Compliance-Beauftragten-Copilot für kleine Unternehmen (DSGVO, Geldwäsche, Berufsrecht)

Ein Hotel, ein Pflegedienst, ein Ingenieurbüro oder eine Steuerkanzlei mit 10–50 Beschäftigten hat dieselben Dokumentationspflichten wie ein Konzern, aber keine Compliance-Abteilung. Die Inhaberin bzw. der Inhaber oder ein externer Datenschutzbeauftragter (DSB) pflegt ein VVT, das veraltet ist, ein Löschkonzept, das niemand anwendet, und eine Geldwäsche-Risikoanalyse, die nur einmal geschrieben wurde. Ein Copilot hält diese Dokumente lebendig: Er entwirft und aktualisiert sie anhand der realen Systeme und Verträge des Betriebs, bewertet Vorfälle nach der 72-Stunden-Regel und erinnert die Inhaberin bzw. den Inhaber an fällige Prüfungen. Urteil und Unterschrift bleiben bei der verantwortlichen Person. Dies ist das Gegenstück für kleine Betriebe zu SEC-018, das auf Datenschutzplattformen für Großunternehmen zielt; SEC-018 zu erweitern, statt einen eigenen Eintrag zu führen, ist eine Option beim Zuschnitt des Katalogs.

Problem & Nutzen

• Heute: Compliance ist ein jährliches Aufräumen vor einer Prüfung, einem Kammerfragebogen oder einer Kundenanfrage. Die Dokumente liegen in Word und Excel, ein externer DSB kommt wenige Stunden pro Jahr vorbei, und Vorfälle werden aus dem Gedächtnis beurteilt. Der wöchentliche Zeitaufwand ist gering (die Schattenprozess-Erhebung nennt etwa 2–4 Stunden pro Woche je Betriebstyp: Hotel 3 h, Pflegedienst 4 h, Steuerkanzlei 3 h, Ingenieurbüro 2 h), aber das Risiko ist asymmetrisch: Eine verpasste 72-Stunden-Meldung oder eine Lücke in der Geldwäsche-Dokumentation ist teuer.
• KI-Nutzen: VVT-Zeilen aus einer Systemliste und aus Verträgen entwerfen, Aufbewahrungsfristen aus einem Katalog der Rechtsgrundlagen vorschlagen, einen Freitext zu einem Vorfall in eine strukturierte Bewertung überführen, Pflichten aus Kammerrundschreiben in einen Prüfkalender übernehmen.
• Wer es braucht: Hotel (Gästedaten, Löschfristen), Pflegedienst (Gesundheitsdaten, Vorfälle), Steuerkanzlei (DSGVO, Geldwäsche, Berufsrecht), Ingenieurbüro (DSGVO).
• Es gibt keine belegte Zeitersparnis-Zahl; die Spanne für die Einsparung im Front Matter ist eine Planungsannahme, die Sie an Ihrer eigenen Ausgangslage messen sollten.

Varianten

• Gastgewerbe: Gästemeldung, Buchungsportale, Videoüberwachung, Löschfristen für Gästedaten.
• Pflege und Gesundheitspraxen: besondere Kategorien personenbezogener Daten (Art. 9), Umgang mit Vorfällen und Datenpannen, Pflicht zur Benennung eines DSB.
• Steuerberatende, Wirtschaftsprüfende, Anwaltschaft, Notariat: Geldwäsche-Risikoanalyse (GwG), Mandantensorgfaltspflichten, Berufsgeheimnis und Kammerregeln zusätzlich zur DSGVO.
• Ingenieurbüros und Handwerk: Beschäftigten- und Projektdaten, AVVs mit Lieferanten, ein schlankes VVT.
• Bereitstellungsmodelle: Werkzeug, das die Inhaberin bzw. der Inhaber allein nutzt, oder von einem externen DSB, der 20–100 kleine Kunden betreut.

So funktioniert es

1. Eingaben (Systemliste, Verträge, Datenschutzhinweis, GwG-Mandantenakten, Vorfallsmeldung, Rundschreiben)
2. Bestandsaufnahme und Klassifizierung (welche Verarbeitung, welche Datenkategorien, welche Rechtsgrundlage)
3. Dokumentenentwürfe (VVT-Eintrag, Löschplan, Geldwäsche-Risikoanalyse, TOM-Zusammenfassung) [Inhaber:in/DSB prüft]
4. Vorfallsaufnahme
5. Bewertung der Datenpanne (Risiko für Personen, Auslöser nach Art. 33/34)
6. Meldeentwurf [DSB/Inhaber:in entscheidet]
7. Prüfkalender (jährliche VVT-Prüfung, Aktualisierung der Risikoanalyse, AVV-Verlängerungen, Schulungsnachweis)
8. Erinnerungen + Status-Dashboard + Prüfpfad der KI-Entwürfe im Vergleich zu den freigegebenen Fassungen

