Am 7. Juni 2026 ist eine EU-Frist abgelaufen, und ein deutsches Gesetz dazu gab es laut Fristenkalender von frag.hugo auch Ende Oktober noch nicht. Es geht um die Entgelttransparenz-Richtlinie. Solche Termine gehen im Tagesgeschäft leicht unter, weil sie selten in der Zeitung stehen und noch seltener in einer Mail des Steuerberaters.
Die Liste unten folgt deshalb dem Kalender. Jeder Eintrag beginnt mit einem Stichtag aus 2026 oder 2027, einer reicht bis 2028. Zu jedem Termin gehört ein kostenloses Werkzeug, mit dem Sie vorab prüfen, wo Ihr Betrieb steht. Die Termine entsprechen dem Stand des Kalenders vom 21. Oktober 2026, die übrigen Zahlen stammen vom selben Tag. Wer das hier Monate später liest, schaut vor der Planung besser noch einmal ins Original.
Was seit dem Sommer 2026 gilt
Seit dem 7. Juni 2026 wartet die Gehaltstransparenz auf ein deutsches Gesetz
Eine Mitarbeiterin aus dem Innendienst möchte wissen, ob sie erfahren darf, was Kollegen in derselben Funktion verdienen. In der Personalabteilung weiß man nur, dass dazu etwas aus Brüssel kommt.
Der Fristenkalender von frag.hugo, der verschobene Termine im Abo nachzieht, führt dazu einen eigenen Eintrag. Die Umsetzungsfrist nach Art. 34 der Richtlinie (EU) 2023/970 ist verstrichen, ein deutsches Umsetzungsgesetz steht laut Eintrag noch aus. Zur Vorbereitung rät der Kalender, Gehaltsstrukturen nach objektiven Kriterien zu ordnen, Entgeltdaten datensparsam und zugriffsgeschützt zu führen und Auskunftsprozesse zu planen.
Insgesamt stehen 45 Fristen aus 18 Gesetzen und Verordnungen auf dem Zeitstrahl, von 2024 bis 2028. Eine Linie mit der Aufschrift „Heute“ trennt, was schon gilt, von dem, was noch kommt. Gefiltert wird auf zwei Wegen. Unter „Betrifft mich“ wählen Sie Ihre Rolle, wobei Fristen für alle Unternehmen immer sichtbar bleiben. Über das Gesetz grenzen Sie auf ein einzelnes Regelwerk ein, die Auswahl reicht vom KRITIS-Dachgesetz über die Maschinenverordnung bis zum TDDDG.
Unter jedem Eintrag klappt ein Nachweis mit dem wörtlichen Zitat aus der Quelle auf. Bei verschobenen Terminen steht dort zusätzlich die Historie. So ist nachzulesen, dass der Digital-Omnibus zur KI am 27. Juli 2026 die Pflichten für Hochrisiko-KI in regulierten Produkten vom 2. August 2027 auf den 2. August 2028 geschoben hat. Wer den Kalender in Outlook, Google oder Apple abonniert, bekommt solche Verschiebungen ohne eigenes Zutun eingetragen.
Bei der Entgelttransparenz zeigt der Kalender allerdings nur die Richtlinie und eine Lücke. Was das deutsche Gesetz später im Einzelnen verlangt, kann er noch nicht wissen. Ob ein Termin Ihren Betrieb trifft, überlässt die Seite ausdrücklich Ihnen und Ihrem Datenschutzbeauftragten.
Bis zum Jahresende 2026
Am 2. Dezember 2026 kommen neue Verbote in der KI-Verordnung hinzu
Im Marketing entstehen die Grafiken für Social Media seit einigen Monaten mit einem Bildgenerator, das Abo läuft über die Kreditkarte der Teamleiterin. Welche KI-Dienste sonst noch im Haus laufen, kann die Geschäftsführung auf Nachfrage nicht sagen.
Ab diesem Tag verbietet die KI-Verordnung sexuelle Deepfakes ohne Einwilligung. Der Eintrag im Kalender richtet sich an Anbieter und an Betreiber, also auch an Firmen, die eine Bild-, Video- oder Audio-KI einsetzen. Sie sollen prüfen, ob ihr Werkzeug intime Darstellungen realer Personen erzeugen kann.
