Chemiebetriebe und Pharmaunternehmen verarbeiten täglich Daten, die weit über das übliche Maß eines Industriebetriebs hinausgehen: Gesundheitsdaten von Beschäftigten, klinische Forschungsdaten, Lieferantendatensätze, Sicherheitsdatenblätter mit personenbezogenen Angaben, Informationen aus Laborstudien. Aus Sicht der Aufsichtsbehörden handelt es sich dabei um eine Kombination besonders sensibler Datenkategorien – und damit um ein strukturell erhöhtes Risikoprofil. Welche Maßstäbe die Datenschutzbehörden und die Gerichte heute anlegen, und welche Folgen sich für die Geschäftsführung eines mittelständischen Chemie- oder Pharmaunternehmens ergeben, ist Gegenstand dieser Analyse.
Die DSGVO-Compliance für Unternehmen der Chemie- und Pharmaindustrie ist kein Selbstläufer: Die Verarbeitung besonderer Datenkategorien – namentlich Gesundheitsdaten nach Art. 9 DSGVO – unterliegt einem strengen Erlaubnisvorbehalt, und die gefestigte behördliche wie gerichtliche Praxis zeigt, dass Verstöße mit Bußgeldern von bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes geahndet werden können. Für Geschäftsführer folgt daraus eine unmittelbare Organisationspflicht: Wer keine nachweisbaren Compliance-Strukturen vorhält, riskiert persönliche Haftung und behördliche Eskalation. Dieser Beitrag ordnet die aktuelle Rechtsprechung und Behördenpraxis ein und zeigt, wo konkreter Handlungsbedarf besteht.
Im Folgenden beleuchten wir zunächst den Rechtsrahmen und die branchenspezifischen Besonderheiten, werten die relevante Rechtsprechung und Behördenpraxis aus, analysieren die Haftungsposition der Geschäftsführung und geben einen praxisorientierten Ausblick auf Handlungsschritte.
Rechtsrahmen: Was gilt für die Chemie- und Pharmaindustrie besonders?
Unternehmen der Chemie- und Pharmaindustrie sind datenschutzrechtlich in einer Mehrfachpflicht. Die DSGVO gilt als unmittelbar anwendbares EU-Recht, das durch das Bundesdatenschutzgesetz (BDSG) ergänzt und an mehreren Stellen sektoral konkretisiert wird. Entscheidend für diese Branche ist die Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO: Gesundheitsdaten und genetische Daten sind danach grundsätzlich verboten zu verarbeiten, es sei denn, einer der abschließend aufgezählten Erlaubnistatbestände greift.
In der pharmazeutischen Forschung – etwa in klinischen Studien – ist dies regelmäßig die ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) oder die Verarbeitung zum Zwecke der medizinischen Forschung (Art. 9 Abs. 2 lit. j DSGVO i. V. m. § 27 BDSG). Für die Personalverwaltung, etwa bei der Verarbeitung von Arbeitsunfähigkeitsdaten oder Betriebsarztunterlagen, greift § 26 BDSG als lex specialis. Das Nebeneinander von DSGVO-Regelerlaubnissen, BDSG-Sonderregelungen und bereichsspezifischen Gesetzen wie dem Arzneimittelgesetz (AMG) oder der EU-Verordnung über klinische Prüfungen (EU 536/2014) schafft ein komplexes Normengefüge, das in der Praxis häufig unterschätzt wird.
Hinzu kommt die Pflicht zur Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO. Für Unternehmen, die systematisch besondere Datenkategorien verarbeiten – und das trifft auf Pharmaunternehmen mit klinischer Forschung oder Chemieunternehmen mit Betriebsärztlichem Dienst nahezu regelmäßig zu –, ist die DSFA keine Kür, sondern Pflicht. Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) hat Muss-Listen veröffentlicht, die bestimmte Verarbeitungstypen dieser Branche explizit erfassen.
Wie haben Behörden und Gerichte bislang entschieden?
