Compliance bezeichnet die Einhaltung aller relevanten gesetzlichen Vorschriften, regulatorischen Anforderungen, vertraglichen Verpflichtungen und internen Richtlinien, denen ein Unternehmen unterliegt. Compliance ist kein Zustand, der einmal erreicht und dann behalten wird, sondern ein kontinuierlicher Prozess: Anforderungen ändern sich, neue Gesetze treten in Kraft, bestehende Systeme verändern sich. Compliance-Management stellt sicher, dass die Organisation stets regelkonform handelt und dies auch nachweisen kann.
Für Automatisierungsprojekte ist Compliance auf zwei Ebenen relevant: Die Automatisierungsinfrastruktur selbst muss compliant sein (Sicherheit, Datenschutz, Zugriffskontrollen). Und die automatisierten Prozesse müssen die fachlichen Compliance-Anforderungen des jeweiligen Geschäftsprozesses erfüllen (z. B. Vier-Augen-Prinzip für Zahlungen über bestimmten Beträgen, steuerliche Behandlung von Belegen). Automatisierung kann Compliance erleichtern – aber auch Compliance-Lücken in großem Maßstab reproduzieren.
Compliance-Dimensionen für Automatisierungssysteme
Datenschutz
DSGVO, BDSG – personenbezogene Daten rechtmäßig verarbeiten, Rechte Betroffener wahren
Steuerrecht
GoBD, AO, UStG – steuerrelevante Dokumente korrekt verarbeiten und aufbewahren
Informationssicherheit
ISO 27001, BSI IT-Grundschutz – Schutzziele CIA, TOMs, ISMS
KI-Regulierung
EU AI Act – risikobasierte Anforderungen für KI-Systeme in Automatisierungen
Branchenspezifisch
PCI-DSS (Zahlungen), HIPAA (Gesundheit), MaRisk (Banken) – sektorale Regulierung
Vertragsrecht
SLAs, AVVs, Geheimhaltungsvereinbarungen – vertragliche Pflichten gegenüber Kunden und Partnern
Compliance by Design ist der wirksamste Ansatz: Compliance-Anforderungen von Beginn an in die Architektur eines Automatisierungssystems einbauen, statt nachträglich aufzupfropfen. Ein Rechnungsworkflow, der von Anfang an GoBD-konform protokolliert, DSGVO-konform mit personenbezogenen Daten umgeht und das Vier-Augen-Prinzip für Freigaben implementiert, ist wesentlich günstiger als ein nachträgliches Compliance-Retrofit.
Praxisbeispiel
Ein Automationsdienstleister führt vor jedem Workflow-Go-Live einen Compliance-Check durch. Checkliste für P2P-Workflow: DSGVO – welche personenbezogenen Daten werden verarbeitet? Rechtsgrundlage? AVV mit allen beteiligten Dienstleistern vorhanden? GoBD – werden Rechnungen revisionssicher archiviert? Vollständige Protokollierung? Unveränderlichkeit sichergestellt? IT-Sicherheit – Least Privilege für Service-Accounts? Verschlüsselung aller Verbindungen? Secrets im Secret-Manager? Prozess-Compliance – Vier-Augen-Prinzip für Zahlungen über 5.000 Euro implementiert? Freigabeprozess dokumentiert? SLA mit Kunden – Reaktionszeiten bei Fehlern definiert? Eskalationsprozess dokumentiert? 18 Checkpunkte, 45 Minuten Aufwand pro Workflow. Die Investition verhindert kostspielige Nachkorrekturen nach Go-Live.
