Ein mittelständischer Softwareanbieter erfährt, dass sein Cloud-Dienst Kundendaten an einen US-amerikanischen Infrastrukturanbieter überträgt – ohne dokumentierte Rechtsgrundlage, ohne Auftragsverarbeitungsvertrag, ohne Einschätzung zur Drittlandübermittlung. Was für den technischen Betrieb seit Jahren Alltag war, stellt datenschutzrechtlich einen erheblichen Verstoß dar. Die Aufsichtsbehörde hat in vergleichbaren Konstellationen Bußgelder in Millionenhöhe verhängt.
DSGVO-Compliance für Unternehmen der Software- und IT-Branche verlangt weit mehr als das Aufstellen einer Datenschutzerklärung: Das europäische Datenschutzrecht verpflichtet Verantwortliche nach der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG) zur lückenlosen Dokumentation, zur Implementierung technisch-organisatorischer Maßnahmen und zur Sicherstellung rechtmäßiger Datenübermittlungen – bei Verstößen drohen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes. Für Geschäftsführer im Mittelstand bedeutet das eine persönlich relevante Überwachungspflicht, die anwaltlicher Strukturierung bedarf.
Dieser Beitrag analysiert die aktuelle Rechtslage für IT- und Softwareunternehmen, zeigt typische Risikoschwerpunkte auf und entwickelt eine handlungsorientierte Entscheidungsmatrix für die Compliance-Gestaltung.
Was verlangt die DSGVO von Software- und IT-Unternehmen konkret?
Die DSGVO verpflichtet jedes Unternehmen, das personenbezogene Daten verarbeitet, zur Einhaltung der in Art. 5 DSGVO kodifizierten Grundsätze – Rechtmäßigkeit, Zweckbindung, Datensparsamkeit, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Rechenschaftspflicht. Für die Software- und IT-Branche ist dabei besonders die Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) strategisch bedeutsam: Nicht das Aufsichtsorgan trägt die Beweislast, dass ein Verstoß vorliegt – der Verantwortliche muss proaktiv nachweisen, dass er compliant ist.
In der Mandatspraxis sehen wir, dass IT-Unternehmen die Pflichten des Verarbeitungsverzeichnisses (Art. 30 DSGVO) zwar formal anlegen, aber selten aktuell halten. Jedes Unternehmen mit mehr als 250 Mitarbeitern ist uneingeschränkt zur Führung eines Verzeichnisses aller Verarbeitungstätigkeiten verpflichtet; unterhalb dieser Schwelle gilt die Pflicht immer dann, wenn die Verarbeitungen ein Risiko für die Rechte der Betroffenen bergen – was bei nahezu jeder SaaS-Anwendung mit Nutzerdaten der Fall ist. Die Ausnahme verschlingt die Regel: Faktisch müssen auch kleine IT-Unternehmen ein vollständiges Verzeichnis führen.
Daneben steht die Pflicht zur Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO) für Verarbeitungen mit voraussichtlich hohem Risiko. Wann ist das Risiko „hoch"? Die Aufsichtsbehörden haben Positivlisten veröffentlicht, die regelmäßig Profiling, umfangreiche Verarbeitung besonderer Kategorien sowie systematische Überwachung erfassen. Ein SaaS-HR-Tool, das Mitarbeiterdaten verarbeitet und Verhaltensprofile erstellt, löst die DSFA-Pflicht typischerweise aus – und ihre Nichtdurchführung ist ein eigenständiger Bußgeldtatbestand.
Welche Rechtsgrundlagen tragen die Datenverarbeitung im IT-Kontext?
Ohne tragfähige Rechtsgrundlage ist jede Verarbeitung personenbezogener Daten rechtswidrig – das ist das Verbotsprinzip mit Erlaubnisvorbehalt des Art. 6 DSGVO. In der Software- und IT-Branche kommen im Wesentlichen vier Grundlagen in Betracht: die Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b), die Erfüllung rechtlicher Pflichten (lit. c), berechtigte Interessen (lit. f) sowie die Einwilligung (lit. a).
