Wobei dürfen wir Sie unterstützen?
Anders als ein bestellter Datenschutzbeauftragter ist Beratung oft anlass-getrieben. Sie kommt zum Tragen, wenn ein konkretes Vorhaben oder ein konkretes Problem zu lösen ist. Viele Unternehmen unterschreiten die Pflicht-Voraussetzungen aus Art. 37 DSGVO und § 38 BDSG, sind aber dennoch in voller Verantwortung für die Einhaltung. Andere haben einen internen Datenschutzbeauftragten und brauchen punktuelle Verstärkung bei Spezialthemen.
Software
Neue Software oder Cloud-Plattform
CRM, HR-Tool oder SaaS-Plattform werden eingeführt — DSGVO-Bewertung samt Auftragsverarbeitungs-Vertrag und TOM-Konzept vor Vertragsabschluss.
KI / Automation
KI- oder Automatisierungs-Projekt
Generative-AI-Tools, automatisierte Entscheidungsfindung oder Profiling — mit Datenschutz-Folgenabschätzung nach Art. 35 und ggf. AI-Act-Bewertung.
Betroffenenrecht
Auskunfts- oder Löschanfrage
Eine betroffene Person fordert ihre Daten oder deren Löschung — Sie müssen rechtssicher antworten und die Monatsfrist nach Art. 12 Abs. 3 wahren.
Vorfall
Datenpanne im Betrieb
Datenleck, verlorener Laptop, fehlgeleitete E-Mail — Unterstützung bei der 72-Stunden-Meldung nach Art. 33, der Betroffenenbenachrichtigung und der Dokumentation.
Behörde
Behörden-Anfrage oder Prüfung
Die Aufsichtsbehörde stellt Fragen oder kündigt eine Vor-Ort-Prüfung an — wir bereiten die Antwort fachlich auf und sortieren die Dokumentation.
Wachstum
Wachstum oder Restrukturierung
Ihr Unternehmen wächst über die 20-Personen-Schwelle, fusioniert oder gliedert Bereiche aus — neue Verarbeitungsstrukturen brauchen DSGVO-Bewertung.
Drittland
Internationaler Datentransfer
Daten fließen in Drittländer — Standardvertragsklauseln, Transfer-Impact-Assessment, Bewertung von US-Cloud-Anbietern nach DPF-Adäquanzbeschluss.
Bestandsaufnahme
Erstmalige Standortbestimmung
Sie wollen Klarheit darüber, wo Ihr Unternehmen in Sachen DSGVO steht — bevor jemand anderes (Aufsichtsbehörde, Kunde, Versicherung) die Frage stellt.
Hinweis
Beratung ersetzt keinen bestellten Datenschutzbeauftragten, wenn die Bestellungspflicht greift. Wenn Sie unsicher sind, ob die Pflicht für Ihr Unternehmen besteht, klärt das Erstgespräch diese Frage zuerst — auch wenn die ehrliche Empfehlung dann lautet, dass ein DSB-Mandat das richtigere Format wäre.
Wenn es ernst wird: 72 Stunden zur Meldung.
Eine Datenpanne ist der häufigste Akut-Anlass, in dem unsere Beratung gefragt wird — Datenleck, Phishing-Folgen, fehlgeleitete E-Mail-Verteiler, verlorener Laptop. Art. 33 DSGVO setzt eine harte Frist: 72 Stunden ab Kenntnisnahme zur Meldung an die Aufsichtsbehörde. Die Frist beginnt nicht mit dem Vorfall, sondern mit dem Moment, in dem Ihr Unternehmen Kenntnis erlangt. So sieht der Ablauf in unserer Akut-Begleitung aus.
Stunde 0
T = 0
Vorfall erkannt
Erste Lage-Erfassung gemeinsam mit Ihrer IT — was ist passiert, welche Daten sind betroffen, wer hat Kenntnis erlangt und wann?
