IT-Unternehmen tragen beim Datenschutz eine doppelte Verantwortung: als Verantwortliche für eigene Daten und als Auftragsverarbeiter für Kundensysteme. Haftungsrisiken lassen sich dabei kaum durch AGB ausschließen — IT-Sicherheit und Datenschutz gehören häufig zur Hauptleistungspflicht.
Besondere Datenschutzrisiken für IT-Unternehmen
- Softwareentwicklung und Privacy by Design: Art. 25 DSGVO verlangt, dass Datenschutz von Anfang an in die Systemarchitektur eingebaut wird. Wer Software entwickelt, die personenbezogene Daten verarbeitet, muss das belegen können.
- Auftragsverarbeitung: IT-Unternehmen, die im Auftrag ihrer Kunden Daten verarbeiten, sind Auftragsverarbeiter nach Art. 28 DSGVO. Der AVV muss alle gesetzlichen Anforderungen erfüllen.
- Haftung bei Sicherheitsvorfällen: Wenn ein Vorfall auf fehlerhafte Software zurückzuführen ist, droht persönliche Haftung der Geschäftsführung.
- Drittlandtransfers: Viele IT-Unternehmen nutzen US-amerikanische Tools oder Entwicklungspartnerschaften — jeder Datentransfer in Drittländer braucht eine Rechtsgrundlage.
Was IT-Unternehmen konkret tun müssen
- Privacy by Design und Privacy by Default in der Entwicklung verankern
- AVV-Template rechtssicher gestalten — für alle Kundenprojekte mit Datenzugriff
- Technische und organisatorische Maßnahmen (TOMs) dokumentieren
- Incident-Response-Plan für Datenschutzvorfälle erstellen
- Mitarbeitende zu Datenschutz und IT-Sicherheit schulen
Unser Team aus Rechtsanwälten und IT-Sicherheitsexperten begleitet IT-Unternehmen von der Vertragsgestaltung bis zur Zertifizierung. Jetzt Erstgespräch vereinbaren — kostenfrei und ohne Verpflichtung.