Die Einwilligung ist dabei kein allgemeines Auffangnetz. Sie setzt Freiwilligkeit, Informiertheit, Bestimmtheit und Widerruflichkeit voraus – und ihr Widerruf muss so einfach sein wie ihre Erteilung. Wer sich im B2C-Bereich auf Einwilligung stützt, muss technisch sicherstellen, dass eine Ablehnung ohne Nachteile möglich ist und der Dienst grundsätzlich auch ohne Tracking-Einwilligung nutzbar bleibt. Die Aufsichtsbehörden haben in den vergangenen Jahren zahlreiche Einwilligungsmechanismen als unwirksam eingestuft – darunter voreingestellte Checkboxen, Cookie-Walls ohne gleichwertige Alternative und Zustimmungs-Buttons in irreführender Gestaltung.
Die berechtigten Interessen nach Art. 6 Abs. 1 lit. f DSGVO können eine flexible Grundlage bieten, verlangen aber eine dreistufige Interessenabwägung: Vorliegen eines legitimen Interesses → Erforderlichkeit der Verarbeitung → Überwiegen gegenüber den Interessen der Betroffenen. Diese Abwägung ist zu dokumentieren. Nach unserer Erfahrung fehlt die Dokumentation regelmäßig, obwohl IT-Unternehmen die Grundlage des berechtigten Interesses – etwa für Betrugsprävention, IT-Sicherheit oder Produktverbesserung durch Nutzungsanalysen – häufig einschlägig nutzen könnten, wenn die Abwägung sorgfältig geführt und schriftlich niedergelegt ist.
Drittlandübermittlung: Das größte Compliance-Risiko in der IT-Branche
Die Übermittlung personenbezogener Daten in Länder außerhalb des Europäischen Wirtschaftsraums (EWR) ist ohne ein angemessenes Schutzniveau unzulässig. Für Softwareunternehmen, die US-amerikanische Infrastruktur, Cloud-Dienste oder Sub-Auftragsverarbeiter einsetzen – was in der Praxis nahezu ubiquitär ist – stellt das Drittlandtransferrecht eine zentrale Baustelle dar.
Seit dem Schrems-II-Urteil des EuGH aus dem Jahr 2020 ist der Privacy Shield als Übermittlungsgrundlage entfallen. Als Nachfolger wurde im Juli 2023 das EU-US Data Privacy Framework (DPF) durch einen Angemessenheitsbeschluss der EU-Kommission eingeführt. US-Unternehmen, die unter dem DPF zertifiziert sind, können Datenempfänger sein, ohne dass zusätzliche Schutzmaßnahmen zwingend erforderlich sind – die Zertifizierung ist jedoch regelmäßig zu überprüfen, da sie erneuert werden muss und politisch umstritten bleibt. Fehlt eine DPF-Zertifizierung, sind Standardvertragsklauseln (SCC, Art. 46 Abs. 2 lit. c DSGVO) das wichtigste Instrument, ergänzt durch eine Transfer Impact Assessment (TIA) für Hochrisikoübermittlungen.
Wer nur die SCC abschließt, ohne eine TIA durchzuführen und zu dokumentieren, erfüllt die nach dem Schrems-II-Urteil geltenden Anforderungen nicht vollständig. Die deutschen Aufsichtsbehörden – insbesondere der Bayerische Landesbeauftragte und die Berliner Beauftragte – haben in diesem Bereich aktiv geprüft und Abmahnungen sowie Untersagungen ausgesprochen. Ist Ihr Unternehmen darauf vorbereitet, wenn die Aufsichtsbehörde Ihre Transfer-Dokumentation anfordert?
Auftragsverarbeitung: Vertragsgestaltung als Pflichtaufgabe
Sobald ein Unternehmen personenbezogene Daten im Auftrag eines anderen verarbeitet, liegt Auftragsverarbeitung im Sinne des Art. 28 DSGVO vor. Für die Software- und IT-Branche ist dieses Konstrukt zentral: SaaS-Anbieter sind typischerweise Auftragsverarbeiter ihrer Kunden; Cloud-Infrastruktur-Anbieter sind Sub-Auftragsverarbeiter der SaaS-Anbieter. Art. 28 DSGVO verpflichtet zur schriftlichen Vereinbarung eines Auftragsverarbeitungsvertrags (AVV) mit einem definierten Mindestinhalt – dessen Fehlen ist ein bußgeldbewährter Verstoß, unabhängig davon, ob tatsächlich ein Datenschutzproblem entstanden ist.
Die häufigsten Fehler, die wir in der Mandatspraxis beobachten: AVV-Vorlagen des Auftragsverarbeiters werden ungeprüft unterzeichnet, obwohl sie die gesetzlich gebotenen Weisungsrechte des Verantwortlichen faktisch aushöhlen. Sub-Auftragsverarbeiterketten werden nicht vollständig offengelegt. Und die Pflicht zur Genehmigung von Änderungen bei Sub-Auftragsverarbeitern (Art. 28 Abs. 2 DSGVO) wird häufig durch AGB-Formulierungen umgangen, die der Verantwortliche schlicht nicht liest. Zu beachten ist dabei: Wer als Verantwortlicher einen fehlerhaften AVV unterzeichnet, trägt gleichwohl die vollständige Haftung gegenüber Aufsichtsbehörde und Betroffenen.
Datenpannen und die 72-Stunden-Meldepflicht
Art. 33 DSGVO verpflichtet den Verantwortlichen, eine Verletzung der Sicherheit personenbezogener Daten binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde zu melden – sofern die Verletzung voraussichtlich ein Risiko für natürliche Personen darstellt. Für die Software- und IT-Branche, in der Sicherheitsvorfälle – von Ransomware-Angriffen über versehentlich freigegebene Datenbankzugänge bis hin zu Fehlkonfigurationen in Cloud-Umgebungen – zum operativen Alltag gehören, ist diese Frist regelmäßig existenzrelevant.
Die Frist beginnt nicht erst mit vollständiger Kenntnis des Vorfalls, sondern sobald der Verantwortliche „Kenntnis" von der Verletzung erlangt hat – ein bewusst niedrig angesetzter Schwellenwert. Erste Informationen eines Systemadministrators, die auf einen möglichen Datenzugriff hindeuten, können bereits den Fristenlauf auslösen. In der Praxis empfiehlt sich daher ein vorbereitetes Incident-Response-Verfahren mit klarer Eskalationskette, damit die 72-Stunden-Frist nicht unbemerkt abläuft.
Hinzu kommt die Benachrichtigungspflicht gegenüber den Betroffenen nach Art. 34 DSGVO, wenn ein hohes Risiko für deren Rechte und Freiheiten besteht. Diese Benachrichtigung muss in klarer, verständlicher Sprache erfolgen und konkrete Angaben zu Art der Verletzung, betroffenen Datenkategorien und empfohlenen Schutzmaßnahmen enthalten. Wer hier zögert oder unvollständig informiert, riskiert neben dem Bußgeld zusätzlich Schadensersatzansprüche nach Art. 82 DSGVO.
Technisch-organisatorische Maßnahmen: Was ist hinreichend?
Art. 32 DSGVO verlangt vom Verantwortlichen und vom Auftragsverarbeiter die Implementierung geeigneter technischer und organisatorischer Maßnahmen (TOMs), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Der Maßstab ist dabei kein statischer: Die TOMs sind regelmäßig zu überprüfen und an den Stand der Technik anzupassen. Was vor drei Jahren als zeitgemäße Verschlüsselung galt, kann heute unzureichend sein.
Für Softwareunternehmen gilt: Pseudonymisierung, Ende-zu-Ende-Verschlüsselung, Zugriffskontrolle auf Basis des Least-Privilege-Prinzips, regelmäßige Penetrationstests und ein dokumentiertes Patch-Management sind keine bloßen Empfehlungen, sondern normative Erwartungen der Aufsichtsbehörden. Die Orientierungshilfen der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) sowie der ENISA-Leitlinien liefern konkrete Anhaltspunkte, die in der Compliance-Dokumentation referenziert und umgesetzt werden sollten.
