Lösungen statt Paragraphen.
Datenschutz, NIS2 und Hinweisgeberschutz verständlich erklärt und pragmatisch umgesetzt.
Christian Bößl
DATENSCHUTZ · COMPLIANCE · NIS2 · HINWEISGEBERSCHUTZ
Gesetzliche Anforderungen werden nicht weniger.
Ob Datenschutz, NIS2 oder Hinweisgeberschutz – viele Unternehmen stehen vor der Herausforderung, gesetzliche Anforderungen zuverlässig umzusetzen. Dabei geht es nicht nur um Vorschriften, sondern um Verantwortung, Sicherheit und praktikable Lösungen für den Unternehmensalltag.
Wir unterstützen Sie dabei – persönlich, pragmatisch und mit über 20 Jahren Erfahrung.
Datenschutz
Externer Datenschutzbeauftragter & Datenschutzberatung
Als externer Datenschutzbeauftragter unterstützen wir Unternehmen beim Aufbau eines qualifizierten Datenschutzmanagements sowie bei der Umsetzung und Einhaltung der datenschutzrechtlichen Anforderungen. Dabei begleiten wir Sie langfristig als persönlicher Ansprechpartner und vertreten Sie bei Bedarf auch gegenüber Betroffenen und Aufsichtsbehörden.
NIS2
Cybersicherheit und gesetzliche Anforderungen
Wir prüfen gemeinsam mit Ihnen, ob Ihr Unternehmen von den Anforderungen der NIS2-Richtlinie betroffen ist, und begleiten Sie bei der strukturierten Umsetzung der gesetzlichen Vorgaben. Dabei unterstützen wir Sie bei der organisatorischen Umsetzung, der Dokumentation sowie der Entwicklung praxisnaher Maßnahmen für mehr Cybersicherheit in Ihrem Unternehmen.
Hinweisgeberschutz
Hinweisgeberschutz rechtssicher umsetzen
Wir unterstützen Unternehmen bei der Einführung gesetzeskonformer Hinweisgebersysteme sowie bei der organisatorischen Umsetzung der gesetzlichen Vorgaben. Von der Auswahl geeigneter Meldewege bis zur laufenden Begleitung schaffen wir eine rechtssichere, praxisnahe und dauerhaft funktionierende Lösung für Ihr Unternehmen.
Klartext
Datenschutz im gesamten Unternehmen
Als externer Datenschutzbeauftragter kümmern wir uns um den Aufbau eines qualifizierten Datenschutzmanagements sowie um die Umsetzung und die Einhaltung der einschlägigen Datenschutzgesetze in Ihrer Organisation.
Mit unserer Leistung sichern wir Ihrem Unternehmen langfristig und nachhaltig Wettbewerbs-, Markt- und Marketingvorteile und reduzieren die enormen Haftungsrisiken! Parallel dazu vertreten wir Sie gegenüber dem Betroffenen (z.B. bei Auskunftsverlangen) oder begleiten Sie bei Prüfungen durch die Aufsichtsbehörde.
Letztlich greift die DSGVO in über 150 deutsche Gesetze ein - das Thema ist komplex, aber mit einem erfahrenen und gut aufgestellten Datenschutzbeauftragten jederzeit optimal beherrschbar.
Brauche ich überhaupt einen Datenschutzbeauftragten?
Umsetzen und sicherstellen müssen Sie die Vorgaben der DSGVO, des BDSG oder auch des TDDDSG immer – egal, wie viele Mitarbeiter Sie haben.
Einen Datenschutzbeauftragten müssen Sie (nach Vorgabe BDSG) benennen, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Als Faustregel gilt: Ab 20 aktiven E-Mail-Adressen sind Sie verpflichtet.
Es kann aber auch etwas „tricky“ sein.
Ein Beispiel:
In Ihrer Verwaltung (Büro) sind fünf Mitarbeiter beschäftigt, in der Produktion fünfzehn. In der Produktion steht ein Telefon mit integriertem Adressbuch. Sobald die Produktionsmitarbeiter dieses Adressbuch einsehen und nutzen können, liegt eine automatisierte Verarbeitung personenbezogener Daten vor – und Sie sind verpflichtet, einen Datenschutzbeauftragten zu benennen.
Soweit Sie keinen Datenschutzbeauftragten benennen müssen, kann eine freiwillige Benennung dennoch äußerst sinnvoll sein. Denn irgendjemand muss den Job machen. Und wenn diesem „Jemand“ die fachliche Kompetenz und die nötige Begeisterung fehlen, fehlen meist auch die Ergebnisse, die den Chef begeistern. Sprich: Der Nutzen für das Unternehmen bleibt aus.
