Anwalt für Datenschutz und IT-Recht in Aachen
Aachen ist Technologiestandort und Grenzstadt zugleich: RWTH-Spin-offs, Forschungskooperationen und Unternehmen, deren Datenflüsse selbstverständlich über die Grenze nach Belgien und in die Niederlande reichen. Beides erzeugt eigene datenschutzrechtliche Fragen. Ich beantworte sie als Fachanwalt für IT-Recht — für Aachen, die Städteregion und die Euregio Maas-Rhein.
Forschungsdaten und Grenzverkehr: zwei Themen, die zusammenfallen
Aachen hat eine Wirtschaftsstruktur, die datenschutzrechtlich zwei Besonderheiten erzeugt. Die erste ist der hohe Anteil an forschungsnahen Unternehmen: Spin-offs, Ingenieurbüros und Technologiefirmen, die aus oder mit Hochschul- und Institutsprojekten arbeiten. Die zweite ist die Lage im Dreiländereck. Für viele Unternehmen in der Euregio Maas-Rhein ist es selbstverständlich, Standorte, Rechenzentren, Dienstleister und Beschäftigte in Belgien und den Niederlanden zu haben — mit der Folge, dass praktisch jede Verarbeitung grenzüberschreitend ist.
Guido Aßhoff, LL.M., ist Fachanwalt für IT-Recht und Fachanwalt für gewerblichen Rechtsschutz und berät Unternehmen, Startups und Forschungseinrichtungen in Aachen und der Städteregion zu Datenschutz, IT-Vertragsrecht, KI-Regulierung und gewerblichem Rechtsschutz. Die Kanzlei hat ihren Sitz in Frechen bei Köln; über die A4 ist Aachen in etwa einer Stunde erreichbar.
Zuständigkeit in der Euregio: kein Drittland, aber eine Zuständigkeitsfrage
Datenflüsse nach Belgien und in die Niederlande sind kein Drittlandstransfer — Art. 44 ff. DSGVO greifen nicht. Was greift, ist die Zuständigkeitsordnung. Nach Art. 56 DSGVO ist bei grenzüberschreitender Verarbeitung die Aufsichtsbehörde der Hauptniederlassung federführend, die übrigen betroffenen Behörden werden über das Kohärenzverfahren nach Art. 60 DSGVO beteiligt. Entscheidend ist damit, wo über Zwecke und Mittel der Verarbeitung tatsächlich entschieden wird. Für ein Unternehmen mit Sitz in Aachen und Produktion in Belgien ist das eine Frage, die sich klären lässt — aber vorher geklärt werden sollte, nicht im Beschwerdeverfahren.
Für in Nordrhein-Westfalen ansässige Unternehmen ohne solche Konstellation bleibt die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW in der Kavalleriestraße 2-4 in 40213 Düsseldorf zuständig (ldi.nrw.de).
Der Gerichtsstand Aachen
Erstinstanzlich entscheiden das Amtsgericht oder das Landgericht Aachen; der Landgerichtsbezirk Aachen umfasst rund 1,06 Millionen Einwohner und gehört zum Bezirk des Oberlandesgerichts Köln (olg-koeln.nrw.de). Für den gewerblichen Rechtsschutz gilt eine wichtige Sonderzuweisung: Kennzeichen-, Design- und Urheberrechtsstreitsachen aus dem OLG-Bezirk Köln sind dem Landgericht Köln zugewiesen, Unionsmarken-, Patent-, Gebrauchsmuster- und Sortenschutzsachen landesweit dem Landgericht Düsseldorf (JuZuVO NRW). Für ein Aachener Technologieunternehmen mit Patenten und Marken heißt das: Der Prozess findet nicht in Aachen statt.
Schwerpunkte für den Standort Aachen
Datenschutz in Forschungs- und Kooperationsprojekten
Der teuerste Fehler in Kooperationsprojekten wird am Anfang gemacht: Die Rollen bleiben offen. Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO, getrennte Verantwortlichkeit und Auftragsverarbeitung nach Art. 28 DSGVO führen zu völlig unterschiedlichen Pflichten, Informationspflichten und Haftungsfolgen. Dazu kommen Zweckbindung, Sekundärnutzung, Anonymisierungs- und Pseudonymisierungskonzepte und die Frage, wer Betroffenenrechte bedient. Ich bringe diese Punkte in die Kooperationsvereinbarung, bevor die ersten Daten fließen.
