Ein Lieferant meldet eine Datenpanne, der Betriebsrat fragt nach dem Stand der Verzeichnisse, und gleichzeitig kündigt die Landesdatenschutzbehörde eine Prüfung an — solche Situationen treffen Geschäftsführer im Mittelstand ohne Vorwarnung. Wer die DSGVO-Compliance für Unternehmen nicht systematisch aufgebaut hat, riskiert Bußgelder in empfindlicher Höhe und persönliche Haftung.
DSGVO-Compliance für Unternehmen bedeutet die vollständige Umsetzung der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) im operativen Betrieb — von der Rechtsgrundlage jeder Verarbeitung über das Verarbeitungsverzeichnis bis zur technischen und organisatorischen Absicherung. Verstöße können Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes nach sich ziehen; daneben haften Geschäftsführer gegenüber der Gesellschaft, wenn sie Prüf- und Überwachungspflichten vernachlässigen.
Dieser Praxisleitfaden führt Geschäftsführer und Justiziarinnen mittelständischer Unternehmen in acht Schritten durch den strukturierten Aufbau eines rechtskonformen Datenschutzsystems — von der Bestandsaufnahme bis zur laufenden Kontrolle durch die Aufsichtsbehörde.
Warum haftet der Geschäftsführer persönlich, wenn die DSGVO nicht umgesetzt ist?
Die DSGVO adressiert den Verantwortlichen — im GmbH-Kontext also die Gesellschaft als juristische Person. Gleichwohl ist die Geschäftsführerhaftung in der Praxis unmittelbar spürbar: Wer als Organmitglied die Einrichtung eines Datenschutzsystems schuldhaft unterlässt, setzt sich gegenüber der Gesellschaft nach § 43 GmbHG schadensersatzpflichtig aus, wenn daraufhin Bußgelder verhängt oder Schadensersatzansprüche Betroffener geltend gemacht werden. Die Aufsichtsbehörden — in Deutschland die Landesdatenschutzbehörden sowie der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) — verfügen über weitreichende Untersuchungs- und Abhilfebefugnisse nach Art. 58 DSGVO.
In der Mandatspraxis sehen wir regelmäßig, dass Geschäftsführer die DSGVO als IT-Angelegenheit delegieren — und sich dann wundern, dass die Behörde konkrete Dokumentationsnachweise von ihnen persönlich verlangt. Bußgelder nach Art. 83 DSGVO erreichen bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Das ist keine theoretische Größe: Die deutschen Aufsichtsbehörden haben den Sanktionsrahmen in den vergangenen Jahren wiederholt ausgeschöpft.
Entscheidend ist das Accountability-Prinzip aus Art. 5 Abs. 2 DSGVO: Der Verantwortliche muss die Einhaltung der Datenschutzgrundsätze nicht nur gewährleisten, sondern auch nachweisen können. Wer keine Dokumentation vorlegen kann, hat im Behördenverfahren bereits verloren.
Schritt 1: Datenflüsse erfassen und Verarbeitungsverzeichnis anlegen
Die Grundlage jedes Datenschutzsystems ist ein vollständiges Verarbeitungsverzeichnis nach Art. 30 DSGVO — eine strukturierte Bestandsaufnahme aller Verarbeitungstätigkeiten, die das Unternehmen als Verantwortlicher oder als Auftragsverarbeiter durchführt. Ohne diese Dokumentation ist keine weitere Compliance möglich.
Praktisch geht es darum, alle Systeme, Prozesse und Abteilungen zu durchleuchten: Welche Personendaten werden wo gespeichert, zu welchem Zweck verarbeitet, wie lange aufbewahrt und an wen weitergegeben? Die häufigsten Lücken, die wir bei der Erstevaluation von Mandanten vorfinden, betreffen Marketingdatenbanken, HR-Systeme und cloud-basierte Projektmanagement-Tools — Bereiche, in denen Datenflüsse organisch gewachsen sind und nie systematisch dokumentiert wurden.