Letztlich gibt es auch noch die Aufsichtsbehörde, die vom Verantwortlichen oder Auftragsverarbeiter eine Begründung für die Nichtbenennung verlangen kann.
„Auf Grund der besonders hohen Geldbußen bei Datenpannen ist ein solches Risiko nicht zu empfehlen und daher die Bestellung eines Datenschutzbeauftragten stets anzuraten.” (Gola/Klug-NJW2016,2786,2787)
Es müssen nicht unbedingt wir sein, aber …
Natürlich ist es auch möglich, einen internen Datenschutzbeauftragten zu bestellen. Diese Möglichkeit bringt jedoch einige Kosten, organisatorische Herausforderungen und Einschränkungen mit sich.
Nicht jeder kommt dafür infrage
Aufgrund möglicher Interessenkonflikte scheiden unter anderem folgende Personengruppen aus:
- Inhaber, Geschäftsführer, Gesellschafter, Vorstände und Beiräte
- Verwandte und Ehepartner
- Leiter IT oder EDV
- Leiter Marketing, Werbung oder Unternehmenskommunikation
- Leiter Personal
- Leiter Vertrieb
- Leiter Revision oder Rechtsabteilung
- Sicherheits- und Geheimschutzbeauftragte
Auch externe EDV- und IT-Dienstleister gelten nach Auffassung der Datenschutzbehörden aufgrund möglicher Interessenkonflikte als ungeeignet.
Ein interner Datenschutzbeauftragter bedeutet mehr als nur eine Benennung
Parallel dazu genießt ein interner Datenschutzbeauftragter einen besonderen Kündigungsschutz, der sogar bis ein Jahr nach einer eigeninitiierten Niederlegung der Funktion bestehen bleibt.
Hinzu kommen häufig weitere Aufwendungen, die im Vorfeld nicht immer berücksichtigt werden.
- Freistellung von der eigentlichen Tätigkeit
- Regelmäßige Fort- und Weiterbildungslehrgänge
- Beschaffung revisionssicherer Datenschutz-Software
- Spezielle Haftpflichtversicherung
- Fachliteratur
- Mitgliedschaften in Datenschutzverbänden
Dadurch sind die Kosten eines internen Datenschutzbeauftragten oft deutlich höher als zunächst angenommen.
Und noch ein Punkt sollte nicht unterschätzt werden:
Auch ein interner Datenschutzbeauftragter haftet für das, was er tut – oder unterlässt. Fehlt eine entsprechende Haftpflichtversicherung oder der notwendige finanzielle Hintergrund, bleibt das wirtschaftliche Risiko letztlich beim Unternehmer.
Warum viele Unternehmen auf einen externen Datenschutzbeauftragten setzen
Ein externer Datenschutzbeauftragter ist nicht nur verbindlich kalkulierbar, sondern auch immer wirtschaftlicher. Gleichzeitig profitieren Sie von der Erfahrung aus unterschiedlichsten Unternehmen und Branchen sowie von einem festen Ansprechpartner, der Ihr Unternehmen langfristig begleitet und sich ausschließlich um das Thema Datenschutz kümmert - ein Profi, der Ihnen Arbeit und Zeit erspart und das Haftungsrisiko erheblich minimieren kann!
Erfahrung ist durch nichts zu ersetzen.
Außer durch noch mehr Erfahrung.
Unverbindlich beraten lassen oder direkt anrufen unter Telefon: +49 8531 978447-0
NICHT NUR IT. AUCH CHEFSACHE.
NIS2 – Cybersicherheit strukturiert umsetzen
Die NIS2-Richtlinie bringt für viele Unternehmen neue gesetzliche Anforderungen im Bereich der Cybersicherheit mit sich. Seit der Umsetzung in deutsches Recht gelten klare Pflichten für betroffene Unternehmen – von der Risikoanalyse über technische und organisatorische Sicherheitsmaßnahmen bis hin zu Meldepflichten bei Sicherheitsvorfällen.
Wir prüfen gemeinsam mit Ihnen, ob Ihr Unternehmen gesetzlich oder vertraglich von den Anforderungen betroffen ist, und begleiten Sie bei der strukturierten Umsetzung. Dabei unterstützen wir Sie bei der organisatorischen Umsetzung, der Dokumentation und der Entwicklung praxistauglicher Maßnahmen für mehr Cybersicherheit in Ihrem Unternehmen.
