Handwerk-Compliance 2026: Verbreitete Pflichten-Konstellationen für klassisches Handwerk

Welche regulatorischen Vorgaben sind im klassischen Handwerk einschlägig?

Vier Regelungsbereiche treten in der KMU-Beratungspraxis bei Handwerksbetrieben verbreitet auf, die konkrete Pflichtenlage ergibt sich aus dem jeweiligen Geschäftsmodell:

Datenschutz (DSGVO). Verarbeitung personenbezogener Daten, typischerweise Kundenkartei, Mitarbeiterdaten, Lieferantenkontakte, erfüllt regelmäßig den Anwendungsbereich nach Art. 2 DSGVO. Verbreitete Bausteine: Verarbeitungsverzeichnis (Art. 30 DSGVO), Informationspflichten (Art. 13 DSGVO), Auftragsverarbeitungsverträge (Art. 28 DSGVO) mit Dienstleistern, technisch-organisatorische Maßnahmen (Art. 32 DSGVO).

Detail

Steuerlich-buchhalterische Anforderungen (GoBD). Das BMF-Schreiben vom 28. November 2019 konkretisiert die Anforderungen an die Ordnungsmäßigkeit der Buchführung in digitaler Form. Aufbewahrungsfristen ergeben sich aus § 147 AO (typischerweise zehn Jahre für Rechnungen, Belege und steuerlich relevante Geschäftspapiere). Die konkrete Ausgestaltung hängt vom Buchhaltungsverfahren und der verwendeten Software ab.

Kassenrecht (TSE). § 146a AO sieht eine zertifizierte technische Sicherheitseinrichtung (TSE) für elektronische Kassensysteme mit Bareinnahmen vor. Sofern ausschließlich offene Ladenkassen oder manuelle Quittungsblöcke verwendet werden, greift die TSE-Pflicht typischerweise nicht, die Einzelfall-Prüfung obliegt dem jeweiligen Betrieb und seinem Steuerberater.

Sektor-spezifische Cyber-Anforderungen. Eine NIS2-Direktpflicht (Richtlinie (EU) 2022/2555) setzt regelmäßig sowohl eine Sektor-Zugehörigkeit nach Anhang I oder II als auch das Erreichen der Größenschwelle (50 Mitarbeitende bzw. 10 Mio. EUR Umsatz, mittlere Einrichtung) voraus. Das klassische Handwerk ist in diesen Sektoren verbreitet nicht aufgeführt, eine Einzelfall-Prüfung bleibt geboten, insbesondere bei Sub-Sektoren mit Querbezug zu Energieversorgung, Wasser oder Verkehr.

Welche Konstellation passt typisch zum klassischen Handwerk?

In der KMU-Beratungspraxis ist die folgende Konstellation für klassische Handwerksbetriebe mit 5 bis 50 Mitarbeitenden verbreitet, eine abschließende Einordnung hängt jedoch vom Einzelfall ab:

Detail

• DSGVO-Verantwortlicher mit überschaubarem Verarbeitungsspektrum: Kundenstammdaten, Auftragsunterlagen, ggf. Foto-Dokumentation von Baustellen, Mitarbeiter-Personalakten, Lohnabrechnung.
• GoBD-Pflichten durch Rechnungstellung, Belegwesen, Online-Banking, Lohnbuchhaltung, typischerweise abgebildet in Cloud-Buchhaltungs-Software (sevDesk, lexoffice, DATEV) oder über den Steuerberater.
• Keine direkte NIS2-Pflicht, sofern die Sektor-Kriterien nach NIS2 Anhang I/II nicht erfüllt sind und die Größenschwelle nicht erreicht wird (Art. 2 NIS2-Richtlinie). Indirekte Lieferketten-Anforderungen über große Auftraggeber sind in Einzelfällen verbreitet.
• Pflichten gegenüber Cyber-Versicherern: aktuelle Police-Bedingungen verlangen häufig Mindeststandards wie Multi-Faktor-Authentifizierung und dokumentierte Backups, eine Vertragspflicht, keine gesetzliche Pflicht.

Welcher Aufbau-Rahmen ist verbreitet?

In der KMU-Beratungspraxis hat sich für Handwerksbetriebe ein dreistufiger Orientierungs-Rahmen etabliert. Ob er im konkreten Fall passt, ist im Einzelfall zu beurteilen.