Das Verarbeitungsverzeichnis ist kein einmaliges Dokument. Es muss bei jeder neuen Verarbeitungstätigkeit, bei Systemwechseln und bei Veränderungen in der Organisationsstruktur fortgeschrieben werden. Pflicht zur Führung des Verzeichnisses besteht grundsätzlich für alle Organisationen, die nicht unter die eng gefasste Ausnahme für Kleinstunternehmen mit ausschließlich nicht-risikoreicher gelegentlicher Verarbeitung fallen — eine Ausnahme, die für die meisten operativ tätigen Mittelstandsunternehmen nicht greift.
Schritt 2: Rechtsgrundlagen für jede Verarbeitung bestimmen
Jede Verarbeitungstätigkeit braucht eine Rechtsgrundlage nach Art. 6 DSGVO; ohne sie ist die Verarbeitung rechtswidrig. Die sechs Grundlagen — Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe und berechtigte Interessen — sind nicht beliebig austauschbar.
In der betrieblichen Praxis des Mittelstands dominieren drei Konstellationen: Verarbeitung zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) für Kunden- und Lieferantendaten, Verarbeitung zur Erfüllung rechtlicher Verpflichtungen (lit. c) für steuerrechtlich relevante Unterlagen sowie die Interessenabwägung (lit. f) für Marketingmaßnahmen und Sicherheitsüberwachung. Die Einwilligung nach lit. a wird in der Praxis häufig überbewertet: Sie ist widerruflich, muss dokumentiert werden und eignet sich nicht als Auffangtatbestand für Verarbeitungen, die sich auf berechtigte Interessen stützen lassen.
Welche Fehler entstehen hier systematisch? In unserer Beratungserfahrung stützen Unternehmen Newsletter-Versand auf eine Einwilligung, die sie nie gespeichert haben, und verwenden für Mitarbeiterdaten Einwilligungen, obwohl das Beschäftigtendatenschutzrecht nach § 26 BDSG eigene Anforderungen stellt. Beides führt im Behördenverfahren zu erheblichem Nachbesserungsbedarf.
Schritt 3: Auftragsverarbeitungsverträge prüfen und schließen
Überträgt ein Unternehmen die Verarbeitung personenbezogener Daten an externe Dienstleister — Cloud-Anbieter, Lohnbuchhaltungssoftware, Hosting-Provider, E-Mail-Marketingplattformen — entsteht in der Regel eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO. Ohne schriftlichen Auftragsverarbeitungsvertrag (AVV) ist jede Datenweitergabe an diesen Dienstleister rechtswidrig.
Der AVV muss vor Beginn der Verarbeitung abgeschlossen sein und bestimmte Mindestinhalte aufweisen: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Kategorien von Daten und Betroffenen, Pflichten und Rechte des Verantwortlichen sowie die in Art. 28 Abs. 3 DSGVO aufgeführten technischen und organisatorischen Maßnahmen des Verarbeiters. Die bloße Annahme der Standardklauseln eines großen Softwareanbieters genügt häufig nicht — der Verantwortliche hat eigenständig zu prüfen, ob die vom Auftragsverarbeiter beschriebenen Maßnahmen dem aktuellen Stand der Technik entsprechen.
Besonderes Augenmerk gilt dem Drittlandtransfer: Werden Daten in Staaten außerhalb des Europäischen Wirtschaftsraums (EWR) verarbeitet — etwa durch US-amerikanische Cloud-Dienste —, sind zusätzlich die Anforderungen der Art. 44 ff. DSGVO zu erfüllen. In Betracht kommen Angemessenheitsbeschlüsse der Europäischen Kommission, EU-Standardvertragsklauseln (SCC) und in bestimmten Fällen verbindliche unternehmensinterne Datenschutzregelungen (BCR). Dieser Bereich entwickelt sich fortlaufend und erfordert aktives Monitoring.
Schritt 4: Technische und organisatorische Maßnahmen (TOM) definieren und dokumentieren
Art. 32 DSGVO verpflichtet den Verantwortlichen, unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Risiken geeignete technische und organisatorische Maßnahmen (TOM) zu ergreifen. Die Norm benennt exemplarisch Verschlüsselung, Pseudonymisierung, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sowie die Fähigkeit zur raschen Wiederherstellung nach einem Zwischenfall.
