Datenschutz.
Rechtssicher.
Zukunftssicher.

Für nichtöffentliche Stellen besteht nach § 38 BDSG grundsätzlich eine Benennungspflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Darüber hinaus kann eine Pflicht unabhängig von dieser Anzahl bestehen, etwa bei bestimmten Verarbeitungen, die einer Datenschutz-Folgenabschätzung unterliegen, oder nach Art. 37 DSGVO bei umfangreicher regelmäßiger und systematischer Überwachung sowie bei umfangreicher Verarbeitung besonderer Kategorien personenbezogener Daten. Ob eine Pflicht besteht, sollte anhand der konkreten Verarbeitungstätigkeiten geprüft werden.

Ein externer Datenschutzbeauftragter kann für Unternehmen sinnvoll sein, die die gesetzliche Benennungspflicht erfüllen, intern keine geeignete unabhängige Funktion aufbauen möchten oder bewusst auf externe Fachkompetenz zurückgreifen wollen. Besonders relevant ist das Modell für mittelständische Unternehmen, IT-Dienstleister, Immobilienunternehmen, Agenturen, Gesundheitseinrichtungen, produzierende Unternehmen, Personalvermittlungen sowie Banken und Versicherungen.

Ein Wechsel lässt sich in der Regel strukturiert vorbereiten. Zunächst werden bestehende Verträge, Zuständigkeiten und Dokumentationen geprüft. Anschließend kann die bisherige Benennung beendet und die neue Benennung organisatorisch sowie gegenüber der zuständigen Aufsichtsbehörde umgesetzt werden. Wichtig ist vor allem eine saubere Übergabe, damit laufende Themen, Fristen und offene Maßnahmen nicht verloren gehen.

Zunächst muss der Vorfall gesichert, dokumentiert und bewertet werden. Dabei ist insbesondere zu prüfen, ob ein Risiko für die Rechte und Freiheiten betroffener Personen besteht. Sofern die Voraussetzungen einer Meldepflicht nach Art. 33 DSGVO erfüllt sind, ist die zuständige Aufsichtsbehörde grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu informieren. Je nach Risiko kann zusätzlich eine Benachrichtigung betroffener Personen erforderlich sein.

Wir unterstützen bei der Einordnung, Koordination und rechtssicheren Beantwortung von Auskunfts-, Löschungs- und weiteren Betroffenenrechten. Das kann beispielsweise Anfragen von ehemaligen oder gekündigten Mitarbeitern, abgelehnten Bewerbern, Kunden oder sonstigen betroffenen Personen betreffen. Dabei prüfen wir Umfang, Fristen, Identitätsfragen, mögliche Einschränkungen und die erforderliche Dokumentation.

Ja. Wir prüfen unter anderem Rollen und Verantwortlichkeiten, Auftragsverarbeitung, Datenarten, Speicherorte, Drittlandtransfers, Lösch- und Berechtigungskonzepte, technische und organisatorische Maßnahmen sowie mögliche Risiken für betroffene Personen. Unser Ziel ist eine belastbare Entscheidungsgrundlage für einen möglichst rechtssicheren Einsatz.

Gerade bei Ausschreibungen und größeren Auftraggebern werden Datenschutz- und Informationssicherheitsnachweise zunehmend systematisch abgefragt. Wir unterstützen bei der Zusammenstellung und Prüfung relevanter Dokumente, der Beantwortung von Fragebögen, der Einordnung von TOMs und Auftragsverarbeitungsvereinbarungen sowie bei der Vorbereitung auf Audits. Fehlende Unterlagen und Maßnahmen können so strukturiert identifiziert und nachgearbeitet werden.

Ja. Gerade bei neu gegründeten Unternehmen oder bestehenden Unternehmen, bei denen Datenschutz bislang nur punktuell umgesetzt wurde, beginnen wir mit einer strukturierten Bestandsaufnahme. Daraus entwickeln wir eine priorisierte Roadmap, damit nicht wahllos Dokumente erstellt werden, sondern zunächst die tatsächlich relevanten Risiken, Prozesse und Pflichten bearbeitet werden.