Besondere Relevanz haben TOMs im Produktentwicklungsprozess: Das Prinzip „Privacy by Design" (Art. 25 Abs. 1 DSGVO) verlangt, dass Datenschutzanforderungen bereits bei der Konzeption von Software berücksichtigt werden – nicht als nachgelagerte Korrekturschicht, sondern als integraler Bestandteil der Softwarearchitektur. „Privacy by Default" (Art. 25 Abs. 2 DSGVO) ergänzt dies: Die datenschutzfreundlichsten Voreinstellungen müssen Standard sein. Wer sein Produkt so gestaltet, dass Nutzer erst aktiv Einstellungen ändern müssen, um weniger Daten preiszugeben, verstößt gegen diese Vorgabe.
Persönliche Haftung des Geschäftsführers: Überwachungspflicht und Innenregress
DSGVO-Compliance ist keine rein operative Aufgabe der IT-Abteilung. Für Geschäftsführer einer GmbH ergibt sich aus § 43 Abs. 1 GmbHG die Pflicht, die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden – und diese Sorgfaltspflicht umfasst die Einrichtung, Überwachung und Aktualisierung eines funktionsfähigen Datenschutz-Compliance-Systems. Ein Verstoß gegen die DSGVO, der auf mangelnde Organisation oder fehlende Überwachung zurückzuführen ist, kann eine Haftung des Geschäftsführers gegenüber der Gesellschaft begründen.
Bußgelder nach der DSGVO werden gegen die verantwortliche Stelle – also die juristische Person – verhängt; sie betragen bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, wobei der jeweils höhere Betrag maßgeblich ist. Hinzu kommen zivilrechtliche Schadensersatzansprüche Betroffener nach Art. 82 DSGVO, die kumulativ geltend gemacht werden können. Der Geschäftsführer haftet der Gesellschaft dann, wenn er seinen Überwachungspflichten nicht nachgekommen ist. Entlastung setzt voraus, dass ein strukturiertes Compliance-System tatsächlich implementiert und nicht nur auf dem Papier existiert war.
Nach unserer Erfahrung in der Begleitung mittelständischer IT-Unternehmen ist die Datenschutzorganisation in inhabergeführten Betrieben häufig personenabhängig: Ein Mitarbeiter „kümmert sich" um Datenschutz – ohne klares Mandat, ohne dokumentierten Prozess, ohne Budget für externe Prüfungen. Diese Struktur hält einer behördlichen Prüfung regelmäßig nicht stand und begründet ein persönliches Haftungsrisiko des Geschäftsführers.
Aus der Mandatspraxis: Die Kanzlei begleitete ein mittelständisches SaaS-Unternehmen aus dem HR-Tech-Bereich mit rund 80 Mitarbeitern, das eine Anfrage der Landesaufsichtsbehörde erhielt. Ausgangslage: Das Unternehmen setzte mehrere US-amerikanische Sub-Auftragsverarbeiter ein, ohne vollständige AVV oder Transfer Impact Assessments vorliegen zu haben; das Verarbeitungsverzeichnis war zuletzt vor drei Jahren aktualisiert worden. Vorgehen: Binnen weniger Wochen wurden das Verarbeitungsverzeichnis aktualisiert, AVV-Vereinbarungen mit allen relevanten Sub-Auftragsverarbeitern abgeschlossen, TIA-Dokumentationen erstellt und ein Datenschutzbeauftragter – nach BDSG freiwillig, da unter der Schwelle des § 38 BDSG – benannt. Ergebnis: Die Behörde schloss das Verfahren ohne Bußgeld mit einer formellen Verwarnung ab, da das Unternehmen vollständige Kooperation und nachgewiesene Nachbesserung belegen konnte. Die Mandatsbegleitung illustriert: Schnelle, strukturierte Reaktion ist das entscheidende Element, wenn eine behördliche Anfrage eingeht.
Entscheidungsmatrix: Welches Compliance-Instrument greift wann?
