Rechtssicherheit im EU-Nearshoring: Die teuersten Fehler passieren im deutschen Recht

EU-Nearshoring: Chancen nutzen, Risiken verstehen

Über die rechtliche Seite des Nearshorings wird meist verkehrt herum gesprochen. Die Sorge gilt dem Zielland — ob dort verlässlich gearbeitet wird, ob Verträge durchsetzbar sind, ob Daten sicher liegen. Innerhalb der EU sind das die vergleichsweise gut gelösten Fragen.

Die Probleme, die tatsächlich teuer werden, entstehen im deutschen Recht: bei der Frage, ob eine Zusammenarbeit als Arbeitnehmerüberlassung einzuordnen ist, ob eine Person sozialversicherungsrechtlich selbständig ist, und ob die eigenen Compliance-Pflichten an der Unternehmensgrenze enden — was sie seit NIS2 ausdrücklich nicht mehr tun.

Diese drei Themen haben eines gemeinsam: Sie hängen nicht am Standort. Sie entstehen genauso bei einem Dienstleister aus Dortmund. Nearshoring macht sie nur sichtbarer, weil man dabei ohnehin einen Vertrag neu aufsetzt.

Was Nearshoring grundsätzlich ist und warum es sich verändert hat, steht unter Was ist Nearshoring.

Die Vorteile des EU-Nearshorings aus rechtlicher Sicht

Datenschutz: keine Drittlandsübermittlung

Der größte Einzelvorteil. Eine Verarbeitung personenbezogener Daten innerhalb der Union ist keine Übermittlung an ein Drittland im Sinne des Kapitels V der DSGVO. Es braucht keine Standardvertragsklauseln, keinen Angemessenheitsbeschluss und kein Transfer Impact Assessment.

Was es weiterhin braucht: einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit den dort abschließend aufgezählten Mindestinhalten, technische und organisatorische Maßnahmen nach Art. 32, und die Kontrolle über Unterauftragsverhältnisse — denn ein Unterauftragnehmer außerhalb der EU führt die Drittlandsfrage durch die Hintertür wieder ein.

Der Bußgeldrahmen ist der Grund, warum das ernst genommen wird: bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO).

Rechtswahl und Gerichtsstand

Die Parteien können das anwendbare Recht frei wählen (Art. 3 Rom-I-Verordnung). Urteile aus EU-Mitgliedstaaten werden in den übrigen Mitgliedstaaten grundsätzlich ohne Vollstreckbarerklärung anerkannt und vollstreckt (Brüssel-Ia-Verordnung, Verordnung (EU) Nr. 1215/2012).

Das ist der praktische Unterschied zu Offshoring: Ein deutsches Urteil in Rumänien zu vollstrecken, ist ein Verwaltungsvorgang. Ein deutsches Urteil in Indien zu vollstrecken, ist ein Verfahren.

Bei uns ist der Vertragspartner unsere deutsche Gesellschaft mit Sitz in Münster — die Frage stellt sich für unsere Kunden deshalb gar nicht erst.

Was der Binnenmarkt nicht leistet

Er harmonisiert nicht das Arbeitsrecht. Die Grundprinzipien ähneln sich, die Ausgestaltung nicht: Kündigungsfristen, Urlaubsansprüche, Regelungen zu Überstunden und Wettbewerbsverboten sind nationales Recht geblieben. Wer ein Team im Zielland aufbaut, arbeitet unter dortigem Arbeitsrecht — auch wenn der Vertrag deutschem Recht unterliegt.

Schlüsselbereiche der Rechtssicherheit im EU-Nearshoring

Arbeitnehmerüberlassung — der Klassiker

Wenn eine externe Fachkraft in die Arbeitsorganisation des Kunden eingegliedert wird und dessen Weisungen unterliegt, liegt regelmäßig Arbeitnehmerüberlassung vor — unabhängig davon, was auf dem Vertrag steht. Die Bezeichnung als „Werkvertrag“ oder „Dienstvertrag“ schützt nicht; entscheidend ist die tatsächliche Durchführung.

