Anwalt für Datenschutz und IT-Recht in Bonn
Kaum eine deutsche Stadt hat eine so hohe Dichte an Behörden mit IT-Sicherheits- und Datenschutzbezug wie Bonn: BSI, BfDI und die Bundesnetzagentur sitzen hier. Für Unternehmen in Bonn und im Rhein-Sieg-Kreis heißt das kurze Wege zu Regulierern — und höhere Erwartungen an die eigene Compliance. Ich vertrete sie als Fachanwalt für IT-Recht.
Drei Bundesbehörden, ein Erwartungsniveau
Bonn ist der wohl dichteste Standort für IT-sicherheits- und datenschutzrechtliche Regulierung in Deutschland. Das Bundesamt für Sicherheit in der Informationstechnik hat seinen Sitz hier (bsi.bund.de), ebenso die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit in der Graurheindorfer Straße 153 (bfdi.bund.de) und die Bundesnetzagentur. Für Unternehmen der Region hat das zwei Konsequenzen — eine praktische und eine, die häufig unterschätzt wird.
Die praktische: Wer als Dienstleister, Zulieferer oder Softwarehaus für den Bundesbereich arbeitet, wird an einem Maßstab gemessen, der über die DSGVO hinausgeht. Vergabeunterlagen, EVB-IT-Muster und behördliche Sicherheitsvorgaben verlangen Nachweise, die viele Unternehmen erst im Verfahren aufbauen — zu spät. Die unterschätzte: Die technischen Vorgaben des BSI, insbesondere der IT-Grundschutz, wirken faktisch als Definition dessen, was nach Art. 32 DSGVO „Stand der Technik" ist. Auch ein Unternehmen, das dem BSI-Gesetz nicht unterfällt, wird sich im Streitfall daran messen lassen müssen.
Guido Aßhoff, LL.M., ist Fachanwalt für IT-Recht und Fachanwalt für gewerblichen Rechtsschutz und berät Unternehmen in Bonn und im Rhein-Sieg-Kreis zu Datenschutz, IT-Sicherheitsrecht, NIS-2 und KI-Regulierung. Die Kanzlei hat ihren Sitz in Frechen bei Köln; Bonn liegt über die A555 in gut einer halben Stunde.
Der häufigste Fehler: die falsche Aufsichtsbehörde
Weil der BfDI in Bonn sitzt, adressieren Bonner Unternehmen Meldungen nach Art. 33 DSGVO immer wieder dorthin. Das ist in der Regel falsch. Der BfDI ist für Bundesbehörden sowie für Telekommunikations- und Postdienstleister zuständig. Für ein privatwirtschaftliches Unternehmen mit Sitz in Bonn ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen in der Kavalleriestraße 2-4 in 40213 Düsseldorf zuständig (ldi.nrw.de). Eine an die falsche Behörde gerichtete Meldung wahrt die 72-Stunden-Frist des Art. 33 DSGVO nicht zuverlässig.
Der Gerichtsstand Bonn
Erstinstanzlich entscheiden in Bonn je nach Streitwert das Amtsgericht oder das Landgericht Bonn; der Landgerichtsbezirk Bonn umfasst rund 1,14 Millionen Einwohner. Berufungsinstanz ist das Oberlandesgericht Köln (olg-koeln.nrw.de). Wichtig für gewerbliche Rechtsschutzfälle: Kennzeichen-, Design- und Urheberrechtsstreitsachen aus dem Bonner Bezirk sind nach der nordrhein-westfälischen Justizzuständigkeitsverordnung dem Landgericht Köln zugewiesen, Unionsmarken-, Patent-, Gebrauchsmuster- und Sortenschutzsachen dem Landgericht Düsseldorf (JuZuVO NRW).
Schwerpunkte für den Standort Bonn
NIS-2 und BSI-Anforderungen
Die Umsetzung der NIS-2-Richtlinie erweitert den Kreis der regulierten Einrichtungen deutlich. Betroffen sind nicht nur klassische Betreiber kritischer Infrastrukturen, sondern auch Zulieferer, IT-Dienstleister, Teile der Abfallwirtschaft, der Logistik und des Gesundheitswesens. Der erste Schritt ist immer die Betroffenheitsanalyse: Sektor, Schwellenwerte, Einordnung als besonders wichtige oder als wichtige Einrichtung. Danach folgen Risikomanagement, Meldeprozesse, Lieferkettenanforderungen und die persönliche Verantwortung der Geschäftsleitung. Mehr dazu unter Cybersecurity-Recht.