- Sofortdokumentation der bekannten Fakten
- Eindämmungs-Maßnahmen mit IT-Team
- Kreis der Mitwisser definieren
aktivierbar binnen 1 Stunde — auch ohne laufendes Mandat
Stunde 0–24
+24h
Risiko-Bewertung
Strukturierte Analyse: Welche Kategorien personenbezogener Daten? Welcher Personenkreis? Welches Schadens-Potenzial? Greift die Meldepflicht — oder ist der Vorfall nach Art. 33 Abs. 1 ausnahmsweise nicht zu melden?
- Bewertung nach DSK-Kurzpapier Nr. 18
- Vorbereitung der Melde-Inhalte
- Klärung Art. 34-Pflicht zur Betroffeneninfo
methodisch dokumentiert für Aufsicht und Versicherer
Stunde 24–72
+72h
Meldung an Aufsicht
Erstentwurf der Melde-Anzeige nach Art. 33 — wir formulieren, Sie als Verantwortlicher zeichnen. Bei zeitlicher Enge: stufige Meldung mit Nachmeldung später ergänzbar (Art. 33 Abs. 4 lässt das ausdrücklich zu).
- Meldung über das jeweilige Aufsichts-Portal
- Begründung bei Verzug über 72 h
- Vollständige Vorfalls-Doku im Verzeichnis
Art. 33 DSGVO — Fristwahrung mit Begründungs-Option
danach
Folge
Betroffene & Lessons Learned
Wenn voraussichtlich hohes Risiko für die Betroffenen besteht — Individualbenachrichtigung nach Art. 34. Anschließend strukturelle Aufarbeitung: TOM-Anpassung, Schulung, Verfahrens-Verbesserung.
- Entwurf der Betroffenen-Info
- Schwächen-Analyse für TOMs
- Behörden-Rückfragen begleiten
Art. 34 DSGVO — bei hohem Risiko verpflichtend
Aktivierbarkeit
Die Akut-Begleitung steht auch ohne laufendes Mandat zur Verfügung. In der ersten Stunde sind wir erreichbar, ab dem Erstkontakt übernehmen wir die Lage-Strukturierung — die forensische IT-Spurensicherung übernimmt Ihre IT-Forensik oder Cyber-Versicherung. Wir sind die Brücke zwischen Vorfall und Aufsichtsbehörde, nicht die technische Forensik.
Akuter Vorfall?
Rufen Sie an oder schreiben Sie kurz — die 72-Stunden-Uhr läuft ab Kenntnisnahme.
Was wir konkret beraten.
Die folgenden Themen decken den typischen Beratungsbedarf eines mittelständischen Unternehmens ab. Wir kombinieren sie zu Projektpaketen oder bearbeiten sie als Einzelaufträge — je nachdem, wie umfassend Ihr aktueller Bedarf ist. Drei Cluster: Compliance-Grundlagen, Spezialthemen und operative Unterstützung.
Cluster 1 · Compliance-Grundlagen
Die Basis jeder DSGVO-Konformität — die Dokumente und Strukturen, die in der Verantwortung des Verantwortlichen liegen und in jeder Aufsichtsprüfung verlangt werden.
Bestandsaufnahme
DSGVO-Standortbestimmung
Strukturierte Erfassung Ihrer Datenflüsse, Verarbeitungen und IT-Systeme. Lücken-Analyse gegen DSGVO und BDSG. Grundlage jeder weiteren Maßnahme.
Art. 30 DSGVO
Verzeichnis von Verarbeitungstätigkeiten
Erstellung und Pflege des VVT als Word- oder Confluence-Dokument — fortschreibungsfähig im Tagesgeschäft, mit Rechtsgrundlagen, Empfängerkategorien, Löschfristen.
Art. 28 DSGVO
AV-Verträge prüfen und erstellen
Bewertung bestehender Auftragsverarbeitungs-Verträge, Erstellung eigener Standardverträge für Ihre Lieferanten, Transfer-Impact-Assessment bei Drittstaatenbezug.
Art. 32 DSGVO
TOM-Konzept
Technisch-organisatorische Maßnahmen — Zugriffsrechte, Verschlüsselung, Backup-Strategie, Datenträgervernichtung, Incident-Response-Plan, dokumentationsfest aufbereitet.
