S+P Seminar N01 · Information Security
Ein Tag. Drei Werkzeuge für deinen Datenschutz.
Dein Praxisseminar zu KI-Assistenten, Cloud-Verträgen, IT-Risikoanalyse und den Pflichten des Datenschutzbeauftragten. Du nimmst drei Werkzeuge mit: KI-Einsatzprüfung, Schutzbedarfsanalyse und Datenschutz-Pflichtenplan.
Das ausführliche Programm
01
02
03
Du führst KI-Tools oder Cloud-Dienste ein, trägst als Geschäftsleitung die Verantwortung für den Datenschutz oder bist neu als Datenschutzbeauftragte:r bestellt.
Spezifische Vorkenntnisse brauchst du nicht. Hilfreich ist ein KI-Tool oder Cloud-Dienst aus deinem Unternehmen, an dem du die Prüfung durchspielst.
Jeder Termin arbeitet mit dem am Seminartag geltenden Rechtsstand – laufende Gesetzgebungsverfahren verfolgen wir bis zum Seminartag.
Regulatorisches Update · Stand 01.10.2026
Sechs relevante Änderungen für KI-Einsatz, Cloud-Verträge, Informationssicherheit und Aufsichtsverfahren – im Seminar in den drei Blöcken eingeordnet, mit klarer Trennung von bisheriger und neuer Regelung.
| Bisherige Regelung | Neue Regelung |
|---|---|
| NIS-2: Informationssicherheit nach dem BSIGPflichten zu Sicherheitsmaßnahmen, Meldungen und Nachweisen trafen nach dem BSIG a. F. vor allem Betreiber Kritischer Infrastrukturen (§ 8a BSIG a. F.) und Anbieter digitaler Dienste (§ 8c BSIG a. F.). | Seit 06.12.2025Das NIS-2-Umsetzungsgesetz hat das BSIG neu gefasst und den Kreis der erfassten Unternehmen deutlich erweitert (§ 28 BSIG mit Anlagen 1 und 2). Besonders wichtige und wichtige Einrichtungen ergreifen Risikomanagementmaßnahmen (§ 30 BSIG), melden erhebliche Sicherheitsvorfälle (§ 32 BSIG) und registrieren sich beim BSI innerhalb von drei Monaten nach Eintritt der Pflicht (§ 33 BSIG). Die Geschäftsleitung billigt und überwacht die Maßnahmen und nimmt regelmäßig an Schulungen teil (§ 38 BSIG). |
| KI-Verordnung: Kompetenz, Transparenz, HochrisikoSeit 02.02.2025 mussten Anbieter und Betreiber nach Art. 4 VO (EU) 2024/1689 nach besten Kräften sicherstellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Die Pflichten für Hochrisiko-KI-Systeme sollten ab 02.08.2026 gelten. | Seit 27.07.2026 · gestaffelte FristenNach Art. 4 i. d. F. der VO (EU) 2026/1744 unterstützen Anbieter und Betreiber die Entwicklung der KI-Kompetenz ihres Personals; ein bestimmtes Kompetenzniveau müssen sie nicht garantieren. Die Transparenzpflichten nach Art. 50 gelten seit 02.08.2026. Die Pflichten für Hochrisiko-KI-Systeme nach Anhang III gelten ab 02.12.2027, für Systeme in Produkten nach Anhang I ab 02.08.2028. Die DSGVO bleibt beim KI-Einsatz unberührt anwendbar (Art. 2 Abs. 7 VO (EU) 2024/1689). |
| Pseudonymisierte Daten bei der WeitergabeUmstritten war, ob pseudonymisierte Daten auch für einen Empfänger personenbezogen sind, der die Personen nicht re-identifizieren kann. Das EuG hatte mit Urteil vom 26.04.2023 (T-557/20) allein auf die Sicht des Empfängers abgestellt. | Seit 04.09.2025Der EuGH (Urteil vom 04.09.2025, C-413/23 P, EDSB/SRB, zur VO (EU) 2018/1725, die parallel zur DSGVO auszulegen ist) hat klargestellt: Pseudonymisierte Daten sind nicht für jede Person personenbezogen; es kommt darauf an, ob der jeweilige Empfänger die Personen vernünftigerweise identifizieren kann. Für die Information der Betroffenen über Empfänger zählt dagegen die Sicht des Verantwortlichen bei der Erhebung. Weitergaben an Dienstleister gehören deshalb schon in die Datenschutzhinweise. |
