Ihre Anwälte für Datenschutzrecht

Das Datenschutzrecht regelt, unter welchen Voraussetzungen personenbezogene Daten erhoben, gespeichert, genutzt, übermittelt und gelöscht werden dürfen. Die wichtigste Rechtsgrundlage ist die Datenschutz-Grundverordnung (DSGVO). Daneben können unter anderem das Bundesdatenschutzgesetz (BDSG), das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) und weitere spezialgesetzliche Vorschriften relevant sein. Für Unternehmen betrifft Datenschutzrecht beispielsweise Kundendaten, Beschäftigtendaten, Websites, Apps, Newsletter, Tracking, CRM-Systeme, Cloud-Dienste und den Einsatz externer Dienstleister.

Anwaltliche Beratung ist insbesondere sinnvoll, wenn neue datengetriebene Geschäftsmodelle oder Technologien eingeführt werden, umfangreiche personenbezogene Daten verarbeitet werden oder Unsicherheit über die rechtlichen Anforderungen besteht. Besonders wichtig kann anwaltliche Unterstützung bei Datenpannen, Beschwerden, Auskunftsersuchen, Auseinandersetzungen mit Datenschutzbehörden oder Schadensersatzforderungen werden. Eine frühzeitige Beratung kann außerdem helfen, Datenschutzprobleme bereits bei der Gestaltung neuer Prozesse zu vermeiden.

Die DSGVO gilt grundsätzlich, sobald ein Unternehmen personenbezogene Daten im Anwendungsbereich der Verordnung verarbeitet. Das betrifft nahezu jedes Unternehmen – unabhängig von seiner Größe. Bereits Namen, geschäftliche E-Mail-Adressen, Telefonnummern, IP-Adressen oder Mitarbeiterdaten können personenbezogene Daten sein. Welche konkreten Pflichten bestehen, hängt jedoch von Art, Umfang und Zweck der jeweiligen Datenverarbeitung ab.

Sobald über eine Website personenbezogene Daten verarbeitet werden, müssen die betroffenen Nutzer grundsätzlich über diese Verarbeitung informiert werden. Das betrifft regelmäßig bereits technisch erforderliche Datenverarbeitungen beim Aufruf einer Website und erst recht Funktionen wie Kontaktformulare, Newsletter, Analyse-Dienste, eingebettete Inhalte oder Marketing-Technologien. Eine Datenschutzerklärung sollte deshalb auf die tatsächlich eingesetzten Dienste und Prozesse der jeweiligen Website abgestimmt sein.

Nein. Ob ein Consent-Banner erforderlich ist, hängt davon ab, welche Technologien auf der Website eingesetzt werden. Für bestimmte technisch erforderliche Speicherungen oder Zugriffe auf Endgeräte kann keine vorherige Einwilligung erforderlich sein. Bei vielen Analyse-, Tracking- oder Marketing-Technologien ist hingegen regelmäßig zu prüfen, ob eine wirksame Einwilligung eingeholt werden muss. Entscheidend ist deshalb nicht allein, ob eine Website „Cookies“ verwendet, sondern welche konkreten Technologien eingesetzt werden und welchen Zweck sie erfüllen.

Ein Vertrag zur Auftragsverarbeitung – häufig kurz AV-Vertrag oder AVV genannt – ist erforderlich, wenn ein Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeitet und die Voraussetzungen des Art. 28 DSGVO vorliegen. Typische Beispiele können Hosting-Unternehmen, Cloud-Anbieter, bestimmte Software-Dienstleister oder externe Serviceunternehmen sein. Ob tatsächlich eine Auftragsverarbeitung vorliegt, sollte im Einzelfall geprüft werden. Nicht jeder externe Datenempfänger ist automatisch Auftragsverarbeiter.

Eine Datenübermittlung in die USA kann unter bestimmten Voraussetzungen zulässig sein. Entscheidend sind unter anderem der konkrete Empfänger, die eingesetzte Übermittlungsgrundlage und die tatsächliche Datenverarbeitung. Je nach Anbieter können insbesondere ein Angemessenheitsbeschluss beziehungsweise die Teilnahme am EU-US Data Privacy Framework oder geeignete Garantien wie Standardvertragsklauseln relevant sein. Internationale Datentransfers sollten deshalb nicht pauschal, sondern für den jeweiligen Dienst und Datenfluss geprüft werden.

Bei einer Datenschutzverletzung sollte zunächst geklärt werden, welche Daten betroffen sind, welche Personen betroffen sein können und welches Risiko aus dem Vorfall entsteht. Je nach Risikobewertung können Melde- und Informationspflichten gegenüber der zuständigen Datenschutzaufsichtsbehörde oder den betroffenen Personen bestehen. Unabhängig davon muss der Vorfall datenschutzrechtlich dokumentiert werden. Da hierbei gesetzliche Fristen eine Rolle spielen können, sollte die rechtliche Bewertung möglichst frühzeitig erfolgen.

Eine Datenschutz-Folgenabschätzung – kurz DSFA – ist bei bestimmten Verarbeitungsvorgängen erforderlich, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringen. Dabei werden die geplante Datenverarbeitung, ihre Notwendigkeit und die damit verbundenen Risiken systematisch untersucht. Anschließend werden Maßnahmen festgelegt, mit denen diese Risiken reduziert werden sollen. Ob eine DSFA erforderlich ist, hängt von der konkreten Verarbeitung und den damit verbundenen Risiken ab.

Die DSGVO gibt betroffenen Personen verschiedene Rechte gegenüber Unternehmen und anderen Verantwortlichen. Dazu gehören insbesondere das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung sowie unter bestimmten Voraussetzungen Widerspruchsrechte und das Recht auf Datenübertragbarkeit. Unternehmen sollten für solche Anfragen feste Prozesse etablieren, weil bei ihrer Bearbeitung gesetzliche Fristen und verschiedene rechtliche Einschränkungen berücksichtigt werden müssen.

Personenbezogene Daten dürfen grundsätzlich nicht unbegrenzt gespeichert werden. Wie lange eine Speicherung zulässig oder erforderlich ist, hängt insbesondere vom Verarbeitungszweck, gesetzlichen Aufbewahrungspflichten und möglichen Rechtsansprüchen ab. Deshalb gibt es keine einheitliche Löschfrist für sämtliche Unternehmensdaten. Sinnvoll ist ein strukturiertes Löschkonzept, das unterschiedliche Datenarten und die jeweils maßgeblichen Aufbewahrungs- und Löschfristen berücksichtigt.

Datenschutzverstöße können unterschiedliche Konsequenzen haben. Neben Maßnahmen und Bußgeldern der Datenschutzaufsichtsbehörden kommen beispielsweise Schadensersatzforderungen, Unterlassungsansprüche oder rechtliche Auseinandersetzungen mit Kunden, Beschäftigten oder Geschäftspartnern in Betracht. Hinzu kommen mögliche wirtschaftliche Folgen wie Projektverzögerungen, zusätzlicher interner Aufwand oder Vertrauensverlust. Professionelles Datenschutzmanagement soll deshalb nicht nur Sanktionen vermeiden, sondern insbesondere dafür sorgen, dass Datenverarbeitungen von Anfang an auf einer belastbaren rechtlichen Grundlage stattfinden.

Ja. Im Rahmen eines Datenschutz-Checks können unter anderem die Datenschutzerklärung, eingesetzte Tracking- und Marketingdienste, Cookie- beziehungsweise Consent-Lösungen, Kontaktformulare, Newsletter-Anmeldungen und eingebundene Drittanbieter geprüft werden. Sinnvoll ist dabei eine Betrachtung der tatsächlichen technischen Konfiguration. Eine Datenschutzerklärung kann nur dann zuverlässig bewertet werden, wenn bekannt ist, welche Datenverarbeitungen auf der Website tatsächlich stattfinden.

Ja. Datenschutzrechtliche Beratung ist in aller Regel vollständig digital möglich. Wir beraten Unternehmen aus Hamburg und bundesweit per Telefon, E-Mail und Video-Call. Auch die Prüfung von Verträgen, Websites, Datenschutzprozessen oder behördlicher Korrespondenz kann regelmäßig ohne persönlichen Termin vor Ort erfolgen.