Energieversorger, Netzbetreiber und Stadtwerke verarbeiten täglich Millionen von Verbrauchsdatensätzen, Smart-Meter-Ablesungen und Vertragsdaten – ein Datenvolumen, das Datenschutzbehörden seit geraumer Zeit besonders im Blick haben. Wer als Geschäftsführer eines mittelständischen Energieunternehmens die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG) nur als formale Pflichtübung behandelt, unterschätzt das regulatorische Risiko erheblich.
Für Unternehmen der Energiewirtschaft gilt die DSGVO uneingeschränkt: Sie verpflichtet jeden Verantwortlichen, personenbezogene Daten auf einer eindeutigen Rechtsgrundlage zu verarbeiten, technisch-organisatorische Schutzmaßnahmen nachweisbar umzusetzen und im Verletzungsfall binnen 72 Stunden zu melden. Die gefestigte Spruchpraxis der Datenschutzbehörden zeigt, dass Versäumnisse im Compliance-System – nicht erst der eigentliche Datenschutzvorfall – Bußgelder in erheblicher Höhe auslösen können. Für Geschäftsführer bedeutet das: Datenschutz-Compliance ist Unternehmensführungspflicht, keine IT-Nebensache.
Dieser Beitrag ordnet die für die Energiewirtschaft einschlägige Behördenpraxis und Rechtsprechung ein, benennt die zentralen Handlungsfelder und gibt konkrete Empfehlungen für die Gestaltung eines robusten Compliance-Systems.
Warum die Energiewirtschaft im Fokus der Datenschutzbehörden steht
Die Energiewirtschaft nimmt unter den datenschutzrechtlich sensiblen Branchen eine besondere Stellung ein. Netzbetreiber und Lieferanten sind gesetzlich zur Fernauslesung von Verbrauchsdaten verpflichtet – sie verarbeiten damit personenbezogene Daten nicht freiwillig, sondern als Konsequenz regulatorischer Anforderungen aus dem Energiewirtschaftsgesetz (EnWG) und dem Messstellenbetriebsgesetz (MsbG). Gleichzeitig entstehen durch Smart-Meter-Gateways und die Digitalisierung der Energiewende Datenströme, die über den schlichten Zählerstand weit hinausgehen: Verbrauchsprofile lassen Rückschlüsse auf Tagesabläufe, Haushaltsgrößen und Lebensgewohnheiten zu.
Datenschutzbehörden mehrerer Bundesländer haben in ihrer Spruchpraxis deutlich gemacht, dass sie die Verarbeitung von Energieverbrauchsdaten als besonders schutzwürdig einordnen, auch wenn diese Daten nicht ausdrücklich in den Sonderkategorien des Art. 9 DSGVO gelistet sind. Das Risikopotenzial ergibt sich aus der Granularität der Daten. In der Mandatspraxis sehen wir, dass viele Energieversorger die Rechtsgrundlagen für die Weitergabe von Zählerdaten an Messstellenbetreiber, Abrechnungsdienstleister und Stadtwerke-Töchter nicht sauber dokumentiert haben – ein Ausgangspunkt für Prüfverfahren.
Welche Verarbeitungen konkret einer eigenen Rechtsgrundlage bedürfen? Art. 6 DSGVO nennt sechs Tatbestände: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe und berechtigtes Interesse. Für Energieversorger kommen im Tagesgeschäft vor allem Vertragserfüllung (Art. 6 Abs. 1 lit. b) und gesetzliche Verpflichtung (Art. 6 Abs. 1 lit. c) in Betracht. Jede Verarbeitungstätigkeit muss im Verzeichnis nach Art. 30 DSGVO dokumentiert sein – das ist keine Empfehlung, sondern eine aufsichtsbehördliche Prüfanforderung.
Welche Rechtsgrundlagen gelten für die Datenverarbeitung in der Energiebranche?
Die Bestimmung der richtigen Rechtsgrundlage ist der erste und häufigste Fehler, den Datenschutzbehörden in Prüfverfahren der Energiewirtschaft beanstanden. Wer personenbezogene Daten ohne valide Rechtsgrundlage verarbeitet, handelt bereits im Grundtatbestand rechtswidrig – unabhängig davon, ob ein Schaden entstanden ist.