Cluster 2 · Spezial-Themen
Komplexere Sachverhalte, die punktuell auftreten und juristisch-methodische Tiefe erfordern — oft im Rahmen einer Software-Einführung, eines internationalen Projekts oder einer neuen Verarbeitung mit hohem Risikoprofil.
Art. 35 DSGVO
Datenschutz-Folgenabschätzung
Strukturierte DSFA bei Verarbeitungen mit voraussichtlich hohem Risiko — typische Anlässe: KI-Systeme, Mitarbeiter-Monitoring, Tracking, Profiling. Inklusive vorheriger Konsultation nach Art. 36, falls erforderlich.
Web-Compliance
Datenschutzerklärung & Cookie-Banner
Rechtssichere Datenschutzerklärung für Ihre Website inklusive Cookie-Layer, Third-Party-Tracker, Embed-Hinweise und TTDSG-konformer Einwilligung.
SaaS / Cloud
Software- und Cloud-Bewertung
DSGVO-Check vor Vertragsabschluss — von Microsoft 365 über CRMs und HR-Tools bis zu KI-Plattformen und Marketing-Automation. Mit AVV-Prüfung und Transfer-Bewertung.
Art. 44–49
Internationaler Datentransfer
Standardvertragsklauseln (SCC), Transfer-Impact-Assessment, Bewertung von US-Cloud-Anbietern nach DPF-Adäquanzbeschluss, Binding Corporate Rules bei Konzernstrukturen.
Cluster 3 · Operative Unterstützung
Konkrete Hilfe in Situationen, in denen Geschwindigkeit und Erfahrung zählen — ein Vorfall ist eingetreten, eine Prüfung steht bevor, oder die Belegschaft ist aktuell zu schulen.
Art. 33 DSGVO
Datenpannen-Beratung
Ad-hoc-Unterstützung im Vorfall: 72-Stunden-Meldung an die Aufsichtsbehörde, Bewertung der Betroffenenbenachrichtigung nach Art. 34, vollständige Vorfalls-Dokumentation.
Audit
Audit-Vorbereitung
Vorbereitung auf eine Prüfung der Aufsichtsbehörde — Dokumentations-Check, Probebefragung, Antwortstrategie, Begleitung im Termin.
Schulung
Mitarbeitenden-Schulung
Online über Microsoft Teams oder vor Ort — Datenschutz-Grundlagen für die gesamte Belegschaft, mit Teilnahmezertifikat und audit-fester Schulungsdokumentation.
DSB-Verstärkung
Beratung für internen DSB
Sie haben einen internen DSB, brauchen aber externe Verstärkung bei Spezialthemen — wir liefern Zweitmeinung, methodische Tiefe und operative Hands-on-Hilfe.
Drei Formate auf einer Skala — von akut bis strukturell.
Unsere drei Mandats-Modelle unterscheiden sich in der zeitlichen Tiefe und im Bindungsgrad. Je nachdem, ob Sie eine akute Krisensituation auflösen, ein definiertes Projekt umsetzen oder kontinuierliche Verfügbarkeit brauchen — die Wahl bestimmt sich aus Ihrem Anlass. Ein Wechsel zwischen den Modellen ist im laufenden Mandat jederzeit möglich.
01 · Akute Reaktion
Notfall-Lead
Krisenreaktion bei Datenpannen, Aufsichtsbehörden-Anfragen oder kurzfristigen Anlässen. Operatives Lead in der ersten Phase, Erstentwurf der Behördenmeldung, Begleitung der Betroffenenbenachrichtigung. Aktivierbar auch ohne laufendes Mandat.
02 · Definierter Scope
Festpreis-Projekt
Klar abgegrenzte Aufgabe mit definiertem Lieferumfang — VVT erstellen, AVV-Paket prüfen, DSFA durchführen, Audit vorbereiten. Pauschalbetrag im Angebot, mit Zeitplan und Ergebnis-Definition. Geeignet bei klarem Auftrag.
