Noch immer unterschätzen viele inhabergeführte Unternehmen im deutschen Mittelstand, was DSGVO-Compliance in der betrieblichen Praxis tatsächlich bedeutet: nicht einen einmaligen Projektabschluss, sondern einen dauerhaften Betriebsprozess mit konkreten Rechtspflichten, empfindlichen Bußgeldrisiken und persönlicher Verantwortung der Geschäftsführung. Seit Geltungsbeginn der Datenschutz-Grundverordnung im Mai 2018 haben die deutschen Aufsichtsbehörden ihre Durchsetzungspraxis schrittweise verschärft — Unternehmen, die Datenschutz als bloßes Papierprojekt behandeln, geraten zunehmend in den Fokus behördlicher Prüfungen.
DSGVO-Compliance für Unternehmen umfasst die vollständige und fortlaufende Erfüllung der Anforderungen der Datenschutz-Grundverordnung (DSGVO) sowie des Bundesdatenschutzgesetzes (BDSG). Kern ist die nachweisbare Einhaltung der datenschutzrechtlichen Grundsätze: Rechtmäßigkeit der Verarbeitung, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung und Integrität. Verstöße können Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes nach sich ziehen — je nachdem, welcher Betrag höher ist.
Dieser Leitfaden führt Geschäftsführer und Entscheidungsverantwortliche im Mittelstand Schritt für Schritt durch die wesentlichen Compliance-Stationen: von der Bestandsaufnahme über technisch-organisatorische Maßnahmen bis zum Umgang mit Betroffenenrechten und Datenpannen.
Schritt 1: Rechtsrahmen verstehen – DSGVO, BDSG und das Zusammenspiel der Normen
Der erste Schritt jedes Compliance-Projekts ist das Verständnis des maßgeblichen Regelungssystems. Die DSGVO gilt unmittelbar in allen EU-Mitgliedstaaten und verdrängt entgegenstehendes nationales Recht; das BDSG ergänzt sie an den Stellen, an denen die Verordnung Öffnungsklauseln vorsieht — etwa bei der Datenverarbeitung im Beschäftigungsverhältnis (§ 26 BDSG) oder bei besonderen Kategorien personenbezogener Daten.
Für den Mittelstand bedeutet dies in der Praxis: Wer personenbezogene Daten verarbeitet — und das tut nahezu jedes Unternehmen, das Mitarbeiter beschäftigt, Kunden hat oder eine Website betreibt —, ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Diese Eigenschaft ist nicht wählbar; sie ergibt sich aus der tatsächlichen Kontrolle über Zweck und Mittel der Verarbeitung. In der Mandatspraxis sehen wir regelmäßig, dass Geschäftsführer diese Grundweiche falsch stellen und sich irrtümlich als bloßen Auftragsverarbeiter einordnen, obwohl sie faktisch Verantwortliche sind — mit erheblichen Konsequenzen für die Haftungsverteilung.
Die zentralen Verarbeitungsgrundsätze stehen in Art. 5 DSGVO. Sie sind nicht verhandelbar: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Hinzu kommt das Rechenschaftsprinzip aus Art. 5 Abs. 2 DSGVO, das die Nachweislast ausdrücklich dem Verantwortlichen aufbürdet: Nicht die Behörde muss beweisen, dass ein Verstoß vorliegt — das Unternehmen muss beweisen, dass es compliant ist.
Schritt 2: Verarbeitungsverzeichnis anlegen – die Grundlage jeder Compliance-Prüfung
Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist das Fundament der datenschutzrechtlichen Dokumentation. Ohne ein aktuelles Verzeichnis kann kein Unternehmen dem Rechenschaftsprinzip genügen — und keine Aufsichtsbehörde wird im Rahmen einer Prüfung Compliance attestieren, wenn dieses Dokument fehlt oder veraltet ist.
