Datenschutzberatung für Unternehmen, Start-ups, Forschung und Verwaltung

DSGVO, BDSG, TDDDG und Landesdatenschutzrecht in der Praxis

Wir begleiten neue Vorhaben mit datenschutzrelevanz von der Planung bis zum Betrieb und vertreten Sie gegenüber Aufsichtsbehörden, Betroffenen und vor Gericht. Auf Wunsch übernimmt einer unserer Rechtsanwälte die Aufgabe des externen Datenschutzbeauftragten.

Auf einen Blick

• Vier Rechtsanwälte mit TÜV-Zertifikat als Datenschutzbeauftragte
  
  
• Joerg Heidrich: Fachanwalt für IT-Recht, Justiziar und Datenschutzbeauftragter von Heise Medien
  
  
• Beratung von Unternehmen, Start-ups, Hochschulen, Forschungseinrichtungen und Behörden
  
  
• Externer Datenschutzbeauftragter aus der Kanzlei
  
  
• Antwort auf neue Anfragen in der Regel innerhalb eines Werktags

Unsere Leistungen im Überblick

• Externer Datenschutzbeauftragter
• Datenschutzorganisation und Dokumentation
• Verträge, Kooperationen und Transaktionen
• Internationale Datenübermittlungen
• KI, Cloud und Microsoft 365
• Datenschutz-Folgenabschätzung und Projektbegleitung
• Beschäftigtendatenschutz
• Websites, Apps und Marketing
• Datenpannen und Sicherheitsvorfälle
• Aufsichtsverfahren, Bußgelder, Schadensersatz und Abmahnungen
• Verwaltung, Forschung und Medien
• Schulungen, Vorträge und Gutachten

Externer Datenschutzbeauftragter

Wir übernehmen für Ihre Organisation über die Heidrich Datenschutzberatung GmbH die Aufgaben des Datenschutzbeauftragten nach Art. 37 bis 39 DSGVO. Benannt wird ein Mitarbeiter unserer Kanzlei persönlich. Das Angebot richtet sich an Unternehmen, Start-ups, Forschungseinrichtungen und Behörden, die einen Datenschutzbeauftragten benennen müssen oder freiwillig benennen wollen.

Mehr zum externen Datenschutzbeauftragten

Datenschutzorganisation und Dokumentation

Sie müssen nachweisen können, dass Ihre Organisation den Datenschutz einhält (Art. 5 Abs. 2, Art. 24 DSGVO). Wir prüfen den Stand und erarbeiten mit Ihnen die nötigen Unterlagen und Abläufe.

• Bestandsaufnahme mit priorisiertem Maßnahmenplan
  
  
• Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)
  
  
• Technische und organisatorische Maßnahmen, abgestimmt mit Ihrer IT (Art. 32 DSGVO)
  
  
• Lösch- und Berechtigungskonzepte sowie interne Datenschutzrichtlinien
  
  
• Datenschutzhinweise und Einwilligungen (Art. 7, 13 und 14 DSGVO)
  
  
• Abläufe für Auskunft, Löschung und weitere Betroffenenrechte (Art. 15 bis 22 DSGVO)

Verträge, Kooperationen und Transaktionen

Wer Dienstleister einsetzt oder Daten mit Partnern teilt, braucht klare vertragliche Regeln. Wir entwerfen und prüfen Verträge zur Auftragsverarbeitung (Art. 28 DSGVO) und Vereinbarungen über die gemeinsame Verantwortlichkeit (Art. 26 DSGVO). Datenschutzklauseln in IT-, SaaS- und KI-Verträgen stimmen wir mit den übrigen Vertragsregeln ab.

Bei Unternehmenskäufen prüfen wir die Datenschutzlage des Zielunternehmens. Wir gestalten die Übertragung von Kunden- und Beschäftigtendaten.

Internationale Datenübermittlungen

Übermittlungen in Länder außerhalb des Europäischen Wirtschaftsraums sind nur unter den Voraussetzungen der Art. 44 ff. DSGVO zulässig. Das betrifft auch Cloud-Dienste und Fernzugriffe aus Drittländern. Wir prüfen, welche Grundlage trägt, und dokumentieren die Entscheidung.

• Angemessenheitsbeschlüsse (Art. 45 DSGVO), für zertifizierte Empfänger in den USA das EU-U.S. Data Privacy Framework
  
  
• Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 (Art. 46 DSGVO)
  
  
• Transfer Impact Assessments und ergänzende Maßnahmen bei Übermittlungen nach Art. 46 DSGVO
  
  
• Ausnahmen nach Art. 49 DSGVO für Einzelfälle
  
  

Das EuG hat den Angemessenheitsbeschluss für die USA mit Urteil vom 3.9.2025 bestätigt. Dagegen ist ein Rechtsmittel beim EuGH anhängig (C-703/25 P). Wir planen mit Ihnen, wie Übermittlungen weiterlaufen können, falls der Beschluss entfällt.

