Datenschutz- und DSGVO-Compliance-Dienstleistungen: Ihre digitale Sicherheit in sicheren Händen

Datenschutz- und DSGVO-Compliance-Dienstleistungen: Ihre rechtliche Sicherheit im digitalen Zeitalter

Datenschutz und DSGVO-Compliance zählen in der digitalisierten Welt zu den zentralen rechtlichen Herausforderungen für Unternehmen. Als Pangea Law bieten wir unseren Mandanten gemeinsam mit unseren lokalen Partnern umfassende rechtliche Beratung im Rahmen des strengen deutschen Datenschutzregimes.

DSGVO und Besonderheiten der Anwendung in Deutschland

Die seit dem 25. Mai 2018 unmittelbar geltende DSGVO wird in Deutschland durch das Bundesdatenschutzgesetz (BDSG) ergänzt. In den Bereichen, in denen die DSGVO Öffnungsklauseln vorsieht, hat Deutschland eigene Regelungen eingeführt. Unternehmen müssen daher neben den unionsweit geltenden Vorschriften auch die spezifischen deutschen Zusatzanforderungen berücksichtigen.

Deutsche Gerichte erkennen in bestimmten Fällen an, dass der Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden darstellen kann. Dies hat Schadensersatzansprüche bei Datenschutzverstößen erleichtert. Ein Anspruch besteht jedoch nicht automatisch – konkrete Auswirkungen müssen nachgewiesen werden.

Nach der Rechtsprechung des Europäischen Gerichtshofs müssen Verarbeitungsvorgänge in sensiblen Bereichen wie Mitarbeiterdaten selbst dann den Grundprinzipien der DSGVO entsprechen, wenn sie auf Tarifverträgen beruhen. Dies verdeutlicht, dass interne Regelungen datenschutzrechtliche Grundsätze nicht ersetzen können.

Rechtliche Grundlagen und berechtigtes Interesse

Die zulässigen Rechtsgrundlagen für Datenverarbeitung sind in Art. 6 DSGVO geregelt: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe und berechtigtes Interesse. Für jede Verarbeitungstätigkeit ist die passende Rechtsgrundlage zu wählen und zu dokumentieren.

Insbesondere bei Verarbeitungen auf Grundlage des berechtigten Interesses ist eine Interessenabwägung durchzuführen, bei der nachzuweisen ist, dass die Grundrechte und Freiheiten der betroffenen Personen nicht verletzt werden. Die Rechtsprechung des EuGH zeigt, dass ein rein wirtschaftliches Interesse hierfür nicht stets ausreicht.

BDSG: Besondere deutsche Datenschutzregelungen

Das BDSG ergänzt die DSGVO und enthält spezielle Vorschriften, unter anderem zur Verarbeitung von Beschäftigtendaten und zur Bestellung eines Datenschutzbeauftragten.

In Deutschland ist die Bestellung eines Datenschutzbeauftragten erforderlich, wenn in einem Unternehmen regelmäßig 20 oder mehr Personen mit der Verarbeitung personenbezogener Daten beschäftigt sind. Der Datenschutzbeauftragte muss unmittelbar der obersten Leitung unterstellt und unabhängig tätig sein.

§ 26 BDSG enthält umfassende Regelungen zur Verarbeitung von Beschäftigtendaten. Bei Leistungsbeurteilungen, Überwachungssystemen oder sämtlichen datenverarbeitenden Maßnahmen im Rahmen des Beschäftigungsverhältnisses ist diese Vorschrift zwingend zu beachten.

DPIA – Datenschutz-Folgenabschätzung

Bei Verarbeitungsvorgängen mit hohem Risiko ist die Durchführung einer Datenschutz-Folgenabschätzung (DPIA) verpflichtend. In Deutschland haben einige Aufsichtsbehörden Listen veröffentlicht, welche Arten der Verarbeitung eine DPIA erfordern.

Insbesondere bei Kredit-Scoring oder automatisiertem Profiling wird die Durchführung einer DPIA empfohlen. Dabei müssen Zweck, Verhältnismäßigkeit sowie risikomindernde Maßnahmen dokumentiert werden.