Die DSGVO kennt unterschiedliche Instrumente für unterschiedliche Konstellationen. Die folgende Entscheidungsmatrix orientiert sich an typischen Situationstypen in der Software- und IT-Branche.
Konstellation A – SaaS-Anbieter mit EU-Kundendaten: Rechtsgrundlage nach Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für Kerndienst → AVV mit jedem Kunden nach Art. 28 DSGVO (Mindestinhalt Pflicht) → Drittlandtransfer an US-Infrastruktur: DPF-Zertifizierung prüfen oder SCC + TIA → Frist bei Datenpanne: 72 Stunden ab Kenntnis.
Konstellation B – Softwareentwicklung mit Testsystemen auf Basis echter Produktionsdaten: Verarbeitung ist häufig nicht durch den ursprünglichen Verarbeitungszweck gedeckt → Anonymisierung oder Pseudonymisierung vor Nutzung im Testsystem zwingend → DSFA prüfen, wenn besondere Datenkategorien betroffen → Dokumentation im Verarbeitungsverzeichnis aktualisieren.
Konstellation C – IT-Dienstleister ohne eigene Kundendaten, aber mit Mitarbeiterdaten: Rechtsgrundlage: § 26 BDSG (Beschäftigtendatenschutz) für arbeitsrechtliche Verarbeitungen → Arbeitszeiterfassung nach geltendem Recht bereits Pflicht (BAG-Beschluss vom 13. September 2022) → Fernzugriff und Monitoring von Heimarbeitsplätzen: gesondertes Einwilligungskonzept oder Betriebsvereinbarung erforderlich.
Welche dieser Konstellationen beschreibt Ihr Unternehmen – oder kombiniert es mehrere davon? Die Antwort bestimmt den Umfang der erforderlichen Compliance-Maßnahmen und den Priorisierungsrahmen für die Umsetzung.
Datenschutzbeauftragter: Wann ist die Bestellung Pflicht?
Das BDSG regelt in § 38 BDSG die nationale Konkretisierung der DSGVO-Vorgaben zur Benennung eines Datenschutzbeauftragten (DSB). Die Pflicht zur Bestellung eines DSB besteht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind – eine Schwelle, die in der IT-Branche typischerweise früh erreicht wird, weil praktisch jeder Entwickler, jeder Systemadministrator und jeder Support-Mitarbeiter mit personenbezogenen Daten in Berührung kommt.
Daneben gilt die Pflicht unabhängig von der Mitarbeiterzahl bei Verarbeitungen, die einer DSFA unterliegen, und bei bestimmten Arten der Verarbeitung (§ 38 Abs. 1 Satz 2 BDSG i. V. m. Art. 37 Abs. 1 lit. b und c DSGVO). Ein DSB kann intern oder extern bestellt werden. Der externe DSB ist in der Praxis häufig die pragmatischere Lösung für den Mittelstand: Er bringt erforderliche Fachkunde mit, ist weisungsfrei und unterliegt einem besonderen Abberufungsschutz (§ 38 Abs. 2 BDSG i. V. m. § 6 Abs. 4 BDSG).
Die Aufgaben des DSB nach Art. 39 DSGVO umfassen Unterrichtung, Überwachung, Beratung zur DSFA sowie Zusammenarbeit mit der Aufsichtsbehörde. Der DSB ersetzt dabei nicht die Compliance-Verantwortung des Geschäftsführers – er ist ein Berater und Kontrolleur, kein Haftungsschild.
Die vorstehende Darstellung betrifft die Regelfälle des DSGVO-Compliance-Rahmens für IT- und Softwareunternehmen. Ihr konkreter Fall erfordert die Prüfung Ihrer Verarbeitungsverzeichnisse, bestehender AVV-Vereinbarungen, Transfer-Dokumentationen und der einschlägigen Aufsichtspraxis in Ihrem Bundesland. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zur DSGVO-Compliance für Software- und IT-Unternehmen
Was ist der wichtigste erste Schritt zur DSGVO-Compliance für ein IT-Unternehmen?