Bevor Sie das für ein einzelnes Abo klären, brauchen Sie den Überblick. Die Selbsteinschätzung zur KI-Nutzung in der Belegschaft von frag.hugo stellt dafür acht Fragen, darunter zu Schulung, Verträgen und Mitbestimmung. In den Erläuterungen steht, dass der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmt, sobald ein Werkzeug objektiv geeignet ist, Verhalten oder Leistung zu überwachen. An der Schulungspflicht nach Art. 4 hängt zwar kein Bußgeld. Als Gründe, sich trotzdem darum zu kümmern, nennt die Seite abfließende Geschäftsgeheimnisse und Auftraggeber, die inzwischen danach fragen.
Der Check dauert rund drei Minuten und beruht auf Ihren eigenen Antworten. Er greift auf keine Konten zu und erfasst das Bild-Abo nur, wenn jemand bei der Beantwortung davon weiß. Für den Generator selbst gibt es am selben Tag einen zweiten Eintrag im Kalender. Anbieter von Systemen, die vor dem 2. August 2026 auf den Markt kamen, müssen deren Ausgaben bis dahin maschinenlesbar als KI-erzeugt markieren. Das ist Sache des Herstellers, und eine schriftliche Bestätigung von ihm gehört zu den Abo-Unterlagen.
Januar bis März 2027
Ab dem 1. Januar 2027 stellen größere Betriebe nur noch E-Rechnungen aus
Lag Ihr Gesamtumsatz 2026 über 800.000 €, dürfen Sie Rechnungen an andere Unternehmen ab 2027 nur noch als strukturierte E-Rechnung stellen. Ab 2028 gilt das grundsätzlich für alle, mit Ausnahmen unter anderem für Kleinbeträge und Kleinunternehmer. Beides steht mit Verweis auf § 27 Abs. 38 UStG im Fristenkalender.
Seit der Umstellung im Januar melden zwei Kunden, eine Rechnung sei nie angekommen. Bei beiden lag sie im Quarantäne-Ordner des Mailservers, weil der Server Ihre Absenderadresse nicht einordnen konnte.
Ein Grund kann der SPF-Eintrag sein, eine Liste im DNS, welche Server für Ihre Domain senden dürfen. Die SPF- und DMARC-Messung von hagel IT mit Domain-Selbsttest hat am 1. Oktober 2026 die Mail-Domains Hamburger Unternehmen ausgewertet. Einen SPF-Eintrag hatten 93,3 Prozent. Streng gesetzt, also mit der Anweisung, fremde Absender abzulehnen, war er nur bei 54,2 Prozent. Auf derselben Seite testen Sie die eigene Domain ohne Anmeldung, und laut Seite wird weder die Domain noch das Ergebnis gespeichert. Verschickt das neue Programm über einen Server des Softwareanbieters, muss dieser Server in Ihren SPF-Eintrag.
Gezählt wurden Domains, die in Wikidata stehen, und kleine Betriebe sind dort selten. Für einen Zehn-Personen-Betrieb ist die Quote deshalb ein grober Vergleich. Ob die angehängte Rechnungsdatei den Vorgaben entspricht, klären Sie mit Steuerberater und Softwareanbieter.
Ab dem 12. Januar 2027 darf ein Cloud-Anbieter für den Wechsel nichts mehr berechnen
Der Kundenservice will sein altes Ticketsystem seit Langem loswerden. Bisher hätte der Export der Daten Geld gekostet, ab diesem Tag entfallen Wechsel- und Exportentgelte nach dem Data Act. Als Nachfolger steht Zendesk auf der Liste.
Bevor die Tickets umziehen, lohnt die Zendesk-Seite im Subprozessor-Monitor von frag.hugo. Sie zählt 60 Unterauftragsverarbeiter, jeden einzeln erfasst und täglich abgeglichen, Stand 21. Oktober 2026. Ein Hinweis dort betrifft Ihre Fristen. Zendesk nennt für neue Unterauftragsverarbeiter zwei Termine, einen für Neukunden und einen späteren für Bestandskunden, und für Ihren Widerspruch zählt der zweite. Die Seite erinnert außerdem daran, was in einem Ticketsystem landet, nämlich Beschwerden, Adressen und teils Gesundheits- oder Finanzangaben.
Maßgeblich bleibt die Liste bei Zendesk selbst, die Monitor-Seite verlinkt sie direkt neben dem Vertrag zur Auftragsverarbeitung. Insgesamt überwacht der Monitor 17 Anbieter. Für ein kleineres Ticketsystem steht dort womöglich gar nichts, und wie der bisherige Anbieter den Export technisch abwickelt, müssen Sie ihn selbst fragen.
Ab dem 20. Januar 2027 müssen neue Maschinen ihre Steuerung gegen Manipulation schützen
An diesem Tag gilt die Maschinenverordnung (Art. 54 VO (EU) 2023/1230). Maschinen, die ab dann in Verkehr kommen, müssen sicherheitsrelevante Software und Steuerungen gegen Manipulation schützen, Eingriffe werden protokolliert. Die Pflicht liegt beim Hersteller.
In Ihrer Fertigung kommt im Frühjahr eine neue Anlage, der Lieferant bietet Fernwartung über das Internet an. Der Produktionsleiter will wissen, ob Erpresser es überhaupt auf Betriebe wie Ihren abgesehen haben.
Antwort gibt das Lagebild zu Erpresser-Veröffentlichungen in Deutschland. Es wertet die Leak-Seiten der Gruppen aus und ordnet die Fälle mit deutschem Sitz nach Branchen, ohne Namen der Opfer. Industrie und Produktion stehen in dieser Liste ganz oben. Zum Vergleich nennt die Seite die Zahlen des BKA, das 2025 rund 334.000 Cybercrime-Fälle gezählt hat.
Ob in solchen Fällen eine Fernwartung der Einstieg war, lässt sich aus dem Lagebild nicht ablesen, denn die Einträge beruhen auf Behauptungen der Täter. Die Anforderung an den Fernzugang gehört trotzdem ins Pflichtenheft. Der Lieferant muss ohnehin nachweisen, wie er die Steuerung schützt, und kann im selben Zug beschreiben, wer sich wann und wie auf die Anlage schaltet.
April bis Dezember 2027
Ab dem 2. April 2027 bekommen DSGVO-Verfahren über Landesgrenzen feste Fristen
Sie haben eine Niederlassung in Österreich und Kunden in Polen. Ein polnischer Kunde beschwert sich bei seiner Aufsichtsbehörde, und die Geschäftsführung fragt, womit dann zu rechnen ist.
Für solche Fälle gilt ab diesem Tag die Verordnung (EU) 2025/2518. Sie bringt feste Fristen für Aufsichtsverfahren und ein Recht auf Anhörung zu vorläufigen Ergebnissen. Der Kalender rät, vorher festzulegen, wer bei Behördenanfragen schnell antwortet.
Was am Ende eines Verfahrens stehen kann, zeigen die Kennzahlen der Bußgeld-Datenbank im europäischen Vergleich. Der Median der deutschen Fälle liegt bei 62.500 €, der Median der 39 Fälle aus dem übrigen Europa bei 30,5 Mio. €. Aufgenommen werden nur Fälle mit Primärquelle. Was ohne Beleg bleibt, fehlt bewusst, und der europäische Median beschreibt deshalb die bekannt gewordenen Verfahren eher als das Risiko eines Mittelständlers.
Wie Behörden und Gerichte in anderen Ländern Beschwerden entschieden haben, steht in GDPRhub, der Fallsammlung von noyb. Das frei zugängliche Wiki fasst solche Entscheidungen zusammen. Beide Quellen sammeln abgeschlossene Fälle und eignen sich damit für die Frage nach dem Ergebnis. Wie schnell ein Verfahren unter den neuen Regeln läuft, wird sich erst ab 2027 zeigen.