• Entwurf: Ein LLM füllt strukturierte Vorlagen aus Systemmetadaten und hochgeladenen Verträgen; unbekannte Felder bleiben markiert und werden nie erfunden.
• Abruf (Retrieval): Gesetzestexte, Hinweise der DSK und der Kammern sowie die eigenen Dokumente des Betriebs in einem kleinen Index, sodass jeder Vorschlag seine Quelle nennt.
• Bewertungsschritt: Die Bewertung der Datenpanne folgt einem festen Entscheidungsbaum (Risikofaktoren aus den EDPB- Leitlinien 9/2022); das LLM strukturiert die Fakten, ein Mensch entscheidet über die Meldung.
• Mensch-in-der-Schleife (Human-in-the-Loop): Rechtsgrundlage, Aufbewahrungsentscheidungen, Geldwäsche-Risikoeinstufung der Mandanten, Meldung einer Datenpanne an die Behörde und jede Unterschrift.

Datenaufbereitung

Welche Daten: Liste der IT-Systeme und SaaS-Werkzeuge, Dienstleisterverträge (AVV), das aktuelle VVT und der Datenschutzhinweis, ein Verzeichnis der Papierakten, die Geldwäsche-Risikoanalyse und Mandanteneinstufungen, das Vorfallsprotokoll und die Rundschreiben der Kammer.

Wo sie liegen: Word/Excel auf einem Dateiserver oder in Nextcloud, das PMS im Hotel, die Pflegesoftware (z. B. ein Pflege-Dokumentationssystem), DATEV und Kanzleisoftware in Steuerkanzleien, die eigenen Ordner des externen DSB und E-Mail.

Typische Lücken: gar keine Systemliste, fehlende oder nicht unterzeichnete AVVs, unbekannte oder widersprüchliche Aufbewahrungsfristen (Steuerrecht gegen DSGVO-Löschung), Geldwäsche-Akten ohne aktuelle Risikoanalyse, niemand, der das Thema verantwortet.

Aufbereitungsschritte: 1. Alle Systeme, Werkzeuge und Prozesse auflisten, die personenbezogene Daten berühren, und jeweils eine verantwortliche Person benennen (PREP-001, PREP-004). 2. AVVs, Datenschutzhinweis und ein vorhandenes VVT sammeln; Papierverträge scannen (DOC-018 zum Schwärzen von Beispielen). 3. Die Aufbewahrungsregeln aufschreiben, die der Betrieb bereits befolgt (HGB/AO 6–10 Jahre, Personalakten, Gästedaten). 4. Für Betriebe mit Geldwäsche-Pflichten: Mandantenliste mit Risikoklasse und Datum der letzten Prüfung aus der Kanzleisoftware exportieren. 5. Den Zugriff auf den Compliance-Ordner beschränken (PREP-023), da er Details zu Vorfällen enthält.

Werkzeuge: Nextcloud- oder SharePoint-Ordner, eine Inventarliste in einer Tabellenkalkulation, ein OCR-Werkzeug für Scans. Grober Aufwandsanteil: etwa 40 Prozent Bestandsaufnahme und Bereinigung, 60 Prozent Konfiguration und Prüfung.

Umsetzungswege

Welcher Weg für wen

• KMU — Weg A: Der Prozess ist standardisiert, das Volumen winzig und niemand hat Entwicklungskenntnisse; ein DSB-geführtes SaaS-Werkzeug oder eine DSB-Dienstleistung mit Copilot passt. Eigenentwicklungen (B, C) lohnen sich nur für Beratende, die viele Kunden betreuen.

Weg A — Kaufen (empfohlen)

• Datenschutz- und Compliance-SaaS für KMU (DE/EU): DataGuard, heyData, Caralegal, ISMS-/DSMS- Werkzeuge von 2B Advice und Produkte im Stil von Proteus-Cortex, Werkzeuge vom Typ Privacy-Cockpit, Datenschutz-Management-Module von IT-Dienstleistern. Viele ergänzen inzwischen einen KI-Assistenten für VVT- Entwürfe, Richtlinientexte und Vorfalls-Checklisten; testen Sie die Versprechen mit Ihren eigenen Daten.
• Geldwäsche: GwG-Module in der Berufssoftware (Add-ons zu DATEV Kanzlei-Rechnungswesen, Vorlagen und Fragebögen der Kammern) und spezialisierte KYC-Portale; KI ist meist nur Entwurfshilfe.
• Allgemeine Assistenten: Microsoft 365 Copilot oder Gemini für Workspace mit einer geprüften Prompt- Bibliothek und Checklisten, für Betriebe, die nur Entwürfe brauchen.
• Prüfen: Hosting in der EU, AVV mit dem Anbieter, Export des VVT in einem offenen Format, ob der Anbieter erklärt, dass rechtliche Inhalte von Juristen geprüft werden.
• A wählen, wenn: unter ~50 Beschäftigten, weniger als ~30 Systeme, keine Entwickler.