Die Folgen sind erheblich:

• Erlaubnispflicht: Wer Arbeitnehmer überlässt, braucht eine Erlaubnis der Bundesagentur für Arbeit (§ 1 Abs. 1 AÜG).
• Fehlt sie, kommt nach §§ 9, 10 AÜG kraft Gesetzes ein Arbeitsverhältnis zwischen der überlassenen Person und dem Entleiher zustande. Der Kunde wird also zum Arbeitgeber, ohne es gewollt zu haben.
• Höchstüberlassungsdauer: grundsätzlich 18 aufeinanderfolgende Monate an denselben Entleiher (§ 1 Abs. 1b AÜG); tarifvertragliche Abweichungen sind möglich.
• Equal Pay: nach neun Monaten Überlassung grundsätzlich gleiche Vergütung wie vergleichbare Stammbeschäftigte (§ 8 Abs. 4 AÜG).

Warum das im Nearshoring-Kontext besonders zählt: Bei verteilten Teams verschwimmt die Grenze im Alltag. Ein Entwickler, der am Daily des Kunden teilnimmt, Tickets aus dessen Backlog zieht und von dessen Product Owner priorisiert wird, ist faktisch eingegliedert — ganz gleich, wo er sitzt und was im Rahmenvertrag steht.

Unsere Konsequenz: Die Vertragsform gehört zur Aufgabe, nicht zur Gewohnheit. Wir behandeln sie als eine von drei Stellschrauben im Compliance-Baukasten — neben Delivery-Standort und Steuerung — und konfigurieren sie pro Mandat.

Scheinselbständigkeit

Wird eine Person als Selbständige beauftragt, arbeitet aber weisungsgebunden und in die Arbeitsorganisation des Auftraggebers eingegliedert, spricht das für abhängige Beschäftigung im Sinne von § 7 SGB IV. Die Beurteilung erfolgt im Rahmen einer Gesamtabwägung; einzelne Merkmale entscheiden nicht.

Die Nachforderung von Sozialversicherungsbeiträgen trifft im Regelfall den Auftraggeber und kann rückwirkend erfolgen. Bei vorsätzlichem Vorenthalten kommt strafrechtliche Verantwortung nach § 266a StGB in Betracht.

Das Statusfeststellungsverfahren bei der Deutschen Rentenversicherung (§ 7a SGB IV) schafft im Zweifel Klarheit — vor der Beauftragung, nicht nach der Prüfung. Womit die Rentenversicherung ihre Prüfungen inzwischen auswählt und was dabei geprüft wird, steht in Betriebsprüfung mit KIRA.

NIS2 — die Pflicht, die 2025 dazugekommen ist

Das NIS-2-Umsetzungsgesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301) und ist am 6. Dezember 2025 in Kraft getreten. Der Anwendungsbereich hat sich vervielfacht: Waren bislang etwa 4.500 Organisationen reguliert, beaufsichtigt das BSI nun rund 29.500 Einrichtungen.

Betroffene müssen sich registrieren, erhebliche Sicherheitsvorfälle melden und Risikomanagementmaßnahmen umsetzen und dokumentieren.

Die Zahl, die die Lage beschreibt: Zum Stand 30. Juni 2026 waren beim BSI 17.945 Einrichtungen registriert — darunter 11.501 wichtige und 6.215 besonders wichtige Einrichtungen (davon 1.342 KRITIS-Betreiber), dazu 216 grenzüberschreitende Zweigstellen und 13 Energieunternehmen nach EnWG. Gemessen an den erwarteten rund 29.500 fehlen damit etwa vier von zehn. Über das Portal gingen bis dahin 692 Erstmeldungen ein.

Die 29.500 sind eine Schätzung des BSI zum Anwendungsbereich, die 17.945 sind tatsächliche Registrierungen. Der Vergleich ist eine Näherung, keine exakte Quote.

