Rechtsgebiet
Datenschutzrecht: beraten, umsetzen, vertreten
Die Verarbeitung personenbezogener Daten ist Bestandteil vieler Geschäftsprozesse. Unternehmen und Betroffene haben gleichermaßen ein Interesse daran, dass sie im Einklang mit der DSGVO erfolgt.
Wir beraten zum Datenschutzrecht, begleiten die Umsetzung im Betrieb und vertreten gegenüber Aufsichtsbehörden und Gerichten. Von Hannover aus und damit in unmittelbarer Nähe zur Landesbeauftragten für den Datenschutz Niedersachsen, die für niedersächsische Mandate die zuständige Aufsicht ist.
Datenschutz nach Maß heißt bei uns, dass Richtlinien, Schulungen und Verfahren die Verarbeitungen in Ihrem Unternehmen beschreiben und nicht die eines gedachten Durchschnittsbetriebs.
- Datenschutz nach MaßWir beraten zu allen Fragen des Datenschutzrechts und richten die Umsetzung an Ihren Verarbeitungen aus, nicht an einer Vorlage.
- DatenschutzbeauftragteÜber unsere Schwesterfirma lexICT stellen wir für Sie die externen Datenschutzbeauftragten.
- Rechtliche VertretungWir setzen Ihre Rechte durch, vor Gericht und außergerichtlich, im Bußgeldverfahren ebenso wie bei Schadensersatz und Herausgabe von Daten.
Womit Datenschutzmandate beginnen
Die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO verlangt nicht nur die Einhaltung, sondern ihren Nachweis. Ohne diesen Nachweis steht die verantwortliche Stelle im Verfahren da wie jemand, der die Einhaltung versäumt hat.
Den eigenen Stand feststellen
Wir gleichen Verarbeitungen, Verzeichnisse und Verträge mit den gesetzlichen Anforderungen ab und benennen, wo etwas fehlt und wie schwer es wiegt. Das Ergebnis ist eine Reihenfolge, keine Mängelliste ohne Gewichtung.
Richtlinien und Folgenabschätzung
Eine maßgeschneiderte Richtlinie wirkt nur, wenn sie beschreibt, was tatsächlich geschieht. Wo eine Verarbeitung ein hohes Risiko birgt, tritt die Datenschutz-Folgenabschätzung hinzu. Ihre Schwelle wird häufig unterschätzt.
Schulung der Beschäftigten
Die meisten Vorfälle beginnen nicht in der Technik, sondern an einem Arbeitsplatz. Wir schulen auf die Verarbeitungen im Unternehmen statt auf die DSGVO im Allgemeinen und dokumentieren die Teilnahme, weil auch sie zum Nachweis gehört.
Datenpanne und Meldung
Die Frist von 72 Stunden läuft ab Kenntnis der verantwortlichen Stelle, nicht ab dem Angriff. Zu melden ist nur, was voraussichtlich ein Risiko begründet. Die Abwägung ist aber in jedem Fall zu dokumentieren, auch wenn sie gegen eine Meldung ausfällt.
Auskunft, Löschung und Widerspruch
Auskunftsersuchen kommen kaum allein und verfolgen oft ein anderes Ziel als die Auskunft. Der Anspruch reicht weiter, als die meisten erwarten, aber nicht unbegrenzt. Rechte Dritter und Geschäftsgeheimnisse setzen ihm Grenzen.
Übermittlung in Drittländer
Bei US-Anbietern entscheidet zuerst die Frage, ob das Unternehmen im Angemessenheitsrahmen gelistet ist. Erst danach zählt, welche Garantien nötig bleiben. Die Prüfung gehört vor die Beschaffung und ist zu dokumentieren.
Bußgeld und Verfahren
Ein Verfahren beginnt meist mit einer Anhörung. Was dort geschrieben wird, prägt den weiteren Verlauf. Der Rahmen reicht nach Art. 83 DSGVO bis 20 Millionen Euro oder vier Prozent des weltweiten Konzernjahresumsatzes.
Verfahren vor der Aufsichtsbehörde
Wir begleiten Sie von der ersten Anhörung über Auskunftsverlangen bis zum Bußgeldbescheid und dessen Anfechtung, gegenüber der jeweils zuständigen Aufsichtsbehörde und bundesweit. Der Bußgeldrahmen reicht nach Art. 83 DSGVO bis 20 Millionen Euro oder vier Prozent des weltweiten Konzernjahresumsatzes.
Sind Sie DSGVO-konform?
Wir sagen Ihnen, wo Sie stehen und was vor der nächsten Prüfung zu tun ist.
Erstgespräch vereinbarenThemen in diesem Rechtsgebiet
- Abmahnung erhaltenAbmahnung wegen Marken-, Urheber- oder Wettbewerbsrechts: Prüfung des Anspruchs, modifizierte Unterlassungserklärung und Abwehr unberechtigter Forderungen.
- AuskunftsersuchenAuskunft nach Art. 15 DSGVO: Umfang, Monatsfrist, Kopie der Daten und die Grenzen durch Rechte Dritter und Geschäftsgeheimnisse.
- BußgeldverfahrenBußgeld nach Art. 83 DSGVO: Zumessungskriterien, Anhörung, Einspruch gegen den Bescheid und die Frage der Haftung im Konzern.
- Cookie-BannerCookie-Banner rechtssicher gestalten: Einwilligung nach dem TDDDG, gleichwertige Ablehnung, Dokumentation und die häufigsten Gestaltungsfehler.
- DatenpanneMeldepflicht nach Art. 33 DSGVO, Frist von 72 Stunden, Benachrichtigung der Betroffenen: das Vorgehen nach einer Datenpanne.
- Datenqualität und DiskriminierungArt. 10 KI-VO verlangt eine Daten-Governance gegen Verzerrungen. Welche Qualitätskriterien gelten, was Betreiber schulden und wie das AGG hineinspielt.
- Datenschutz im E-Sport-VereinDatenschutz im Verein: Mitgliederverwaltung, Kommunikation über Discord, Streams bei Turnieren und die Pflichten des Vorstands.
- Datenschutz-AuditDatenschutz-Audit für DSGVO und BDSG: Einschätzung Ihrer Compliance, Prüfung einzelner Prozesse und Bericht als Nachweis gegenüber Dritten.
- Datenschutz-FolgenabschätzungDatenschutz-Folgenabschätzung nach Art. 35 DSGVO: wann sie nötig ist, was hineingehört und wann die Aufsichtsbehörde vorab zu konsultieren ist.
- DatenschutzschulungenDatenschutzschulungen für Beschäftigte: Ausbildung und Pflichtschulung, als Inhouse-Termin, Webinar oder E-Learning. Inhalte auf Wunsch zugeschnitten.
- Discord und TeamkommunikationServerbetrieb, Rollen und Moderation, Protokolle und Drittlandtransfer: Was ein Verein regeln muss, der seine Kommunikation über Discord abwickelt.
- DrittlandtransferDatenübermittlung in Drittländer: Angemessenheitsbeschluss, Standardvertragsklauseln, Transfer Impact Assessment und die Rolle des Zugriffs von Behörden.
- Eingaben als TrainingsdatenWerden unsere Eingaben zum Training genutzt? Vertraulichkeit, Geschäftsgeheimnisse und die Vertragsgestaltung gegenüber KI-Anbietern.
- Gemeinsame VerantwortlichkeitSie entsteht aus der gemeinsamen Festlegung von Zwecken und Mitteln, ohne Vertrag und ohne Absicht. Wie weit sie reicht und was die Vereinbarung regeln muss.
- Microsoft 365 und DSGVOMicrosoft 365 datenschutzkonform einsetzen: Folgenabschätzung, datenschutzfreundliche Konfiguration und Vertretung gegenüber der Aufsichtsbehörde.
- Online-Marketing und DSGVOGoogle Analytics, Consent-Management und Targeted Ads datenschutzkonform einsetzen: Prüfung Ihrer Webseiten und Beratung zur Einbindung.
- Schadensersatz nach Art. 82 DSGVOEin Anspruchsschreiben ist eingegangen. Was der Verstoß beweist, was er nicht beweist und woran sich die Höhe tatsächlich bemisst.
- Schweigepflicht und IT-DienstleisterAuslagerung durch Berufsgeheimnisträger: warum der Vertrag zur Auftragsverarbeitung die Verschwiegenheit nicht regelt und welche Anbieter deshalb ausscheiden.