03 · Laufende Beratung
Stundenkontingent
Gebuchtes Stundenpaket für punktuellen Abruf — Software-Bewertung, AVV-Prüfung, ad-hoc-Fragen aus den Fachabteilungen. Geeignet bei wiederkehrendem, aber unregelmäßigem Bedarf, der keine Bestellung als DSB rechtfertigt.
Beratung oder externer Datenschutz-Beauftragter?
Beide Formate haben ihren Platz. Datenschutzberatung deckt Projekt- und Themenbedarf ab; ein DSB-Mandat ist die strukturelle Lösung für laufende Verantwortung mit Bestellungspflicht. Die Wahl hängt von der Pflicht-Lage Ihres Unternehmens, der Größe und dem Tempo Ihrer Veränderungen ab. Im Erstgespräch klären wir das gemeinsam.
Projektbezogen, flexibel, ohne Mindestlaufzeit.
- Kein laufendes Mandat — Sie buchen den konkreten Anlass, das konkrete Projekt, das konkrete Stundenkontingent.
- Volle Flexibilität bei Themenwahl und Umfang — von der einzelnen AVV-Prüfung bis zum mehrwöchigen DSFA-Projekt.
- Auch ergänzend zu einem internen DSB sinnvoll — als Zweitmeinung, methodische Tiefe oder bei Engpässen.
- Notfall-Reaktion innerhalb von Stunden — ohne dass dafür ein laufendes Mandat erforderlich ist.
- Erfüllt nicht die Bestellungspflicht aus Art. 37 DSGVO, wenn diese für Ihr Unternehmen greift.
Strukturell, weisungsfrei, dauerhaft eingebunden.
- Bestellung und Behördenmeldung nach Art. 37 DSGVO — die externe Bestellung erfüllt die gesetzliche Pflicht und löst den Interessenkonflikt einer internen Lösung.
- Fester Ansprechpartner für Mitarbeitende, Geschäftsführung und Aufsichtsbehörden — als Dauerfunktion im Unternehmen verankert.
- Direkte Berichtslinie zur Geschäftsleitung nach Art. 38 Abs. 3, regelmäßige interne Berichterstattung.
- Pauschalpreise statt Stundensatz — der Mandatsumfang wird im Erstgespräch festgelegt, der Preis bleibt für die Laufzeit unverändert.
- Sinnvoll ab Pflicht-Lage oder bestimmter Unternehmensgröße — bei rein punktuellem Bedarf ist Beratung effizienter.
Was wir nicht leisten
Datenschutzberatung ist keine Rechtsberatung im Sinne des RDG. Wir übernehmen keine Vertretung in Bußgeldverfahren oder vor Gericht — anwaltliche Vertretung organisieren wir bei Bedarf über unser Partner-Netzwerk. Die datenschutzrechtliche Verantwortung verbleibt nach Art. 5 Abs. 2 und Art. 24 DSGVO beim Verantwortlichen, also bei Ihrem Unternehmen.
So läuft ein Beratungsprojekt ab.
Vom Erstgespräch bis zur Ergebnisübergabe vergehen je nach Projektgröße zwei bis acht Wochen. Sie haben in dieser Zeit etwa vier bis zehn Stunden eigenen Aufwand — abhängig vom Umfang und der Anzahl einbezogener Fachabteilungen. Bei Notfällen wie einer Datenpanne starten wir innerhalb von Stunden.
Erstgespräch
30-minütiges Gespräch zur Klärung Ihres konkreten Anlasses, der Unternehmenssituation und der erwarteten Ergebnisse. Vertraulich und ohne Verpflichtung. Bei Pflicht-Unsicherheit prüfen wir zuerst, ob Beratung das passende Format ist.
~30 Min · vertraulich
Angebot & Scoping
Sie erhalten ein Angebot mit konkretem Leistungsumfang, Zeitplan und Ergebnis-Definition. Bei Festpreis-Themen ein Pauschalbetrag, bei laufenden Themen ein Stundenkontingent. Schriftliche Beauftragung mit klaren Lieferobjekten.
2–3 Werktage
Bestandsaufnahme
Workshop mit den relevanten Fachabteilungen, Sichtung Ihrer Dokumentation, Erfassung der Verarbeitungstätigkeiten und IT-Landschaft. Output: strukturierter Status quo als Arbeitsgrundlage für die Umsetzung.