Aus Unternehmernormen folgt: Jede Verarbeitungstätigkeit ist zu erfassen — von der Lohnbuchhaltung über das CRM-System bis zur Videoüberwachung des Betriebsgeländes. Das Verzeichnis muss gemäß Art. 30 Abs. 1 DSGVO u. a. die Zwecke der Verarbeitung, Kategorien von Betroffenen und Daten, die geplanten Löschfristen sowie — wo möglich — eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOMs) enthalten. Nach unserer Erfahrung ist das Verarbeitungsverzeichnis in mittelständischen Unternehmen häufig entweder gar nicht vorhanden, auf dem Stand der erstmaligen DSGVO-Umsetzung eingefroren oder so pauschal gehalten, dass es einer behördlichen Prüfung nicht standhält.
Praktische Empfehlung: Führen Sie das Verarbeitungsverzeichnis als lebendes Dokument. Jede Einführung einer neuen Software, jede Änderung von Prozessen oder jede neue Dienstleisterkategorie erfordert eine Aktualisierung. Ein Review-Zyklus von mindestens einmal jährlich, ergänzt durch anlassbezogene Prüfungen, entspricht der Erwartungshaltung der Aufsichtsbehörden.
Schritt 3: Rechtsgrundlagen für jede Verarbeitung bestimmen
Die Frage „Auf welcher Rechtsgrundlage verarbeiten wir diese Daten?" ist in der Praxis häufig unbeantwortet. Das ist ein erhebliches Compliance-Risiko. Art. 6 DSGVO nennt abschließend die zulässigen Rechtsgrundlagen; ohne eine davon ist jede Verarbeitung rechtswidrig.
Für Unternehmen sind in der Praxis vor allem vier Grundlagen relevant: Die Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO (z. B. Verarbeitung von Kundendaten zur Auftragsabwicklung), die rechtliche Verpflichtung nach lit. c (z. B. steuerrechtliche Aufbewahrungspflichten), das berechtigte Interesse nach lit. f (z. B. konzerninterner Datenaustausch, IT-Sicherheitsmonitoring) und die Einwilligung nach lit. a (z. B. Newsletter-Marketing). Letztere wird in der Praxis zu häufig als Universallösung eingesetzt, obwohl sie strukturell schwach ist: Sie muss freiwillig, spezifisch, informiert und eindeutig sein — und kann jederzeit widerrufen werden.
Besondere Vorsicht gilt bei besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO — Gesundheitsdaten, biometrische Daten, Gewerkschaftszugehörigkeit u. a. —, für die Art. 9 Abs. 2 DSGVO einen eigenen, strengeren Anforderungskatalog aufstellt. Wer Krankmeldungen digital erfasst, Zeiterfassungssysteme mit biometrischer Identifikation einsetzt oder Mitarbeiterbefragungen zur Gesundheitsvorsorge durchführt, bewegt sich in diesem sensiblen Bereich.
Schritt 4: Technische und organisatorische Maßnahmen (TOMs) implementieren
Art. 25 DSGVO (Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen) und Art. 32 DSGVO (Sicherheit der Verarbeitung) verpflichten Unternehmen dazu, angemessene technische und organisatorische Maßnahmen zu ergreifen. Das Adjektiv „angemessen" ist dabei nicht als Freifahrtschein zu verstehen: Es verlangt eine risikoadaptierte Bewertung, die den Stand der Technik, die Implementierungskosten und das Risiko für die Betroffenen berücksichtigt.
Was bedeutet das konkret für einen Mittelständler? Zunächst: Verschlüsselung von Daten in der Übertragung und im Ruhezustand, Zugriffsberechtigungskonzepte nach dem Prinzip der minimalen Rechtevergabe (need-to-know), regelmäßige Datensicherung und Wiederherstellungstest, Protokollierung von Zugriffen auf kritische Systeme sowie Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit dieser Maßnahmen. Darüber hinaus gehören Mitarbeiterschulungen zu den TOMs — eine DSGVO-Schulung, die einmal stattgefunden hat und nie wiederholt wird, genügt nicht.
