Zum Inhalt springen
VINQO Rechtsanwälte

Für Unternehmen, Geschäftsführer und Vorstände

Datenschutzrecht

Datenschutz schützt Betroffene. Wir schützen Unternehmen — gegen Bußgelder, gegen Schadenersatzforderungen, und vorher gegen beides.

Von Tim Platner, Jurist & Chief Operating Officer (COO), Geschäftsführer Legal Data Technology GmbH · Rechtsstand: August 2026

Fachlich geprüft von Rechtsanwalt Jan Schlingmann am

Lage einschätzen lassen→0202 25625 000

Anwälte und Informatiker in einem Team

Ob ein Datenschutzverstoß vorliegt, entscheidet sich häufig technisch: welche technisch-organisatorischen Maßnahmen bestanden, und wie der Stand der Technik zum damaligen Zeitpunkt zu beurteilen war. Diese Fragen beantwortet man an Systemen und Logfiles, nicht am Kommentar.

Deshalb sitzen bei uns Rechtsanwälte und eigene Informatiker an denselben Fällen — in der Beratung datengetriebener Geschäftsmodelle wie in der Verteidigung nach einem Vorfall.

  1. Prävention

    Datenschutz-Check, Gutachten zu datengetriebenen und KI-gestützten Geschäftsmodellen, Auftragsverarbeitungsverträge nach Art. 28 DSGVO, Umsetzung von DSGVO und NIS2, externe Datenschutzbeauftragte.

  2. Vorfall

    Verteidigung gegenüber der Aufsichtsbehörde, Meldung nach Art. 33 DSGVO, Betroffenenkommunikation, technisches Datenschutzaudit als Grundlage der Verteidigungsstrategie. Wo sie das Bußgeld mindert, ist Kooperation mit der Behörde Teil der Strategie — wir wägen das gegen das Prozessrisiko ab.

  3. Massenverfahren

    Mass Claim Litigation gegen gebündelte Schadenersatzforderungen nach Art. 82 DSGVO — tausende Verfahren gleichzeitig, strategisch koordiniert.

Wen wir vertreten

  • Mittelständische Unternehmen
  • Konzerne und Aktiengesellschaften
  • Versicherer
  • Plattformen und SaaS-Anbieter
  • Gesundheitswesen
  • Startups

Wo die wirtschaftlichen Risiken tatsächlich liegen

Nicht das Bußgeld ist nach einem Vorfall das größere Problem, sondern die Zahl der Anspruchsteller.

  • Bußgeld

    Art. 83 DSGVO

    Bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes des Vorjahres. Das durchschnittlich verhängte Bußgeld liegt nach unserer Praxiserfahrung im Bereich von 500.000 €.

  • Immaterieller Schadenersatz

    Art. 82 DSGVO

    Nach der Rechtsprechung des EuGH genügt der Kontrollverlust über die eigenen Daten; ein darüber hinausgehender Schaden ist nicht erforderlich. Machen nach einem Leak 1.000 Betroffene je 1.000 € geltend, steht eine Forderung von rund einer Million € im Raum.

  • Beweislast bei der Datensicherheit

    EuGH, 14.12.2023 – C-340/21

    Nach einem Vorfall muss der Verantwortliche darlegen und beweisen, dass seine technisch-organisatorischen Maßnahmen geeignet waren. Wer das nicht dokumentiert hat, verteidigt sich aus einer schlechten Ausgangslage.

    Belegbar über: TOM-Dokumentation, Audit-Trails, Stand der Technik zum Vorfallzeitpunkt

  • Abmahnungen durch Mitbewerber

    Insbesondere bei online angebotenen Produkten: die Einbindung von Drittdiensten — soziale Netzwerke, Shopsysteme, Bezahldienstleister, CRM, E-Mail-Konnektoren — ist einzeln und in der Gesamtheit angreifbar.

  • Geschäftsleiterhaftung nach NIS2

    NIS2 verpflichtet die Geschäftsleitung persönlich zur Billigung der Risikomanagementmaßnahmen — mit einer Haftung, die sich nicht auf die Gesellschaft abwälzen lässt.

  • Internationale Datenübermittlung

    Drittstaatentransfers über US-Cloud- und SaaS-Dienste sind seit Schrems II eine eigene Angriffsfläche. Standardvertragsklauseln allein genügen dabei nicht ohne ergänzende Maßnahmen.

In der Praxis

Taskforce Data Incidents

Nach einem Datenschutzvorfall bleiben nach Art. 33 DSGVO 72 Stunden — das Wochenende zählt dabei nicht mit. In dieser Zeit muss der Sachverhalt rechtlich und technisch untersucht und die Meldung so zutreffend wie möglich vorbereitet werden. Fehler dabei begründen einen weiteren Verstoß.

  1. 01

    Meldemanagement

    Umsetzung der Maßnahmen zur rechtzeitigen Meldung nach Art. 33 DSGVO, unter Berücksichtigung dessen, was später im Bußgeldverfahren gegen Sie verwendet wird. Die Unterrichtung der Betroffenen übernehmen wir anwaltlich.

  2. 02

    Forensik

    Prüfung und Sicherung der technischen Hintergründe durch dieselbe interdisziplinäre Taskforce aus Rechtsanwälten und Informatikern — auch in den System- und Prozesslandschaften von Großunternehmen und Verwaltungen.

