Datenschutz, Informationssicherheit und NIS 2 – aus einer Hand.

Externer Datenschutzbeauftragter

Ich übernehme die gesetzlich vorgeschriebene Funktion des Datenschutzbeauftragten für Ihr Unternehmen. Der Unterschied zu vielen anderen externen DSB: Ich verstehe Ihre IT-Strukturen selbst. Netzpläne, Berechtigungskonzepte und Cloud-Konfigurationen lese ich ohne Übersetzer – dadurch werden Risiken sichtbar, die in einer reinen Rechtsbetrachtung untergehen.

Eine Benennungspflicht besteht nach § 38 BDSG in der Regel ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, sowie unabhängig von der Größe in den Fällen des Art. 37 DSGVO oder bei Verarbeitungen, die eine Datenschutz-Folgenabschätzung erfordern.

Was ich für Sie übernehme

• Beratung von Geschäftsführung und Beschäftigten zu ihren Pflichten aus DSGVO und BDSG
• Aufbau und Pflege des Verzeichnisses von Verarbeitungstätigkeiten
• Bewertung und Beratung zu technischen und organisatorischen Maßnahmen (TOM)
• Prüfung von Auftragsverarbeitungsverträgen mit Dienstleistern
• Beratung zu Datenschutz-Folgenabschätzungen
• Unterstützung bei Betroffenenanfragen, z. B. Auskunftsersuchen
• Begleitung bei Datenschutzverletzungen und der Meldung an die Aufsichtsbehörde
• Ansprechpartner und Kommunikation mit der Aufsichtsbehörde
• Sensibilisierung und Schulung der Mitarbeitenden

Datenschutzberatung & Datenschutz-Audit

Nicht jedes Unternehmen muss einen Datenschutzbeauftragten benennen – die Pflichten aus der DSGVO gelten trotzdem. Für Unternehmen ohne Bestellpflicht oder mit konkretem Handlungsbedarf biete ich Beratung ohne Dauermandat: Ich analysiere den Ist-Zustand, benenne die wesentlichen Schwachstellen und begleite die Umsetzung pragmatisch – ohne Beratungsoverhead.

Typische Anlässe

• Statusanalyse bzw. Datenschutz-Audit: Wo steht Ihr Unternehmen heute?
• Einführung neuer Software, Cloud-Dienste oder Kundenportale
• Überprüfung von Datenschutzerklärung und Informationspflichten
• Vorbereitung auf Anfragen oder Prüfungen der Aufsichtsbehörde
• Zweitmeinung zu bestehender Datenschutzdokumentation

ISO 27001 – Aufbau eines ISMS und Zertifizierungsbegleitung

Ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001 schafft einen nachweisbaren Rahmen für den Schutz Ihrer Informationen – und wird von Kunden, Auftraggebern und Versicherern zunehmend erwartet. Ich begleite den Aufbau von der ersten Risikoanalyse bis zum Zertifizierungsaudit und baue dabei auf Ihren vorhandenen Systemen auf. Ich verkaufe kein eigenes ISMS-Tool.

So läuft ein ISMS-Projekt ab

1. Anwendungsbereich festlegen: Welche Standorte, Prozesse und Systeme umfasst das ISMS?
2. Gap-Analyse: Abgleich des Ist-Zustands mit den Anforderungen der Norm.
3. Risikoanalyse und -behandlung: Bewertung der Informationssicherheitsrisiken und Auswahl geeigneter Maßnahmen.
4. Erklärung zur Anwendbarkeit (SoA) und Richtlinien: Dokumentation der Maßnahmen aus Anhang A und der Leitlinien.
5. Internes Audit und Managementbewertung: Überprüfung der Wirksamkeit vor dem externen Audit.
6. Zertifizierungsaudit: Begleitung durch Stufe 1 und Stufe 2 bei einer akkreditierten Zertifizierungsstelle.

NIS 2 – Betroffenheitsprüfung und Umsetzung

Die NIS-2-Richtlinie erweitert den Kreis der Unternehmen mit gesetzlichen Cybersicherheitspflichten deutlich. Grundsätzlich erfasst sind mittlere und große Unternehmen in bestimmten Sektoren – in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme. Viele weitere Unternehmen sind mittelbar betroffen, weil Kunden die Anforderungen über die Lieferkette weitergeben.

