Antworten zu Pflicht, Ablauf, Kosten, Vertrag und NIS-2. Fachliche Fragen zu einzelnen Leistungen stehen jeweils direkt auf der passenden Leistungsseite.
Unternehmen mit mindestens 20 Personen, die ständig mit automatisierter Datenverarbeitung befasst sind (§ 38 BDSG), sowie unabhängig von der Größe alle, die besondere Datenkategorien nach Art. 9 DSGVO verarbeiten – etwa Gesundheitsdaten. Auch umfangreiche Überwachung oder geschäftsmäßige Profilbildung lösen die Pflicht aus.
Ja. Gezählt werden Köpfe, nicht Vollzeitäquivalente. Wer regelmäßig am Rechner mit personenbezogenen Daten arbeitet, zählt mit – auch die Geschäftsführung.
Das hängt von Sektor, Tätigkeit, Mitarbeiterzahl und Umsatz ab. Grundsätzlich greift NIS-2 ab 50 Beschäftigten oder 10 Mio. Euro Umsatz innerhalb der erfassten Sektoren, mit Ausnahmen in beide Richtungen. Die NIS-2-Erstbewertung klärt das belastbar und schriftlich.
Das ist der häufigste Fall im Mittelstand: Auftraggeber aus betroffenen Sektoren geben ihre Sicherheitsanforderungen vertraglich weiter. Dann müssen Sie liefern können, auch ohne eigene gesetzliche Pflicht.
Nach dem Erstgespräch oft am selben Tag: Bestellungsvertrag unterzeichnen, Meldung an die Aufsichtsbehörde, Beschäftigte informieren. Die Erstdokumentation braucht anschließend vier bis acht Wochen.
Für die Erstaufnahme rechnen Sie mit zwei bis drei Terminen à zwei Stunden. Im laufenden Betrieb sind es erfahrungsgemäß eine bis zwei Stunden pro Monat für eine benannte Kontaktperson.
Ja, für Erstaufnahme, internes Audit und Präsenzschulungen – in Viersen, Mönchengladbach, Krefeld, Erkelenz und Düsseldorf ohne Fahrtkostenaufschlag. Die laufende Betreuung läuft remote, weil das für beide Seiten schneller ist.
Auf normale Anfragen innerhalb von 24 Stunden an Werktagen. Bei Datenpannen gilt eine Erreichbarkeit von 24 Stunden auch am Wochenende, weil die 72-Stunden-Frist nach Art. 33 DSGVO nicht auf Werktage abstellt.
Als monatliche All-inclusive-Pauschale für den vereinbarten Leistungsumfang. Keine Stundensätze, keine Nachverhandlung bei einzelnen Anfragen. Initialkosten für Bestellung, Erstdokumentation und – falls beauftragt – NIS-2-Erstbewertung werden separat und transparent ausgewiesen.
Außerordentliche Projekte: eine vollständige Datenschutz-Folgenabschätzung für ein großes neues System, die Begleitung eines Bußgeldverfahrens, eine ISO-27001-Zertifizierung. Solche Leistungen werden vorher besprochen und einzeln beauftragt.
Ein Jahr, danach Verlängerung um jeweils ein Jahr, wenn nicht mit drei Monaten Frist gekündigt wird. Der Bestellungsvertrag selbst kann nach § 38 Abs. 2 BDSG in Verbindung mit § 626 BGB nur aus wichtigem Grund vorzeitig widerrufen werden – das ist gesetzlich so gewollt und schützt die Unabhängigkeit der Funktion.
Ja. Dem Angebot liegen bei: Nachweise zur Qualifikation, Bestätigung der Berufshaftpflichtversicherung, Referenzen aus vergleichbaren Unternehmen, ein Entwurf des Bestellungsvertrages sowie die Angaben zu Erreichbarkeit und Reaktionszeiten.
Nur soweit für die Prüfung nötig, und nie auf Inhalte, die ich nicht sehen muss. Als Datenschutzbeauftragter unterliege ich nach Art. 38 Abs. 5 DSGVO der Geheimhaltung. Bei Praxen und Kanzleien kommt die berufsrechtliche Verschwiegenheit hinzu, auf die ich mich schriftlich verpflichte.
Nein. Der Datenschutzbeauftragte ist kein Auftragsverarbeiter, sondern eine gesetzlich vorgesehene Funktion. Grundlage ist der Bestellungsvertrag, nicht ein AVV nach Art. 28 DSGVO.
Die datenschutzrechtliche Verantwortung bleibt beim Unternehmen – das lässt sich nicht abtreten. Für Fehler in meiner Beratungsleistung haftet mein Betrieb; die Deckung weist die Berufshaftpflichtversicherung aus, deren Bestätigung dem Angebot beiliegt.
Rufen Sie kurz an. Fragen kostet nichts.