Für die Praxis lassen sich die Hauptkonstellationen wie folgt einordnen: Abrechnungsdaten gegenüber Endkunden stützen sich auf Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Übermittlung von Zählerdaten an den grundzuständigen Messstellenbetreiber ergibt sich aus der gesetzlichen Verpflichtung nach MsbG und EnWG (Art. 6 Abs. 1 lit. c DSGVO). Marketingkommunikation an Bestandskunden – etwa für Produkte außerhalb des laufenden Vertrags – bedarf entweder einer Einwilligung (Art. 6 Abs. 1 lit. a) oder einer sorgfältig dokumentierten Interessenabwägung (Art. 6 Abs. 1 lit. f DSGVO).
Kritisch wird es bei konzerninternen Datenweitergaben. In der Mandatspraxis erleben wir regelmäßig, dass Stadtwerke mit mehreren Sparten – Strom, Gas, Wasser, Wärme, Breitband – Kundendaten spartenübergreifend nutzen, ohne die Zweckbindung zu prüfen. Der Grundsatz der Zweckbindung nach Art. 5 Abs. 1 lit. b DSGVO verbietet die Weiterverarbeitung für mit dem ursprünglichen Zweck unvereinbare Zwecke – eine Abweichung ist nur unter den engen Voraussetzungen des Art. 6 Abs. 4 DSGVO zulässig. Datenschutzbehörden haben in vergleichbaren Konstellationen Verfahren eingeleitet und Abhilfemaßnahmen angeordnet.
Kann der Rechtfertigungstatbestand nicht belegt werden, droht neben dem Bußgeld nach Art. 83 DSGVO auch eine Untersagungsverfügung – also das behördliche Verbot, die Verarbeitung fortzusetzen. Für operative Unternehmen bedeutet das ein unmittelbares Betriebsrisiko.
Was sagt die Behördenpraxis zur Auftragsdatenverarbeitung in der Energiewirtschaft?
Energieunternehmen sind in komplexe Dienstleisterketten eingebunden: Messstellenbetreiber, Abrechnungsdienstleister, IT-Systemhäuser, Cloud-Anbieter und externe Zählerableser verarbeiten personenbezogene Kundendaten im Auftrag. Jede dieser Beziehungen erfordert einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO.
Die Behördenpraxis ist in diesem Punkt eindeutig: Fehlt der AVV, liegt eine eigenständige Verletzung der DSGVO vor – unabhängig davon, ob der Dienstleister die Daten tatsächlich missbräuchlich genutzt hat. Mehrere Landesdatenschutzbehörden haben in der Vergangenheit Bußgeldverfahren allein wegen fehlender oder inhaltlich unvollständiger Auftragsverarbeitungsverträge eingeleitet. In einem dieser Verfahren, das uns aus öffentlich zugänglichen Berichten bekannt ist, beanstandete eine Behörde, dass ein Energieversorger mit seinem IT-Dienstleister seit Jahren ohne wirksamen AVV gearbeitet hatte – die Maßnahmen nach Art. 32 DSGVO (technisch-organisatorische Sicherheit) waren zudem weder dokumentiert noch regelmäßig überprüft worden.
Nach unserer Erfahrung bei der Prüfung von Dienstleisterverträgen in der Energiebranche enthält ein erheblicher Teil der vorgelegten AVVs inhaltliche Lücken: fehlende Regelungen zu Subauftragsverarbeitern, unvollständige Weisungsrechte oder die Nichtaufnahme der nach Art. 28 Abs. 3 DSGVO zwingend vorgeschriebenen technischen und organisatorischen Maßnahmen. Art. 28 DSGVO sieht vor, dass der Auftragsverarbeiter nur auf dokumentierte Weisung des Verantwortlichen handelt – ein Grundsatz, der in der Praxis oft nicht operativ umgesetzt ist.
Für Geschäftsführer ergibt sich daraus eine klare Handlungsempfehlung: Lassen Sie Ihre gesamte Dienstleisterkette systematisch prüfen, schließen Sie fehlende AVVs nach, und dokumentieren Sie die Weisungserteilung laufend. Die Alternative – das Abwarten einer Behördenanfrage – erhöht das Bußgeldrisiko, weil mangelnde Eigeninitiative bei der Sanktionsbemessung zu Lasten des Unternehmens gewertet wird.
Wie hat die Rechtsprechung die Anforderungen an technisch-organisatorische Maßnahmen konkretisiert?
