Datenschutzrechtliche Fragen entstehen in Unternehmen häufig nicht abstrakt, sondern aus einem konkreten Anlass: Ein Betroffener macht Ansprüche geltend, ein Vertragspartner verlangt bestimmte Datenschutzvereinbarungen, personenbezogene Daten wurden möglicherweise unzulässig verarbeitet oder nach einem Datenschutzvorfall drohen Schadensersatzforderungen oder eine Auseinandersetzung mit der Aufsichtsbehörde.
In solchen Situationen kann neben der laufenden betrieblichen Datenschutzorganisation eine punktuelle anwaltliche Beratung und Interessenvertretung erforderlich sein.
Die Kanzlei Rößner & Merle berät Unternehmen bei konkreten datenschutzrechtlichen Rechtsfragen und vertritt sie bei daraus entstehenden rechtlichen Auseinandersetzungen – außergerichtlich und gerichtlich sowie bei geeigneten Mandaten bundesweit.
Das Wichtigste in Kürze
- Anwaltliche Beratung bei konkreten datenschutzrechtlichen Rechtsfragen
- Prüfung und Abwehr datenschutzrechtlicher Ansprüche
- Auskunfts-, Löschungs- und sonstige Betroffenenrechte
- Schadensersatzansprüche nach der DSGVO
- Rechtliche Beratung bei Datenschutzverletzungen
- Datenschutzrechtliche Vertragsfragen
- Auftragsverarbeitung und Verantwortlichkeiten
- Datenschutzrechtliche Fragen bei Cloud- und IT-Dienstleistungen
- Haftungsfragen zwischen Unternehmen und Dienstleistern
- Rechtliche Begleitung bei Auseinandersetzungen mit Datenschutzaufsichtsbehörden
- Außergerichtliche und gerichtliche Interessenvertretung
- Besondere Erfahrung an der Schnittstelle zwischen Datenschutz- und IT-Recht
Datenschutzorganisation und anwaltliche Beratung sind unterschiedliche Aufgaben
Unternehmen müssen zahlreiche datenschutzrechtliche Anforderungen dauerhaft in ihre betrieblichen Abläufe integrieren.
Die laufende Begleitung und Betreuung dieser Anforderungen – beispielsweise im Rahmen der Tätigkeit eines externen Datenschutzbeauftragten – ist von der anwaltlichen Beratung in einem konkreten Rechtsfall zu unterscheiden.
Die anwaltliche Tätigkeit unserer Kanzlei setzt deshalb dort an, wo eine bestimmte Rechtsfrage beantwortet, ein konkretes rechtliches Risiko beurteilt oder die Interessen eines Unternehmens gegenüber Dritten vertreten werden sollen.
Das kann beispielsweise der Fall sein, wenn ein Betroffener Ansprüche erhebt, Schadensersatz verlangt, eine Datenschutzverletzung rechtliche Konsequenzen auslöst oder zwischen Unternehmen unterschiedliche Auffassungen über datenschutzrechtliche Verantwortlichkeiten bestehen.
Die Kanzlei übernimmt damit nicht die laufende Datenschutzorganisation des Unternehmens, sondern berät und vertritt punktuell bei konkreten datenschutzrechtlichen Rechtsfragen und Rechtsfällen.
Betroffenenrechte – wenn aus einer Anfrage ein Rechtsfall wird
Die DSGVO gewährt betroffenen Personen umfangreiche Rechte.
Dazu gehören insbesondere Rechte auf:
- Auskunft
- Berichtigung
- Löschung
- Einschränkung der Verarbeitung
- Datenübertragbarkeit
- Widerspruch
Viele Anfragen lassen sich im Rahmen der normalen Datenschutzorganisation eines Unternehmens bearbeiten.
Eine anwaltliche Prüfung kann jedoch sinnvoll werden, wenn Umfang oder Berechtigung eines Anspruchs streitig sind, erhebliche wirtschaftliche oder rechtliche Risiken bestehen oder sich bereits eine Auseinandersetzung entwickelt.