Weg B — Auf Cloud-KI-Diensten aufbauen

• LLM über Endpunkte in EU-Regionen (Mistral, Azure OpenAI EU, Claude oder Gemini über EU-Regionen) mit Vorlagen für VVT, Aufbewahrung und Bewertung von Datenpannen, n8n/Power Automate für den Kalender.
• Sinnvoll für einen DSB oder eine Beratung, die viele kleine Betriebe betreut und einheitliche Ergebnisse will.

Weg C — Selbst betreiben (Open Source)

• Open-Weight-Modell mit 8–30B (Mistral Small, Qwen) auf HW2 mit einem kleinen Vektorindex über Gesetze und Hinweise; Nextcloud Assistant als Oberfläche. Lohnt sich nur, wenn Vorfallsdaten (Gesundheitsdaten in der Pflege) die Räumlichkeiten nicht verlassen dürfen.

Weg D — Eigenes Training

Nicht gerechtfertigt; Vorlagen und Retrieval liefern fast den gesamten Nutzen.

Stand der Technik (2026)

• VVT-Einträge, Aufbewahrungstabellen und Richtlinientexte aus strukturierten Eingaben zu entwerfen ist machbar und weit verbreitet; Assistenten in DSB-Werkzeugen sind neu und in der Qualität uneinheitlich.
• Schwachstellen: Bei der rechtlichen Beurteilung (ist die Rechtsgrundlage tragfähig, ist eine Panne meldepflichtig) klingen LLMs weiterhin sicher und irren sich; die Geldwäsche-Risikobeurteilung für einen bestimmten Mandanten ist nicht delegierbar.
• Bewegliche regulatorische Teile: Die Auslegungshinweise der BStBK zum GwG wurden 2026 aktualisiert, und die EU-Geldwäschevorschriften (AMLA-Leitlinien zur Risikoanalyse) werden gerade finalisiert, sodass Vorlagen schnell veralten; der Copilot muss anzeigen, auf welcher Fassung einer Vorschrift ein Entwurf beruht.
• Die automatische Übermittlung an Behörden (Meldeportale der Datenschutzaufsicht, goAML/FIU) ist keine KI-Aufgabe und bleibt manuell oder in zertifizierter Software.

Gemeinsame Bausteine & Kombinationen

• SEC-018 teilt die VVT- und Betroffenenanfragen-Logik im Großunternehmensmaßstab; SEC-009 deckt ISO-27001-/NIS2- Nachweise für Betriebe ab, die darunter fallen; SEC-017 ergänzt Datenerkennung; SEC-022 das Register nach der KI-Verordnung, das dieselbe verantwortliche Person führen muss; SEC-024 den Schulungsnachweis der Beschäftigten.
• KNOW-009 / KNOW-014: Derselbe Retrieval-Index über Regeln und eigene Verfahren bedient Qualitätshandbuch- und Organisationsgedächtnis-Anwendungen.
• LANG-040: Die Vorfallsanalyse für Pflegedienste speist die Aufnahme von Datenpannen.
• Ein kleiner LLM-Server und ein Vektorindex können all das für einen einzelnen Betrieb bedienen.

Aufwand, Kosten & Kennzahlen

• Weg A: Tage bis zur Einrichtung, 1–2 Monate, bis VVT und Löschkonzept in einem sauberen Zustand sind; SaaS-Preise im niedrigen dreistelligen Eurobereich pro Monat (Schätzung, auf Angebotsbasis).
• Weg B/C: Wochen an Entwicklungsaufwand plus Prüfung der Vorlagen durch Juristen oder den DSB.
• Kennzahlen: VVT-Abdeckung (erfasste/bekannte Systeme), Tage seit der letzten Überprüfung, Anteil der Dienstleister mit gültigem AVV, Zeit vom Vorfall bis zur Entscheidung über die Meldung (Ziel deutlich unter 72 h), Alter der Geldwäsche- Risikoanalyse, überfällige Prüfungen.

Menschen & Veränderung

Früh einbinden: die Inhaberin bzw. der Inhaber/die Geschäftsführung (verantwortlich), der DSB (intern oder extern) als Prozess- verantwortlicher, die IT für Systemlisten und die Bereichsleitungen (Empfang, Pflegedienstleitung, Partner) für ihre Prozesse. Ein DSB ist nach § 38 BDSG verpflichtend, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind oder eine DSFA erforderlich ist [4].

