Datenschutz, DSGVO & ePrivacy

Brauchen wir einen Datenschutzbeauftragten?

In Deutschland brauchen Sie einen, wenn:

• mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG), oder
• Ihre Verarbeitung eine DSFA erfordert, oder
• Ihre Kerntätigkeit in einer umfangreichen Überwachung oder in der Verarbeitung besonderer Kategorien von Daten besteht (Art. 37 DSGVO). In diesem Fall kommt es auf die Größe nicht an.

Kann der Datenschutzbeauftragte extern sein?

Ja. Art. 37 Abs. 6 DSGVO erlaubt ausdrücklich einen DSB auf Grundlage eines Dienstleistungsvertrags. Ich übernehme externe DSB-Mandate als TÜV-zertifizierter Datenschutzbeauftragter, über OneZero Consulting.

Wann ist eine DSFA erforderlich?

Eine DSFA ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt (Art. 35 DSGVO), etwa bei Profiling, bei umfangreicher Verarbeitung besonderer Kategorien von Daten oder bei systematischer Überwachung. Die deutschen Aufsichtsbehörden veröffentlichen eine Liste von Verarbeitungen, für die immer eine DSFA nötig ist.

Was müssen wir nach einer Datenpanne tun?

• Die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden informieren, es sei denn, die Panne führt voraussichtlich nicht zu einem Risiko (Art. 33 DSGVO).
• Die betroffenen Personen informieren, wenn das Risiko hoch ist (Art. 34).
• Jede Panne dokumentieren.

Dürfen wir personenbezogene Daten außerhalb der EU übermitteln — etwa in die USA, nach China oder Indien?

Ja, wenn die Übermittlung nach Kapitel V DSGVO abgesichert ist. Hat die Kommission einen Angemessenheitsbeschluss erlassen, können Daten so fließen wie innerhalb der EU. Für die USA gilt das für Unternehmen, die unter dem EU-US Data Privacy Framework zertifiziert sind. Das Gericht der EU hat das Framework im September 2025 bestätigt, ein Rechtsmittel ist beim EuGH anhängig. Für viele Länder, etwa China und Indien, gibt es keinen Angemessenheitsbeschluss. Dort ist der übliche Weg über Standardvertragsklauseln (SCCs); innerhalb einer Unternehmensgruppe kommen auch Binding Corporate Rules in Betracht. Dazu gehört ein Transfer Impact Assessment (TIA), das prüft, ob Recht und Praxis im Zielland die Garantien unterlaufen. Ich begleite Mandanten durch den gesamten Prozess, von der Wahl des passenden Mechanismus bis zum TIA.