Auskunftsansprüche nach Art. 15 DSGVO
Auskunftsersuchen können Unternehmen vor erhebliche praktische und rechtliche Herausforderungen stellen.
Dabei geht es nicht nur um die Frage, welche personenbezogenen Daten verarbeitet werden.
Zu klären kann beispielsweise sein:
- Welche Informationen müssen tatsächlich herausgegeben werden?
- Welche Unterlagen oder Datenkopien sind geschuldet?
- Sind Rechte und Freiheiten anderer Personen betroffen?
- Enthalten Unterlagen Geschäftsgeheimnisse oder Informationen über Dritte?
- Ist ein Auskunftsersuchen möglicherweise exzessiv?
- Welche Fristen müssen eingehalten werden?
- Welche Folgen drohen bei einer verspäteten oder unvollständigen Auskunft?
Insbesondere bei umfangreichen oder konfliktbelasteten Auskunftsverlangen kann eine rechtliche Prüfung sinnvoll sein, bevor Informationen herausgegeben oder Ansprüche zurückgewiesen werden.
Schadensersatz nach Art. 82 DSGVO
Datenschutzverstöße können zu Schadensersatzforderungen führen.
Art. 82 DSGVO sieht unter bestimmten Voraussetzungen einen Anspruch auf Ersatz materieller und immaterieller Schäden vor.
Ob ein geltend gemachter Anspruch tatsächlich besteht, hängt jedoch vom konkreten Sachverhalt ab.
Zu prüfen sind insbesondere der behauptete Datenschutzverstoß, ein entstandener Schaden, der ursächliche Zusammenhang und die Verantwortlichkeit des in Anspruch genommenen Unternehmens.
Wir unterstützen Unternehmen bei der Prüfung und Abwehr datenschutzrechtlicher Schadensersatzforderungen und vertreten sie erforderlichenfalls auch gerichtlich.
Ebenso beraten wir in geeigneten Fällen bei der Durchsetzung datenschutzrechtlicher Ansprüche.
Datenschutzverletzung – wenn rechtliche Konsequenzen drohen
Verlust eines Datenträgers, Fehlversand einer E-Mail, unberechtigter Zugriff auf Kundendaten, Cyberangriff oder Veröffentlichung personenbezogener Informationen: Datenschutzverletzungen können sehr unterschiedliche Ursachen haben.
Zunächst muss der Sachverhalt technisch und organisatorisch aufgeklärt werden.
Daneben können konkrete Rechtsfragen entstehen:
- Liegt eine Verletzung des Schutzes personenbezogener Daten vor?
- Wer ist datenschutzrechtlich verantwortlich?
- Welche rechtlichen Risiken bestehen?
- Welche Informationen müssen gegenüber Betroffenen oder Behörden erteilt werden?
- Können Schadensersatzansprüche entstehen?
- Bestehen Ansprüche gegenüber einem beteiligten IT-Dienstleister?
- Welche Beweismittel sollten gesichert werden?
Bei rechtlich oder wirtschaftlich bedeutsamen Vorfällen kann deshalb zusätzlich zur betrieblichen Datenschutzbearbeitung eine anwaltliche Bewertung des konkreten Sachverhalts erforderlich sein.
Datenschutz und Cyberangriffe
Nach einem Cyberangriff greifen IT-Sicherheitsrecht, Datenschutzrecht, Vertragsrecht und Haftungsfragen häufig ineinander.
Neben der technischen Bewältigung des Angriffs muss geklärt werden, welche Daten betroffen sind und welche rechtlichen Konsequenzen daraus entstehen.
Besonders komplex können Fälle werden, wenn mehrere Unternehmen oder externe IT-Dienstleister beteiligt sind.
Dann stellt sich beispielsweise die Frage, wer für eine Sicherheitslücke oder fehlerhafte Reaktion verantwortlich ist und ob zwischen den Beteiligten Ersatzansprüche bestehen.