Ich prüfe zunächst, ob und wie Ihr Unternehmen betroffen ist, und begleite anschließend die technische und organisatorische Umsetzung – strukturiert und wirtschaftlich sinnvoll.

Was ich für Sie übernehme

• Betroffenheitsprüfung anhand von Sektor, Größe und Tätigkeit
• Unterstützung bei der Registrierung beim BSI
• Gap-Analyse der Risikomanagementmaßnahmen
• Aufbau von Prozessen zur Erkennung und Meldung erheblicher Sicherheitsvorfälle
• Bewertung der Sicherheit in der Lieferkette
• Information der Geschäftsleitung zu ihren Pflichten und ihrer Verantwortung

IT-Sicherheit für Arzt- und Zahnarztpraxen nach § 390 SGB V (ehemals § 75b SGB V)

Mit der IT-Sicherheitsrichtlinie legen die Kassenärztliche Bundesvereinigung (KBV) und die Kassenzahnärztliche Bundesvereinigung (KZBV) verbindliche Mindestanforderungen an die IT-Sicherheit in Praxen fest. Die Richtlinie konkretisiert die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und gilt für vertragsärztliche, vertragszahnärztliche und psychotherapeutische Praxen. Die Rechtsgrundlage hieß früher § 75b SGB V und ist heute in § 390 SGB V geregelt.

Beide Richtlinien wurden 2025 überarbeitet: Die neuen Anforderungen der KBV-Fassung waren bis zum 1. Oktober 2025 umzusetzen, die geänderten Anforderungen der KZBV-Fassung sind seit dem 2. Januar 2026 verbindlich. Ich komme selbst aus der Medizinbranche und kenne die Abläufe und den Umgang mit Gesundheitsdaten aus der Praxis – nicht nur aus dem Gesetzestext.

Welche Anforderungen für Ihre Praxis gelten

1. Anlage 1 – alle Praxen: Grundanforderungen etwa an Endgeräte, Updates, Passwörter, Datensicherung und Netzwerk.
2. Anlage 2 – mittlere Praxen: zusätzliche Anforderungen für Praxen mit 6 bis 20 Personen, die ständig mit der Datenverarbeitung betraut sind.
3. Anlage 3 – Großpraxen: zusätzliche Anforderungen ab mehr als 20 Personen oder bei Datenverarbeitung in erheblichem Umfang.
4. Anlage 4 – medizinische Großgeräte: ergänzende Anforderungen, wenn etwa CT- oder MRT-Geräte eingesetzt werden.
5. Anlage 5 – Telematikinfrastruktur: Anforderungen an Installation und Betrieb der TI-Komponenten wie Konnektor und Kartenterminals.

Was ich für Sie übernehme

• Einstufung Ihrer Praxis und Ermittlung der geltenden Anlagen
• Gap-Analyse: Abgleich Ihres Ist-Zustands mit jeder einzelnen Anforderung
• Priorisierter Maßnahmenplan – abgestimmt mit Ihrem IT-Dienstleister
• Nachvollziehbare Dokumentation des Umsetzungsstands, z. B. Netzplan, Berechtigungen, Datensicherung und Notfallvorsorge
• Sensibilisierung des Praxisteams für Informationssicherheit
• Verzahnung mit dem Datenschutz – auf Wunsch als externer Datenschutzbeauftragter der Praxis
• Prüfung der NIS-2-Betroffenheit für große Praxen und MVZ

Datenschutz für Wohnungsunternehmen und Genossenschaften

Ich bin bereits für mehrere Wohnungsgesellschaften und -genossenschaften tätig und kenne die typischen Datenschutzfragen der Branche aus der Praxis. Wohnungsunternehmen verarbeiten täglich personenbezogene Daten – von der Mieterbewerbung über die Bonitätsprüfung bis zur digitalen Mieterkorrespondenz.

Typische Themen

• Datenschutzkonforme Mieterbewerbungsunterlagen und Selbstauskunftsformulare
• Auftragsverarbeitungsverträge mit Handwerkern, Dienstleistern und Hausverwaltungen
• Rechtssichere Kennzeichnung und Dokumentation von Videoüberwachungsanlagen
• Datenschutzrechtliche Einbindung von Mieterportalen und Verwaltungssoftware
• Informationspflichten gegenüber Mietinteressenten, Mietern und Mitgliedern