Bruchsal · Karlsruhe · Heidelberg · Metropolregion Rhein-Neckar · deutschlandweit
Ich übernehme Ihren Datenschutz als externer Datenschutzbeauftragter, betreue Microsoft 365 und IT-Sicherheit und ordne Ihren KI-Einsatz rechtlich ein. Ein Ansprechpartner statt drei Dienstleister.
Die wenigsten Unternehmen rufen mich wegen eines akuten Schadens an. Sie rufen an, weil der Datenschutz irgendwann einmal aufgesetzt wurde, die IT über Jahre gewachsen ist und beim Thema KI niemand genau sagen kann, was erlaubt ist. Genau an diesen drei Punkten setze ich an.
„Unsere Datenschutz-Unterlagen wurden vor Jahren einmal erstellt. Ob sie noch stimmen, weiß bei uns niemand.“
Ergebnis
Eine Dokumentation, die laufend gepflegt wird und die Sie bei einer Anfrage der Aufsichtsbehörde vorlegen können, statt sie erst zusammenzusuchen.
„Unsere IT ist historisch gewachsen. Berechtigungen, Postfächer und Geräte hat seit Jahren niemand aufgeräumt.“
Ergebnis
Microsoft 365 sauber aufgesetzt, zentral verwaltet und nachvollziehbar berechtigt, technisch sinnvoll und mit dem Datenschutz abgestimmt.
„Unsere Mitarbeitenden nutzen längst KI-Werkzeuge. Geregelt hat das bisher niemand.“
Ergebnis
Klare Regeln, welches Werkzeug mit welchen Daten genutzt werden darf, samt Einordnung nach KI-Verordnung und Verzahnung mit dem Datenschutz.
Datenschutz ist mein Kerngeschäft: IT, Microsoft 365 und KI-Compliance kommen dort dazu, wo sie ohnehin zusammengehören. Sie bekommen einen Ansprechpartner, der beide Seiten beurteilen kann: die rechtliche Pflicht und die technische Umsetzung.
Gesetzeskonforme Bestellung nach Art. 37 DSGVO, mit laufender Beratung, gepflegter Dokumentation und einem festen Ansprechpartner für Aufsichtsbehörden, Betroffene und Ihr Team. Das Thema liegt danach nicht mehr auf Ihrem Schreibtisch.
Webdesign & Hosting ansehenDrei nachprüfbare Entscheidungen aus Deutschland aus dem Jahr 2026. Sie zeigen, woran es in der Praxis scheitert, und dass die Ursachen fast immer organisatorischer Natur sind, nicht technischer.
Das Landgericht Berlin I hat gegen die Deutsche Wohnen SE eine Geldbuße von 900.000 € festgesetzt. Das Unternehmen hatte personenbezogene Daten von Mietinteressenten und Mietern in einem Archivsystem gespeichert, das ein Löschen nicht mehr benötigter Daten nicht vorsah. Die Aufsichtsbehörde hatte 2019 zunächst rund 14,5 Mio. € verhängt; das Gericht bestätigte den Verstoß, setzte die Höhe aber deutlich herab.
Der Bundesgerichtshof hat entschieden, dass ein Anspruch auf immateriellen Schadensersatz bestehen kann, wenn eine vertrauliche Nachricht aus einem Bewerbungsverfahren versehentlich an eine unbeteiligte dritte Person gesendet wird. Der Kontrollverlust blieb hier nicht folgenlos: Der Empfänger las die Nachricht und sprach den Bewerber darauf an. Zur Höhe wurde das Verfahren an das Oberlandesgericht zurückverwiesen.
Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat die Berliner Verkehrsbetriebe verwarnt. Bei einem Vorfall waren Daten von rund 180.000 Kundinnen und Kunden betroffen. Das Unternehmen hatte weder überprüft, ob ein Dienstleister die Daten nach Vertragsende tatsächlich gelöscht hatte, noch die Meldung an die Aufsichtsbehörde innerhalb der vorgeschriebenen 72 Stunden abgesetzt.
Alle Angaben stammen aus den amtlichen Veröffentlichungen der jeweiligen Gerichte und Aufsichtsbehörden; die Quellen sind oben verlinkt. Wo eine Behörde kein Aktenzeichen veröffentlicht hat, ist das ausdrücklich vermerkt. Diese Darstellung dient der Information und ersetzt keine Rechtsberatung im Einzelfall.
In allen drei Fällen wären die Ursachen bei einer strukturierten Prüfung vorher aufgefallen. Genau dort setzt meine Arbeit an, im Datenschutz wie bei der KI-Nutzung.