In der Mandatspraxis sehen wir, dass gerade bei der Einbindung externer Dienstleister — Cloud-Anbieter, IT-Dienstleister, Lohnbuchhaltungsbüros — häufig keine oder veraltete Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO existieren. Ohne einen wirksamen AVV verarbeitet der Dienstleister die Daten unbefugt; das Risiko trägt der Verantwortliche.
Wann ist eine Datenschutz-Folgenabschätzung (DSFA) erforderlich?
Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt. Die Aufsichtsbehörden der Länder veröffentlichen sogenannte „Blacklists" — Muss-DSFA-Listen —, aus denen sich konkrete Verarbeitungstypen ergeben, die stets eine DSFA erfordern. In der Praxis betrifft das insbesondere: systematische und umfassende Profilbildung, Videoüberwachung öffentlich zugänglicher Bereiche in großem Maßstab, Verarbeitung besonderer Datenkategorien in großem Umfang sowie innovative Technologien, bei denen die Datenschutzfolgen noch nicht vollständig absehbar sind — etwa der Einsatz von KI-basierten HR-Tools.
Die DSFA ist vor Beginn der Verarbeitung durchzuführen, nicht nachträglich. Sie muss den Zweck der Verarbeitung, die Notwendigkeit und Verhältnismäßigkeit, die Risiken für Betroffene sowie die geplanten Abhilfemaßnahmen dokumentieren. Ergibt die DSFA ein verbleibendes hohes Risiko, das nicht durch Maßnahmen des Verantwortlichen hinreichend gemindert werden kann, ist vor Beginn der Verarbeitung die zuständige Aufsichtsbehörde zu konsultieren (Art. 36 DSGVO). Wer diesen Schritt auslässt, riskiert nicht nur Bußgelder, sondern auch eine behördliche Untersagung der Verarbeitung.
Welche Rechte haben Betroffene — und wie müssen Unternehmen reagieren?
Die DSGVO räumt betroffenen Personen umfangreiche Rechte ein: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Für Unternehmen bedeutet dies, belastbare Prozesse vorzuhalten, mit denen eingehende Anfragen identifiziert, zugeordnet und fristgerecht beantwortet werden können.
Die Frist ist klar normiert: Auskünfte nach Art. 15 DSGVO sind grundsätzlich binnen eines Monats zu erteilen (Art. 12 Abs. 3 DSGVO). Bei komplexen Anfragen kann diese Frist um weitere zwei Monate verlängert werden — die betroffene Person ist jedoch innerhalb des ersten Monats über die Verlängerung und deren Gründe zu informieren. Was einfach klingt, ist in der Praxis oft eine erhebliche operative Herausforderung: Wer keine durchsuchbaren Datensysteme hat, wer Daten über mehrere Systeme verteilt hält, wer keine klaren Zuständigkeiten definiert hat, wird diese Fristen kaum einhalten können.
Wie geht ein mittelständisches Unternehmen damit um? Richten Sie eine zentrale Zuständigkeit ein, legen Sie Prozesse für Betroffenenanfragen schriftlich fest, und stellen Sie sicher, dass auch externe Dienstleister (Auftragsverarbeiter) verpflichtet sind, bei der Beantwortung von Auskunftsersuchen mitzuwirken. Vergessen Sie dabei nicht: Das Recht auf Löschung gilt nicht schrankenlos — gesetzliche Aufbewahrungspflichten, insbesondere aus dem Steuerrecht, gehen dem Löschungsanspruch vor.
Was ist im Falle einer Datenpanne zu tun? Die 72-Stunden-Meldepflicht
Eine Datenschutzverletzung — also eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt — muss gemäß Art. 33 DSGVO unverzüglich und wenn möglich binnen 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden. Diese Frist beginnt in dem Moment, in dem das Unternehmen von der Verletzung Kenntnis erlangt — nicht erst, wenn die interne Untersuchung abgeschlossen ist.
