Ein Softwareentwickler aus dem Mittelstand erhält Post von der Landesdatenschutzbehörde: Auskunftsersuchen, Beschwerde eines ehemaligen Kunden, Frist zwei Wochen. Was jetzt? Für Geschäftsführer in der Software- und IT-Branche ist DSGVO-Compliance keine theoretische Pflichtübung – sie ist ein operatives Risikothema mit unmittelbaren Haftungsfolgen für das Unternehmen und die handelnden Personen.
DSGVO-Compliance für Unternehmen in der Software- und IT-Branche bedeutet: systematische Erfüllung der Anforderungen der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) entlang des gesamten Geschäftsbetriebs – von der Produktentwicklung über die Auftragsverarbeitung bis zur Reaktion auf Datenschutzverletzungen. Verstöße können nach Art. 83 DSGVO mit Bußgeldern von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes geahndet werden. Daneben drohen zivilrechtliche Schadensersatzansprüche und Reputationsschäden, die inhabergeführte IT-Unternehmen existenziell treffen können.
Dieser Fragen-Dossier beantwortet die zwölf häufigsten Fragen, die Geschäftsführer aus der Software- und IT-Branche in der anwaltlichen Praxis stellen – strukturiert, mit Normverweisen und konkreten Handlungshinweisen.
Welche Rechtsgrundlagen gelten für IT-Unternehmen bei der DSGVO-Compliance?
IT-Unternehmen unterliegen primär der DSGVO (Verordnung (EU) 2016/679), die seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten gilt, flankiert durch das deutsche BDSG (Bundesdatenschutzgesetz) als nationales Ausführungsgesetz. Für Software- und IT-Dienstleister ergeben sich die relevantesten Pflichten aus Art. 5 DSGVO (Grundsätze), Art. 6 DSGVO (Rechtsgrundlagen der Verarbeitung), Art. 28 DSGVO (Auftragsverarbeitung), Art. 25 DSGVO (Datenschutz durch Technikgestaltung) und Art. 32 DSGVO (Sicherheit der Verarbeitung).
In der Mandatspraxis sehen wir regelmäßig, dass IT-Unternehmen unterschätzen, wie viele Verarbeitungsvorgänge in ihrem eigenen Betrieb – Mitarbeiterdaten, Bewerbermanagement, CRM-Systeme, Analysedienste – eigenständig erfasst und dokumentiert werden müssen. Das BDSG präzisiert und ergänzt die DSGVO, etwa bei der Beschäftigtendatenschutzklausel (§ 26 BDSG) oder bei der Aufsichtsbehördenstruktur. Zusätzlich können branchenspezifische Regulierungen greifen, etwa wenn IT-Dienstleister im Gesundheits- oder Finanzsektor tätig sind.
Praktische Handlungsempfehlung: Klären Sie zunächst, ob Ihr Unternehmen als Verantwortlicher (Art. 4 Nr. 7 DSGVO), als Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) oder in beiden Rollen handelt. Diese Weichenstellung bestimmt den gesamten Pflichtenkatalog.
Was bedeutet DSGVO-Compliance konkret für Geschäftsführer in der IT-Branche?
Geschäftsführer einer GmbH haften für die Einhaltung datenschutzrechtlicher Pflichten im Rahmen ihrer allgemeinen Legalitätspflicht gegenüber der Gesellschaft. Datenschutz ist damit Chefsache – nicht allein Aufgabe der IT-Abteilung oder eines externen Datenschutzbeauftragten.
Konkret bedeutet das: Das Unternehmen muss ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO führen, technisch-organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO implementieren und dokumentieren, Auftragsverarbeitungsverträge (AVV) mit sämtlichen Dienstleistern schließen, die Zugriff auf personenbezogene Daten haben (Art. 28 DSGVO), und die Betroffenenrechte – Auskunft, Löschung, Berichtigung – in definierten Prozessen abbilden. Datenschutzverletzungen sind binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde zu melden (Art. 33 DSGVO).
Was viele Geschäftsführer übersehen: Die Rechenschaftspflicht des Art. 5 Abs. 2 DSGVO kehrt die Beweislast um. Nicht die Behörde muss einen Verstoß beweisen – das Unternehmen muss seine Compliance nachweisen können. Dokumentation ist daher kein bürokratischer Selbstzweck, sondern zentrales Verteidigungselement.