- Streaming von PartienTurnier, Training, Scrim oder eigener Kanal: Welche Rechtsgrundlage die Übertragung trägt, wer verantwortlich ist und welche Technik den Aufwand senkt.
- Tracking und TDDDGTracking nach dem TDDDG: Zugriff auf das Endgerät, die enge Ausnahme der Erforderlichkeit und das Verhältnis zur DSGVO.
- TranskriptionsassistentenKI-Mitschriften in Besprechungen rechtssicher einsetzen: Strafrecht, Beschäftigtendatenschutz, Mitbestimmung und die Nutzungsregelung dazu.
- Überwachung am ArbeitsplatzÜberwachungspotenzial entsteht meist als Nebenwirkung. Wie es festgestellt, technisch gesenkt und für den verbleibenden Rest mit dem Betriebsrat geregelt wird.
- Verfahren mit der AufsichtsbehördeAnhörung, Auskunftsverlangen, Anordnung oder Bußgeld: Wir vertreten Sie als Rechtsanwältinnen und Rechtsanwälte gegenüber der Datenschutzaufsicht.
- Videoüberwachung im BetriebWas eine Kamera im Betrieb rechtfertigt, wohin sie zeigen darf, wie lange die Aufnahmen bleiben und wann sie vor Gericht verwertbar sind.
Häufige Fragen
Müssen wir jede Datenpanne melden?
Nein. Zu melden ist nur, was voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Die Abwägung muss aber in jedem Fall dokumentiert werden, auch wenn sie gegen eine Meldung ausfällt. Fehlt die Dokumentation, dürfte sie im Verfahren der erste Angriffspunkt der Aufsichtsbehörde sein.
Läuft die 72-Stunden-Frist ab dem Angriff oder ab unserer Kenntnis?
Ab Kenntnis der verantwortlichen Stelle. Bei Kenntnis am Freitagabend bleibt keine Zeit bis Montag. Deshalb gehört ein eingeübter Meldeprozess zur Vorbereitung und nicht in den Ernstfall.
Ein ehemaliger Mitarbeiter fordert Auskunft über alle Daten. Wie weit reicht das?
Weiter, als die meisten erwarten, aber nicht unbegrenzt. Der Anspruch umfasst die verarbeiteten personenbezogenen Daten samt Angaben zu Zwecken, Empfängern und Speicherdauer. Rechte Dritter und Geschäftsgeheimnisse setzen Grenzen. Wir prüfen, was herauszugeben ist und was zurückgehalten werden darf.
Brauchen wir mit jedem Dienstleister einen Auftragsverarbeitungsvertrag?
Nein, nur dort, wo weisungsgebunden für Sie verarbeitet wird. Wer eigenverantwortlich über Zweck und Mittel entscheidet, ist selbst verantwortliche Stelle, etwa Steuerberatung, Rechtsanwaltschaft und Banken. Ein Vertrag über Auftragsverarbeitung an dieser Stelle beschreibt das Verhältnis falsch. Das fällt bei der ersten Prüfung auf.
Ab wann brauchen wir eine oder einen Datenschutzbeauftragten?
In der Regel ab zwanzig Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind. Unabhängig von dieser Zahl besteht die Pflicht, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen oder wenn geschäftsmäßig zum Zweck der Übermittlung verarbeitet wird. Die Bestellung selbst läuft bei uns über die lexICT GmbH als Service-Gesellschaft.
Dürfen wir Anbieter aus den USA einsetzen?
Ja, wenn die Voraussetzungen vorliegen. Die erste Frage ist, ob das Unternehmen im Angemessenheitsrahmen gelistet ist. Dann bedarf die Übermittlung keiner weiteren Garantie. Ist es das nicht, kommen Standardvertragsklauseln und eine Abschätzung der Rechtslage im Zielland hinzu. Beides gehört vor die Beschaffung und ist zu dokumentieren.
Löst jeder Verstoß Schadensersatz aus?
Nein. Der Gerichtshof der Europäischen Union verlangt einen tatsächlich eingetretenen Schaden, der Verstoß allein genügt nicht. Eine Erheblichkeitsschwelle gibt es aber auch nicht. Ein immaterieller Schaden kann bereits in der begründeten Befürchtung liegen, dass Daten missbräuchlich verwendet werden. Die Beträge bleiben meist niedrig, die Zahl der Verfahren nicht.