In der Praxis ist die 72-Stunden-Frist für viele Unternehmen ein ernsthaftes Problem, weil die internen Eskalationswege fehlen oder unklar sind. Wer entscheidet, ob eine Sicherheitsverletzung meldepflichtig ist? Wer formuliert die Meldung? Wer ist für die Kontaktaufnahme mit der Behörde zuständig? Diese Fragen müssen vorab — also vor dem Ernstfall — beantwortet und in einem Notfallplan dokumentiert sein. Stellt sich nach der Erstmeldung heraus, dass die Verletzung voraussichtlich ein hohes Risiko für die betroffenen Personen zur Folge hat, sind diese gemäß Art. 34 DSGVO unverzüglich zu benachrichtigen. Auch das erfordert vorbereitete Prozesse und Kommunikationsvorlagen.
Ist eine Meldung unterblieben, obwohl sie erforderlich gewesen wäre, wertet dies die Aufsichtsbehörde regelmäßig als eigenständigen Verstoß — unabhängig davon, ob die zugrundeliegende Datenpanne selbst vermeidbar gewesen wäre. Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes sind für Verstöße gegen die Meldepflicht nach Art. 83 Abs. 4 DSGVO möglich; schwerwiegendere Verstöße können den erhöhten Rahmen von bis zu 20 Mio. € oder 4 % auslösen.
Praxisbeispiel aus der Mandatsarbeit: In einem aktuellen Mandat beriet die Kanzlei einen mittelständischen Logistikdienstleister mit rund 200 Mitarbeitern an zwei deutschen Standorten. Ausgangslage: Ein Ransomware-Angriff hatte Teile der IT-Infrastruktur verschlüsselt; personenbezogene Daten von Mitarbeitern und Geschäftspartnern waren potenziell kompromittiert. Die Geschäftsführung war unsicher, ob und wann eine Meldung an die zuständige Landesbehörde erforderlich war. Vorgehen: Die Kanzlei unterstützte bei der Sichtung der verfügbaren Informationen, der rechtlichen Einordnung des Vorfalls sowie der Erstellung einer ersten Meldung an die Aufsichtsbehörde — fristgerecht innerhalb der 72-Stunden-Frist. Parallel wurden die betroffenen Mitarbeiter über potenzielle Risiken informiert. Ergebnis: Die Behörde bestätigte den Eingang der Meldung; ein Bußgeldverfahren wegen unterlassener Meldung konnte vermieden werden. Die Kanzlei begleitete anschließend die Überarbeitung des betrieblichen Notfallplans für Datenschutzverletzungen.
Datenschutzbeauftragter: Pflicht oder Kür für den Mittelstand?
Ob ein Unternehmen einen Datenschutzbeauftragten (DSB) zu benennen hat, richtet sich nach Art. 37 DSGVO in Verbindung mit § 38 BDSG. Die DSGVO selbst sieht eine Benennungspflicht vor allem für Behörden und für Unternehmen vor, deren Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien oder in der umfangreichen, regelmäßigen und systematischen Überwachung von Personen besteht. Das BDSG ergänzt dies um eine nationale Schwellenregelung: Unternehmen, die in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen, müssen einen DSB benennen. Diese Schwelle ist niedriger, als viele Geschäftsführer annehmen — ein mittelständisches Unternehmen, das ein ERP-System, ein CRM und eine Lohnbuchhaltungssoftware betreibt, überschreitet sie in der Regel ohne Weiteres.
Selbst wenn keine gesetzliche Pflicht besteht, empfehlen wir nach unserer Erfahrung die freiwillige Benennung eines internen oder externen DSB. Der DSB wirkt als Frühwarnsystem, koordiniert das Verarbeitungsverzeichnis, schult Mitarbeiter und ist im Falle einer Behördenprüfung zentraler Ansprechpartner. Ein externer DSB — etwa durch eine auf Datenschutzrecht spezialisierte Kanzlei oder einen akkreditierten Datenschutzberater — kann dabei für kleinere Unternehmen eine kosteneffiziente und fachlich hochwertige Lösung darstellen.