| Cloud-Auslagerung im FinanzsektorDie ESMA-Leitlinien zur Auslagerung an Cloud-Anbieter von 2021 galten für die von ihnen erfassten Finanzmarktteilnehmer, darunter Wertpapierfirmen, Verwaltungsgesellschaften und Verwahrstellen. | Seit 17.01.2025Für Finanzunternehmen nach Art. 2 VO (EU) 2022/2554 (DORA) gelten die Vorgaben zum IKT-Drittparteienrisiko nach Art. 28 bis 30 DORA; die früheren ESMA-Leitlinien finden auf sie keine Anwendung mehr. Die überarbeiteten ESMA-Leitlinien (ESMA65-294529287-4737, veröffentlicht am 30.09.2025) richten sich nur noch an Verwahrstellen nach AIFM- und OGAW-Richtlinie, die nicht unter DORA fallen. Außerhalb des Finanzsektors bestimmen DSGVO und Data Act die Anforderungen an Cloud-Verträge. |
| Data Act: Wechsel des Cloud-AnbietersFristen, Exit-Unterstützung und Wechselentgelte beim Wechsel zwischen Cloud-Anbietern bestimmte allein der Vertrag; gesetzliche Mindestinhalte gab es nicht. | Ab 12.01.2027Seit 12.09.2025 schreibt Art. 25 Abs. 2 VO (EU) 2023/2854 Mindestinhalte für Verträge über Datenverarbeitungsdienste vor, darunter eine Frist von höchstens zwei Monaten für die Einleitung des Wechsels und einen Übergangszeitraum von höchstens 30 Kalendertagen. Bis 12.01.2027 dürfen Anbieter nur ermäßigte Wechselentgelte bis zur Höhe ihrer unmittelbaren Kosten verlangen, danach keine mehr (Art. 29 Abs. 1 bis 3). Seit 12.09.2026 gelten für neu in Verkehr gebrachte vernetzte Produkte zudem die Vorgaben zum Datenzugang (Art. 3 Abs. 1 i. V. m. Art. 50). |
| Durchsetzung der DSGVO in grenzüberschreitenden FällenBeschwerden zu grenzüberschreitenden Verarbeitungen bearbeiteten die Aufsichtsbehörden im Verfahren nach Art. 60 DSGVO nach ihrem jeweiligen nationalen Verfahrensrecht; einheitliche Fristen und Anhörungsrechte gab es nicht. | Ab 02.04.2027Die VO (EU) 2025/2518, in Kraft seit 01.01.2026, gilt ab 02.04.2027 für danach eingereichte Beschwerden und eröffnete Untersuchungen zu grenzüberschreitenden Verarbeitungen. Sie vereinheitlicht die Zulässigkeit von Beschwerden, gibt untersuchten Unternehmen das Recht auf Anhörung und Einsicht in die vorläufigen Feststellungen und sieht Verfahrensfristen von in der Regel 15 Monaten, im vereinfachten Verfahren 12 Monaten vor. |
Rechtsgrundlagen: BSIG · §§ 28, 30, 32, 33, 38 in Umsetzung der NIS-2-RL · RL (EU) 2022/2555 · KI-Verordnung · VO (EU) 2024/1689, Art. 2, 4, 50, geändert durch VO (EU) 2026/1744 · EuGH, Urteil vom 04.09.2025, C-413/23 P · DORA · VO (EU) 2022/2554, Art. 2, 28 bis 30 · ESMA-Leitlinien zur Auslagerung an Cloud-Anbieter (ESMA65-294529287-4737) · Data Act · VO (EU) 2023/2854, Art. 3, 25, 29, 50 · DSGVO-Verfahrensverordnung · VO (EU) 2025/2518 · DSGVO · VO (EU) 2016/679, Art. 60. Die Pflichten sind jeweils nach Branche, Unternehmensgröße und Rolle (Verantwortlicher, Betreiber, Finanzunternehmen, Einrichtung) einzuordnen; ESMA-Leitlinien sind keine Rechtsnormen, sondern aufsichtliche Vorgaben für die erfassten Adressaten.