Art. 32 DSGVO verpflichtet jeden Verantwortlichen, dem Stand der Technik entsprechende technische und organisatorische Maßnahmen (TOMs) zu implementieren. Was „Stand der Technik" in der Energiewirtschaft bedeutet, wird durch die Spruchpraxis der Aufsichtsbehörden, einschlägige BSI-Grundschutzstandards und die gefestigte Rechtsprechung der Verwaltungsgerichte zunehmend konkretisiert.
Die Gerichte haben in einer Reihe von Verfahren – ohne dass hier auf einzelne Aktenzeichen rekurriert werden müsste – den Grundsatz herausgearbeitet, dass die bloße Existenz von Sicherheitskonzepten nicht ausreicht: Es kommt auf die nachweisbare Umsetzung an. Datenschutzbehörden verlangen in Prüfverfahren regelmäßig Nachweise über die tatsächlich implementierten Maßnahmen, Schulungsnachweise für Mitarbeiter und dokumentierte Risikoanalysen. Wer nur Konzepte vorlegen kann, aber keine Umsetzungsnachweise, gilt in der Behördenpraxis als unzureichend geschützt.
Für die Energiewirtschaft sind TOMs in zwei Bereichen besonders relevant. Erstens: der Schutz der Kommunikationsverbindungen zwischen Smart-Meter-Gateway, Messstellenbetreiber und Energielieferant – hier setzt das BSI-TR-03109-Regelwerk Mindeststandards. Zweitens: der Zugriffschutz auf Kundendaten in Abrechnungssystemen, Kundenportalen und CRM-Systemen. Nach unserer Erfahrung sind Berechtigungskonzepte in mittelständischen Stadtwerken häufig gewachsen und nicht systematisch dokumentiert, was im Prüffall erhebliche Nachbesserungspflichten auslöst.
Ist eine Datenpanne eingetreten, greift die strenge Meldefrist: Datenschutzverletzungen sind nach Art. 33 DSGVO binnen 72 Stunden der zuständigen Aufsichtsbehörde zu melden. Diese Frist beginnt mit Kenntnisnahme, nicht mit dem tatsächlichen Eintritt der Verletzung. In Energieunternehmen mit mehreren Standorten, Töchtern und Dienstleistern ist die interne Eskalationskette daher von entscheidender Bedeutung: Wird der Vorfall zunächst vom IT-Team intern bearbeitet, ohne eine Meldekette zu aktivieren, läuft die Frist bereits ab.
Wann haftet der Geschäftsführer persönlich für DSGVO-Verstöße?
Diese Frage beschäftigt in der Mandatspraxis Geschäftsführer mittelständischer Energieunternehmen besonders. Die DSGVO adressiert primär das Unternehmen als Verantwortlichen – die Bußgelder nach Art. 83 DSGVO richten sich gegen die juristische Person. Gleichwohl können Geschäftsführer persönlich in den Fokus geraten: sowohl aus dem Innenrecht der Gesellschaft als auch aus dem Ordnungswidrigkeitenrecht.
Nach deutschem Gesellschaftsrecht (§ 43 GmbHG) ist der Geschäftsführer verpflichtet, die Gesellschaft ordnungsgemäß zu führen – dazu gehört die Einrichtung eines funktionsfähigen Compliance-Systems, das Datenschutzanforderungen einschließt. Kommt es zu einem Bußgeld, weil der Geschäftsführer die Einrichtung eines wirksamen Datenschutzmanagements unterlassen hat, kann die Gesellschaft Regress nehmen. Daneben sieht das Ordnungswidrigkeitenrecht eine persönliche Verantwortlichkeit vor, wenn Mitarbeiter Verstöße begehen, die auf mangelnde Aufsicht durch den Geschäftsführer zurückzuführen sind (§ 130 OWiG).
Das Bußgeld nach Art. 83 DSGVO kann bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen – je nachdem, welcher Betrag höher ist. Für mittelständische Energieversorger mit einem Jahresumsatz im dreistelligen Millionenbereich kann die 4-%-Schwelle die relevantere Größe sein. Entscheidend für die Bußgeldbemessung ist nach der gefestigten Behördenpraxis auch das Verhalten des Unternehmens nach Aufdeckung des Verstoßes: Eigenanzeige, sofortige Abhilfemaßnahmen und Kooperationsbereitschaft werden strafmildernd bewertet.
Für den Geschäftsführer bedeutet das konkret: Datenschutz-Compliance muss organisatorisch verankert, budgetiert und dokumentiert sein. Ein benannter Datenschutzbeauftragter (nach Art. 37 DSGVO, bei den meisten Energieversorgern Pflicht) entlastet nicht von der Leitungsverantwortung, sondern ergänzt sie.