Wann ist ein Datenschutzbeauftragter (DSB) Pflicht für IT-Unternehmen?
Die Pflicht zur Benennung eines Datenschutzbeauftragten ergibt sich für private Unternehmen in Deutschland aus § 38 BDSG in Verbindung mit Art. 37 DSGVO. Nach § 38 Abs. 1 BDSG ist ein DSB zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Diese nationale Schwelle liegt deutlich unterhalb der DSGVO-Grundanforderungen für bestimmte Verarbeitungsarten.
Unabhängig von der Personenzahl gilt die Benennungspflicht, wenn das Unternehmen Verarbeitungen durchführt, die einer Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO bedürfen, oder wenn es sich geschäftsmäßig mit der Verarbeitung bestimmter sensibler Datenkategorien (Art. 9 DSGVO) befasst. Für Software-Unternehmen, die SaaS-Produkte mit Nutzertracking, KI-basierter Profilbildung oder Gesundheitsdaten anbieten, ist die Benennungspflicht nahezu die Regel.
Nach unserer Erfahrung ist die Frage „Brauchen wir überhaupt einen DSB?" regelmäßig die erste Frage, die wir im Erstgespräch mit IT-Unternehmen klären. Der DSB kann intern oder extern bestellt werden; entscheidend ist die fachliche Eignung und die Weisungsfreiheit (Art. 38 Abs. 3 DSGVO).
Was ist eine Datenschutz-Folgenabschätzung (DSFA), und wann ist sie erforderlich?
Die Datenschutz-Folgenabschätzung (DSFA; englisch: Data Protection Impact Assessment, DPIA) ist nach Art. 35 DSGVO durchzuführen, wenn eine Verarbeitungsart voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen verursacht. Der Begriff „hohes Risiko" ist durch Erwägungsgrund 91 DSGVO und Positivlisten der deutschen Datenschutzbehörden konkretisiert.
Für die Software- und IT-Branche typische Auslösetatbestände sind: systematische und umfangreiche Auswertung personenbezogener Daten durch automatisierte Entscheidungsprozesse (Art. 22 DSGVO), umfangreiche Verarbeitung besonderer Datenkategorien (Art. 9 DSGVO, z. B. Gesundheitsdaten, biometrische Daten), systematische Überwachung öffentlich zugänglicher Bereiche sowie neuartige Technologien mit noch ungewissem Risikoprofil – letzteres gewinnt insbesondere beim Einsatz von KI-Systemen erhebliche praktische Bedeutung.
Die DSFA ist kein einmaliger Vorgang. Sie muss wiederholt werden, wenn sich die Verarbeitungsart wesentlich ändert. Unternehmen, die agile Entwicklungsmethoden einsetzen und ihre Produkte laufend erweitern, sollten daher einen Prozess zur kontinuierlichen DSFA-Überprüfung etablieren.
Welche Pflichten bestehen bei der Auftragsverarbeitung (Art. 28 DSGVO)?
Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten weisungsgebunden im Auftrag eines anderen Unternehmens verarbeitet. Für IT-Unternehmen ist diese Konstellation doppelt relevant: Sie sind häufig selbst Auftragsverarbeiter gegenüber ihren Kunden (z. B. als Cloud-Provider, SaaS-Anbieter oder Entwicklungsdienstleister) und zugleich Verantwortliche gegenüber ihren eigenen Sub-Dienstleistern.
Art. 28 DSGVO verlangt zwingend einen schriftlichen oder elektronischen Auftragsverarbeitungsvertrag (AVV), der u. a. den Gegenstand der Verarbeitung, die Weisungsbindung, Vertraulichkeitspflichten, TOM, Sub-Auftragsverarbeitung und Rückgabe bzw. Löschung der Daten nach Auftragsende regelt. Das Fehlen eines AVV ist ein eigenständiger Verstoß – unabhängig davon, ob tatsächlich eine Datenschutzverletzung eingetreten ist.
In der Praxis sehen wir zwei typische Fehlerkonstellationen: Erstens fehlen AVVs mit gängigen Dienstleistern (E-Mail-Marketing-Tools, CRM-Systeme, Cloud-Speicher), weil diese als „selbstverständlich compliant" betrachtet werden. Zweitens enthalten vorhandene AVVs keine valide Regelung zur Sub-Auftragsverarbeitung, obwohl der Dienstleister seinerseits weitere Subunternehmer einsetzt.
