Handwerk-Compliance 2026: Verbreitete Pflichten-Konstellationen für klassisches Handwerk

Welche regulatorischen Vorgaben sind im klassischen Handwerk einschlägig?

Für Handwerksbetriebe kommen vor allem vier Regelungsbereiche in Betracht; die konkrete Pflichtenlage ergibt sich aus dem jeweiligen Geschäftsmodell:

Datenschutz (DSGVO). Verarbeitung personenbezogener Daten, typischerweise Kundenkartei, Mitarbeiterdaten, Lieferantenkontakte, erfüllt regelmäßig den Anwendungsbereich nach Art. 2 DSGVO. Verbreitete Bausteine: Verarbeitungsverzeichnis (Art. 30 DSGVO), Informationspflichten (Art. 13 DSGVO), Auftragsverarbeitungsverträge (Art. 28 DSGVO) mit Dienstleistern, technisch-organisatorische Maßnahmen (Art. 32 DSGVO).

Steuerlich-buchhalterische Anforderungen (GoBD). Die GoBD (BMF-Schreiben vom 28. November 2019, zuletzt geändert durch BMF-Schreiben vom 14. Juli 2025) konkretisieren die Anforderungen an die Ordnungsmäßigkeit der Buchführung in digitaler Form. Die Aufbewahrungsfristen ergeben sich aus § 147 Abs. 3 AO: zehn Jahre für Bücher, Inventare und Jahresabschlüsse, acht Jahre für Buchungsbelege (dazu zählen Rechnungen), sechs Jahre für empfangene und abgesandte Handels- oder Geschäftsbriefe und sonstige steuerlich bedeutsame Unterlagen. Die konkrete Ausgestaltung hängt vom Buchhaltungsverfahren und der verwendeten Software ab.

Kassenrecht (TSE). § 146a AO sieht eine zertifizierte technische Sicherheitseinrichtung (TSE) für elektronische Kassensysteme mit Bareinnahmen vor. Sofern ausschließlich offene Ladenkassen oder manuelle Quittungsblöcke verwendet werden, greift die TSE-Pflicht typischerweise nicht, die Einzelfall-Prüfung obliegt dem jeweiligen Betrieb und seinem Steuerberater.

Sektor-spezifische Cyber-Anforderungen. Eine NIS2-Direktpflicht setzt in Deutschland nach § 28 BSIG regelmäßig sowohl eine Sektor-Zugehörigkeit nach Anlage 1 oder 2 BSIG als auch das Erreichen der Größenschwelle voraus: mindestens 50 Mitarbeitende oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. EUR. Das klassische Handwerk ist in diesen Sektoren verbreitet nicht aufgeführt, eine Einzelfall-Prüfung bleibt geboten, insbesondere bei Sub-Sektoren mit Querbezug zu Energieversorgung, Wasser oder Verkehr.

Welche Konstellation passt typisch zum klassischen Handwerk?

Für klassische Handwerksbetriebe mit 5 bis 50 Mitarbeitenden ergibt sich häufig die folgende Konstellation; eine abschließende Einordnung hängt vom Einzelfall ab:

• DSGVO-Verantwortlicher mit überschaubarem Verarbeitungsspektrum: Kundenstammdaten, Auftragsunterlagen, ggf. Foto-Dokumentation von Baustellen, Mitarbeiter-Personalakten, Lohnabrechnung.
• GoBD-Pflichten durch Rechnungstellung, Belegwesen, Online-Banking, Lohnbuchhaltung, typischerweise abgebildet in Cloud-Buchhaltungs-Software (sevDesk, lexoffice, DATEV) oder über den Steuerberater.
• Keine direkte NIS2-Pflicht, sofern die Sektor-Kriterien nach Anlage 1 oder 2 BSIG nicht erfüllt sind oder die Größenschwelle nicht erreicht wird (§ 28 BSIG). Indirekte Lieferketten-Anforderungen über große Auftraggeber sind in Einzelfällen verbreitet.
• Pflichten gegenüber Cyber-Versicherern: aktuelle Police-Bedingungen verlangen häufig Mindeststandards wie Multi-Faktor-Authentifizierung und dokumentierte Backups, eine Vertragspflicht, keine gesetzliche Pflicht.

Welcher Aufbau-Rahmen ist verbreitet?

Als Orientierung bietet sich ein Aufbau in drei Bausteinen an. Ob er im konkreten Fall passt, ist im Einzelfall zu beurteilen.