Die behördliche und gerichtliche Rechtsprechung hat in den zurückliegenden Jahren wesentliche Grundlinien gesetzt, die für den Mittelstand in der Chemie- und Pharmaindustrie unmittelbar handlungsrelevant sind. Dabei gilt: Die Aufsichtsbehörden orientieren sich nicht nur an Einzelfällen, sondern haben inzwischen eine gefestigte Behördenpraxis entwickelt, die sich an den Grundprinzipien des Art. 5 DSGVO – Rechtmäßigkeit, Zweckbindung, Datenminimierung, Integrität und Vertraulichkeit sowie Rechenschaftspflicht – ausrichtet.
Ein zentraler Praxisauftrag der Aufsichtsbehörden betrifft die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Danach muss der Verantwortliche nicht nur die Grundsätze einhalten, sondern dies auch nachweisen können. Die gefestigte Behördenpraxis – bestätigt durch verwaltungsgerichtliche Entscheidungen mehrerer Instanzen – geht dahin, dass das Fehlen einer nachvollziehbaren Dokumentation (Verarbeitungsverzeichnis, DSFA, technische und organisatorische Maßnahmen) als eigenständiger Verstoß gewertet werden kann, unabhängig davon, ob tatsächlich Daten unbefugt geflossen sind. Für die Chemie- und Pharmaindustrie bedeutet das: Die Nachweisbarkeit von Compliance-Maßnahmen ist kein administrativer Formalismus, sondern konstitutives Element der Rechtmäßigkeit der Datenverarbeitung.
In der Rechtsprechung der Datenschutzbehörden fällt weiter auf, dass Verstöße gegen die Auftragsverarbeitungsregelungen nach Art. 28 DSGVO regelmäßig im Fokus stehen. Gerade Chemieunternehmen, die externe Labore beauftragen, oder Pharmaunternehmen, die CROs (Contract Research Organizations) einsetzen, geraten in Schwierigkeiten, wenn die Auftragsverarbeitungsverträge (AVV) nicht den gesetzlichen Mindestanforderungen entsprechen oder faktisch nicht gelebt werden. Die Behörden haben klargestellt, dass ein Vertrag auf dem Papier allein nicht genügt – der Verantwortliche muss geeignete Garantien des Auftragsverarbeiters prüfen und dokumentieren.
Für internationale Datentransfers – im Pharmabereich etwa im Rahmen globaler klinischer Studien oder multinationaler Konzernstrukturen – hat die behördliche Praxis nach den Entscheidungen des Europäischen Gerichtshofs (EuGH) im Bereich der Drittstaatentransfers erhebliche Anforderungen etabliert. Der Transfer personenbezogener Daten in Drittstaaten ohne angemessenes Schutzniveau – etwa in die USA ohne gültige Übertragungsmechanismen – ist seitdem ein dauerhafter Prüfungsschwerpunkt nationaler Behörden. Betroffene Unternehmen müssen nicht nur auf gültige Standarddatenschutzklauseln (SCC) zurückgreifen, sondern auch einen Transfer Impact Assessment (Transferfolgenabschätzung) durchführen und dokumentieren.
Welche Bußgeldrisiken drohen konkret – und wie werden sie bemessen?
Das Bußgeldsystem der DSGVO ist zweistufig: Verstöße gegen grundlegende Verarbeitungsgrundsätze und Erlaubnistatbestände, einschließlich Art. 9 DSGVO, können mit bis zu 20 Millionen Euro oder 4 Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Formelle Verstöße – etwa gegen Pflichten des Auftragsverarbeiters oder die Meldepflicht nach Art. 33 DSGVO – können mit bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes geahndet werden.
Die Bußgeldbemessung folgt in der Praxis der Methodik der Datenschutzkonferenz und der European Data Protection Board (EDPB)-Leitlinien. Relevante Faktoren sind danach: Art, Schwere und Dauer des Verstoßes; Vorsatz oder Fahrlässigkeit; ergriffene Abhilfemaßnahmen; Kooperationsbereitschaft mit der Behörde; frühere Verstöße; Kategorien der betroffenen Daten sowie die Anzahl der Betroffenen. Für ein mittelständisches Pharmaunternehmen, das ohne ausreichende Rechtsgrundlage Gesundheitsdaten verarbeitet und keine DSFA durchgeführt hat, bedeutet diese Formel: Mehrere Faktoren addieren sich, und die Behörde ist nicht verpflichtet, sich an einem Minimalbetrag zu orientieren.