1–2 Wochen
Umsetzung & Übergabe
Konzepte, Verträge oder Bewertungen werden erstellt, mit Ihnen abgestimmt und übergeben. Auf Wunsch begleiten wir die Umsetzung in den Fachabteilungen mit zusätzlichen Stunden — nahtlos auf das Mandat aufbauend.
je nach Scope
Was Mandanten häufig fragen.
Reicht Beratung statt einem externen Datenschutz-Beauftragten?
Wenn die Bestellungspflicht aus Art. 37 DSGVO oder § 38 BDSG für Ihr Unternehmen greift — nein. Die Pflicht muss erfüllt werden, und das geht nur durch eine ordnungsgemäße Bestellung. Wenn keine Pflicht greift, ist Beratung in der Regel das passendere Format: flexibel, projektbezogen, ohne Mindestlaufzeit. Im Erstgespräch klären wir die Pflicht-Lage zuerst — auch wenn die Empfehlung dann ein DSB-Mandat ist.
Wie schnell können Sie bei einer Datenpanne reagieren?
Innerhalb von Stunden. Bei Datenpannen ist die 72-Stunden-Frist nach Art. 33 DSGVO kritisch — und sie beginnt mit Kenntnisnahme, nicht mit Vorfallende. Wir sind erreichbar, übernehmen die Risiko-Bewertung, liefern den Erstentwurf der Meldung an die Aufsichtsbehörde und begleiten — falls erforderlich — die Individualbenachrichtigung der Betroffenen nach Art. 34. Auch ohne laufendes Mandat aktivierbar.
Können Sie auch ergänzend zu unserem internen DSB beraten?
Ja, das ist ein typischer Anwendungsfall. Interne DSBs haben oft die operative Routine, brauchen aber externe Verstärkung bei Spezialthemen wie Cloud-Migration, KI-Einführung, internationalen Datentransfers oder DSFA-Methodik. Wir liefern Zweitmeinung, juristische Tiefe und operative Hands-on-Hilfe — ohne mit der internen Funktion zu konkurrieren.
Findet die Beratung online oder vor Ort statt?
In der Regel beides — abhängig vom Anlass. Erstgespräche, Workshops mit Fachabteilungen und laufende Abstimmungen finden meist online über Microsoft Teams statt. Bei Bestandsaufnahmen mit IT-Sichtung, Audit-Begleitung oder vor-Ort-Schulungen sind wir auch persönlich vor Ort — bundesweit, ohne separate Reisekostenberechnung im Pauschalmodell.
Übernehmen Sie auch Verantwortung im Beratungs-Mandat?
Die datenschutzrechtliche Verantwortung nach Art. 5 Abs. 2 und Art. 24 DSGVO verbleibt beim Verantwortlichen — also bei Ihrem Unternehmen. Das ist gesetzlich festgelegt und gilt unabhängig vom Beratungs- oder DSB-Mandat. Wir haften vertraglich für die fachliche Qualität unserer Beratung im üblichen Rahmen einer Beratungsleistung.
Was kostet Datenschutzberatung?
Bei Festpreis-Projekten ein Pauschalbetrag im Angebot — abhängig von Scope und Komplexität, transparent vor Beauftragung. Bei laufenden Themen ein Stundenkontingent mit fest kalkuliertem Stundensatz. Notfall-Lead-Mandate werden nach tatsächlich angefallenem Aufwand abgerechnet. Eine konkrete Größenordnung nennen wir gerne im Erstgespräch, sobald wir Ihren Anlass kennen.
Jetzt Beratungsgespräch vereinbaren!
Wir beraten Sie gerne zum Thema Datenschutzberatung. Kontaktieren Sie uns einfach per E-Mail oder Telefon oder nutzen Sie unser Kontaktformular!
Lieber telefonisch? +49 8912414 9000
Vielen Dank — Ihre Anfrage ist bei uns eingegangen. Wir melden uns zeitnah bei Ihnen.