Die vorstehende Darstellung betrifft die Regelfälle der DSGVO-Compliance. Ihr konkreter Fall erfordert die Prüfung Ihrer spezifischen Verarbeitungstätigkeiten, der eingesetzten Dienstleister und der vorhandenen Dokumentation. Für eine erste Durchsicht Ihrer Unterlagen und eine Einschätzung des bestehenden Compliance-Stands erreichen Sie uns unter info@brandtfalk.com.
Nächste Schritte: DSGVO-Compliance als fortlaufender Betriebsprozess
DSGVO-Compliance ist kein Projekt mit Abschlussdatum. Sie ist ein fortlaufender Betriebsprozess, der in die regulären Entscheidungsabläufe eines Unternehmens integriert werden muss. Welche Maßnahmen können Geschäftsführer jetzt priorisieren?
- Bestandsaufnahme: Prüfen Sie, ob ein Verarbeitungsverzeichnis nach Art. 30 DSGVO existiert und aktuell ist. Fehlt es, ist dies der erste Ansatzpunkt.
- Rechtsgrundlagen-Audit: Überprüfen Sie für jede im Verzeichnis erfasste Verarbeitungstätigkeit, ob eine Rechtsgrundlage nach Art. 6 DSGVO dokumentiert ist. Fehlende Rechtsgrundlagen sind unverzüglich zu schließen.
- Dienstleister-Screening: Erstellen Sie eine Liste aller externen Dienstleister, die in Ihrem Auftrag personenbezogene Daten verarbeiten, und prüfen Sie, ob Auftragsverarbeitungsverträge nach Art. 28 DSGVO vorliegen und aktuell sind.
- TOMs-Review: Lassen Sie Ihre technischen und organisatorischen Maßnahmen dokumentieren und auf Aktualität prüfen — insbesondere Zugriffsberechtigungen, Verschlüsselung und Backupsysteme.
- Betroffenenrechte-Prozesse: Stellen Sie sicher, dass eingehende Auskunfts- und Löschungsanfragen intern erkannt, zugeordnet und fristgerecht beantwortet werden können.
- Notfallplan Datenpanne: Entwickeln oder überprüfen Sie einen Notfallplan für Datenschutzverletzungen — inklusive klarer Verantwortlichkeiten, Eskalationswegen und vorbereiteter Meldeformulare für die Aufsichtsbehörde.
- Schulungen: Planen Sie regelmäßige Datenschutzschulungen für alle Mitarbeiter, die mit personenbezogenen Daten umgehen. Schulungsnachweise sind Teil der Rechenschaftspflicht.
- DSB-Prüfung: Klären Sie, ob eine gesetzliche Benennungspflicht für einen Datenschutzbeauftragten besteht — und falls nicht, ob eine freiwillige Benennung sinnvoll ist.
Jede dieser Maßnahmen reduziert nicht nur das Bußgeldrisiko, sondern stärkt das Vertrauen von Kunden, Geschäftspartnern und Mitarbeitern in die datenschutzrechtliche Seriosität Ihres Unternehmens. In einer Zeit, in der Datenschutzthemen regelmäßig in der Wirtschaftspresse erscheinen, ist nachweisbare Compliance auch ein reputativer Vorteil.
Verwandte Leistungen
Häufige Fragen zur DSGVO-Compliance für Unternehmen
Ab welcher Unternehmensgröße gilt die DSGVO?
Die DSGVO gilt ohne Größenschwelle für jedes Unternehmen, das personenbezogene Daten von Personen in der EU verarbeitet — also auch für Solo-Selbstständige und Kleinstunternehmen. Einige Erleichterungen, etwa bei der Führung eines Verarbeitungsverzeichnisses nach Art. 30 DSGVO, gelten für Unternehmen mit weniger als 250 Mitarbeitern, sofern die Verarbeitung nur gelegentlich erfolgt, kein erhöhtes Risiko birgt und keine besonderen Datenkategorien betrifft. In der Praxis entfallen diese Ausnahmen für die meisten Betriebe, sobald eine Lohnbuchhaltung oder ein CRM-System betrieben wird.