Welche besonderen Pflichten gelten für Energieversorger bei der Verarbeitung von Verbrauchsdaten?
Verbrauchsdaten aus dem Energiesektor weisen eine Besonderheit auf, die ihre datenschutzrechtliche Einordnung verkompliziert: Sie sind sowohl Grundlage für den regulierten Netzbetrieb als auch für den Wettbewerb im Energievertrieb. Diese Zweiteilung schlägt sich in der datenschutzrechtlichen Beurteilung nieder.
Für die Übermittlung von Zählerstandsdaten zwischen Marktteilnehmern – etwa im Lieferantenwechselprozess über die Plattformen EDIFACT und MaLo – gilt: Die gesetzliche Verpflichtung nach EnWG und den Festlegungen der Bundesnetzagentur legitimiert diese Verarbeitung nach Art. 6 Abs. 1 lit. c DSGVO. Gleichwohl verlangt die Datenschutzbehörde, dass die Übermittlung auf das notwendige Minimum beschränkt bleibt (Datensparsamkeit nach Art. 5 Abs. 1 lit. c DSGVO). Werden im Rahmen des Lieferantenwechsels mehr Daten übermittelt als für den Prozess erforderlich, liegt ein eigenständiger Verstoß vor.
Besondere Aufmerksamkeit verdienen Verbrauchsprofile, die aus hochfrequenten Smart-Meter-Messungen gewonnen werden. Nach der Spruchpraxis mehrerer Datenschutzbehörden und der einschlägigen Fachliteratur besteht bei viertelstündlicher Ablesung ein erhebliches Profilierungsrisiko. Das BSI schreibt im Rahmen des MsbG vor, welche Daten zu welchem Zweck aus dem Smart-Meter-Gateway abgerufen werden dürfen – eine Vorgabe, die zugleich datenschutzrechtlich relevant ist. Wer Verbrauchsdaten über das gesetzlich zulässige Maß hinaus abruft oder für eigene Analysen nutzt, verstößt gegen Art. 5 Abs. 1 lit. b und lit. c DSGVO und setzt sich dem Risiko behördlicher Maßnahmen aus.
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Stadtwerk aus dem Bereich der integrierten Energieversorgung (Strom, Gas, Wärme). Ausgangslage: Das Unternehmen hatte begonnen, hochfrequente Verbrauchsdaten aus dem Smart-Meter-Rollout für interne Lastprognosen und ein neues Tarifprodukt zu nutzen, ohne die datenschutzrechtliche Zulässigkeit zu prüfen. Vorgehen: Wir analysierten die Rechtsgrundlage für jede Verarbeitungstätigkeit, identifizierten fehlende Zweckbindungsdokumentationen und erstellten ein aktualisiertes Verarbeitungsverzeichnis nach Art. 30 DSGVO. Für die neuen Tarifprodukte wurde eine Einwilligungslösung mit klarer Widerrufsmöglichkeit eingeführt. Ergebnis: Das Stadtwerk konnte seine Pilotprodukte auf eine solide rechtliche Grundlage stellen und ist für potenzielle Behördenanfragen dokumentatorisch vorbereitet.
Praxisfall (anonymisiert): In einem aktuellen Mandat beriet die Kanzlei einen regionalen Energieversorger mit rund 200 Mitarbeitern und mehreren kommunalen Gesellschaftern. Ausgangslage: Im Rahmen einer routinemäßigen behördlichen Anfrage stellte sich heraus, dass für drei externe IT-Dienstleister keine wirksamen Auftragsverarbeitungsverträge vorlagen und das Verarbeitungsverzeichnis seit mehreren Jahren nicht aktualisiert worden war. Vorgehen: BRANDT & FALK strukturierte die Dienstleisterkette neu, schloss AVVs nach Art. 28 DSGVO ab, aktualisierte das Verzeichnis und begleitete die Kommunikation mit der Aufsichtsbehörde. Ergebnis: Die Behörde sah von einem förmlichen Bußgeldverfahren ab und schloss das Verfahren nach Umsetzung der Abhilfemaßnahmen ab. Die interne Compliance-Struktur wurde dauerhaft gestärkt.
Wie reagieren Unternehmen richtig auf Behördenanfragen und Prüfverfahren?