In der mittelständischen Praxis bedeutet das konkret: Zugriffsberechtigungskonzepte, die das Least-Privilege-Prinzip umsetzen; verschlüsselte Datenübertragung und -speicherung; regelmäßige Sicherheitsupdates und Patch-Management; Notfallpläne für den Fall eines Systemausfalls oder Angriffs. Ebenso wichtig ist die organisatorische Seite: Mitarbeiterschulungen, Verpflichtungserklärungen auf das Datengeheimnis, interne Weisungen zum Umgang mit personenbezogenen Daten.
Nach unserer Erfahrung scheitert die DSGVO-Compliance im Mittelstand nicht an fehlendem Willen, sondern an mangelnder Dokumentation bestehender Maßnahmen. Die Aufsichtsbehörde prüft nicht, was das Unternehmen tatsächlich umsetzt — sie prüft, was es nachweisen kann. TOM müssen daher schriftlich fixiert, regelmäßig überprüft und bei technischen Veränderungen angepasst werden.
Schritt 5: Betroffenenrechte und Auskunftsprozesse organisieren
Die DSGVO räumt betroffenen Personen umfangreiche Rechte ein: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Unternehmen müssen sicherstellen, dass eingehende Anfragen identifiziert, an die zuständige Stelle weitergeleitet und fristgerecht bearbeitet werden.
Auskunftsersuchen nach Art. 15 DSGVO sind grundsätzlich binnen eines Monats zu beantworten (Art. 12 Abs. 3 DSGVO); bei komplexen oder gehäuften Anfragen ist eine Verlängerung um bis zu zwei weitere Monate möglich, sofern die betroffene Person darüber informiert wird. Diese Frist klingt großzügig — in der Praxis scheitern Unternehmen jedoch regelmäßig daran, innerhalb dieser Frist alle relevanten Datensysteme abzufragen und eine vollständige, strukturierte Auskunft zu erteilen.
Der Prozess muss intern geregelt sein: Wer empfängt Anfragen, wer verifiziert die Identität der anfragenden Person, welche Systeme werden durchsucht, wer formuliert die Antwort, und wer prüft sie vor dem Versand? Fehlt dieser Prozess, produziert jede Anfrage ad-hoc-Aufwand und erhöht das Fehlerrisiko. Das Löschkonzept — also die systematische Regelung, welche Daten wann zu löschen sind — ist eng mit dem Auskunftsprozess verknüpft und sollte parallel entwickelt werden.
Wann ist eine Datenschutz-Folgenabschätzung (DSFA) erforderlich?
Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist vor Beginn einer Verarbeitung durchzuführen, wenn diese voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Der Gesetzgeber benennt drei Regelbeispiele: systematische und umfassende Bewertung persönlicher Aspekte auf Basis automatisierter Entscheidungen (Profiling), umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO sowie systematische Überwachung öffentlich zugänglicher Bereiche.
Die deutschen Datenschutzbehörden haben Positivlisten veröffentlicht, welche Verarbeitungsarten stets einer DSFA bedürfen — darunter Mitarbeiterüberwachungssysteme, umfassende Bonitätsbewertungen und KI-gestützte Entscheidungssysteme mit Auswirkungen auf Personen. Für den Mittelstand besonders relevant: der Einsatz biometrischer Zugangssysteme, Videoüberwachung am Arbeitsplatz und die Verarbeitung von Gesundheitsdaten.
Die DSFA ist kein einmaliger Formalakt. Sie muss dokumentiert werden, die identifizierten Risiken und die zu ihrer Minderung ergriffenen Maßnahmen ausweisen und bei wesentlichen Änderungen der Verarbeitungstätigkeit wiederholt werden. Kommt die DSFA zu dem Ergebnis, dass das verbleibende Risiko nicht hinreichend gemindert werden kann, ist vorab eine Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO erforderlich.
Schritt 6: Datenschutzbeauftragten bestellen und Meldepflichten kennen
Die Pflicht zur Benennung eines Datenschutzbeauftragten (DSB) richtet sich nach Art. 37 DSGVO und § 38 BDSG. Im Mittelstand besteht die Benennungspflicht insbesondere, wenn das Unternehmen in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt — eine Schwelle, die § 38 Abs. 1 BDSG festlegt und die in der Praxis von vielen mittelständischen Unternehmen überschritten wird. Darüber hinaus besteht Benennungspflicht unabhängig von der Mitarbeiterzahl bei umfangreicher Verarbeitung besonderer Datenkategorien oder bei bestimmten Verarbeitungen, die einer DSFA bedürfen.
Der DSB kann intern oder extern bestellt werden. Der externe Datenschutzbeauftragte bietet gerade für den Mittelstand Vorteile: Unabhängigkeit, breite Erfahrung aus verschiedenen Mandaten und keine Doppelrolle im Unternehmen. Die Bestellung ist der zuständigen Aufsichtsbehörde zu melden.
Neben der DSB-Bestellung sind die Meldepflichten bei Datenschutzverletzungen zentral: Eine Verletzung des Schutzes personenbezogener Daten ist binnen 72 Stunden nach Bekanntwerden der Aufsichtsbehörde zu melden (Art. 33 DSGVO), sofern die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen führt. Diese Frist läuft ab dem Moment, in dem das Unternehmen — nicht zwingend die Geschäftsführung — von der Verletzung Kenntnis erlangt. Interne Meldeketten und Eskalationsprozesse müssen daher so aufgebaut sein, dass der 72-Stunden-Takt eingehalten werden kann.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein inhabergeführtes Produktionsunternehmen mit rund 150 Beschäftigten aus der verarbeitenden Industrie. Ausgangslage: Das Unternehmen hatte nach einem Softwarewechsel festgestellt, dass Kundendaten über mehrere Monate in einem ungeschützten Cloud-Speicher zugänglich waren. Vorgehen: Die Kanzlei prüfte zunächst, ob die Voraussetzungen einer meldepflichtigen Datenschutzverletzung nach Art. 33 DSGVO vorlagen, begleitete die fristgerechte Meldung an die zuständige Behörde, dokumentierte den Vorfall vollständig und entwickelte gemeinsam mit dem IT-Dienstleister ein überarbeitetes Zugriffsberechtigungskonzept. Ergebnis: Die Behörde sah von einem förmlichen Sanktionsverfahren ab, da die Kooperation des Unternehmens und die eingeleiteten Gegenmaßnahmen als ausreichend bewertet wurden — ein Ergebnis, das ohne strukturierte Vorbereitung und rechtlich fundierte Kommunikation mit der Aufsichtsbehörde in dieser Form nicht erreichbar gewesen wäre.
Schritt 7: Datenschutzerklärungen, Einwilligungen und interne Richtlinien aktualisieren
Die Informationspflichten nach Art. 13 und 14 DSGVO verlangen, dass betroffene Personen — Kunden, Interessenten, Beschäftigte, Website-Besucher — transparent und verständlich über die Verarbeitung ihrer Daten informiert werden. Datenschutzerklärungen auf Unternehmenswebsites sind häufig das sichtbarste Compliance-Element; sie sind jedoch nur ein Ausschnitt der gesamten Informationspflicht.
Für Website-Betreiber stellt die Einbindung von Analyse- und Marketing-Tools eine dauerhaft sensible Konstellation dar. Cookie-Consent-Management muss technisch und rechtlich so umgesetzt sein, dass nicht-notwendige Cookies und Tracker erst nach freiwilliger, informierter Einwilligung gesetzt werden. Voreingestellte Häkchen, „Weiter"-Buttons ohne Auswahlmöglichkeit und versteckte Ablehnungsoptionen genügen den Anforderungen nicht — eine Position, die durch die Rechtsprechung des Bundesgerichtshofs und Entscheidungen der Datenschutzkonferenz gefestigt ist.
