DSGVO im Unternehmensalltag
Die Datenschutz-Grundverordnung (DSGVO) gilt für jede Verarbeitung personenbezogener Daten in Unternehmen – von der Kundendatenbank über die Personalakte bis zum Webseiten-Tracking. Ergänzt wird sie durch das Bundesdatenschutzgesetz (BDSG) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), das unter anderem Cookies und vergleichbare Technologien regelt.
Im IT-Recht begegnet uns Datenschutz in fast jedem Mandat: Wer Software entwickelt, muss Datenschutz durch Technikgestaltung berücksichtigen. Wer Cloud-Dienste nutzt, braucht Auftragsverarbeitungsverträge und muss Drittlandübermittlungen absichern. Wer KI einsetzt, muss Rechtsgrundlagen und Transparenz klären. Und wer einen Online-Shop betreibt, braucht eine korrekte Datenschutzerklärung und ein rechtssicheres Einwilligungsmanagement.
Die Kernpflichten im Überblick
- Rechtsgrundlage: Jede Verarbeitung braucht eine Grundlage – Vertrag, gesetzliche Pflicht, berechtigtes Interesse oder Einwilligung.
- Transparenz: Betroffene müssen informiert werden, was mit ihren Daten geschieht.
- Dokumentation: Verzeichnis der Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, gegebenenfalls Datenschutz-Folgenabschätzung.
- Dienstleister: Auftragsverarbeitungsverträge nach Art. 28 DSGVO, Prüfung von Unterauftragnehmern und Drittlandtransfers.
- Betroffenenrechte: Auskunft, Berichtigung, Löschung, Widerspruch und Datenübertragbarkeit – fristgerecht und vollständig.
- Vorfälle: Erkennen, bewerten, melden und dokumentieren von Datenschutzverletzungen.
Wenn es ernst wird
Besonders zeitkritisch sind Datenpannen – etwa nach einem Hackerangriff, einem Fehlversand oder einem verlorenen Laptop. Die Meldung an die Aufsichtsbehörde muss in der Regel binnen 72 Stunden nach Bekanntwerden erfolgen, bei hohem Risiko sind auch die Betroffenen zu informieren. Gleichzeitig können Pflichten aus dem IT-Sicherheitsrecht (NIS-2) bestehen. Wir unterstützen sofort bei Bewertung, Meldung und Kommunikation und vertreten anschließend in Verfahren der Aufsichtsbehörden sowie bei Schadensersatzforderungen nach Art. 82 DSGVO.
Praxisbeispiele: Datenschutz & DSGVO
Ransomware-Angriff auf einen Mittelständler
Umfangreiches Auskunftsersuchen eines Ex-Mitarbeiters
Datenschutz für eine neue Softwareplattform
Schadensersatzforderungen nach einem Datenleck
Die Beispiele sind typische, anonymisierte und vereinfachte Konstellationen aus der Beratungspraxis. Jeder Fall ist anders – das Ergebnis hängt von den Umständen des Einzelfalls ab.
Unsere Leistungen: Datenschutz & DSGVO
- DSGVO-Umsetzung und Datenschutzkonzepte
- Auftragsverarbeitungs- und Joint-Controller-Verträge
- Drittlandübermittlungen und EU-US Data Privacy Framework
- Soforthilfe bei Datenpannen (72 Stunden)
- Auskunftsersuchen und Betroffenenrechte
- Vertretung gegenüber Aufsichtsbehörden und bei Art. 82 DSGVO
So läuft die Zusammenarbeit ab
Häufige Fragen: Datenschutz & DSGVO
Wann muss eine Datenpanne gemeldet werden?
Grundsätzlich immer, wenn eine Verletzung des Schutzes personenbezogener Daten vorliegt – es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Die Meldung an die Aufsichtsbehörde muss unverzüglich und möglichst binnen 72 Stunden erfolgen. Im Zweifel sollte gemeldet werden.
Was droht bei Datenschutzverstößen?
Aufsichtsbehörden können Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes verhängen. Hinzu kommen Anordnungen, Schadensersatzforderungen Betroffener und Abmahnungen durch Wettbewerber oder Verbände.
Haben Betroffene schon bei einem Kontrollverlust Anspruch auf Schadensersatz?
Nach der Rechtsprechung des EuGH und des BGH kann bereits der kurzzeitige Verlust der Kontrolle über eigene Daten ein immaterieller Schaden sein. Der Betroffene muss den Kontrollverlust aber nachweisen; die Höhe hängt vom Einzelfall ab und ist oft gering.
Brauchen wir einen Datenschutzbeauftragten?
In Deutschland in der Regel, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, oder unabhängig davon bei besonders risikoreichen Verarbeitungen. Wir beraten bei der Bestellung und unterstützen interne wie externe Datenschutzbeauftragte.
Ihre Anfrage an uns
Alle Felder sind freiwillig. Geben Sie nur an, was Sie möchten.
