Unternehmensberatung · Datenschutz
Datenschutz ist Organisation, nicht Textbausteine.
Die meisten Betriebe haben eine Datenschutzerklärung und sonst wenig. Wir nehmen auf, welche Daten tatsächlich wo verarbeitet werden, und bringen das in eine Form, mit der Sie im Alltag und bei einer Anfrage arbeiten können.
Warum die Datenschutzerklärung das kleinste Problem ist
Datenschutz wird in kleinen Betrieben meist als Textproblem behandelt: Erklärung auf die Website, Häkchen ins Formular, fertig. Die eigentliche Anforderung liegt daneben. Sie müssen wissen, welche personenbezogenen Daten Sie verarbeiten, zu welchem Zweck, auf welcher Rechtsgrundlage, wer sie in Ihrem Auftrag verarbeitet und wann sie gelöscht werden.
Das klingt nach Bürokratie, wird aber praktisch, sobald etwas passiert: Ein Bewerber verlangt Auskunft, ein Kunde will gelöscht werden, ein Dienstleister meldet eine Panne. Wer dann keine Übersicht hat, sucht tagelang und antwortet trotzdem unvollständig.
Der zweite blinde Fleck sind die Auftragsverarbeiter. In einem normalen Betrieb sind das schnell zehn bis zwanzig Dienste: Buchhaltung, Newsletter, Terminbuchung, Messenger, Cloudspeicher, Personalverwaltung. Für jeden braucht es einen Vertrag nach Artikel 28 DSGVO und die Klarheit, welche Daten dort landen.
Der dritte ist die Löschung. Ohne festgelegte Fristen wird nie gelöscht, und dann verstößt der Datenbestand gegen die Speicherbegrenzung, während gleichzeitig Aufbewahrungspflichten aus Handels- und Steuerrecht laufen. Beides zusammenzubringen ist Fleißarbeit, aber einmalige.
Diese Beratung erledigt genau diese Fleißarbeit mit Ihnen und lässt Sie mit Dokumenten zurück, die Sie fortschreiben können. Was sie nicht ist: eine rechtliche Prüfung. Wo es juristisch wird, benennen wir es und Sie holen Rat ein.
Was in den Beratungstagen passiert
- Aufnahme der Verarbeitungen
- Welche personenbezogenen Daten fallen wo an: Kunden, Interessenten, Bewerber, Beschäftigte, Lieferanten. Für jede Verarbeitung Zweck, Datenarten, Empfänger und Speicherort.
- Auftragsverarbeiter erfassen
- Alle eingesetzten Dienste mit der Frage, ob ein Vertrag nach Artikel 28 DSGVO vorliegt, wo verarbeitet wird und ob eine Übermittlung in ein Drittland stattfindet.
- Löschfristen festlegen
- Je Datenart die Frist, abgestimmt zwischen Speicherbegrenzung und gesetzlichen Aufbewahrungspflichten, mit der Angabe, wo gelöscht werden muss, damit nichts in einer Sicherung oder einem Zweitsystem übrig bleibt.
- Lücken benennen und priorisieren
- Wo Einwilligungen fehlen, Verträge fehlen oder Daten ohne Grundlage verarbeitet werden. Sortiert nach Risiko, nicht nach Alphabet.
Wie die Beratung abläuft
- Vorgespräch, kostenfrei, etwa 30 Minuten Wir klären, ob ein Datenschutzbeauftragter benannt ist, was bereits vorliegt und welcher Anlass besteht.
- Tag 1: Aufnahme im Betrieb Bereichsweise durchgehen, welche Daten anfallen und in welchen Systemen sie landen. Dabei kommen fast immer Dienste ans Licht, die niemand auf dem Zettel hatte.
- Auswertung zwischen den Terminen Wir erstellen das Verarbeitungsverzeichnis, die Auftragsverarbeiterliste und den Entwurf des Löschkonzepts. Diese Zeit wird nicht als Beratungstag abgerechnet.
- Tag 2: Durchsprache und Fristen Wir gehen die Entwürfe durch, legen die Löschfristen fest und priorisieren die offenen Punkte.
- Bericht und Übergabe Sie erhalten Verzeichnis, Auftragsverarbeiterliste, Löschkonzept und eine Maßnahmenliste, alle in bearbeitbarer Form.
Was Sie am Ende in der Hand halten
- Verarbeitungsverzeichnis nach Artikel 30 DSGVO
- In bearbeitbarer Form, damit Sie es bei neuen Diensten selbst fortschreiben können.