KI, Cloud und Microsoft 365

Beim Einsatz von KI-Systemen und Cloud-Diensten greifen Datenschutzrecht, KI-Verordnung und Vertragsrecht ineinander. Wir begleiten die Auswahl, prüfen die Verträge der Anbieter und unterstützen die datenschutzkonforme Einführung.

• Rechtsgrundlagen für Training, Feinabstimmung und Nutzung von KI-Modellen
  
  
• Microsoft 365, Copilot und andere Cloud- und KI-Dienste
  
  
• Richtlinien für die Nutzung von KI durch Beschäftigte
  
  
• Schnittstellen zur KI-VO, etwa KI-Kompetenz (Art. 4 KI-VO) und Pflichten der Betreiber (Art. 26 KI-VO)
  
  

Wir berücksichtigen die Orientierungshilfen der Datenschutzkonferenz sowie die Stellungnahmen und Leitlinien des Europäischen Datenschutzausschusses.

Datenschutz-Folgenabschätzung und Projektbegleitung

Hat eine Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen zur Folge, ist vorab eine Datenschutz-Folgenabschätzung durchzuführen (Art. 35 DSGVO). Wir prüfen, ob sie erforderlich ist, und begleiten die Durchführung. Die Verantwortung bleibt bei Ihnen als Verantwortlichem. Bleibt ein hohes Risiko, bereiten wir die Konsultation der Aufsichtsbehörde vor (Art. 36 DSGVO).

Für bestimmte Betreiber von Hochrisiko-KI-Systemen, etwa Einrichtungen des öffentlichen Rechts, kommt ab dem 2.12.2027 die Grundrechte-Folgenabschätzung hinzu (Art. 27 KI-VO). Sie ergänzt eine bereits durchgeführte Datenschutz-Folgenabschätzung (Art. 27 Abs. 4 KI-VO). In Software- und App-Projekten bringen wir Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen früh ein (Art. 25 DSGVO).

Beschäftigtendatenschutz

Personaldaten, Überwachungstechnik und KI-Werkzeuge am Arbeitsplatz führen oft zu Konflikten mit Beschäftigten und Betriebsrat. Nach dem Urteil des EuGH vom 30.3.2023 (C-34/21) ist § 26 Abs. 1 S. 1 BDSG nach überwiegender Auffassung nicht mehr anwendbar. Wir stützen Verarbeitungen deshalb auf belastbare Rechtsgrundlagen der DSGVO.

• Betriebs- und Dienstvereinbarungen zu IT- und KI-Systemen, die den Anforderungen des EuGH genügen (Urteil vom 19.12.2024, C-65/23)
  
  
• Mitbestimmung bei technischen Einrichtungen (§ 87 Abs. 1 Nr. 6 BetrVG) und im Personalvertretungsrecht
  
  
• Videoüberwachung und Zugangskontrollen
  
  
• Bewerbungsverfahren, Personalakten und Beschäftigtendaten im Konzern
  
  

IT- und KI-Betriebsvereinbarungen

Websites, Apps und Marketing

Cookies, Tracking und Einwilligungsbanner stehen im Blick von Aufsichtsbehörden und Mitbewerbern. Wir analysieren Websites und Apps und gestalten Einwilligungen nach § 25 TDDDG und der DSGVO.

• Consent-Management sowie Analyse- und Marketingdienste
  
  
• Datenschutzhinweise für Websites, Apps und Social-Media-Auftritte
  
  
• Newsletter und E-Mail-Werbung (§ 7 UWG)
  
  
• Gemeinsame Verantwortlichkeit bei Social-Media-Seiten und eingebetteten Diensten (Art. 26 DSGVO)
  
  

Website-Check

Datenpannen und Sicherheitsvorfälle

Meldepflichtige Datenpannen sind der Aufsichtsbehörde binnen 72 Stunden zu melden, nachdem Sie davon erfahren haben (Art. 33 Abs. 1 DSGVO). Bei voraussichtlich hohem Risiko müssen Sie auch die betroffenen Personen benachrichtigen (Art. 34 DSGVO). Wir bewerten den Vorfall, formulieren die Meldungen und stimmen sie mit weiteren Meldepflichten ab.

• Frühe Erstmeldung an das BSI binnen 24 Stunden bei erheblichen Sicherheitsvorfällen in besonders wichtigen und wichtigen Einrichtungen (§ 32 Abs. 1 Nr. 1 BSIG)
  
  
• Meldepflichten der Hersteller von Produkten mit digitalen Elementen nach Art. 14 Cyber Resilience Act
  
  
• Abstimmung mit Ihrer IT, mit IT-Forensikern und mit Ihrer Cyberversicherung
  
  

Vorab erarbeiten wir mit Ihnen einen Meldeprozess, damit im Ernstfall Zuständigkeiten und Fristen klar sind. Im Notfall erreichen Sie uns am schnellsten telefonisch unter 0511 37498150.

Aufsichtsverfahren, Bußgelder, Schadensersatz und Abmahnungen

Wir vertreten Sie in Verwaltungs- und Bußgeldverfahren der Datenschutzaufsicht. Wir beantworten Auskunftsersuchen der Behörden und begleiten Prüfungen vor Ort. Gegen Anordnungen klagen wir vor dem Verwaltungsgericht (Art. 78 DSGVO, § 20 BDSG). Gegen Bußgeldbescheide legen wir Einspruch ein (§ 41 BDSG, § 67 OWiG).

