Als Prädikatsjuristin mit jahrelanger Erfahrung im Datenschutzrecht stehe ich Ihnen gerne mit meinem Fachwissen beratend zur Seite.
Aus Familien- und Freundeskreis kenne ich die Prioritäten von Kleinunternehmern sehr gut und bringe diese persönliche Erfahrung in meine Beratung mit ein.
Die Arbeit mit gemeinnützigen Vereinen liegt mir persönlich am Herzen, da ich durch eigene ehrenamtliche Nebentätigkeiten und Vereinstätigkeiten mit dem begrenzten Budget dieser Mandanten vertraut bin und sie bei Ihrer Arbeit unterstützen möchte.
Datenschutz
Datenschutzmanagement und Datenschutzorganisation
Ob KMU oder Konzern - die DSGVO verpflichtet jedes Unternehmen, das personenbezogene Daten verarbeitet. Als externe Datenschutzbeauftragte berate ich in allen Fragen zur DSGVO und unterstütze
Sie bei der Implementierung einer unternehmensweiten Datenschutzorganisation. Sofern Sie als Gesundheitsdienstleister oder im medizinischen Bereich tätig sind, können Sie hier
fachspezfisiche Informationen über meine Arbeit im Bereich Gesundheitsdatenschutz erhalten.
Dokumentation
Aufbau eines Datenschutzmanagementsystems (DSMS), Verzeichnisse über Verarbeitungstätigkeiten, Richtlinien für die Geschäftsführung und die Belegschaft, vollständige Dokumentation von Datensicherheitsmaßnahmen (TOM), Löschkonzepte und Dokumentation von Löschroutinen
Werbung, Vertrieb und Marketing
DSGVO-konformer Umgang mit personenbezogenen Daten zu vertrieblichen und Werbezwecken, Kundendatenschutz, Newsletter, Outbound- und Inbound-Marketing, Online Marketing & ePrivacy, Einwilligungsmanagement Cookies, Tracking, Fingerprinting u.a.
Information
Überprüfung, Aktualisierung und Vervollständigung der Datenschutzerklärung auf der Website, Datenschutzinformation für Beschäftigte, Bewerber, Kunden, Interessenten, Gechäftspartner und andere Betroffene, Bereitstellung von Pflichtinformationen im Rahmen von M&A Transaktionen, Belehrung von Beschäftigten über Geheimhaltungspflichten
Schulungen und Sensibilisierung
Regelmäßige Trainings von Beschäftigen zu Grundlagen der DSGVO sowie fachbereichsspezifische Trainings (bspw. Online-Marketing, Personaldatenverarbeitung, Datenübermittlung in Länder außerhalb der EU), Schulungen der Geschäftsführung zur Implementierung eines DSMS und einer gelebten Datenschutzorganisation
Prozesse
Incident-Response-Management bei Datenpannen, Fristgemäße Beantwortung von Auskunfts- und Löschanfragen, DSGVO-konforme Auswahl und Überprüfung von externen Dienstleistern, Einwilligungsanagement Cookies Website, Regelmäßige Überprüfung, Aktualisierung und Anpassung von Datensicherheitsmaßnahmen (TOM)
Operatives Geschäft
Begleitung des Tagesgeschäfts als Datenschutzbeauftragte, Beratung bei der Implementierung neuer Software, Prozesse und Systeme, Unterstützung bei alltäglichen Fragen bzgl. Handhabung fremder personenbezogener Daten, Begleitung von On- und Offboardings im Personalbereich, Unterstützung im Beschwerdemanagment und bei Datenschutzvorfällen
Digitalrecht
Vertragsgestaltung für digitale Produkte, insbesondere im B2C Kontext (§§ 327 ff. BGB ff.), Beratung zu den Anforderungen des Gesetzes über Digitale Dienste und Beratung zum Online-Telekommunikationsrecht, Unterstützung bei Digitalisierungsprozessen
AGB und Vertragsgestaltung
Gestaltung von AGB, Datenschutzerklärungen, Widerrufsbelehrungen und anderen Rechtstexten für digitale Produkte wie Apps, SaaS, E-Commerce Plattformen u.a., Beratung zu vertraglichen Nutzungsrechten, urheberrechtlichen- und Haftungsfragen.