Was in der Mandatspraxis besonders auffällt: Die deutschen Aufsichtsbehörden haben sich von einer anfänglich eher zurückhaltenden Bußgeldpraxis schrittweise zu einer entschlosseneren Sanktionierungsbereitschaft entwickelt. Insbesondere die Verarbeitung von Beschäftigtendaten ohne ausreichende Rechtsgrundlage sowie Mängel im Sicherheitskonzept nach Art. 32 DSGVO – fehlende Verschlüsselung, unzureichende Zugriffskontrollen, mangelhaftes Patch-Management – sind regelmäßige Auslöser für Verfahrenseinleitungen. Chemieunternehmen, die in OT-Umgebungen (Operational Technology) arbeiten, sind zusätzlich durch die Überschneidung von Datenschutz- und IT-Sicherheitsanforderungen (NIS-2-Richtlinie, Umsetzung im BSIG) gefordert.
Haftung der Geschäftsführung: Wer trägt das persönliche Risiko?
Eine Frage, die in unserer Mandatspraxis regelmäßig von Geschäftsführern mittelständischer Chemie- und Pharmaunternehmen gestellt wird: Bin ich persönlich haftbar, wenn es zu einem DSGVO-Verstoß kommt? Die Antwort ist differenziert – aber für die Praxis eindeutig.
Als Verantwortliche im Sinne der DSGVO gilt grundsätzlich das Unternehmen (die juristische Person), nicht die natürliche Person des Geschäftsführers. Bußgelder nach Art. 83 DSGVO richten sich primär gegen den Verantwortlichen als Rechtsperson. Gleichwohl können sich persönliche Haftungsrisiken der Geschäftsführung auf zwei Wegen materialisieren. Erstens: Nach § 130 OWiG haftet derjenige, der Aufsichtsmaßnahmen unterlässt, die einen betriebsbezogenen Rechtsverstoß verhindert hätten – dazu zählt auch das Unterlassen angemessener Datenschutzorganisation. Zweitens kann nach §§ 43, 64 GmbHG eine Innenhaftung gegenüber der Gesellschaft entstehen, wenn ein Geschäftsführer die gebotene Sorgfalt bei der Einrichtung einer datenschutzkonformen Organisation schuldhaft vernachlässigt hat und der Gesellschaft daraus ein Schaden – etwa durch Bußgeld oder Schadensersatzansprüche Betroffener nach Art. 82 DSGVO – entsteht.
Der individuelle Schadensersatzanspruch Betroffener nach Art. 82 DSGVO ist ein weiteres Element, das in der Praxis zunehmend an Bedeutung gewinnt. Die höchstrichterliche Rechtsprechung – insbesondere des EuGH – hat klargestellt, dass für einen immateriellen Schaden nach Art. 82 DSGVO kein erheblicher Nachteil vorausgesetzt wird. Der bloße Kontrollverlust über eigene Daten kann genügen. Dies erhöht das Aggregationsrisiko: In einem Pharmaunternehmen mit hunderten oder tausenden Studienprobanden können sich viele Einzelansprüche summieren.
Für inhabergeführte Chemie- oder Pharmaunternehmen mit einem engeren Gesellschafterkreis gilt dies in besonderem Maße: Wenn Gesellschafter zugleich Geschäftsführer sind und im Rahmen von Betriebsprüfungen oder behördlichen Verfahren persönlich in den Fokus geraten, kann die Grenze zwischen unternehmensseitiger und persönlicher Haftung rasch verschwimmen. Eine klare Compliance-Dokumentation schützt auch die Person, nicht nur das Unternehmen.
Welche Pflichten gelten im operativen Tagesbetrieb – und was wird häufig versäumt?