Auskunfts- und Schadensersatzansprüche von Betroffenen prüfen wir und wehren unberechtigte Forderungen ab (Art. 15 und 82 DSGVO). Das gilt auch, wenn viele gleichartige Forderungen eingehen. Mitbewerber können Datenschutzverstöße nach dem UWG verfolgen (EuGH, Urteil vom 4.10.2024, C-21/23). Bei Abmahnungen klären wir kurzfristig, ob die Forderungen berechtigt sind und wie Sie reagieren sollten.

Verwaltung, Forschung und Medien

Öffentliche Verwaltung

Für Behörden und öffentliche Stellen gelten neben der DSGVO das Landesdatenschutzrecht und zahlreiche Fachgesetze. Wir beraten zu Cloud-Diensten und KI in der Verwaltung, zu Dienstvereinbarungen und zur Informationssicherheit. Gemeinsam mit unserem Kooperationspartner insidas bieten wir Kommunen und ihren IT-Dienstleistern Vorträge, Schulungen und Gutachten an.

Forschung und Hochschulen

Für Verarbeitungen zu Forschungszwecken gelten besondere Garantien und Erleichterungen (Art. 89 DSGVO, § 27 BDSG und Landesrecht). Wir gestalten Einwilligungen, Datenschutzkonzepte für Forschungsprojekte und Verträge für Verbundvorhaben. Beim Training von KI-Modellen mit Forschungsdaten klären wir auch die urheberrechtlichen Fragen des Text und Data Mining.

Medien und Verlage

Für journalistische Arbeit gelten Sonderregeln (Art. 85 DSGVO, Pressegesetze der Länder, Medienstaatsvertrag). Joerg Heidrich ist Justiziar eines Medienhauses und Vorsitzender des Beschwerdeausschusses Redaktionsdatenschutz beim Deutschen Presserat. Wir beraten Verlage und Redaktionen zum Medienprivileg, zu Online-Archiven sowie zu Auskunfts- und Löschbegehren.

Schulungen, Vorträge und Gutachten

Wir schulen Geschäftsleitungen, Führungskräfte, Datenschutzkoordinatoren und Beschäftigte, vor Ort oder online. Die Inhalte richten wir an Ihrer Branche und Ihren Systemen aus. Auf Wunsch verbinden wir die Datenschutzschulung mit Maßnahmen zur KI-Kompetenz (Art. 4 KI-VO). Für Grundsatzfragen erstellen wir Kurzgutachten, ausführliche Gutachten oder eine Zweitmeinung mit Nachweisen aus Rechtsprechung und Literatur.

Schulungen · Gutachten · Vorträge

Unser Team im Datenschutz

Joerg Heidrich befasst sich seit 1998 mit Internet- und Datenschutzrecht. Er ist Fachanwalt für IT-Recht sowie Justiziar und Datenschutzbeauftragter von Heise Medien. Bis 2018 war er beim Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein als Sachverständiger anerkannt. Er ist Mitautor der Handbücher „Datenschutz und IT-Compliance“ (Rheinwerk Computing, 2023) und „Betrieblicher Datenschutz“ (C.H.Beck, 3. Auflage 2019). Seit 2019 spricht er mit c't-Redakteur Holger Bleich im Datenschutz-Podcast „Auslegungssache“ über aktuelle Rechtsfragen.

• Joerg Heidrich, Rechtsanwalt und Partner: zertifizierter Datenschutzauditor und zertifizierter Datenschutzbeauftragter und  (TÜV)
• Nick Akinci, Rechtsanwalt und Partner: seit 2018 im Datenschutzrecht tätig, zertifizierter Datenschutzbeauftragter (TÜV)
  
  
• Niklas Mühleis, LL.M., Rechtsanwalt und Partner: zuvor in einer Datenschutzberatung tätig, zertifizierter Datenschutzbeauftragter (TÜV), Lehrauftrag für Datenschutzrecht am Niedersächsischen Studieninstitut für kommunale Verwaltung
  
  
• Stas Kertsman, Rechtsanwalt: Datenschutz-, IT- und Vertragsrecht, zertifizierter Datenschutzbeauftragter (TÜV)
  
  
• René Genz, Rechtsanwalt: Datenschutz und IT-Recht, zuvor Legal Counsel bei Plattformanbietern

Über uns

Sprechen Sie uns an

Schildern Sie uns Ihr Anliegen in wenigen Sätzen. Nennen Sie bitte Ihre Organisation und die weiteren Beteiligten, damit wir mögliche Interessenkonflikte vorab prüfen können. Senden Sie vertrauliche Unterlagen erst nach dieser Prüfung. Bei einer Datenpanne erreichen Sie uns am schnellsten telefonisch.

Telefon 0511 37498150 · E-Mail kontakt@recht-im-internet.de · Prinzenstraße 3, 30159 Hannover