Was gilt beim Datentransfer in Drittstaaten außerhalb der EU?
Der Transfer personenbezogener Daten in Länder außerhalb des Europäischen Wirtschaftsraums (EWR) ist nach Kapitel V DSGVO (Art. 44–49) nur unter bestimmten Voraussetzungen zulässig. Für IT-Unternehmen, die internationale Cloud-Dienste nutzen, Software-Teams in Drittstaaten beschäftigen oder Kunden außerhalb der EU bedienen, hat dieses Thema hohe praktische Relevanz.
Zulässige Übermittlungsinstrumente sind insbesondere: Angemessenheitsbeschlüsse der EU-Kommission (aktuell z. B. für die USA im Rahmen des EU-US Data Privacy Framework), Standardvertragsklauseln (SCC, zuletzt revidiert im Juni 2021), verbindliche interne Datenschutzvorschriften (BCR) für Konzerne sowie im Einzelfall die Ausnahmen des Art. 49 DSGVO.
Wichtig zu wissen: Ein Angemessenheitsbeschluss kann durch Gerichtsentscheidungen oder politische Entwicklungen wegfallen – wie die Schrems-I- und Schrems-II-Entscheidungen des EuGH gezeigt haben. IT-Unternehmen sollten daher ihre Drittlandtransfers dokumentieren und regelmäßig auf aktuelle Rechtsgrundlagen prüfen. Die Aufsichtsbehörden legen auf diesen Punkt besonderes Augenmerk.
Wie ist mit einem Auskunftsersuchen nach Art. 15 DSGVO umzugehen?
Jede betroffene Person hat das Recht, von einem Unternehmen Auskunft darüber zu verlangen, ob und welche personenbezogenen Daten verarbeitet werden, zu welchem Zweck, an wen sie übermittelt wurden und wie lange sie gespeichert werden. Nach Art. 12 Abs. 3 DSGVO ist die Auskunft grundsätzlich innerhalb eines Monats zu erteilen; bei Komplexität oder Vielzahl der Anfragen kann die Frist um weitere zwei Monate verlängert werden, wenn die betroffene Person vorab informiert wird.
Für IT-Unternehmen ist die Beantwortung von Auskunftsersuchen operativ anspruchsvoll, weil Daten oft über mehrere Systeme verteilt sind – ERP, CRM, Ticketsystem, E-Mail-Archiv, Log-Daten. Ein fehlendes oder lückenhaftes Verzeichnis von Verarbeitungstätigkeiten macht eine vollständige Auskunft nahezu unmöglich. Die Folge: Entweder wird die Auskunft fristgemäß erteilt, aber unvollständig – oder sie wird gar nicht fristgemäß erteilt. Beides kann zu Beschwerden bei der Aufsichtsbehörde und in der Folge zu Bußgeldverfahren führen.
Handlungsempfehlung: Etablieren Sie einen definierten internen Prozess für Betroffenenanfragen – zuständige Person, Abfrage-Checkliste für alle relevanten Systeme, Dokumentation der Bearbeitung. Dieser Prozess sollte in regulären Abständen auf Funktionstüchtigkeit getestet werden.
Was ist bei einer Datenpanne zu tun – und was droht bei Versäumnissen?
Eine Datenschutzverletzung (Art. 4 Nr. 12 DSGVO) umfasst jede Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt. Für IT-Unternehmen zählen dazu Ransomware-Angriffe, versehentliche Datenlecks durch Fehlkonfigurationen, unbefugter Zugriff durch Mitarbeitende und Datenverluste durch fehlerhafte Löschroutinen.
Die 72-Stunden-Meldefrist des Art. 33 DSGVO beginnt, sobald das Unternehmen von der Verletzung Kenntnis erlangt. Dieser Zeitpunkt ist in der Praxis nicht immer eindeutig – bei mehrtägigen Vorfällen oder gestaffeltem Informationsfluss innerhalb der Organisation entstehen hier Haftungsrisiken. Die Meldung ist an die zuständige Landesdatenschutzbehörde zu richten und muss bestimmte Mindestangaben nach Art. 33 Abs. 3 DSGVO enthalten. Zusätzlich ist bei voraussichtlich hohem Risiko für die Betroffenen eine Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO erforderlich.