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Pharmaunternehmen mit rund 280 Beschäftigten, das im Bereich der Wirkstoffforschung tätig ist. Das Unternehmen hatte ein Datenschutzkonzept, das zuletzt vor Inkrafttreten der DSGVO aktualisiert worden war. Eine DSFA für die Verarbeitung klinischer Probandendaten war nie erstellt worden. Ein Auftragsverarbeitungsvertrag mit dem beauftragten CRO enthielt zwar die Standardklauseln, aber keine dokumentierten Prüfungen der tatsächlichen Sicherheitsmaßnahmen des Dienstleisters. Im Rahmen einer routinemäßigen Behördenprüfung wurden diese Mängel beanstandet. Vorgehen: Sofortige Erstellung einer retrospektiven DSFA, Nachverhandlung des AVV mit Dokumentation der TOM-Prüfung, Einführung eines internen Löschkonzepts. Das Verfahren konnte ohne Bußgeld abgeschlossen werden; ausschlaggebend war die nachgewiesene Kooperationsbereitschaft und die zügige Abhilfe.
Dieser Fall steht exemplarisch für ein verbreitetes Muster: Unternehmen haben bisweilen Konzepte auf dem Papier, die in der Praxis nicht gelebt werden oder nicht mehr dem aktuellen Stand entsprechen. Die Behörden prüfen zunehmend nicht nur die Existenz von Dokumenten, sondern deren tatsächliche Anwendung.
Zu den operativen Pflichten, die in unserer Erfahrung häufig unterschätzt werden, gehören:
- Verarbeitungsverzeichnis (Art. 30 DSGVO): Für Chemie- und Pharmaunternehmen ist das Verzeichnis der Verarbeitungstätigkeiten aufgrund der Vielfalt der Datenflüsse regelmäßig umfangreich. Es muss aktuell gehalten und bei Änderungen – etwa dem Einsatz neuer Analyseplattformen – zeitnah angepasst werden.
- Technische und organisatorische Maßnahmen (Art. 32 DSGVO): Die Anforderungen richten sich nach dem Risiko. Für Gesundheits- und genetische Daten ist ein hohes Schutzniveau geboten: Pseudonymisierung, Verschlüsselung, Zugriffsprotokollierung und Notfallmanagement sind dabei keine Optionen, sondern Pflichtbausteine.
- Datenschutzbeauftragter (Art. 37 DSGVO i. V. m. § 38 BDSG): Chemie- und Pharmaunternehmen sind aufgrund der systematischen Verarbeitung besonderer Datenkategorien regelmäßig verpflichtet, einen Datenschutzbeauftragten zu bestellen. Die Nichtbestellung trotz bestehender Pflicht ist ein eigenständiger bußgeldbewehrter Verstoß.
- Löschkonzept: Speicherfristen für Forschungs- und Beschäftigtendaten müssen dokumentiert und systemseitig umgesetzt sein. Das Spannungsverhältnis zwischen Aufbewahrungspflichten aus dem Arzneimittelrecht (etwa GCP-Anforderungen) und dem datenschutzrechtlichen Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO erfordert eine differenzierte Lösung.
Meldepflicht bei Datenpannen: Was gilt in der Chemie- und Pharmaindustrie?
Datenpannen – also Verletzungen des Schutzes personenbezogener Daten nach Art. 4 Nr. 12 DSGVO – sind in der Chemie- und Pharmaindustrie besonders heikel, weil die betroffenen Datenkategorien regelmäßig sensibel sind. Die Meldung an die zuständige Aufsichtsbehörde muss binnen 72 Stunden nach Bekanntwerden der Verletzung erfolgen (Art. 33 DSGVO), sofern die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Bei einem Pharmaunternehmen, das Probandendaten oder Patientendaten verarbeitet, ist ein solches Risiko regelmäßig anzunehmen. Die 72-Stunden-Frist beginnt nicht erst, wenn das Unternehmen vollständige Kenntnis hat, sondern bereits dann, wenn hinreichende Anhaltspunkte für eine Verletzung bestehen. Das setzt voraus, dass intern klare Eskalationspfade existieren: Wer nimmt einen Datensicherheitsvorfall auf? Wer entscheidet über die Meldeschwelle? Wer kommuniziert mit der Behörde?
Fehlt eine solche Meldestruktur, wird aus einem behebbaren Vorfall sehr schnell ein doppelter Verstoß: der ursprüngliche Datensicherheitsvorfall und die verspätete oder unterlassene Meldung. In der Mandatspraxis sehen wir Unternehmen, die Verstöße spät erkennen, weil das interne Monitoring unzureichend ist – und dann in der Frist bereits hoffnungslos sind. Hier hilft nur präventive Strukturarbeit.
Sofern die Verletzung voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt, besteht zusätzlich eine unverzügliche Benachrichtigungspflicht gegenüber den betroffenen Personen selbst (Art. 34 DSGVO). Bei einem Pharmaunternehmen, das Gesundheitsdaten von Studienteilnehmern betreibt, ist diese Schwelle rasch erreicht.
Die vorstehende Darstellung betrifft die Regelfälle der DSGVO-Compliance in der Chemie- und Pharmaindustrie. Ihr konkreter Fall erfordert die Prüfung Ihrer spezifischen Verarbeitungstätigkeiten, Ihrer bestehenden Dokumentation und der Anforderungen Ihrer Aufsichtsbehörde. Für eine fachliche Einschätzung Ihrer Situation schreiben Sie an info@brandtfalk.com.
Handlungsempfehlungen: Was sollten Geschäftsführer jetzt veranlassen?
Die Rechtsprechungs- und Behördenpraxis der vergangenen Jahre ergibt ein klares Bild: Wer DSGVO-Compliance als einmalig zu bewältigendes Projekt betrachtet, liegt falsch. Das Datenschutzrecht der Chemie- und Pharmaindustrie ist ein fortlaufender Prozess der Anpassung, Dokumentation und Verbesserung. Für Geschäftsführer leiten sich daraus konkrete Prioritäten ab.
Erstens: Gap-Analyse. Wo stehen Sie heute? Das Verarbeitungsverzeichnis, bestehende DSFAs, AVV-Verträge mit Dienstleistern und die aktuelle Fassung der TOM-Dokumentation müssen auf den aktuellen Stand der Anforderungen überprüft werden. Besonderes Augenmerk verdienen Drittstaatentransfers – insbesondere wenn CROs oder Cloud-Dienstleister außerhalb des EWR eingebunden sind.
Zweitens: Branchenspezifische Erlaubnisgrundlagen. Für jede Verarbeitungstätigkeit mit Gesundheits- oder genetischen Daten muss eine tragfähige Erlaubnisgrundlage nach Art. 9 Abs. 2 DSGVO vorliegen und dokumentiert sein. Das gilt auch für intern genutzte Daten, etwa im Betriebsärztlichen Dienst oder im Beschäftigtendatenschutz.
Drittens: Datenpannen-Management. Klare interne Prozesse für Erkennung, Eskalation, Bewertung und Meldung von Datenpannen sind nicht optional. Die 72-Stunden-Frist nach Art. 33 DSGVO lässt keinen Spielraum für organisatorische Improvisation im Ernstfall.
Viertens: Kooperationsbereitschaft mit der Behörde. Die behördliche Praxis zeigt, dass Unternehmen, die bei der Aufklärung von Verstößen kooperieren und rasch Abhilfemaßnahmen ergreifen, in der Bußgeldbemessung bessergestellt werden. Das setzt voraus, dass intern eine klare Verantwortungsstruktur besteht – und dass die Geschäftsführung nicht erst im laufenden Verfahren reagiert, sondern präventiv handelt.
Nach unserer Erfahrung unterscheidet sich ein mittelständisches Pharmaunternehmen in einem Behördenverfahren vor allem dadurch von einem Unternehmen mit erheblichem Bußgeld, ob es eine konsistente, nachvollziehbare Compliance-Dokumentation vorlegen kann. Der Inhalt der Dokumente ist wichtig – aber ihre Existenz und Aktualität ist oft das Erste, was die Behörde prüft.
Verwandte Leistungen
Häufig gestellte Fragen zur DSGVO-Compliance in der Chemie- und Pharmaindustrie
Müssen Pharmaunternehmen zwingend einen Datenschutzbeauftragten bestellen?
