Datenschutz und Compliance für den Mittelstand
Mittelständische Unternehmen haben dieselben Pflichten wie Konzerne — aber keine eigene Rechtsabteilung, die sie erfüllt. Ich übernehme diesen Teil: als externer Datenschutzbeauftragter, im DSGVO-Audit und beim Aufbau einer Compliance-Struktur, die zu 30, 80 oder 300 Beschäftigten passt und nicht zu 30.000.
Konzernpflichten ohne Konzernapparat
Das Datenschutz- und Compliance-Recht unterscheidet kaum nach Unternehmensgröße. Die DSGVO gilt für den Handwerksbetrieb mit 25 Beschäftigten genauso wie für den DAX-Konzern, und die Bußgeldrahmen des Art. 83 DSGVO knüpfen am Umsatz an, nicht an einer Mindestgröße. Was fehlt, ist auf der anderen Seite der Apparat: keine eigene Rechtsabteilung, kein Compliance-Officer in Vollzeit, oft ein IT-Leiter, der Datenschutz „mitmacht".
Genau in dieser Lücke arbeite ich. Guido Aßhoff, LL.M., Fachanwalt für IT-Recht und Fachanwalt für gewerblichen Rechtsschutz, berät mittelständische Unternehmen mit rund 20 bis 500 Beschäftigten zu DSGVO-Compliance, IT-Sicherheitsrecht und Compliance-Organisation — von der Kanzlei in Frechen bei Köln aus, bundesweit und branchenübergreifend. Der Anspruch ist nicht das theoretisch maximale Datenschutzniveau, sondern eine Struktur, die im Alltag tatsächlich gelebt wird und im Ernstfall nachweisbar ist.
Die vier Pflichten, die im Mittelstand am häufigsten offen sind
Erstens der Datenschutzbeauftragte. Nach § 38 Abs. 1 BDSG ist er zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Weil praktisch jeder Bildschirmarbeitsplatz darunter fällt, ist die Schwelle oft längst erreicht, bevor sie geprüft wurde.
Zweitens die Dokumentation. Verarbeitungsverzeichnis, Löschkonzept, technische und organisatorische Maßnahmen, Auftragsverarbeitungsverträge mit jedem Dienstleister: Die Rechenschaftspflicht des Art. 5 Abs. 2 DSGVO verlangt Nachweise, und die Aufsichtsbehörden fragen genau diese Unterlagen zuerst ab. Die Erleichterung des Art. 30 Abs. 5 DSGVO für Unternehmen unter 250 Beschäftigten greift enger, als ihr Ruf vermuten lässt — bei regelmäßiger Verarbeitung entfällt sie faktisch.
Drittens der Hinweisgeberschutz. Ab 50 Beschäftigten verlangt das Hinweisgeberschutzgesetz eine interne Meldestelle mit sicheren Kanälen und dokumentierten Fristen.
Viertens die neue Regulatorik. NIS-2 und die europäische KI-Verordnung erfassen mittelständische Unternehmen unmittelbar — bei NIS-2 über Sektor und Größenkriterien, beim AI Act über die Rolle als Betreiber eines KI-Systems. Beides trifft häufig Unternehmen, die sich selbst nicht als „reguliert" verstehen.
Was Auftraggeber und Versicherer verlangen
Der wirtschaftliche Druck kommt im Mittelstand meist nicht von der Aufsichtsbehörde, sondern aus der Lieferkette. Konzernkunden verschicken Datenschutz- und Sicherheitsfragebögen, verlangen Auftragsverarbeitungsverträge, Nachweise zu Subunternehmern und Angaben zur Datenübermittlung in Drittländer. Cyberversicherer prüfen vor Vertragsschluss den Stand der technischen und organisatorischen Maßnahmen. Wer hier nicht liefern kann, verliert Aufträge und Deckung — lange bevor überhaupt ein Bußgeldverfahren im Raum steht.
Datenschutz- und Compliance-Leistungen für mittelständische Unternehmen
Einzeln buchbar oder als laufende Betreuung — mit festem Ansprechpartner und ohne Wechsel des Bearbeiters.
- Externer Datenschutzbeauftragter — Benennung, laufende Betreuung, Ansprechpartner für Aufsichtsbehörde und Betroffene
- DSGVO-Erstanalyse & Datenschutz-Audit — Bestandsaufnahme mit priorisiertem Maßnahmenplan zum Festpreis
- Verarbeitungsverzeichnis & Löschkonzept — dokumentiert und auf Systemebene umsetzbar, nicht nur auf dem Papier
- Auftragsverarbeitung & Dienstleisterprüfung — AVV, Drittlandtransfers, Cloud- und SaaS-Einsatz
- Schulungen für Beschäftigte und Führungskräfte — verständlich, praxisnah und dokumentiert als Nachweis
- Externe HinSchG-Meldestelle — unabhängige Bearbeitung von Hinweisen mit anwaltlicher Erstbewertung
- Kundenfragebögen & Ausschreibungen — Beantwortung von Datenschutz- und Sicherheitsanforderungen Ihrer Auftraggeber
- Notfallbegleitung — Datenpanne, Cyberangriff, Behördenpost: Meldefristen und Kommunikation im Griff
- KI-Compliance & AI-Literacy — Einsatz von KI-Tools rechtlich einordnen, Pflichten als Betreiber erfüllen
- NIS-2-Betroffenheitsprüfung — klare Antwort auf die Frage, ob und wie Ihr Unternehmen erfasst ist
In vier Schritten zur belastbaren Struktur
1. Erstgespräch (30 Minuten, kostenfrei)
Wir klären, wo Sie stehen, welche Pflichten greifen und was vordringlich ist. Sie erhalten eine Einschätzung zu Aufwand und Kosten, bevor ein Mandat entsteht.
2. Erstanalyse zum Festpreis
Bestandsaufnahme der Verarbeitungen, IT-Systeme, Verträge und Dokumentation. Ergebnis ist ein Bericht mit Ampelbewertung und einem Maßnahmenplan, der nach Risiko und Aufwand priorisiert ist — keine 80-seitige Mängelliste ohne Reihenfolge.
3. Umsetzung mit Ihren Leuten
Die Maßnahmen werden gemeinsam mit IT, Personal und Geschäftsführung umgesetzt. Vorlagen, Verträge und Richtlinien stelle ich bereit und passe sie an Ihre Prozesse an, statt Muster über Ihr Unternehmen zu legen.
4. Laufende Betreuung
Als externer Datenschutzbeauftragter oder im festen Beratungsrahmen: Ansprechpartner für Anfragen von Betroffenen und Kunden, Aktualisierung der Dokumentation, Schulungen, Reaktion auf neue Rechtsprechung und Regulierung.
Produzierendes Unternehmen mit 120 Beschäftigten: Kundenaudit bestanden
Ein mittelständischer Zulieferer sollte innerhalb weniger Wochen den Datenschutz- und Sicherheitsfragebogen eines Großkunden beantworten — Voraussetzung für die Verlängerung eines Rahmenvertrags. Vorhanden waren eine veraltete Datenschutzerklärung und einzelne Auftragsverarbeitungsverträge, kein Verzeichnis, kein Löschkonzept, keine dokumentierten Schulungen. In einer priorisierten Erstanalyse haben wir die Verarbeitungen erfasst, die Verträge mit IT-Dienstleistern und Cloud-Anbietern nachgezogen, ein umsetzbares Löschkonzept auf Systemebene entwickelt und die Belegschaft geschult. Der Fragebogen wurde fristgerecht und belegbar beantwortet, der Rahmenvertrag verlängert. Die Betreuung läuft seither als externes Datenschutzmandat weiter — mit dem Nebeneffekt, dass Folgeanfragen anderer Kunden in Tagen statt Wochen beantwortet werden.
Vertiefung nach Rechtsgebiet
Je nach Ausgangslage geht die Beratung im Mittelstand in eines der Spezialgebiete über. Zum Einstieg:
- Datenschutzrecht und DSGVO-Compliance — Verarbeitungsverzeichnis, Betroffenenrechte, Datenpannen und internationale Meldepflichten
- Compliance-Beratung und Behördenvertretung — Compliance-Management-System, interne Untersuchungen, Bußgeldverfahren
- Cybersecurity-Recht, NIS-2 und TISAX — IT-Sicherheitspflichten, Meldewege, Zertifizierung
- KI-Recht und Datenregulatorik — AI Act, Data Act, KI-Verträge und AI-Literacy-Schulungen
- IP- und Markenrecht — Markenanmeldung, Abmahnungen, Schutz der eigenen Kennzeichen
- Recht für Coaches und Online-Berater — für Anbieter digitaler Weiterbildungs- und Beratungsangebote
Kanzlei in Frechen bei Köln, bundesweite Beratung
Die Kanzlei sitzt in Frechen unmittelbar westlich von Köln und ist aus dem Kölner Zentrum in rund 20 Minuten erreichbar. Betreut werden mittelständische Unternehmen im Rheinland — Köln, Bonn, Düsseldorf, Leverkusen, Bergisch Gladbach, der Rhein-Erft-Kreis — und darüber hinaus bundesweit. Termine finden vor Ort, in Ihrem Unternehmen oder per Videokonferenz statt.