Bin ich überhaupt betroffen?
Die NIS2-Regelungen betreffen deutlich mehr Unternehmen als bisher. Betroffen sind Einrichtungen aus insgesamt 18 definierten Sektoren mit mindestens 50 Mitarbeitern oder mehr als 10 Millionen Euro Jahresumsatz.
Dazu gehören unter anderem:
- Energie, Verkehr, Gesundheit, Wasser
- Digitale Infrastruktur und IT-Dienste
- Ernährung, Chemie, Maschinenbau
- Post und Kurier, Abfallwirtschaft
- Finanz- und Versicherungswesen
Aber auch wenn Ihr Unternehmen nicht unmittelbar unter das Gesetz fällt, können Sie dennoch betroffen sein. Viele Unternehmen werden inzwischen über Kunden oder Auftraggeber innerhalb der Lieferkette vertraglich verpflichtet, die Anforderungen der NIS2 umzusetzen.
Ob und in welchem Umfang Handlungsbedarf besteht, klären wir gemeinsam in einem ersten Gespräch.
Das, was Unternehmen wirklich brauchen
Es gibt nichts, was man nicht bis ins Unendliche treiben kann.
Wenn man sich dem Thema aber pragmatisch nähert, wird’s für alle klarer und auch einfacher.
Das, was Unternehmen wirklich brauchen und sicherstellen sollten:
- Risikoanalyse
- Bewältigung von Sicherheitsvorfällen
- Backup-Management und Wiederherstellung nach einem Notfall und Krisenmanagement
- Sicherheit der Lieferkette
- Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen
- Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen
- Grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
- Konzepte und Prozesse für den Einsatz kryptografischer Verfahren
- Erstellung von Konzepten für die Sicherheit des Personals, die Zuzgriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen.
- Verwendung von Lösungen zur Multifaktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Telekommunikation sowie ggf. gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung
Die besten Hinweise kommen oft von den eigenen Mitarbeitern.
Gut, wenn sie einen sicheren Weg finden.
Hinweisgeberschutz
Ihre interne Meldestelle. Extern betreut. Technisch sicher.
Seit Juli 2023 gilt das Hinweisgeberschutzgesetz (HinSchG). Für alle Unternehmen ab 50 Beschäftigten ist die Einrichtung einer internen Meldestelle Pflicht. Wer das ignoriert oder mit einer halben Lösung reagiert, riskiert Bußgelder bis zu 50.000 Euro – und im Schadensfall zusätzliche Schadensersatzansprüche betroffener Hinweisgeber.
Wir betreiben bereits für eine Vielzahl unserer Datenschutzkunden eine rechtskonforme interne Meldestelle als externer Dienstleister – fachkundig, unparteiisch und auf höchstem technischen Sicherheitsniveau.
Was ist das Hinweisgeberschutzgesetz?
Das HinSchG ist die deutsche Umsetzung der EU-Whistleblower-Richtlinie (EU 2019/1937) und trat im Juli 2023 in Kraft. Es verpflichtet Unternehmen und öffentliche Stellen, sichere und vertrauliche Meldekanäle einzurichten, über die Beschäftigte und Personen die in einem geschäftlichen Kontext zum Unternehmen stehen, Rechtsverstöße melden können – ohne Angst vor Repressalien.
Das Gesetz schützt nicht nur die Hinweisgeber. Es zwingt Unternehmen auch zur Transparenz gegenüber ihren eigenen Strukturen. Das ist zunächst unbequem – auf Dauer aber ein echter Vorteil: Nahezu 60 Prozent aller eingehenden Meldungen werden als relevant eingestuft. Eine gut betriebene Meldestelle ist damit auch ein Frühwarnsystem.
Nicht jeder kommt dafür infrage
- Vertraulichkeit als Pflicht
Die Identität der meldenden Person muss aktiv geschützt werden. Ein Verstoß gegen die Vertraulichkeitspflicht ist selbst bußgeldbewehrt. - Gesetzliche Reaktionsfristen
Der Eingang einer Meldung muss innerhalb von sieben Tagen bestätigt werden. Eine Rückmeldung über ergriffene Maßnahmen ist innerhalb von drei Monaten erforderlich. - Schutz vor Repressalien
Kündigungen, Abmahnungen oder sonstige Benachteiligungen gegenüber Hinweisgebern sind verboten. Die Beweislast liegt beim Unternehmen. - Bußgelder und Haftung
Fehlende Meldestelle, Verletzung der Vertraulichkeit oder Repressalien können mit Bußgeldern bis zu 50.000 Euro geahndet werden. Betroffene Hinweisgeber können darüber hinaus Schadensersatz fordern.