Der wichtigste erste Schritt ist die vollständige Bestandsaufnahme aller Datenverarbeitungstätigkeiten und deren Dokumentation im Verarbeitungsverzeichnis nach Art. 30 DSGVO. Nur wer weiß, welche Daten er auf welcher Grundlage verarbeitet und wohin sie fließen, kann systematisch prüfen, welche weiteren Maßnahmen – AVV, TIA, DSFA, TOMs – erforderlich sind. Ohne diese Grundlage bleibt jede Compliance-Bemühung lückenhaft.
Müssen SaaS-Anbieter mit jedem Kunden einen AVV abschließen?
Ja. Sobald ein SaaS-Anbieter personenbezogene Daten im Auftrag eines Kunden verarbeitet, ist ein schriftlicher Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zwingend erforderlich. Das gilt unabhängig von der Unternehmensgröße oder dem Umfang der Verarbeitung. Fehlt der AVV, liegt ein bußgeldbewährter Verstoß vor – selbst wenn die Verarbeitung inhaltlich ordnungsgemäß erfolgt ist.
Wie lange bleibt ein Datenschutzverstoß für Aufsichtsbehörden relevant?
Die DSGVO sieht keine eigene Verjährungsregelung vor. Die Aufsichtsbehörden wenden national geltendes Recht an; in Deutschland ist die Verfolgung von Ordnungswidrigkeiten nach dem OWiG regelmäßig nach drei Jahren verjährt. Entscheidender ist jedoch: Laufende oder wiederkehrende Verstöße – etwa ein dauerhaft fehlender AVV – begründen fortlaufend neue Verstöße, sodass eine Verjährung praktisch nicht eingreift, solange der Verstoß andauert.
Ist ein externer Datenschutzbeauftragter besser geeignet als ein interner?
Für mittelständische IT-Unternehmen ist der externe Datenschutzbeauftragte häufig vorzuziehen: Er bringt die nach Art. 37 Abs. 5 DSGVO geforderte Fachkunde zuverlässig mit, unterliegt keinen internen Interessenkonflikten, genießt besonderen Abberufungsschutz und kann – da er für mehrere Mandanten tätig ist – aktuelles Behörden- und Praxiswissen einbringen. Kosten und Haftungsvermeidung sprechen für diese Lösung, solange die Fachkunde und Erreichbarkeit vertraglich gesichert sind.
Welche Folgen hat das Fehlen einer Datenschutz-Folgenabschätzung?
Das Unterlassen einer DSFA bei Verarbeitungen, für die sie nach Art. 35 DSGVO erforderlich ist, stellt einen eigenständigen Verstoß dar, der mit einem Bußgeld von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes geahndet werden kann. Unabhängig davon signalisiert das Fehlen der DSFA der Aufsichtsbehörde, dass das Unternehmen seine Risikolage nicht bewertet hat – was regelmäßig zu erhöhter behördlicher Aufmerksamkeit führt.
Gilt die DSGVO auch für Daten von Beschäftigten?
Ja. Die Verarbeitung personenbezogener Daten von Beschäftigten unterliegt der DSGVO, ergänzt durch § 26 BDSG als nationale Spezialregelung. Datenerhebungen im Rahmen des Beschäftigungsverhältnisses – von der Lohnabrechnung über die Arbeitszeiterfassung bis hin zu Leistungsbeurteilungen – bedürfen einer Rechtsgrundlage. Für besonders intensive Verarbeitungen, etwa Monitoring-Software für Heimarbeitsplätze, sind häufig Betriebsvereinbarungen oder gesonderte Einwilligungskonzepte erforderlich.
Die vorstehende Darstellung betrifft die Regelfälle der DSGVO-Compliance-Anforderungen für IT- und Softwareunternehmen. Ihr konkreter Sachverhalt – insbesondere Ihre Transferkette, die Vollständigkeit Ihrer AVV-Vereinbarungen und Ihre Risikolage bei der Datenschutz-Folgenabschätzung – erfordert die Prüfung Ihrer Unterlagen im Einzelfall. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.