Start › IT-Recht › Datenschutz
Wir beraten Unternehmen, Behörden und Start-ups im Datenschutzrecht: beim Aufbau einer belastbaren Datenschutzorganisation, bei konkreten Projekten wie Cloud-Migration oder KI-Einführung und im Ernstfall, wenn eine Datenpanne, ein Auskunftsverlangen oder ein Bußgeldverfahren ansteht. Auf dieser Seite finden Sie den Überblick und die Wege zu unseren Fachseiten.
Datenschutz im Unternehmen: der Rechtsrahmen 2026
Maßgeblich ist die Datenschutz-Grundverordnung (DSGVO), die unmittelbar gilt. Das Bundesdatenschutzgesetz (BDSG) ergänzt sie, etwa zum Datenschutzbeauftragten (§ 38 BDSG) und zur Videoüberwachung öffentlich zugänglicher Räume (§ 4 BDSG). Für Cookies, Tracking und den Zugriff auf Endgeräte gilt § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG), das bis Mai 2024 TTDSG hieß. Die Impressumspflicht steht seit Mai 2024 nicht mehr im TMG, sondern in § 5 DDG.
Daneben greifen zunehmend Regelwerke, die nicht „Datenschutz“ heißen, aber personenbezogene Daten betreffen: der Data Act für Daten aus vernetzten Produkten, die KI-Verordnung für KI-Systeme, NIS2 und das neue BSIG für die Informationssicherheit und der Digital Services Act für Plattformen. In Projekten prüfen wir diese Regeln zusammen, damit nicht drei getrennte Compliance-Stränge entstehen.
Unsere Fachseiten zum Datenschutzrecht
- Datenpanne melden: Frist von 72 Stunden nach Art. 33 DSGVO, Benachrichtigung Betroffener nach Art. 34, Dokumentation.
- Bußgeld und Schadensersatz: Verteidigung im Bußgeldverfahren, Abwehr von Ansprüchen nach Art. 82 DSGVO.
- Auftragsverarbeitung: AV-Verträge nach Art. 28 DSGVO, Unterauftragnehmer, Kontrollrechte.
- Datentransfer in Drittländer: EU-US Data Privacy Framework, Standardvertragsklauseln, Transfer Impact Assessment.
- Microsoft 365 und Cloud-Dienste: Konfiguration, Verträge, Dokumentation für den datenschutzkonformen Einsatz.
- Beschäftigtendatenschutz: Mitarbeiterdaten, Überwachung, Betriebsvereinbarungen, KI im Personalbereich.
- Cookies und Tracking: Einwilligung nach § 25 TDDDG, Consent-Banner, Analyse- und Marketing-Tools.
- Datenschutz-Folgenabschätzung: wann eine DSFA nach Art. 35 DSGVO Pflicht ist und wie sie aufgebaut wird.
Pflichten, die fast jedes Unternehmen betreffen
| Pflicht | Norm | Praxis |
|---|---|---|
| Verzeichnis von Verarbeitungstätigkeiten | Art. 30 DSGVO | Grundlage jeder Prüfung durch die Aufsicht; die Ausnahme für kleine Unternehmen greift selten. |
| Datenschutzinformationen | Art. 13, 14 DSGVO | Website, Bewerbungsverfahren, Kunden- und Lieferantendaten, Videoüberwachung. |
| Datenschutzbeauftragter | Art. 37 DSGVO, § 38 BDSG | Pflicht in der Regel ab 20 Personen, die ständig mit automatisierter Verarbeitung befasst sind, sowie bei DSFA-pflichtigen Verarbeitungen. |
| Technische und organisatorische Maßnahmen | Art. 32 DSGVO | Zugriffskonzepte, Verschlüsselung, Backups, Protokollierung, regelmäßige Überprüfung. |
| Meldung von Datenpannen | Art. 33, 34 DSGVO | 72 Stunden ab Kenntnis gegenüber der Aufsichtsbehörde; interne Meldewege vorher festlegen. |
| Betroffenenrechte | Art. 15 bis 22 DSGVO | Auskunft grundsätzlich binnen eines Monats; Auskunftsersuchen werden oft taktisch in Arbeits- oder Vertragsstreitigkeiten eingesetzt. |
Schadensersatz nach Art. 82 DSGVO: das Haftungsrisiko ist real
Nach der Rechtsprechung des EuGH setzt ein immaterieller Schadensersatz keine Erheblichkeitsschwelle voraus. Der Bundesgerichtshof hat im Scraping-Verfahren gegen den Betreiber von Facebook entschieden, dass schon der bloße Kontrollverlust über personenbezogene Daten ein Schaden sein kann (BGH, Urteil vom 18. November 2024, VI ZR 10/24); für den dort zu beurteilenden Fall hielt er einen Betrag in der Größenordnung von 100 Euro für angemessen. Einzeln sind die Beträge also oft gering. Bei Massenverfahren nach einem Sicherheitsvorfall und mit Prozessfinanzierern im Hintergrund summiert sich das Risiko jedoch schnell.