Datenschutzrecht und KI-Verordnung sehen jeweils eigene Bußgeldrahmen vor, und sie gelten nebeneinander. Wer KI mit personenbezogenen Daten einsetzt, muss beide im Blick behalten.
Für Verstöße gegen die Grundsätze der Verarbeitung, die Rechtmäßigkeit, die Betroffenenrechte oder die Regeln zur Datenübermittlung in Drittländer.
Für Verstöße gegen technische und organisatorische Pflichten, etwa Datensicherheit, Verarbeitungsverzeichnis oder die Bestellung eines Datenschutzbeauftragten.
Für den Einsatz verbotener KI-Praktiken nach Art. 5, die höchste Sanktionsstufe der Verordnung.
Für Verstöße gegen die übrigen Pflichten von Anbietern und Betreibern, etwa im Umgang mit Hochrisiko-Systemen.
Für falsche, unvollständige oder irreführende Angaben gegenüber Behörden oder benannten Stellen.
Für kleine und mittlere Unternehmen einschließlich Start-ups gilt eine Besonderheit: Nach Art. 99 Abs. 6 KI-VO ist bei ihnen jeweils der niedrigere der beiden Werte die Obergrenze, anders als in der DSGVO, wo stets der höhere Betrag maßgeblich ist. Alle genannten Beträge sind gesetzliche Höchstgrenzen, keine Regelbußgelder: Behörden bemessen im Einzelfall nach Schwere, Dauer und Grad des Verschuldens.
Seit dem 2. August 2026 gelten weitere zentrale Vorschriften der KI-Verordnung verbindlich, darunter die Transparenzpflichten und die Sanktionsvorschriften. Ich unterstütze Sie dabei, Ihre KI-Systeme richtig einzuordnen, die daraus folgenden Pflichten zu erfüllen und Verstöße zu vermeiden, bevor daraus ein Haftungsrisiko wird.
Etwa Social Scoring oder Emotionserkennung am Arbeitsplatz. Diese Systeme sind nach Art. 5 KI-VO untersagt, bereits seit dem 2. Februar 2025.
Zum Beispiel KI in der Bewerberauswahl, bei Kreditentscheidungen oder in der Personalverwaltung. Umfangreiche Pflichten: Anhang III ab dem 2. Dezember 2027.
Chatbots, KI-Assistenten und künstlich erzeugte Inhalte müssen als solche erkennbar sein. Diese Pflicht aus Art. 50 KI-VO gilt seit dem 2. August 2026.
Keine besonderen Pflichten aus der KI-VO. Die Anforderungen an KI-Kompetenz nach Art. 4 und das Datenschutzrecht gelten aber weiterhin.
Die Einordnung entscheidet über Ihre Pflichten, und sie ist selten auf den ersten Blick eindeutig. Häufig sind Unternehmen zugleich Betreiber mehrerer Systeme in unterschiedlichen Stufen.
Die Digital-Omnibus-Verordnung (EU) 2026/1744 vom 8. Juli 2026 hat einen Teil der Fristen verschoben. Für die Praxis heißt das: Manches gilt bereits, anderes bleibt planbar.
Art. 5 KI-VO gilt, ebenso die Anforderungen an KI-Kompetenz nach Art. 4.
In KraftPflichten für Anbieter von GPAI-Modellen sind anwendbar.
In KraftDie Transparenzpflichten nach Art. 50 und die Sanktionsvorschriften greifen.
In KraftÜbergangsfrist für Systeme, die bereits vor dem 2. August 2026 im Einsatz waren.
Frist läuftVerschoben durch die Digital-Omnibus-Verordnung. Vorher war der 2. August 2026 vorgesehen.
VerschobenKI als Sicherheitsbauteil in regulierten Produkten.
VerschobenDass einzelne Fristen später greifen, verschafft Zeit für die Vorbereitung. Die Verbote, die Transparenzpflichten und das Datenschutzrecht gelten davon unabhängig bereits heute.
Wir sehen uns gemeinsam an, welche KI-Systeme bei Ihnen im Einsatz sind, in welche Risikostufe sie fallen und welche Pflichten daraus konkret folgen.
KI-Strategie, Recht, Datenschutz und Sicherheit lassen sich nicht getrennt betrachten. Jede Entscheidung wirkt auf die anderen. Scrollen Sie durch das Netz und sehen Sie, wie die Themen zusammenhängen.