Der Umgang mit Datenschutzbehörden ist eine eigenständige Kompetenz, die in der Mandatspraxis häufig unterschätzt wird. Behördenanfragen – sei es eine schlichte Informationsanforderung, eine formelle Prüfankündigung oder ein Beschwerdeverfahren auf Antrag eines Betroffenen – lösen eine Reaktionspflicht aus, die nicht delegiert werden kann.
Zunächst zur Verfahrensstruktur: Datenschutzbehörden sind nach Art. 58 DSGVO mit umfangreichen Untersuchungs- und Abhilfebefugnissen ausgestattet. Sie können Zugang zu Räumlichkeiten, Informationspflichten und die Vorlage von Dokumenten anordnen. Ein Energieversorger, der auf eine Prüfankündigung unvorbereitet reagiert, riskiert nicht nur das Bußgeld für den ursprünglichen Verstoß, sondern auch Sanktionen für eine mangelnde Kooperationsbereitschaft.
Aus der Mandatspraxis empfehlen wir folgende Grundhaltung: Behördenanfragen werden umgehend erfasst und intern eskaliert. Die Antwort wird anwaltlich begleitet, um sicherzustellen, dass Informationen vollständig, aber auf das Notwendige beschränkt sind. Aussagen, die den Verdacht neuer Verstöße begründen könnten, werden vorab anwaltlich geprüft. Eigeninitiative – das freiwillige Angebot von Abhilfemaßnahmen noch vor einer förmlichen Anordnung – wird von Behörden regelmäßig positiv bewertet und kann die Bußgeldbemessung günstig beeinflussen.
Wie ist die Lage bei Betroffenenbeschwerden? Energiekunden haben nach der DSGVO ein breites Spektrum an Rechten: Auskunft (Art. 15 DSGVO, grds. binnen einem Monat zu beantworten), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) und Widerspruch (Art. 21). Beschwerden von Kunden bei der Datenschutzbehörde – beispielsweise weil ein Auskunftsersuchen nicht fristgerecht beantwortet wurde – lösen ein Prüfverfahren aus, das für das Unternehmen aufwendig und öffentlichkeitswirksam sein kann.
Welche Sofortmaßnahmen sollten Energieunternehmen jetzt ergreifen?
Die Frage nach dem richtigen Einstieg in ein robustes DSGVO-Compliance-System stellt sich in der Praxis häufig dann, wenn ein Incident – eine Datenpanne, eine Beschwerde oder eine Behördenanfrage – den Handlungsdruck erzeugt. Besser ist es, strukturiert und eigeninitiativ vorzugehen. Die nachfolgenden Schritte bilden einen praxiserprobten Ausgangspunkt.
Schritt 1: Verarbeitungsverzeichnis nach Art. 30 DSGVO aktualisieren. Das Verzeichnis muss alle Verarbeitungstätigkeiten, ihre Rechtsgrundlagen, die Kategorien betroffener Personen, die Empfänger und die Löschfristen enthalten. In der Praxis ist es oft veraltet und bildet die tatsächlich betriebenen IT-Systeme nicht ab.
Schritt 2: Dienstleisterkette auf AVVs prüfen. Für jeden externen Auftragsverarbeiter – Cloud-Anbieter, Abrechnungsdienstleister, IT-Systemhäuser, externe Zählerableser – muss ein wirksamer AVV nach Art. 28 DSGVO vorliegen. Fehlt er, ist er umgehend abzuschließen.
Schritt 3: Interne Meldekette für Datenschutzverletzungen einrichten. Die 72-Stunden-Meldefrist nach Art. 33 DSGVO beginnt mit Kenntnisnahme der Verletzung durch eine beliebige Person im Unternehmen. Ohne klare interne Eskalationspflichten wird die Frist regelmäßig versäumt. Schulen Sie Mitarbeiter in der Erkennung und Meldung von Datenpannen.
Schritt 4: Datenschutzbeauftragten einbinden und Ressourcen sicherstellen. Der Datenschutzbeauftragte ist nach Art. 38 DSGVO frühzeitig einzubeziehen, hat einen direkten Berichtsweg zur Geschäftsführung und benötigt ausreichende Ressourcen. Wer ihn strukturell isoliert, scheitert im Prüffall.
Schritt 5: Regelmäßige Datenschutz-Folgenabschätzungen (DSFA) für risikohafte Verarbeitungen durchführen. Smart-Meter-Datenanalysen, Profilbildung für Tarifzwecke und die Einführung neuer digitaler Kundenportale sind typische Anwendungsfälle, bei denen eine DSFA nach Art. 35 DSGVO obligatorisch oder zumindest dringend empfohlen ist.
