2025 für Verbraucher erbracht werden. Dazu zählen Dienstleistungen im elektronischen Geschäftsverkehr. Kleinstunternehmen, die Dienstleistungen anbieten, sind nach § 3 Abs. 3 BFSG ausgenommen. Stand: Oktober 2026. (Quellen: gesetze-im-internet.de/bfsg/__1.html und gesetze-im-internet.de/bfsg/__3.html)

Einzelheiten zur Website stehen unter Unternehmenswebsite, zu Hosting und Cloud unter Internetanbieter und Hosting.

Worauf sollten Sie im Angebot oder Vertrag achten?

• Rechtliche Prüfung nur durch eine zugelassene Anwältin oder einen zugelassenen Anwalt (§ 3 RDG).
• Vertrag zur Auftragsverarbeitung mit jedem Dienstleister, der auf personenbezogene Daten zugreifen kann (Art. 28 DSGVO).
• Genehmigungsvorbehalt für Subunternehmer und beschriebene technische Maßnahmen im AV-Vertrag.
• NIS-2-Betroffenheit mit Anlage 1 und 2 sowie den Schwellen des § 28 BSIG geprüft und dokumentiert.
• Bei Betroffenheit: Registrierung, Meldewege für 24 und 72 Stunden und Schulung der Geschäftsleitung geklärt.
• Impressum nach § 5 DDG, Cookie-Einwilligung nach § 25 TDDDG und BFSG-Prüfung für Verbraucherangebote.

Wer hilft in Ostwestfalen-Lippe neutral weiter?

Die Datenschutzaufsicht für Unternehmen in NRW ist die Landesbeauftragte für Datenschutz und Informationsfreiheit (LDI NRW). Sie überwacht den Datenschutz in der Privatwirtschaft. Nach eigener Darstellung berät sie auch private Stellen, um Verstöße im Vorfeld zu vermeiden. Stand: Oktober 2026. (Quelle: ldi.nrw.de/ueber-uns/unsere-aufgaben)

Erste Orientierung zu Recht und Steuern bietet die IHK Ostwestfalen zu Bielefeld. Nach eigener Angabe richtet sie sich damit besonders an kleine und mittlere Betriebe. Sie informiert auch über Gesetzesänderungen. Stand: Oktober 2026. (Quelle: ihk.de/ostwestfalen/recht-und-steuern)

Der IT-Kompass OWL gibt einen sachlichen Überblick und ersetzt keine Rechtsberatung im Einzelfall.