Geht eine Sendung mit personenbezogenen Daten verloren, zählt das Risiko für die Betroffenen. Was Unternehmen jetzt prüfen müssen.
von Cindy Stefanet• 27.09.2026
Im Ernstfall
Eine Datenpanne kündigt sich nicht an
Ein verlorener Laptop, eine falsch adressierte E-Mail mit Kundendaten, ein erfolgreicher Phishing-Angriff auf ein Postfach: Sobald Ihr Unternehmen von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt, beginnt die Frist aus Artikel 33 DSGVO zu laufen – 72 Stunden für die Meldung an die Aufsichtsbehörde, sofern ein Risiko für die betroffenen Personen besteht. Entscheidend ist, was vorher geregelt wurde: Wer meldet intern an wen, wer bewertet das Risiko, wer spricht mit der Behörde. Wird das erst im Ernstfall geklärt, gehen genau die Stunden verloren, auf die es ankommt.
Bekannte Schwachstellen werden zum Risiko, wenn Sicherheitsinformationen nicht umgesetzt werden.
von Jonas Buchholz• 02.09.2026
Aus der Beratungspraxis
Datenschutz scheitert meistens im Alltag
Die Anforderungen der Datenschutz-Grundverordnung stehen seit 2018 fest. Was sich ständig ändert, ist alles drumherum: neue Werkzeuge, neue Dienstleister, neue Zuständigkeiten, Kolleginnen und Kollegen, die gehen und kommen. Genau dort entstehen die Lücken. Nicht im Verzeichnis der Verarbeitungstätigkeiten, sondern zwischen der Fachabteilung, die ein Tool ausprobieren möchte, und der IT, die davon erfährt, wenn es längst im Einsatz ist. In unseren Beiträgen geht es deshalb neben Paragrafen auch um Abläufe, die auch dann tragen, wenn gerade niemand an den Datenschutz denkt.
Immer mehr Unternehmen setzen KI ein. Das verlangt klare Verantwortlichkeiten und transparente Prozesse.
von Jennifer Schülzky• 27.09.2026
KI-Beratung
KI ist meistens längst im Haus, bevor jemand sie einführt
In den meisten Unternehmen beginnt der KI-Einsatz nicht mit einer Entscheidung der Geschäftsführung, sondern damit, dass einzelne Mitarbeitende anfangen: ein Chatbot für den ersten Entwurf, ein Transkriptionsdienst für die Besprechung, ein Übersetzungswerkzeug für den Vertrag. Die entscheidende Frage lautet deshalb nicht, welches Modell das beste ist, sondern welche Daten das Haus verlassen und auf welcher Rechtsgrundlage das geschieht. Wir sortieren mit Ihnen, welche Anwendungen unkritisch sind, welche eine Regelung brauchen und welche Sie besser sein lassen.
Darf ich die Anrede im Kontaktformular überhaupt noch abfragen?
Ja. Der EuGH hat die Abfrage nicht verboten, sondern die Pflicht dazu beanstandet. Wenn die Anrede für Ihren Zweck nicht erforderlich ist, machen Sie das Feld freiwillig – oder lassen Sie es weg. Wer personalisiert ansprechen möchte, kann das optional anbieten, idealerweise mit einer offenen Eingabe statt einer Auswahl zwischen zwei Optionen.
Was hat der EuGH am 9. Januar 2025 genau entschieden?
Im Verfahren C-394/23 ging es um ein französisches Bahnunternehmen, das Kundinnen und Kunden beim Online-Ticketkauf zwang, zwischen „Herr“ und „Frau“ zu wählen. Der Gerichtshof stellte klar: Für einen Beförderungsvertrag ist die Anrede grundsätzlich nicht erforderlich. Eine solche Pflichtangabe verstößt gegen den Grundsatz der Datenminimierung.
Was bedeutet Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO konkret?
Sie dürfen nur die Daten erheben, die für den konkreten Zweck notwendig sind – nicht die, die nützlich, praktisch oder historisch gewachsen sind. Der Maßstab ist der Zweck, nicht die technische Möglichkeit. Datenminimierung beginnt damit nicht bei der Löschung, sondern bereits im Formular.
Welche Pflichtfelder sollten wir jetzt prüfen?
Typische Kandidaten sind Anrede, Titel, Telefonnummer, Geburtsdatum, Postanschrift sowie Branche und Unternehmensgröße. Prüfen Sie nicht nur das Kontaktformular, sondern auch Registrierung und Kundenkonto, Bewerbungsformulare, Newsletter-Anmeldung, Support-Portale, das CRM und interne Erfassungsbögen. Faustregel: Für jedes Pflichtfeld muss sich der Zweck in einem Satz begründen lassen.
Was passiert, wenn wir die Anrede weiterhin als Pflichtfeld erheben?
Eine Erhebung ohne Erforderlichkeit ist eine Verarbeitung ohne tragfähige Grundlage. Das kann aufsichtsbehördliche Maßnahmen und Bußgelder nach sich ziehen und Betroffenen Ansprüche eröffnen. Praktisch relevanter ist meist der Aufwand: Je mehr unnötige Felder Sie führen, desto größer werden Auskunfts-, Lösch- und Dokumentationspflichten.
Wie setzen wir das um, ohne die Kundenansprache zu verschlechtern?
In drei Schritten: Erstens alle Formulare inventarisieren und je Feld den Zweck dokumentieren. Zweitens alles, was den Zwecktest nicht besteht, auf freiwillig setzen oder streichen. Drittens die Anforderung in den Standardprozess für neue Anwendungen aufnehmen, damit nicht dieselbe Altlast neu entsteht. Für die Ansprache genügt in der Regel der vollständige Name.
Kostenloses Erstgespräch
Beratungsgespräch – kostenfrei & unverbindlich
Hinterlassen Sie Ihre Kontaktdaten – wir melden uns schnellstmöglich bei Ihnen.