DSGVO für Tech-Startups und Spin-offs
Für ein junges Technologieunternehmen ist Datenschutz weniger ein Bußgeldrisiko als ein Vertriebsthema: Der erste größere Kunde schickt einen Sicherheits- und Datenschutzfragebogen, und dessen Beantwortung entscheidet über den Abschluss. Sinnvoll ist deshalb, die Grundlagen früh und schlank aufzubauen — Verarbeitungsverzeichnis, Rechtsgrundlagen, Auftragsverarbeitungsverträge, Löschkonzept auf Systemebene und ein belastbarer Prozess für Betroffenenanfragen. Dass ein Löschkonzept nur zählt, wenn es tatsächlich ausgeführt wird, beschreibt die Analyse zu Altdaten und Löschkonzepten.
KI-Produkte und AI Act
Wer ein KI-System entwickelt und unter eigenem Namen anbietet, ist Anbieter im Sinne des Art. 25 AI Act und trägt die weitergehenden Pflichten; wer ein fremdes System einsetzt, ist Betreiber nach Art. 26 AI Act. Diese Rollenklärung entscheidet über den gesamten Pflichtenumfang und muss auch vertraglich abgebildet werden. Warum klassische SaaS- und Lizenzmuster dafür nicht taugen, erläutert die Analyse zu KI-Verträgen und KIaaS. Für Unternehmen, die eigene Modelle trainieren, ist zusätzlich die Frage der Trainingsdaten zentral — sowohl datenschutzrechtlich nach den EDPB-Guidelines 03/2026 als auch urheberrechtlich nach dem Urteil des LG München I in GEMA gegen SUNO, das die Memorisierung von Trainingsdaten als Vervielfältigung einordnet. Mehr unter KI-Recht & Datenregulatorik.
Marken, Designs und Wettbewerb
Technologieunternehmen unterschätzen regelmäßig, wie früh Kennzeichenrechte relevant werden — spätestens beim Rebranding vor der ersten Finanzierungsrunde. Als Fachanwalt für gewerblichen Rechtsschutz übernehme ich Recherche, Anmeldung und Durchsetzung von Marken und Designs sowie die Abwehr von Abmahnungen. Details unter IP & Markenrecht und auf der Seite zum Marken- und Wettbewerbsrecht mit Gerichtsstand Düsseldorf.
Externer Datenschutzbeauftragter und Audit
Die Benennungspflicht nach § 38 Abs. 1 BDSG greift bei in der Regel mindestens 20 Personen, die ständig mit automatisierter Verarbeitung befasst sind — bei forschungsnahen Unternehmen häufig zusätzlich über die Pflicht zur Datenschutz-Folgenabschätzung. Als externer Datenschutzbeauftragter übernehme ich die Funktion vollständig; weitere Informationen unter Datenschutz & DSGVO.
Vom Spin-off bis zum Zulieferer
Die Aachener Mandatsstruktur ist stark technologiegetrieben: Software- und Hardwareentwicklung, Medizintechnik, Mobilität, Energie und Produktionstechnik, dazu ein klassischer industrieller Mittelstand in der Städteregion und im Kreis Heinsberg. Aus diesem Umfeld kommen drei Fragetypen besonders häufig.
Erstens Datenzugang und Datenteilung: Wer darf welche Maschinen- und Nutzungsdaten verwenden, und was ändert der europäische Rechtsrahmen daran? Dass das Datenrecht inzwischen über mehr als 30 Rechtsakte verteilt ist und an einer Fragmentierung leidet, die selbst Fachleuten Mühe macht, hat ein Gutachten für den Nationalen Normenkontrollrat systematisch belegt — nachzulesen in der zweiteiligen Auswertung zu Strukturierung des Rechtsrahmens und zu nationalen Handlungsspielräumen.
Zweitens IT- und Entwicklungsverträge: Wer haftet für Fehler in einem System, das aus mehreren zugelieferten Komponenten und einem Fremdmodell besteht? Ohne Leistungsbeschreibung gibt es keinen messbaren Fehler und damit keinen durchsetzbaren Anspruch. Drittens Beschäftigtendatenschutz in grenzüberschreitenden Strukturen, insbesondere bei Beschäftigten mit Wohnsitz in Belgien oder den Niederlanden.