Cybersicherheitsstandards
Umsetzung der Anforderungen des Cyber Resilience Act (Frist bis 2027) für digitale Produkte wie Apps, SaaS und andere digitale Dienste
(siehe Abschnitt Cyber Resilience)
Digitale Dienste Gesetz
Beratung zum Online-Telekommunikationsrecht und zum Gesetz über digitale Dienste
Digitalisierung
Unterstützung bei der Identifikation von Digitalisierungsprotenzial,
Rechtliche Begleitung von Digitalisierungsprozessen, bspw. Vorbereitung auf die E-Rechnung, Digitalisierung von HR-Prozessen u.a. Implementierung entsprechender Workflows, Beratung zur Auswahl von Softwareprodukten und externen Dienstleistern im Rahmen von Digitalisierungsprozessen
Schulungen und Sensibilisierung
Trainings von Entwicklern, IT-Abteilungen und der Geschäftsführung zu den rechtlichen Voraussetzungen des Cyber Resilience Act und anderer einschlägiger Gesetze für digitale Produkte, spezielle Managementschulung im Bereich Compliance
Operatives Geschäft
Begleitung des Tagesgeschäfts,
bspw. Beratung im Rahmen von Vertragsvehandlungen mit externen Dienstleistern, Kunden, Käufern etc., Rechtliche Unterstützung des Customer Support u.a.
E-Commerce
Im Bereich E-Commerce findet eine Vielzahl von Rechtsvorschriften Anwendung. Von dem Digitale-Dienste-Gesetz über die Preisangabenverordnung, die DSGVO, AGB-Recht, Verbraucher- und Widerrufsrecht bis zu urheber- und wettbewerbsrechtlichen Aspekten muss einiges beachtet werden. Zur rechtlich sichereren Gestaltung Ihres Webshops gehören neben vollständigen und korrekten Rechtstexten ggf. auch das Design von Kündigungs-Buttons für Online-Verträge, die den Anforderungen des Gesetzes für faire Verbraucherverträge entsprechen müssen. Dazu kommen im B2C-Bereich Hinweise zur Verbraucherstreitbeilegung. Sofern Sie Waren auf den im Digital Markets Act (DMA) genannten 22 zentralen Plattformdiensten vertreiben (bspw. Amazon), kann auch der DMA mittelbar für Sie relevant werden.
Gestaltung Webshop, Informationspflichten
Bei der Gestaltung von Online-Shops sind diverse Informationspflichten zu beachten, u.a. solche der Preisangabenverordnung; während des Bestellprozesses müssen technische Mittel zur Fehlererkennung und -korrektur vor Abgabe einer Bestellung bereitgestellt werden, daneben gibt es Vorschriften zur Gestaltung von Bestell- und Kündigungsbuttons u.v.m.
Digitale Dienste Gesetz
Das Digitale Dienste Gesetz (DDG), das den europäischen Digital Services Act (DSA) in nationales Recht umsetzt, enthält rechtliche Rahmenbedingungen für digitale Dienste in Deutschland. Aus dem Gesetz ergeben sich u.a. Informationspflichten für Ihren Onlineshop sowie die Pflicht, Inhalte in Ihrem Shop zu prüfen und ggf. illegale Inhalte zu entfernen. Daneben gilt es, das Verbot sogenannter „dark patterns” zu beachten, mit dem Entscheidungen von Websitebesuchern auf unzulässige Weise beeinflusst werden sollen. Große Relevanz hat das DDG vor allem für Social-Media Plattformen u.ä., allerdings sind Sie als Anbieter von Waren im Internet auch vom DDG betroffen.
Verbraucher- und Widerrufsrecht
Sowohl im B2B- als auch insbesondere im B2C-Bereich unterliegt die Gestaltung von AGB stregen Anforderungen, daneben müssen gegenüber Verbrauchern rechtlich wirksame Widerrufsbelehrungen erfolgen; neben der Beratung zum Gesetz für faire Verbraucherverträge (Vertragslaufzeiten, Kündigungen u.vm.) und der Erstellung von Hinweisen zur Verbraucherstreitbeilegung prüfe ich für Sie alle verbraucherrechtlich relevanten Fragen in Zusammenhang mit Ihrem Online-Handel.
Datenschutz
Die DSGVO ist in Ihrem Webshop überall dort relevant, wo Sie personenbezogene Daten verarbeiten. Sofern Sie Anbieter wie Shopify für das Hosting und die Verwaltung Ihres Shops nutzen, ist zum einen ein entsprechender Vertrag mit Shopify abzuschließen (sog. Auftragsverarbeitungsvertrag). Zum anderen muss der Dienst auf entsprechend datenschutzfreundliche Art und Weise genutzt werden (z.B. möglichst datensparsame Standardeinstellungen für Shopbesucher). Zu einem DSGVO-konformen Webshop gehören u.a. auch eine vollständige Datenschutzerklärung sowie ein E-Mail-Marketing, das die datenschutzrechtlichen und wettbewerbsrechtlichen Anforderungen erfüllt.