Versäumt ein Unternehmen die Meldung, drohen Bußgelder nach Art. 83 Abs. 4 DSGVO von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes – allein für das Meldepflichtversäumnis, unabhängig vom Schaden. Bei schwereren Verstößen gilt der höhere Rahmen des Art. 83 Abs. 5 DSGVO.
Welche Anforderungen stellt die DSGVO an technisch-organisatorische Maßnahmen (TOM)?
Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Risiken geeignete technische und organisatorische Maßnahmen zu treffen. Konkret genannt werden Pseudonymisierung und Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sowie die Fähigkeit zur raschen Wiederherstellung der Datenverfügbarkeit nach Zwischenfällen.
Für die Software- und IT-Branche bedeutet das: TOM sind kein statisches Dokument, sondern ein kontinuierlicher Prozess. Ein Unternehmen, das seine TOM zuletzt vor drei Jahren dokumentiert hat, genügt dem Gebot der Aktualität nach aller Wahrscheinlichkeit nicht mehr. Besonders kritisch werden folgende Bereiche bewertet: fehlende Zugriffskontrollen (Role-Based Access Control), unverschlüsselte Datenübertragungen, fehlende Penetrationstests und kein strukturiertes Patch-Management.
Nach unserer Erfahrung in der Mandatspraxis sind TOM-Dokumentationen häufig vorhanden, aber veraltet oder zu abstrakt formuliert, um im Bußgeldverfahren als Entlastungsnachweis zu dienen. Die Aufsichtsbehörden erwarten eine konkrete, systembezogene Auflistung – nicht allgemeine Absichtserklärungen.
Was gilt für den Einsatz von Cookies, Tracking und Webanalyse?
Der Einsatz von Cookies und vergleichbaren Technologien zur Speicherung von Informationen oder zum Zugriff auf Informationen im Endgerät des Nutzers unterliegt in Deutschland dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, in Kraft getreten am 13. Mai 2024 als Nachfolger des TTDSG). Das TDDDG setzt die ePrivacy-Richtlinie (2002/58/EG) in nationales Recht um und ergänzt die DSGVO.
Für nicht technisch notwendige Cookies – insbesondere Analyse-, Marketing- und Social-Media-Cookies – ist eine aktive, informierte und freiwillige Einwilligung erforderlich. Das bedeutet: Vorangehakte Kästchen, „Weiter surfen bedeutet Zustimmung" und ähnliche Konstrukte sind unzulässig. Consent-Management-Plattformen (CMP) müssen so konfiguriert sein, dass Ablehnung genauso einfach ist wie Zustimmung.
Welche Auswirkungen hat das für IT-Unternehmen konkret? Wer Google Analytics, Meta Pixel, LinkedIn Insight Tag oder vergleichbare Dienste auf der eigenen Website oder in seinem SaaS-Produkt einsetzt, muss die Einwilligungslösung laufend auf Rechtskonformität prüfen – denn sowohl die technischen Anforderungen als auch die Praxis der Aufsichtsbehörden entwickeln sich kontinuierlich fort.
Welche Besonderheiten gelten für KI-Systeme und DSGVO?
Der Einsatz von KI-Systemen, die personenbezogene Daten verarbeiten, löst datenschutzrechtliche Prüfpflichten auf mehreren Ebenen aus. Erstens muss für jede KI-gestützte Verarbeitung eine Rechtsgrundlage nach Art. 6 DSGVO (und ggf. Art. 9 DSGVO für besondere Datenkategorien) bestehen. Zweitens ist zu prüfen, ob die KI-Verarbeitung eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erfordert – was bei Systemen mit automatisierten Entscheidungen und erheblichen Auswirkungen für Betroffene (Art. 22 DSGVO) regelmäßig der Fall ist.
Drittens ist seit dem Inkrafttreten der KI-Verordnung (EU-Verordnung 2024/1689, sogenannte AI Act) ein neues Regelungsumfeld entstanden, das Hochrisiko-KI-Systeme definiert und ergänzende Anforderungen – u. a. Transparenz, Risikomanagement, menschliche Aufsicht – für deren Einsatz stellt. Für IT-Unternehmen, die KI-Systeme entwickeln oder betreiben, entsteht damit eine Doppelpflicht aus DSGVO und AI Act, die eng aufeinander abgestimmt sein muss.
Nach unserer Einschätzung wird die Verschränkung von Datenschutzrecht und KI-Regulierung in den nächsten Jahren der bedeutendste Rechtsgestaltungsbereich für die Software- und IT-Branche sein. Strukturierte Beratung in der Entwicklungsphase – Privacy by Design nach Art. 25 DSGVO – ist weit kosteneffizienter als nachträgliche Anpassungen nach einer Behördenanfrage.
Wie können Bußgelder nach Art. 83 DSGVO abgewendet oder gemindert werden?
Bußgelder nach der DSGVO sind keine automatische Folge eines festgestellten Verstoßes. Art. 83 Abs. 2 DSGVO nennt einen umfangreichen Kriterienkatalog für die Bemessung: Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, ergriffene Abhilfemaßnahmen, frühere Verstöße, Grad der Kooperation mit der Behörde, betroffene Datenkategorien und das Ausmaß des Schadens.
Für Unternehmen bedeutet das: Ein dokumentiertes Compliance-System, das den Stand der Technik abbildet und strukturierte Prozesse für Betroffenenrechte, Meldepflichten und interne Schulungen enthält, ist nicht nur eine gesetzliche Pflicht, sondern auch das wirksamste Instrument zur Bußgeldminderung. Wer bei einer Datenpanne unverzüglich meldet, vollständig kooperiert und nachweist, dass er angemessene TOM implementiert hatte, steht im Bußgeldverfahren deutlich besser da als ein Unternehmen, das Verstöße zu verbergen versucht oder schlicht keine Dokumentation vorweisen kann.
Darüber hinaus sehen wir in der Praxis, dass eine frühzeitige anwaltliche Begleitung im Behördenverfahren – Prüfung der Meldung, Begleitung der Behördenkorrespondenz, rechtliches Gehör nach § 39 BDSG – erheblichen Einfluss auf den Verlauf und das Ergebnis eines Bußgeldverfahrens haben kann. Die Entscheidung, ob und wie man mit der Aufsichtsbehörde kommuniziert, sollte nicht ohne anwaltliche Einschätzung getroffen werden.
Illustratives Beispiel aus der Beratungspraxis
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Softwareunternehmen mit rund 80 Mitarbeitenden, das SaaS-Lösungen für das Personalmanagement entwickelt und betreibt. Ausgangslage: Das Unternehmen erhielt eine Prüfungsankündigung der zuständigen Landesdatenschutzbehörde. Anlass war eine Beschwerde eines ehemaligen Kunden über eine verspätete Auskunftserteilung. Im Rahmen der Prüfung wurde deutlich, dass AVVs mit zwei Sub-Dienstleistern fehlten und das Verzeichnis von Verarbeitungstätigkeiten nicht aktualisiert worden war. Vorgehen: Vollständige Aktualisierung der Datenschutzdokumentation, Nachschließung der AVVs, strukturierte Beantwortung des Behördenersuchens mit ausführlicher Darstellung der ergriffenen Abhilfemaßnahmen. Ergebnis: Das Verfahren endete ohne Bußgeldfestsetzung; die Behörde erteilte eine Verwarnung mit Auflagen zur weiteren Dokumentation. Das Unternehmen hat seither einen definierten Datenschutzprozess implementiert.
Verwandte Leistungen
Häufige Fragen zu DSGVO-Compliance für Unternehmen in der Software- und IT-Branche
Was ist der Unterschied zwischen Verantwortlichem und Auftragsverarbeiter nach der DSGVO?
Der Verantwortliche (Art. 4 Nr. 7 DSGVO) bestimmt Zwecke und Mittel der Verarbeitung personenbezogener Daten – er trägt die primäre Pflichtenlast. Der Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) verarbeitet Daten weisungsgebunden im Auftrag des Verantwortlichen. Beide Rollen können in einem IT-Unternehmen gleichzeitig bestehen: als Verantwortlicher für eigene Mitarbeiterdaten und als Auftragsverarbeiter gegenüber Kunden. Die Rollenzuordnung bestimmt, welche vertraglichen und organisatorischen Pflichten im Einzelnen greifen.
Ab wie vielen Mitarbeitenden ist ein Datenschutzbeauftragter Pflicht?