Cyber Resilience Act für Hersteller
Wer Produkte mit digitalen Elementen in Verkehr bringt — von der Industriesteuerung bis zur App —, trifft künftig Pflichten zu Security by Design, Schwachstellenmanagement und Update-Bereitstellung über den Lebenszyklus. Für Hersteller im Rhein-Sieg-Kreis mit Elektronik-, Maschinenbau- oder Softwarebezug ist das eine Produktcompliance-Aufgabe, nicht nur eine IT-Aufgabe: Sie schlägt in Konformitätserklärung, Dokumentation und Vertragsgestaltung mit Zulieferern durch.
Externer Datenschutzbeauftragter und DSGVO-Audit
Die Benennungspflicht nach § 38 Abs. 1 BDSG greift bei in der Regel mindestens 20 Personen, die ständig mit automatisierter Verarbeitung befasst sind — und unabhängig davon, wenn eine Datenschutz-Folgenabschätzung erforderlich ist. Als externer Datenschutzbeauftragter übernehme ich Verarbeitungsverzeichnis, Löschkonzept, Prüfung der Auftragsverarbeitungsverträge, Schulungen und die Kommunikation mit der LDI NRW. Details unter Datenschutz & DSGVO und Datenschutz & Compliance für den Mittelstand.
Cloud-Bewertung und Drittlandstransfer
Für Unternehmen mit Behördenbezug ist die Frage nach der Cloud besonders heikel. Eine belastbare Vorlage dafür, wie eine Bewertung aussehen kann, liefert die 142-seitige Datenschutz-Folgenabschätzung des niederländischen Justizministeriums zur Google Cloud Platform — mit einer klaren Warnung zu geopolitischen Verfügbarkeitsrisiken. Eine Auswertung finden Sie in der Besprechung der DPIA. Hinzu kommt, dass nach dem Urteil des US Supreme Court in Trump v. Slaughter eine Grundannahme des EU-US Data Privacy Framework entfallen ist. Wer Daten in die USA übermittelt, sollte sein Transfer Impact Assessment aktualisieren.
KI-Einsatz und AI Act
Die KI-Verordnung knüpft nicht an die Unternehmensgröße an, sondern an Rolle und Risiko. Wer ein KI-System betreibt, trifft Betreiberpflichten nach Art. 26 AI Act einschließlich der Pflicht zu ausreichender KI-Kompetenz; wer es unter eigenem Namen anbietet, kann nach Art. 25 AI Act selbst zum Anbieter werden. Besonders praxisrelevant ist die Frage, wann eine menschliche Kontrolle über automatisierte Entscheidungen tatsächlich wirksam ist — der Europäische Datenschutzbeauftragte hat dazu einen Prüfrahmen veröffentlicht, den ich in der Analyse zur menschlichen Intervention aufbereitet habe. Mehr unter KI-Recht & Datenregulatorik.
Behördennähe, Wissenschaft und Mittelstand
Die Bonner Wirtschaftsstruktur ist ungewöhnlich: Telekommunikation und IT, ein starker Wissenschafts- und Forschungssektor rund um die Universität Bonn und die außeruniversitären Institute, internationale Organisationen sowie ein technischer Mittelstand im Rhein-Sieg-Kreis. Aus dem Wissenschaftsbereich kommen Fragen zu Forschungsdaten, zur Zweckbindung nach Art. 5 Abs. 1 lit. b DSGVO und zunehmend zur Frage, unter welchen Voraussetzungen Daten für KI-Training verwendet werden dürfen. Der Europäische Datenschutzausschuss hat dazu mit den Guidelines 03/2026 eine deutliche Linie gezogen: Die Berufung auf „öffentlich zugängliche Daten" trägt nicht.
Aus dem Umfeld der Bundesbehörden kommen Fragen zur Auftragsverarbeitung, zu Sicherheitsanforderungen in Vergabeverfahren und zur Frage, wie weit ein Auftragnehmer Verantwortlichkeit übernimmt. Dass diese Abgrenzung nicht akademisch ist, zeigt ein Vorlageverfahren des österreichischen Obersten Gerichtshofs: Der EuGH wird klären, ob die Weitergabe von Kundendaten an einen Auftragsverarbeiter eine eigene Rechtsgrundlage nach Art. 6 DSGVO braucht — und ob eine Einwilligung den Einsatz eines Drittlands-Auftragsverarbeiters umfassen muss. Eine Einordnung finden Sie in der Besprechung des Vorlagebeschlusses.
Aus dem technischen Mittelstand kommen Fragen zu IT-Verträgen, zur Absicherung gegen Cybervorfälle und zur Haftung der Geschäftsleitung. Für den laufenden Überblick über neue Entscheidungen biete ich ein monatliches IT-Recht-Update an, das nach § 15 FAO anrechenbar ist und auch Datenschutzbeauftragten hilft, die Fortbildungsanforderung aus Art. 39 DSGVO nachweisbar zu erfüllen.
