Die formale Bestellung nach Art. 37 DSGVO ist an einem Tag erledigt. Danach entsteht das, was bei einer Prüfung wirklich zählt: ein vollständiges Verzeichnis der Verarbeitungstätigkeiten, geprüfte Auftragsverarbeitungsverträge, dokumentierte technisch-organisatorische Maßnahmen und rechtssichere Datenschutzhinweise.
Drei Konstellationen, die in der Praxis zu Problemen führen.
Wer die IT oder die Personalabteilung verantwortet, darf deren Datenschutzkonformität nicht kontrollieren. Art. 38 Abs. 6 DSGVO schließt diesen Interessenkonflikt aus.
Die Bestellung allein genügt nicht. Ohne Verarbeitungsverzeichnis nach Art. 30 DSGVO fehlt bei jeder Prüfung die Grundlage.
Vorlagen sind ein Startpunkt, kein Ergebnis. Sie müssen zu den tatsächlichen Prozessen im Haus passen, sonst dokumentieren sie das falsche Unternehmen.
Der Leistungsumfang dieser Position, so wie er im Angebot steht.
Mit Sitz in Viersen bin ich für Unternehmen in Mönchengladbach, Krefeld, Erkelenz und Düsseldorf persönlich erreichbar. Für die Bestellung selbst ist kein Vor-Ort-Termin nötig – die Aufnahme der Verarbeitungsprozesse funktioniert dagegen deutlich besser, wenn man einmal durch das Haus gegangen ist.
Zuständige Aufsichtsbehörde für den gesamten Niederrhein ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen in Düsseldorf. Ich kenne die aktuellen Prüfschwerpunkte und richte die Dokumentation daran aus.
Monatliche All-inclusive-Pauschale nach Unternehmensgröße. Transparent im kostenlosen Erstgespräch, ohne Kleingedrucktes.
Erfüllung der gesetzlichen Bestellungspflicht – für kleine Betriebe ohne NIS-2-Betroffenheit.
Alle datenschutzrelevanten Aufgaben vollständig in externer Hand.
All-inclusive für Unternehmen mit NIS-2-Betroffenheit oder erhöhtem Sicherheitsbedarf.
Alle Pakete als monatliche All-inclusive-Pauschale, Initialkosten separat und transparent ausgewiesen. Die konkrete Einordnung hängt von Mitarbeiterzahl, Branche und NIS-2-Betroffenheit ab – Sie erhalten im Erstgespräch eine schriftliche Kalkulation inklusive Entwurf des Bestellungsvertrages, Angaben zu Vertragslaufzeit und Kündigungsfristen.
Der formale Akt ist an einem Arbeitstag erledigt: Bestellungsvertrag unterzeichnen, Meldung an die Aufsichtsbehörde, Beschäftigte informieren. Die Erstdokumentation braucht je nach Unternehmensgröße vier bis acht Wochen.
Nein. Die Geschäftsführung verantwortet die Datenverarbeitung, der Datenschutzbeauftragte kontrolliert sie. Art. 38 Abs. 6 DSGVO schließt diesen Interessenkonflikt aus.
Die Aufsichtsbehörde kann ein Bußgeld nach Art. 83 Abs. 4 DSGVO verhängen – bis 10 Mio. Euro oder 2 % des Jahresumsatzes. Bei KMU liegen die verhängten Beträge in der Praxis niedriger, sind aber spürbar. Schwerer wiegt oft, dass die fehlende Bestellung bei einer Prüfung weitere Fragen nach sich zieht.
Ja. Der Entwurf liegt dem Angebot bei, zusammen mit den Nachweisen zu Qualifikation und Berufshaftpflichtversicherung sowie den Angaben zu Vertragslaufzeit und Kündigungsfristen.
Im Erstgespräch klären wir Betroffenheit und Umfang. Danach kann die Bestellung sofort erfolgen.