Datenschutz und IT-Sicherheits-Compliance Compliance & Recht : Kanzlei für Compliance, Compliance Management, Compliance Officer, Whistle Blowing, KI, Kartellrecht, Geldwäschegesetz, Wirtschaftsrecht, Bankrecht, Versicherungsrecht, Gesellschaftsrecht, Datenschutzrecht, Arbeitsrecht, Wirtschaftsstrafrecht, internationales Recht, Fachanwalt

Datenschutz und IT-Sicherheit greifen ineinander, haben aber unterschiedliche Schutzrichtungen und rechtliche Anforderungen. Unternehmen benötigen klare Verantwortlichkeiten, belastbare Dienstleisterverträge und Abläufe für Sicherheitsvorfälle. Wir beraten zu den rechtlichen Anforderungen und stimmen deren Umsetzung bei Bedarf mit den zuständigen Datenschutz- und IT-Fachleuten ab.

Typische Beratungsanlässe

Ein Unternehmen führt Cloud-Dienste, KI-Anwendungen oder neue Personalsoftware ein.
Dienstleister erhalten Zugriff auf Kunden-, Beschäftigten- oder Unternehmensdaten.
Eine Phishing-Mail, ein verlorenes Gerät oder ein Angriff führt möglicherweise zu einem Datenabfluss oder Ausfall.
Ein Kunde verlangt Nachweise zur Informationssicherheit oder besondere vertragliche Zusagen.
Die Betroffenheit durch das BSI-Gesetz beziehungsweise die NIS-2-Umsetzung muss geklärt werden.

Datenschutz im Betrieb organisieren

Die DSGVO verlangt unter anderem eine rechtmäßige, transparente und zweckgebundene Verarbeitung personenbezogener Daten. Für typische Verarbeitungsvorgänge sind Rechtsgrundlage, Datenumfang, Empfänger, Speicherfristen und Zuständigkeiten festzulegen. Eine Einwilligung ist nicht für jede Verarbeitung erforderlich und insbesondere im Arbeitsverhältnis nicht beliebig als Standardlösung verwendbar.

Informationspflichten, Auskunfts- und Löschprozesse, Verzeichnisse von Verarbeitungstätigkeiten und gegebenenfalls die Benennung eines Datenschutzbeauftragten sind anhand der jeweiligen Voraussetzungen zu prüfen. Bei voraussichtlich hohem Risiko kann eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich sein. Sie ist kein allgemeines Pflichtdokument für jede Software.

Dienstleister und internationale Datenflüsse

Die vertragliche Rolle eines Dienstleisters richtet sich nach der tatsächlichen Verarbeitung. Eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO passt nicht automatisch zu jeder Zusammenarbeit. Gemeinsame oder eigenständige Verantwortlichkeit kann eine andere Regelung erfordern.

Bei Cloud- und KI-Diensten sind insbesondere Verwendungszwecke, Unterauftragnehmer, Zugriffsmöglichkeiten, Löschung, Sicherheitsmaßnahmen und eine mögliche Nutzung von Eingaben zu Trainingszwecken zu prüfen. Übermittlungen in Drittländer benötigen zusätzlich eine Grundlage nach Kapitel V DSGVO und gegebenenfalls weitere Maßnahmen. Ein als europäisch beworbener Speicherort beantwortet nicht jede Frage nach Zugriffen aus anderen Staaten.

IT-Sicherheit und NIS-2

Art. 32 DSGVO verlangt risikogerechte technische und organisatorische Maßnahmen für personenbezogene Daten. Dazu können etwa Berechtigungskonzepte, geeignete Authentifizierung, Sicherungskopien, Wiederherstellungsabläufe und die regelmäßige Überprüfung der Maßnahmen gehören. Die konkrete technische Ausgestaltung wird anhand der Systeme und Risiken bestimmt.

Seit dem 6. Dezember 2025 gelten in Deutschland die Regelungen des NIS-2-Umsetzungsgesetzes. Ob ein Unternehmen als wichtige oder besonders wichtige Einrichtung nach § 28 BSIG erfasst ist, hängt unter anderem von Tätigkeit, Größe und gesetzlichen Sonderregelungen ab. Es besteht keine pauschale NIS-2-Pflicht für jedes Unternehmen. Für erfasste Einrichtungen können insbesondere Risikomanagement-, Registrierungs-, Melde- und Leitungspflichten gelten. Sektorale Spezialregeln sind zusätzlich zu berücksichtigen.

Sicherheitsvorfälle: mehrere Prüfungen parallel

Bei einem Vorfall sollten technische Eindämmung, Beweissicherung und rechtliche Bewertung koordiniert erfolgen. Eine zentrale Ereignisübersicht hält fest, was wann bekannt war, welche Daten und Systeme betroffen sind und welche Maßnahmen ergriffen wurden. Meldepflichten dürfen nicht erst nach vollständiger Aufklärung geprüft werden.