TTDSG und TDDDG: Cookies und Tracking-Technologien

Das am 1. Dezember 2021 in Kraft getretene TTDSG setzte die ePrivacy-Richtlinie in deutsches Recht um und wurde 2024 durch das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) teilweise neu gefasst. Das Gesetz verpflichtet zur Einholung einer ausdrücklichen Einwilligung für den Einsatz von Cookies und vergleichbaren Technologien.

Lediglich „unbedingt erforderliche“ Cookies sind hiervon ausgenommen. Die Einwilligung muss freiwillig, informiert und eindeutig erfolgen und jederzeit widerrufbar sein.

Deutsche Datenschutzaufsichtsbehörden äußern insbesondere bei der Nutzung bestimmter US-basierter Dienste (z. B. Google Analytics) aufgrund von Drittlandübermittlungen datenschutzrechtliche Bedenken. Diese Tools müssen datenschutzkonform eingebunden werden.

Künstliche Intelligenz und DSGVO

Im Jahr 2024 haben deutsche Behörden mehrere Leitlinien zum Einsatz von KI veröffentlicht. Dabei werden insbesondere Zweckbindung, Datenminimierung, Rechenschaftspflicht und automatisierte Entscheidungsfindung hervorgehoben.

Die EU-KI-Verordnung (AI Act) ist in Kraft getreten; die meisten materiellen Verpflichtungen, insbesondere für Hochrisiko-KI-Systeme, gelten ab 2025. Unternehmen müssen ihre Systeme entsprechend klassifizieren und geeignete Maßnahmen ergreifen.

Meldung von Datenschutzverletzungen und Krisenmanagement

Nach der DSGVO ist eine Meldung von Datenschutzverletzungen innerhalb von 72 Stunden nach Kenntniserlangung an die zuständige Aufsichtsbehörde verpflichtend. Bei hohem Risiko sind auch die betroffenen Personen zu informieren.

Zur Vorbereitung auf Datenschutzkrisen wird Unternehmen empfohlen, Notfallpläne zu erstellen und Zuständigkeiten klar festzulegen. Nachbearbeitung und dokumentierte Abhilfemaßnahmen sind ebenfalls erforderlich.

Internationale Datenübermittlung

Für Datenübermittlungen außerhalb der EU ist eines der in der DSGVO vorgesehenen Instrumente zu nutzen: Angemessenheitsbeschluss, Standardvertragsklauseln (SCCs) oder Binding Corporate Rules (BCRs).

Datenübermittlungen in die USA erfordern weiterhin besondere Aufmerksamkeit. Das EU-US Data Privacy Framework bietet eine neue Grundlage, dennoch bestehen weiterhin hohe Schutzanforderungen.

Branchenspezifische Anforderungen

In Branchen wie Gesundheitswesen, Finanz- und Versicherungswesen gelten neben der DSGVO zusätzliche datenschutzrechtliche Vorschriften. Insbesondere im Bereich der gesetzlichen Krankenversicherung (SGB V) und der sowie aufsichtsrechtliche Sonderregelungen (z. B. BaFin-Vorgaben) bestehen erweiterte Pflichten.

Betriebsräte müssen bei bestimmten Überwachungssystemen informiert und einbezogen werden. Die datenschutzrechtliche Gesamtverantwortung liegt jedoch grundsätzlich beim Arbeitgeber.

Prüfungen und Compliance-Risiken

Ein Großteil der von deutschen Datenschutzbehörden verhängten Bußgelder resultiert aus fehlenden Rechtsgrundlagen, mangelhaften Einwilligungsmechanismen oder unzureichenden Sicherheitsmaßnahmen.

Bußgelder können nach der DSGVO bis zu 20 Mio. € oder bis zu 4 % des weltweiten Jahresumsatzes betragen. Bei Verstößen gegen das TTDSG/TDDDG fallen geringere, jedoch ebenfalls abschreckende Geldbußen an.

Jetzt handeln: Kostenlose Compliance-Prüfung

Pangea Law begleitet Sie in jeder Phase Ihrer Datenschutzstrategie. Kontaktieren Sie uns, um mögliche Schwachstellen zu identifizieren, rechtliche Risiken zu reduzieren und Ihre digitale Sicherheit nachhaltig zu stärken.