Zuerst die Frage vor allen anderen: Wo bringt KI Ihrem Unternehmen wirklich etwas, und wo ist sie nur teuer? Wir bestimmen die Anwendungsfälle, die sich lohnen, und schließen die aus, die mehr Risiko als Nutzen bringen.
Jedes System wird einer Risikostufe der KI-Verordnung zugeordnet. Daraus ergibt sich, was Sie dokumentieren, kennzeichnen und überwachen müssen und was Sie unterlassen müssen.
Sobald personenbezogene Daten im Spiel sind, gilt die DSGVO zusätzlich. Wir klären Rechtsgrundlage, Zweckbindung und Betroffenenrechte und prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist.
Von der Auswahl des Anbieters bis zur technischen Konfiguration: Wir richten die Systeme so ein, dass Daten dort bleiben, wo sie hingehören, und Protokollierung sowie Zugriffsrechte von Anfang an stimmen.
Die beste Konfiguration hilft nicht, wenn Beschäftigte vertrauliche Daten in ein beliebiges KI-Tool eingeben. Ich schule Ihr Team praxisnah und gebe klare Regeln an die Hand. Das erfüllt zugleich die Anforderungen an KI-Kompetenz nach Art. 4 KI-VO.
Als Datenschutzbeauftragter und DEKRA-zertifizierte Fachkraft für Datenschutz stehe ich KMUs als verlässlicher externer DSB zur Seite, mit dem praktischen IT-Hintergrund, um Datenschutz nicht nur auf dem Papier, sondern auch technisch umzusetzen. Kein Zertifikat von der Stange, echte Praxiserfahrung, die durch anerkannte Zertifizierungen bestätigt wird.
DEKRA-zertifizierte Fachkraft für Datenschutz. Die Qualifikation ergänzt meine praktische Tätigkeit als externer Datenschutzbeauftragter und meinen technischen IT-Hintergrund.
Gültig bis 05/2029Aktive Betriebserfahrung mit Exchange Online, Intune, Microsoft Defender, Purview und Entra ID in Unternehmensumgebungen. Kein Lehrbuch, sondern gelebte Praxis.
Aktiv eingesetztErfahrung in der Durchführung interner und externer Audits in kritisch überwachten Bereichen, u. a. nach ISO 9001. Dieses Qualitätsbewusstsein fließt direkt in die strukturierte Umsetzung von Datenschutzprozessen und Compliance-Anforderungen ein.
ISO 9001 · Interne & externe Audits
Klar strukturiert, ohne Umwege, von der ersten Analyse bis zur dauerhaften Begleitung. Sie wissen nach jedem Schritt, was erledigt ist und was als Nächstes ansteht.
Ist-Zustand erfassen, Risiken identifizieren und rechtliche Pflichten klären, konkret und ohne Fachjargon.
Maßgeschneiderter Datenschutz- und IT-Plan, abgestimmt auf Ihre Unternehmensgröße und Branche.
Direkt operativ: Dokumente erstellen, IT konfigurieren, Mitarbeiter schulen, alles aus einer Hand.
Laufende Betreuung, regelmäßige Prüfungen und Anpassung bei Gesetzesänderungen oder IT-Veränderungen.
Transparente Monatsbetreuung ohne versteckte Kosten — skalierend mit Ihren Anforderungen.
Bei jährlicher Zahlung sind es 10 % weniger — einmal im Voraus abgerechnet. Individual bleibt ein individuelles Angebot.
Alle Preise ohne Umsatzsteuer — als Kleinunternehmer nach § 19 UStG weise ich keine aus.
Noch Unklarheiten? Hier sind die Fragen, die ich am häufigsten bekomme.
Weitere Fragen stellenDas Erstgespräch ist kostenlos und unverbindlich. In rund 30 Minuten klären wir, wo Ihr Unternehmen im Datenschutz, in der IT und beim Thema KI steht, was davon Pflicht ist und was warten kann. Sie erhalten eine Einschätzung, keinen Verkaufstermin.
Zero One IT
Württemberger Straße 16
76646 Bruchsal
Beim Laden verbindet sich Ihr Browser mit Google und übermittelt dabei Ihre IP-Adresse. Details im Datenschutz
Vielen Dank für Ihre Nachricht. Ich melde mich in der Regel innerhalb von 24 Stunden bei Ihnen. Eine Eingangsbestätigung ist bereits unterwegs.
Bitte geben Sie diese Nummer an, wenn Sie sich zwischenzeitlich melden.
Secure Access
Melden Sie sich an, um den internen Bereich zu öffnen.