Dein Praxistransfer: Prüfe, ob dein Unternehmen unter das neu gefasste BSIG fällt, ergänze deine Datenschutzhinweise um alle Empfänger – auch von pseudonymisierten Daten – und lege fest, welche Daten dein Team in KI-Tools eingeben darf.
Praxiswerkstatt
Drei Datenschutzfälle ziehen sich durch den Seminartag. An ihnen erarbeitest du KI-Einsatzprüfung, Schutzbedarfsanalyse und Datenschutz-Pflichtenplan.
Ein Vertriebsteam lädt Angebotsunterlagen mit Namen und Kontaktdaten von Kunden in ein frei verfügbares KI-Tool, um Angebotstexte zu formulieren. Eine Freigabe gibt es nicht.
Deine Aufgabe: Prüfe Rechtsgrundlage, Vertrag mit dem Anbieter und Datenkategorien – und entscheide in deiner KI-Einsatzprüfung, ob, mit welchem Tool und mit welchen Daten das Team weiterarbeiten darf.
Die Personalabteilung will Bewerber- und Gehaltsdaten in einen Cloud-Dienst verlagern. Die IT drängt auf den Start, eine Risikoanalyse liegt nicht vor.
Deine Aufgabe: Stufe den Schutzbedarf der Daten in deiner Schutzbedarfsanalyse ein, leite die Maßnahmen ab und lege fest, welche Bedingungen vor dem Start erfüllt sein müssen.
Ein Dienstleister teilt mit, dass pseudonymisierte Kundendaten unverschlüsselt an Dritte gegangen sind. Er hält die Daten für nicht personenbezogen, die Geschäftsleitung ist bis Montag nicht erreichbar.
Deine Aufgabe: Entscheide, ob und bis wann du an die Aufsichtsbehörde meldest und wer informiert wird – und verankere Vertretung und Meldeweg in deinem Datenschutz-Pflichtenplan.
Dein Ergebnis
Du prüfst ein KI-Tool vor dem Einsatz auf Rechtsgrundlage, Vertrag, Datenkategorien und Drittlandbezug und dokumentierst die Freigabe.
Du stufst deine Systeme nach Vertraulichkeit, Integrität und Verfügbarkeit ein und leitest daraus passende Maßnahmen ab.
Du ordnest Verzeichnis, Betroffenenanfragen, Meldewege und Berichte an die Geschäftsleitung mit Zuständigkeit und Frist.
Du prüfst Auftragsverarbeitung, Datenrückgabe und Wechselbedingungen in deinen Verträgen mit Cloud-Anbietern.
Du klärst, ob NIS-2, DORA und die KI-Verordnung dein Unternehmen erfassen, und welche Pflichten daraus folgen.
Du erhältst das S+P Teilnahmezertifikat mit dokumentierten Inhalten und 6,0 Zeitstunden sowie das Digital Badge.
Selbsteinschätzung
Im Seminarpreis enthalten
Dein Seminar wirkt über den Veranstaltungstag hinaus: mit der S+P Tool Box für deine Datenschutzpraxis und S+P C.O.R.E. für regelmäßige Updates zu den Themen, die Datenschutz und Informationssicherheit im Jahresverlauf treffen.
01 · Direkt anwenden
Dein Werkzeugkasten für den Datenschutz.