Bei solchen Sachverhalten betrachten wir den Datenschutz nicht isoliert, sondern gemeinsam mit den einschlägigen IT- und vertragsrechtlichen Fragestellungen.
Datenschutzrechtliche Vertragsfragen
Datenschutzrecht spielt bei zahlreichen IT-Verträgen eine wichtige Rolle.
Dies betrifft beispielsweise:
- Cloud-Verträge
- SaaS-Verträge
- Hosting
- externe IT-Dienstleistungen
- Softwareeinführungen
- Datenmigrationen
- konzerninterne Datenverarbeitung
- Kooperationen zwischen Unternehmen
Dabei muss zunächst geklärt werden, welche datenschutzrechtliche Rolle die Beteiligten tatsächlich einnehmen.
Je nach Sachverhalt kann beispielsweise eine Auftragsverarbeitung, eine gemeinsame Verantwortlichkeit oder eine Verarbeitung in eigener Verantwortlichkeit vorliegen.
Die vertragliche Gestaltung sollte die tatsächlichen Datenverarbeitungsprozesse zutreffend abbilden.
Auftragsverarbeitung – mehr als ein Mustervertrag
Werden personenbezogene Daten durch einen externen Dienstleister verarbeitet, wird häufig vorschnell davon ausgegangen, dass lediglich ein Vertrag nach Art. 28 DSGVO abgeschlossen werden müsse.
Zunächst ist jedoch zu prüfen, ob tatsächlich eine Auftragsverarbeitung vorliegt.
Entscheidend sind die tatsächlichen Aufgaben und Entscheidungsbefugnisse der Beteiligten.
Bei wirtschaftlich bedeutenden IT-Dienstleistungen sollte außerdem geprüft werden, ob datenschutzrechtliche Vereinbarungen und der eigentliche IT-Vertrag miteinander übereinstimmen.
Dies gilt insbesondere für Haftung, Unterauftragnehmer, Sicherheitsmaßnahmen, Datenrückgabe und die Folgen einer Vertragsbeendigung.
Streit über datenschutzrechtliche Verantwortlichkeit
Komplexe digitale Geschäftsmodelle werden häufig von mehreren Unternehmen gemeinsam umgesetzt.
Kommt es zu einem Datenschutzproblem, kann daraus ein Streit darüber entstehen, wer rechtlich verantwortlich ist und wer die wirtschaftlichen Folgen tragen muss.
Die datenschutzrechtliche Verantwortlichkeit und die zivilrechtliche Haftungsverteilung müssen dabei nicht zwangsläufig identisch sein.
Deshalb können neben der DSGVO auch die zwischen den Unternehmen geschlossenen Verträge und allgemeine haftungsrechtliche Grundsätze relevant werden.
Gerade diese Schnittstelle zwischen Datenschutz- und IT-Vertragsrecht kann für die wirtschaftliche Bewertung eines Vorfalls entscheidend sein.
Auseinandersetzungen mit Datenschutzaufsichtsbehörden
Kontakte mit einer Datenschutzaufsichtsbehörde gehören nicht automatisch in ein anwaltliches Mandat.
Entwickelt sich daraus jedoch ein konkretes rechtliches Verfahren oder besteht Streit über die datenschutzrechtliche Bewertung eines Sachverhalts, kann anwaltliche Vertretung erforderlich werden.
Dies kann beispielsweise der Fall sein bei:
- behördlichen Auskunftsverlangen
- Beanstandungen konkreter Datenverarbeitungen
- aufsichtsrechtlichen Untersuchungen
- Anordnungen
- Untersagungen
- Bußgeldverfahren
- weiterführenden gerichtlichen Verfahren
In solchen Situationen ist zwischen der internen datenschutzrechtlichen Betreuung des Unternehmens und seiner anwaltlichen Interessenvertretung gegenüber der Behörde klar zu unterscheiden.
Typischer Irrtum: „Datenschutz ist immer Aufgabe des Datenschutzbeauftragten“
Der Datenschutzbeauftragte berät und überwacht im Rahmen seiner gesetzlichen Aufgaben die Einhaltung datenschutzrechtlicher Vorgaben.
