DSGVO / Datenschutz — Compliance ohne Wenn und Aber

Eine Datenpanne ist grundsätzlich meldepflichtig. Das gilt nur dann nicht, wenn sie voraussichtlich zu keinem Risiko für die Rechte und Freiheiten der Betroffenen führt (Art. 33 Abs. 1 DSGVO). Meldepflichtig sind in der Regel etwa ein Hackerangriff, verlorene oder gestohlene Datenträger oder eine E-Mail mit Kundendaten an den falschen Empfänger.

Die Meldung an die Aufsichtsbehörde muss unverzüglich und möglichst innerhalb von 72 Stunden erfolgen, nachdem Sie von der Panne erfahren haben. Bei hohem Risiko müssen Sie zusätzlich die Betroffenen benachrichtigen (Art. 34 DSGVO).

In Geschäftszeiten bewerten wir den Fall in der Regel innerhalb von 1–2 Stunden und bereiten die Meldung vor.

Der Höchstrahmen liegt bei 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Bei kleinen und mittleren Unternehmen bewegen sich die Bußgelder in vielen Fällen im vier- bis fünfstelligen Bereich. Bei Wiederholung, fehlender Kooperation mit der Behörde oder schweren Verstößen fallen sie deutlich höher aus. Wir schätzen Ihr konkretes Bußgeldrisiko ein und zeigen Ihnen, welche Maßnahmen es senken.

Ein Datenschutzbeauftragter ist Pflicht, wenn in Ihrem Unternehmen in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG). Dazu zählen auch Teilzeitkräfte, Auszubildende und freie Mitarbeiter. Unabhängig davon besteht die Pflicht, wenn Ihre Kerntätigkeit in der umfangreichen Verarbeitung besonders sensibler Daten wie Gesundheitsdaten oder in der systematischen Überwachung von Personen liegt (Art. 37 Abs. 1 DSGVO). Sie besteht auch, wenn Ihre Verarbeitungen eine Datenschutz-Folgenabschätzung erfordern.

Ob eine Benennungspflicht besteht, prüfen wir für Sie.

Für einen einfachen Webauftritt mit Standard-Tools häufig ja. Sobald Tracking, Marketing-Pixel oder Datenübermittlungen in die USA hinzukommen, wird es komplexer. Dann sind die Einwilligung nach § 25 TDDDG (früher TTDSG) und die Anforderungen an Drittlandübermittlungen zu beachten. Mit dem Schrems-II-Urteil (2020) hat der EuGH den Privacy Shield für ungültig erklärt. Seit Juli 2023 lassen sich Übermittlungen an US-Anbieter, die nach dem EU-US Data Privacy Framework zertifiziert sind, darauf stützen. Für alle anderen US-Anbieter kommen etwa Standardvertragsklauseln mit einer Prüfung des Übermittlungsrisikos in Betracht. Wir prüfen Ihren konkreten Tech-Stack.

Sie müssen innerhalb eines Monats antworten (Art. 12 Abs. 3 DSGVO). Bei komplexen oder zahlreichen Anträgen lässt sich die Frist um zwei Monate verlängern; das teilen Sie der betroffenen Person innerhalb des ersten Monats mit Begründung mit.

Die Auskunft umfasst eine Kopie der gespeicherten Daten sowie Angaben zu Zwecken, Empfängern, Speicherdauer, Herkunft der Daten und den Rechten der betroffenen Person (Art. 15 DSGVO). Ablehnen können Sie nur in eng begrenzten Fällen, etwa bei offenkundig unbegründeten oder exzessiven Anträgen. Wir formulieren die Antwort für Sie.

Wir liefern eine Arbeitsanweisung und eine Excel-Vorlage. Bei jeder neuen Verarbeitung ergänzt die zuständige Person, etwa aus der Geschäftsführung, das Verzeichnis in 5–10 Minuten. Einmal im Quartal prüfen Sie das Verzeichnis vollständig auf Aktualität.