Sind Sie betroffen?
Die Pflicht gilt für alle Unternehmen und Organisationen mit in der Regel mindestens 50 Beschäftigten – branchenunabhängig. Übergangsfristen bestehen nicht mehr.
- Ab 50 Beschäftigten: Interne Meldestelle verpflichtend.
- Unternehmen mit 50 bis 249 Beschäftigten dürfen eine gemeinsame Meldestelle mit anderen Unternehmen teilen – sofern Unabhängigkeit und Vertraulichkeit gewährleistet sind.
- Finanzdienstleister unterliegen unabhängig von der Mitarbeiterzahl eigenen Sonderregelungen.
- Kommunen ab 10.000 Einwohnern sind ebenfalls zur Einrichtung einer internen Meldestelle verpflichtet.
Ob und in welcher Form Sie betroffen sind, klären wir im ersten Gespräch – direkt und ohne Umwege.
Das stille Risiko: Die interne Eigenlösung
Viele Unternehmen glauben, mit einer internen Lösung auf der sicheren Seite zu sein. Ein Mitarbeiter wird benannt, eine E-Mail-Adresse eingerichtet – fertig. Das ist nicht nur unzureichend. Es ist in den meisten Fällen ein ernstes rechtliches und technisches Problem.
Fehlende Fachkompetenz
Die mit der Meldestelle betraute Person muss nach § 15 HinSchG fachkundig und in Bezug auf die Anforderungen des Gesetzes geschult sein. Das bedeutet: Kenntnisse im Datenschutzrecht, im Arbeitsrecht, im Verfahrensrecht und in der vertraulichen Kommunikation. Eine ungeschulte Bürokraft oder ein IT-Mitarbeiter erfüllen diese Anforderungen in der Regel nicht.
Eine E-Mail-Adresse reicht nicht
Eine einfache E-Mail ist kein sicherer Meldekanal. Warum? Weil E-Mails im Klartext übertragen werden, weil Metadaten den Absender identifizierbar machen, weil keine anonyme Meldung möglich ist und weil die gesamte Kommunikation weder verschlüsselt noch audit-sicher dokumentiert wird. Das Gesetz fordert aber genau das.
Der Interessenkonflikt – wer meldet, wenn der Verantwortliche selbst betroffen ist?
Stellen Sie sich vor: Ein Mitarbeiter möchte einen Vorfall melden, in den der Geschäftsführer oder ein Abteilungsleiter verwickelt ist. An wen wendet er sich? An die interne Meldestelle, die vom Unternehmen selbst kontrolliert wird? Das Gesetz verlangt Unabhängigkeit. Interne Strukturen können das strukturell nicht leisten.
Keine Anonymität, kein Schutz
Ohne technisch gesicherte Anonymisierung – also ohne eine Plattform, die keinerlei Zugriffsdaten protokolliert, die Rückschlüsse auf die Identität des Hinweisgebers ermöglichen – ist echter Schutz nicht möglich. Wer anonym melden möchte, wird bei einer internen Lösung selten eine echte Chance haben.
Fehlende Fristen- und Dokumentationskontrolle
Sieben Tage Eingangsbestätigung. Drei Monate Rückmeldung. Löschfristen nach Fallabschluss. Verarbeitungsverzeichnis. Datenschutzerklärung für den Meldekanal. Wer das alles manuell und ohne systematische Unterstützung bewältigen will, schafft Lücken – und Lücken sind Haftungsrisiken.
Das Fazit ist nüchtern: Eine interne Meldestelle, die man wirklich ernst nimmt, lässt sich mit eigenen Mitarbeitern ohne professionelle Unterstützung und ohne geeignete Technik nicht rechtssicher betreiben. Wer es trotzdem versucht, spart kurzfristig – und zahlt im Ernstfall drauf.
Unsere Lösung: Fachkompetenz plus zertifizierte Sicherheitstechnik
Wir übernehmen den Betrieb Ihrer internen Meldestelle als rechtlich zulässiger externer Dritter nach § 14 HinSchG – und setzen dabei auf eine der führenden Compliance-Software-Lösungen für Hinweisgeberschutz in Deutschland.