Nach § 38 Abs. 1 BDSG ist ein Datenschutzbeauftragter zu benennen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von dieser Schwelle gilt die Benennungspflicht, wenn das Unternehmen Verarbeitungen durchführt, für die eine Datenschutz-Folgenabschätzung erforderlich ist, oder wenn es geschäftsmäßig besondere Datenkategorien nach Art. 9 DSGVO verarbeitet. Für viele IT-Unternehmen greift die Pflicht daher bereits weit unterhalb der Schwelle von 20 Personen.
Wie hoch sind die Bußgelder bei DSGVO-Verstößen?
Art. 83 DSGVO sieht zwei Bußgeldrahmen vor: Für weniger schwerwiegende Verstöße (z. B. fehlender AVV, unterbliebene Meldung einer Datenpanne) bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Für schwerwiegendere Verstöße – insbesondere Verletzungen der Grundprinzipien des Art. 5 DSGVO oder fehlende Rechtsgrundlage – bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes. Maßgeblich ist jeweils der höhere Betrag. Daneben sind zivilrechtliche Schadensersatzansprüche nach Art. 82 DSGVO möglich.
Was muss ein Auftragsverarbeitungsvertrag (AVV) mindestens enthalten?
Art. 28 Abs. 3 DSGVO schreibt Mindestinhalte vor: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten und Kategorien betroffener Personen, Pflichten und Rechte des Verantwortlichen. Ergänzend muss der AVV Regelungen zu Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen (Art. 32 DSGVO), Sub-Auftragsverarbeitern, Unterstützung bei Betroffenenrechten, Rückgabe und Löschung nach Auftragsende sowie zu Audit-Rechten enthalten. Fehlt auch nur eines dieser Elemente, liegt ein eigenständiger Datenschutzverstoß vor.
Binnen welcher Frist muss eine Datenpanne der Aufsichtsbehörde gemeldet werden?
Die Meldepflicht nach Art. 33 DSGVO greift, sobald das Unternehmen von der Datenschutzverletzung Kenntnis erlangt. Ab diesem Zeitpunkt läuft eine Frist von 72 Stunden. Kann die vollständige Meldung nicht fristgemäß erfolgen, ist eine vorläufige Meldung möglich, die in Etappen vervollständigt wird – Art. 33 Abs. 4 DSGVO. Wichtig: Die Frist gilt für jede meldepflichtige Datenschutzverletzung, also auch wenn der Schaden gering erscheint. Nicht jede Datenpanne ist jedoch meldepflichtig – ein voraussichtlich geringes Risiko für Betroffene kann die Meldepflicht entfallen lassen.
Ist die Arbeitszeiterfassung datenschutzrechtlich relevant?
Ja. Die Erfassung von Arbeitszeiten verarbeitet personenbezogene Daten von Beschäftigten. Rechtsgrundlage ist § 26 BDSG (Verarbeitung für Zwecke des Beschäftigungsverhältnisses). Arbeitgeber müssen die Zwecke der Erfassung klar definieren, geeignete TOM implementieren und die Beschäftigten nach Art. 13 DSGVO informieren. Sofern ein Betriebsrat besteht, ist zudem § 87 Abs. 1 Nr. 6 BetrVG zu beachten – die Einführung technischer Überwachungseinrichtungen unterliegt der Mitbestimmung. Arbeitgebern und Arbeitnehmern stehen hier teilweise gegenläufige Interessen gegenüber, die im Einzelfall auszubalancieren sind.
Was versteht man unter Privacy by Design und Privacy by Default?
Privacy by Design (Datenschutz durch Technikgestaltung, Art. 25 Abs. 1 DSGVO) bedeutet, dass datenschutzfreundliche Einstellungen und Mechanismen bereits bei der Entwicklung eines Systems oder Produkts berücksichtigt werden – nicht erst nachträglich. Privacy by Default (Datenschutz durch datenschutzfreundliche Voreinstellungen, Art. 25 Abs. 2 DSGVO) verlangt, dass standardmäßig nur die für den jeweiligen Verarbeitungszweck notwendigen Daten verarbeitet werden. Für Software-Unternehmen sind beide Grundsätze direkt verhaltenswirksam: Sie bestimmen, wie Produkte technisch zu architektieren sind. Verstöße können bereits bei Markteinführung eines Produkts Aufsichtsmaßnahmen auslösen.
Welche Besonderheiten gelten beim Einsatz von US-amerikanischen Cloud-Diensten?