Urheberrecht, Markenrecht, Wettbewerbsrecht
Bei Verwendung fremden geistigen Eigentums sind entsprechende Urheber- und Markenrechte zu beachten; Abmahngefahr durch Mitbewerber und konkurrierende Unternehmen besteht insbesondere bei Verstößen gegen Verbraucher- und Widerrufsvorschriften, ggf. auch bei Datenschutzverstößen und vor allem bei unzulässigen Werbemaßnahmen (E-Mail-Marketing ohne Einwilligung). Ich prüfe alle relevanten Bereiche im Hinblick auf urheberrechtliche, markenrechtliche und wettbewerbsrechtliche Aspekte.
Digital Markets Act
Sofern Sie Waren auf den im Digital Markets Act (DMA) genannten 22 zentralen Plattformdiensten vertreiben (bspw. Amazon), kann auch der DMA zumindest mittelbar für Sie relevant werden. Der DMA normiert eine Reihe von Verhaltenspflichten für sogenannte Gatekeeper (Meta, Apple, Amazon u.a.) gegenüber gewerblichen Nutzern. Darunter z.B. die Pflicht, direkte Kommunikationskanäle zwischen Endnutzern und Händlern einzurichten. Bei Verstößen gegen Pflichten des DMA durch die Gatekeeper stehen Ihnen als Händler ggf. gewisse Ansprüche aus § 823 Abs. 1 und 2 BGB oder dem UWG zu.
Künstliche Intelligenz (AI Act)
Der europäische AI Act regelt u.a. die Entwicklung und Nutzung künstlicher Intelligenz.
KI-Screening, Erstellung von KI-Richtlinien für Ihre Beschäftigten, Risk Assessments, Konformitätsprüfungen, Informations- und Aufklärungspflichten, Kennzeichnungspflichten bei Deepfakes, regelmäßige KI-Kompetenztrainings u.v.m. - KI-Compliance hat viele Facetten.
Ich unterstütze Sie je nach Bedarf bei der Umsetzung des EU AI Act in Ihrem Unternehmen.
KI-Screening
Beim KI-Screening werden alle KI-Systeme und -anwendungen erfasst, die in Ihrem Unternehmen genutzt werden oder in Zukunft genutzt werden sollen. Hierbei muss zwischen bloßer Datenanalyse und künstlicher Intelligenz unterschieden werden. Im Anschluss ermitteln wir Ihre Rolle im Sinne des AI Act. Das Gesetz unterscheidet im Pflichtenkatalog zwischen Anbietern und Anwendern. Es wirkt sich also auf Ihre KI-Compliance aus, wenn Sie selbst KI-Tools (weiter-)entwickeln, anstatt sie nur anzuwenden.
.
Konformitätsprüfung
Die sich ggf. an das Risk Assessment anschließende Konformitätsprüfung von Hoch-Risiko-KI muss den Anforderungen des AI Act standhalten. Hierbei werden u.a. Aspekte der Genauigkeit, Robustheit und Cybersicherheit bewertet.
Bei der Konformitätsprüfung sollten einschlägige Normen der ISO (International Organization for Standardization) und der IEC (International Electrotechnical Commission) berücksichtigt werden.
KI-Richtlinien
Nach abgeschlossenem Screening wird die Erstellung einer unternehmensinternen KI-Richtlinie zum Einsatz und Umgang mit KI empfohlen. Ziel der Richtlinie kann die Etablierung einer Governance und/oder die Einführung bestimmter Standards und Strategien für den Einsatz von KI-Systemen im Unternehmen sein. Die Richtlinie soll den Gebrauch verbotener Tools durch Mitarbeitende ausdrücklich auszuschließen und bzgl. der erlaubten Tools den genauen Nutzungsumfang regeln. Außerdem können Sie in der Richtlinie bereits Rahmenbedingungen für das Kompetenztraining festlegen (s.u.)
Information, Kennzeichnung und Deepfakes
Bei durch KI erzeugte Bild-, Ton- und Videoinhalten kann unter Umständen eine zusätzliche Kennzeichnungspflicht greifen. Allerdings nur dann, wenn es sich um eine Art Deepfake handelt, also wenn bspw. anhand von Fotos Videos von Personen generiert werden. Mithilfe von KI generierte oder manipulierte Texte müssen nur dann gekennzeichnet werden, wenn diese veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren.