- Liste der Auftragsverarbeiter
- Mit Status des Vertrags nach Artikel 28 DSGVO, Verarbeitungsort und Hinweis auf Drittlandbezug.
- Löschkonzept mit Fristen
- Je Datenart die Frist und der Ort, an dem gelöscht werden muss, inklusive Sicherungen und Zweitsystemen.
- Priorisierte Lückenliste
- Was fehlt, wie dringend es ist und was der nächste Schritt dazu wäre.
Was nicht Teil dieser Beratung ist
- Keine Rechtsberatung
- Wir bewerten keine Rechtsfragen und prüfen keine Verträge rechtlich. Wo es juristisch wird, benennen wir den Punkt und Sie holen anwaltlichen Rat ein.
- Kein externer Datenschutzbeauftragter
- Die Benennung ist eine eigene, dauerhafte Rolle mit eigenen Pflichten und nicht Teil dieser Beratung.
- Keine Datenschutz-Folgenabschätzung
- Wo eine Folgenabschätzung nach Artikel 35 DSGVO nötig sein könnte, benennen wir das. Ihre Durchführung ist ein eigenes Vorhaben.
- Keine Umsetzung in den Systemen
- Löschroutinen einrichten, Einwilligungen technisch abbilden, Zugriffsrechte umbauen sind getrennte Leistungen.
Aufwand und Preis
Üblicherweise zwei bis drei Beratungstage
Ein Betrieb ohne Personalabteilung und mit überschaubarer Systemlandschaft ist in zwei Tagen erfasst. Mit vielen Diensten, mehreren Standorten oder umfangreicher Personalverwaltung werden es drei. 1.250 Euro je Beratungstag zu acht Stunden, zzgl. Umsatzsteuer, Anreise und, wenn nötig, Übernachtung.
1.250 Euro je Beratungstag zu 8 Stunden, zzgl. Umsatzsteuer, Anreise und gegebenenfalls Übernachtung.
Was das in Zahlen heißt
| Beratungstage | Honorar, netto |
|---|---|
| 1 | 1.250 Euro |
| 2 | 2.500 Euro |
| 3 | 3.750 Euro |
| 4 | 5.000 Euro |
| 5 | 6.250 Euro |
1.250 Euro je Beratungstag zu 8 Stunden, zzgl. Umsatzsteuer, Anreise und gegebenenfalls Übernachtung.
Datenschutz: Häufige Fragen
Was kostet die Datenschutz-Bestandsaufnahme?
1.250 Euro je Beratungstag zu acht Stunden, zzgl. Umsatzsteuer, Anreise und gegebenenfalls Übernachtung. Üblich sind zwei bis drei Tage, also 2.500 bis 3.750 Euro netto.
Ersetzt das einen Datenschutzbeauftragten?
Nein. Ob Sie einen benennen müssen, hängt unter anderem an der Zahl der Personen, die ständig mit der Verarbeitung befasst sind, und an der Art der Daten. Die Bestandsaufnahme schafft die Grundlage, die ein Datenschutzbeauftragter ohnehin braucht, ersetzt die Rolle aber nicht.
Ist das Rechtsberatung?
Nein, und das ist eine wichtige Grenze. Wir nehmen auf, strukturieren und benennen Lücken. Die rechtliche Bewertung, etwa ob eine Rechtsgrundlage trägt oder ein Vertrag ausreicht, gehört zur Rechtsberatung.
Wir haben schon eine Datenschutzerklärung. Reicht das?
Die Erklärung ist die Außendarstellung. Verlangt wird zusätzlich die interne Dokumentation: Verzeichnis der Verarbeitungen, Verträge mit Auftragsverarbeitern, Löschkonzept und die Fähigkeit, Betroffenenrechte zu erfüllen. Genau daran fehlt es meistens.
Wie lange dürfen wir Kundendaten aufbewahren?
Das hängt an der Datenart. Steuerlich relevante Unterlagen unterliegen den handels- und steuerrechtlichen Aufbewahrungsfristen, andere Daten sind zu löschen, sobald der Zweck entfällt. Das Löschkonzept legt beides je Datenart fest, statt pauschal zu raten.
Was passiert, wenn eine Aufsichtsbehörde anfragt?
Mit Verzeichnis, Auftragsverarbeiterliste und Löschkonzept können Sie strukturiert antworten, statt zu suchen. Genau diese drei Dokumente werden typischerweise zuerst angefordert.
Erst reden, dann beauftragen
Ein Gespräch von 30 Minuten klärt, ob eine Beratung das richtige Mittel ist. Wenn nicht, sagen wir das dort.
Zuletzt geprüft: