Rechtsanwalt Robert Harzewski · Dresden
Datenschutzrecht nach DSGVO und BDSG
Anwaltliche Beratung im Datenschutzrecht für Unternehmen, Vereine und Stiftungen in Dresden, Sachsen und bundesweit – von der rechtssicheren Dokumentation über Datenpannen und Auskunftsersuchen bis zu Verfahren vor der Aufsichtsbehörde.
- DSGVO & BDSG
- Datenpannen
- Auskunftsersuchen
- Auftragsverarbeitung
- Beschäftigtendatenschutz
- Aufsichtsbehörde
Kurz gesagt: Was regelt das Datenschutzrecht?
Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Staaten. Sie legt fest, wann Unternehmen und Vereine personenbezogene Daten verarbeiten dürfen, welche Rechte Betroffene haben und wie Verstöße geahndet werden. In Deutschland ergänzen das Bundesdatenschutzgesetz (BDSG) und für Cookies und Tracking das TDDDG die DSGVO.
Grundsätzlich gilt: Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage, muss für die Betroffenen transparent sein und durch geeignete technische und organisatorische Maßnahmen geschützt werden. Wer dagegen verstößt, riskiert Bußgelder, Schadensersatzansprüche und Abmahnungen.
Für wen wir arbeiten
Wir beraten mittelständische Unternehmen, Start-ups, Steuerberatungskanzleien und andere Berufsgeheimnisträger, Vereine und Stiftungen sowie interne Datenschutzbeauftragte, die eine juristische Zweitmeinung brauchen. Unser Fokus liegt auf der effizienten Umsetzung der DSGVO im betrieblichen Alltag – mit Lösungen, die zu den vorhandenen Ressourcen passen. Mandate von Verbrauchern nehmen wir nicht an.
Praxisfälle: Wo Datenschutz im Alltag entscheidet
Die meisten Datenschutzfragen entstehen nicht im Grundsatz, sondern in konkreten Situationen – oft unter Zeitdruck. Diese Fälle begegnen uns in der Beratung immer wieder.
Praxisfall
Datenpanne oder Mitarbeiterexzess
Ein Laptop mit Kundendaten geht verloren, eine E-Mail mit Gesundheitsdaten landet beim falschen Empfänger oder ein Mitarbeiter fragt Daten für private Zwecke ab.
DSGVO: Eine Verletzung des Schutzes personenbezogener Daten ist binnen 72 Stunden der Aufsichtsbehörde zu melden, sofern ein Risiko für die Betroffenen besteht (Art. 33); bei hohem Risiko sind auch die Betroffenen zu informieren (Art. 34).
- Sachverhalt sichern und das Risiko für die Betroffenen bewerten
- Meldung fristgerecht und vollständig formulieren – oder begründet davon absehen
- Jede Entscheidung schriftlich dokumentieren, auch wenn keine Meldung erfolgt
- Ursachen beheben und Wiederholungen verhindern
- Vertiefung: Mitarbeiterexzess und Meldepflicht
Praxisfall
Auskunftsersuchen eines ehemaligen Mitarbeiters
Kurz nach einer Kündigung verlangt ein früherer Beschäftigter Auskunft über alle zu ihm gespeicherten Daten und eine Kopie davon – häufig als Hebel im arbeitsrechtlichen Streit.
DSGVO: Das Auskunftsrecht (Art. 15) gilt unabhängig vom Motiv. Die Antwort ist grundsätzlich innerhalb eines Monats zu erteilen, eine Verlängerung um zwei Monate ist nur bei Komplexität möglich (Art. 12 Abs. 3).
- Identität prüfen und Frist sofort notieren
- Datenbestände systematisch durchsuchen: Personalakte, E-Mails, HR-Software, Backups
- Rechte Dritter und Geschäftsgeheimnisse schützen
- Verspätete oder unvollständige Auskünfte können Schadensersatzansprüche nach Art. 82 auslösen
- Vertiefung: Bundesfinanzhof stärkt Schutz für Betroffene
Praxisfall
Fotos von Firmenfeier und Messe
Das Unternehmen möchte Fotos vom Sommerfest und vom Messestand auf der Website und bei LinkedIn veröffentlichen.
DSGVO: Fotos erkennbarer Personen sind personenbezogene Daten. Für die Veröffentlichung braucht es eine tragfähige Rechtsgrundlage – je nach Situation eine Einwilligung oder ein berechtigtes Interesse.
- Vorab informieren, etwa bei der Einladung und vor Ort
- Einwilligungen von Beschäftigten freiwillig und schriftlich einholen
- Widerrufe ernst nehmen: Bilder müssen sich nachträglich entfernen lassen
- Vertiefung: Personenfotos rechtssicher veröffentlichen
Praxisfall
Cloud-Dienste und Auftragsverarbeitung
Ein Mittelständler stellt auf eine Cloud-Lösung für E-Mail, Buchhaltung und CRM um; einige Anbieter sitzen in den USA.
DSGVO: Mit jedem Auftragsverarbeiter ist ein Vertrag nach Art. 28 zu schließen. Für Übermittlungen in Drittländer gelten zusätzlich die Art. 44 ff., etwa über das EU-U.S. Data Privacy Framework oder Standardvertragsklauseln.
- Auftragsverarbeitungsverträge prüfen statt ungelesen akzeptieren
- Zertifizierung oder Standardvertragsklauseln des Anbieters prüfen
- Technische und organisatorische Maßnahmen bewerten
- Verzeichnis der Verarbeitungstätigkeiten aktualisieren
Praxisfall
Beschäftigtendaten, Videoüberwachung und eigene Geräte
Ein Betrieb plant Videokameras im Lager, eine neue Zeiterfassung und erlaubt Beschäftigten, dienstliche E-Mails auf dem privaten Smartphone zu lesen.
DSGVO/BDSG: Rechtsgrundlage sind in der Praxis vor allem Art. 6 Abs. 1 DSGVO und Kollektivvereinbarungen nach Art. 88 DSGVO; § 26 Abs. 1 BDSG ist nach der Rechtsprechung des EuGH (C-34/21) nur noch eingeschränkt tragfähig.
- Zweck und Erforderlichkeit jeder Maßnahme festlegen
- Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG beachten
- Regeln für private Geräte: Trennung, Zugriff, Löschung bei Verlust oder Austritt
- Vertiefung: Orientierungshilfe für Videoüberwachung
Praxisfall
Löschkonzept
Auf Servern und in Ordnern liegen Bewerbungen, Kundendaten und Personalakten aus vielen Jahren – niemand weiß genau, was weg darf und was bleiben muss.
DSGVO: Daten sind zu löschen, sobald der Zweck entfällt (Art. 5, Art. 17) – gleichzeitig verlangen Handels- und Steuerrecht Aufbewahrung, oft sechs oder zehn Jahre.
- Datenkategorien und Speicherorte erfassen
- Löschfristen je Kategorie festlegen und begründen
- Verantwortlichkeiten und Routinen für die Löschung bestimmen
- Vorlage: Muster für ein Löschkonzept
Unsere Leistungen im Datenschutzrecht
Verträge und Dokumente
Prüfung und Gestaltung von Auftragsverarbeitungsverträgen, Datenschutzinformationen, Einwilligungserklärungen und Vertraulichkeitsvereinbarungen.
Datenschutz-Organisation
Aufbau eines Datenschutz-Managementsystems: Verzeichnis der Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, Löschkonzept und Datenschutz-Folgenabschätzung.
Betroffenenanfragen
Unterstützung bei Auskunfts-, Löschungs- und Widerspruchsersuchen – fristgerecht, vollständig und ohne unnötige Preisgabe von Geschäftsgeheimnissen.
Datenpannen und Aufsichtsverfahren
Bewertung von Datenschutzvorfällen, Meldung an die Aufsichtsbehörde, Kommunikation mit Betroffenen und Vertretung in Verfahren vor der Datenschutzaufsicht.
Beschäftigtendatenschutz
Datenverarbeitung im Arbeitsverhältnis: HR-Software, Zeiterfassung, Videoüberwachung, private Geräte im Betrieb und Betriebsvereinbarungen.
Coaching und Schulungen
Juristische Begleitung interner Datenschutzbeauftragter sowie praxisnahe Schulungen für Beschäftigte – inhouse oder online.
Wichtige Fristen und Schwellenwerte
- 72 StundenMeldung einer Datenpanne an die Aufsichtsbehörde, sofern ein Risiko für die Betroffenen besteht (Art. 33 DSGVO)
- 1 MonatAntwort auf Auskunfts-, Lösch- und andere Betroffenenanfragen; Verlängerung um zwei Monate nur bei Komplexität (Art. 12 Abs. 3 DSGVO)
- 20 PersonenAb dieser Zahl ständig mit automatisierter Datenverarbeitung Beschäftigter ist ein Datenschutzbeauftragter zu benennen (§ 38 BDSG)
- 20 Mio. € / 4 %Höchstgrenze für Bußgelder bei schweren Verstößen, jeweils der höhere Betrag (Art. 83 Abs. 5 DSGVO)
Datenschutz-Updates jeden Montag
Mit NewsRadar erhalten Sie wöchentlich die wichtigsten Urteile, Stellungnahmen der Aufsichtsbehörden und Praxistipps zum Datenschutz – kostenlos und jederzeit kündbar.
Häufige Fragen zum Datenschutzrecht
Brauchen wir einen Datenschutzbeauftragten?
Unternehmen müssen einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Unabhängig von der Größe besteht die Pflicht unter anderem, wenn eine Datenschutz-Folgenabschätzung erforderlich ist oder die Kerntätigkeit in der umfangreichen Verarbeitung besonders sensibler Daten liegt (Art. 37 DSGVO).
Wie schnell müssen wir eine Datenpanne melden?
Unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt geworden ist (Art. 33 DSGVO). Eine Meldung entfällt nur, wenn voraussichtlich kein Risiko für die Betroffenen besteht – diese Bewertung sollten Sie dokumentieren.
Welche Aufsichtsbehörde ist für uns zuständig?
In der Regel die Datenschutzaufsichtsbehörde des Bundeslandes, in dem Ihr Unternehmen oder Verein seinen Sitz hat. Wir beraten bundesweit und begleiten Mandanten in Verfahren vor allen Landesaufsichtsbehörden.
Welche Bußgelder und Schadensersatzansprüche drohen?
Bußgelder können bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes erreichen (Art. 83 DSGVO). Daneben haben Betroffene Anspruch auf Schadensersatz (Art. 82); nach dem Bundesgerichtshof kann schon ein bloßer Kontrollverlust über die eigenen Daten einen immateriellen Schaden begründen (Urteil vom 18.11.2024, VI ZR 10/24).
Beraten Sie auch Privatpersonen?
Nein. Wir beraten ausschließlich Unternehmen, Vereine, Stiftungen und kirchliche Einrichtungen.
Datenschutz ist Vertrauenssache
Schildern Sie uns Ihr Anliegen – Sie erhalten zeitnah einen Termin.