Betriebsrat: abhängig vom Einzelfall. Das Werkzeug bildet Systeme und Dokumente ab, nicht das Verhalten der Beschäftigten. Die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG wird nur relevant, wenn Vorfallsprotokolle oder Schulungsnachweise je Beschäftigtem ausgewertet werden; § 90 Abs. 1 Nr. 3 BetrVG verlangt dennoch rechtzeitige Unterrichtung. Die meisten kleinen Betriebe haben keinen Betriebsrat.

Datenschutz: Die Vorfallsakten enthalten sensible Details; schließen Sie mit dem Anbieter des Werkzeugs einen AVV und halten Sie den Zugriff eng.

KI-Kompetenz: Art. 4 der KI-Verordnung (AI Act; gilt seit 2.2.2025, laut Berichten durch das KI-Omnibus 2026 abgeschwächt - aktuellen Wortlaut prüfen) verlangt KI-Kompetenzmaßnahmen für Beschäftigte, die das Werkzeug nutzen; eine einstündige Einführung zur Prüfung von KI-Entwürfen genügt.

Pilot: Beginnen Sie mit dem VVT für drei Kernprozesse, dann dem Löschplan, dann der Vorfallsbewertung als Probelauf an vergangenen Fällen. Benennen Sie eine verantwortliche Person. Typische Bedenken: Haftung (“Wer haftet, wenn der Entwurf falsch ist?” – die unterzeichnende Person) und die Angst vor Überdokumentation.

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): minimales Risiko; keine Kategorie nach Anhang III. Die Pflicht zur KI-Kompetenz (Art. 4) gilt.
• DSGVO: Art. 30 VVT (die Ausnahme für Unternehmen unter 250 Beschäftigten gilt nicht bei nicht nur gelegentlicher Verarbeitung oder bei besonderen Datenkategorien, was in der Praxis die meisten Betriebe betrifft) [3], Art. 33/34 Meldung von Datenpannen binnen 72 Stunden [2], Art. 28 für den Anbieter des Werkzeugs, Art. 5 Abs. 2 Rechenschaftspflicht.
• GwG: § 5 verlangt eine dokumentierte, regelmäßig überprüfte Risikoanalyse, die der Aufsicht auf Verlangen zur Verfügung steht [1]; Steuerberatende werden von ihrer Steuerberaterkammer beaufsichtigt.
• Berufsgeheimnis (§ 57 StBerG, § 203 StGB, § 43a BRAO): Mandantendaten an ein LLM zu senden erfordert einen rechtmäßigen Aufbau; nutzen Sie einen EU-Endpunkt mit Verschwiegenheitsverpflichtungen.
• Halluziniertes Recht: Entwürfe müssen das verwendete Gesetz oder den Hinweis nennen; akzeptieren Sie niemals rechtliche Aussagen ohne Quelle.
• Falsche Sicherheit: Ein vollständig aussehendes Dokument ist keine Compliance; die Realität muss zum Papier passen.

Erste Schritte

1. Ausgangslage messen: Alter des VVT, Zahl fehlender AVVs, Datum der letzten Geldwäsche-Risikoanalyse, offene Vorfälle.
2. Die Systemliste schreiben; 2 Werkzeuge mit Ihren eigenen anonymisierten Eingaben testen.
3. Den Copilot das VVT für drei Prozesse entwerfen lassen; vom DSB prüfen lassen und den Aufwand vergleichen.
4. Zwei vergangene Vorfälle durch die Bewertung der Datenpanne laufen lassen.
5. Den Prüfkalender (jährliches VVT, Geldwäsche-Analyse, AVV-Verlängerungen) und eine benannte verantwortliche Person festlegen.

Quellen

1. GwG section 5 (Risikoanalyse: documentation, review, supervisor access) - https://www.gesetze-im-internet.de/gwg_2017/__5.html
2. EDPB - Guidelines 9/2022 on personal data breach notification under GDPR (v2.0, 2023) - https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-92022-personal-data-breach-notification-under_en
3. GDPR Art. 30 (German text, RoPA contents and exemption in para. 5) - https://gdpr-text.com/de/read/article-30/
4. BDSG section 38 (DPO appointment, 20 persons) - https://www.gesetze-im-internet.de/bdsg_2018/__38.html
5. BStBK - Auslegungs- und Anwendungshinweise zum Geldwaeschegesetz (69 pages) - https://www.bstbk.de/downloads/bstbk/recht-und-berufsrecht/fachinfos/BStBK-Hinweise_Auslegungs-_und_Anwendungshinweise_Geldwaeschegesetz.pdf
6. TLfDI Thueringen - Hinweise zum Verarbeitungsverzeichnis - https://www.tlfdi.de/fileadmin/tlfdi/datenschutz/hinweise_verarbeitungsverzeichnis.pdf