  3. 03

    Aufsichtsbehörde und Bußgeldverfahren

    Vertretung im nachgelagerten Ordnungswidrigkeiten- und Verwaltungsverfahren. Auf die Meldung folgt in aller Regel ein Verfahren nach Art. 83 DSGVO; wie die Meldung formuliert war, entscheidet dort mit.

  4. 04

    Mass Claim Litigation

    Abwehr von Schadenersatz- und Schmerzensgeldansprüchen Betroffener nach Art. 82 DSGVO, insbesondere bei massenhafter Geltendmachung. Von der Erstmeldung bis zum letzten Urteil aus einer Hand.

Zum Mitnehmen

Unterlagen zum Herunterladen

Im Vorfall

  1. 01

    Sofortlage klären

    Was ist abgeflossen, wie viele Betroffene, welche Meldepflichten laufen. Innerhalb der 72-Stunden-Frist des Art. 33 DSGVO.

  2. 02

    Technisches Audit

    Unsere Informatiker bewerten die tatsächlichen technisch-organisatorischen Maßnahmen. Das Ergebnis ist die Grundlage der Verteidigung, nicht ihr Anhang.

  3. 03

    Behörde, Betroffene, Ansprüche

    Meldung und Kommunikation mit der Aufsichtsbehörde, Betroffeneninformation, Abwehr von Bußgeld und Schadenersatzforderungen — auch in großer Zahl.

Interdisziplinär
Eigene Informatik-Abteilung im Haus, nicht als zugekauftes Gutachten.
Massenfähig
Selbst entwickelte Legal-Tech-Plattform für tausende Parallelverfahren.
72 Stunden
Erreichbarkeit ausgelegt auf die Meldefrist nach Art. 33 DSGVO.

Warum Technik hier Recht ist

Bei einem Datenschutzvorfall entscheidet zuerst, was genau abgeflossen ist — und ob die Maßnahmen zum damaligen Stand der Technik ausreichten. Beides sind technische Fragen mit unmittelbar rechtlicher Folge.

Bei Massenverfahren entscheidet, ob sich tausende gleichgelagerte Klagen als Serie führen lassen, aus einer gemeinsamen Datenbasis heraus. Auch das ist zuerst ein technisches Problem.

Logfiles
als Grundlage, nicht Vermutungen
Parallel
tausende Verfahren auf einer Datenbasis

Häufige Fragen

Die Meldefrist nach Art. 33 DSGVO beträgt 72 Stunden ab Kenntnis. Darauf ist unsere Erreichbarkeit ausgelegt. In dieser Zeit muss geklärt sein, was abgeflossen ist, wie viele Betroffene es gibt und was der Behörde gemeldet wird.

Nach Art. 37 DSGVO bei umfangreicher regelmäßiger Überwachung oder umfangreicher Verarbeitung besonderer Datenkategorien. In Deutschland verschärft § 38 BDSG: die Bestellung ist bereits erforderlich, wenn sich mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen — das trifft in der Praxis fast jedes Unternehmen.

Das Amt setzt keine bestimmte Qualifikation oder Zulassung voraus — jeder kann es ausüben. Der Vorteil einer anwaltlichen Besetzung liegt darin, dass im Ernstfall dieselben Personen verteidigen, die die Strukturen aufgebaut haben, und dass die Beratung anwaltlicher Verschwiegenheit unterliegt.

Über eine selbst entwickelte, hochskalierbare Plattform, die gleichgelagerte Verfahren bündelt und den Sachvortrag aus einer gemeinsamen Datenbasis erzeugt. Damit lassen sich tausende Verfahren gleichzeitig führen und strategisch koordinieren — in enger Abstimmung mit Ihrer Rechtsabteilung.

Ja, und das ist der günstigere Zeitpunkt. Ein Gutachten zum geplanten Geschäftsmodell — gerade bei datengetriebenen und KI-gestützten Produkten — kostet einen Bruchteil einer späteren Umstellung oder eines Aufsichtsverfahrens.

Nein. Nach der Rechtsprechung des EuGH braucht es zusätzlich einen tatsächlich erlittenen Schaden — dafür genügt zwar bereits der Kontrollverlust über die eigenen Daten, er muss aber vorliegen und auf den konkreten Verstoß zurückgehen. Fehlt diese Kausalität, bleibt die Klage ohne Erfolg; genau hier setzt unsere Verteidigung an.

Zum Weiterlesen

Aus dem Ratgeber zu Datenschutzrecht.

Ihren Sachverhalt prüfen lassen

Schildern Sie den Sachverhalt. Wir sagen Ihnen, was sich daraus machen lässt — und was nicht.

Lage einschätzen lassen→0202 25625 000
Tim Platner

Ihr Ansprechpartner

Tim Platner

Jurist & Chief Operating Officer (COO), Geschäftsführer Legal Data Technology GmbH

  • Personenschäden
  • Datenschutzrecht
  • Schadensrecht
  • Grundsatz & Strategie
  • Regress
  • Public Relations
Zum Profil

Verwandte Rechtsgebiete

Diese Seite dient der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar.