Datenschutzrecht in München: Beratung für Unternehmen und Betroffene
Ich berate mittelständische Unternehmen, Geschäftsführer und Personalverantwortliche bei der Umsetzung der DSGVO – pragmatisch und mit Blick auf das Tagesgeschäft. Betroffene unterstütze ich, wenn ihre Daten unrechtmäßig verarbeitet wurden.
Noah OsujiRechtsanwalt in MünchenDas Wichtigste in Kürze
- Eine Datenpanne ist in der Regel binnen 72 Stunden der Aufsichtsbehörde zu melden, wenn sie voraussichtlich zu einem Risiko für Betroffene führt (Art. 33 DSGVO).
- Auskunftsersuchen nach Art. 15 DSGVO sind grundsätzlich innerhalb eines Monats zu beantworten (Art. 12 Abs. 3 DSGVO). Im Streit um Kündigung oder Abfindung werden sie häufig gezielt eingesetzt.
- Für Schadensersatz nach Art. 82 DSGVO dürfte ein bloßer Verstoß nicht genügen; erforderlich ist ein – auch immaterieller – Schaden.
Für Unternehmen und Mittelstand
Datenschutz soll das Geschäft nicht lähmen. Ich helfe, die Pflichten der DSGVO mit vertretbarem Aufwand umzusetzen und Risiken dort zu senken, wo sie tatsächlich entstehen.
- Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)
- Verträge zur Auftragsverarbeitung mit Dienstleistern (Art. 28 DSGVO)
- Datenschutzhinweise, Website und Cookie-Einwilligungen (§ 25 TDDDG)
- Datenschutz-Folgenabschätzung bei riskanten Verarbeitungen (Art. 35 DSGVO)
- Datenpannen: Bewertung, Meldung und Kommunikation (Art. 33, 34 DSGVO)
- Anfragen und Verfahren der Aufsichtsbehörde, in Bayern des BayLDA
Beschäftigtendatenschutz
Personalakten, Bewerberdaten, Zeiterfassung, E-Mail-Nutzung oder Videoüberwachung: Im Arbeitsverhältnis treffen Datenschutz und Arbeitsrecht unmittelbar aufeinander. Technische Einrichtungen, die Verhalten oder Leistung der Beschäftigten überwachen können, dürften regelmäßig der Mitbestimmung des Betriebsrats unterliegen (§ 87 Abs. 1 Nr. 6 BetrVG). Betriebsvereinbarungen können die Datenverarbeitung zugleich regeln; sie müssen dabei neben Art. 88 Abs. 2 DSGVO auch die allgemeinen Vorgaben der Art. 5, 6 und 9 DSGVO einhalten und unterliegen insoweit der gerichtlichen Kontrolle (EuGH, Urt. v. 19.12.2024 – C-65/23).
Mehr zur arbeitsrechtlichen Seite: Arbeitsrecht für Arbeitgeber und Mittelstand.
Auskunftsersuchen im Arbeitsverhältnis
Verlangen Beschäftigte oder ehemalige Beschäftigte Auskunft nach Art. 15 DSGVO, bedeutet das für Arbeitgeber oft erheblichen Aufwand unter Zeitdruck. Ich helfe, den Umfang der Auskunft zu bestimmen, Ausnahmen zu prüfen und fristgerecht zu antworten. Nach dem EuGH kann ein Antrag ausnahmsweise schon beim ersten Mal exzessiv sein, etwa wenn er erkennbar nur dazu dient, später Schadensersatz zu verlangen; die Hürde dafür ist hoch, und den Nachweis muss der Verantwortliche führen (EuGH, Urt. v. 19.03.2026 – C-526/24). Für Beschäftigte kann der Anspruch ein legitimes Mittel sein, sich ein Bild von der Datenverarbeitung zu verschaffen – auch mit Blick auf eine anstehende Verhandlung.
Für Betroffene: Auskunft, Löschung, Schadensersatz
Wurden Ihre Daten unrechtmäßig verarbeitet, kommen Ansprüche auf Auskunft, Löschung und Schadensersatz in Betracht. Nach der Rechtsprechung des BGH kann bereits der Verlust der Kontrolle über die eigenen Daten ein immaterieller Schaden sein, ohne dass weitere spürbare Folgen hinzukommen müssen; den Kontrollverlust selbst muss die betroffene Person aber nachweisen (BGH, Urt. v. 18.11.2024 – VI ZR 10/24). Einordnung: DSGVO-Schadensersatz bei Kontrollverlust.
KI und Datenschutz
Wer KI-Tools einsetzt, sollte Datenschutz, KI-Verordnung und Mitbestimmung gemeinsam prüfen. Mehr dazu im IT-, SaaS- und KI-Recht.
Ihr Ansprechpartner: Noah Osuji
Rechtsanwalt in München, zugelassen bei der Rechtsanwaltskammer München. Beratung auf Deutsch und Englisch.
Mehr über michHäufige Fragen
Was ist bei einer Datenpanne im Unternehmen zu tun?
Sichern Sie den Sachverhalt, begrenzen Sie den Schaden und prüfen Sie zügig, ob ein Risiko für Betroffene besteht. Ist das der Fall, dürfte eine Meldung an die Aufsichtsbehörde binnen 72 Stunden erforderlich sein (Art. 33 DSGVO), bei hohem Risiko zusätzlich eine Benachrichtigung der Betroffenen (Art. 34 DSGVO). Jede Panne ist zu dokumentieren. Der Rat der EU hat sich im Oktober 2026 dafür ausgesprochen, die Meldepflicht auf Fälle mit hohem Risiko zu beschränken und die Frist auf 96 Stunden zu verlängern; geltendes Recht ist das noch nicht.
Brauchen wir einen Datenschutzbeauftragten?
Nach derzeit geltendem Recht regelmäßig dann, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG). Der Bund will die Aufhebung dieser Schwelle bis Ende 2026 auf den Weg bringen; bis zu einer Gesetzesänderung gilt sie weiter. Unabhängig davon kann sich eine Pflicht aus Art. 37 DSGVO ergeben, etwa bei umfangreicher Verarbeitung besonders sensibler Daten.
Welche Aufsichtsbehörde ist für Unternehmen in Bayern zuständig?
Für Unternehmen mit Sitz in Bayern ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) in Ansbach zuständig.
Allgemeine Information, Stand: 28. Oktober 2026. Sie ersetzt keine Beratung im Einzelfall.