Der Nearshoring-Bezug: Die Risikomanagementpflichten erfassen ausdrücklich die Sicherheit der Lieferkette. Wer als betroffene Einrichtung IT-Leistungen einkauft, muss die Sicherheit dieser Beziehung managen — und das schlägt auf Verträge durch: Sicherheitsanforderungen an den Dienstleister, Meldeketten bei Vorfällen, Nachweispflichten, Auditrechte.

Praktisch heißt das: Ein Nearshoring-Vertrag, der 2024 geschlossen wurde, bildet diese Pflichten in der Regel nicht ab. Er ist deshalb nicht unwirksam — aber er trägt die Compliance des Kunden nicht mehr.

KI-Verordnung — mehr Zeit, aber nicht weniger Arbeit

Die KI-Verordnung (Verordnung (EU) 2024/1689) wird gestaffelt anwendbar. Bereits in Kraft sind die Pflicht zur KI-Kompetenz nach Art. 4 und die Verbote nach Art. 5 (seit 2. Februar 2025), die Pflichten für Modelle mit allgemeinem Verwendungszweck (seit 2. August 2025) sowie die Transparenzpflichten nach Art. 50 — die Kennzeichnung, dass jemand mit einem KI-System interagiert, und die Markierung KI-generierter Inhalte.

Die Hochrisiko-Anforderungen sind verschoben. Ursprünglich sollten sie ab dem 2. August 2026 gelten. Die Digital-Omnibus-Verordnung (EU) 2026/1744 vom 8. Juli 2026, im Amtsblatt verkündet am 24. Juli 2026 und in Kraft seit dem 27. Juli 2026, hat den Geltungsbeginn neu gesetzt: für Hochrisiko-Systeme nach Artikel 6 Absatz 2 in Verbindung mit Anhang III auf den 2. Dezember 2027, für in regulierte Produkte eingebettete KI nach Artikel 6 Absatz 1 in Verbindung mit Anhang I auf den 2. August 2028.

Betroffen sind davon Risikomanagementsystem (Art. 9), Daten-Governance (Art. 10), technische Dokumentation (Art. 11), Aufzeichnungspflichten (Art. 12), menschliche Aufsicht (Art. 14), Qualitätsmanagement (Art. 17) und die Registrierung in der EU-Datenbank (Art. 71).

Der Bußgeldrahmen bleibt gestaffelt: bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei Verstößen gegen die Verbote, bis 15 Millionen Euro oder 3 Prozent bei Verstößen gegen die Hochrisiko-Anforderungen.

Der Nearshoring-Bezug — und warum die Verschiebung nichts verschiebt: Wer ein Hochrisiko-System nach Anhang III entwickeln lässt, braucht die technische Dokumentation nach Art. 11. Die entsteht während der Entwicklung oder gar nicht — ein Projekt, das 2026 startet und 2028 in Betrieb geht, muss sie mitschreiben, auch wenn die Pflicht erst später greift. Sie gehört als Leistungsbestandteil in den Entwicklungsvertrag, nicht in die Abnahme als Wunsch.

Wichtig zur Abgrenzung: Nicht jede KI-Komponente macht ein System zum Hochrisiko-System. Die Einstufung folgt Anhang III beziehungsweise Anhang I, und die Anbieterpflichten treffen den Anbieter — wer nur einsetzt, hat andere und weniger Pflichten. Die Einordnung im konkreten Fall gehört zur Rechtsberatung, nicht auf eine Übersichtsseite.

Geistiges Eigentum

Urheberrechte an Software entstehen beim Urheber. Bei Arbeitnehmern räumt § 69b UrhG dem Arbeitgeber die vermögensrechtlichen Befugnisse an in Erfüllung der Arbeitspflicht geschaffenen Programmen ein. Bei freien Mitarbeitern und Auftragnehmern gilt das nicht — hier braucht es eine ausdrückliche vertragliche Rechteeinräumung, und zwar in der Kette bis zur Person, die den Code geschrieben hat.

Das ist der Punkt, an dem mehrstufige Konstruktionen brechen: Wenn der Dienstleister mit Subunternehmern arbeitet, muss die Rechtekette lückenlos sein. Eine Lücke fällt typischerweise erst in der Due Diligence auf — Jahre später, im ungünstigsten Moment.