Erster Baustein, Verarbeitungsverzeichnis und AVV-Bestand. Ein strukturiertes Verzeichnis nach Art. 30 DSGVO bildet die Grundlage der Datenschutz-Dokumentation. Üblich ist eine Inventur der externen Dienstleister mit Datenzugriff (Lohnbüro, Cloud-E-Mail-Anbieter, Buchhaltungssoftware, IT-Dienstleister) und der Abschluss von AVVs nach Art. 28 DSGVO mit diesen Auftragsverarbeitern. Ausnahme Steuerberater: Er handelt nach § 11 Abs. 2 StBerG als eigenständiger Verantwortlicher, ein AVV ist mit ihm nicht abzuschließen.

Zweiter Baustein, Pflicht-Texte auf der Webseite. Sofern eine Unternehmens-Webseite betrieben wird, ist eine Datenschutzerklärung nach Art. 13 DSGVO einschlägig, gegebenenfalls ein Cookie-Consent-Mechanismus nach § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz), sowie ein Impressum nach § 5 DDG. Die konkrete Ausgestaltung hängt vom verwendeten Tracking und den eingebundenen Drittanbietern ab.

Dritter Baustein, IT-Basis-Maßnahmen. Maßnahmen, die in Vertragsbedingungen von Cyber-Versicherern verbreitet auftreten: Multi-Faktor-Authentifizierung für sensible Konten (E-Mail, Cloud, Banking), regelmäßige Backups mit dokumentiertem Wiederherstellungs-Test, Mitarbeiter-Sensibilisierung. Diese Maßnahmen sind in vielen Fällen zugleich Bestandteil einer angemessenen technisch-organisatorischen Maßnahmen-Dokumentation nach Art. 32 DSGVO.

Welche Konstellationen erfordern abweichendes Vorgehen?

In einer Reihe von Konstellationen reicht der pauschale Orientierungs-Rahmen für klassisches Handwerk nicht aus und es ist eine erweiterte fachliche Begleitung sinnvoll:

• Subunternehmer-Tätigkeit für KRITIS-Sektoren: Sofern als Sub-Lieferant für Energie-, Wasser-, Gesundheits- oder Verkehrs-Betreiber gearbeitet wird, können vertragliche Cyber-Sicherheits-Anforderungen aus der Lieferketten-Pflicht des Auftraggebers (§ 30 Abs. 2 Nr. 4 BSIG, Art. 21 Abs. 2 lit. d NIS2-Richtlinie) auf das eigene Unternehmen übertragen werden. Die konkrete Anforderungstiefe ergibt sich aus dem jeweiligen Vertrag.

• Verarbeitung besonderer Kategorien: Sofern Gesundheitsdaten verarbeitet werden (etwa im Sanitäts- oder Orthopädie-Handwerk, im Hörakustik-Handwerk, in der Augenoptik), greift Art. 9 DSGVO mit deutlich erweiterten Anforderungen. Eine Datenschutz-Folgenabschätzung ist nach Art. 35 Abs. 3 lit. b DSGVO bei umfangreicher Verarbeitung besonderer Kategorien Pflicht; nach Erwägungsgrund 91 gilt die Verarbeitung von Patientendaten durch einen einzelnen Angehörigen eines Gesundheitsberufs nicht als umfangreich. Für kleine Betriebe ist die DSFA-Pflicht daher im Einzelfall zu prüfen.
• Bareinnahmen über elektronische Kassen: TSE-Pflicht nach § 146a AO und Kassensicherungsverordnung (KassenSichV) sind dann typischerweise einschlägig und sollten mit dem Steuerberater abgestimmt werden.
• Werks- oder Industrie-Arbeit mit OT-Bezug: Sofern eigene Produktionsanlagen mit speicherprogrammierbarer Steuerung betrieben werden, kann sich die Pflichtenlage in Richtung produzierendes Gewerbe verschieben, eine separate Einordnung wird empfohlen.
• Größenwachstum über NIS2-Schwellen: Eine Schwellen-Überprüfung ist spätestens angezeigt, sobald 50 Mitarbeitende erreicht werden oder Jahresumsatz und Jahresbilanzsumme jeweils 10 Mio. EUR übersteigen (§ 28 Abs. 2 BSIG).

In diesen Konstellationen ist eine pauschale Orientierungshilfe unzureichend. Eine Einzelfall-Prüfung durch Datenschutzbeauftragte, Handwerkskammer, Steuerberater oder anwaltliche Beratung wird typischerweise empfohlen.

Nächster Schritt

Eine erste Standort-Bestimmung zur NIS2-Betroffenheit liefert der NIS2-Check, ohne Anspruch auf Vollständigkeit oder Verbindlichkeit.

Für eine vertiefte Auseinandersetzung mit der indirekten Lieferketten-Betroffenheit: NIS2-Lieferanten: Bin ich indirekt betroffen?