Intern sind Mitarbeiterrichtlinien zum Umgang mit personenbezogenen Daten, zur privaten Nutzung betrieblicher IT und zur Meldung von Datenpannen ebenso erforderlich wie Verpflichtungserklärungen auf das Datengeheimnis. Diese Dokumente müssen nicht nur vorhanden, sondern nachweislich kommuniziert worden sein — etwa durch Unterschrift oder elektronische Bestätigung mit Datum.
Schritt 8: Laufendes Monitoring, Audits und Behördenkommunikation
DSGVO-Compliance ist kein Projekt mit Abschlussdatum. Das Regelungssystem entwickelt sich durch neue Leitlinien des Europäischen Datenschutzausschusses (EDSA), Entscheidungen der nationalen Aufsichtsbehörden und Urteile des Europäischen Gerichtshofs (EuGH) kontinuierlich fort. Unternehmen, die ihr Datenschutzsystem einmal aufgebaut und dann nicht fortgeschrieben haben, riskieren, dass vermeintlich konforme Prozesse im Laufe der Zeit hinter den aktuellen Anforderungen zurückbleiben.
Mindestens einmal jährlich sollte ein internes Datenschutz-Audit stattfinden: Werden alle Verarbeitungstätigkeiten noch von einer Rechtsgrundlage getragen? Sind die TOMs noch zeitgemäß? Haben sich Datenflüsse — insbesondere zu neuen Auftragsverarbeitern oder in Drittstaaten — verändert? Das Audit schafft nicht nur Rechtssicherheit, sondern auch die Dokumentation, die im Behördenverfahren den Unterschied macht.
Gerät ein Unternehmen in den Fokus einer Datenschutzbehörde — sei es durch eine Beschwerde betroffener Personen, eine Datenpannen-Meldung oder eine anlasslose Prüfung —, ist professionelle Kommunikation entscheidend. Behörden sind kooperationsbereit, wenn das Unternehmen strukturiert, vollständig und fristgerecht reagiert. Schweigen, unvollständige Antworten oder die Nachreichung von Dokumenten, die augenscheinlich erst nach der Anfrage erstellt wurden, erzeugen das Gegenteil.
Die vorstehende Darstellung betrifft die Regelfälle der DSGVO-Compliance für Unternehmen. Ihr konkreter Sachverhalt — insbesondere Drittlandtransfers, besondere Datenkategorien und behördliche Anfragen — erfordert die individuelle Prüfung Ihrer Unterlagen, bestehenden Verträge und internen Prozesse. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zur DSGVO-Compliance für Unternehmen
Ab welcher Unternehmensgröße gilt die DSGVO?
Die DSGVO gilt für alle Unternehmen, die personenbezogene Daten von Personen in der EU verarbeiten — unabhängig von ihrer Größe oder ihrem Sitz. Eine Erleichterung besteht lediglich bei der Pflicht zum Führen eines Verarbeitungsverzeichnisses: Unternehmen mit weniger als 250 Beschäftigten sind davon grundsätzlich ausgenommen, sofern die Verarbeitung nur gelegentlich erfolgt, keine besonderen Datenkategorien betrifft und kein erhebliches Risiko für Betroffene mit sich bringt. Diese Ausnahme greift für die meisten operativ tätigen Mittelstandsunternehmen nicht; in der Praxis empfiehlt sich die Führung eines Verzeichnisses in jedem Fall, da es zugleich das zentrale Compliance-Dokumentationsinstrument ist.
Welche Bußgelder drohen bei DSGVO-Verstößen?
Die DSGVO sieht zwei Bußgeldrahmen vor: Für schwerwiegende Verstöße — insbesondere gegen die Grundsätze der Verarbeitung, Rechtsgrundlagen, Betroffenenrechte und Drittlandtransfer — können Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes des Unternehmens verhängt werden, je nachdem, welcher Betrag höher ist. Für weniger schwere Verstöße liegt der Rahmen bei bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Hinzu können Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO kommen. Die Höhe des Bußgelds richtet sich nach verschiedenen Kriterien, unter anderem Schwere und Dauer des Verstoßes, Kooperationsbereitschaft des Unternehmens und getroffene Abhilfemaßnahmen.