Was wir technisch leisten
- SSL/TLS- und AES-Verschlüsselung aller relevanten Daten
- Zwei-Faktor-Authentifizierung und integrierter Brute-Force-Schutz
- Vollständig anonyme Meldungen ohne Rückschluss auf die Identität des Hinweisgebers
- Hosting ausschließlich in ISO 27001-zertifizierten Rechenzentren in Deutschland
- Geschützter Kommunikationsbereich ohne E-Mail-Verkehr
- Automatisches Fristenmanagement nach den gesetzlichen Vorgaben
- Audit-sichere Dokumentation aller Vorgänge
- DSGVO-konformes Löschmanagement
- Verfügbar in bis zu 26 Sprachen
Was Sie konkret bekommen
- Einrichtung und Betrieb der internen Meldestelle als externer Dritter nach § 14 HinSchG
- Entgegennahme, Prüfung und vertrauliche Bearbeitung aller Meldungen
- Datenschutzkonforme Dokumentation, Zugriffskonzept und Löschmanagement
- Erstellung der Datenschutzerklärung für den Meldekanal und Aufnahme ins Verarbeitungsverzeichnis
- Mitarbeiterinformation über den Meldekanal und die Schutzrechte nach HinSchG
- Laufende Betreuung und Anpassung an gesetzliche Änderungen
- Feste, kalkulierbare Kosten ohne versteckte Aufwände
So gehen wir vor
Schritt 1 – Bestandsaufnahme und Betroffenheitsprüfung
Wir klären, ob und wie Sie betroffen sind und prüfen bestehende Maßnahmen.
Schritt 2 – Einrichtung des Meldekanals
Wir richten Ihren sicheren Meldekanal individuell ein und passen ihn an Ihr Unternehmen an.
Schritt 3 – Dokumentation und Datenschutz
Wir erstellen alle erforderlichen Dokumente und sorgen für eine datenschutzkonforme Umsetzung.
Schritt 4 – Information Ihrer Beschäftigten
Ihre Mitarbeiter erhalten verständliche Informationen zum Meldekanal und zu ihren Schutzrechten.
Schritt 5 – Laufender Betrieb
Wir übernehmen die operative Betreuung, die Fristenkontrolle und die vertrauliche Kommunikation mit Hinweisgebern.
Datenschutz und HinSchG – zwei Themen, ein Ansprechpartner
Viele unserer Kunden kennen uns bereits als externen Datenschutzbeauftragten. Der nächste logische Schritt ist die Übernahme der internen Meldestelle. Kein neuer Dienstleister, keine neue Einarbeitung, kein Bruch in der Dokumentation.
Wenn Sie noch kein Datenschutzkunde bei uns sind: Kein Problem. Wir betreuen auch reine HinSchG-Mandate – und Sie entscheiden selbst, ob Sie die Themen kombinieren möchten.
Jetzt handeln – nicht abwarten
Das Gesetz gilt seit 2023. Bußgelder werden ausgesprochen. Und Ihre Beschäftigten haben bereits heute das Recht, eine interne Meldestelle zu nutzen – unabhängig davon, ob Sie eine haben oder nicht. Wer keine betreibt oder eine betreibt, die den gesetzlichen Anforderungen nicht standhält, trägt das Risiko allein.
Es darf auch Spaß machen
Seit 2001 beraten wir nationale und internationale Unternehmen im Bereich Datenschutz, Compliance und Informationssicherheit. Und das machen wir so, wie wir sind: locker, persönlich, pragmatisch und mit ganz viel Engagement.
Sie werden bei uns keine schlecht gelaunten Menschen finden, die panikmachend durch die Gegend rennen und düster-diabolische Bußgeldszenarien an die Besprechungswände von Unternehmen werfen.
Wir halten das für falsch, ungerechtfertigt und ehrlich gesagt auch für einen ganz schlechten Stil.
Apropos ehrlich.
Datenschutz, NIS2 und Hinweisgeberschutz sind komplexe Themen und nerven zum Teil ganz extrem. Jedoch kommen wir alle nicht umhin, uns mit den Vorgaben, Gesetzen, Verordnungen, Vorschriften und den schier endlos erscheinenden Dokumentationspflichten zu beschäftigen. Aber wenn wir schon mal müssen, hilft es richtig gut, wenn wir das Ganze positiv sehen und versuchen, den größtmöglichen Unternehmens-Nutzen aus der Sache zu ziehen. Und das geht. Das geht sogar richtig gut!
Sprechen Sie mit uns.
Ein Gespräch kostet nichts, kann aber viel Sicherheit, Klarheit und Nutzen bringen.
CB ADDATA GmbH
Reitmeierfeld 23
94099 Ruhstorf an der Rott
Telefon: +49 8531 978447-0
E-Mail: info[at]cb-addata.de