DSGVO: Eine Verletzung des Schutzes personenbezogener Daten ist grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde zu melden, außer sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Die Bewertung ist zu dokumentieren.
Betroffene Personen: Bei voraussichtlich hohem Risiko ist zusätzlich Art. 34 DSGVO einschließlich seiner Ausnahmen zu prüfen.
Auftragsverarbeiter: Sie müssen den Verantwortlichen bei einer Datenverletzung unverzüglich informieren; die 72-Stunden-Frist ist keine allgemeine Wartefrist für Dienstleister.
BSIG: Für erhebliche Sicherheitsvorfälle erfasster Einrichtungen sieht § 32 grundsätzlich eine frühe Meldung binnen 24 Stunden, eine weitere Meldung binnen 72 Stunden und einen Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung vor. Bei fortdauernden Vorfällen und in Sonderfällen gelten ergänzende Regeln.

Ein IT-Ausfall ist nicht automatisch eine meldepflichtige Datenschutzverletzung. Umgekehrt kann eine Datenverletzung vorliegen, obwohl die Systeme weiter funktionieren. Beide Prüfungen müssen sauber getrennt und aufeinander abgestimmt werden.

Unsere Leistungen und Arbeitsergebnisse

Rechtliche Bestandsaufnahme und priorisierter Maßnahmenplan.
Prüfung von Dienstleister-, Cloud- und Auftragsverarbeitungsverträgen.
Gestaltung von Datenschutzinformationen, Zuständigkeiten und Löschprozessen.
Prüfung der NIS-2-Betroffenheit und rechtliche Begleitung der organisatorischen Umsetzung.
Melde- und Eskalationskonzept für Sicherheitsvorfälle sowie rechtliche Unterstützung im konkreten Fall.
Schulungen und Fallübungen für Leitung, Personal, IT und weitere betroffene Bereiche.

Häufige Fragen

Macht ein externer IT-Dienstleister uns automatisch rechtskonform?

Nein. Aufgaben können unterstützt oder ausgelagert werden; eigene Verantwortlichkeiten bleiben zu prüfen. Vertrag, tatsächliche Leistungen, Kontrollmöglichkeiten und Kommunikation im Vorfall müssen zusammenpassen.

Müssen wir jeden Angriff binnen 72 Stunden melden?

Nicht jeder Angriff erfüllt einen Meldetatbestand. Maßgeblich sind die konkrete Betroffenheit und die Voraussetzungen des jeweiligen Gesetzes. Bei Unsicherheit sollte die Bewertung früh beginnen und nachvollziehbar dokumentiert werden.

Reicht eine Datenschutzerklärung auf der Website?

Nein. Sie betrifft nur einen Ausschnitt. Interne Verarbeitung, Beschäftigtendaten, Dienstleister, Betroffenenrechte und Sicherheitsmaßnahmen benötigen eigene Abläufe.

Welche Unterlagen erleichtern den Einstieg?

Eine System- und Dienstleisterübersicht, bestehende Datenschutzunterlagen, Verträge und Zuständigkeitspläne. Bei einem Vorfall sind eine Chronologie, technische Erstinformationen und bereits erfolgte Mitteilungen besonders hilfreich.

Bei einem Vorfall mehrere Pflichten auseinanderhalten

Ein Sicherheitsvorfall kann zugleich personenbezogene Daten, den Betrieb des Unternehmens und ein vertriebenes Produkt betreffen. Daraus können unterschiedliche Prüf- und Meldeverfahren folgen. Der Krisenplan sollte deshalb festlegen, wer die jeweilige rechtliche Bewertung übernimmt und welche Informationen dafür benötigt werden.

Für die datenschutzrechtliche Prüfung werden insbesondere Datenarten, betroffene Personen, Umfang, mögliche Folgen und bereits ergriffene Maßnahmen erfasst. Ob eine Meldung an die Aufsichtsbehörde oder eine Benachrichtigung der Betroffenen erforderlich ist, richtet sich nach den jeweiligen Voraussetzungen. Fehlende Einzelheiten dürfen nicht dazu führen, dass eine bereits ausgelöste gesetzliche Frist unbeachtet bleibt. Entscheidungen und ihre Grundlagen werden dokumentiert.

Eine Meldung nach einem Regelwerk erfüllt nicht automatisch alle anderen Pflichten. Bei erfassten Unternehmen sind Anforderungen des BSIG gesondert zu beurteilen; bei betroffenen Produkten können die Meldepflichten des Cyber Resilience Act hinzukommen. Der gemeinsame Ablauf muss diese Unterschiede berücksichtigen, ohne widersprüchliche Angaben zu erzeugen.

Auch Dienstleisterverträge gehören in die Vorbereitung. Sie sollten klären, welche Informationen wann geliefert werden, wer erreichbar ist und wie die Zusammenarbeit bei der Aufklärung erfolgt. Bei Cloud-Angeboten sind zudem die Wechselregelungen des Data Act relevant. Für eine Bestandsaufnahme hilft der Selbstcheck, für einen konkreten Vorfall ist eine gesonderte rechtliche und technische Bewertung erforderlich.

Rechtsgrundlagen und weiterführende amtliche Informationen

Rechtlicher Redaktionsstand: 1. November 2026. Die Einordnung konkreter Sachverhalte erfordert eine Prüfung der jeweils anwendbaren Vorschriften und Umstände.

Passende Themen und nächste Schritte

Beratung über die Kontaktseite anfragen. Beschreiben Sie kurz Ihr Anliegen und nennen Sie gegebenenfalls bestehende Fristen. Umfang und Vergütung werden vor der Beauftragung abgestimmt.