Risk Assessment
Vergleichbar mit der DSGVO liegt dem EU AI Act ebenfalls ein risikobasierter Ansatz zugrunde. Der Pflichtenkatalog wird entsprechend der Risikostufe ausgeweitet. Neben gänzlich verbotenen KI-Praktiken gibt es drei verschiedene Risikoklassen. Im Wege eines Risk Assessments werden zunächst sämtliche im Screening ermittelten KI-Tools, die in Ihrem Unternehmen genutzt werden, in diese Klassen eingeteilt: 1) KI-Systeme mit minimalem Risiko, 2) KI-Systeme mit geringem Risiko und 3) Hochrisiko-KI.
Kompetenztraining
Bereits seit Februar 2025 gilt für jedes Unternehmen, in dem KI-Tools zum Einsatz kommen, die Pflicht zum sogenannten KI-Kompetenztraining. Unter KI-Kompetenz versteht man Fähigkeiten, (…) KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden, die sie verursachen kann, bewusst zu werden. Ziel ist es, alle Mitarbeiter:innen KI-kompetent zu machen, sofern sie mit KI in Berührung kommen. Bei der Kompetenzvermittlung geht es nicht nur um die Vermittlung rechtlicher Grundkentnnisse und technischer Fähigkeiten (Prompt Engineering, Machine Learning), sondern auch um die Sensibilisierung für das Gefahrenpotenzial von KI.
Datenrecht (Internet of Things)
Der EU Data Act gilt uneingeschränkt ab dem 12.09.2025 und betrifft insbesondere Hersteller vernetzter Produkte. Gemeint sind hiermit IoT-Geräte (Internet of Things), also bspw. vernetzte und an eine Cloud angebundene Fahrezuge, Smarthomegeräte und andere Gegenstände, die während ihrer Nutzung Daten generieren und diese über einen elektronischen Kommunikationsdienst, eine physische Verbindung oder einen geräteinternen Zugang bspw. an eine Cloud übermitteln. Daneben sind auch reine Clouddienste vom Anwendungsbereich des Data Act umfasst.
Pflichten des Dateninhabers
Cloud-Switching
Informationspflichten
Datenschutz
Vertragsgestaltung und Datennutzungsrechte
Geschäftsgeheimnisschutz
Produktsicherheit (Cyber Resilience Act)
Der bereits im Dezember 2024 in Kraft getretene Cyber Resilience Act führt erhöhte Sicherheitsstandards für digitale Produkte ein und betrifft den gesamten Lebenszyklus des Produkts von der Entwicklung über die Produktion bis zum Vertrieb und Endkundenkontakt. Bis Dezember 2027 müssen sämtliche Vorgaben umgesetzt werden. Betroffen sind alle Produkte mit digitalen Elementen, also neben Hardwaregeräten mit vernetzten Funktionen wie Laptops oder Smarthomeprodukten auch reine Softwareprodukte und Apps.
Betroffenheits- und Kritikalitätsprüfung
Kontrolle der Lieferkette
Schwachstellenanalyse und Identifizierung von Sicherheitslücken
Meldepflichten
Konformitätsbewertung
Security by Design
IT-Sicherheit (NIS2, KRITIS)
Bereits 2022 wurde die EU-Richtlinie zur Stärkung der Cybersicherheit, die sogenannte Network-and-Information-Security-Richtlinie 2.0 (NIS2), verabschiedet. Diese soll kritische Infrastrukturen besser vor IT-Störungen und Cyberangriffen schützen. In Deutschland sind insbesondere das KRITIS-Dachgesetz und das die Richtlinie umsetzende NIS2UmsuCG zu beachten, sobald dieses in Kraft tritt. Die Regelungsbereiche KRITIS und NIS2 unterscheiden sich insofern, als dass KRITIS-Gesetze nur ganz spezifische Sektoren betreffen, wohingegen NIS2 die generelle Verbesserung des Cybersicherheitsmanagements zum Gegenstand hat.
Betroffenheitsprüfung NIS2 und KRITIS
Melde- und Registerpflichten
GAP-Analyse und NIS2 Security Mapping
Schulungen der Geschäftsführung
Pflichtenkatalog
Rechtliche Begleitung des Information Security Officers oder IT-Sicherheitsbeauftragten in der Implementierungsphase