Ja, in aller Regel. Pharmaunternehmen verarbeiten typischerweise im großen Umfang besondere Datenkategorien im Sinne des Art. 9 DSGVO – namentlich Gesundheits- und genetische Daten. Nach Art. 37 Abs. 1 lit. c DSGVO und § 38 BDSG ist die Bestellung eines Datenschutzbeauftragten in diesen Fällen verpflichtend. Die Nichtbestellung trotz bestehender Pflicht stellt einen eigenständigen bußgeldbewehrten Verstoß dar. Die genaue Pflicht hängt vom Einzelfall ab; anwaltliche Prüfung ist empfehlenswert.
Was ist eine Datenschutz-Folgenabschätzung (DSFA) und wann ist sie in der Chemieindustrie erforderlich?
Die DSFA nach Art. 35 DSGVO ist eine vorgelagerte Risikoanalyse für Verarbeitungsvorgänge, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringen. Für Chemie- und Pharmaunternehmen, die systematisch Gesundheitsdaten, genetische Daten oder Daten aus klinischen Studien verarbeiten, ist die DSFA Pflicht – nicht Kür. Die nationalen Aufsichtsbehörden veröffentlichen sogenannte Muss-Listen, in denen solche Verarbeitungstypen explizit aufgeführt sind.
Welche Besonderheiten gelten für internationale Datentransfers im Pharmabereich?
Internationale Datentransfers – etwa im Rahmen globaler klinischer Studien – sind nur zulässig, wenn ein angemessenes Datenschutzniveau im Empfängerland vorliegt oder geeignete Garantien (z. B. Standarddatenschutzklauseln) vereinbart werden. Zusätzlich ist eine Transferfolgenabschätzung (Transfer Impact Assessment) durchzuführen und zu dokumentieren. Verstöße gegen die Drittstaatentransferregelungen sind ein dauerhafter Prüfungsschwerpunkt der Aufsichtsbehörden.
Können Geschäftsführer persönlich für DSGVO-Verstöße haften?
Direkte Bußgeldadressatin ist primär die Gesellschaft. Persönliche Haftungsrisiken entstehen für Geschäftsführer jedoch durch § 130 OWiG (Aufsichtspflichtverletzung) sowie durch die gesellschaftsrechtliche Innenhaftung nach §§ 43, 64 GmbHG, wenn die Gesellschaft aufgrund unterlassener Compliance-Organisation einen Schaden erleidet. Schadensersatzansprüche Betroffener nach Art. 82 DSGVO können die Gesellschaft ebenfalls treffen. Präventive Compliance-Dokumentation schützt auch die persönliche Position des Geschäftsführers.
Was passiert, wenn eine Datenpanne nicht fristgerecht gemeldet wird?
Die Nichtmeldung oder verspätete Meldung einer meldepflichtigen Datenpanne ist ein eigenständiger Verstoß gegen Art. 33 DSGVO und kann gesondert geahndet werden. Die Frist von 72 Stunden beginnt mit dem Bekanntwerden der Verletzung, nicht erst bei vollständiger Kenntnis aller Details. Eine fehlende interne Meldestruktur führt regelmäßig dazu, dass aus einem behebbaren Vorfall ein doppelter Verstoß wird.
Welche Anforderungen stellt die DSGVO an Auftragsverarbeiter in der Pharmabranche?
Auftragsverarbeiter – etwa externe Labore, CROs oder Cloud-Anbieter – müssen durch einen schriftlichen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO gebunden werden. Der Vertrag muss den gesetzlichen Mindestinhalt aufweisen; darüber hinaus muss der Auftraggeber die tatsächlichen Sicherheitsmaßnahmen des Dienstleisters prüfen und dokumentieren. Ein Vertrag auf dem Papier ohne diese Prüfung genügt nach gefestigter Behördenpraxis nicht.
Die vorstehende Analyse gibt einen Überblick über die behördliche und gerichtliche Praxis zur DSGVO-Compliance in der Chemie- und Pharmaindustrie. Ihr konkreter Fall erfordert die individuelle Prüfung Ihrer Verarbeitungstätigkeiten, Ihrer Dokumentationslage und der behördlichen Anforderungen in Ihrer Jurisdiktion. Zur Klärung, wie die dargestellten Anforderungen auf Ihr Unternehmen wirken, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.