FAQ: Datenschutz und Compliance im Mittelstand
Pflichten, Kosten und Aufwand — die Fragen, die im Erstgespräch am häufigsten gestellt werden.
Nach § 38 Abs. 1 BDSG ist ein Datenschutzbeauftragter zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von dieser Zahl besteht die Pflicht, wenn eine Datenschutz-Folgenabschätzung erforderlich ist oder Daten geschäftsmäßig zum Zweck der Übermittlung oder der Markt- und Meinungsforschung verarbeitet werden. Da praktisch jeder Bildschirmarbeitsplatz automatisierte Verarbeitung bedeutet, ist die Schwelle im Mittelstand meist früher erreicht als angenommen.
Die Betreuung wird in der Regel als monatliche Pauschale mit festem Leistungsumfang vereinbart. Maßgeblich sind Beschäftigtenzahl, Anzahl und Sensibilität der Verarbeitungen, Zahl der eingesetzten IT-Dienstleister und der gewünschte Betreuungsumfang. Einmalige Projekte wie eine DSGVO-Erstanalyse oder ein Audit erhalten Sie zum Festpreis, damit das Budget vorab feststeht. Im kostenfreien Erstgespräch nenne ich eine konkrete Größenordnung, bevor Kosten entstehen.
Für ein mittelständisches Unternehmen mit einem Standort ist die Erstanalyse üblicherweise in vier bis acht Wochen abgeschlossen: Bestandsaufnahme der Verarbeitungen und IT-Systeme, Interviews mit den Fachbereichen, Prüfung von Verträgen und Dokumentation, priorisierter Maßnahmenplan. Der begrenzende Faktor ist selten die Unternehmensgröße, sondern die Verfügbarkeit der Auskunftspersonen in IT, Personal und Vertrieb.
Das Hinweisgeberschutzgesetz verpflichtet Unternehmen ab 50 Beschäftigten zu einer internen Meldestelle mit sicheren Kanälen und dokumentierten Fristen; in einzelnen Branchen wie dem Finanzsektor gilt die Pflicht unabhängig von der Beschäftigtenzahl. Die Meldestelle darf an eine Kanzlei ausgelagert werden — für mittelständische Unternehmen häufig die praktikablere Lösung, weil Unabhängigkeit und Vertraulichkeit gewahrt bleiben und keine eigenen Strukturen entstehen müssen.
Ja. Erstens knüpfen die Bußgeldrahmen des Art. 83 DSGVO am Jahresumsatz an und kennen keine Mindestgröße des Unternehmens. Zweitens verlangen Konzernkunden, Auftraggeber und Cyberversicherer regelmäßig Nachweise zu Datenschutz und IT-Sicherheit, bevor sie einen Vertrag schließen oder verlängern. Fehlende Dokumentation kostet mittelständische Unternehmen daher in der Praxis zuerst Aufträge und Versicherungsschutz — Bußgelder kommen, wenn überhaupt, später.
Ja. Die KI-Verordnung knüpft nicht an die Unternehmensgröße an, sondern an Rolle und Risiko des Systems. Wer KI-Anwendungen betreibt, trifft Betreiberpflichten, unter anderem zur ausreichenden KI-Kompetenz der damit befassten Personen. Im Mittelstand sind vor allem KI-gestützte Bewerbungsvorauswahl, Scoring, Kundenkommunikation und Assistenzsysteme relevant, weil dort Datenschutzrecht und KI-Regulierung zusammentreffen. Details auf der Seite zum KI-Recht und zur Datenregulatorik.
Compliance im Maßstab Ihres Unternehmens.
30 Minuten Erstgespräch, kostenfrei und ohne Verpflichtung. Danach wissen Sie, welche Pflichten greifen und was es kostet.