Bis zum 2. August 2027 rüsten die Hersteller älterer KI-Modelle nach
Der Eintrag im Fristenkalender gilt für Anbieter, die ein KI-Modell mit allgemeinem Verwendungszweck vor dem 2. August 2025 auf den Markt gebracht haben. Bis zu diesem Tag muss es alle Pflichten für solche Modelle erfüllen. Gefordert sind damit die Firmen, die solche Modelle entwickeln und verkaufen.
In Ihrem Team laufen die KI-Funktionen von Miro und Canva, und jemand hat gelesen, dass die KI-Verordnung 2027 die Modelle betrifft. Für Sie als Nutzer bleibt eine andere Aufgabe, nämlich der passende Tarif.
Der Miro-Steckbrief im DSGVO-Prüfstand nennt zwölf Unterauftragsverarbeiter, alle mit Sitz in den USA, darunter OpenAI, Anthropic, Google und Microsoft für die KI-Funktionen. Empfohlen wird Business mit SSO oder Enterprise. In Enterprise gilt beim KI-Training laut Steckbrief Ihre Einwilligung statt eines bloßen Widerspruchsrechts. Im Steckbrief zu Canva steht, dass für europäische Nutzer die Canva Pty Ltd in Sydney Vertragspartnerin ist und einen AVV nur Business und Enterprise bekommen. Neue Unterauftragsverarbeiter kündigt Canva 30 Tage vorher an, widersprechen können Sie aber nur binnen 10 Tagen. Geprüft wurden beide am 19. Oktober 2026.
Grundlage der Steckbriefe sind Verträge, Unterauftragnehmer-Listen und Hilfeseiten der beiden Anbieter. Welche Konten Ihre Leute tatsächlich nutzen, zeigt die Benutzerliste im Admin-Bereich von Miro und Canva, und die gehört neben den Steckbrief.
Ab dem 2. Dezember 2027 brauchen KI-Systeme in der Personalauswahl menschliche Aufsicht
Ihr Bewerbermanagement kündigt für das kommende Jahr eine Funktion an, die eingehende Bewerbungen nach Passung sortiert. Die Personalleitung möchte sie einschalten, sobald sie verfügbar ist.
Die Pflichten für Hochrisiko-KI nach Anhang III der KI-Verordnung sollten ursprünglich im August 2026 greifen, der Digital-Omnibus hat sie auf diesen Tag verschoben. Betroffen ist laut Kalender KI etwa für Bewerberauswahl, Leistungsbewertung oder Kreditwürdigkeit. Als Betreiber brauchen Sie dann menschliche Aufsicht und Protokolle und müssen die Betroffenen informieren.
Ob die Sortierfunktion darunter fällt, klärt der KI-Fragebogen von frag.hugo zur Einstufung nach Anhang III in höchstens elf Schritten. Er fragt die zehn Bereiche aus Anhang III ab und klärt, ob Sie Anbieter oder, wie hier, Betreiber sind. Das Ergebnis lässt sich als Link an die Personalleitung weitergeben oder als PDF zur Akte nehmen.
Hilfreich ist ein Hinweis zum zeitlichen Ablauf. Die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO gilt laut Seite schon heute, die Grundrechte-Folgenabschätzung der KI-Verordnung erst ab dem 2. Dezember 2027. Die Dokumentation, die die Verordnung von Ihnen verlangt, schreibt der Fragebogen nicht für Sie.
Ein Termin, der schon heute Arbeit macht
Ab dem 6. Dezember 2028 darf das BSI Nachweise verlangen
Ihr Betrieb fällt als besonders wichtige Einrichtung unter NIS2. Die Geschäftsführung möchte wissen, was bis dahin in der Akte liegen sollte.
Frühestens ab diesem Tag kann das BSI Audits, Prüfungen oder Zertifizierungen als Nachweis anordnen (§ 61 Abs. 3 BSIG). Der Fristenkalender rät, die Dokumentation zum Risikomanagement so zu führen, dass sie kurzfristig vorgelegt werden kann.