Welche Bußgelder drohen bei DSGVO-Verstößen?
Die DSGVO sieht einen zweistufigen Bußgeldrahmen vor. Für schwerwiegendere Verstöße — darunter Verletzungen der Grundprinzipien der Verarbeitung, fehlende Rechtsgrundlagen oder Verletzungen von Betroffenenrechten — drohen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Für weniger schwerwiegende Verstöße, etwa das Fehlen eines Verarbeitungsverzeichnisses oder eines Auftragsverarbeitungsvertrags, gilt ein Rahmen von bis zu 10 Mio. € oder 2 % des Jahresumsatzes. Die konkrete Höhe richtet sich nach dem Einzelfall.
Muss ein Datenschutzbeauftragter benannt werden?
Eine gesetzliche Benennungspflicht besteht nach § 38 BDSG in Verbindung mit Art. 37 DSGVO insbesondere dann, wenn in der Regel mindestens 20 Personen im Unternehmen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig davon besteht eine Pflicht, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien oder in der systematischen Überwachung von Personen besteht. Liegt keine Pflicht vor, kann eine freiwillige Benennung dennoch sinnvoll sein — sie entlastet die Geschäftsführung und dokumentiert die Ernsthaftigkeit der Compliance-Bemühungen gegenüber Behörden und Geschäftspartnern.
Was ist eine Datenschutz-Folgenabschätzung (DSFA)?
Die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist eine vorab durchzuführende Risikoanalyse für Verarbeitungsvorgänge, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen bergen. Typische Auslöser sind: systematische Profilbildung, Videoüberwachung in großem Maßstab, Verarbeitung besonderer Datenkategorien in großem Umfang sowie neue Technologien wie KI-gestützte Bewerberauswahl. Die DSFA muss vor Beginn der Verarbeitung abgeschlossen sein und bei verbleibendem hohem Risiko zur Vorabkonsultation der Aufsichtsbehörde führen.
Wie lange darf ein Unternehmen personenbezogene Daten speichern?
Das Gebot der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) verlangt, dass personenbezogene Daten nur so lange gespeichert werden, wie es für den Verarbeitungszweck erforderlich ist. Danach sind sie zu löschen oder zu anonymisieren. In der Praxis sind die maßgeblichen Grenzen häufig gesetzliche Aufbewahrungsfristen — etwa steuerrechtliche Pflichten nach der Abgabenordnung —, die einem Löschungsanspruch vorgehen. Unternehmen sollten für jeden Verarbeitungsvorgang eine konkrete Löschfrist im Verarbeitungsverzeichnis dokumentieren und durch ein technisches Löschkonzept unterlegen. Die genauen Fristen sind im Einzelfall unter Berücksichtigung aller einschlägigen Rechtsgrundlagen zu prüfen.
Was gilt bei der Übermittlung von Daten in Drittstaaten?
Die Übermittlung personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums (EWR) ist nur unter besonderen Voraussetzungen zulässig. Entweder muss für das Empfängerland ein Angemessenheitsbeschluss der EU-Kommission bestehen — wie derzeit für den UK Data Bridge-Mechanismus oder den EU-U.S. Data Privacy Framework für bestimmte US-Unternehmen — oder es müssen geeignete Garantien wie Standardvertragsklauseln (SCC) der EU-Kommission vereinbart werden. Der Einsatz US-amerikanischer Cloud-Dienste ohne Prüfung dieser Voraussetzungen ist nach wie vor ein verbreitetes Compliance-Risiko im Mittelstand.
Die vorstehende Darstellung gibt einen strukturierten Überblick über die wesentlichen Anforderungen der DSGVO-Compliance. Ihr konkreter Fall erfordert die Prüfung Ihrer tatsächlichen Verarbeitungsprozesse, Ihrer Dienstleisterkette und der vorhandenen Dokumentation. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.