Nutze die Seminarinhalte direkt in deinem Arbeitsalltag. Die Tool Box ist ohne Aufpreis im Seminarpreis enthalten und liefert deine drei Werkzeuge zum Bearbeiten: KI-Einsatzprüfung, Schutzbedarfsanalyse und Datenschutz-Pflichtenplan.
Dein Vorteil Du beginnst mit konkreten Arbeitshilfen und passt sie an deine Systeme, Dienstleister und Freigabeprozesse an.
S+P Tool Box entdecken02 · Aktuell bleiben
Dein Update. Dein Austausch. Dein nächster Impuls.
Datenschutz, Informationssicherheit und KI-Regulierung ändern sich laufend. Mit S+P C.O.R.E. ordnest du aktuelle Entwicklungen ein und diskutierst praktische Umsetzungsfragen mit Fachverantwortlichen und Experten. Mit deiner Buchung bist du unbefristet und kostenfrei dabei – mit einem Update pro Quartal.
Dein Vorteil Du bleibst auch nach dem Seminar mit aktuellen Datenschutzthemen und dem S+P Expertennetzwerk verbunden.
S+P C.O.R.E. entdeckenBei jeder Buchung enthalten: unbefristet und kostenfrei, ein Update pro Quartal. Zu jedem Update-Event meldest du dich kurz an – so können wir das Update auf Teilnehmerzahl und Branchen abstimmen.
S+P Certified
Nach dem Seminartag bekommst du deinen Nachweis digital – dort einsetzbar, wo er gesehen wird: im LinkedIn-Profil, im Lebenslauf und gegenüber Geschäftsleitung und Auftraggebern.
Über den Referenten
Geschäftsführer der S+P Unternehmerforum & der S+P Compliance · DORA, NIS-2 & IT-Compliance
Achim Schulz kennt IT-Audits aus dem täglichen Geschäft: Mit der S+P Compliance arbeitet er als Auslagerungsdienstleister für regulierte Unternehmen und setzt die Vorgaben aus DORA, NIS-2 und dem Cyber Resilience Act in der eigenen Praxis um. So verbindet er technische IT-Sicherheit mit den aufsichtsrechtlichen Pflichten und weiß, worauf Prüfer heute achten. Im Seminar übersetzt er komplexe Vorgaben in klare Prozesse und arbeitet mit Templates aus der eigenen Dienstleister-Praxis aus der S+P Tool Box.
Termine und Buchung
| Ort | S+P Seminare | Datum | |
|---|---|---|---|
| Online | N01 - Digitaler Datenschutz 2027: DSGVO-Bußgelder verhindern | Jetzt buchen | |
| Online | N01 - Digitaler Datenschutz 2027: DSGVO-Bußgelder verhindern | Jetzt buchen | |
| Online | N01 - Digitaler Datenschutz 2027: DSGVO-Bußgelder verhindern | Jetzt buchen | |
| Online | N01 - Digitaler Datenschutz 2027: DSGVO-Bußgelder verhindern | Jetzt buchen | |
| Online | N01 - Digitaler Datenschutz 2027: DSGVO-Bußgelder verhindern | Jetzt buchen |
Frage zu Termin, Rechnung oder Anmeldung für mehrere Personen?
Schreib uns – die Antwort kommt in der Regel am nächsten Werktag. Meldest du dich mit mindestens zwei Personen aus einem Unternehmen an, erhalten alle Teilnehmenden 10 % Nachlass; für ein ganzes Team ist eine Inhouse-Schulung meist wirtschaftlicher.
Erfahrungen von Teilnehmenden
Unabhängige Bewertungen zu unseren Seminaren findest du auf zwei Bewertungsportalen.
Nächster Schritt
Melde dich jetzt an und nimm KI-Einsatzprüfung, Schutzbedarfsanalyse und Datenschutz-Pflichtenplan direkt in deinen Arbeitsalltag mit. Ein Tag live online, 6,0 Zeitstunden, S+P Teilnahmezertifikat und Digital Badge, Tool Box und unbefristet kostenfreies C.O.R.E. Update inklusive.