Der Transfer personenbezogener Daten in die USA ist seit dem Inkrafttreten des EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023) für zertifizierte US-Unternehmen grundsätzlich zulässig. Nicht zertifizierte Anbieter erfordern weiterhin den Abschluss aktueller EU-Standardvertragsklauseln (SCC) und ggf. ergänzende Schutzmaßnahmen. Angesichts der politischen Unsicherheiten rund um das EU-US-Verhältnis empfehlen wir, die Rechtmäßigkeit von US-Transfers nicht als dauerhaft gesichert zu betrachten, sondern mindestens jährlich zu überprüfen und Alternativszenarien zu dokumentieren.
Wie lange müssen personenbezogene Daten gelöscht werden?
Die DSGVO kennt kein einheitliches Löschungsintervall. Das Speicherbegrenzungsprinzip des Art. 5 Abs. 1 lit. e DSGVO verlangt, dass personenbezogene Daten nur so lange gespeichert werden, wie es für den Verarbeitungszweck erforderlich ist. In der Praxis sind jedoch zahlreiche gesetzliche Aufbewahrungsfristen zu beachten, die dem Löschungsgebot vorrangig sind – etwa handels- und steuerrechtliche Aufbewahrungspflichten oder arbeitsrechtliche Vorgaben. Unternehmen sollten ein Löschkonzept erstellen, das für jede Datenkategorie den Verarbeitungszweck, die anwendbaren Aufbewahrungsfristen und den Löschungszeitpunkt definiert.
Was ist bei einer Auskunftsanfrage zu tun, wenn Daten in vielen Systemen verteilt sind?
Auch bei verteilten Systemlandschaften gilt die Auskunftsfrist von grundsätzlich einem Monat nach Art. 12 Abs. 3 DSGVO. Das Unternehmen muss alle Systeme systematisch abfragen, in denen personenbezogene Daten der anfragenden Person verarbeitet werden. Eine strukturierte Systemübersicht – Teil eines vollständigen Verzeichnisses von Verarbeitungstätigkeiten – ist hierfür Voraussetzung. Kann die Auskunft wegen Komplexität nicht fristgemäß vollständig erteilt werden, ist die betroffene Person innerhalb eines Monats über die Verlängerung und deren Gründe zu informieren.
Welche Schulungspflichten bestehen für Mitarbeitende?
Art. 39 Abs. 1 lit. b DSGVO überträgt dem Datenschutzbeauftragten die Aufgabe, das Personal zu sensibilisieren und zu schulen. Mitarbeiterschulungen sind zudem Teil der organisatorischen Maßnahmen nach Art. 32 DSGVO und ein wesentlicher Baustein des Rechenschaftsnachweises (Art. 5 Abs. 2 DSGVO). Regelmäßige Schulungen – üblicherweise jährlich, anlassbezogen bei wesentlichen Änderungen der Verarbeitungsprozesse – dokumentieren, dass das Unternehmen aktiv auf die Reduzierung von Datenschutzrisiken hinarbeitet. Im Bußgeldverfahren kann nachgewiesene Schulungspraxis strafmildernd berücksichtigt werden.
Was droht dem Geschäftsführer persönlich bei DSGVO-Verstößen?
Bußgelder nach Art. 83 DSGVO richten sich primär gegen das Unternehmen. Eine persönliche Bußgeldhaftung des Geschäftsführers ist nach der Systematik der DSGVO nicht der Regelfall, jedoch nach nationalem Recht in bestimmten Konstellationen möglich – etwa als Ordnungswidrigkeit nach BDSG oder bei strafrechtlich relevanten Sachverhalten. Schwerer wiegt die zivilrechtliche Innenhaftung des Geschäftsführers gegenüber der Gesellschaft: Wenn datenschutzrechtliche Pflichten schuldhaft verletzt wurden und der Gesellschaft dadurch ein Schaden entstand, können Schadensersatzansprüche nach § 43 GmbHG geltend gemacht werden. Dies betrifft besonders Fälle, in denen systematische Compliance-Versäumnisse ignoriert wurden.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Sachverhalt erfordert die Prüfung Ihrer Verarbeitungsprozesse, bestehenden Dokumentation und der für Ihre Branche einschlägigen Anforderungen. Für eine erste fachliche Einschätzung Ihrer Situation schreiben Sie an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.