Datenschutzberatung: so gehen wir vor
- Bestandsaufnahme: Wir sichten Verarbeitungsverzeichnis, Datenschutzinformationen, AV-Verträge und Löschkonzept und benennen die Lücken mit Priorität.
- Projektbegleitung: Bei neuen Systemen, etwa CRM, HR-Software, Cloud oder KI-Anwendungen, prüfen wir Rechtsgrundlage, Vertragslage, Drittlandbezug und den Bedarf einer DSFA, bevor der Vertrag unterschrieben ist.
- Krisenfall: Bei einer Datenpanne unterstützen wir innerhalb der 72-Stunden-Frist bei Bewertung, Meldung und Kommunikation, auf Wunsch zusammen mit IT-Forensikern.
- Streitfälle: Wir vertreten Sie gegenüber Aufsichtsbehörden, im Bußgeldverfahren und vor Gericht, etwa bei Auskunfts- und Schadensersatzklagen.
Für ein Erstgespräch hilft uns eine kurze Beschreibung des Anliegens, das vorhandene Verarbeitungsverzeichnis und gegebenenfalls Schreiben der Behörde oder der Gegenseite.
Die EU-Kommission hat mit dem Digital-Omnibus Änderungen an DSGVO und Cookie-Regeln vorgeschlagen, unter anderem zur Definition personenbezogener Daten und zu Einwilligungen bei Endgerätezugriffen. Nach unserem Kenntnisstand ist dieser Teil im November 2026 noch nicht verabschiedet. Bis dahin gelten DSGVO und § 25 TDDDG unverändert.
Häufige Fragen zum Datenschutz im Unternehmen
Brauchen wir einen externen Datenschutzbeauftragten?
Eine Pflicht zur Benennung besteht unter den Voraussetzungen des § 38 BDSG und des Art. 37 DSGVO. Ob ein interner oder externer Beauftragter sinnvoller ist, hängt von Größe, Branche und möglichen Interessenkonflikten ab. Geschäftsführung und IT-Leitung sollten das Amt nicht selbst übernehmen.
Was kostet ein Datenschutzverstoß?
Art. 83 DSGVO erlaubt Bußgelder bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. In der Praxis wiegen oft Schadensersatzforderungen, Abmahnungen von Wettbewerbern und der Aufwand für Aufarbeitung und Kommunikation schwerer als das Bußgeld.
Dürfen wir Kundendaten in KI-Tools eingeben?
Nur mit Rechtsgrundlage, passendem Vertrag mit dem Anbieter und geklärtem Drittlandtransfer. Bei Unternehmensversionen lassen sich diese Punkte meist lösen, bei frei verfügbaren Consumer-Tools in der Regel nicht. Wir empfehlen eine interne KI-Richtlinie, die festlegt, welche Daten in welche Tools dürfen.
Wie schnell müssen wir auf ein Auskunftsersuchen antworten?
Grundsätzlich innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO). Eine Verlängerung um zwei Monate ist bei komplexen Anfragen möglich, muss aber innerhalb der ersten Frist begründet mitgeteilt werden.
Verwandte Themen
Ihr Ansprechpartner
Sie haben eine konkrete Datenschutzfrage, eine Datenpanne oder Post von der Aufsichtsbehörde? Rufen Sie uns an unter 0511 35 73 56-0 oder schreiben Sie an info@itrechtler.de.