Er ist jedoch nicht automatisch der anwaltliche Interessenvertreter des Unternehmens in jedem datenschutzrechtlichen Rechtsstreit.
Entsteht beispielsweise eine Schadensersatzforderung oder eine rechtliche Auseinandersetzung mit einem Vertragspartner, muss deshalb geprüft werden, welche Rolle erforderlich ist.
Datenschutzbetreuung und anwaltliche Interessenvertretung sind unterschiedliche Funktionen.
Gerade bei konfliktträchtigen Sachverhalten kann diese Trennung besonders wichtig sein.
Praxisbeispiel: Vom Datenschutzvorfall zum Rechtsstreit
Ein Unternehmen setzt für einen wichtigen Geschäftsprozess einen externen IT-Dienstleister ein.
Aufgrund einer Sicherheitslücke werden personenbezogene Kundendaten unberechtigten Dritten zugänglich. Der Vorfall wird datenschutzrechtlich untersucht und die erforderlichen Sofortmaßnahmen werden eingeleitet.
Anschließend machen mehrere Betroffene Schadensersatz geltend. Gleichzeitig entsteht zwischen dem Unternehmen und seinem IT-Dienstleister Streit darüber, wer für die Sicherheitslücke verantwortlich ist und wer die wirtschaftlichen Folgen des Vorfalls tragen muss.
Damit verändert sich die Situation.
Neben der betrieblichen Aufarbeitung des Datenschutzvorfalls bestehen nun konkrete zivil- und datenschutzrechtliche Ansprüche und Haftungsfragen.
Genau an diesem Punkt kann eine gesonderte anwaltliche Beratung und Interessenvertretung erforderlich werden.
Wann ist anwaltliche Beratung im Datenschutzrecht sinnvoll?
Eine anwaltliche Prüfung kann insbesondere sinnvoll sein, wenn:
- ein konkreter datenschutzrechtlicher Anspruch geltend gemacht wird,
- ein umfangreiches oder streitiges Auskunftsersuchen vorliegt,
- Schadensersatz nach der DSGVO verlangt wird,
- ein Datenschutzvorfall erhebliche rechtliche Risiken verursacht,
- Verantwortlichkeiten zwischen mehreren Unternehmen streitig sind,
- ein IT- oder Cloud-Vertrag datenschutzrechtlich bewertet werden muss,
- eine rechtliche Auseinandersetzung mit einer Datenschutzaufsichtsbehörde entsteht oder
- ein gerichtliches Verfahren droht oder bereits anhängig ist.
Nicht jede datenschutzrechtliche Frage benötigt anwaltliche Vertretung. Bei konkreten Rechtsrisiken oder einem bereits entstandenen Konflikt kann eine frühzeitige rechtliche Bewertung jedoch entscheidend sein.
Datenschutzrecht und IT-Recht aus einer Hand
Datenschutzrechtliche Rechtsfragen stehen häufig nicht allein.
Bei einem Cloud-Vertrag können beispielsweise gleichzeitig Datenschutz-, Vertrags- und Haftungsfragen entstehen. Bei einem Cyberangriff kommen technische Sicherheitsfragen hinzu. Bei einem Softwareprojekt kann darüber gestritten werden, welche Partei für bestimmte Datenverarbeitungen verantwortlich ist.
Rechtsanwalt Karsten Rößner beschäftigt sich sowohl anwaltlich mit dem IT- und Datenschutzrecht als auch praktisch mit den Anforderungen des betrieblichen Datenschutzes.
Diese Erfahrung ermöglicht es, konkrete Rechtsfragen nicht nur abstrakt, sondern vor dem Hintergrund tatsächlicher Unternehmens- und IT-Prozesse zu beurteilen.
Dabei bleiben laufende Datenschutzbetreuung und anwaltliches Mandat organisatorisch und funktional voneinander getrennt.