Die vorstehende Darstellung betrifft die typischen Regelfälle in der Energiewirtschaft. Ihr konkreter Fall erfordert die Prüfung Ihrer tatsächlichen Verarbeitungstätigkeiten, bestehender Dienstleisterverträge und der einschlägigen behördlichen Praxis Ihres Bundeslandes. Für eine erste Einschätzung Ihrer DSGVO-Compliance-Situation wenden Sie sich an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zur DSGVO-Compliance in der Energiewirtschaft
Müssen Energieversorger zwingend einen Datenschutzbeauftragten benennen?
Ja. Energieversorger und Netzbetreiber verarbeiten personenbezogene Daten regelmäßig als Kerntätigkeit und in erheblichem Umfang. Nach Art. 37 DSGVO in Verbindung mit § 38 BDSG besteht die Pflicht zur Benennung eines Datenschutzbeauftragten, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind. In der Energiewirtschaft ist diese Schwelle nahezu ausnahmslos überschritten. Der Datenschutzbeauftragte muss der Aufsichtsbehörde gemeldet und intern mit ausreichenden Ressourcen ausgestattet werden.
Was gilt, wenn ein Dienstleister ohne Auftragsverarbeitungsvertrag personenbezogene Daten verarbeitet?
Das Fehlen eines wirksamen AVV nach Art. 28 DSGVO ist ein eigenständiger Verstoß, der von Datenschutzbehörden bußgeldbewehrt werden kann – unabhängig davon, ob die Daten missbräuchlich genutzt wurden. Wer als Verantwortlicher einen Dienstleister ohne AVV einsetzt, hat keine vertragliche Grundlage für die Auftragsverarbeitung. Der Vertrag ist unverzüglich nachzuholen; für die Zwischenzeit ist die Verarbeitung auf den unvermeidlichen Mindestumfang zu beschränken.
Wie lange darf ein Energieversorger Kundendaten nach Vertragsende aufbewahren?
Eine pauschale Antwort gibt es nicht: Es kommt auf die jeweilige Datenkategorie und die anwendbare Aufbewahrungspflicht an. Abrechnungsunterlagen unterliegen handels- und steuerrechtlichen Aufbewahrungsfristen (regelmäßig sechs bis zehn Jahre nach Vertragsende). Darüber hinaus dürfen Daten nach dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) nicht länger vorgehalten werden, als für den jeweiligen Zweck erforderlich. Ein dokumentiertes Löschkonzept ist Prüfungsstandard der Datenschutzbehörden.
Was ist bei einer Datenpanne im Energieunternehmen sofort zu tun?
Die 72-Stunden-Frist nach Art. 33 DSGVO beginnt mit interner Kenntnisnahme. Zunächst ist der Datenschutzbeauftragte zu informieren und der Sachverhalt zu dokumentieren. Dann ist zu prüfen, ob die Verletzung ein Risiko für betroffene Personen begründet. Ist das der Fall, erfolgt die Meldung an die zuständige Landesdatenschutzbehörde. Bei hohem Risiko für Betroffene ist zusätzlich die Benachrichtigung der Betroffenen nach Art. 34 DSGVO erforderlich. Anwaltliche Begleitung bereits ab Kenntnisnahme ist empfehlenswert, um Formulierungen behördenfest zu gestalten.
Welche DSGVO-Pflichten bestehen beim Einsatz von Cloud-Diensten für Abrechnungsdaten?
Cloud-Dienstleister sind regelmäßig Auftragsverarbeiter im Sinne des Art. 28 DSGVO; ein AVV ist zwingend abzuschließen. Befinden sich die Serverstandorte außerhalb der EU/des EWR, ist eine Drittstaatenübermittlung nach Art. 44 ff. DSGVO zu legitimieren – in der Regel durch EU-Standardvertragsklauseln und eine Datentransfer-Folgenabschätzung. Für Abrechnungsdaten von Energiekunden empfehlen wir, bevorzugt Anbieter mit europäischen Rechenzentren einzusetzen, um das Drittstaatrisiko zu minimieren.
Die vorstehende Darstellung betrifft die Regelfälle der DSGVO-Compliance in der Energiewirtschaft. Ihr konkreter Fall erfordert die Prüfung Ihrer Verarbeitungstätigkeiten, Dienstleisterverträge und Fristen. Zur Klärung, wie die DSGVO-Anforderungen auf Ihr Energieunternehmen wirken, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.