Datenschutzrecht · Für Unternehmen

Datenschutz im Unternehmen: Pflichten klären, Abläufe sicher aufsetzen

Ein neues Tool, eine Auskunftsanfrage oder eine E-Mail an den falschen Empfänger: Ich unterstütze Selbstständige und kleine Unternehmen dabei, Datenschutzpflichten realistisch einzuordnen und so umzusetzen, dass sie im Alltag funktionieren. Auf Wunsch übernehme ich auch die Aufgabe des externen Datenschutzbeauftragten.

Anliegen schildern Ablauf & Kosten

Typische Situationen

Wobei ich Sie unterstützen kann

Die erste Einordnung richtet sich nach Ihrem konkreten Problem und dem Ergebnis, das Sie erreichen möchten.

Neues Tool oder neuer Dienstleister

CRM, Newsletter, Cloud oder KI-Werkzeug: Vor dem Start ist zu klären, ob ein Vertrag zur Auftragsverarbeitung nötig ist (Art. 28 DSGVO), wo die Daten verarbeitet werden und was in die Datenschutzhinweise gehört.

Anfrage einer betroffenen Person

Auskunft, Löschung oder Widerspruch: Die Antwort ist grundsätzlich innerhalb eines Monats fällig (Art. 12 Abs. 3 DSGVO) und muss vollständig sein.

Datenpanne

Falscher Empfänger, gehacktes Konto, verlorenes Gerät: Ob die Aufsichtsbehörde innerhalb von 72 Stunden zu informieren ist (Art. 33 DSGVO), muss schnell und dokumentiert entschieden werden.

Datenschutzbeauftragter nötig?

Eine Pflicht besteht insbesondere ab in der Regel 20 Personen, die ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind, oder bei bestimmten Verarbeitungen unabhängig von der Größe.

Rechtliche Einordnung

Was die DSGVO von kleinen Unternehmen verlangt

Die DSGVO gilt unabhängig von der Unternehmensgröße. Erleichterungen gibt es nur punktuell; die Grundpflichten bleiben: eine Rechtsgrundlage für jede Verarbeitung, transparente Datenschutzhinweise, Verträge mit Auftragsverarbeitern, angemessene technische und organisatorische Maßnahmen (Art. 32 DSGVO) und die Fähigkeit, Anfragen betroffener Personen fristgerecht zu beantworten.

In der Praxis entstehen Risiken selten durch ein fehlendes Formular, sondern durch Abläufe, die niemand verantwortet: ein Tool, das ohne Prüfung eingeführt wurde, eine Auskunftsanfrage, die im Postfach liegen bleibt, oder eine Datenpanne, die nicht dokumentiert wird. Deshalb beginne ich mit einer Bestandsaufnahme der tatsächlichen Datenflüsse und setze Prioritäten nach Risiko.

Als Rechtsanwalt, zertifizierter Datenschutzauditor und IT-Sicherheitsbeauftragter ordne ich rechtliche Anforderungen und technische Umsetzung gemeinsam ein. Das Ergebnis sind Dokumente und Abläufe, die zu Ihrem Unternehmen passen, statt eines Ordners mit Mustertexten.

Prüfungsumfang

Was ich für Sie prüfe

Ob und wofür eine Rechtsgrundlage besteht und wo Einwilligungen nötig sind
Ob mit jedem Dienstleister die richtige Vertragsform besteht
Ob Datenschutzhinweise zu den tatsächlich eingesetzten Diensten passen
Ob Anfragen und Vorfälle fristgerecht und nachweisbar bearbeitet werden
Ob eine Pflicht zur Benennung eines Datenschutzbeauftragten besteht
Ob eine Datenschutz-Folgenabschätzung erforderlich ist

Leistungsbereiche

Was ich für Sie übernehme

Je nach Anlass einzelne Aufgaben oder eine laufende Begleitung, abgestimmt auf Größe und Risiko Ihrer Datenverarbeitung.

Bestandsaufnahme und Verzeichnis

Verarbeitungsverzeichnis nach Art. 30 DSGVO, Datenflüsse, eingesetzte Dienstleister und Rechtsgrundlagen strukturiert erfassen.

Verträge zur Auftragsverarbeitung

AV-Verträge prüfen und verhandeln, Unterauftragnehmer und Übermittlungen in Drittländer einordnen.

Datenschutzhinweise

Verständliche Hinweise für Website, Kunden, Bewerber und Beschäftigte, passend zu den tatsächlich eingesetzten Diensten.

Technische und organisatorische Maßnahmen

Lösch- und Berechtigungskonzept sowie Maßnahmen nach Art. 32 DSGVO, eingeordnet mit dem Blick des IT-Sicherheitsbeauftragten.

Betroffenenanfragen und Datenpannen

Auskunft, Löschung und Widerspruch fristgerecht beantworten; Vorfälle bewerten, dokumentieren und bei Bedarf melden.

KI und neue digitale Werkzeuge

Datenschutz bei KI-Tools, Cloud-Diensten und Automatisierungen vor der Einführung klären.

Zu KI und AI Act

Externer Datenschutzbeauftragter

Datenschutzbeauftragter auf Zeit oder dauerhaft

Nicht jedes Unternehmen muss einen Datenschutzbeauftragten benennen. Ich prüfe zuerst, ob eine Pflicht besteht. Wenn ja, oder wenn Sie die Aufgabe freiwillig auslagern möchten, übernehme ich die Funktion auf Grundlage eines Dienstleistungsvertrags. Beratung und Kontrolle halte ich dabei klar getrennt; Unabhängigkeit, Ressourcen und mögliche Interessenkonflikte klären wir vor der Benennung.

Benennungspflicht und geeignetes Organisationsmodell prüfen
Datenschutzorganisation, Richtlinien und risikobasierten Maßnahmenplan aufbauen
Geschäftsleitung und Beschäftigte beraten sowie Schulungen und Kontrollen begleiten
Datenschutz-Folgenabschätzungen, Vorfälle und Anfragen von Betroffenen einordnen
Ansprechpartner für die Aufsichtsbehörde sein

So läuft die Zusammenarbeit

01
Bestandsaufnahme
Wir erfassen Tools, Dienstleister, Datenflüsse und vorhandene Unterlagen. Bei einem akuten Anlass beginnen wir dort.
02
Prioritäten setzen
Sie erhalten eine Einordnung, was rechtlich und praktisch zuerst kommt und was warten kann.
03
Umsetzen
Verträge, Hinweise, Verzeichnis, Konzepte und eine kurze Schulung, abgestimmt auf Ihren Alltag.
04
Begleiten
Ich bleibe Ansprechpartner bei Anfragen und Vorfällen, als externer Datenschutzbeauftragter regelmäßig.

Was Sie vorbereiten sollten

Eine Liste der eingesetzten Tools und Dienstleister
Vorhandene Datenschutzhinweise, AV-Verträge und, falls vorhanden, das Verarbeitungsverzeichnis
Die Zahl der Beschäftigten, die mit personenbezogenen Daten arbeiten
Den konkreten Anlass mit Frist, etwa eine Anfrage, einen Vorfall oder ein Projekt

Blogbeiträge und passende Vertiefungen

Ein falsch versendeter Brief: 10.000-Euro-VergleichEin Praxisfall zeigt, welche Folgen eine Datenpanne für das verantwortliche Unternehmen haben kann. Reichweite der Auskunft nach Art. 15 DSGVOWas eine vollständige Auskunft enthalten muss, wenn eine betroffene Person anfragt. Datenschutzrecht für BetroffeneAuskunft, Löschung und Schadensersatz aus Sicht der betroffenen Person.

Häufige Fragen

Die Antworten geben eine erste Orientierung. Für die rechtliche Bewertung sind Ihr konkreter Sachverhalt und die vollständigen Unterlagen maßgeblich.

Ab wann braucht mein Unternehmen einen Datenschutzbeauftragten?

Eine Pflicht kann sich aus Art. 37 DSGVO oder ergänzend aus § 38 BDSG ergeben. Nach § 38 BDSG gilt sie insbesondere, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind; bestimmte risikoreiche oder geschäftsmäßige Verarbeitungen lösen sie unabhängig davon aus. Zusätzlich können Kerntätigkeit, Umfang und Art der Datenverarbeitung nach der DSGVO entscheidend sein.

Was muss ich bei einer Datenpanne tun?

Den Vorfall dokumentieren (Art. 33 Abs. 5 DSGVO) und das Risiko für die Betroffenen einschätzen. Besteht ein Risiko, ist die Aufsichtsbehörde möglichst binnen 72 Stunden nach Bekanntwerden zu informieren. Bei einem hohen Risiko sind zusätzlich die betroffenen Personen zu benachrichtigen (Art. 34 DSGVO).

Brauche ich mit jedem Dienstleister einen Vertrag zur Auftragsverarbeitung?

Nein. Nötig ist er, wenn der Dienstleister personenbezogene Daten in Ihrem Auftrag und nach Ihren Weisungen verarbeitet, etwa ein Hosting- oder Newsletter-Anbieter. Wer selbst über Zwecke und Mittel der Verarbeitung entscheidet, ist eigenständig verantwortlich; dann passt ein AV-Vertrag nicht.

Kann ein Rechtsanwalt externer Datenschutzbeauftragter sein?

Grundsätzlich kann die Funktion extern auf Grundlage eines Dienstleistungsvertrags wahrgenommen werden. Fachkunde, ausreichende Ressourcen, Unabhängigkeit und das Fehlen von Interessenkonflikten müssen im konkreten Mandat sichergestellt sein. Die Verantwortung für die Rechtmäßigkeit der Verarbeitung bleibt beim Unternehmen.

Rechtliche Grundlagen und Quellen

Allgemeine Information, keine Rechtsberatung im Einzelfall. Rechtsstand: 21. August 2026.

Standort & Erreichbarkeit

Kanzlei in Gilching bei München: vor Ort und bundesweit digital

Meine Kanzlei hat ihren Sitz in Gilching im Landkreis Starnberg, westlich von München. Ich berate Sie aus München und der Region persönlich nach Vereinbarung sowie bundesweit digital. Sie haben einen festen Ansprechpartner vom ersten Kontakt bis zum Abschluss.

Schildern Sie mir Ihr Anliegen.

Beschreiben Sie kurz Ihr Unternehmen, die eingesetzten Tools und den konkreten Anlass. So lässt sich der Umfang sinnvoll abgrenzen.

Anliegen schildern mail@roderer.de

Die Anfrage begründet noch kein Mandatsverhältnis und bestätigt keine Fristübernahme.