Ihr Ansprechpartner im Datenschutzrecht
Rechtsanwalt Karsten Rößner
Rechtsanwalt Karsten Rößner berät und vertritt Unternehmen bei konkreten datenschutzrechtlichen Rechtsfragen und Auseinandersetzungen – insbesondere bei Betroffenenansprüchen, Datenschutzvorfällen, Haftungsfragen und Konflikten mit Vertragspartnern oder Aufsichtsbehörden.
Er hat den Fachanwaltslehrgang Informationstechnologierecht erfolgreich absolviert und verfügt als zertifizierter externer Datenschutzbeauftragter über besondere praktische Erfahrung an der Schnittstelle von Datenschutzrecht, IT-Recht und betrieblichen Datenverarbeitungsprozessen.
Ein besonderer Schwerpunkt liegt auf DSGVO-Schadensersatz, Auskunfts- und Betroffenenrechten, Datenschutzverletzungen, datenschutzrechtlichen Vertragsfragen sowie Haftungs- und Verantwortlichkeitsfragen zwischen Unternehmen und IT-Dienstleistern.
Mehr über Rechtsanwalt Karsten Rößner →
Häufige Fragen zur anwaltlichen Beratung im Datenschutzrecht
Übernimmt die Kanzlei die laufende Tätigkeit als externer Datenschutzbeauftragter?
Die laufende Betreuung von Unternehmen als externer Datenschutzbeauftragter erfolgt nicht im Rahmen dieser anwaltlichen Leistung der Kanzlei. Die Kanzlei konzentriert sich auf konkrete datenschutzrechtliche Rechtsfragen und die anwaltliche Interessenvertretung.
Wann wird aus einer Datenschutzfrage ein anwaltlicher Fall?
Eine anwaltliche Beratung bietet sich insbesondere an, wenn ein konkreter Anspruch, eine Haftungsfrage oder eine rechtliche Auseinandersetzung entstanden ist oder eine verbindliche rechtliche Bewertung eines bestimmten Sachverhalts benötigt wird.
Vertreten Sie Unternehmen bei DSGVO-Schadensersatzforderungen?
Ja. Wir prüfen gegen Unternehmen geltend gemachte datenschutzrechtliche Schadensersatzansprüche und vertreten Mandanten erforderlichenfalls auch gerichtlich.
Übernehmen Sie Verfahren gegenüber Datenschutzaufsichtsbehörden?
Bei konkreten rechtlichen Auseinandersetzungen kann eine anwaltliche Vertretung gegenüber Datenschutzaufsichtsbehörden übernommen werden. Ob dies im jeweiligen Fall sinnvoll und berufsrechtlich möglich ist, wird vor Mandatsübernahme geprüft.
Beraten Sie Unternehmen bundesweit?
Ja. Bei geeigneten datenschutz- und IT-rechtlichen Mandaten beraten und vertreten wir Unternehmen von Alsfeld aus bundesweit.
Konkrete datenschutzrechtliche Rechtsfrage? Anwaltlich prüfen lassen
Nicht jede datenschutzrechtliche Aufgabe ist ein anwaltlicher Fall. Entsteht jedoch ein konkreter Anspruch, eine Haftungsfrage oder eine rechtliche Auseinandersetzung, sollte die Situation frühzeitig rechtlich bewertet werden.
Besonders wichtig ist dabei die klare Trennung zwischen laufender Datenschutzorganisation und anwaltlicher Interessenvertretung bei konkreten Rechtsfragen und Streitigkeiten.
Rechtsanwalt Karsten Rößner berät und vertritt Unternehmen bei konkreten datenschutzrechtlichen Rechtsfragen, Betroffenenansprüchen, Datenschutzvorfällen, Haftungsfragen und rechtlichen Auseinandersetzungen – außergerichtlich und gerichtlich sowie bei geeigneten Mandaten bundesweit.
Sie erreichen die Kanzlei telefonisch oder per E-Mail zur Vereinbarung eines Besprechungstermins. Kontakt und Anfahrt zur Kanzlei →