FAQ: Datenschutz und IT-Recht in Bonn
Was Unternehmen aus Bonn und dem Rhein-Sieg-Kreis am häufigsten fragen.
In der Regel nicht. Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit hat ihren Sitz in der Graurheindorfer Straße 153 in 53117 Bonn, ist aber nur für Bundesbehörden sowie für Telekommunikations- und Postdienstleister zuständig. Für ein normales privatwirtschaftliches Unternehmen mit Sitz in Bonn ist die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW in Düsseldorf zuständig. Diese Verwechslung ist der häufigste Fehler bei Meldungen nach Art. 33 DSGVO aus Bonn.
Das entscheidet sich über drei Fragen: Gehört das Unternehmen zu einem der in der Richtlinie genannten Sektoren, erreicht es die Schwellenwerte bei Beschäftigten und Umsatz, und ist es als besonders wichtige oder als wichtige Einrichtung einzuordnen? Betroffen sind auch Unternehmen, die sich bisher nicht als kritische Infrastruktur verstanden haben — etwa Zulieferer, IT-Dienstleister, Abfallwirtschaft und Teile des Gesundheitswesens. Die Betroffenheitsanalyse ist deshalb der erste und wichtigste Schritt.
Das Bundesamt für Sicherheit in der Informationstechnik mit Sitz in Bonn ist die zentrale Stelle für Meldungen nach dem BSI-Gesetz und die Aufsicht über Betreiber kritischer Infrastrukturen und NIS-2-Einrichtungen. Seine technischen Vorgaben, insbesondere der IT-Grundschutz und die branchenspezifischen Sicherheitsstandards, wirken darüber hinaus faktisch als Maßstab dafür, was nach Art. 32 DSGVO als Stand der Technik gilt — auch für Unternehmen, die dem BSI-Gesetz nicht unterfallen.
Erstinstanzlich das Amtsgericht Bonn oder das Landgericht Bonn, je nach Streitwert. Der Landgerichtsbezirk Bonn umfasst rund 1,14 Millionen Einwohner. Berufungs- und Beschwerdeinstanz ist das Oberlandesgericht Köln, dessen Bezirk die Landgerichte Köln, Bonn und Aachen umfasst. Für Kennzeichen-, Design- und Urheberrechtsstreitsachen aus dem Bonner Bezirk ist dagegen ausschließlich das Landgericht Köln zuständig, für Unionsmarken- und Patentsachen das Landgericht Düsseldorf.
Bei Aufträgen der öffentlichen Hand kommen zu den DSGVO-Pflichten regelmäßig vertragliche Anforderungen aus den Vergabeunterlagen, den EVB-IT-Vertragsmustern und behördeninternen Sicherheitsvorgaben hinzu. In der Praxis entscheidet häufig die Qualität der eingereichten Datenschutz- und Sicherheitsdokumentation über den Zuschlag. Ich prüfe diese Unterlagen vor der Abgabe und verhandle die Auftragsverarbeitungsvereinbarungen.
Ja. Die Kanzlei hat ihren Sitz in Frechen bei Köln und betreut Mandate in Bonn und im Rhein-Sieg-Kreis regelmäßig. Die laufende Arbeit als externer Datenschutzbeauftragter erfolgt überwiegend digital; für Audits, Schulungen und Vor-Ort-Begehungen komme ich nach Bonn. Über die A555 und die A553 ist die Strecke in etwa 35 bis 45 Minuten zu fahren.
So erreichen Sie mich aus Bonn
Die Kanzlei hat ihren Sitz in der Augustinusstraße 11 d, 50226 Frechen — unmittelbar westlich von Köln und damit verkehrsgünstig für das gesamte Rheinland. Nach Bonn sind es über die A4 und die A555 rund 35 bis 45 Minuten. Für Audits, Schulungen und Verhandlungen in Bonn und im Rhein-Sieg-Kreis komme ich zu Ihnen.
Für die laufende Beratung ist der Weg ohnehin meist die Ausnahme: Datenschutz- und IT-Rechtsmandate lassen sich weitgehend per Video, Telefon und über einen geschützten Dokumentenaustausch führen. Vor Ort sinnvoll sind Audits, Schulungen, Betriebsbesichtigungen und Verhandlungen — dafür komme ich zu Ihnen.
- Telefon: +49 2234 68 01 630
- E-Mail: ga@asshoff.legal
- Termin: Erstgespräch online buchen