Für den laufenden Überblick über neue Entscheidungen biete ich ein monatliches IT-Recht-Update an — 60 Minuten, nach § 15 FAO anrechenbar und geeignet, die Fortbildungsanforderung aus Art. 39 DSGVO nachweisbar zu erfüllen.
FAQ: Datenschutz und IT-Recht in Aachen
Was Unternehmen, Startups und Forschungseinrichtungen aus Aachen am häufigsten fragen.
Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen mit Sitz in der Kavalleriestraße 2-4 in 40213 Düsseldorf. Sie ist für alle nicht-öffentlichen Stellen mit Sitz in NRW zuständig, also auch für Unternehmen in Aachen und der Städteregion. Bei grenzüberschreitenden Verarbeitungen mit Hauptniederlassung in Belgien oder den Niederlanden kann über das Kohärenzverfahren nach Art. 60 DSGVO eine andere Behörde federführend sein.
Innerhalb der EU besteht kein Drittlandsproblem, wohl aber eine Zuständigkeitsfrage. Nach Art. 56 DSGVO ist die Aufsichtsbehörde der Hauptniederlassung federführend; die übrigen betroffenen Behörden werden über das Verfahren nach Art. 60 DSGVO beteiligt. Für Unternehmen in der Euregio ist deshalb entscheidend, wo die Entscheidungen über Zwecke und Mittel der Verarbeitung tatsächlich getroffen werden — nicht, wo der größte Standort liegt.
Der entscheidende Schritt liegt am Anfang: die Rollen zu klären. Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO, getrennte Verantwortlichkeit oder Auftragsverarbeitung nach Art. 28 DSGVO führen zu völlig unterschiedlichen Pflichten und Haftungsfolgen. Hinzu kommen Zweckbindung, Sekundärnutzung von Forschungsdaten, Anonymisierungs- und Pseudonymisierungskonzepte sowie die Frage, wer die Betroffenenrechte bedient. Diese Punkte gehören in die Kooperationsvereinbarung, nicht in einen Anhang.
Erstinstanzlich das Amtsgericht Aachen oder das Landgericht Aachen, je nach Streitwert; der Landgerichtsbezirk Aachen umfasst rund 1,06 Millionen Einwohner. Berufungsinstanz ist das Oberlandesgericht Köln. Für Kennzeichen-, Design- und Urheberrechtsstreitsachen aus dem Aachener Bezirk ist ausschließlich das Landgericht Köln zuständig, für Unionsmarken-, Patent- und Gebrauchsmusterstreitsachen das Landgericht Düsseldorf.
Die KI-Verordnung knüpft nicht an die Unternehmensgröße an, sondern an Rolle und Risiko. Entscheidend ist zunächst, ob Sie Anbieter oder Betreiber sind: Wer ein KI-System unter eigenem Namen oder eigener Marke in Verkehr bringt, gilt nach Art. 25 AI Act als Anbieter mit den weitergehenden Pflichten. Danach folgt die Risikoeinordnung. Für Spin-offs ist die Rollenklärung meist wichtiger als die Risikoklasse, weil sie über den gesamten Pflichtenumfang entscheidet.
Ja. Die laufende Datenschutz- und IT-Rechtsberatung erfolgt überwiegend per Video, Telefon und über einen geschützten Dokumentenaustausch. Für Audits, Schulungen und Verhandlungen komme ich nach Aachen; über die A4 sind es rund eine Stunde. Die Kanzlei hat ihren Sitz in Frechen bei Köln.
So erreichen Sie mich aus Aachen
Die Kanzlei hat ihren Sitz in der Augustinusstraße 11 d, 50226 Frechen — unmittelbar westlich von Köln und damit verkehrsgünstig für das gesamte Rheinland. Nach Aachen sind es über die A4 rund eine Stunde. Für Audits, Schulungen und Verhandlungen in Aachen und der Städteregion komme ich zu Ihnen.
Für die laufende Beratung ist der Weg ohnehin meist die Ausnahme: Datenschutz- und IT-Rechtsmandate lassen sich weitgehend per Video, Telefon und über einen geschützten Dokumentenaustausch führen. Vor Ort sinnvoll sind Audits, Schulungen, Betriebsbesichtigungen und Verhandlungen — dafür komme ich zu Ihnen.
- Telefon: +49 2234 68 01 630
- E-Mail: ga@asshoff.legal
- Termin: Erstgespräch online buchen