Für Microsoft 365 lässt sich ein erster Befund kostenlos erstellen. Das lesende Prüfskript von hagel IT für Microsoft 365 geht zwölf Einstellungen durch und vergibt je Prüfung eines von vier Urteilen: „Bestanden“, „Hinweis“, „Mängel“ oder „Nicht geprüft“. Es prüft Einstellungen und keine Vorfälle. Für die Frage, ob schon jemand im Mandanten war, nennt die Seite die Auswertung des Prüfprotokolls als den richtigen Weg. Ob dieses Protokoll eingeschaltet ist, gehört zu den zwölf Prüfungen.
Für die übrigen Themen der Informationssicherheit gibt es den ExPress-Check EPIC des BSI. Er richtet sich an Behörden und Unternehmen, dauert zehn bis fünfzehn Minuten und wertet je Themenfeld aus. Das BSI beschreibt ihn als Sensibilisierung, die mögliche Mängel aufzeigen soll. Ein Nachweis im Sinne von § 61 BSIG ist das nach unserer Einschätzung nicht, es zeigt aber, wo die Akte dünn ist.
Weitere Stichtage aus dem Kalender
Nicht jeder Termin braucht ein eigenes Werkzeug, und manche treffen nur einzelne Rollen. Diese stehen ebenfalls im Fristenkalender.
| Datum | Termin laut Kalender | Rolle im Filter „Betrifft mich“ |
|---|---|---|
| 09.12.2026 | Neue Produkthaftung, auch Software gilt als Produkt | Hersteller, Online-Handel |
| 24.12.2026 | Jeder EU-Staat muss eine EUDI-Wallet bereitstellen | Öffentlich, Alle |
| 26.03.2027 | Europäischer Gesundheitsdatenraum (EHDS) gilt allgemein | Hersteller, Cloud & Daten |
| 31.03.2027 | DORA-Informationsregister mit Stand 31.12.2026 bei der BaFin einreichen | Finanzsektor |
| 12.09.2027 | Data Act: missbräuchliche Datenklauseln binden auch in Altverträgen nicht mehr | Alle |
| 11.12.2027 | Cyber Resilience Act gilt vollständig | Hersteller |
| 24.12.2027 | Anbieter mit starker Online-Identifizierung nehmen die EUDI-Wallet an, Kleinst- und Kleinunternehmen ausgenommen | Finanzsektor, Online-Handel, Cloud & Daten |
| 01.01.2028 | E-Rechnung ausstellen wird Pflicht für alle Unternehmen, mit Ausnahmen u. a. für Kleinbeträge und Kleinunternehmer | Alle, KMU |
Drei Fragen, die Ihre Reihenfolge festlegen
Die Liste ist nach Datum sortiert, Ihre Arbeit muss es nicht sein. Drei Fragen mit Ja oder Nein reichen, um den Anfang zu finden.
- Lag Ihr Umsatz 2026 über 800.000 €? Bei Ja ist der 1. Januar 2027 Ihr dringendster Termin, und der Selbsttest für die Mail-Domain gehört in dieselbe Woche wie das Gespräch mit dem Steuerberater. Bei Nein haben Sie bis 2028 Zeit und beginnen mit dem Abo des Kalenders.
- Sortiert oder bewertet bei Ihnen Software Menschen, etwa Bewerbungen oder Leistung? Bei Ja gehört der KI-Fragebogen vor das nächste Update der Personalsoftware. Bei Nein genügt die Selbsteinschätzung zur KI-Nutzung, einmal im Jahr wiederholt.
- Steht Ihr Firmenname auf Produkten, in denen Software steckt? Bei Ja filtern Sie den Kalender nach der Rolle Hersteller, denn dort liegen unter anderem die neue Produkthaftung am 9. Dezember 2026 und der Cyber Resilience Act am 11. Dezember 2027. Bei Nein bleiben für Sie vor allem die Termine, die alle Unternehmen betreffen.
Wer alle drei Fragen verneint, hat bis Ende 2027 vergleichsweise wenig Stichtage und kann die Zeit für Dinge nutzen, die gar kein Datum haben. Dafür gibt es frag.hugos Werkzeuge für Fragen ohne Stichtag.