Steuer und Entsendung

Zwei Themen, die man früh mit dem Steuerberater klären sollte, statt sie hier abzuhandeln:

• Betriebsstättenrisiko: Ständige Tätigkeit im Zielland kann eine Betriebsstätte begründen, mit Steuerpflicht dort.
• A1-Bescheinigung: Bei Entsendungen innerhalb der EU ist sie der Nachweis, dass die Person weiterhin dem Sozialversicherungsrecht des Entsendestaats unterliegt. Sie ist vor Beginn der Tätigkeit zu beantragen.

Für beides gilt: Das ist Beratung, keine Lektüre.

Best Practices und Empfehlungen

Die Vertragsform aus der Aufgabe ableiten. Wenn tägliche Abstimmung und Weisung im Kundenteam stattfinden, ist ein Werkvertrag die falsche Verpackung — dann braucht es Arbeitnehmerüberlassung mit Erlaubnis. Ein abgrenzbares Gewerk mit eigener Verantwortung trägt einen Werkvertrag.

Die tatsächliche Durchführung prüfen, nicht nur den Vertrag. Verträge werden einmal geschrieben und dann gelebt. Nach sechs Monaten sieht die Zusammenarbeit oft anders aus als im Papier — und im Streitfall zählt die gelebte Praxis.

NIS2-Anforderungen in die Verträge ziehen. Sicherheitsanforderungen, Meldeketten und Nachweise gehören in den Vertrag, wenn der Kunde betroffene Einrichtung ist. Bestandsverträge aus der Zeit vor Dezember 2025 gehören durchgesehen.

Die Rechtekette an geistigem Eigentum bis zur Person durchziehen. Einschließlich Subunternehmer.

Die Steuerung im Inland behalten. Wer Architektur, Qualitätssicherung und Kundenverantwortung im eigenen Haus hält, reduziert nicht nur das Lieferrisiko, sondern auch die Zahl der Rechtsfragen. Bei uns liegt die Senior-Steuerung in Deutschland — das ist zuerst eine Qualitäts-, aber eben auch eine Compliance-Entscheidung.

Eine Anwältin einbeziehen, bevor der erste Vertrag steht. Nicht, wenn die Prüfung kommt.

Fazit

EU-Nearshoring ist rechtlich der einfachere Weg — der Binnenmarkt nimmt einem die Drittlandsfragen ab, und das ist kein kleiner Vorteil.

Die Risiken, die bleiben, sind deutsche: die Abgrenzung zur Arbeitnehmerüberlassung, die Frage der Scheinselbständigkeit, und seit dem 6. Dezember 2025 die eigene Compliance-Pflicht, die in die Lieferkette hineinreicht. Keines dieser Themen hat mit dem Zielland zu tun. Sie entstehen genauso mit einem Dienstleister aus dem Nachbarort — Nearshoring zwingt einen nur, sie anzuschauen.

Das ist die gute Nachricht: Es sind bekannte Fragen mit bekannten Antworten. Man muss sie nur stellen, bevor man den Vertrag unterschreibt.

Ihr nächster Schritt

Noch einmal deutlich: Dieser Text ersetzt keine Rechtsberatung. Er beschreibt die Fragen, die sich stellen — nicht die Antwort für Ihren Fall.

Was wir beitragen können, ist die Konfiguration: Vertragsform, Delivery-Standort und Steuerungsebene so zusammenzustellen, dass die Konstruktion trägt. Vertragspartner ist unsere deutsche Gesellschaft mit Sitz in Münster, deutscher Gerichtsstand.

Erstgespräch vereinbaren

Schildern Sie uns Ihr Vorhaben, wir sagen Ihnen, welche Konstellation dazu passt und wo Sie Ihre Anwältin brauchen.

Zu Cloud- und KI-Vorhaben mit Compliance-Anforderungen: Cloud-Governance und Compliance. Zum Leistungsspektrum bei der Besetzung: IT-Experten.