Erster Baustein, Verarbeitungsverzeichnis und AVV-Bestand. Ein strukturiertes Verzeichnis nach Art. 30 DSGVO bildet die Grundlage der Datenschutz-Dokumentation. Üblich ist eine Inventur der externen Dienstleister mit Datenzugriff (Steuerberater, Lohnbüro, Cloud-E-Mail-Anbieter, Buchhaltungssoftware, IT-Dienstleister) und der Abschluss von AVVs nach Art. 28 DSGVO mit diesen Verarbeitern.

Detail

Zweiter Baustein, Pflicht-Texte auf der Webseite. Sofern eine Unternehmens-Webseite betrieben wird, ist eine Datenschutzerklärung nach Art. 13 DSGVO einschlägig, gegebenenfalls ein Cookie-Consent-Mechanismus nach § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz), sowie ein Impressum nach § 5 DDG. Die konkrete Ausgestaltung hängt vom verwendeten Tracking und den eingebundenen Drittanbietern ab.

Dritter Baustein, IT-Basis-Maßnahmen. Maßnahmen, die in Vertragsbedingungen von Cyber-Versicherern verbreitet auftreten: Multi-Faktor-Authentifizierung für sensible Konten (E-Mail, Cloud, Banking), regelmäßige Backups mit dokumentiertem Wiederherstellungs-Test, Mitarbeiter-Sensibilisierung. Diese Maßnahmen sind in vielen Fällen zugleich Bestandteil einer angemessenen technisch-organisatorischen Maßnahmen-Dokumentation nach Art. 32 DSGVO.

Welche Konstellationen erfordern abweichendes Vorgehen?

In einer Reihe von Konstellationen reicht der pauschale Orientierungs-Rahmen für klassisches Handwerk nicht aus und es ist eine erweiterte fachliche Begleitung sinnvoll:

• Subunternehmer-Tätigkeit für KRITIS-Sektoren: Sofern als Sub-Lieferant für Energie-, Wasser-, Gesundheits- oder Verkehrs-Betreiber gearbeitet wird, können vertragliche Cyber-Sicherheits-Anforderungen aus der Lieferketten-Klausel des Auftraggebers (Art. 21 Abs. 2 lit. d NIS2-Richtlinie) auf das eigene Unternehmen übertragen werden. Die konkrete Anforderungstiefe ergibt sich aus dem jeweiligen Vertrag.

Detail

• Verarbeitung besonderer Kategorien: Sofern Gesundheitsdaten verarbeitet werden (etwa im Sanitäts- oder Orthopädie-Handwerk, im Hörakustik-Handwerk, in der Augenoptik), greift Art. 9 DSGVO mit deutlich erweiterten Anforderungen, typischerweise einschließlich einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO.
• Bareinnahmen über elektronische Kassen: TSE-Pflicht nach § 146a AO und Kassensicherungsverordnung (KassenSichV) sind dann typischerweise einschlägig und sollten mit dem Steuerberater abgestimmt werden.
• Werks- oder Industrie-Arbeit mit OT-Bezug: Sofern eigene Produktionsanlagen mit speicherprogrammierbarer Steuerung betrieben werden, kann sich die Pflichtenlage in Richtung produzierendes Gewerbe verschieben, eine separate Einordnung wird empfohlen.
• Größenwachstum über NIS2-Schwellen: Eine Schwellen-Überprüfung wird typischerweise empfohlen, sobald 50 Mitarbeitende und 10 Mio. EUR Umsatz erreicht werden.

In diesen Konstellationen ist eine pauschale Orientierungshilfe unzureichend. Eine Einzelfall-Prüfung durch Datenschutzbeauftragte, Handwerkskammer, Steuerberater oder anwaltliche Beratung wird typischerweise empfohlen.

Nächster Schritt

Eine erste Standort-Bestimmung zur NIS2-Betroffenheit liefert der NIS2-Check, ohne Anspruch auf Vollständigkeit oder Verbindlichkeit.

Für eine vertiefte Auseinandersetzung mit der indirekten Lieferketten-Betroffenheit: NIS2-Lieferanten: Bin ich indirekt betroffen?