Müssen alle Unternehmen einen Datenschutzbeauftragten bestellen?
Nicht jedes Unternehmen ist zur Benennung eines Datenschutzbeauftragten verpflichtet. Nach § 38 Abs. 1 BDSG besteht die Pflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von dieser Schwelle besteht die Pflicht, wenn die Kerntätigkeit des Unternehmens in umfangreicher Verarbeitung besonderer Datenkategorien (Art. 9, 10 DSGVO) oder in Verarbeitungen besteht, die eine DSFA erfordern. Auch ohne gesetzliche Pflicht kann die freiwillige Bestellung eines DSB sinnvoll sein — insbesondere dann, wenn das Unternehmen regelmäßig mit sensiblen Daten arbeitet oder Behördenkontakt erwartet.
Was passiert bei einer Datenpanne — und welche Fristen gelten?
Bei einer Verletzung des Schutzes personenbezogener Daten ist das Unternehmen verpflichtet, die zuständige Datenschutzaufsichtsbehörde binnen 72 Stunden nach Bekanntwerden zu informieren, sofern die Verletzung ein Risiko für die Rechte und Freiheiten betroffener Personen begründet. Besteht darüber hinaus ein hohes Risiko, sind auch die betroffenen Personen unverzüglich zu benachrichtigen. Die 72-Stunden-Frist beginnt, wenn irgendeine Person im Unternehmen von der Panne Kenntnis erlangt — nicht erst, wenn die Geschäftsführung informiert ist. Interne Eskalationsprozesse sind daher unverzichtbar. Meldeverzögerungen ohne nachvollziehbare Begründung werden von Behörden regelmäßig als erschwerender Umstand gewertet.
Wie funktioniert die Rechtsgrundlage für Mitarbeiterdaten?
Die Verarbeitung personenbezogener Daten von Beschäftigten richtet sich in Deutschland primär nach § 26 BDSG, der Art. 88 DSGVO umsetzt. Danach ist die Verarbeitung zulässig, wenn sie zur Durchführung des Beschäftigungsverhältnisses erforderlich ist — also für Gehaltsabrechnung, Urlaubs- und Abwesenheitsverwaltung, Steuer- und Sozialversicherungsabführung. Für darüber hinausgehende Verarbeitungen — etwa Leistungsüberwachung, GPS-Tracking oder biometrische Zeiterfassung — bedarf es einer eigenständigen Rechtsgrundlage; eine Einwilligung des Arbeitnehmers ist im Beschäftigungsverhältnis wegen des strukturellen Machtgefälles nur unter engen Voraussetzungen freiwillig und damit wirksam. In der Praxis empfiehlt sich frühzeitige Abstimmung mit dem Betriebsrat, sofern vorhanden.
Welche besonderen Anforderungen gelten für Cloud-Dienste und US-Anbieter?
Der Einsatz von Cloud-Diensten, deren Anbieter Daten außerhalb des EWR verarbeiten, begründet einen Drittlandtransfer nach Art. 44 ff. DSGVO. Für Übermittlungen in die USA kann seit dem EU-US Data Privacy Framework von 2023 ein Angemessenheitsbeschluss der EU-Kommission bestehen, sofern der Anbieter zertifiziert ist. Parallel dazu empfiehlt sich der Abschluss von EU-Standardvertragsklauseln (SCC) sowie die Prüfung, ob zusätzliche technische Maßnahmen — insbesondere Verschlüsselung mit eigener Schlüsselhoheit — erforderlich sind. Angesichts der politischen Entwicklung auf beiden Seiten des Atlantiks sollte dieser Bereich regelmäßig neu bewertet werden; eine starre Lösung von heute kann morgen nicht mehr ausreichen.
Die vorstehende Darstellung betrifft die Regelfälle der DSGVO-Compliance für Unternehmen. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, bestehender AVV, interner Prozesse und etwaiger Behördenkorrespondenz. Zur Klärung, wie die DSGVO-Anforderungen auf Ihr Unternehmen wirken, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.